זוג חוקרים גילו פגם בארכיטקטורה הבסיסית של פרוטוקול ה-USB המאפשרת לתכנת תוכנות זדוניות בקושחה של המכשיר, מה שהופך אותה לכמעט בלתי ניתנת לזיהוי ובלתי אפשרי לתיקון.
כדי להדגים את הפגיעות הקיימת בכל מקום, חוקרי האבטחה של SR Labs, Karsten Nohl ו-Jakob Lell יצרו הוכחת מושג בשם "BadUSB" שניתן להתקיןעל כל מכשיר אפיק טורי אוניברסלי, כולל מקלות זיכרון, מקלדות, סמארטפונים ועוד, להשתלט על המחשב האישי של הקורבן, להכניס או לשנות קבצים, לשנות הגדרות DNS ובדרך אחרת להרוס את החומרה המארח, דוחותחוטי.
BadUSB אינו תוכנה זדונית נפוצה שניתן פשוט להעתיק לזיכרון הבזק של כונן USB. Nohl ו-Lell הנדסו לאחור את קושחת ה-USB הסטנדרטית שאחראית על העברת קבצים למכשיר ומחוצה לו, וגילו שניתן להכניס ולהסתיר קוד זדוני באמצעות מעט תכנות מחדש.
"אי אפשר לתקן את הבעיות האלה", אמר נוהל. "אנחנו מנצלים את האופן שבו תוכנן USB."
אלא אם כן הקושחה הנגועה עוברת הנדסה לאחור בעצמה, התוכנה הזדונית מוגנת מפני גילוי והיא תישאר במכשיר גם לאחר ביצוע מחיקת דיסק, תהליך שגרתי לניקוי תוכנה זדונית החשודה.
יתר על כן, BadUSB הוא דו-כיווני. במילים אחרות, אם המטען של תוכנה זדונית מקודד לעשות זאת, כונן אצבע יכול להדביק את קושחת ה-USB של המחשב, אשר בתורו מתכנת מחדש את הקושחה של התקן USB מחובר נוסף, ומפיץ את הקוד בשקט על פני כל המערכות. בבדיקה, Nohl ו-Lell גילו שבעצם כל התקן USB פגיע לניצול.
מכיוון שאין תיקון קל לתוכנות זדוניות כמו BadUSB, החוקרים מציעים למשתמשים לאמץ דרך חדשה לחשוב על חומרת USB. במקום להעביר ללא מחשבה קבצים ונתונים אחרים הלוך ושוב בין מחשבים, Nohl ו-Lell ממליצים להתחבר רק למכשירים ידועים שהם בבעלות המשתמש או מהימנים.
"בדרך החשיבה החדשה הזו, אתה לא יכול לסמוך על USB רק בגלל שהאחסון שלו לא מכיל וירוס. אמון חייב לבוא מהעובדה שאיש זדוני לא נגע בו מעולם", אמר נוהל. "עליך לשקול USB נגוע ולזרוק אותו ברגע שהוא נוגע במחשב שאינו מהימן."
נוהל ולל יציגוהממצאים שלהם, כמו גם תוכנה להוכחת מושג, ב-כובע שחורכנס בלאס וגאס באוגוסט הקרוב.
