Todos confiamos en los dispositivos USB para interconectar nuestra vida digital, pero una nueva investigación dada a conocer por primera vez a través de Wired revela que existe un defecto de seguridad en la forma en que los USB funcionan, podría ser explotada para causar estragos en cualquier computadora.

Informes de Wired reportan que los investigadores Karsten Nohl y Jakob Lell han hecho ingeniería inversa al firmware que controla las funciones de comunicación básicas de los dispositivos USB. No solo eso, también han escrito una pieza de malware, llamada BadUSB,  que puede  "ser instalada en un dispositivo USB para tomar el control completo de una PC de forma invisible al alterar los archivos instalados en el dispositivo de memoria o incluso redirigir el tráfico de Internet del usuario."

Se trata de un chip controlador embebido dentro de los dispositivos USB, desde memorias, teclados y hasta smartphones. El chip permite al dispositivo y a la computadora que está conectada intercambiar información de ida y vuelta. Esto es lo que Nohl y Lell han apuntado y significa que su malware no se encuentra precisamente en la memoria flash, sino que está escondido en el firmware, imborrable por cualquier persona a menos de que se trate de técnico experto. Lell explicó para Wired:

"Puedes dárselo a tu personal de seguridad en TI, ellos lo escanean, borran algunos archivos y regresan diciendo que está limpia… pero estos problemas no pueden ser parchados. Estamos explotando la manera en la que el USB está diseñado". 

El truco consiste en que es virtualmente imposible darse cuenta si el firmware de un dispositivo ha sido manipulado, e inclusive si así fuera, no hay una sola versión confiable que pruebe lo contrario. También vale la pena señalar que se puede viajar en ambas direcciones: una memoria USB podría, por ejemplo, infectar una computadora con su malware y la computadora podría infectar cualquier dispositivo USB conectado a ella. Así que es bastante preocupante lo que el par de investigadores han demostrado; que el error puede ser explotado en memorias USB, ratones, teclados e inclusive teléfonos inteligentes con Android (esto, en teoría, funciona en cualquier dispositivo USB cuyo firmware puede ser reprogramado). Todo lo anterior lo presentarán en la próxima conferencia de seguridad Black Hat en las Vegas.

Algunas fuentes de Wired inclusive han especulado que el hack ya podría estar siendo utilizado por la NSA. 

Son malas noticias, ¿entonces qué se puede hacer al respecto- Técnicamente hablando, muy poco, no hay un parche de código que pueda ser usado para solucionar el problema. En cambio, tanto el Foro de Implementadores de USB y los investigadores señalan que un cambio en la manera en que usamos los USB es la única solución: no conectar un dispositivo USB en una computadora que no se confíe al 100% y no conectar ningún dispositivo USB no confiable en la computadora tampoco.