b1ue5ky / Flickr
Uma nova categoria de ameaça digital pode colocar em xeque a estratégia de segurança das empresas. A vulnerabilidade BadUSB, detectada em julho, pode usar qualquer dispositivo USB como porta de entrada para invasões.
O BadUSB é insidioso e versátil. Teclados, mouses, pen drives, leitores de cartões, dispositivos de rede, comandos para jogos e quaisquer outros equipamentos que possam ser ligados via USB podem tornar-se veículo de infecção, praticamente invisível e de difícil detecção mesmo depois de ativo.
Esta vulnerabilidade existe pois os minúsculos chips controladores de ligação USB, embutidos em todos os dispositivos, podem ser facilmente reprogramados com código malicioso.
O código-fonte da ameaça foi divulgado na Internet e pode iniciar uma onda de infecção por malware sem precedentes. O mais grave é que ainda não existe solução eficaz contra esta vulnerabilidade.
Com esta ferramenta maliciosa, hackers e crackers pode aceder a teclados e ratos, dando total controlo dos computadores ao invasor.
Segundo os investigadores que descobriram a fragilidade e divulgaram o código, a intenção da publicação foi exercer pressão nos fabricantes para solucionarem o problema. Desde julho, não houve qualquer movimentação na indústria para eliminar esta falha primária de segurança.
A única forma de eliminar o problema é inserir uma nova camada de segurança diretamente no firmware dos dispositivos USB, o que obrigaria uma atualização completa do padrão de ligação. Mas este é o tipo de mudança que não se faz do dia para a noite: é preciso muito dinheiro e talvez mesmo anos de desenvolvimento.
Por enquanto, o melhor a fazer é isolar as redes banindo o uso de dispositivos USB. Apesar de radical, a medida evitará que a ameaça se alastre, tomando conta das redes corporativas.
A solução é maximizar o uso do armazenamento e partilha de dados na nuvem, forçando a sua utilização. Desativar as portas USB das máquinas e proibir o uso de qualquer dispositivo não rastreado desde a sua origem é drástico, mas imprescindível até que as empresas de segurança consigam desenvolver defesas consistentes.
