C'è un difetto di sicurezza fondamentale in ogni dispositivo USB: il suo controller, ossia il piccolo chip che gestisce lo scambio di dati con il computer al quale è collegato, è riprogrammabile.

Una volta riprogrammato, può iniettare nel computer istruzioni ostili di qualunque tipo in una maniera sostanzialmente invisibile ai normali antivirus, che non controllano il firmware, ossia il software essenziale che viene eseguito da questi chip.

In pratica, qualunque chiavetta, disco rigido, stampante, tastiera, mouse che usi lo standard USB può diventare il portatore di un'infezione informatica. A sua volta, un computer infettato può contaminare un dispositivo USB.

Al momento non c'è nessun rimedio pratico, perché il difetto nasce da una caratteristica intenzionale dello standard. Dato che il firmware dei dispositivi USB non è firmato (cioè non ha nessun sistema di garanzia d'integrità), non c'è modo di sapere se è stato alterato.

Brutta storia: c'è chi l'ha definita "un'arma informatica senza precedenti". Si sospetta che l'NSA statunitense sfrutti già questa tecnica con un dispositivo chiamato Cottonmouth.

Il problema è stato segnalato a luglio scorso dai ricercatori di sicurezza Karsten Nohl e Jakob Lell, che hanno creato un malware dimostrativo, denominato BadUSB, che s'installa su un dispositivo USB e da lì è capace di prendere il controllo completo di un PC, alterare in modo invisibile i file presenti sul dispositivo USB, simulare di essere una tastiera e digitare comandi o deviare il traffico Internet della vittima.

Adesso due altri ricercatori, Adam Caudill e Brandon Wilson, hanno pubblicato un software per effettuare questi attacchi, con l'intento di spronare i costruttori di dispositivi USB a trovare una soluzione, ma con il risultato collaterale inevitabile di aver aperto il vaso di Pandora.

Ti invitiamo a leggere la pagina successiva di questo articolo:
Come evitare gli attacchi BadUSB