La triste verità sulle unità USB

Qual è questo exploit così riprovevole e pericoloso?

Sei tu, naturalmente!

Di pari passo con la sicurezza informatica che diventa sempre più avanzata e potente, per molti hacker è sempre più difficile trovare delle debolezze nei software presenti sul mercato. È per questo motivo che fanno molto più affidamento sull'errore umano per arrivare ai tuoi dati più importanti. Le email di phishing mirano a sfruttare la paura, il malware nascosto nei siti torrent può far leva sull'avidità e altri tipi di truffe approfittano della tua compassione, o addirittura della tua solitudine, ritorcendole contro di te.

Ma per quel che riguarda l'insignificante unità USB, l'exploit più affidabile che i pirati informatici possono sfruttare è la nostra curiosità.

Curiosi della curiosità

Secondo quanto dichiara l'astrofisico e autore Mario Livio, esistono fondamentalmente due tipi di curiosità: la curiosità percettiva, ad esempio quando scopriamo qualcosa di sorprendente (e spesso spiacevole) che ci procura una sorta di prurito di cui vogliamo liberarci, e quella epistemica, quando vogliamo imparare qualcosa perché pensiamo che sarà piacevole e prevediamo una gratificazione. Entrambe sono vitali nella nostra evoluzione biologica e tecnologica.

Ad esempio, potresti provare una curiosità percettiva quando leggi una notizia terrificante sull'ultima catastrofe naturale. Può non renderti "felice", ma potrebbe lasciarti tutto il giorno insoddisfatto in caso tu non decida di andare più a fondo. Dall'altro lato, potresti provare una curiosità epistemica se ricevi un messaggio email da un amico con allegato un documento di testo chiamato "LETTERA-D'AMORE-PER-TE", specialmente se l'amico in questione è piuttosto carino.

Che è esattamente il modo in cui il virus ILOVEYOU si è propagato nel 2000, causando danni per un totale stimato tra i 5,5 e gli 8,7 miliardi di dollari in tutto il mondo.

E non si è trattato di un caso isolato. Dai popup che annunciano la vincita a una lotteria online a perfetti sconosciuti sui social media che sostengono di essere vecchi amici del liceo, da quando esiste la posta elettronica gli hacker hanno continuato a far leva sulla curiosità epistemica per indurre gli utenti a fare clic su collegamenti e scaricare file. Di fatto, uno dei metodi più popolari per la diffusione dei virus è costituito da semplici email vuote con collegamenti o file: gli utenti sono così curiosi che li scaricano immediatamente, rendendo un milione di volte più semplice il lavoro dei pirati informatici.

Gli hacker sono così bravi a far leva sulla curiosità che l'hanno sfruttata anche per sferrare uno dei maggiori attacchi del decennio.

Il che ci riporta alla nostra chiavetta USB.

USB: l'ultima frontiera in fatto di violazioni della sicurezza

Cosa faresti se trovassi per strada un dispositivo o, come viene anche chiamato, una chiavetta USB (Universal Serial Bus)?

Se sei come la maggior parte delle persone, probabilmente sarai curioso, specialmente se il dispositivo ha un'etichetta particolarmente stuzzicante, del tipo "riservato", "solo per adulti" o "non aprire". Nel qual caso, non appena accenderai il PC (a casa o al lavoro, a seconda dell'etichetta), inserirai subito la chiavetta. Potresti farlo a scopo altruistico, sperando che le informazioni contenute ti aiutino a ritrovare il proprietario, o magari con intento voyeuristico, semplicemente per vedere cosa c'è dentro. Ma nel caso molto probabile in cui la chiavetta USB sia stata lasciata appositamente da un hacker, le tue motivazioni non avranno importanza: il pirata informatico sarà già sulla buona strada per infettare il tuo dispositivo.

Ci sono due modi in cui un dispositivo USB può esercitare la sua azione distruttiva. Il primo è analogo a quello delle email: contengono un file infetto e l'infezione si propaga al computer se fai clic sul file e lo esegui. In questo caso, potresti inserire il dispositivo nel PC o nel Mac ed eseguire una scansione antivirus prima di visualizzarne il contenuto, il che rappresenta la seconda operazione più cauta che potresti compiere… la prima è evitare di inserire la chiavetta.

Ma il problema con i dispositivi USB è che, la maggior parte delle volte, i produttori non proteggono il firmware, il che significa che gli hacker più astuti possono riprogrammarli in modo da renderli più efficienti e pericolosi. Il modo più comune per farlo è riprogrammare l'unità USB per scaricare automaticamente il malware in qualsiasi dispositivo collegato, anche prima di aprirlo. In questo caso, nel momento stesso in cui colleghi il dispositivo, sei a rischio.

"Sono dentro"

Ma se pensi che gli hacker possano utilizzare i dispositivi USB solo per distribuire il malware, ti sbagli di grosso. Questi maghi della tecnologia hanno escogitato, secondo l'ultimo conteggio, ben 29 modi differenti per sfruttare le unità USB per apportare diverse modifiche al tuo dispositivo e ai dati che contiene.

Ad esempio, un attacco USB potrebbe:

• Prendere il controllo della tastiera e immettere pressioni dei tasti predeterminate, obbligando il PC a eseguire operazioni che tu non faresti

• Registrate i tasti premuti e inviare i dati a server remoti

• Impiantare hardware, come un ricevitore radio

• Modificare o manipolare i file

• Infiltrarsi nella tua webcam e registrarti 

• Trasmettere la tua attività su emissioni elettromagnetiche accessibili pubblicamente

• Distruggere in modo permanente il dispositivo con un potente impulso elettrico

E sono solo pochi esempi di un elenco in continuo aumento che diventa sempre più impressionante (e spaventoso), di pari passo con lo sviluppo di nuovo software e nuovi dispositivi USB. Potresti pensare: solo perché è possibile non vuol dire che sia probabile, giusto? C'è veramente un hacker là fuori che si diverte a nascondere qua e là chiavette USB potenzialmente dannose?

La risposta potrebbe sorprenderti.

Ricarica ad alto rischio

Sei appena atterrato all'aeroporto di Los Angeles nel 2019 e sei esausto. Hai sete, ti fanno male le gambe e, quel che è peggio, il tuo smartphone è completamente scarico. Per fortuna, in aeroporto ci sono stazioni di ricarica gratuite, quindi colleghi il telefono a una di queste mentre ti gusti uno spuntino prima della dirittura d'arrivo.

E quando finalmente accendi il telefono scopri che, ops, quella stazione di ricarica USB era stata manomessa dagli hacker e ora il tuo cellulare è infetto.

Un altro esempio: una mattina vai al lavoro e, lungo il tragitto, su una panchina, vedi un dispositivo USB. Lo raccogli, pensando magari che potrebbe essere di un tuo collega, ma quando lo inserisci, ottieni un bel messaggio che ti informa che non hai passato il test sulla sicurezza informatica, cosa che in questa situazione potrebbe rivelarsi lo scenario migliore.

Perché non solo queste cose accadono, ma funzionano veramente bene. Anche se non ci sono numeri consistenti su quanti "attacchi USB" avvengono ogni anno, uno studio del 2016 ha rivelato che, su 297 unità USB infette lasciate in giro per un campus universitario, il 98% è stato ritrovato e il 45% collegato a un PC. Vuol dire un tasso di successo almeno del 50%, rispetto allo 0,5% stimato di utenti che si lasciano raggirare dalle email di phishing (il vettore di attacco attualmente più popolare). Una percentuale veramente elevata.

Quindi, anche se le probabilità che un hacker lasci sulla tua strada un dispositivo USB sono piuttosto basse, se lavori presso una grande azienda o per un ente pubblico, fai attenzione: quasi sicuramente hai più possibilità rispetto a tutti noi di imbatterti in un dispositivo USB dimenticato casualmente per strada.

Rimani scollegato, resta al sicuro

Sorge quindi spontanea la domanda: come rimanere al sicuro da dispositivi USB infetti?

Semplice, non collegare le chiavette USB che trovi in giro. Se ne trovi una fuori dal tuo ufficio, portala al reparto IT o avvisa il tuo responsabile. È anche possibile che ce ne sia più di una e non tutti i tuoi colleghi potrebbero essere utenti esperti come te. Se invece ti imbatti in una chiavetta in un luogo pubblico, fai un favore al mondo e gettala via, sia per proteggere te stesso e altri ignari utenti dal malware che per assicurarti che chiunque l'abbia persa non lasci le proprie informazioni personali nelle mani di uno sconosciuto. E se devi ricaricare il telefono in un luogo pubblico, utilizza esclusivamente il tuo caricabatterie collegandolo all'alimentazione. Qualsiasi altro mezzo potrebbe essere rischioso.

La curiosità può portarci a scoprire cose meravigliose, ma non lasciare che diventi la causa principale della tua mancanza di sicurezza informatica.