USB-oplaadkabel hackt Windows én macOS

Enkele hardwarehackers zijn bijeen gebracht door de beroemde oerhacker Kevin Mitnick om computerhacken naar een nieuw niveau te brengen. De malafide mogelijkheden van een speciaal gemaakte USB-stick zijn nu verwerkt in een schijnbaar onschuldige USB-oplaadkabel, die ook gewoon functioneel is. De creatie heet USBHarpoon en is gebaseerd op BadUSB.

Sticks, kabels, dongles en fans

Het gaat om een USB-apparaat (een stevige stick in het oorspronkelijke geval en een onopvallende kabel in de nu onthulde verbetering) dat zich voordoet als een invoerapparaat (HID, human interface device). Dit kan dan bijvoorbeeld een toetsenbord zijn, of een muis. De malafide controller-chip in de hack-stick of -kabel kan dan commando's invoeren op een computer waarop het is aangesloten.

Here is my new favorite hacking toy - the USB Harpoon.
It will arrive from China today. It took longer to ship than to build.
Thanks to the clever team behind the new Proxmark RDV4.https://t.co/cZKXOszrK4

— Kevin Mitnick (@kevinmitnick) August 20, 2018

"De USBHarpoon kan in vele vormen komen. Degene die we showen in deze blogpost is de USB-laadkabel", schrijft hardwarehacker Vincent Yiu in zijn blogpost over de nieuwe hardwarehackmethode. "We hebben andere opties zoals conferentie-dongles, USB-fans, en meer." Een drone behoort natuurlijk ook tot de mogelijkheden.

De medemaker van USBHarpoon stelt dat andere hardwarehackers ook wel BadUSB in kabelvorm hebben geprobeerd te creëren, maar dat zij geen oplaadfunctionaliteit wisten te maken. Een oplaadkabel die niet oplaadt, zal snel worden ontkoppeld en dan waarschijnlijk worden weggegooid. Dit verhindert dan het hackwerk waar de malafide kabel voor is bedoeld.

Buiten beeld krijgen

Een praktisch probleem resteert echter nog. De invoer van commando's door USBHarpoon kan namelijk zichtbare resultaten op het beeldscherm van de computer geven. Zoals de opdrachtprompt op Windows of de terminal op macOS en Linux. De ontwikkelaars van de hackende USB-kabel onderzoeken nu manieren om deze activiteit verborgen te houden, of het hackwerk pas te laten gebeuren wanneer de gebruiker niet bij zijn of haar computer is. Dit valt bijvoorbeeld te detecteren op basis van invoeractiviteit zoals muisbewegingen en (echte) toetsenbordaanslagen.

De makers van USBHarpoon showen de werking van hun creatie: