Hacker Karsten Nohl sprak daar woensdag over op een conferentie in Tokyo (via Wired). Nohl bracht het lek een paar maanden geleden voor het eerst onder de aandacht. Hij schreef de BadUSB-malware en injecteerde die in eerste instantie alleen in chips van Phison.
Zo bleek dat de firmware in de chips van USB-apparaten herschreven kan worden en virusscanners kijken er daardoor omheen. Die scannen immers alleen de inhoud van het flash-geheugen. Bijgevolg kunnen hackers je computer binnendringen via bijvoorbeeld een simpele USB-stick, een toetsenbord of een webcam.
Moeilijk te zien
Nohl en zijn onderzoeksteam probeerden vervolgens om malware te injecteren in de USB-chips van de acht grootste fabrikanten: Phison, Alcor, Renesas, ASmedia, Genesys Logic, FTDI, Cypress en Microchip. Een deel bleek veilig, een deel onveilig. Het echte probleem is echter dat de gemiddelde consument geen idee heeft welke chip er in zijn USB-apparaat zit.
Daarvoor zou je hem eerst binnenstebuiten moeten keren, voor je hem in je pc steekt. Vervolgens kun je in de BadUSB-database kijken of de chip overeenkomt met de onderzoeksresultaten van Nohl. Maar dan weet je nog steeds niet of het lek in jouw specifieke geval daadwerkelijk is uitgebuit. Naar het merk kijken heeft overigens weinig zijn: een bedrijf als Kingston gebruikt chips van vier á vijf verschillende fabrikanten. Een flink gedoe, dus.
In het wild
Nohl wilde zijn hack eerder niet vrijgeven, omdat hij bang was dat criminelen ermee aan de haal zouden gaan. Maar al snel dook BadUSB toch op via andere hackers. Ze maakten de software na en hebben het online gezet. Ze hopen daarmee fabrikanten wakker te schudden, zodat ze hun chips beter beveiligen.
