See iPhone’i laadimiskaabel võib teie seadet häkkida.

See näeb välja nagu Apple Lightningi kaabel ja töötab nagu Apple’i kaabel, kuid annab ründajale võimaluse teie seadmega kaugühenduse loomiseks.

Enamik inimesi ei mõtle kaks korda enne, kui võtavad telefoni laadimiskaabli ja ühendavad selle. Turvateadlane on näidanud, kuidas USB-kaablid, isegi need, mis näevad välja täpselt nagu Apple Lightningi kaabel, võivad teie seadme kaaperdada.

Ühendasin Apple Lightningi kaabli oma iPodiga ja seejärel ühendasin selle nagu tavaliselt. Minu iPod hakkas laadima, iTunes tuvastas seadme ja mu iPodi ilmus hüpikaken, mis küsib, kas ma tahan seda arvutit usaldada. Ei midagi kahtlast.

Kuid see kaabel varjas saladust. Mõni aeg hiljem avas häkker kaugjuhtimisega minu Maci ekraanil terminali ja suutis minu arvutis täita mis tahes käsu. Seda seetõttu, et see ei olnud tavaline kaabel. Seda muudeti nii, et see sisaldaks implantaati – kaabli sisse asetatud lisakomponente, mis võimaldavad häkkeril arvutiga eemalt ühendada.

Häkker, alias MG, võttis süütu välimusega Apple USB Lightning kaabli ja varustas selle väikese Wi-Fi-toega implantaadiga, mis arvutiga ühendatuna võimaldab läheduses asuval häkkeril käske käivitada, nagu istuks otse ees. ekraanilt.

Pilt: emaplaat.

O.MG -kaabliks tituleeritud see näeb välja ja toimib iPhone’i laadimiskaablist peaaegu eristamatult. Ründaja peab vaid vahetama pingestatud kaabli pahatahtliku vastu ja ootama, kuni sihtmärk selle arvutiga ühendab. Ründaja saab lähedalasuvast seadmest ja Wi-Fi levialas (või lähedalasuva Wi-Fi-võrguga ühendatud) arvutis traadita võrgu kaudu käske täita või käivitada eelmääratletud käske täitmiseks.

"See näeb välja nagu tõeline kaabel ja töötab täpselt samamoodi. Isegi teie arvuti ei märka erinevust. Kuni mina ründajana juhtmevabalt kaabli üle kontrolli võtan," rääkis neid kaableid valmistanud MG nime all tuntud turvateadlane. Ta demonstreeris selle toimimist iga-aastasel Def Coni häkkerite konverentsil.

Pärast ühenduse loomist saab ründaja nakatunud arvutit kaugjuhtida, näiteks saata ohvri ekraanile realistlikke andmepüügilehti, või kaugjuhtimisega lukustada arvuti ekraani, et saada uuesti sisselogimisel kasutaja parool.

Mis on selle pisikese USB-kaabli sees, küsite, et see oleks sellisteks rünnakuteks võimeline? See on nipp: USB "A" pistiku korpuse sees on trükkplaat, mis on laaditud WiFi mikrokontrolleriga (dokumentatsioon ei täpsusta, milline), mis saadab kasuliku koormuse USB-seadme kaudu.

Mõelge sellele nagu BadUSB- seade, nagu USB Rubber Ducky, kuid mis näeb välja täpselt nagu Apple’i originaalkaabel. See on parim viis sisselogimiseks ja kõik, mida pead tegema , on USB-kaabli ühendamine arvutiga.

Selle kaabli tulevased värskendused võivad sisaldada porti ESPloitV2 jaoks, avatud lähtekoodiga Wi-Fi juhitava USB HID -klaviatuuri emulaatori jaoks. See annab sellele seadmele, millel on juba tohutud võimalused, rohkem jõudu.

Kaabliga on kaasas erinevad skriptid ja käsud, mida ründaja saab ohvri masinas käivitada. Häkker võib USB-implantaadi ka eemalt "tappa", et varjata tõendeid selle olemasolu kohta.

Allolevas videos näete, kuidas häkker käivitab koodi eemalt, kasutades MacBookiga ühendatud O.MG-kaablit.

MG keskendus oma esimese katse Apple Lightningule, kuid selle implantaati saab kasutada peaaegu iga kaabliga ja enamiku sihtarvutite vastu.

"See kohandatud Lightning-kaabel võimaldab platvormidevahelisi rünnakuid ja minu loodud implantaat on hõlpsasti kohandatav teist tüüpi USB-kaablitega, " ütles MG. "Apple’i on kõige raskem implanteerida, nii et see oli hea tõestus minu võimete kohta."

Sarnased kaablid Lightningi, Micro USB ja USB Type C jaoks on nüüd saadaval ostmiseks ning hinnad algavad 120 dollarist.

Oma igapäevases töös Verizon Media RedTeami spetsialistina töötab ta välja uuenduslikke häkkimistehnikaid ja -tehnikaid, et tuvastada ja parandada turvaauke enne, kui ründajad need avastavad. Kuigi see on isiklik projekt, võib MG sõnul selle väljatöötamine aidata punastel meeskondadel mõelda seda tüüpi ohtude eest kaitsmisele.

Tänapäeval teavad enamik inimesi mitte ühendada oma arvutisse kinnitamata välkmäluseadmeid, kuid nad ei eelda, et ka kaabel ohustab.

MG on oma projekti kallal töötamisele kulutanud tuhandeid dollareid ja lugematuid tunde. Iga kaabli kokkupanekuks kulus tal umbes neli tundi. Samuti töötas ta koos mitme teise häkkeriga, et kirjutada osa koodist ja arendada ärakasutusi.