Twee onderzoekers van de George Mason University, Dr. Angelos Stavrou en Zhaohui Wang, hebben de mogelijkheid aangetoond om een smartphone te gebruiken (een Nexus One, maar Dr. Stavrou zegt dat dit ook van toepassing is op de iPhone) en een HID (Human Input Device) via USB. Simpel gezegd, gewoon aansluiten van de telefoon op een computer zorgt ervoor dat het fungeert als een muis of toetsenbord, zonder server op de betreffende computer, en biedt weinig of geen waarschuwing op het computerscherm.
Meestal zouden we zoiets als deze helluva coole hack noemen, maar er is ook een enge kant. De exploit kan viraal worden gemaakt, op Windows, Mac en Linux. Volgens Dr. Stavrou;
" Stel dat je computer thuis is aangetast en dat je je Android-telefoon compromitteert door ze te verbinden. Telkens als je de smartphone op een andere laptop of computer aansluit, kan ik die computer ook overnemen en vervolgens andere computers van die Android in gevaar brengen. Het is een virale soort compromis met behulp van de USB-kabel."
Dat trok onze aandacht, dus namen we contact op met Dr. Stavrou, die zo vriendelijk was om een paar vragen voor ons te beantwoorden. Lees de rest na de pauze.
Waarin verschilt dit van bestaande applicaties die van uw Android-smartphone een HID maken via WiFi, Bluetooth of USB?
Toepassingen die u downloadt van de Android-markt en die hetzelfde lijken te doen, vereisen dat een servercomponent op uw computer wordt geïnstalleerd. Deze exploit heeft niet alleen invoer aan de computerzijde nodig, maar kan zich ook doorgeven aan de hostcomputer, waardoor deze wordt geïnfecteerd met de componenten die nodig zijn om de volgende telefoon die u aansluit te compromitteren. Denk na wanneer u uw USB-muis aansluit op een computer - de kleine pop-up die u in het systeemvak ziet (Windows, Mac - Linux geeft standaard geen melding) is alle waarschuwing die u krijgt. Enkele seconden later kan de telefoon de computer besturen, net als de "echte" randapparatuur.
Schakelt uw exploit schermvergrendelingen uit op de getroffen computer?
Dit is een opluchting, maar de man op de luchthaven die vraagt of hij zijn telefoon kan opladen vanaf je laptop, kan ook (in theorie) iets veel slechter downloaden en installeren - zoals een keylogger.
Geeft deze exploit meer kracht of hulpmiddelen aan een aanvaller dan het fysieke toetsenbord of de muis die op de betreffende computer is aangesloten?
Het wordt hier een beetje harig. Je nieuwe luchthavenmaatje kan ook je gegevens vastpakken en analyseren door zich voor te doen als een draadloze USB-kaart of proberen exploits uit te voeren tegen je computerbesturingssysteem. En tot slot, het coolste deel van de exploit, maar ook het beetje dat het meest interessant is voor Android-fans;
USB-host is cool om mee te spelen. Het doen van zinloze, geeky dingen zoals het hebben van een 250 GB USB harde schijf aangesloten op je telefoon is een deel van het leuke van het hebben van een Android-telefoon. Deze kerels zijn nog een stap verder gegaan en hebben de ene telefoon als USB-apparaat op de andere telefoon geplaatst. Ik weet dat we dit serieus moeten nemen, maar raad eens wat ik de volgende keer ga proberen als ik wat vrije tijd heb?
In alle ernst, elk stukje code dat op zichzelf draait en zichzelf van de ene machine naar de andere kan overbrengen, is geen goede zaak. Maar deze specifieke exploit vereist dat je fysieke toegang hebt tot een computer, dus de use case is niet erg breed. Het wijzigt de lopende kernel op uw smartphone, dus zijn rootrechten nodig om de code te injecteren, en als u geroot bent, moet u Superuser.apk gebruiken om u daarover te waarschuwen wanneer het voor het eerst gebeurt. En omdat het via een USB-kabel wordt gedaan, bevindt u zich maximaal 3 meter van het toetsenbord en de muis. Laat geen willekeurige vreemden, gekke huisgenoten of ex-vriendinnen je USB-connectoren gebruiken, en het komt waarschijnlijk wel goed.
