La gestione da parte dei sistemi operativi delle periferiche di archiviazione con interfaccia USB è tra le più recenti cause di diffusione di malware per veicolare attacchi informatici che possono propagarsi anche alla rete cui è connesso il PC infetto.

Stuxnet è uno dei malware più noti ed insidiosi ad essersi avvantaggiato per primo di alcune vulnerabilità del sistema operativo Windows relative alla funzione di autorun quando è rilevata la connessione di una unità di archiviazione USB. Durante la conferenza ShmooCon 2011 è stato illustrato un attacco ad un sistema operativo basato su Linux in grado di sfruttare la funzione di autorun quando il sistema rileva la connessione di una memoria flash di tipo USB.

L'attacco sfrutta la vulnerabilità CVE-2010-2640 relativa alla gestione di font in Evince che si manifesta quando il file browser Nautilus gestisce file di tipo DVI per creare le miniature di anteprima del contenuto. Lo scenario di attacco illustrato prevede che il sistema sia bloccato tramite lo screensaver e che l'attaccante connetta una periferica di archiviazione USB sulla quale è memorizzato un file DVI in grado di innescare la vulnerabilità.

Malgrado lo screensaver attivo, Nautilus quando rileva la presenza del dispositivo di archiviazione USB avvia in background il processo di creazione delle miniature ed anteprime dei file rilevati che consente all'attaccante di sfruttare la vulnerabilità eseguendo codice malevolo in grado di terminare il processo di screensaver ed avendo accesso al sistema compromesso con gli stessi privilegi dell'utente autenticato. L'exploit utilizzato nell'illustrazione dell'attacco consente, inoltre, di eludere i meccanismi di sicurezza Address Space Layout Randomization (ASLR) e AppArmor.

L'esperienza dimostra tutta la pericolosità connessa all'utilizzo insicuro e non disciplinato da politiche di sicurezza di periferiche di archiviazione removibili come quelle molto diffuse e miniaturizzate USB che evidenzia come il tempestivo aggiornamento alle più recenti versioni dei sistemi operativi costituisca una valida ed efficace contromisura nel limitare la compromissione della riservatezza ed integrità dei dati se unita ad una consapevolezza dei rischi cui si può incorrere.

Ulteriori dettagli sono disponibili presso le seguenti URL:

• http://blogs.iss.net/archive/Shmoocon2011.html
• http://blogs.iss.net/archive/papers/ShmooCon2011-USB_Autorun_attacks_against_Linux.pdf