FBI e FCC alertam sobre “Juicejacking”

FBI e FCC alertam sobre “Juicejacking” – mas quão útil é o conselho deles?

Se você nunca tinha ouvido a palavra “juicejacking” no jargão de segurança cibernética até os últimos dias (ou, na verdade, se você nunca tinha ouvido falar dela até abrir este artigo), não entre em pânico. Você não está fora de contato.

Embora desconhecido, o termo não é tão novo, a Naked Security, publicou a quase 12 anos atrás quando escreveram pela primeira vez uma série de dicas sobre isso:

Em 2011, o termo era (tanto quanto sabemos) totalmente novo, escrito de várias formas como juice jacking , juice-jacking e simplesmente juicejacking, como nos parece correto, e foi cunhado para descrever uma técnica de ataque cibernético que tinha acaba de ser demonstrado na conferência Black Hat 2011 em Las Vegas.

A ideia é simples: pessoas na estrada, especialmente em aeroportos, onde o próprio carregador de telefone está espremido no fundo da bagagem de mão e muito difícil de extrair, ou guardado no compartimento de carga de um avião onde não pode ser acessado, muitas vezes são atingidos pela ansiedade de carga.

A ansiedade da carga do telefone, que se tornou uma coisa nas décadas de 1990 e 2000, é o equivalente à ansiedade do alcance do veículo elétrico hoje, onde você não consegue resistir a espremer um pouco mais de suco agora, mesmo que você tenha apenas alguns minutos de sobra, caso você encontre um obstáculo mais tarde em sua jornada.

Mas os telefones carregam por meio de cabos USB, que são projetados especificamente para transportar energia e dados.

Portanto, se você conectar seu telefone a uma tomada USB fornecida por outra pessoa, como pode ter certeza de que está apenas fornecendo energia de carregamento e não tentando negociar secretamente uma conexão de dados com seu dispositivo ao mesmo tempo?

E se houver um computador na outra extremidade que não esteja apenas fornecendo 5 volts DC, mas também tentando interagir sorrateiramente com seu telefone pelas suas costas?

A resposta simples é que você não pode ter certeza, especialmente se for 2011 e você estiver na conferência Black Hat participando de uma palestra intitulada Mactans: Injecting malware into iOS devices via malicioso Chargers .

A palavra Mactans era para ser um BWAIN, ou Bug com um nome impressionante (é derivado de latrodectus mactans, a pequena mas tóxica aranha viúva-negra), mas “juicejacking” foi o apelido que pegou.

Curiosamente, a Apple respondeu à demonstração do juicejacking com uma mudança simples, mas eficaz , no iOS, que é bem próxima de como o iOS reage hoje quando é conectado por USB a um dispositivo ainda desconhecido:

O pop-up “confiar ou não” introduzido no iOS 7, após uma demonstração pública de juicejacking.

O Android também não permite que computadores inéditos troquem arquivos com seu telefone até que você tenha aprovado em seu próprio telefone, depois de desbloqueá-lo.

Juicejacking ainda existe?

Em teoria, então, você não pode mais ser enganado facilmente, porque tanto a Apple quanto o Google adotaram padrões que eliminam o elemento surpresa da equação.

Você pode ser enganado, ou iludido, ou persuadido, ou qualquer outra coisa, a concordar em confiar em um dispositivo que mais tarde gostaria de não ter…

…mas, pelo menos em teoria, a captura de dados não pode acontecer pelas suas costas sem que você primeiro veja uma solicitação visível e, em seguida, responda a ela tocando em um botão ou escolhendo uma opção de menu para ativá-la.

Portanto, ficamos um pouco surpresos ao ver tanto a FCC dos EUA (a Comissão Federal de Comunicações) quanto o FBI (o Federal Bureau of Investigation) alertando publicamente as pessoas nos últimos dias sobre os riscos do juicejacking.

Nas palavras da FCC :

Se a bateria estiver fraca, lembre-se de que recarregar seu dispositivo eletrônico em estações de carregamento de porta USB gratuitas, como as encontradas em aeroportos e saguões de hotéis, pode ter consequências infelizes. Você pode se tornar vítima de “juice jacking”, outra tática de roubo cibernético.
Especialistas em segurança cibernética alertam que agentes mal-intencionados podem carregar malware em estações de carregamento USB públicas para acessar dispositivos eletrônicos de forma maliciosa enquanto estão sendo carregados. O malware instalado por meio de uma porta USB corrompida pode bloquear um dispositivo ou exportar dados pessoais e senhas diretamente para o criminoso. Os criminosos podem usar essas informações para acessar contas online ou vendê-las a outros criminosos.

E de acordo com o FBI em Denver , Colorado:

Os malfeitores descobriram maneiras de usar portas USB públicas para introduzir malware e software de monitoramento nos dispositivos.

Quão segura é a fonte de alimentação?

Não se engane, aconselhamos que você use seu próprio carregador sempre que puder, e não confie em conectores ou cabos USB desconhecidos, até porque você não tem ideia do quão seguro ou confiável pode ser o conversor de tensão no circuito de carregamento.

Você não sabe se vai pegar um 5V DC bem regulado, ou um pico de tensão que danifica seu aparelho.

Uma tensão destrutiva pode chegar por acidente, por exemplo, devido a um circuito de carregamento barato e alegre, não compatível com a segurança, que economizou alguns centavos nos custos de fabricação ao deixar ilegalmente de seguir os padrões adequados para manter as peças principais e a baixo custo partes de tensão do circuito separadas.

Ou um pico de tensão desonesto pode chegar de propósito. A Naked Security lembra de um dispositivo que parecia um pendrive de armazenamento USB, mas foi apelidado de USB Killer , sobre o qual escreveram em 2017:

Ao usar a modesta tensão e corrente do USB para carregar um banco de capacitores escondidos dentro do dispositivo, ele rapidamente atingiu o ponto em que poderia liberar um pico de 240 V de volta ao seu laptop ou telefone, provavelmente fritando-o (e talvez causando um choque desagradável). se você estava segurando ou tocando no momento).

Quão seguros estão seus dados?

Mas e os riscos de ter seus dados roubados sub-repticiamente por um carregador que também atuou como um computador host e tentou assumir o controle de seu dispositivo sem permissão?

As melhorias de segurança introduzidas na sequência da ferramenta juicejacking Mactans em 2011 ainda se mantêm?

A NAcked Security acha que sim, com base na conexão de um iPhone (iOS 16) e um Google Pixel (Android 13) em um Mac (macOS 13 Ventura) e um laptop Windows 11 (compilação 2022H2).

Em primeiro lugar, nenhum telefone se conectaria automaticamente ao macOS ou Windows quando conectado pela primeira vez, seja bloqueado ou desbloqueado.

Ao conectar o iPhone ao Windows 11, foi solicitado a aprovar a conexão todas as vezes antes de podermos visualizar o conteúdo pelo laptop, o que exigia que o telefone fosse desbloqueado para obter o pop-up de aprovação:

Pop-up sempre que conectamos o iPhone a um laptop com Windows 11.

Conectar o iPhone o Mac pela primeira vez exigia que concordasse em confiar no computador do outro lado, o que obviamente exigia desbloquear o telefone (embora, uma vez que concordássemos em confiar no Mac, o telefone apareceria imediatamente no Mac’s Aplicativo Finder quando conectado no futuro, mesmo que estivesse bloqueado no momento):

Pop-up moderno de “confiança” quando nosso Mac conheceu nosso iPhone.

O telefone do Google precisava ser instruído a mudar sua conexão USB do modo Sem dados toda vez que o conectava, o que significava abrir o aplicativo Configurações , que exigia que o dispositivo fosse desbloqueado primeiro:

Telefone Google Android após conexão com Windows 11 ou macOS 13.

Os computadores host podiam ver que os telefones estavam conectados sempre que eram conectados, dando-lhes acesso ao nome do dispositivo e a vários identificadores de hardware, o que é um pequeno vazamento de dados do qual você deve estar ciente, mas os dados no telefone em si estava aparentemente fora dos limites.

No teste da Nacked Security, o telefone Google se comportou da mesma forma quando conectado pela segunda, terceira ou subsequente vez, identificando que havia um dispositivo conectado, mas configurando-o automaticamente no modo Sem dados, conforme mostrado acima, tornando seus arquivos invisíveis por padrão, tanto para macOS quanto para Janelas.

Computadores não confiáveis ​​no seu iPhone

A propósito, uma característica irritante do iOS (considerado pela Nacked um bug, mas isso é uma opinião e não um fato) é que não há um menu no aplicativo Configurações do iOS onde você possa ver uma lista de computadores em que já confiou, e revogar a confiança para dispositivos individuais.

Espera-se que você se lembre em quais computadores confiou e só pode revogar essa confiança de uma maneira tudo ou nada.

Para não confiar em qualquer computador individual, você deve desconfiar de todos eles, por meio da tela Configurações > Geral > Transferir ou Redefinir iPhone > Redefinir Localização e Privacidade , são úteis apenas quando você compra um novo iPhone:

Opção iOS difícil de encontrar para computadores não confiáveis ​​aos quais você se conectou antes.

O que fazer?

• Evite conectores ou cabos de carregamento desconhecidos, se puder. Mesmo uma estação de carregamento configurada de boa fé pode não ter a qualidade elétrica e a regulação de tensão que você gostaria. Evite também carregadores de rede baratos, se puder. Traga uma marca em que você confia ou carregue de seu próprio laptop.
• Bloqueie ou desligue o telefone antes de conectá-lo a um carregador ou computador. Isso minimiza o risco de abrir arquivos acidentalmente em uma estação de carregamento não autorizada e garante que o dispositivo seja bloqueado se for roubado em uma unidade de carregamento multiusuário.
• Considere desconfiar de todos os dispositivos do seu iPhone antes de arriscar um computador ou carregador desconhecido. Isso garante que não haja dispositivos confiáveis ​​esquecidos que você pode ter configurado por engano em uma viagem anterior.
• Considere a aquisição de um cabo USB apenas para alimentação ou soquete do adaptador. Os plugues USB-A “sem dados” são fáceis de identificar porque possuem apenas dois conectores elétricos metálicos em seu alojamento, nas bordas externas do soquete, em vez de quatro conectores na largura. Observe que os conectores internos nem sempre são imediatamente óbvios porque eles não vêm direto para a borda do soquete – isso é para que os conectores de alimentação façam contato primeiro.

<

p id=”attachment_899714″ class=”wp-caption aligncenter” style=”text-align: justify;” aria-describedby=”caption-attachment-899714″>Fonte: Nacked Security by Sophos

Veja também:

• 90% das empresas pretendem investir em segurança digital em 2023
• Brasil é principal alvo de ataques cibernéticos da América Latina
• Como o ChatGPT pode comprometer a privacidade e a segurança online? 
• Nova campanha do Emotet contorna os bloqueios da Microsoft
• Segurança na nuvem: confira 6 práticas para proteger os dados
• Cisco e Senac Nacional pretendem diminuir a escassez de habilidades digitais e cibersegurança
• Aumenta o comércio de contas roubadas ChatGPT Premium
• Fortinet expande seu programa de certificação NSE
• O impacto da estratégia de cibersegurança dos EUA na infraestrutura crítica
• Cremesp lança guia inédito sobre a Lei Geral de Proteção de Dados (LGPD)
• STJ e a importância de profissionalizar investigações corporativas
• ChatGPT: mundo nunca mais será como antes depois da ferramenta