Equipe de segurança detecta malware que intercepta cartões inteligentes USB

Uma equipe de pesquisadores criou uma maleta de verificação de conceito que pode dar aos invasores o controle dos leitores de cartão inteligente USB conectados a um computador Windows infectado pela Internet.

O malware instala um driver especial no computador infectado, o que permite que os dispositivos USB conectados a ele sejam compartilhados pela Internet com o computador do invasor.

No caso de leitores de cartão inteligente USB, o O atacante pode usar o software de middleware fornecido pelo fabricante do cartão inteligente para realizar operações com o cartão da vítima, como se estivesse conectado ao seu próprio computador, disse Paul Rascagneres, um consultor de segurança de TI da empresa de auditoria de segurança do Luxemburgo. e consultoria Itrust Consulting, na semana passada. Rascagneres é também o fundador e líder de um projeto de engenharia e análise de malware chamado malware.lu, cuja equipe projetou esse malware de compartilhamento USB

[Leia mais: Como remover malware do seu PC com Windows]

Já estão documentados casos de malware que seqüestra dispositivos de cartão inteligente no computador local e os utiliza por meio da API (interface de programação de aplicativos) fornecida pelo fabricante.

No entanto, o malware de prova de conceito desenvolvido pela equipe malware.lu leva esse ataque ainda mais e compartilha o dispositivo USB sobre TCP / IP em forma "raw", disse Rascagneres. Outro driver instalado no computador do invasor faz parecer que o dispositivo está conectado localmente.

O Rascagneres deve mostrar como o ataque funciona na conferência de segurança MalCon em Nova Delhi, Índia, em 24 de novembro.

Ameaça inteligente cartões de segurança

Os cartões inteligentes são usados ​​para diversas finalidades, mas geralmente para autenticação e assinatura de documentos digitalmente. Alguns bancos fornecem a seus clientes cartões inteligentes e leitores para autenticação segura com seus sistemas bancários on-line. Algumas empresas usam cartões inteligentes para autenticar remotamente os funcionários em suas redes corporativas. Além disso, alguns países introduziram cartões de identidade eletrônicos que podem ser usados ​​pelos cidadãos para autenticar e executar várias operações em sites governamentais.

Rascagneres e a equipe malware.lu testaram seu protótipo de malware com o cartão de identidade eletrônico nacional usado em Bélgica e alguns cartões inteligentes utilizados pelos bancos belgas. O eID belga permite que os cidadãos registrem seus impostos online, assinem documentos digitais, façam reclamações à polícia e muito mais.

No entanto, teoricamente a funcionalidade de compartilhamento de dispositivos USB do malware deve funcionar com qualquer tipo de cartão inteligente e leitor de cartão inteligente USB. o pesquisador disse.

Na maioria dos casos, cartões inteligentes são usados ​​em conjunto com PINs ou senhas. O protótipo de malware projetado pela equipe malware.lu tem um componente keylogger para roubar essas credenciais quando os usuários as inserem através de seus teclados.

No entanto, se a leitora de cartão inteligente incluir um teclado físico para digitar o PIN, esse tipo de ataque não vai funcionar, Rascagneres disse.

Os drivers criados pelos pesquisadores não são assinados digitalmente com um certificado válido para que eles não possam ser instalados em versões do Windows que exigem drivers instalados para serem assinados, como versões de 64 bits No entanto, um malware como o TDL4 é conhecido por poder desabilitar a diretiva de assinatura do driver em versões de 64 bits do Windows 7 Usando um rootkit-bootkit-component de estágio de inicialização que é executado antes do sistema operacional ser carregado.

O ataque é quase completamente transparente para o usuário, já que não irá impedi-lo de usar seu smart card como de costume, disse Rascagneres. A única oferta pode ser a atividade intermitente que ocorre quando o cartão é acessado pelo invasor, disse ele.