USBメモリ、キーボード、マウス……。
　
　USBポートに接続される周辺機器を使っている方は多いことでしょう。もし、皆さんがお使いのUSB周辺機器が悪意を持っていたら、皆さんのPCはあっという間にマルウェアに感染してしまうことでしょう。
　
　そんな心配が現実のものとなるかもしれません。8/2からラスベガスで開催されるセキュリティカンファレンス「Black Hat USA 2014」でUSB周辺機器を制御するファームウェアをハックして悪意のあるコードを仕込むことができるという問題に対する実証ツールが公開されることがわかりました。
　
　この発表は、SR LabsのKarsten Nohl氏とJakob Lell氏により、「BADUSB - ON ACCESSORIES THAT TURN EVIL」というタイトルのブリーフィングで発表されます。

Black Hat USA 2014 | Briefings

　
　両氏によると、現在普及しているUSB周辺機器で制御用に使われているUSBコントローラチップには「ファームウェアをリプログラムすることが可能」であるため、さまざまなUSB周辺機器のファームウェアを書き換え、悪意のある攻撃を行うよう改造ができるとのこと。
　
　実際に、Phison Electronics社製のコントローラチップで使用されているファームウェアに検証用のマルウェアを組み込むことに成功したそうです。
　
　この問題はPhison Electronics社製固有の問題ではないため、他社製のコントローラチップでも同様の攻撃が可能である可能性は高いそうです。
　
　USB機器は広く普及しているため、これが事実となると大変なことになります。
　
　USBメモリをさすとマルウェアに感染したり、キーボードに入力したキーストロークは盗まれたり、勝手にコマンドを打たれたり。USBタイプのネットワーク機器を使っていたら勝手にデータを送受信されたり、悪意のあるサイトに誘導されたり……。
　
　実にいろんな攻撃が可能になります。
　
　両氏は、この研究成果をすでにUSB周辺機器メーカーに報告済みとのことですが、実際にこの問題に対応したメーカーはまだないようです。
　「BADUSB - ON ACCESSORIES THAT TURN EVIL」が行われるのは8/7ですが、もうすでに悪用されているかもしれません。
　
　怪しげなUSB周辺機器はしばらく使うのを避けた方がいいかも。

関連記事

QuickTime入っていない？ 深刻な脆弱性見つかったし、ゼロデイだし、とりあえず消そうよ : I believe in technology
AppleのマルチメディアプレイヤーソフトQuickTimeに深刻な脆弱性が発見されました。悪用されると任意のコードを実行されたり、サービス運用妨害 (メモリ破損) 状態にされる可能性があります。


Android2.1以降に影響あり 正規アプリになりすませる重大な脆弱性「Fake ID」 : I believe in technology
米国のセキュリティベンダーBluebox Securityが7月29日、Android2.1以降に影響を与える重大な脆弱性を公表しました。