¿Pueden objetos aparentemente inofensivos, como memorias USB, cables de carga o juguetes infantiles, ser utilizados como herramientas de hackeo? ESET, compañía de ciberseguridad, dice que sí y alerta sobre una serie de dispositivos populares con nombres simpáticos que, aunque ofrecen funcionalidades valiosas para hackers aficionados y profesionales de la seguridad, pueden ser una espada de doble filo.
“Estos gadgets, diseñados para probar la seguridad de una organización, también pueden vulnerarla hasta cierto punto si se utilizan maliciosamente, representando una amenaza significativa debido a su capacidad para transformarse de herramientas útiles en potentes armas. Esta situación es preocupante, ya que muchas empresas tienen dificultades para implementar protecciones adecuadas por la falta de conciencia sobre los riesgos potenciales, especialmente cuando se trata del uso de dispositivos externos desconocidos en sistemas corporativos”, comenta Josep Albors, director de investigación y concienciación de ESET España.
Dispositivos inofensivos, riesgos ocultos
Según ESET, los dispositivos USB Rubber Ducky y Bash Bunny, desarrollados por Hak5, son ejemplos de herramientas que, aunque diseñadas para profesionales de la seguridad, pueden ser utilizados para ejecutar comandos maliciosos y robar información sensible. Estos dispositivos se disfrazan de periféricos confiables como teclados o ratones, permitiendo a los atacantes ingresar comandos en el sistema objetivo sin levantar sospechas.
Otro dispositivo preocupante según la compañía es el Flipper Zero, conocido por su capacidad para interactuar con diversos protocolos de comunicación inalámbrica y dispositivos de control de acceso. Aunque es popular entre los aficionados a la seguridad y hackers éticos, su habilidad para clonar tarjetas de acceso RFID y emular teclados USB lo convierte en una amenaza potencial.
Asimismo, el cable O.MG, que se asemeja a un cable de carga común, es capaz de ejecutar código precargado y actuar como un registrador de teclas. “Equipado con un punto de acceso Wi-Fi, este cable puede ser controlado de manera remota, facilitando la exfiltración de datos y la ejecución de comandos maliciosos”, advierte Albors.
Conciencia y control
Aunque estas herramientas se han usado en diversas demostraciones, no hay informes de su uso en ataques reales. Aun así, para mitigar los riesgos asociados con estos dispositivos, ESET España recomienda una serie de medidas preventivas:
- Restricción de dispositivos externos: Limitar el uso de unidades USB y otros dispositivos periféricos, exigiendo aprobación previa para su conexión a sistemas corporativos.
- Medidas de seguridad física: Evitar que individuos no autorizados accedan físicamente a los sistemas y dispositivos corporativos para prevenir manipulaciones.
- Capacitación en seguridad: Organizar entrenamientos regulares para empleados, educándolos sobre los riesgos de los ataques basados en USB y la importancia de no conectar dispositivos desconocidos.
- Soluciones de seguridad: Utilizar soluciones de seguridad que detecten y bloqueen actividades maliciosas iniciadas por dispositivos sospechosos, y que permitan a los administradores especificar los tipos de dispositivos permitidos.
- Deshabilitar autorun y autoplay: Asegurarse de que las funciones de autorun y autoplay estén desactivadas en todos los sistemas para prevenir la ejecución automática de cargas maliciosas.
- Uso de bloqueadores de datos USB: Emplear bloqueadores de datos USB, también conocidos como «condones USB», para convertir puertos USB en solo carga, evitando así la transferencia de datos.
Descubre más desde Revista Ciberseguridad
Suscríbete y recibe las últimas entradas en tu correo electrónico.
