[Black Hat USA 2014 レポート]ファームウェア書き換えでUSBに機能追加 | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2017.11.19(日)

[Black Hat USA 2014 レポート]ファームウェア書き換えでUSBに機能追加

研修・セミナー・カンファレンス セミナー・イベント

USB を利用したインシデントといえば、国内では過去最大級の顧客情報漏えいとして世間を騒がせたベネッセの事件が記憶に新しい。このとき使われた手法は、職員が、USB ポートにスマートフォンを接続して情報をコピーするという単純なものだった。しかし、意図的に機密情報を奪う内部犯行者がいなくとも、「ただ USB ポートへ接続するだけで、接続先の PC の制御を奪えるデバイス」が社内に紛れ込んだ場合、どのような悲劇が起こりえるだろう?

2014 年 8 月 7 日、ラスベガスで開催された Black Hat USA カンファレンスにて、セキュリティ研究者の Karsten Nohl と Jakob Lell が、USB メモリスティックそのものを悪意あるデバイスに変化させるプレゼンテーションを行った。

この「BADUSB - ON ACCESSORIES THAT TURN EVIL」と題されたデモンストレーションで紹介されたのは、USB メモリスティックのファームウェアにリバースエンジニアリングを行い、新たなパッチを当てるという手法だった。彼らがそのために費やした時間は、2 か月にも満たなかったという。

より詳細に言うと、USB メモリスティックの内部にあるマイクロコントローラチップ用のファームウェア(その内容はユーザーには見ることができない)を書き換え、機能を追加/変更するよう再プログラムするというものだ。

このようにして再プログラムされた USB メモリスティックは、たとえばキーボードになりすますことができる。PC によって、自動的に「新たなキーボード」として検出されたメモリスティックは、PC にマルウェアを仕込むなどの悪意ある命令を、キーボードとして下すことができる。

この攻撃は、「もともと USB メモリスティックが、ファームウェアのアップデートを行うことができるように作られている」という、根本的な構造上のセキュリティの弱点を突いたものだ。ファームウェアを見ることのないユーザーは、それが書き換えられても気づくことができず、また書き換えが行われたかどうかのチェックもできない。

今回のデモンストレーションは USB スティックのみに注力したものだったが、同じ問題は多くの USB デバイスに存在しているため、外付け HDD やウェブカメラ、キーボードなどにも同様のアプローチをすることが可能だろう、と Karsten Nohl は語った。
《翻訳:フリーライター 江添 佳代子》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

Scan BASIC 会員限定記事

もっと見る

Scan BASIC 会員限定記事特集をもっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)

もっと見る

[Web小説] サイバー探偵 工藤伸治の事件簿サーガ (シーズン 1~6 第1話)特集をもっと見る

カテゴリ別新着記事

研修・セミナー・カンファレンス カテゴリの人気記事 MONTHLY ランキング

  1. 総務省の「自治体情報システム強靱性向上」、その成果と新たな課題

    総務省の「自治体情報システム強靱性向上」、その成果と新たな課題

  2. 脆弱性診断サービスはどこまで標準化できるのか(SHIFT SECURITY)

    脆弱性診断サービスはどこまで標準化できるのか(SHIFT SECURITY)

  3. [今週開催] 日本発の国際サイバーセキュリティ会議 CODE BLUE 2017、三つの挑戦

    [今週開催] 日本発の国際サイバーセキュリティ会議 CODE BLUE 2017、三つの挑戦

  4. 京王電鉄のサイバーセキュリティ、2005年の契機

  5. サイバー犯罪対策、産学官連携の成果 -- JC3 間仁田氏報告

  6. DMARCの国内ISP導入事例

  7. 企業のネットワーク管理者必見!Internet Week 2017 セキュリティセッション紹介 第5回「知らないと困る?! 認証局とHTTPSの最新動向」について語る

  8. 2017年8月25日 名和利男の目に映った光景

  9. 企業のネットワーク管理者必見!Internet Week 2017 セキュリティセッション紹介 第4回「サイバー攻撃最前線2017」について語る

  10. 企業のネットワーク管理者必見!Internet Week 2017 セキュリティセッション紹介 第3回「転ばぬ先のIoTセキュリティ~コウカイする前に知るべきこと~」について語る

全カテゴリランキング

特集

★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★
<b>★★Scan PREMIUM 会員限定コンテンツにフルアクセスが可能となります★★</b>

経営課題としてサイバーセキュリティに取り組む情報システム部門や、研究・開発・経営企画に携わる方へ向けた、創刊19年のセキュリティ情報サービス Scan PREMIUM を、貴社の事業リスク低減のためにご活用ください。

×