Al principio del verano de 2014 se empezó a hablar del virus BAD USB. Un virus indetectable que puede infectar cualquier aparato que tenga un conector USB. Se generó una alarma por las tremendas consecuencias que puede tener, después de que una empresa de seguridad informática alemana explicara cómo era posible incluir un virus en el “firmware” de una memoria USB.

Este virus permitiría engañar al antivirus aparentando ser un teclado, o una cámara, o una tarjeta de red. Y por tanto podría ejecutar instrucciones de una manera oculta, porque a día de hoy no existe ningún antivirus que tenga acceso al firmware de un dispositivo.

Por si no queda claro, todos los aparatos electrónicos incorporan hoy en día un firmware que controlan al más bajo nivel lo que hacen. Desde un reproductor mp3, un televisor, un teléfono móvil, un ordenador, un coche. En algunas ocasiones se le llama BIOS y en otras, incorrectamente, sistema operativo.

Estamos acostumbrados a que el antivirus se actualice periódicamente, también lo hace el sistema operativo del ordenador, y muchos otros programas, y por supuesto tampoco nos sorprende que lo haga el teléfono o la videoconsola. Menos habitual es que avise el televisor de que hay una actualización, o el coche, o el reproductor de DVD, o una memoria USB. Y sin embargo los fabricantes ponen a disposición del usuario actualizaciones para corregir o mejorar todos esos dispositivos.

Lo que hace especial estas actualizaciones es el lugar donde se almacenan y la forma en que lo hacen. Un chip de memoria al que sólo tiene acceso el propio dispositivo, contiene estos programas imprescindibles para su funcionamiento.

Por ejemplo, un teléfono móvil, descargará la actualización en su memoria “normal” y luego te propondrá aplicarla. En cambio, el procedimiento para actualizar un reproductor de DVD o una videoconsola, exige grabar un DVD con el contenido de la actualización proporcionada por el fabricante, y después seleccionar varias opciones con el mando a distancia.

El último paso, independientemente del dispositivo, es cruzar los dedos para que no se vaya la luz o se gaste la batería mientras se traslada al chip de memoria especial, porque en tal caso el aparato puede quedar inutilizado para siempre.

Este virus BAD USB es capaz de simular una actualización del firmware de una memoria USB, y colarse en esa memoria de una manera indetectable. En teoría, también podría colarse en una cámara, en un teclado, en un teléfono, en un ratón, etc.

En la conferencia de hackers BLACK HAT de Las Vegas de este año explicaron en detalle cómo funciona este procedimiento de infección. Dieron un toque de atención a los fabricantes para que pusieran los medios para impedir que esto se convierta en un problema. Pero dejaron claro que NO hay que preocuparse mucho ahora mismo, porque no está al alcance de todo el mundo fabricar un virus con estas características, ni tampoco se puede infectar cualquier dispositivo fácilmente.

En definitiva, no sé si aparecerán más virus de este tipo en el futuro, pero ahora mismo se trata sólo de una vulnerabilidad sin ninguna implementación real conocida. Si se llegara a explotar por los ciberdelincuentes tendríamos que desechar cada dispositivo infectado, porque no sería nada fácil desinfectarlo, ni si quiera con la amplia experiencia de ProdeX.