BadBIOS, il malware che usa gli ultrasuoni

Premessa: la notizia è stata pubblicata sui principali siti mondiali e proviene da uno stimato professionista del settore. Quindi, a meno che l’esperto di sicurezza (organizzatore delle conferenze CanSecWest e PacSec, e fondatore della competizione Pwn2Own) non sia completamente impazzito, la storia non è una bufala o uno scherzo di Halloween.

Circa tre anni fa, Dragos Ruiu ha scoperto casualmente un virus che sembra frutto della fantascienza. Dopo aver installato una copia di OS X sul MacBook Air, il ricercatore ha notato che il firmware si è aggiornato spontaneamente, dopodiché il notebook ha impedito l’esecuzione di alcune operazioni, come il boot da CD. Nei mesi successivi, lavorando con un sistema OpenBSD, Ruiu ha notato stranezze degne di un thriller: il computer ha iniziato a cancellare dati e ad infettare altre macchine, trasmettendo dati di rete anche in assenza di connessioni Ethernet, WiFi e Bluetooth. Nonostante diverse operazioni di formattazione e reinstallazione dei sistemi operativi, l’infezione ha resistito ai vari tentativi di eliminazione. Anzi sembra che il malware abbia capacità di auto-guarigione.

Avevamo un computer non connesso con un nuovo BIOS, un nuovo hard disk e una nuova copia di Windows. Mentre stavamo modificando alcuni componenti, l’editor del registro ha smesso di funzionare. Come può una macchina reagire e bloccare il software che stavamo usando per cercare le key del malware nel registro?

Nelle ultime due settimane Ruiu ha pubblicato diversi post su Facebook, Google+ e Twitter per catturare l’attenzione degli esperti di sicurezza mondiali. Secondo le sue ricerche, il malware si trasmette mediante drive USB e infetta il BIOS, UEFI e altri firmware, indipendentemente dal sistema operativo. BadBIOS, questo il nome scelto da Ruiu, si propagherebbe attraverso i suoni ad alta frequenza trasmessi dagli altoparlanti e ricevuti dai microfoni dei computer. Una ricerca effettuata dal MIT dimostra come sia possibile una trasmissione wireless mediante segnali ad ultrasuoni. Il famoso malware Flame usava i segnali Bluetooth per comunicare con i dispositivi non connessi ad Internet.

Ruiu ha utilizzato sofisticati strumenti di analisi forense per rilevare i pacchetti trasmessi. Il notebook usato per i test non aveva nessuna scheda WiFi o Bluetooth ed era scollegato dall’alimentazione di rete (un cavo elettrico può diventare un’antenna). Nonostante ciò, i pacchetti hanno continuato a viaggiare nell’aria, finché non sono stati rimossi gli speaker e il microfono interni.