En julio, los investigadores Karsten Nohl y Jakob Lell anunciaron que habían encontrado un fallo de seguridad crítico que llamaron BadUSB, permitiendo a los atacantes contrabandear malware en los dispositivos efectivamente detectados. Lo que es peor, que no parece haber una solución clara para el ataque. Cualquiera que enchufara una memoria USB se esta abriendo a la agresión, y debido a que el mal código residía en el firmware USB, era difícil de protegerse en contra de ella sin tener que rediseñar por completo el sistema. La única buena noticia fue que Nohl y Lell no publicaron el código, por lo que la industria tuvo un tiempo para prepararse para un mundo sin USB.
A partir de esta semana, que ya no es cierto. En una charla conjunta en DerbyCon, Adam Caudill y Brandon Wilson anunciaron que habían exitosamente ingeniería inversa BadUSB, y que no compartían las preocupaciones Nohl y Lell de publicar el código. El par se ha publicado el código en GitHub, y demostrado varias aplicaciones para él, incluyendo un ataque que se hace cargo de la entrada de teclado de un usuario y vuelve el control al atacante. Según Caudill, el motivo de la liberación era poner presión sobre los fabricantes. «Si las únicas personas que pueden hacer esto son los que tienen presupuestos importantes, los fabricantes nunca van a hacer nada al respecto», dijo a Wired Andy Greenberg. «Usted tiene que demostrar al mundo que es práctico, que cualquiera puede hacerlo.»
Mientras los atacantes pueden reprogramar el firmware USB, los ataques como éste serán una amenaza seria. La única manera de solucionar la vulnerabilidad es una nueva capa de seguridad alrededor de firmware, pero eso significaría una actualización completa con el estándar USB en sí, lo que significa años de inseguridad. Sin embargo, si la industria responde, estamos propensos a vivir con él por un largo, largo tiempo.
