По данным компьютерной томографии, кабели USB-C могут содержать кучу скрытого вредоносного «железа»

Простой поисковый запрос показывает, что на любом из популярных онлайн-маркетплейсов можно найти широкий выбор кабелей USB-C в широчайшем ценовом диапазоне. Цена, как правило, зависит от таких параметров кабеля, как длина, качество сборки, поддержка тех или иных спецификаций USB-C и бренд производителя. И вот, оказывается, самый обычный с виду кабель может представлять собой сущий кошмар с точки зрения безопасности.

Хотя USB-C, возможно, является наиболее универсальным интерфейсом для цифровых устройств, но если копнуть глубже, обнаруживается, что с этим повсеместно используемым стандартом не все так просто. Его основная идея – использовать один и тот же кабель для передачи аудио, видео и других данных, а также для зарядки устройств.

Однако спецификации кабелей не всегда одинаковы, более того – из информации на упаковке не всегда понятно, какие возможности у этого кабеля. А кроме того, кабели USB-C могут содержать потенциально вредоносные электронные компоненты, подвергающие риску безопасность вашего устройства.

На первый взгляд, все кабели USB-C практически одинаковы. Однако некоторые из них содержат внутри активные электронные компоненты. С помощью промышленного томографа Lumafield Neptune Industrial X-Ray CT Scanner мы можем посмотреть на внутреннее устройство кабелей USB; возьмем для примера кабель Apple Thunderbolt 4 USB-C за сто с лишним долларов и кабель Amazon Basics, который примерно в 10 раз дешевле. Видно, что первый устроен намного сложнее, тогда как у второго задействуются даже не все контакты коннектора USB-C (см. рисунок ниже).

Не так давно в Lumafield провели исследование кабеля USB-C O.MG. Это еще один пример обычного с виду коннектора USB-C, который внутри начинен хитроумной электроникой. Однако кабель O.MG – это нишевый продукт, разработанный известным хакером Майком Гровером (Mike Grover) и предназначенный для исследований в области информационной безопасности, в том числе в целях повышения сознательности пользователей в части знаний о потенциально вредоносных аппаратных компонентах, встречающихся, вообще говоря, где угодно.

Джон Брунер (John Bruner) из Lumafield говорит, что многие люди, которые видели эти снимки, были серьезно обеспокоены тем, что внешне самый заурядный USB коннектор может запросто содержать встроенное оборудование, которое может инжектировать вредоносные коды, вводить логины и похищать персональные данные.

«Это выглядит как обычный коннектор USB-C, но когда мы сделали КТ, то увидели внутри гаджеты, не предвещающие ничего хорошего… pic.twitter.com/Q1RfpnS0Sp»
– Джон Брунер (@JonBruner) 4 декабря 2024 г.

Обратите внимание, кабель O.MG сконструирован очень искусно, так что эти встроенные компоненты легко не заметить, используя стандартные методы технического контроля. На простом двумерном снимке X-ray сразу видны антенна и микроконтроллер, но если сделать снимок 3D и поиграться с параметрами визуализации, выявляется также второй эшелон проводов, идущих ко второму чипу, который сидит поверх микроконтроллера (см. рисунок ниже).

Брунер считает, что компьютерная томография становится важным инструментом контроля целостности аппаратного обеспечения устройств в процессе производства, что позволит превентивно исключить возможность причинения вреда конечным пользователям, компаниям и социальной инфраструктуре. Не выявленные своевременно нарушения в цепи поставок могут привести к серьезным последствиям, как показал недавний пример взрывающихся пейджеров, которые были использованы в Ливане для атаки на лидеров Хезболлы.

К счастью, обычные пользователи могут не беспокоиться по поводу возможного взрыва кабеля USB, так как продукты типа кабеля O.MG обычно слишком дороги для массового потребителя (вдвое дороже кабеля Apple). И даже кабель EvilCrow Wind, наиболее бюджетная альтернатива O.MG с мощной SoC-микросхемой ESP32-S3 с Wi-Fi и Bluetooth, стоит более 60 долларов.

Тем не менее, Брунер рекомендует использовать только сертифицированные кабели USB-C и по возможности избегать USB-портов для зарядки устройств в общественных местах.