Em novembro de 2016, o pesquisador de segurança Samy Kamkar lançou o PoisonTap: software gratuito em um Raspberry Pi Zero de US$ 5 que, conectado a um Mac ou PC bloqueado por cerca de 30 segundos, intercepta o tráfego web e os cookies de autenticação da máquina e, em seguida, instala um backdoor que mantém o navegador e a rede local controláveis remotamente depois que o dispositivo é removido. "A motivação principal é demonstrar que, mesmo em um computador protegido por senha rodando em uma rede Wi-Fi WPA2, seu sistema e sua rede ainda podem ser atacados de forma rápida e fácil", disse ele à Ars.
A cadeia usa apenas conveniências padrão. O Pi se passa por uma placa Ethernet e, distribuindo endereços via DHCP, torna-se o gateway; ao definir a rede local como todo o espaço IPv4, ele também se torna o gateway de todo o tráfego de internet. Ele encontra um navegador em segundo plano e injeta iframes ocultos apontando para os um milhão de sites mais acessados da Alexa e — mascarando-se como o servidor HTTP de cada site — coleta os cookies que retornam. Código plantado no cache mantém um WebSocket persistente ativo depois que o pendrive é removido; um ataque de DNS rebinding dá alcance administrativo ao roteador conectado.
As defesas que o artigo lista são estruturais, não comportamentais. HSTS e cookies devidamente protegidos derrotam a colheita de cookies — razão pela qual as páginas do Google e do Facebook não puderam ser acionadas —, enquanto a autenticação multifator pouco ajuda, porque não é reacionada por logins baseados em cookies. Usuários finais podem fechar os navegadores antes de bloquear a tela, ativar o FileVault2 e suspender um Mac, ou limpar os caches; o hábito mais seguro é simplesmente levar a máquina consigo.
O PoisonTap continuou a linha de hacks baratos e publicados de Kamkar: um carregador USB de US$ 10 que captura teclas digitadas, um dispositivo de US$ 30 que abre carros e garagens com trava eletrônica, um aplicativo de perseguição faça-você-mesmo construído sobre o Google Street View. Ele liberou o código-fonte e um vídeo de demonstração, e a Ars Technica enquadrou o padrão como um alerta permanente sobre os tradeoffs de segurança de um mundo cada vez mais informatizado.
Uma tela bloqueada protege o prompt de login, não a pilha de rede: finja ser o gateway Ethernet USB, chame toda a internet IPv4 de "local" e os cookies vêm até você.
Não precisa de zero-days: rede USB, DHCP, faixas "locais" permissivas e persistência de cache são todas conveniências comuns, simplesmente encadeadas na ordem certa.
Ele deslocou a fronteira de confiança: o prompt de login nunca foi a superfície de ataque real — a pilha de rede e o navegador em segundo plano eram.
Por US$ 5, democratizou um ataque que parecia fantasia de ator estatal, deslocando o argumento de defesa dos hábitos do usuário para garantias no nível do protocolo.
Uma vez que o hardware é tocado, a força da senha é irrelevante. Coloque a garantia na camada de protocolo — HSTS, cookies Secure —, porque regras comportamentais como "bloqueie sua tela" falham contra um dispositivo de US$ 5.
Kamkar publicou o código-fonte completo e um vídeo de demonstração, tornando a cadeia reproduzível por qualquer pessoa com uma placa de US$ 5. O artigo observou que o exploit já falhava contra sites que executavam corretamente HSTS e cookies Secure — entre eles Google e Facebook —, um retrato do setor em plena transição para padrões HTTPS em toda parte. Seu conselho prático terminava com a opção verdadeiramente paranoica: leve o laptop com você, ou desligue a máquina de vez.
CONFIRA AS EVIDÊNCIAS
As fontes
- Meet PoisonTap, the $5 tool that ransacks password-protected computers Ars Technica · arstechnica.com ·