Condenado aquele que não vigiar de perto suas portas USB, porque uma simples conexão pode se transformar em puro caos. A primeira vez que falamos sobre BadUSB foi em agosto de 2014, e depois soubemos de sua liberação ao público. Agora chega a vez do MalDuino, que em essência é BadUSB sobre hardware open source. Uma vez conectado, o MalDuino se comporta como um teclado virtual que começa a injetar texto. Que tipo de texto? Bem... isso depende de você.
O Rubber Ducky e o BadUSB
Na série Mr. Robot, um dos personagens hackeia um terminal utilizando o famoso acessório Rubber Ducky. Com o script adequado, o Rubber Ducky pode extrair da memória todas as senhas cleartext em menos de vinte segundos. O episódio deixou vários detalhes técnicos em aberto, como por exemplo se o computador estava bloqueado ou não (se estivesse, exigiria um ataque adicional antes de entrar), mas se compararmos com horrores ao nível de CSI (em todas as versões), tratou-se de uma cena muito bem feita. O conceito do Rubber Ducky segue a rota do BadUSB, um dispositivo que se comporta de modo diferente do esperado. Uma vez que obtemos acesso físico ao computador, o céu é o limite... porém, antes precisamos de uma escada.
MalDuino: a escada
Essa escada pode ser o MalDuino, um pequeno acessório equipado com um ATmega32u4 que assume o papel de teclado e começa a injetar texto. Ao usar o ATmega32u4, o MalDuino se apresenta como uma versão compacta do Arduino Leonardo, e isso por sua vez habilita a programação com o IDE oficial.
Versões e preços
Haverá duas versões à venda. A primeira delas será a Lite, com um total de 30 kilobytes para armazenar scripts, um LED que indica o estado da execução (em progresso ou completa), e um interruptor que bloqueia os scripts enquanto programamos. A versão Elite se assemelhará ao Rubber Ducky, com uma ranhura de cartões microSD para guardar scripts mais complexos, e interruptores que permitem sua seleção ao voo.
De acordo com sua campanha no Indiegogo, o MalDuino Lite terá um custo de 19 euros com frete incluso para todo o mundo, e no caso do Elite será de 32 euros. Ainda assim, o projeto é open source, e qualquer um poderá reproduzir o hardware por conta própria se quiser... o que nos leva automaticamente à magia do hardware chinês e genérico. Hoje você pode comprar no eBay algo parecido por menos de seis dólares com frete grátis, desde que espere o Ano Novo Chinês terminar. O MalDuino já tem todo o financiamento necessário, e as primeiras entregas serão feitas em março.
