Cuidado con el cable Lightning que conectas a tu ordenador Apple

En la pasada DEFCON 2019, un investigador llamado Mike Grove, demostró que los cables USB, incluso aquellos que son idénticos a los Lightning, pueden poner en riesgo tu dispositivo. Algunos de ellos incluso se vendieron durante la conferencia, pero ahora una tienda de dispositivos para la ciberseguridad online llamada Hak5 también los vende para todo el mundo. Eso sí, no son baratos, el precio ronda los 100$. Vamos a ver un poco más en profundidad el peligro de estos cables “fake” (aunque hacen su función).

Estos cables son exactamente iguales que los cables Lightning originales que vienen con un iPhone o un iPad. La diferencia es que este cable tiene “embebido” un punto de acceso inalámbrico dentro del conector USB además de otras características como permitir payloads en el arranque o incluso borrar la firmware del mismo cable para volverse totalmente inofensivo y así borrar huellas. En el momento que el cable se conecta al ordenador (para acceder al iPhone o cargarlo, por ejemplo), puede ser activado de forma remota para intentar robar las credenciales del usuario o incluso instalar malware.

Figura 1. Anuncio de venta del cable O.MG. Fuente.

Cables de este tipo llevan existiendo desde hace bastantes años y hemos hablado incluso alguna vez en este blog (mira este ejemplo de 2015). De hecho, la misma NSA fabricó un cable bastante parecido a este el cual llamó CottonMouth para permitir instalar software a través del mismo. Pero Mike no ha necesitado los recursos de la NSA, de hecho lo fabricó en su cocina como un proyecto personal abriendo el conector e instalando el hardware necesario (el cual no es difícil de encontrar). Antes de fabricar este cable Lightning ya estuvo probando modificando los cargadores USB-C de los portátiles Apple. 

Figura 2. Detalle del “implante” dentro de la carcasa del conector USB. Fuente.

Como siempre se dice en estos casos, este cable está destinado a investigadores de ciberseguridad o equipos de Red Team. Según MG, Mike Grove, el cual lo ha bautizado como O.MG, al vender el cable en tiendas online permitirá que todo el mundo se tome en serio este problema y de esa forma encontrar una posible solución para proteger los equipos ante este problema. Así que a partir de ahora, conectar un cable del cual no estemos seguros que está totalmente verificado, puede ser un riesgo más de seguridad. Por cierto, si ya estabas pensando en comprarlo, tendrás que esperar un poco porque está “sold out“.