¿Se puede usar un teléfono móvil comprometido para penetrar en un escritorio o servidor?

@schroeder lo ha clavado. Un dispositivo USB malicioso puede atacar su computadora de varias maneras: simulando ser un lector de CDROM que contiene un CD que tiene un archivo de ejecución automática; pretendiendo ser un teclado USB. Y siempre existe la posibilidad de una vulnerabilidad explotable en el software de su computadora, una vulnerabilidad explotable en el código del controlador USB.

Relacionado: le sugiero que eche un vistazo a juice jacking , que describe cómo conectar su dispositivo a un dispositivo USB no confiable puede comprometer su dispositivo.

Al combinar estos métodos, sería tecnológicamente factible que un gusano se propague de computadora a teléfono móvil, y así sucesivamente. Afortunadamente, no hemos visto que surja mucho en la práctica, pero podría hacerlo.

Sí

Cuando te conectas a USB, puedes hacer mucho. El enlace anterior trata sobre el uso de su teléfono como un teclado USB, lo que significa que puede ejecutar comandos, descargar y ejecutar software, etc.

Hay virus que se propagan a través de USB, en esencia, en Windows se trataba de problemas con una "función" de ejecución automática. En Linux se volverá un poco más difícil porque es posible que el teléfono no se monte automáticamente. Por lo tanto, podría ser posible en algunos sistemas y menos probable en otros. También ha habido otros ataques además de los virusses.

El problema es que, una vez que tiene acceso físico a un servidor (que necesita para conectar el teléfono), el hecho es que la seguridad es bastante baja. Confía en la seguridad física (guardias de seguridad, cerraduras, puertas ...) que las personas no solo pueden acceder a su equipo. Si tienen acceso físico, puede haber otros escenarios más factibles / peligrosos que conectar un teléfono.

El uso de dispositivos USB para propagar malware ya se ha demostrado como un vector de ataque muy viable. Consulte: enlace El artículo describe cómo se usó un ratón aparentemente inofensivo para infectar una PC.

Quería agregar que si tienes un teléfono con wifi y bluetooth, no necesitas conectarte a tu escritorio (si la red tiene un componente de wifi).

No creo que nadie esté pensando lo suficientemente amplio. Al usar las funciones que se ofrecen en muchos dispositivos móviles modernos, creo que un atacante si se controla, podría comprometer un host móvil (teléfonos inteligentes / tabletas) y usarlo para hacer una variedad de cosas como pivot, rouge-AP, análisis remoto de espectro de bluetooth / wifi. .. Probablemente podría hacer mucha explotación remota a través de la conexión 3g, y las tarjetas micro SD pueden contener 2tb (teóricamente), así que es realmente una cuestión de quién, cuándo, qué y dónde.

Si es una empresa o una empresa que necesita una política de datos más segura, le sugiero que haga un "check-in" para todos los dispositivos antes de ingresar a una estructura o área específica.

Confíe en mí cuando digo que los dispositivos móviles no se ven lo suficientemente pesados en seguridad corporativa. Lo mismo con cualquier dispositivo inalámbrico, como cámaras personales con chips inalámbricos de eye-fi o cualquier enrutador inalámbrico personal.

Las redes PAN / BAN son una amenaza real, ya que pueden acercarse lo más posible al objetivo con la menor cantidad de resistencia. ¿Cómo crees que se implementó stuxnet? (una unidad flash)

Espero que ayude; -0

Su teléfono definitivamente puede penetrar en su cliente grueso si existe alguna forma de conexión entre ellos. Ejemplos de esto, pero no limitados a:

• Conectar directamente el teléfono con el cliente, lo que permite que se propague como lo señaló @schroeder
• Aproveche el almacenamiento y la ejecución de archivos desde la carpeta de Dropbox
• Lance ataques contra dispositivos inalámbricos u otros dispositivos que lo rodean

En estos días en los que tiene el mismo sistema operativo en su teléfono, tableta y PC, puede estar seguro de que los nuevos tipos de malware no tendrán problemas para propagarse y explotar de un dispositivo a otro donde no es importante si se trata de un teléfono. o una PC.

En mi escuela, el departamento de Aseguramiento de la información creó esta toma de control USB completa con un teléfono con Android.

enlace

Georgia Tech ha desarrollado un exploit divertido: pueden tomar los datos del acelerómetro de una ubicación de teléfono junto al teclado de tu computadora y descubrir qué estás escribiendo solo por las vibraciones que pasan a través del escritorio.

enlace

InfoSec Island Artículo

InfoSec Island produjo un artículo extremadamente detallado que detalla un software específico que se puede usar para convertir un dispositivo rooteado basado en Android en una plataforma de Pen Testing / Hacking. Describen varias áreas que incluyen conectividad USB, explotaciones de Wi-Fi y acceso remoto. El enlace está arriba.