badBIOS ¿hoax épico o inquietante amenaza real?

Básicamente badBIOS parece ser la madre de todos los malwares, un software malicioso que utiliza como vector de propagación las memorias USB, que infecta a nivel del firmware de su propio microcontrolador.

Según Dragos Ruiu, un conocido experto en seguridad informática (y esto es lo más desconcertante), creador del Pwn2OwnAdd y habitual en los encuentros que mantienen los geeks de este mundillo, este software malicioso se introduce profundamente en la BIOS tanto de PCs como Macs, impidiendo desde ese momento el arranque desde un CD e insertando una especie de rootkit en sistemas operativos diversos, que se instalen posteriormente por otros medios, tales como OS X, Windows, variantes de Linux e incluso FreeBSD. Aquí lo cuenta él mismo en un reciente comunicado.

Dragos afirma haber detectado este malware desconocido hace ya 3 años en su propio laboratorio y lleva desde entonces, como si de un extraño caso de posesión informático - diabólica se tratara, intentando averiguar qué demonios está pasando. Si hemos de hacer caso a sus afirmaciones la cosa parece sacada de una extraña combinación de peli de ciencia ficción, terror y consparanoia: equipos totalmente desconectados de la red que sin embargo transmiten datos (parecen emplear subrepticiamente altavoces y micrófonos para comunicarse utilizando señales de audio de alta frecuencia), actividad IPv6 en sistemas que tienen la pila de protocolos desactivada, una elevada capacidad de regeneración y resistencia a las herramientas forenses de análisis... Perturbador, ¿verdad?

Dragos Ruiu

Lo peor de todo es que algunas de las estrategias que supuestamente utiliza este malware no son disparatadas. Se han desarrollado numerosas pruebas de concepto que demuestran que la infección de elementos conectados al ordenador, por ejemplo controladoras ethernet o incluso dispositivos PCI genéricos, como vector de ataque es desgraciadamente una realidad. Por otro lado, la transmisión de datos digitales inaudibles modulados sobre una señal de audio monda y lironda como portadora también está más que probada, al fin y al cabo es algo similar a lo que hacían los módems que usábamos los más viejos del lugar allá por los lejanos 80.

Hasta un medio tan prestigioso como Ars Technica acaba de publicar un artículo al respecto que ha desatado ríos de tinta digital en la forma de cientos de comentarios recibidos en apenas unas horas, algunos de ellos, por cierto, muy interesantes.

Aunque, como decía antes, parece existir un trasfondo real en todo esto, no dejo de pensar en que también es evidente una cierta dosis de oportunidad. Dragos lleva supuestamente 3 años cazando fantasmas, y sin embargo es ahora, en plena debacle informativa debida a los escándalos que, día sí, día también salen a la luz como consecuencia del caso Snowden y que apuntan a conocidas agencias de seguridad y gobiernos como perpetradores de las mayores violaciones de privacidad de la historia, cuando el caso obtiene repercusión mediática. En todo este tiempo, además, no parecen haberse detectado apariciones de badBIOS "in the Wild" ni, al menos que yo sepa, otros expertos en seguridad han hablado del bicho en cuestión. Huele raro, la verdad.

Por otro lado, y teniendo en cuenta que técnicamente los vectores de infección y propagación descritos por Dragos son verosímiles, no dejo de pensar en qué clase de malware podría diseñar alguien con los conocimientos y los recursos, económicos y humanos, adecuados. Y todo lo que ha destapado Joseph Snowden hace pensar inequívocamente en agencias gubernamentales que actúan agazapadas más o menos en la sombra. No nos olvidemos por ejemplo de Stuxnet, el gusano utilizado para espiar ciertas infraestructuras críticas iraníes y que en su momento demostró una sofisticación sin parangón, empleando exploits de Windows desconocidos hasta el momento.

Quizás Dragos Ruiu simplemente busque notoriedad con este cuento de miedo hellowinesco, o tal vez sea alguien que en un momento de su vida haya perdido (parte de) su cordura y comenzado a ver y oír cosas. No lo sé... pero esta historia, contada justo ahora, a mi me resulta profundamente inquietante.

¿Qué pensáis vosotros?