Juice jacking
# Juice jacking

Juice jacking es un tipo de ciberataque que involucra un puerto de carga que se duplica como una conexión de datos, normalmente a través de USB. A menudo implica la instalación de malware o la copia subrepticia de datos sensibles de un teléfono inteligente, una tableta u otro dispositivo informático.

## Investigación publicada

El Muro de las Ovejas, un evento en Defcon ha instalado y permitido el acceso del público a un quiosco informativo de juice jacking cada año en DefCon desde 2011. Su intención es dar a conocer este ataque al público en general. Cada uno de los quioscos informativos de juice jacking instalados en el Muro de las Ovejas ha incluido una CPU oculta que se utiliza de alguna manera para notificar al usuario que no debe enchufar sus dispositivos en quioscos de carga públicos. El primer quiosco de información sobre el consumo de zumo incluía una pantalla que cambiaba de "Estación de carga gratuita" a un mensaje de advertencia de que el usuario "no debe confiar sus dispositivos a las estaciones de carga públicas". Uno de los investigadores que diseñó la estación de carga del Muro de las Ovejas ha hecho presentaciones públicas en las que se muestran más actos maliciosos que podrían realizarse a través del quiosco, como el robo de datos, el rastreo de dispositivos e información sobre cómo comprometer los quioscos de carga existentes.

El investigador de seguridad Kyle Osborn publicó en 2012 un marco de ataque llamado P2P-ADB que utilizaba USB On-The-Go para conectar el teléfono de un atacante al dispositivo de una víctima. Este marco incluía ejemplos y pruebas de concepto que permitían a los atacantes desbloquear teléfonos bloqueados y robar datos de un teléfono, incluidas las claves de autenticación que permitían al atacante acceder a la cuenta de Google del propietario del dispositivo objetivo.

Investigadores de seguridad graduados y estudiantes del Instituto Tecnológico de Georgia (Georgia Tech) dieron a conocer una prueba de concepto de herramienta maliciosa "Mactans" que utilizaba el puerto de carga USB de los dispositivos móviles de Apple en las reuniones informativas de seguridad de Blackhat USA de 2013. Utilizaron componentes de hardware baratos para construir un cargador de pared malicioso de pequeño tamaño que podía infectar un iPhone con la versión actual de iOS con software malicioso mientras se cargaba. El software podía burlar cualquier medida de seguridad incorporada en iOS y enmascararse de la misma manera que Apple enmascara los procesos en segundo plano en iOS.

Los investigadores de seguridad Karsten Nohl y Jakob Lell de SRLabs publicaron su investigación sobre BadUSB durante las sesiones informativas de seguridad de Blackhat USA de 2014. En su presentación sobre este ataque mencionan que un dispositivo móvil o tableta que se cargue en un ordenador infectado sería uno de los métodos más sencillos de propagar la vulnerabilidad BadUSB. Incluyen un ejemplo de código de firmware malicioso que infectaría los dispositivos Android con BadUSB.

Los investigadores de Aries Security y Wall of Sheep volvieron a analizar el concepto de juice jacking en 2016. Crearon una estación de carga "Video Jacking" que era capaz de grabar la pantalla reflejada de los teléfonos enchufados en su estación de carga maliciosa. Los dispositivos afectados en ese momento incluían dispositivos Android que soportaban los protocolos SlimPort o MHL sobre USB, así como los iPhone más recientes que utilizaban un conector de cable de carga Lightning.

Investigadores de Symantec revelaron sus hallazgos sobre un ataque que bautizaron como "Trustjacking" durante la Conferencia RSA de 2018. Los investigadores identificaron que cuando un usuario aprueba el acceso para un ordenador en un dispositivo iOS a través de USB, que este nivel de acceso de confianza también se aplica a la API de iTunes de los dispositivos que es accesible a través de wifi. Esto permitiría a los atacantes acceder a un dispositivo iOS incluso después de que el usuario haya desconectado el dispositivo de una fuente de carga maliciosa o infectada basada en USB.

Un investigador que se hace llamar _MG_ lanzó un implante de cable USB que apodó "Cable O.MG". El cable O.MG tiene un microcontrolador incrustado dentro del propio cable, una inspección visual probablemente no detectaría una diferencia entre el cable O.MG y un cable de carga normal. El cable O.MG permite a los atacantes o a los probadores de penetración del equipo rojo emitir comandos remotamente al cable a través de wifi, y hacer que esos comandos se ejecuten en el ordenador anfitrión con el cable O.MG conectado a él.

## Advertencias públicas y cultura popular

Brian Krebs fue el primero en informar sobre este ataque y acuñar el término "juice jacking". Tras ver el quiosco informativo de carga de teléfonos móviles instalado en el Muro de las Ovejas en la DefCon 19 en agosto de 2011, escribió el primer artículo en su sitio de periodismo de seguridad Krebs on Security. Los investigadores del Muro de las Ovejas -entre los que se encuentran Brian Markus, Joseph Mlodzianowski y Robert Rowley- diseñaron el quiosco como una herramienta informativa para dar a conocer el potencial vector de ataque, y han discutido, pero no han hecho públicas, las herramientas que realizan acciones maliciosas en los dispositivos de carga.

Un episodio de la serie de hacking Hak5, publicado en septiembre de 2012, mostró una serie de ataques que se pueden realizar utilizando un marco de ataque llamado P2P-ADB, publicado por Kyle Osborn. El marco de ataque P2P-ADB discutido utiliza un teléfono para atacar a otro teléfono a través de una conexión USB On-the-Go.

A finales de 2012, la NSA publicó un documento en el que se advertía a los empleados del gobierno que viajaban sobre la amenaza del juice jacking. El documento recordaba a los lectores que solo debían utilizar sus cables de carga personales durante los viajes al extranjero, que no debían cargar en quioscos públicos y que no debían utilizar los ordenadores de otras personas para cargarlos.

El Android Hackers Handbook publicado en marzo de 2014 tiene secciones dedicadas a discutir tanto el juice jacking como el framework ADB-P2P.

El robo de jugo fue el tema central de un episodio de CSI: Cyber. Temporada 1: Episodio 9, "L0M1S" emitido en abril de 2015.

En noviembre de 2019, el fiscal adjunto de Los Ángeles emitió un anuncio de servicio público en el que advertía de los riesgos del robo de zumos durante la próxima temporada de viajes navideños. Esta PSA se sometió a escrutinio debido a que no ha salido a la luz ningún caso público relacionado con quioscos de carga maliciosos encontrados en la vía pública ni ningún caso penal que se esté juzgando en el ámbito de la Fiscalía de Los Ángeles en el momento de la PSA.

## Mitigación

El iOS de Apple ha tomado múltiples medidas de seguridad para reducir la superficie de ataque a través de USB, incluyendo el no permitir que el dispositivo se monte automáticamente como un disco duro cuando se conecta a través de USB, así como el lanzamiento de parches de seguridad para vulnerabilidades como las explotadas por Mactans.

Los dispositivos Android suelen preguntar al usuario antes de permitir que el dispositivo se monte como un disco duro cuando se conecta a través de USB. Desde la versión 4.2.2, Android ha implementado un paso de verificación de la lista blanca para evitar que los atacantes accedan al Android Debug Bridge sin autorización.

El "juice jacking" no es posible si un dispositivo se carga a través del adaptador de corriente alterna que viene con el dispositivo, un dispositivo de respaldo de batería, o mediante la utilización de un cable USB con sólo cables de alimentación y sin cables de datos presentes. Una herramienta originalmente llamada USB Condom fue lanzada en 2012 con el único propósito de no permitir el paso de conexiones de datos a través de un cable USB, hay muchos vendedores que ahora venden adaptadores USB que eliminan los pines de datos.

