Os vencedores de um recente concurso de segurança de dados em Taiwan, como diz a expressão popular, “compraram gato por lebre”, recebendo como prêmio alguns dispositivos USB infectados com malware.

De acordo com o Criminal Investigation Bureau (CIB) do país, foram entregues 250 unidades USB para os membros do público que passaram em um teste que avaliou seus conhecimentos sobre cibersegurança, em um evento de segurança da informação realizado pelo escritório presidencial de Taiwan, entre os dias 11 e 15 de dezembro do ano passado. Os envolvidos sequer imaginavam que 54 dessas unidades de 8GB continham malwares.

A distribuição dos dispositivos USB foi cancelada em 12 de dezembro do ano passado, depois que alguns dos ganhadores relataram que seus prêmios despertaram o alerta de seus sistemas contra malware. Vinte unidades foram devolvidas, enquanto aparentemente o resto permaneceu em circulação.

O malware, chamado XtbSeDuA.exe, foi projetado para roubar informações pessoais de computadores de 32 bits. Quando executado, tentava copiar as informações para um endereço IP baseado na Polônia, que as direcionava para servidores não identificados, de acordo com o CIB. O programa malicioso é conhecido por ter sido usado por uma rede cibercriminosa descoberta pela Europol em 2015.

Segundo o CIB, a infecção se originou de uma estação de trabalho usada por um empregado de um contratante local "para transferir um sistema operacional às unidades e testar sua capacidade de armazenamento". Alguns desses dispositivos foram produzidos na China, mas a polícia descartou a possibilidade de espionagem, citando, em vez disso, como um acidente.

Os eventos de segurança não estão livres de uma distribuição similar de USB comprometida. A empresa australiana de telecomunicações, Telstra, distribuiu unidades USB infectadas com malware na conferência AusCERT, realizada na Austrália em 2008, antes da IBM fazer o mesmo, nesse mesmo evento, dois anos depois.

Em 2002, a IBM possuía um dispositivo USB contendo um vírus estranho do setor de inicialização. A empresa foi responsável por outro acidente que envolveu essas unidades no ano passado, desta vez transportando USB infectados com trojans junto com os sistemas de armazenamento Storwize da empresa.

Enquanto isso, uma pesquisa realizada em 2016 descobriu que a curiosidade tende a tirar o melhor proveito das pessoas quando se trata de unidades USB perdidas. Quase metade de um total de 300 estudantes universitários conectaram em suas máquinas alguns dispositivos que foram jogados pelo campus universitário alguns momentos antes, acessando os arquivos armazenados nos dispositivos.

Outro problema com os dispositivos USB é a facilidade de perda, como ocorreu no Reino Unido há dois anos atrás. Mais recentemente, uma memória não criptografada contendo informações confidenciais sobre o Aeroporto Heathrow de Londres foi encontrada na zona oeste de Londres.

Stuxnet é o melhor exemplo de quantos desastres um malware que anda em uma unidade USB pode causar. Esse worm resultou em grandes prejuízos às centrífugas na instalação nuclear de Natanz no Irã em 2008, e acredita-se que tenha sido introduzido por meio de um dispositivo USB. Em 2013, duas unidades de energia não identificadas nos Estados Unidos se depararam com infecções de malware, cortesia de unidades USB. Enquanto isso, em 2016, um computador e 18 dispositivos USB usados ​​por uma usina nuclear na Alemanha também foram identificados por conter malware.