Een groep cyberspionnen die bij allerlei verschillende organisaties wist in te breken zou al negen jaar lang USB-malware inzetten om vertrouwelijke gegevens van computers te stelen die niet met internet verbonden zijn. USBStealer, zoals de malware door het Slowaakse anti-virusbedrijf ESET wordt genoemd, zou al sinds 2005 in gebruik zijn en nog steeds worden gebruikt.

Op een al besmette computer wacht USBStealer totdat er een USB-stick wordt aangesloten en plaatst daar vervolgens een Autorun-bestand op dat de malware op andere computers kan installeren. Vroeger zorgde Autorun ervoor dat programma's op bijvoorbeeld USB-sticks automatisch werden gestart zodra de USB-stick werd aangesloten. Vanwege de grote hoeveelheid malware die hier misbruik van maakte besloot Microsoft maatregelen te nemen.

Zo staat Autorun standaard voor USB-apparaten op Windows 7 en nieuwere versies uitgeschakeld. In 2009 publiceerde Microsoft een update die deze maatregel op Windows XP en Vista doorvoerde. De update werd begin 2011 automatisch onder Windowsgebruikers verspreid. Volgens ESET komt het echter regelmatig voor dat systemen die offline zijn, juist doordat ze niet op internet zijn aangesloten, belangrijke beveiligingsupdates missen.

Aanval

In het geval Autorun op een systeem staat ingeschakeld kan de malware de tweede computer infecteren wanneer de USB-stick wordt aangesloten. USBStealer verzamelt nu allerlei informatie, waaronder computernaam en eventueel aanwezige encryptiesleutels op het systeem om die later te stelen. Zodra de USB-stick weer op de eerste computer wordt aangesloten die wel met het internet verbonden is stuurt de malware de naam van de tweede computer naar de aanvallers. Hierop krijgt de malware nieuwe instructies.

Zodra de USB-stick voor de tweede keer op computer twee wordt aangesloten kopieert USBStealer alle verzamelde informatie. Die gegevens worden naar de aanvallers gestuurd zodra de USB-stick voor de derde keer verbinding met de eerste computer maakt. Hoewel de werking van USBStealer uitgebreid door ESET wordt beschreven is onbekend hoe de malware in eerste instantie een computer weer te infecteren. Mogelijk hebben de aanvallers hiervoor een spear phishingaanval gebruikt, maar dit is vooralsnog speculatie.