¿Sabías que existe una red P2P offline mediante dispositivos USB colocados por todo el mundo? ¿podrían contener malware?

'Dead Drops' es un proyecto que consiste en instalar dispositivos USB en espacios públicos para crear una red P2P con el fin de intercambiar archivos de forma totalmente anónima y offline. 

Fue una idea lanzada por el alemán Aram Bartholl en octubre de 2010, que instaló los 5 primeros en NYC. Hoy ya hay casi 1500 registrados en ciudades de todo el mundo con una capacidad total de casi 10000 GBs.

La instalación es sencilla. Se perfora por ejemplo una pared y se rellena el agujero con la memoria USB, colocando la parte de la llave hacia fuera. Se añade el archivo leeme.txt y el manifiesto, se edita la autoría, créditos y fecha y listo. Después se informa en la web www.deaddrops.com de su ubicación adjuntando fotos para que otros usuarios puedan encontrarla.

Sin embargo, el motivo de que hoy escriba este post es porque me ha llamado la atención un comentario en el blog de SANS en el que se hablaba de la posibilidad de que todas o alguna de estas unidades de almacenamiento tengan también algo "oscuro" a modo de keylogger, software de seguimiento, troyanos, etc.

Evidentemente en estos medios podremos encontrar cualquier cosa que haya puesto el anterior "inquilino" del medio usb (sí, también malware), aunque también podrían formatearse o realizar cualquier operación de re-escritura. La pregunta entonces es: ¿podría haber o instalarse posteriormente software malicioso persitente tipo BadUSB? 

Aunque improbable, *modo paranoia on* es posible. Por eso os invito a conectaros a alguno de estos dispositivos, analizarlo y comentar este post o el de SANS con vuestras impresiones. Por ejemplo, en Madrid y alrededores tengo algunos localizados (a falta de confirmar físicamente) que pienso husmear en cuanto pueda ;)

https://deaddrops.com/dead-drops/db-map/

Eso sí, ser siempre precavidos, usar sandboxes o máquinas virtuales (o físicas) dedicadas y escanear antes la unidad USB (USBVirusScan o similares) con estos Dead Drops y con todos los dispositivos USB en general. Avisados estáis.