Lenovo, chiavetta USB senza cifratura: Codex trova altre falle

🛡️ Executive Summary

• Il ricercatore Xusheng Li ha scoperto che la chiavetta Lenovo ThinkPlus FU100, commercializzata come dispositivo cifrato, conteneva una scheda di memoria con dati leggibili senza decifrazione.
• Lenovo ha riconosciuto tre vulnerabilità associate ai dispositivi ThinkPlus, pubblicando l’advisory LEN-210545 e offrendo un intervento correttivo sui prodotti interessati.
• Una successiva ricerca assistita da OpenAI Codex ha individuato chiavi crittografiche incorporate nel software, controlli password aggirabili e account predefiniti in prodotti Netac, KakaSoft, Nexcopy e SecZure.

Una chiavetta USB venduta come protetta da crittografia AES-256 può contenere file completamente leggibili, anche senza conoscere la password o possedere l’impronta digitale autorizzata. È quanto emerge dalle ricerche di Xusheng Li, ingegnere di Vector 35, che ha analizzato diversi dispositivi di archiviazione e software commercializzati come soluzioni per proteggere dati riservati. Il caso più significativo riguarda Lenovo ThinkPlus FU100, all’interno della quale il ricercatore ha trovato una normale scheda di memoria priva della cifratura promessa. Lenovo ha successivamente riconosciuto il problema attraverso un bollettino di sicurezza. Un’indagine distinta, pubblicata il 22 ottobre 2026, mostra inoltre come OpenAI Codex, collegato agli strumenti di reverse engineering di Binary Ninja, abbia individuato in pochi minuti altri errori crittografici in prodotti differenti.

Lenovo ThinkPlus FU100: l’impronta digitale protegge la connessione, non i file

La prima scoperta risale alle verifiche svolte da Li nel 2025 e illustrate alla conferenza RE//verse del marzo 2026. Smontando una chiavetta ThinkPlus FU100, il ricercatore ha individuato una scheda di memoria accessibile fisicamente, sulla quale i file risultavano conservati senza cifratura. Il lettore di impronte digitali non proteggeva direttamente il contenuto mediante una chiave crittografica: il suo compito era stabilire se il dispositivo potesse attivare la comunicazione USB con il computer. Il controllo poteva dunque impedire l’accesso attraverso l’interfaccia prevista dal produttore, ma non rendeva il contenuto illeggibile a chi riusciva ad accedere direttamente al supporto di memoria. È una differenza fondamentale rispetto alla crittografia reale, nella quale i dati memorizzati rimangono incomprensibili senza la chiave necessaria alla decifrazione. La presenza di un lettore biometrico, di una schermata per la password o di una confezione che promette protezione hardware non costituisce di per sé una dimostrazione dell’effettiva cifratura dei file.

Lenovo conferma tre CVE e offre interventi correttivi

Il riconoscimento ufficiale del produttore è contenuto nell’advisory Lenovo LEN-210545, pubblicato nel gennaio 2026. Il bollettino identifica CVE-2025-13453, associata alla possibilità che un soggetto con accesso fisico legga informazioni memorizzate sui dispositivi interessati; CVE-2025-13454, relativa all’esposizione di informazioni sensibili attraverso il software di configurazione; e CVE-2025-13455, riguardante l’aggiramento dell’autenticazione e la registrazione di un’impronta digitale non autorizzata da parte di un utente locale autenticato. L’avviso comprende ThinkPlus FU100, FU200, TU800 e TSD303, ma le tre vulnerabilità non devono essere interpretate come identiche su ogni modello. Lenovo classifica il problema complessivo come di gravità elevata e dichiara di avere predisposto una soluzione a livello hardware. Gli utenti interessati possono richiedere un intervento gratuito al servizio di assistenza cinese, che verifica il numero di serie e indica se procedere con una sostituzione oppure un aggiornamento del dispositivo. Prima dell’invio il produttore raccomanda di eseguire il backup e cancellare i dati presenti sull’unità. Il bollettino ringrazia esplicitamente Xusheng Li per la segnalazione.

Leggi anche: Linux: webcam Lenovo permettono attacchi BadUSB remoti

Codex trova la chiave AES-256 fissa di NetacFileLock in sette minuti

L’indagine successiva è documentata nell’analisi originale pubblicata da Xusheng Li su Binary Ninja. Il ricercatore ha collegato OpenAI Codex agli strumenti di analisi dei programmi compilati attraverso Model Context Protocol, chiedendo all’agente di esaminare il sistema crittografico di NetacFileLock. Secondo il resoconto, Codex ha individuato in circa sette minuti una chiave AES-256 di 32 byte incorporata direttamente nell’eseguibile. La password inserita dall’utente veniva controllata separatamente, senza partecipare alla generazione della chiave necessaria per decifrare i file. Il programma poteva quindi utilizzare un algoritmo crittografico riconosciuto senza offrire la protezione che l’utente si aspettava. L’analisi ha inoltre individuato password registrate nei log diagnostici, verifiche basate su MD5, una modalità di cifratura dei blocchi che produceva comportamenti riconducibili a ECB e un’opzione SM4 basata su un’altra chiave fissa. Nella modalità rapida, determinati file superiori a 1.024 byte venivano cifrati soltanto parzialmente. Codex non ha spezzato AES-256: ha individuato un’implementazione nella quale la chiave era già presente nel software distribuito agli utenti.

SecZure, KakaSoft e Nexcopy: tre meccanismi differenti per aggirare la protezione

La ricerca prosegue con altri prodotti che promettono di impedire la lettura o la copia di documenti distribuiti su supporti USB. Nel software YutianDun di SecZure, Li ha individuato account incorporati nel programma che consentivano di recuperare il materiale necessario a derivare la chiave di cifratura senza utilizzare la password dell’amministratore. Il ricercatore considera questo meccanismo una backdoor dal punto di vista tecnico, precisando che la scoperta non dimostra un’intenzione malevola del produttore. KakaSoft USB Copy Protection 5.6.0.299 presenta invece modalità di protezione differenti: quella normale non cifra i file, quella intermedia altera soltanto una parte iniziale del contenuto e quella più avanzata utilizza Blowfish con un meccanismo di derivazione che il ricercatore è riuscito a ricostruire. Nel caso di Nexcopy Copy Secure, l’analisi ha individuato un valore incorporato nel programma di visualizzazione capace di aprire una configurazione contenente informazioni crittografiche essenziali. I risultati riguardano le versioni e le configurazioni effettivamente esaminate, non tutti i prodotti dei rispettivi marchi.

L’intelligenza artificiale accelera il reverse engineering, ma la responsabilità resta umana

La componente più significativa dell’esperimento è la velocità con cui Codex ha eseguito attività che normalmente richiedono analisi manuali approfondite. Li ha selezionato i prodotti, preparato gli ambienti di prova, fornito i file protetti e verificato i risultati. L’agente ha contribuito a identificare funzioni crittografiche, tracciare chiavi e ricostruire il comportamento degli eseguibili attraverso Binary Ninja. Non si tratta quindi della scoperta indipendente di una campagna di attacco, ma di una ricerca condotta da un esperto che ha utilizzato l’AI per accelerare il lavoro tecnico. Il caso conferma quanto il reverse engineering assistito da modelli linguistici possa ridurre i tempi necessari a riconoscere errori progettuali, ma ricorda anche che risultati e responsabilità richiedono verifica umana. È una dinamica diversa dalle campagne che sfruttano istruzioni malevole per manipolare Codex e Claude Code, nelle quali il rischio riguarda il controllo dell’agente da parte di un attaccante.

Continua con: Vulnerabilità informatiche: guida a CVE, exploit, zero-day e difesa

Come proteggere i dati quando la cifratura promessa non è verificabile

Per aziende e professionisti il problema non consiste nel rifiutare qualsiasi chiavetta protetta da impronta digitale, ma nel distinguere autenticazione, controllo degli accessi e cifratura effettiva dei dati. Un dispositivo può verificare correttamente un’impronta e contemporaneamente conservare i file in una forma leggibile quando viene aggirato il normale percorso di accesso. Una soluzione più robusta deve proteggere il materiale crittografico, evitare segreti incorporati nel software e assicurare che la chiave non possa essere recuperata semplicemente analizzando l’eseguibile. Quando la riservatezza è essenziale, strumenti di cifratura indipendenti come VeraCrypt, BitLocker To Go o GnuPG, correttamente configurati e aggiornati, possono aggiungere una protezione distinta da quella pubblicizzata dal supporto USB. Chi possiede uno dei modelli ThinkPlus indicati nell’advisory deve verificare l’intervento previsto da Lenovo; la sola modifica della password non risolve necessariamente un difetto di cifratura hardware. Il caso dimostra che la sicurezza non può essere valutata attraverso le etichette commerciali: conta dove si trova la chiave, come viene generata e se i dati rimangono protetti anche quando il controllo di accesso viene aggirato.