VMF 214 – le blog

On ne le dira jamais assez, surtout lorsque l’on travaille dans le monde de la défense et de la sécurité, une clé USB, c’est une arme qui peut se retourner contre vous. L’utilisation la plus classique, c’est l’injection d’un virus ou d’un cheval de Troie par une clé (typiquement une clé publicitaire), ou l’aspiration de la totalité du contenu d’un PC en quelques secondes. C’est d’ailleurs la raison pour laquelle il ne faut jamais récupérer des clés USB promotionnelles sur un salon professionnel, en particulier un salon de défense (si vous saviez le nombre de commerciaux de grands groupes de défense que j’ai vu faire le contraire…). N’oubliez pas que le contenu de la clé peut être intégralement et silencieusement copié sur l’ordinateur sans que vous ne vous en rendiez compte.

Il suffit ensuite d’exécuter automatiquement un code malicieux, capable de siphonner le contenu du PC, de récupérer la frappe du clavier, etc… Je vous conseille d’ailleurs les documents mis en ligne par l’ANSSI, et en particulier ce petit guide des bonnes pratiques…

En 2014, deux chercheurs, Karsten Nohl and Jakob Lell ont montré que l’on pouvait aller plus loin, en insérant un malware appelé BadUSB directement dans le code de fonctionnement des clés USB permettant l’échange de fichiers entre la clé USB et un ordinateur. Comme ils l’ont expliqué à la Black Hat conférence : «Vous pouvez la donner à des spécialistes de la sécurité informatique; ils la scanneront, supprimeront quelques fichiers, et vous la rendront en vous disant qu’elle est « propre ».»

Mais ici, le concept va carrément plus loin puisqu’il s’agit carrément de tout détruire. Voici l’USB Killer (oui, c’est son nom). Au départ, il s’agissait d’un petit bricolage à faire soi-même ; aujourd’hui, c’est un produit vendu en ligne, pour un peu moins de 50 Euros. Et son concept est simple : détruire tout engin électronique possédant un port USB dans lequel il est inséré. Et détruire physiquement et définitivement !

Le principe est assez simple : dès que la clé est insérée, un convertisseur DC-DC commence à récupérer du courant depuis l’hôte, et stocke l’électricité dans une série de condensateurs placés à l’intérieur de la clé. Lorsque la différence de potentiel atteint -220V, le système se décharge d’un coup dans le port USB… et grille donc la carte. Sachant que la bestiole est vicieuse : si l’engin fonctionne encore, le cycle recommence jusqu’à la mort. Regardez donc la vidéo suivante et frissonnez…

Sachez que pour 13,95 EUR supplémentaires, vous pouvez également tester votre USB killer, tout en protégeant votre machine (on croit rêver). En gros, le business model est aussi de vendre l’antidote alors que l’on a soi-même diffusé le poison. Un classique.

Ne pensez pas que je fasse de la publicité pour un dispositif confidentiel : pour trouver le site qui vend l’USB Killer sur Internet, cela ne prend que quelques secondes, dans le noir et les yeux bandés. En gros, c’est le premier résultat que les moteurs de recherche donnent. Bon, le truc est fabriqué à Hong Kong, mais les concepteurs assurent qu’il est compatible avec les normes CE ( !).

Deux parades possibles, outre ne jamais laisser vos appareils sans surveillance ou de bloquer physiquement les ports USB: l’utilisation d’un opto-isolateur sur la carte (pas évident), ou l’utilisation d’un système d’authentification USB Type C, permettant à l’hôte de confirmer l’authenticité d’un appareil USB avant que ce ne soit trop tard.

Mais si le risque est réel de vous faire griller votre PC portable, MacBook (voir vidéo ci-dessous) ou téléphone, un autre risque, bien plus important celui-là, doit être mesuré et surtout anticipé.

Car des ports USB, on en trouve aussi sur des voitures de dernière génération, dans les avions,  et sur une grande variété de systèmes de contrôle industriel de type SCADA, comme ceux utilisés par exemple dans le nucléaire. Encore une fois, je ne trahis aucun secret, il s’agit simplement d’identifier les risques réels ; selon le fabricant de l’USB Killer, 95% des appareils compatibles USB dans le monde seraient vulnérables à un tel dispositif. Il est d’ailleurs saisissant de voir que parmi les clients de la société USB Kill on trouve Nokia, Cisco ou encore Panasonic ! Ce doit être uniquement parce que la société présente son engin comme un dispositif de test. Oui, sûrement…