Une faille de sécurité découverte sur les périphériques USB

Deux chercheurs Allemand ont mis en évidence une inquiétante faille de sécurité touchant la plupart des périphériques USB et, pour l’instant, impossible à corriger.

On le sait, les clés USB peuvent facilement devenir des vecteurs de malware mais il existe des parades pour cela, comme les anti-virus. Mais une nouvelle faille d’un autre type a été découverte. Elle touche non pas les données présente sur le périphérique USB, mais son firmware, c’est-à-dire le logiciel contenu dans sa puce et qui permet de le faire fonctionner.

Les deux chercheurs ont crée un code malicieux nommé « BadUSB » qui permet de reprogrammer ce firmware, car beaucoup de périphérique USB n’ont pas de protection contre cela. Ils ont ainsi pu faire croire à un ordinateur qu’une clé USB était un clavier et ont même pu émuler des frappes de touche sur celui-ci pour lancer des commandes comme l’installation de malware sur la machine ou un réglage DNS pour dévier du trafic.

Malheureusement les scanners ne peuvent pas détecter cette faille car ils n’ont pas accès aux firmware, ce qui la rend quasi-indétectable ! Un ordinateur infecté par ce malware pourra infecter tous les périphériques USB branchés dessus (imprimantes, webcam USB…), et une réinstallation de l’OS sera vaine si vous rebranchez un périphérique infecté ! D’après les chercheurs, il serait même possible d’infecter un ordinateur avant le démarrage de son OS avec un périphérique branché dessus, en modifiant son BIOS par exemple.

Les Smartphones Androïd particulièrement vulnérables

Les deux chercheurs ont fait une démonstration en branchant un Smartphone Androïd infecté au port USB d’un ordinateur. En le faisant passer pour une carte Ethernet, ils ont pu dévier l’ensemble des données d’une connexion internet et ainsi récupérer les mots de passe et autres données sensibles.

Les Smartphones sous Androïd serait la « plateforme d’attaque la plus simple » d’après les deux chercheurs. Cela représente un coup dur pour les systèmes d’identifications doubles des banques. Une fois infecté, le logiciel malveillant pourrait récupérer les données sensibles et même, en déguisant le clavier, récupérer le code de vérification !

L’universalité et la convivialité de la technologie USB en prend un coup ! Désormais, il est préférable de ne brancher que les périphériques USB dont on est certain de leurs provenances, et sur des machines elles aussi sures !