La manœuvre de la clé USB trouvée : de l'appât sur le parking à BadUSB et aux attaques par surtension
Une clé USB nue abandonnée sur un parking est l'un des plus anciens appâts de la sécurité informatique, et elle fonctionne toujours. En 2016, une équipe de Google et de l'University of Illinois Urbana-Champaign a mesuré exactement à quel point. Cet article retrace d'où vient la manœuvre de la clé trouvée, ce que l'expérience de terrain a réellement établi, ce que le matériel-piège moderne sait faire et quelles règles défensives tiennent bon.
Des vers de bureau aux sites isolés du réseau
Les malwares qui voyagent sur supports amovibles précèdent la conscience qu'en a la plupart des gens. Le virus Sality a été détecté pour la première fois en 2003, et les vers à raccourcis qui se copient sur les clés et attendent la victime suivante sont devenus un bruit de fond permanent. Les chercheurs de Kaspersky ont compté 113,8 millions de détections sur supports amovibles rien qu'en 2017, portées surtout par des familles de raccourcis LNK qui s'exécutent dès que l'utilisateur clique sur le fichier imité. La manœuvre a changé de dimension en 2010, quand Stuxnet a été découvert dans une usine d'enrichissement nucléaire sans connexion Internet ; les clés USB figuraient parmi les chemins qu'il a utilisés pour franchir la coupure. La faille LNK de Windows qu'il exploitait, CVE-2010-2568, a été corrigée en mars 2015, mais Securelist rapportait qu'elle figurait encore des années plus tard parmi les principales menaces à la racine des lecteurs. Des groupes sophistiqués comme Equation, Flame et Regin ont emprunté le même canal contre des réseaux isolés. C'est de cette époque que date la scène de la clé sur le parking, devenue une image fixe de la fiction, reprise à la télévision par des séries comme Mr. Robot en 2015.L'expérience des clés abandonnées
Dans l'article Users Really Do Plug in USB Drives They Find, présenté au IEEE Symposium on Security and Privacy 2016, Matthew Tischer et ses collègues de Google et de l'University of Illinois Urbana-Champaign ont dispersé 297 clés sur le campus. Les auteurs estiment que 45 à 98 % d'entre elles ont été branchées, selon l'état de chaque clé. Et ceux qui en trouvaient ne s'arrêtaient guère au branchement : le blog d'accompagnement de l'étude indique que 48 % des clés ont été connectées avec l'ouverture d'au moins un fichier. La première a été branchée en moins de six minutes. Un cinquième des connexions est survenu dans la première heure, la moitié en moins de sept. Ce sont les détails qui rendent l'étude inconfortable. Marquer les clés « examens » ou coller une adresse de retour n'a rien changé, pas plus que le lieu d'abandon : un parking a fonctionné aussi bien qu'un espace intérieur protégé. Interrogés sur leurs motifs, 68 % des trouveurs interrogés ont dit vouloir rendre la clé à son propriétaire, et 18 % seulement ont admis la curiosité. Les chercheurs n'ont relevé aucune différence notable entre les personnes qui branchent des clés et la population générale. Les fichiers étaient des pages HTML inoffensives avec une image de suivi, si bien chaque connexion a été comptée sans infecter personne.Appâts affinés : BadUSB, clés HID et jouets à surtension
Depuis 2014, l'appât lui-même s'est amélioré. À la Black Hat de cette année-là, Karsten Nohl et Jakob Lell, de SR Labs, ont démontré BadUSB : du code d'attaque caché dans le firmware du contrôleur du périphérique USB, où ni le reformatage ni l'antivirus ne vont le chercher. Un matériel reprogrammé peut se faire passer pour un clavier et taper ce qu'il veut dès l'insertion. Comme l'a déclaré Nohl à WIRED :"Ces problèmes ne peuvent pas être corrigés... Nous exploitons la façon même dont l'USB est conçue."Sa conclusion : la confiance ne peut venir que de la provenance ; les supports amovibles se traitent comme des aiguilles hypodermiques qu'on ne partage jamais. Les périphériques scriptables d'injection HID issus de ce courant de recherche se vendent aujourd'hui ouvertement comme outils de pentesting, ce qui abaisse la barrière pour quiconque veut une clé qui déclenche des frappes dès l'insertion. Toute clé plantée ne cherche pas des données. Les dispositifs USB killer pompent l'alimentation du port et renvoient des impulsions haute tension dans les lignes de données, détruisant le contrôleur et souvent la carte située derrière. En 2019, un étudiant du College of Saint Rose à Albany a plaidé coupable d'avoir détruit 66 ordinateurs du campus avec un tel engin ; il a été condamné à un an de prison et à 58 471 dollars de dommages et intérêts.
Pourquoi la prudence perd
La leçon la plus citée de l'expérience, c'est que les gens rationalisent. La plupart des trouveurs ne se décrivaient pas comme des curieux imprudents, mais comme des gens serviables. Les campagnes de sensibilisation répètent le même avertissement depuis des années - les recommandations de la CISA sur les supports amovibles enjoignent de ne jamais insérer une clé trouvée et de la remettre au service informatique ou à la sécurité - pourtant les résultats de 2016, et les statistiques de vers qui continuent d'affluer, suggèrent que les avertissements seuls ne viennent pas à bout du réflexe.Des règles qui tiennent
- Ne branchez jamais sur une machine qui vous tient à cœur un support d'origine inconnue. Remettre la clé trouvée à la sécurité ou à l'informatique est la bonne réponse, pas l'ouvrir pour identifier le propriétaire.
- Jugez la clé, pas l'emballage. L'étude a montré que étiquettes, trousseaux joints et aspect soigné ne changeaient rien.
- Séparez supports personnels et professionnels, protégez par mot de passe et chiffrez ce que vous transportez, et gardez des sauvegardes.
- Désactivez l'exécution automatique et maintenez antivirus et correctifs à jour ; les anciens vers à raccourcis dépendent toujours de ce chemin.
- Si un support suspect doit vraiment être examiné, c'est sur une machine dédiée, hors ligne et hors production - jamais sur l'ordinateur du quotidien - et les organisations devraient bloquer par politique les périphériques de stockage sur les ports non essentiels.