Sécurité numérique

Leurs regards inoffensifs et leurs noms attachants masquent leur véritable pouvoir. Ces gadgets sont conçus pour aider à identifier et à prévenir les problèmes de sécurité, mais que se passe-t-il s’ils tombent entre de mauvaises mains ?

06 mai 2024 • , 5 minutes. lire

Des objets apparemment inoffensifs qui feignent l'apparence de clés USB ordinaires, de câbles de chargement ou de jouets pour enfants peuvent-ils être récupérés comme outils pour aider et encourager un véritable piratage ? Ou est-ce juste le truc des émissions de télévision?

Il y a un un tas de gadgets geek populaires avec des noms attachants qui offrent des fonctionnalités précieuses aux pirates amateurs et aux professionnels de la sécurité. Cependant, bon nombre de ces équipements peuvent être assimilés à des épées à double tranchant : ils peuvent aider à la fois à tester la sécurité d'une organisation et à briser ses défenses. Certains d’entre eux sont étonnamment puissants et pourraient se transformer d’outils utiles en armes puissantes s’ils sont utilisés à mauvais escient par des individus malveillants.

Cela pourrait éventuellement être une source d'inquiétude, notamment parce que j'ai personnellement vu de nombreuses entreprises avoir du mal à mettre en œuvre des protections appropriées en raison d'un manque de sensibilisation aux risques potentiels. Un exemple en est l'utilisation de périphériques externes inconnus sur les systèmes de l'entreprise, en particulier ceux qui n'éveillent souvent pas de soupçons, tels que Clés USB. Ce qui nous amène à la première paire de gadgets qui peuvent finalement déclencher des problèmes de sécurité :

Canard et lapin

Bien qu'ils ressemblent à des lecteurs flash ordinaires, les Hak5 Canard en caoutchouc USB et Coup de lapin sont, en fait, des plates-formes d’attaque USB dotées de capacités sérieuses. Conçus à l’origine pour aider les testeurs d’intrusion et autres professionnels de la sécurité à automatiser leurs tâches, ces gadgets plug-and-play peuvent faire des ravages en quelques minutes seulement.

Le Rubber Ducky, par exemple, peut imiter les actions d'un périphérique d'interface humaine (HID), tel qu'un clavier ou une souris, et tromper le système pour qu'il accepte ses entrées comme étant fiables. Cela signifie qu'il peut être utilisé pour exécuter des commandes malveillantes afin de récolter les identifiants de connexioninformations financières, données exclusives de l’entreprise ou autres informations sensibles.

En se faisant passer pour un clavier, il peut demander à l'ordinateur de visiter un site Web chargé de logiciels malveillants ou exécuter des charges utiles malveillantes – comme si cela était fait par un pirate informatique assis au bureau. Il suffit de précharger le canard avec une séquence de frappes qui effectuent des actions spécifiques sur le système.

Toutes les fonctionnalités de script disponibles dans Rubber Ducky peuvent également être trouvées dans Bash Bunny. Les risques potentiels associés au Bash Bunny ne sont donc pas différents de ceux impliquant le Rubber Ducky et incluent le installation de logiciels malveillants et le vol d'informations.

Cela dit, le Bash Bunny fait encore monter la barre. Il conserve la capacité du Rubber Ducky à se faire passer pour un périphérique HID de confiance, mais s'appuie sur celle-ci en ajoutant des fonctionnalités telles que l'élévation des privilèges administratifs et l'exfiltration directe des données à l'aide du stockage sur carte MicroSD. Il est également optimisé pour de meilleures performances.

Pour couronner le tout, même les lecteurs de vignettes courants peuvent être récupérés à des fins malveillantes en étant convertis en appareils USB de type Rubber Ducky et Bash Bunny.

Flipper Zéro

Flipper Zero est un peu un couteau suisse du hacking qui a fait tourner les têtes grâce à son large éventail de fonctionnalités et de technologies regroupées dans un format compact. Cet appareil de la taille d'une paume se prête bien aux farces, au piratage amateur et à certains tests d'intrusion, en particulier lorsque la sécurité des appareils sans fil et des systèmes de contrôle d'accès doit être testée. Il existe également de nombreux micrologiciels tiers gratuits qui peuvent améliorer encore ses fonctionnalités.

D'un autre côté, la capacité de Flipper Zero à interagir avec divers protocoles et appareils de communication sans fil peut permettre aux attaquants d'obtenir un accès non autorisé à des zones restreintes ou à des systèmes sensibles. En combinant des fonctionnalités telles que l'émulation RFID, les capacités NFC, la communication infrarouge (IR), Bluetooth et le contrôle d'entrée/sortie à usage général (GPIO), entre autres, il permet aux utilisateurs d'interagir et de manipuler différents types de systèmes électroniques.

Par exemple, puisque le gadget peut également transmettre et recevoir des signaux IR, il pourrait être utilisé pour contrôler des appareils IR comme des téléviseurs ou des climatiseurs. Plus inquiétant encore, le gadget peut être utilisé pour cloner des cartes d'accès ou des étiquettes RFID. À moins que celles-ci ne soient correctement sécurisées contre le clonage, les attaquants pourraient utiliser Flipper Zero pour accéder à des emplacements sécurisés par des verrous contrôlés par RFID. Flipper Zero peut également imiter les claviers USB et exécuter des scripts de canard en caoutchouc préconfigurés pour automatiser des tâches et effectuer ou faciliter des actions spécifiques dans un environnement cible, telles que l'extraction de données sensibles.

Aussi mignon que cela puisse être, Flipper Zero a essuyé de nombreuses critiques en raison des craintes qu'il puisse être utilisé pour aider et encourager des crimes, notamment le vol de voiture, étant donné sa capacité à cloner des porte-clés (bien que, pour être honnête, cela n'est pas sans sérieuses limites). Il a donc fait l'objet d'un examen minutieux de la part de divers gouvernements, avec Le Canada envisage une interdiction pure et simple et Le Brésil saisit les livraisons entrantes du produit à un moment donné.

OH MON DIEU

Le câble O.MG semble aussi banal que le câble de chargement de votre smartphone habituel. Développé par un chercheur en sécurité qui se fait appeler « MG » en lignele câble a été créé comme preuve de concept pour démontrer les risques de sécurité potentiels associés aux périphériques USB.

En effet, les câbles recèlent une pléthore de capacités qui permettent leur utilisation abusive pour diverses actions malveillantes. Ils peuvent fonctionner de la même manière que les USB Rubber Ducky et Bash Bunny, exécutant du code préconfiguré et fonctionnant comme un enregistreur de frappe, ce qui les rend adaptés à l'exfiltration de données et à l'exécution de commandes à distance.

En effet, les câbles O.MG incluent un point d'accès Wi-Fi et peuvent être contrôlés depuis un appareil contrôlé par un attaquant via une interface web. Les câbles sont équipés de connecteurs compatibles avec tous les principaux types d'appareils et peuvent être branchés et configurés pour des appareils exécutant Windows, macOS, Android et iOS. Oh mon Dieu.

Rester en sécurité

Bien que ces outils aient été utilisés dans diverses démonstrations, il ne semble pas y avoir de rapports faisant état d'une utilisation réelle de leur utilisation dans des attaques réelles. Néanmoins, il est prudent d'appliquer une combinaison de contrôles techniques, de politiques organisationnelles et de formation de sensibilisation des employés afin d'aider votre organisation à se protéger des gadgets potentiellement risqués.

Par exemple:

• Les organisations doivent restreindre l'utilisation de périphériques externes tels que les clés USB et autres périphériques et appliquer des politiques exigeant que tous les périphériques externes soient approuvés avant d'être connectés aux systèmes de l'entreprise.
• Les mesures de sécurité physique sont tout aussi importantes afin que les personnes non autorisées ne puissent pas accéder physiquement aux systèmes et appareils de l'entreprise et ne puissent pas les altérer.
• Il est également crucial d'organiser régulièrement des formations de sensibilisation à la sécurité pour les employés et de les informer sur les risques associés aux attaques basées sur la clé USB, notamment en se méfiant des brancher des clés USB aléatoires.
• Utilisez des solutions de sécurité capables de détecter et de contrecarrer les activités malveillantes initiées par des gadgets malveillants et d'offrir des fonctionnalités de contrôle des appareils qui permettent aux administrateurs de spécifier quels types d'appareils sont autorisés à se connecter aux systèmes de l'entreprise.
• Assurez-vous que les fonctionnalités d'exécution et de lecture automatiques sont désactivées sur tous les systèmes pour empêcher les charges utiles malveillantes d'être automatiquement exécutées lorsque des périphériques externes sont connectés.
• Dans certaines situations, les bloqueurs de données USB, également appelés préservatifs USB, peuvent s'avérer utiles, car ils privent un port USB de ses capacités de transfert de données et le transforment en chargeur uniquement.