L'affaire date de cet été. Lors de la célèbre conférence Black Hat, deux chercheurs en sécurité allemands Karsten Nohl et Jakob Lell ont révélé au public une vulnérabilité très critique répondant au nom de BadUSB. Cette dernière permet, avec une reprogrammation efficace, d'installer des mouchards, voire prendre le contrôle d'une machine sans être détectée par le moindre antivirus ou dispositif connu. De plus la faille n'est pas facilement corrigeable. Doit-on s'attendre à l'apocalypse ?

A la base, il faut s'attaquer au firmware du périphérique USB. Après l'avoir reprogrammé selon la méthode découverte par les chercheurs, il devient possible d'émuler la fameuse clé USB en un autre composant comme, par exemple, un clavier, une carte réseau. Si la clé USB se fait passer pour un clavier, alors il devient possible de taper un script prédéfini. Dans le cas d'une carte réseau, on peut envisager de faire basculer le trafic en ligne vers un ordinateur tiers. La dernière possibilité alarmante concerne l'installation d'un virus directement au boot d'une machine.

Et si l'alarme est sonnée, c'est qu'un tel dispositif n'a actuellement aucune contre-mesure possible. Pour faire simple, il n'est pas possible de s'en prémunir pour le moment. Aucun antivirus ou autre opération humaine ne peut détecter les codes malveillants ainsi créés sur une telle clé USB. En apparence, rien ne distingue une clé vérolée d'une saine.

Pendant la Black Hat, les deux chercheurs n'avaient pas rendu publics leurs travaux. Mais deux autres experts en sécurité, Adam Caudill et Brandon Wilson sont parvenus à exploiter une faille similaire qu'ils ont mise sur GitHub afin, selon leurs dires, de pousser les fabricants à prendre des mesures au plus vite ! Selon ces derniers, des organismes tels que la NSA exploiteraient déjà tous les avantages permis par une telle vulnérabilité dans des opérations d'espionnage.

Il y a donc urgence. Le chercheur Karsten Nohl expliquait ainsi il y a quelques mois que l'écriture d'un nouveau firmware de clé USB afin de prévoir des sécurités supplémentaires pourrait mettre jusqu'à 10 ans de sa création à sa mise en application sur le matériel concerné. Mieux vaut donc se méfier des périphériques USB autour de vous, on n'est jamais trop prudent !

Via