BadUSB : Une vulnérabilité USB impatchable !

Cet été lors de la conférence Black Hat, des chercheurs allemands avaient présenté une vulnérabilité dans l'ensemble des périphériques USB, et, qui permettrait à un attaquant d'exécuter du code sur une machine. Comment ? Seulement en modifiant le firmware d'une banale clé USB de stockage.

Ces mêmes chercheurs ont déclarés que cette vulnérabilité est "impatchable", car pour la corriger il faudrait repenser la conception des périphériques USB...

BadUSB Proof of Concept

La seule Proof of Concept de cette attaque était uniquement une version qui affectait les terminaux Android. Ça c'était avant. Désormais deux chercheurs américains : Adam Caudill et Brandon Wilson en ont décidés autrement.

En effet, lors de la dernière DerbyCon qui a eu lieue la semaine dernière au Kentucky, ils ont présentés leurs travaux sur cette faille de l'USB. Avec eux c'est différent, notamment car le code source de leur attaque est disponible sur GitHub (GitHub BadUSB). Cela permet entre autre d'obtenir des détails sur outils développés pour parvenir à exploiter la faille.

Ces informations sont disponibles pour le grand public, ce qui poussera certainement les constructeurs à trouver une solution pour la corriger. Adam Caudill précise de son côté que l'objectif est de médiatiser le problème afin de pousser les utilisateurs à être prudent, et par la même occasion les constructeurs à réagir. Il n'est pas question de distribuer un malware ou un code nuisible.

La bonne et la mauvaise nouvelle

La bonne nouvelle c'est que cette vulnérabilité est présente uniquement chez le fabricant de contrôleurs Phison Electronics, une entreprise d'électronique Taïwanaise. La mauvaise nouvelle, c'est que les contrôleurs de chez Phison sont présents au sein de nombreux périphériques USB présent sur le marché.

L'impact d'une attaque avec BadUSB

Une fois compromis, un périphérique USB peut :

- Saisir au clavier
- Modifier des fichiers
- Affecter l'activité sur Internet
- Infecter d'autres systèmes voir même d'autres périphériques USB
- Modifier le DNS de la machine pour rediriger le trafic
- Émuler un clavier
- Exécuter des commandes avec les droits de l'utilisateur

Source