Comment les malwares franchissent un air gap : firmware USB, son, lumière et radio
Un ordinateur isolé par air gap n'a ni Ethernet, ni Wi-Fi, ni Bluetooth, ni aucun chemin vers Internet. Sur le papier, un malware ne peut pas l'atteindre et les données ne peuvent pas en sortir. En pratique, l'isolement est un problème de transport, et les problèmes de transport finissent par trouver une solution. Les cas documentés de transfert de données à travers un air gap se rangent en deux familles : les supports amovibles transportés par des humains et les canaux cachés bâtis sur du matériel jamais conçu pour communiquer.
Stuxnet : la brèche documentée
Le cas le mieux documenté reste Stuxnet, le ver qui a saboté les centrifugeuses du site d'enrichissement iranien de Natanz et qui a émergé en 2010. Le livre de Kim Zetter, Countdown to Zero Day, extrait par Wired en 2014, décrit comment les premières infections sont apparues chez cinq organisations contractantes « patient zéro », dont Behpajooh, Neda Industrial Group, Foolad Technic et CGJ, des entreprises plausiblement positionnées pour introduire du matériel sur le site. Des clés USB infectées ont fait le dernier saut. Au sein des réseaux, le ver se copiait via les LAN grâce à une faille zero-day du spouleur d'impression de Windows, et vers de nouvelles machines depuis des lecteurs USB via la faille .LNK connue sous le nom CVE-2010-2568. Le rapport 2018 de Kaspersky sur Securelist consacré aux menaces USB note que le même exploit LNK a ensuite été réutilisé par Equation, Flame, Regin et HackingTeam, et qu'il figurait encore parmi les principales menaces détectées à la racine des lecteurs des années après que Microsoft a fermé le dernier code vulnérable en mars 2015. Le même rapport décrit ProjectSauron, documenté en 2016, qui utilisait des clés USB modifiées avec des partitions réservées cachées de plusieurs centaines de mégaoctets pour exfiltrer des données hors de réseaux isolés.La lignée de recherche des canaux cachés
Depuis le milieu des années 2010, l'équipe de Mordechai Guri à l'université Ben-Gourion en Israël publie un catalogue de moyens de faire sortir des bits d'une machine dépourvue de toute interface réseau : le clignotement des LED d'activité des disques, le sifflement des ventilateurs CPU et GPU, le bruit acoustique des disques, les fluctuations thermiques, l'infrarouge des caméras de surveillance et les émissions radio de composants ordinaires. Le site du laboratoire recense ces projets. Ce sont des créations délibérées, pas des accidents : l'attaquant exécute déjà du code sur la victime et a besoin d'un canal qu'aucun pare-feu ne peut bloquer, puisqu'il n'y a aucun pare-feu sur le chemin. USBee, l'expérience radio du groupe en 2016, en est l'exemple le plus net. Selon les mots de l'article, un logiciel peut « générer des émissions électromagnétiques contrôlées à partir du bus de données d'un connecteur USB » : un port USB non modifié transformé en petit émetteur. D'après l'article, le signal transporte 20 à 80 octets par seconde sur de courtes distances et peut être capté avec une radio logicielle. Le résumé renvoie aussi à COTTONMOUTH, un implant matériel du catalogue ANT de la NSA qui cachait un transceiver radio dans une clé USB. Cette lignée de recherche reflète donc des capacités que les services de renseignement ont bâties les premiers.Le firmware USB : le problème côté entrée
Entrer par l'USB a pris un nom en 2014, lorsque le chercheur Karsten Nohl a démontré à la Black Hat que le firmware même d'un périphérique pouvait être reprogrammé pour qu'une clé serve de clavier, se fasse passer pour une carte réseau ou modifie des fichiers en silence pendant que sa partition de stockage paraît propre à tout scan. Le titre de Wired était sans détour : la sécurité de l'USB est fondamentalement cassée, car un malware logé dans le contrôleur du périphérique reste invisible des antivirus qui n'inspectent que le stockage.Démos de laboratoire contre réalité du terrain
Peu importe de savoir quels canaux ont réellement été observés dans la nature. La livraison par USB est éprouvée sur le terrain : Stuxnet, les partitions cachées de ProjectSauron et Dark Tequila, le malware bancaire signalé en 2018 qui se propageait par clés USB infectées au Mexique au moins depuis 2013 tout en se déplaçant latéralement entre machines hors ligne. Les données de Kaspersky remettent le risque de fond en perspective : environ un utilisateur sur quatre subit chaque année un incident « local » (LAN ou supports amovibles), avec 113,8 millions de détections sur supports amovibles rien qu'en 2017. Les canaux acoustiques, lumineux, thermiques et radio forment une autre catégorie : démonstrations de recherche à faible débit, courte portée, avec un récepteur qui doit se trouver physiquement près de la victime.- Livraison par supports amovibles : éprouvée sur le terrain, à répétition, depuis plus d'une décennie.
- Attaques du firmware USB : démontrées publiquement depuis 2014 ; rarement attribuées dans des incidents réels.
- Partitions USB cachées pour l'exfiltration : rapportées chez ProjectSauron.
- Canaux acoustiques, LED, thermiques et radio : prototypes de laboratoire, pas des kits observés.