La sécurité des clés USB mise à mal par USBDUMPER

Par Xavier Poli, secuobs.com
Le 07/06/2006

---

Résumé : Eric Detoisien a présenté lors des "rumps sessions" (mini-session de 5 à 10 minutes) de l'édition 2006 du SSTIC, un outil permettant de « dumper » l'intégralité d'une clé USB sous Windows et cela dès lors qu'elle ait été connectée. - Lire l'article



Eric Detoisien a présenté lors des "rumps sessions" (mini-session de 5 à 10 minutes) de l'édition 2006 du SSTIC, un outil permettant de « dumper » l'intégralité d'une clé USB sous Windows et cela dès lors qu'elle ait été connectée, grâce à la détection préalable de cet événement, sur le port correspondant de la machine.

Eric aussi connu sous le pseudonyme de Valgasu fait partie de l'équipe renommée d'experts en sécurité « Rstack » (Security addicts and geeks – We Proudly R3wt - lien ) habituée à voir ses membres intervenir dans les conférences internationales consacrées à ce domaine (Blackhat, CanSecWest, EuSecWest, PacSec).

Valgasu est notamment l'auteur du « gentil » mais très controversé « Casper » ( lien ), PoC (Proof of Concept) d'un cheval de troie « furtif et efficace » ( lien ) qui a fait couler beaucoup d'encre (et encore plus de pixels).

Partant du principe que les clés USB représentent aujourd'hui « un support privilégié pour l'échange de données » parfois confidentielles et donc sensibles, l'outil profite d'un contexte favorable de par le peu de connaissances des utilisateurs au sujet des « dumps » automatiques qu'il est possible de réaliser sur de tels supports.

Bien que sensibilisés pour certains aux fonctionnalités « Autorun » de ces clés qui permettent d'exécuter automatiquement un programme résidant (malicieux ou non) dès leur connexion, les utilisateurs de ces technologies sont dès lors une cible privilégiée pour la subtilisation de données.

Ils sont en effet généralement plus « frileux » à l'idée de connecter une clé USB ne leur appartenant pas sur leur propre machine que l'inverse ; ces deux contextes étant cependant aussi prompts à l'insécurité.

Risques d'autant plus importants que les capacités de stockage de ces clés ont considérablement augmenté avec le temps (jusqu'à 8 go actuellement - lien - bientôt 16 go ! ), les rendant à même de contenir par exemple l'intégralité de projets de grande envergure, voir des systèmes de plus en plus complexes et fonctionnels.

USBDumper, le bien nommé, a été conçu dans le but d'étendre cette sensibilisation des utilisateurs à ce type de déconvenues notamment dans un contexte industriel ou tout simplement pour des données personnelles que l'on ne souhaite pas nécessairement voir mises à la disposition de n'importe quel quidam.

Un bon exemple valant souvent mieux qu'un long discour, il est tout d'abord nécessaire de récupérer l'archive « RAR », de l'applicatif, hébergée par nos soins ( lien ). Prévu pour Windows, il est ici possible d'utiliser un logiciel comme WinRAR ou WinZIP au choix selon les convenances pour en extraire les fichiers.



Une fois cette première étape réalisée, on peut maintenant accéder au répertoire « USBDumper » puis à la sous-arborescence « bin » dans laquelle se trouve le fichier « USBDumper.exe » , lancer cet exécutable en tâche de fond de manière tout à fait transparente pour tout autre utilisateur de la machine ou/et pour la victime potentielle du vol.



Il est temps à présent de connecter votre clé USB, n'importe quel port de votre ordinateur fera l'affaire. Un coup d'oeil dans le répertoire « bin » où l'on a lancé l'outil et on peut voir apparaître presque instantanément.un nouveau dossier :



En parcourant ce répertoire, on trouve l'ensemble des fichiers présents sur la clé USB récemment connectée, un seul pour ce test en l'occurence était présent sur la clé :



Vérification étant (bien) faite, il est aisé maintenant de comprendre pourquoi il est nécessaire de ne pas connecter ses clés n'importe où mais également l'utilité du chiffrement des fichiers contenus sur ces clés à l'aide des fonctions natives de certaines d'entre-elles ; pour les clés dites « brutes » vous pouvez recourrir à un utilitaire comme WinPT (Windows Privacy Tools – lien ) afin de les chiffrer.

Basé sur GnuPG aussi connu sous le nom de GPG (Gnu Privacy Guard - lien ), WinPT est donc par là même une interface compatible OpenPGP ( lien ) ; il est totalement libre d'utilisation aussi bien à des fins personnelles que professionnelles puisque placé sous licence GPL ( lien ). A noter que WinPT vous permet également de signer numériquement vos documents et vos mails (avec un module additionnelle) afin d'en authentifier la « bonne » provenance.

Eric fait également part de plusieurs variantes de cette problèmatique avec des possibilités diverses et variées comme l'infection des exécutables déjà présents sur la clé, l'ajout d'une macro malicieuse aux documents de type bureautique et le transfert d'un malware sur celle-ci profitant par la suite des fonctions « Autorun », précemment citée, lorsque l'utilisateur reconnectera sa clé sur sa machine personnelle ou professionnelle.

Dernière variation qui porte à réflexion, l'idée plutôt vicieuse mais pas impossible à réaliser en l'état juridique et technique : la copie de contenus propres à vous ammener des ennuis avec les services de justice (après dénonciation ou pas) comme des fichiers chiffrés dont vous ne pouvez pas fournir la clé de déchiffrement et tout ce que vous pouvez imaginer dans le même état d'esprit vis à vis de la loi.