Quid de la sécurité des clés USB U3 ?

Par Rédaction, secuobs.com
Le 14/12/2006

---

Résumé : Les clés USB de type u3 offrent de nombreuses fonctionnalités en plus des fonctionnalités classiques de stockage des clés USB standards cependant celles-ci ne riment pas forcèment avec sécurité pour leurs utilisateurs. - Lire l'article



Au niveau système, les clés USB U3 ( lien ) sont détectées comme des périphériques de masse USB classiques, mais également comme des lecteurs de CDROM ; il est possible de flasher un système de fichier CDFS à partir d'une image ISO. Le modèle que nous avons testé est une sandisk cruzer 2 Go ( lien ).



Lors de l'insertion de la clef ( lien ) dans un des ports USB de la machine et si vous faites partie des 95% d'utilisateurs n'ayant pas désactivé la fonction « autorun », le logiciel lancé par défaut par l'« autorun » émule alors un second menu Démarrer dans la « tray bar ». Au passage, pensez à désactiver cette fonctionnalité en basculant la clé de la base de registre « SYSTEM/CurrentControlSet/Services/AutoRun » sur la valeur 0.



Plusieurs logiciels sont installés par défaut sur la clé ; CruzerSync qui permet de faire des synchronisations, SignupShield pour garder un ensemble de « credentials », action que nous vous déconseillons bien vivement avec une technologie aussi opaque mais également Skype ( lien ) pour garder le binaire ainsi que l'ensemble des fichiers de configuration sur la clef. 30 minutes de communications SkypeOut sont par ailleurs offertes avec la clef.

Les fonctionnalités U3 sont uniquement compatibles avec les systèmes d'exploitation Microsoft Windows ; un SDK est d'ailleurs téléchargeable ( lien ). L'ensemble des fonctionnalités classiques d'une clef USB de stockage de masse sont cependant compatibles sur tous les OS classiques.

De nombreux logiciels connus ( lien ) peuvent être téléchargés, tels que Mozilla Firefox ( lien ), Openoffice ( u3.com - lien ) et bien d'autres encore. Tréve de fonctions classiques, passons aux choses sérieuses : comme vous l'aurez remarqué depuis le début de cet article, les fonctions d'« autorun » peuvent être aisément détournées à des fins malicieuses.

Il peut s'agir d'attaques passives avec la récupération d'un grand nombre d'informations confidentielles, mais également d'installation de « backdoors » ou d'autres programmes exotiques malicieux ou non. De nombreuses applications ont été développées pour ce type de clefs ( USB Switchblade - lien ). Le principe est relativement simple, il suffit de récupérer un « payload », puis de « flasher » la partie CDFS de la clef avec cette image ISO.

Dans le « package », il est possible de trouver de nombreux outils. Parmi ces outils on retrouve AV-Killer ( hak5.org - lien ) qui permet de crasher différents antivirus ainsi qu'un utilitaire vous donnant la possibilité de récupérer un compte rendu sommaire de la configuration matérielle. Egalement inclu pwdump afin de réaliser un « dump » de la base SAM ; à noter que cela ne fonctionne pas pour les 5% d'utilisateurs qui n'ont pas les droits d'administration sur leur machine.

Vous trouverez aussi des utilitaires pour récupérer les « credentials » d'Internet Explorer, Mozilla Firefox et de MSN ainsi que les clefs via la base de registre des produits Microsoft installés. Il est de même possible de récupérer l'ensemble des informations concernant les configurations réseau de la machine dont entre autres les clefs WPA et WEP des accès WIFI.

Dans le cas d'une machine connectée vers l'extérieur, le « payload » peut permettre à un attaquant d'envoyer automatiquement ( hak5.org - lien ) des informations sur la machine « backdoorée » ; une instance de VNC ( fr.wikipedia.org - lien ) sera alors installée discrètement.

Cette vidéo ( lien ) présente différentes attaques réalisables sur ce type de clefs ; en moins de trois minutes il est possible d'obtenir une clef fonctionnelle à l'exploitation. Un « pentest » se résumera bientôt à laisser traîner une clef U3 dans le parking d'une grande société et attendre tranquillement chez soi le « connect back ».