Karsten Nohl et Jakob Lell, deux chercheurs Allemands ont mis au point un logiciel malveillant capable d’infecter le firmware du contrôleur USB.

On se méfie des clés USB depuis qu’elles existent car elles peuvent contenir des données malveillantes. Mais si elles pouvaient infecter un ordinateur en étant vides ou en aillant aucun espace de stockage ?

Toute USB est une menace potentielle

Le duo s’est penché sur les faiblesses de la connectique USB et sur la technologie Universal Serial Bus. Ils ont ainsi découvert une importante faiblesse qui permet d’infecter le code du firmware d’un port USB, qui lui permet d’être automatiquement reconnu lorsqu’on le connecte. Une souris, une clé, un clavier, tout USB est concerné.

Baptisé BadUSB, le dispositif qu’ils ont crée ne laisse donc aucune marge de manœuvre à son propriétaire qui n’a pas accès au firmware. Impossible à détecter ni à enrailler, faut-il bannir les USB pour les data ou lieux à risques ? Pour les chercheurs, la réponse est oui. « Ces problèmes ne peuvent pas être corrigés. Nous exploitons la façon-même dont l’USB est conçu » explique Karsten Nohl (en photo).

Déjà en service

Simple démonstration pour la conférence Black Hat ou réel menace déjà dans la nature ? Pour Matt Blaze, un professeur d’informatique de l’université de Pennsylvanie, la technique est déjà utilisée. Il relie BadUSB à Cottonmouth, un programme de piratage de la NSA dévoilé par Edward Snowden, lui aussi implanté dans les clés USB.

« Dans cette nouvelle façon de penser, vous ne pouvez plus faire confiance à un appareil USB, même s’il ne contient pas de virus. La confiance doit venir du fait qu’il n’a jamais été en contact avec quoi que ce soit de malveillant, explique Karsten Nohl. Vous devez donc considérer qu’un périphérique USB est infecté dès qu’il entre en contact avec un ordinateur potentiellement dangereux, et le jeter. C’est une démarche incompatible avec la façon dont nous utilisons les périphériques USB aujourd’hui. »