L'accès physique momentané est-il dangereux?
Je pose la question avec ces conditions:
- L'appareil (ordinateur ou téléphone portable) est en état de marche.
- "Momentané" fait référence à une période de temps raisonnablement courte, comme 5 à 10 secondes.
- Le système peut ne pas être dans un état "verrouillé" (par exemple, afficher un écran de verrouillage demandant un mot de passe). Cependant, la session active n'a pas le privilège de superutilisateur (le cas habituel pour un téléphone mobile).
Que peut faire un pirate informatique pour accéder davantage au système?
Tout dépend du système, de l'attaquant et du niveau de préparation dont il dispose. S'ils ont une préparation illimitée, ils pourraient faire efficacement n'importe quoi ce qu'ils pourraient faire avec une fenêtre d'accès illimité. Même s'ils n'ont pas une connaissance approfondie du système spécifique, il ne serait pas difficile d'injecter très rapidement du code malveillant qui permet un accès à distance ultérieur. Ils pourraient:
Connectez une carte PCMCIA ou PCIe et videz la mémoire ou injectez le code.
Raccordez un enregistreur de frappe matériel entre le câble PS/2 ou USB du clavier.
Téléchargez et exécutez rapidement du code malveillant ou modifiez le code existant.
Accédez aux fichiers sensibles et enregistrez-les (par exemple avec un appareil photo ou une clé USB).
Détruisez physiquement l'ordinateur (par exemple avec un marteau ou une surtension sur USB).
Il suffit de saisir le système et de le mettre en gage pour un gain rapide.
Il est temps pour une histoire. J'ai eu une fois une cible avec qui je serais à proximité pendant une brève période. Mon objectif était de gagner en persistance sur leur ordinateur portable pour exfiltrer des documents sensibles. Je savais que je n'avais que quelques secondes à chaque fois qu'ils disparaissaient, donc je ne pouvais pas simplement attraper leur ordinateur portable et prendre mon temps. De toute évidence, je ne pouvais pas non plus le voler. Heureusement, je suis venu préparé. J'avais un périphérique USB programmable que j'ai branché. Dès qu'il a été branché, il a simulé l'entrée du clavier pour ouvrir PowerShell et exécuter quelques commandes pour télécharger une charge utile que j'avais configurée plus tôt. Le scénario s'est déroulé comme suit:
J'ai attendu que cette personne soit partie pour me chercher quelque chose dans une autre pièce.
Je me suis penché sur la table où se trouvait l'ordinateur portable et j'ai branché subrepticement l'appareil.
J'ai attendu quelques secondes pour être en sécurité, je l'ai débranché et j'ai essayé de garder un visage impassible.
Après qu'ils m'aient donné ce que j'avais demandé, je les ai remerciés et je suis parti.
Quand je suis rentré à la maison, je suis monté sur mon ordinateur et connecté à leur machine.
Ce n'était pas difficile, n'a pas pris une longue période de préparation et était modérément furtif. J'aurais pu le rendre encore plus furtif si j'avais utilisé quelque chose qui ressemblait à un téléphone portable afin que je puisse prétendre que je chargeais simplement l'appareil et ne voyais aucun autre port USB autour. La morale est que vous pouvez faire un lot avec seulement quelques secondes d'accès, vous ne devez donc jamais sous-estimer le risque.
Alors, comment protégez-vous contre ces menaces? Vous devez développer un modèle de menace. Découvrez qui est votre adversaire, quels sont vos atouts et quelles sont ses ressources. Si vous ne voulez pas que votre mère voit votre porno lorsque vous êtes chez elle, vous n'avez probablement pas à vous soucier des exploits abusant d'EDID corrompus dans un câble VGA ou HDMI. Si vous détenez des secrets d'entreprise extrêmement précieux dans un secteur hautement compétitif (robotique, époxy, etc.) et que vous vous rendez dans un pays à haut risque comme la France ou la Chine, vous absolument devez vous inquiéter des attaques sophistiquées, parce que l'espionnage industriel (alias le côté le plus illicite de "l'intelligence d'entreprise") est endémique. Restez avec votre ordinateur en tout temps dans des situations conflictuelles. Verrouillez-le si vous sortez de son champ de vision et apportez-le avec vous ou fixez-le physiquement dans un coffre-fort si vous devez vous absenter pendant une longue période.
Je pense que vous manquez également qu'il y ait d'autres choses malveillantes à faire au-delà du piratage. Il y a les périphériques USB qui peuvent littéralement faire frire un ordinateur . Ainsi, même s'ils n'obtiennent pas l'accès ou n'installent pas de logiciels dangereux, quelques "secondes" pourraient causer des milliers de dollars de dommages, sans parler des temps d'arrêt pour réparer les systèmes affectés.
Je peux penser à une façon de prolonger l'accès physique.
Les clés USB peuvent être si minuscules que toute la partie électronique tient sous les contacts, et la languette est juste pour que vous puissiez la retirer. Vous pouvez en modifier un en coupant la languette pour qu'elle s'insère furtivement dans une fente, afin que le propriétaire ne remarque pas tout de suite quelque chose. Et au moment où ils le font, qui sait quand ou où quelqu'un peut l'avoir inséré? À quelle fréquence vérifiez-vous vos ports USB? : p
En outre, de nombreux ordinateurs portables ont cette carte SD d'espace réservé en plastique pour garder les peluches et la poussière. Vérifiez-vous cela aussi souvent?
Et troisièmement, avec cette approche furtive, vous pourrez peut-être fabriquer un câble USB qui comprend un contrôleur qui agit comme un câble de charge/données normal mais peut devenir un homme au milieu pour tous les appareils connectés. Ou utilisez un accessoire "clé USB dans un câble" déjà existant comme celui-ci:
Si quelqu'un était prêt à compromettre rapidement les ordinateurs, il serait assez facile d'accomplir ceci:
Créez des charges utiles d'exploitation personnalisées pour les systèmes d'exploitation les plus courants (Windows/Linux/Mac OS X). Quelque chose de très basique comme un shell distant qui communique via un client HTTP serait suffisant. Étant conçu sur mesure, il est peu probable que les programmes antivirus le détectent, bien que vous puissiez toujours vérifier au préalable et modifier au besoin.
Préparez des commandes qui téléchargeront votre exploit et l'exécuterez. Quelque chose comme
wget ...; chmod +x ...; ./.... Avoir une page Web d'allure innocente où ces commandes sont facilement copiables, par exemple caché dans une petite zone de texte.Demandez à utiliser le navigateur Web de la victime pendant un moment. Accédez à votre page, copiez la commande dans le presse-papiers, appuyez rapidement sur
Alt-F2ouWin-Rpour afficher la boîte de dialogue Exécuter,Ctrl-Vpour coller vos commandes etEnterpour les exécuter,Win-Downpour minimiser l'invite de commande.
Bien fait, les trois combinaisons de touches prennent moins d'une seconde, après quoi l'exploit a le temps de se télécharger en arrière-plan. Bien sûr, cela ne vous donne que des privilèges au niveau de l'utilisateur, mais la plupart des données importantes sont traitées par l'utilisateur de toute façon. Par exemple, les mots de passe peuvent être volés sans privilèges d'administrateur.
Sur les téléphones mobiles, la même méthode ne fonctionne pas car ils n'autorisent généralement pas l'installation de code à partir de sources inconnues par défaut. Sur les PC, au mieux, vous avez des ralentissements comme des pare-feu demandant une confirmation.
Un certain nombre d'appareils peuvent être extrêmement dangereux à certains moments (vus d'un point de vue physique ou de sécurité).
Par exemple, Firewire fournit un accès direct à la RAM, donc un périphérique FireWire malveillant pourrait être branché et saisir (ou modifier) le contenu spécifique RAM en quelques instants, s'il est activé. D'autres périphériques peuvent également activer/utiliser DMA à des fins malveillantes via des ports externes, maintenant ou à l'avenir.
De nombreuses attaques existent avec USB . Outre les périphériques en ligne, les enregistreurs de frappe et les perturbateurs électriques déjà mentionnés, il existe des périphériques qui se font passer pour d'autres périphériques (un périphérique qui ressemble à un lecteur flash mais contient un clavier virtuel, un code qui s'exécute automatiquement sur l'hôte ou des périphériques supplémentaires tels que en tant que WiFi caché qui comble les lacunes et permet d'autres attaques.
Des interceptions en ligne existent pour les câbles du moniteur, permettant à un tiers de voir l'affichage du moniteur.
Les attaques graves pourraient inclure le déversement de RAM contenant du contenu sensible (y compris les clés de cryptage protégées par le système d'exploitation ou le ring-0 selon la recherche), le clignotement des rootkits ordinaires ainsi que des micrologiciels, la violation des hyperviseurs (surtout si l'exécution automatique sur l'hôte) et tout ce qui peut être fait en quelques secondes par un malware qui a un accès complet à un système.