Votre enceinte USB peut être piratée par un voisin

Un chercheur en sécurité a réussi à prendre le contrôle d’un ordinateur en passant par une simple enceinte branchée en USB, à distance, et sans jamais s’approcher de la machine.

L’appareil en question est la Sound Blaster Katana V2X, une barre de son vendue autour de 280 euros par Creative Technologies, le fabricant singapourien d’accessoires audio bien connu des joueurs. Elle se branche aussi bien sur un PC, un Mac ou un Linux, en USB comme en Bluetooth. Je la connais d’ailleurs plutôt bien,
puisque je l’ai testée sur Mac4ever
.

Rasmus Moorats, un chercheur, est tombé sur la faille un peu par hasard. Il voulait juste écrire un petit logiciel Linux pour piloter son enceinte, et il a découvert un protocole maison de Creative qui permet d’envoyer des commandes à l’appareil, comme changer la couleur des LED ou régler l’égaliseur.

Sauf que voilà : son téléphone en Bluetooth a pu se connecter à l’enceinte, elle-même reliée à un PC en USB, sans aucune authentification et sans même avoir été appairé au préalable. Et parmi les commandes disponibles, il y en avait une intitulée "envoyer un nouveau micrologiciel à l’appareil".

Le micrologiciel, c’est le programme interne qui fait tourner l’enceinte. Normalement, un appareil refuse d’installer un programme qui n’est pas signé par son fabricant, un peu comme un coffre qui n’accepterait que la clé d’origine. Là, rien de tout ça : Moorats a pu remplacer le firmware officiel par le sien, sans la moindre vérification.

Sa première démonstration est assez simple, avec le mot "patched" affiché sur l’écran LED de l’enceinte. Puis il s’est demandé jusqu’où on pouvait pousser le bouchon.

Et la réponse fait un peu froid dans le dos. L’enceinte sait se présenter à l’ordinateur comme un périphérique d’interface humaine, la catégorie qui regroupe les claviers, les souris et les webcams. Moorats a modifié cette carte d’identité USB pour que l’enceinte se déclare aussi comme un clavier, puis lui a fait taper des touches toute seule.

En enchaînant le tout, il a pu, totalement à distance et par les airs, envoyer son firmware piégé à une enceinte qu’il n’avait jamais appairée, la faire redémarrer, puis lui faire taper une commande et l’exécuter sur le PC. Dans un vrai scénario d’attaque, ce serait l’ouverture du terminal de commandes de Windows et le collage d’une ligne malveillante.

Pire encore : un attaquant pourrait au passage désactiver la mise à jour du micrologiciel, ce qui rendrait son code impossible à effacer. Et le Bluetooth de l’enceinte reste allumé en permanence, même en veille, sans aucun moyen de le couper.

Il y a quand même une limite de taille. L’attaquant doit se trouver à portée Bluetooth de l’enceinte. On parle donc d’un voisin, d’un colocataire ou d’un bureau mitoyen, pas d’un pirate à l’autre bout du monde.

Moorats a prévenu Creative, sans réponse, puis a fait intervenir le CERT de Singapour, l’agence publique qui gère les alertes de sécurité. Le fabricant a fini par répondre que ses ingénieurs ne considèrent pas ce comportement comme une faille. Aucun correctif n’est donc prévu.

Le seul vrai garde-fou aujourd’hui, c’est un correctif publié par des bidouilleurs de la communauté. Quand un fabricant vous explique qu’un clavier fantôme piloté par le voisin n’est pas un problème, c’est quand même un peu gênant.

Source :
ARS Technica

Source : korben.info