Ouvrir le menu principal

MacGeneration

Recherche

Un hub USB-C peut être piraté à votre insu avec un simple Raspberry Pi

Pierre Dandumont

mardi 28 mars 2023 à 13:15 • 16

Matériel

Si la question de la sécurité se pose beaucoup sur les logiciels, la question du matériel est moins mise en avant. Et pourtant, beaucoup de périphériques USB peuvent être détournés, piratés et modifiés assez facilement. Et le problème peut aussi toucher des objets a priori anodins comme un hub USB-C.

Le hub Dell modifié.

Un exemple avec un Raspberry Pi Zero

L'exemple montré par Lachlan Davidson chez Aura Research est assez éloquent, car il nécessite peu de matériel. Il a en effet modifié une station d'accueil Dell WD15 pour y intégrer un Raspberry Pi Zero. La petite carte est très compacte et s'intègre facilement dans le boîtier, en détournant — avec quelques points de soudure — un des ports USB-A du boîtier. Une fois la station d'accueil refermée, la modification est invisible et la différence de poids infime : la carte ajoute une dizaine de grammes à un appareil qui en pèse plus de 400. Le programme installé sur la carte peut même s'identifier comme un périphérique légitime, pour cacher sa présence.

La carte Raspberry Pi, intégrée dans le boîtier.

Une distribution GNU/Linux adaptée

Avec une distribution GNU/Linux adaptée — P4wnP1 A.L.O.A. —, la carte devient invisible du point de vue de l'utilisateur et les programmes installés permettent différentes attaques. Il est possible d'intercepter le trafic réseau (la carte est vue comme un adaptateur Ethernet), de récupérer les données sur les périphériques branchés au hub ou même d'émuler une souris ou un clavier pour automatiser des tâches. Et dans le cas présent, il s'agit uniquement d'une preuve de concept : la distribution a été pensée pour les personnes qui doivent tester la sécurité, et pas pour des hackers qui voudraient réellement dérober vos données.

La carte peut évidemment afficher les identifiants du hub de Dell.

Le principal problème de ce genre de hack vient du fait qu'il est difficile de se prémunir contre eux. macOS Ventura intègre bien quelques fonctions qui permettent de détecter la présence d'un nouveau périphérique USB, mais une fois qu'il a été approuvé, l'OS n'intègre pas d'autres sécurités particulières.

Cette fonction de macOS Ventura ne vous protège pas réellement.

Dans le cas présent, le chercheur indique que la détection est assez compliquée, et c'est juste un produit qui a été bricolé sur un coin de table, pas quelque chose qui a été réellement pensé pour être invisible. Bien évidemment, et contrairement aux logiciels malveillants, les attaques « matérielles » de ce type visent généralement un individu en particulier et ne ciblent donc pas n'importe qui. Mais si vous avez des données importantes pour une raison x ou y, se poser la question de la provenance du matériel avant de le brancher semble être une bonne idée. Et n'oubliez pas que les attaques peuvent aussi toucher les iPad dotés d'un connecteur USB-C (et bientôt les iPhone…).

Rejoignez le Club iGen

Soutenez le travail d'une rédaction indépendante.

Rejoignez la plus grande communauté Apple francophone !

S'abonner

Êtes-vous impatient de tester Apple Intelligence ?

14:15

• 28


Phishing Disney+ & co : stop aux arnaques, protégez vos données 📍

10:47


Sortie de veille : WWDC 2025, l’édition de tous les risques ?

08:00

• 15


Pourquoi la France est-elle privée d’AI Overviews par Google ?

28/03/2025 à 21:15

• 41


Quand la reconnaissance faciale vous interdit l’entrée d’un concert pour un post sur les réseaux sociaux

28/03/2025 à 20:30

• 74


Apple, Meta : l’Union Européenne aurait prévu des amendes modestes pour limiter les tensions avec Donald Trump

28/03/2025 à 18:45

• 72


Faites le grand ménage de printemps sur votre Mac avec Mac Washing Machine X9 ! 📍

28/03/2025 à 18:10


Le Mac Studio 2025 est compatible avec le HDMI CEC

28/03/2025 à 17:17

• 8


macOS Sequoia empêche l'installation d'une ancienne version de macOS en externe

28/03/2025 à 12:45

• 25


iBoff a développé sa copie du SSD de Mac mini M4, vendue à un prix plus faible qu'Apple

28/03/2025 à 11:15

• 28


GPT-4o : OpenAI peine à suivre la demande pour son nouveau générateur d’images

28/03/2025 à 09:58

• 35


Final Cut Pro se met aussi à la page Image Playgrounds sur le Mac

28/03/2025 à 07:57

• 13


Test du BenQ MA270U : un écran 4K pensé pour le Mac

27/03/2025 à 23:30

• 16


Xhamster et Tukif toujours disponibles en France, protégés du gourdin français par la législation européenne

27/03/2025 à 21:45

• 60


Waymo : l’humain responsable dans quasi tous les cas d’accident avec une voiture autonome de la marque

27/03/2025 à 21:00

• 42


Une RC2 pour macOS 15.4 avec Apple Intelligence et les catégories dans Mail 🆕

27/03/2025 à 19:29

• 23