Voici SATAn, le malware qui transforme un vulgaire câble en mouchard

L’université Ben Gurion, en Israël, fait partie de ces institutions qui adorent proposer des travaux exploratoires très intéressants, en particulier du côté de la cybersécurité. Ses chercheurs viennent de présenter SATAn, un nouveau concept d’attaque informatique particulièrement diabolique puisqu’il cible un élément incontournable de l’informatique moderne.

Comme vous l’aurez sûrement deviné, les chercheurs se sont attaqués à ce bon vieux câble SATA. C’est un connecteur coudé à 7 broches qui permet de connecter votre disque dur ou SSD à votre carte mère; on le retrouve donc dans la quasi-totalité des machines grand public. Par définition, ils constituent donc une surface d’attaque très intéressante pour un pirate qui réussirait à l’exploiter.

Un vulgaire câble SATA transformé en antenne radio

Et c’est ce qu’ont réussi à faire les chercheurs de Ben Gurion avec une approche aussi originale que perturbante ; ils sont parvenus à transformer un câble SATA tout ce qu’il y a de plus générique en un véritable transmetteur radio, et sans devoir procéder à la moindre modification physique du matériel !

Pour mettre sur pied ce drôle de concept, les chercheurs sont partis d’une observation simple et bien documentée : toutes les interfaces informatiques, quelles qu’elles soient, génèrent une certaine quantité d’interférences électromagnétiques. Ils ont réussi à manipuler ces interférences grâce à un malware pour en faire un vecteur d’information.

Le virus en question joue sur les processus d’écriture, et surtout de lecture des données. Ils ont tendance à générer un signal assez puissant pour être exploitable. En les sollicitant d’une façon bien particulière, il est possible d’ encoder des informations dans les interférences qu’ils génèrent. Dans les faits, ce câble opère alors comme une antenne; il est capable d’exfiltrer des données à partir de la machine cible vers un autre ordinateur situé à proximité.

Une attaque “airgap” au potentiel non négligeable…

C’est un concept qui, sur le papier, pourrait se révéler redoutable. Il rentre dans la catégorie dites attaques dites « airgap ». Ce terme désigne une famille d’attaques capables de cibler une information complètement isolée du réseau.

Le fait de mettre ainsi une machine importante en quarantaine constitue souvent une première ligne de défense difficile à pénétrer pour les pirates. Mais les attaques de ce type permettent de les contourner. Elles représentent donc une vraie menace pour les institutions qui veillent sur leurs secrets comme sur la prunelle de leurs yeux.

On pense notamment aux instances gouvernementales, mais aussi aux grandes entreprises pour qui l’espionnage industriel est une menace permanente. Si un pirate souhaite s’emparer de ces précieuses données, il devra développer une attaque beaucoup plus sophistiquée qu’une simple intrusion par le réseau – comme cette attaque SATAn, par exemple.

Heureusement, les chercheurs ne souhaitent pas offrir un nouvel outil aux pirates. Leur objectif est de documenter ces surfaces d’attaque potentielles pour couper l’herbe sous le pied des malfrats avant qu’ils n’aient l’occasion de les exploiter. Et heureusement, il est relativement facile d’empêcher l’exfiltration des données, même si la machine cible est infectée.

…mais finalement assez limité

Première limite de cette méthode : l’intégrité du signal peut être compromise lorsque le disque ou SSD visé est très sollicité. De plus, à cause de la bande de fréquence utilisée (6 GHz), la portée reste très faible. Le récepteur doit donc être situé à moins d’un mètre du câble ciblé. Cela limite fortement la marge de manœuvre du pirate. Techniquement, il serait possible de contourner cet obstacle avec un amplificateur ; mais cela implique de pouvoir accéder physiquement aux alentours du système visé en amont. Une contrainte qui diminue considérablement l’intérêt de l’attaque.

De plus, il suffirait d’un récepteur radio comparable à celui utilisé par les pirates pour repérer immédiatement le signal. Une entreprise très fortunée et particulièrement paranoïaque pourrait donc parfaitement installer des détecteurs à proximité des machines critiques.

Mais cela serait probablement inutile. Car il reste une dernière contre-mesure d’une évidence confondante; pour éviter au pirate de voler des données grâce à des ondes radio, il suffit de bloquer ces dernières. Placez votre machine dans un châssis fait de métal conducteur, et le tour est joué !

Au bout du compte, le risque associé à cette attaque en particulier reste donc très faible. Ce qui rend ces travaux très intéressants, c’est qu’ils démontrent une nouvelle fois que nos appareils électroniques, et en particulier nos ordinateurs, regorgent de surfaces d’attaques insoupçonnées qui ne demandent qu’à être exploitées.

Ces mêmes chercheurs ont par exemple déjà prouvé qu’il était possible d’espionner une conversation à partir des variations lumineuses qu’elle provoque au niveau d’une ampoule standard. L’été dernier, un pirate s’était aussi illustré en revendant un tout nouveau malware qui résidait directement dans la carte graphique. Autant dire que les chercheurs et ingénieurs en cybersécurité ne sont pas prêts d’en avoir fini avec ce sempiternel jeu du chat et de la souris.

Le papier de recherche est disponible ici.

🟣 Pour ne manquer aucune news sur le Journal du Geek, abonnez-vous sur Google Actualités. Et si vous nous adorez, on a une newsletter tous les matins.