Rappelons que le fait que nos appareils puissent nous écouter est déjà un véritable problème en soi, qu’il s’agisse d’ailleurs d’ultrasons pour nous localiser (même si nous sommes sur un réseau anonyme) ou d’assistants vocaux qui écoutent nos conversations privées (avec dans certains cas une assistance humaine).
Ainsi, récemment, lors de la conférence cybersécurité Defcon, Matt Wixey a fait un exposé sur ce qu’il appelle les cyber-armes acoustiques.
Wixey, responsable de la recherche au sein de la division cyber-sécurité de PwC, a déclaré que ses expériences avaient été réalisées dans le cadre de sa thèse de doctorat à l’University College London, où il abordait ce qu’il appelle des utilisations “non conventionnelles” du son en matière de sécurité, y compris les attaques numériques/physiques croisées qui utilisent des malwares pour créer des dommages physiques et/ou acoustiques.
DES SONS VRAIMENT TRÈS FORTS PEUVENT VOUS FAIRE EXPLOSER LA TÊTE
Si vous n’avez pas déjà conscience des dommages que peuvent causés les sons, dans sa présentation faite durant la conférence Defcon, Wixey a utilisé un graphique en décibels de Survival Life pour indiquer le niveau de son qui pourrait …
- faire sursauter vos yeux : 100 dB, à savoir un niveau se situant entre une scie à chaîne et une tondeuse à gazon.
- comprimer dangereusement vos poumons/avec un risque de mort imminente : 188 dB.
- briser vos os et détériorer vos organes internes : 194 dB.
- causer un décès instantané : 200 dB ou le son de Windows XP au démarrage*.
NB : *Je suis à peu près sûr que la référence à Windows XP est une blague. Si vous voulez savoir quel niveau de bruit entraînera la perforation de vos tympans, consultez ce manuel de formation de la Purdue University.
Wixey a expliqué que le fait de subir des “agressions auditives” pouvait avoir des effets à la fois psychologiques et physiologiques : neurasthénie, névrose cardiaque, hypotension, bradycardie, nausée, fatigue, maux de tête, acouphènes, douleurs auditives et bien plus encore.
Wired l’a cité :
Je me suis toujours intéressé aux malwares qui pouvaient passer du monde numérique au monde physique. Nous nous sommes demandés si un attaquant pouvait développer un malware ou des cyberattaques permettant d’émettre un bruit dépassant les niveaux maximums admissibles, en générant donc potentiellement des effets indésirables pour les utilisateurs ou les personnes à proximité.
Si vous continuez à pousser vos haut-parleurs à fond, vous serez privé de jouets
Wixey a déclaré à la BBC que lui et son équipe avaient utilisé des virus personnalisés, des vulnérabilités connues et d’autres exploits pour forcer toute une série d’appareils à émettre des sons dangereux pendant de longues périodes.
Wixey n’a pas précisé les marques qu’il avait pris pour cible, mais les appareils concernés comprenaient un ordinateur portable à 1000€ que l’équipe a infecté avec un malware (distant et local), un téléphone portable à 200€ qui a reçu le même traitement à base de malware local et distant, un haut-parleur Bluetooth à 50€, un haut-parleur intelligent à 200€ sur lequel ils ont exploité une vulnérabilité connue dans le contrôle-audio, des casques à 400€ susceptibles d’être vulnérables vis à vis de multiples vecteurs d’attaque ainsi que d’autres gadgets moins chers, dotés de haut-parleurs intégrés.
Peu importent les marques susceptibles de prendre feu ou de percer vos tympans, car leur vulnérabilité était plutôt agnostique, a déclaré Wixey. Bien que nous ne connaissions pas les noms des marques concernées, nous savons que de nombreux appareils grand public font toutes sortes de choses aujourd’hui par le biais des ultrasons.
En septembre 2017, par exemple, des scientifiques de l’Université chinoise de Zheijiang ont prouvé qu’il était possible de contrôler les programmes à commande vocale sur Siri, Alexa et d’autres programmes à commande vocale en utilisant des commandes à base d’ultrasons inaudibles.
Comme le New York Times l’a souligné en mai 2018, de nouvelles recherches ont montré qu’une telle technologie pouvait être utilisée pour déverrouiller des portes, virer de l’argent ou acheter des produits en ligne, et ce simplement en dissimulant des commandes dans le bruit blanc diffusé via des haut-parleurs et dans des vidéos YouTube.
Quoi qu’il en soit, revenons à Wixey et aux expériences auxquelles il a soumis ses jouets en les enfermant dans un conteneur insonorisé avec un écho minimal, appelé chambre anéchogène, puis en les soumettant à de simples scripts de code ou à des malwares légèrement mieux finalisés qu’il avait écrits pour être lancés au niveau de chaque appareil.
Certaines de ses attaques ont utilisé des vulnérabilités connues au niveau d’un appareil particulier, ce qui pouvait être mis en œuvre localement ou à distance dans certains cas, a-t-il déclaré. D’autres attaques nécessitaient une proximité physique ou un accès physique. Le résultat : après avoir demandé à chaque appareil de produire une tonalité particulière pendant 10 minutes, l’un d’eux, un haut-parleur vibrant, vibrait tellement qu’il en est tombé par terre.
Mais c’est le haut-parleur intelligent qui a offert le résultat le plus ahurissant : les attaques de Wixey l’ont fait fondre, purement et simplement. Le haut-parleur a commencé à dégager une odeur de brûlé et des tests ont montré qu’il avait été endommagé de façon permanente.
Wixey a déclaré que les fabricants ont tous été informés, qu’ils ont été réactifs et coopératifs, et que des mises à jour ont été déployées pour résoudre les problèmes. Il a déclaré à Wired que son équipe et lui garderaient les détails secrets, étant donné les enjeux en matière d’éthique :
Il y a beaucoup de considérations éthiques et nous voulons minimiser les risques. Cependant, il convient de souligner qu’une minorité des appareils que nous avons testés pourraient en théorie être la cible d’attaques et être transformés en armes acoustiques.
Billet inspiré de Hacked devices can be turned into acoustic weapons, sur Sophos nakedsecurity.
