e-cigarette : in-filtrée par des malwares ?

La semaine dernière, un utilisateur sur Reddit a posté une histoire, à propos d’une infection d’un chargeur d’e-cigarette par un malware. Cette nouvelle a été récupérée par The Guardian, et répandue dans les médias grand public. La presse technique a finalement, à son tour, relayée l’information.

La plupart ont mentionné que la source était un rapport provenant de Reddit, bien que le terme “anecdote” soit plus adapté, et d’autres, enfin, n’ont pas hésité à faire état du côté sensationnel de l’info, en précisant qu’elle n’était reliée à aucune source fiable et claire.

L’article original de Reddit, posté sur le “TalesFromTechSupport” subreddit, se lit comme une sorte de légende urbaine. Elle a d’ailleurs été décrite plus tard par le poster, dans une réponse suite à une demande de précision, comme “une simple histoire”.

Ainsi, un commentaire en ligne au départ, plutôt amusant, mais surtout erroné, a littéralement propulsé cette anecdote au rang d’information majeure, surfant ainsi sur la vague de 2 sujets brûlants. En effet, cette histoire met en avant, en réalité, un manque total de compréhension du grand public au sujet, d’une part de la sécurité informatique, et d’autre part de la protection de ce type d’équipement, à savoir ici, une cigarette électronique (e-cigarette).

Ce serait plutôt tentant d’ignorer tout simplement la totalité de l’histoire, et de continuer comme si de rien n’était. Cependant, nous pouvons peut être apprendre quelque chose d’intéressant ici.

Notre monde est de plus en plus électronique, avec un nombre toujours grandissant d’équipements, que nous utilisons et qui nécessitent d’être alimentés.

Des incontournables smartphones et tablettes, en passant par la plus ésotérique e-cigarette, appelée aussi machine à vapoter, et autres aspirateurs pour clavier, ou batteries de rechange, que nous transportons pour éviter tout risque de coupure au mauvais moment. Ainsi, de plus en plus de choses nécessitent, à un moment donné, d’être branchées pour être rechargées.

La plupart de ces rechargements ont été simplifié grâce à la connexion USB. En effet, nous pouvons, à tout moment, brancher nos équipements dès que nous avons cette fameuse prise à proximité. Un endroit où nous trouvons le plus souvent ce genre de prise est bien sûr, l’ordinateur portable ou le PC. Ainsi, ils sont devenus un endroit privilégié pour recharger nos équipements.

A ce niveau là, les risques sont limités, car ces équipements rechargeables, grâce aux connexions USB, sont pour la plupart basiques. Seule la partie qui est directement en relation avec la prise USB est réellement connectée, et aucun dommage ne peut être causé à votre ordinateur.

Les autres, incluant nos téléphones et bien d’autres équipements qui peuvent stocker des données, sont capables de communiquer, d’une manière ou d’une autre, avec la machine à laquelle ils sont connectés. Cependant, le plus souvent, nous pouvons avoir confiance dans cette connexion, dans la mesure où nous connaissons l’équipement lui-même, ainsi que le logiciel qui y est installé.

Pour revenir à l’exemple de l’e-cigarette, elle est concernée par 2 catégories. La première catégorie est celle des «chargeurs», composés simplement d’une connexion USB à une extrémité, et d’un filetage de l’autre, qui vient se connecter à l’interface de la batterie de l’e-cigarette.

La deuxième catégorie est celle des «batteries», qui se connectent, via une connexion standard micro-USB, sur l’équipement lui-même, afin de pouvoir être utilisé pendant le rechargement. Cette catégorie a tendance à être plus sophistiquée, avec des tensions de sortie ajustables, voir même des LEDs d’affichage montrant les réglages. Ces derniers nécessitant d’ailleurs, en plus, la présence d’une sorte de processeur à l’intérieur, pour permettre le fonctionnement.

Avec la première catégorie, nous n’avons pas de risque réel. En effet, il faudrait modifier l’adaptateur du chargeur afin d’y inclure un kit de stockage de données, qui se logerait exactement à l’intérieur. Les connecteurs devraient alors subir une légère modification, de manière à être activés également, en plus de ceux déjà sous tension. Enfin, les données doivent être paramétrées de manière à lancer une attaque, dès que l’équipement est connecté à une quelconque machine.

Cette situation n’est pas complètement impossible, mais cela représente beaucoup d’efforts pour tenter, par miracle, d’infecter un PC, voire 2.

La deuxième catégorie représente, quant à elle, un risque plus important. Il ne serait pas surprenant de voir un équipement capable de communiquer avec votre PC, soit pour copier des données, de la même manière qu’une clé USB classique, soit pour enregistrer et surveiller votre historique d’utilisation, de la même manière que les bracelets d’exercice retrace votre activité, et la charge sur votre ordinateur.

Si cela devait arriver, on pourrait très bien imaginer, sans exagérer, l’infection d’un batch directement à l’usine, de manière intentionnelle ou non, par le biais d’une machine infectée et utilisée pour l’installation et les tests. Encore une fois, plutôt improbable, mais possible en théorie. Et bien sûr, à partir de là, il faudrait trouver un moyen pour s’infiltrer dans votre ordinateur, à votre insu, ce qui devrait, tout de même, nécessiter des exploits zero-day plutôt coûteux.

Ainsi, si tous ces scénarios sont très peu probables, ne devrions-nous pas les oublier, et continuer d’utiliser nos ordinateurs comme chargeur universel, comme cela est déjà le cas ?

Même avec le diminution des risques par rapport au bon vieux malware type Autorun, et ce grâce à la réduction des négligences dans les systèmes d’exploitation modernes, on trouve encore certains malwares qui arrivent à se frayer un chemin, au sein des hardwares produits en masse. La popularité des cadres photos numériques, des disques durs externes et des systèmes de navigation, maintenant remplacés par les smartphones, ne fait qu’amplifier cette tendance.

Il y a toujours de nouvelles vulnérabilités à exploiter, qui peuvent permettre à certaines personnes de mener des actions malveillantes sur votre équipement, peu importe que vous soyez à jour au niveau, des patches, de vos mises à jour, ou encore de la protection contre les malwares.

Ainsi, il est peut être bon, dès que possible, de connecter votre équipement à une vraie prise de courant, qui le rechargera de toute façon plus rapidement (vérifiez bien que votre adaptateur est fiable, ou au moins munissez-vous d’un câble d’alimentation simple ou encore d’un adaptateur pour être plus sûr).

Dans le cadre de l’entreprise, il est toujours préférable d’éviter que les collaborateurs ne branchent des équipements inconnus dans les ordinateurs qui sont connectés au réseau de la compagnie. Ainsi, vous choisirez certainement d’obturer tout simplement les ports USB sur les façades externes des équipements, ou bien de déconnecter ces ports de l’intérieur, si ces connexions ne sont pas indispensables aux besoins de l’entreprise.

Une historie peu convaincante, ne doit pas signifier qu’un risque potentiel doit être ignoré.

Billet inspiré de : “Should vapers fear malware-laced e-cigarettes?” par Lisa Vaas de Naked Security

Partagez “e-cigarette : in-filtrée par des malwares ?” avec http://bit.ly/