Les attaques HID
C’est quoi le HID ?
HID (human interface device) ou encore interface homme-machine, c’est un standard pour la communication des périphériques comme les souris ou les claviers, afin d’en faciliter le branchement et l’utilisation.
C’est quoi une attaque HID ?
Un attaque HID consiste à utiliser le protocole USB-HID pour faire croire à l’ordinateur que le périphérique que l’on à branché est bel et bien un clavier.
Pourquoi c’est dangereux ?
Ce type d’attaque est très dangereux car à partir du moment où l’ordinateur possède les droits administrateurs, et qu’il n’est pas verrouillé par un mot de passe, il est possible de faire tout et n’importe quoi sur la machine. L’ordinateur n’est pas très intelligent, en effet si un utilisateur utilise un clavier ou une souris, il obéit peu importe ce que l’utilisateur a prévu de lui faire faire.
Comment ça marche ?
Il existe des périphériques à bas prix que l’on peut trouver sur des sites Chinoix type Alibaba ou Aliexpress, qui pour seulement quelques euros peuvent vous proposer ce que l’on appelle des “Bad USB”. Ce sont en réalité de petits contrôleurs Arduino Leonardo, avec un slot pour une micro SD qui permet de pouvoir stocker vos scripts. L’autre solution est plus chère mais également plus performante, l’entreprise Hak5 propose toute sorte de matériel pour les pen-testers dont la USB Rubber Ducky. Cette clé USB reprend exactement le concept des BadUSB en le poussant un peu plus loin. En effet les Badusb conventionnelles fonctionnent en langage Arduino, qui n’est pas facile à prendre en main pour les non initiés et qui nécessite pas mal de recherche et de travail pour les faire fonctionner.
La Rubber Ducky utilise une firmware propriétaire et utilise le langage Ducky Script. La programmation est beaucoup plus aisée et rend les phases de test beaucoup plus rapides et agréables, de plus ce matériel à un micro-processeur beaucoup plus rapide et un boîtier discret qui fait réellement penser aux clés USB promotionnelles.
Que peut-on faire avec une Bad USB ?
Il est possible de faire tout et n’importe quoi avec ce genre d’attaque, et elles ne laissent en général pas de traces si elles sont bien exécutées. Il est possible de faire tomber le pare-feu Windows, de désactiver Defender, télécharger un programme malicieux depuis le net, changer des clés de registres pour installer une backdoor, faire du recon et du scan et réseau et envoyer un mail avec toutes les informations de l’ordinateurs et les fichiers qu’il contient etc. Les possibilités sont infinies, il suffit de prendre suffisamment de temps pour configurer son script pour que tout fonctionne correctement.