Le câble O․MG Elite est un outil de piratage effrayant et furtif

Par Corin Faife

Je ne pensais pas avoir peur d'un câble USB jusqu'à ce que je me rende à Def Con. Mais c'est là que j'ai découvert le câble O.MG pour la première fois. Sorti lors de la célèbre conférence des hackers, le câble Elite m'a séduit par une combinaison de prouesses techniques et de son design extrêmement furtif.

En termes simples, vous pouvez faire beaucoup de dégâts avec un câble qui ne se comporte pas comme votre cible s'y attend.

C'est juste un câble USB ordinaire et banal - ou c'est ce qu'un pirate voudrait que vous pensiez.

"C'est un câble qui ressemble aux autres câbles que vous avez déjà", explique MG, le créateur du câble. "Mais à l'intérieur de chaque câble, j'ai mis un implant doté d'un serveur Web, de communications USB et d'un accès Wi-Fi. Ainsi, il se branche, s'allume et vous pouvez vous y connecter."

Cela signifie que ce câble d'apparence ordinaire est en fait conçu pour espionner les données qui le traversent et envoyer des commandes à n'importe quel téléphone ou ordinateur auquel il est connecté. Et oui, il y a un point d'accès Wi-Fi intégré dans le câble lui-même. Cette fonctionnalité existait dans le câble d'origine, mais la dernière version est livrée avec des capacités réseau étendues qui le rendent capable de communications bidirectionnelles sur Internet - en écoutant les commandes entrantes d'un serveur de contrôle et en envoyant des données à l'attaquant à partir de n'importe quel appareil auquel il est connecté.

Soulignant, encore une fois, qu'il s'agit d'un câble USB d'aspect tout à fait normal, sa puissance et sa furtivité sont impressionnantes.

Tout d'abord, comme l'USB Rubber Ducky (que j'ai également testé à Def Con), le câble O.MG peut effectuer des attaques par injection de frappe, incitant une machine cible à croire qu'il s'agit d'un clavier, puis à taper des commandes de texte. Cela lui donne déjà une vaste gamme de vecteurs d'attaque possibles : en utilisant la ligne de commande, il pourrait lancer des applications logicielles, télécharger des logiciels malveillants ou voler des mots de passe Chrome enregistrés et les envoyer sur Internet.

Il contient également un enregistreur de frappe : s'il est utilisé pour connecter un clavier à un ordinateur hôte, le câble peut enregistrer chaque frappe qui le traverse et enregistrer jusqu'à 650 000 entrées de touches dans son stockage intégré pour une récupération ultérieure. Votre mot de passe? Connecté. Détails de compte en banque? Connecté. Mauvais brouillons de tweets que vous ne vouliez pas envoyer ? Également connecté.

(Cela nécessiterait très probablement un accès physique à une machine cible, mais il existe de nombreuses façons d'exécuter une "attaque de fille maléfique" dans la vie réelle.)

Enfin, à propos de ce Wi-Fi intégré. De nombreuses attaques "d'exfiltration" - comme le vol de mot de passe Chrome mentionné ci-dessus - reposent sur l'envoi de données via la connexion Internet de la machine cible, qui risque d'être bloquée par un logiciel antivirus ou les règles de configuration d'un réseau d'entreprise. L'interface réseau embarquée contourne ces protections, donnant au câble son propre canal de communication pour envoyer et recevoir des données et même un moyen de voler des données à des cibles qui sont "air gap", c'est-à-dire complètement déconnectées des réseaux externes.

Fondamentalement, ce câble peut révéler vos secrets sans que vous le sachiez.

Ce qui fait peur avec le câble O.MG, c'est qu'il est extrêmement discret. Tenant le câble dans ma main, il n'y avait vraiment rien qui me rende suspect. Si quelqu'un l'avait proposé comme chargeur de téléphone, je n'aurais pas hésité. Avec un choix de connexions parmi Lightning, USB-A et USB-C, il peut être adapté à presque tous les appareils cibles, y compris Windows, macOS, iPhone et Android, il convient donc à de nombreux environnements différents.

Ce câble peut révéler vos secrets

Pour la plupart des gens, cependant, la menace d'être pris pour cible est très faible. La version Elite coûte 179,99 $, il s'agit donc certainement d'un outil pour les tests d'intrusion professionnels, plutôt que de quelque chose qu'un escroc de bas niveau pourrait se permettre de laisser traîner dans l'espoir de piéger une cible. Pourtant, les coûts ont tendance à baisser avec le temps, en particulier avec un processus de production rationalisé. ("Au départ, je les fabriquais dans mon garage, à la main, et cela me prenait quatre à huit heures par câble", m'a dit MG. Des années plus tard, une usine s'occupe désormais de l'assemblage.)

Dans l'ensemble, il y a de fortes chances que vous ne soyez pas piraté avec un câble O.MG à moins qu'il y ait quelque chose qui fait de vous une cible précieuse. Mais c'est un bon rappel que toute personne ayant accès à des informations sensibles doit faire attention à ce qu'elle branche sur un ordinateur, même avec quelque chose d'aussi inoffensif qu'un câble.

Je n'ai pas eu l'occasion de tester directement le câble O.MG, mais à en juger par les instructions de configuration en ligne et mon expérience avec le Rubber Ducky, vous n'avez pas besoin d'être un expert pour l'utiliser.

Le câble nécessite une configuration initiale, comme le flashage du micrologiciel sur l'appareil, mais peut ensuite être programmé via une interface Web accessible depuis un navigateur. Vous pouvez écrire des scripts d'attaque dans une version modifiée de DuckyScript, le même langage de programmation utilisé par l'USB Rubber Ducky ; Lorsque j'ai testé ce produit, j'ai trouvé qu'il était assez facile de se familiariser avec le langage, mais j'ai également noté quelques choses qui pourraient faire trébucher un programmeur inexpérimenté.

Compte tenu du prix, cela n'aurait pas de sens comme premier gadget de piratage pour la plupart des gens - mais avec un peu de temps et de motivation, quelqu'un avec une base technique de base pourrait trouver de nombreuses façons de le mettre en œuvre.

/ Inscrivez-vous à Verge Deals pour recevoir quotidiennement des offres sur les produits que nous avons testés.