Les périphériques USB semblent être des clés USB inoffensives qui facilitent le transfert d’informations entre deux ordinateurs. Les utilisateurs n’hésitent pas à insérer une clé USB dans un ordinateur portable ou de bureau pour lire ses informations ou stocker des fichiers. Ce qu’ils ne savent pas, c’est que l’insertion d’une clé USB dans un ordinateur représente un seul risque pour la sécurité.
Les utilisateurs n’ont même pas besoin de copier des fichiers ou d’exécuter des exécutables à partir d’une clé USB pour infecter un poste de travail. Les pirates peuvent modifier le micrologiciel de l’appareil pour exécuter leur propre code et infecter une machine. Ce micrologiciel est la communication entre la clé USB et sa connexion avec un ordinateur portable ou de bureau. Le micrologiciel s’exécute automatiquement lorsque l’utilisateur branche le lecteur.
Il n’est même pas difficile de modifier le micrologiciel USB. Même quelqu’un qui n’a aucune connaissance en programmation de micrologiciels peut télécharger des outils sur Internet qui promettent de créer une clé USB qui peut être utilisée pour voler les identifiants de la victime. La clé USB est laissée à la vue de tous dans les locaux de l’entreprise et un utilisateur naïf la trouve et la branche sur un ordinateur portable ou une machine de travail. Les identifiants de l’utilisateur sont volés et envoyés au pirate, et l’attaque est un succès.
Une expérience récente menée par CompTIA a montré ce qui se passe lorsque 200 périphériques USB sont laissés tomber dans les lieux publics des grandes villes. Ils ont constaté que de nombreux utilisateurs branchaient l’appareil sur leur ordinateur portable et avaient même des comportements plus risqués, comme ouvrir des fichiers et envoyer des messages à une liste d’adresses électroniques.
Le sondage a également permis de recueillir des données sur la sensibilisation des employés à la sécurité. Il a révélé que 94% des employés connectent leur ordinateur portable au Wi-Fi public. Cela donnerait à un appareil USB malveillant la capacité de transmettre des données immédiatement à un pirate. Ils ont également constaté que 37% des employés ne changent leur mot de passe qu’une fois par an, ce qui rend tous les identifiants volés par le pirate disponibles pendant plusieurs mois avant que des procédures de sécurité ne soient mises en place.
L’une des réponses les plus évidentes à ce problème est le bon sens. Les administrateurs informatiques doivent former les utilisateurs à identifier les menaces courantes et à connaître les signaux d’alarme. Les périphériques USB malveillants placés dans des lieux publics ne doivent pas être insérés dans un ordinateur portable contenant des données sensibles, en particulier une machine de travail.
Les administrateurs peuvent également chiffrer les données sur les lecteurs locaux. Les ordinateurs portables dotés de disques durs cryptés sont protégés contre certaines attaques.
Une autre façon courante de prévenir les attaques USB est de définir des politiques de réseau d’entreprise pour bloquer les connexions USB. Cela peut également être fait dans les paramètres du BIOS de l’utilisateur avec un mot de passe défini sur le BIOS. Windows a également des politiques mondiales qui bloquent les périphériques USB.
Peu importe ce que vous utilisez sur votre réseau, vous devez aider les utilisateurs à comprendre les risques liés aux périphériques USB. Cela peut prendre la forme d’une politique de sécurité des utilisateurs ou d’une formation standard de sensibilisation à la sécurité. Il a été démontré que la formation de sensibilisation des utilisateurs réduit considérablement les facteurs de risque au sein de l’organisation. Enfin, des systèmes anti-maliciels devraient être en place pour bloquer les attaques d’un périphérique USB si un logiciel malveillant accède au réseau de l’entreprise.
