MtoM Mag - Le journal de l'MtoM.

Les cybercriminels continuent d’utiliser ces dispositifs peu coûteux pour répandre des logiciels malveillants et voler secrètement des données dans des réseaux protégés. À l’heure actuelle, nous pourrions penser que la majorité des individus a conscience des risques lorsqu’il s’agit de brancher une clé USB inconnue sur son ordinateur, mais ce n’est pas nécessairement représentatif de la réalité. Malgré les avertissements des professionnels en sécurité informatique et des médias, la curiosité naturelle des utilisateurs finaux les rend toujours vulnérables à l’ingénierie sociale par USB.

Les disques amovibles ne sont que l’un des nombreux périphériques USB qui peuvent être utilisés pour compromettre un ordinateur : des claviers sans fil, des webcams externes et même les gadgets de fantaisie bon marché fonctionneront. Les connexions USB sont également courantes dans les dispositifs d’Internet des objets (IoT). Même un câble USB ou un chargeur de téléphone qui peut sembler aussi inoffensif qu’une rallonge électrique - peut être source de menaces. En fait, des chercheurs de l’Université Ben-Gourion du Néguev en Israël ont récemment identifié 29 façons dont un cybercriminel pourrait utiliser des périphériques USB pour compromettre un ordinateur.

C’est une certitude : les attaques USB fonctionnent

Quelle que soit sa forme, une attaque par USB requiert l’action d’une personne involontaire pour connecter le périphérique malveillant à un ordinateur. Dans les attaques USB, les cybercriminels laissent des clés USB chargées de logiciels malveillants près de leurs cibles - dans les parkings ou les lieux publics, par exemple - et attendent qu’une personne curieuse récupère les clés apparemment perdues et les branche. Cette stratégie peut sembler risquée, mais la combinaison de la technologie et de l’ingénierie sociale est particulièrement efficace.

Une étude de 2016 sur les cyberattaques par USB a révélé un taux de réussite estimé de 45 à 98%. Lors d’une expérience dirigée, les chercheurs ont laissé près de 300 clés USB autour du campus de l’Université de l’Illinois à Urbana-Champaign. Les clés USB contenaient des fichiers .html qui généreraient des notifications s’ils étaient ouverts. Au final, les personnes ont récupéré 98 % des clés et ont ouvert un ou plusieurs fichiers sur 45 % d’entre eux. En d’autres termes, près de la moitié des attaques simulées ont été une véritable réussite. Il est également possible que des personnes aient branché les autres disques qu’elles ont trouvés mais n’ont pas ouvert les fichiers, ce qui poserait également un grave risque de sécurité.

Posez-vous la question : si un cybercriminel laissait 10 clés USB autour du bâtiment de votre entreprise, combien de vos collaborateurs pensez-vous les brancheraient ? Ouvriraient-ils quelques-uns des dossiers, comme l’a montré l’étude ?

Tirer profit de l’altruisme et de la curiosité

Il est tentant de penser que les étudiants et le personnel qui ont branché les clés USB sur leurs ordinateurs lors de l’étude étaient novices en matière de cybersécurité, mais ce n’est pas le cas. Leurs réponses aux questions de l’échelle SeBIS (Security Behavior Intentions Scale) n’ont révélé aucune différence significative par rapport à la moyenne générale de la population en termes de connaissance sur la cybersécurité. Par conséquent, cette étude montre qu’une attaque USB serait efficace contre la plupart des utilisateurs et que ces individus ne comprennent pas le danger de connecter un périphérique inconnu à son ordinateur.

Selon l’étude, les gens ont d’abord inséré les clés USB avec une intention altruiste : ils espéraient rendre le disque à son propriétaire. Mais une fois les disques connectés, près de la moitié des personnes ont été piqués par la curiosité et ont ouvert des fichiers intrigants comme des photos de vacances avant d’essayer de trouver le propriétaire du disque dur. Les attaquants peuvent utiliser des noms de fichiers conçus pour attiser la curiosité sur des clés USB malveillantes preuve que la technique d’ingénierie sociale reste puissante.

Ces expériences rappellent aux experts de la sécurité que des cyberattaques moins techniques demeurent une menace réelle et que nous n’avons pas encore développé une stratégie efficace pour les contrer. « Nous devons mieux comprendre la dynamique des attaques d’ingénierie sociale, développer de meilleures défenses techniques contre elles et enseigner efficacement ces risques aux utilisateurs finaux. » concluent les chercheurs.

Une approche proactive du risque USB

Compte tenu de la popularité des outils USB et de l’expansion de l’Internet de Objets et des périphériques connectés les cybercriminels ne cesseront de trouver de nouveaux moyens d’attaquer les individus à travers l’ingénierie sociale et l’utilisation de ces technologies. Comment réduire le risque d’attaques USB dans votre organisation ? Une approche proactive est recommandée : évaluer la vulnérabilité des utilisateurs à ces attaques, leur faire prendre conscience de la façon dont les périphériques USB malveillants peuvent infecter un système et faire perdre des données précieuses à l’entreprise. C’est en leur apprenant comment éviter ces menaces que celles-ci diminueront. Les attaques USB simulées sont un excellent moyen de sensibiliser rapidement les employés à la menace et de les rendre plus réceptifs grâce à une formation approfondie sur les attaques d’ingénierie sociale et de protection des données. Particulièrement lorsque l’on sait que les personnes les plus ciblées par les entreprises, les VAP (Very Attacked People), ne sont pas toujours celles auxquelles on peut s’attendre.

http://www.proofpoint.com/