Les Mac et les PC vulnérables à une attaque physique rapide et low-cost

Stéphane Moussie |

Il ne faut pas plus de 20 secondes et un appareil à 50 $ pour subtiliser l'identifiant et le mot de passe de connexion d'un Mac ou d'un PC, a trouvé un chercheur en sécurité de R5 Industries. Le piratage nécessite un accès physique à la machine, mais son temps d'exécution est assez court pour qu'il passe facilement inaperçu.

Quand l'ordinateur est verrouillé et que l'utilisateur s'est identifié au préalable (typiquement, une machine laissée en veille pendant la pause déjeuner), un micro-ordinateur qui est branché sur un port USB se fait passer pour un adaptateur Ethernet en démarrant un serveur DHCP et récupère ainsi les données de connexion. Ces données sont bien entendues protégées, mais l'attaquant peut procéder à une attaque « pass the hash » qui consiste à s'authentifier avec l'empreinte (hash) du mot de passe, plutôt qu'avec le mot de passe lui-même.

« C'est extrêmement simple et ça ne devrait pas fonctionner, et pourtant ça marche », explique Rob Fuller sur son blog. Et de préciser que cela fonctionne aussi bien sur Windows 10 que sur El Capitan, selon ses tests.

Pour se prémunir de cette technique en attendant un éventuel correctif de Microsoft et d'Apple, le plus simple est d'éteindre son ordinateur quand on s'en éloigne.

Source
Tags
avatar occam | 

« Les Mac et les PC vulnérables à une attaque physique rapide et low-cost »

Ben, comme leurs utilisateurs, vulnérables à des attaques low-cost ET low-tech, non ?
Le volume de données qu'on peut se faire piquer avec son matos sur un simple coup de massue dans la tronche est gigantesque.
Et de Barcelone à Brest-Litovsk, ça arrive tous les jours.

(Mes excuses pour ce #trolling, une fois n'est pas coutume, c'était irrésistible.)

avatar NymphadoraTonks | 

@occam :
Tu ne crois pas si bien dire. Il y a deux ans, à Manchester, dans le bus j'ai eu la mauvaise surprise de me faire volée à l'arracher mon mac poser sur mes genoux, la personne ayant attendu l'arrêt. La violence de l'acte et sa soudaineté ma clouer sur place. Depuis je suis super attentive, et je pense que c'est bien la meilleure dès sécurité.

avatar xDave | 

@NymphadoraTonks

Rien de tel qu'un sac à dos... plutôt qu'un sac à main :) ou en bandoulière.
Et de mesurer 1m90 aussi, ça aide ? avec des grandes jambes pour se barrer en courant quand ils sont plus de 2 ?

avatar occam | 

@NymphadoraTonks :

Si, Nymphadora, je crois si bien dire, pour m'être aussi fait braquer. Je mesure près de 1m90, comme xDave, et je portais un sac à dos arrimé sur le torse et le bassin. Et ma compagne portait son sac — armé de fil d'acier censé être « pick-pocket-proof » — en bandoulière. Rien n'y fit. Heureusement, les précautions d'usage ont empêché les braqueurs d'utiliser les MBP et les iPhones. Ils se sont contentés de les détruire. Sinon, ils auraient découvert tous les secrets de l'analyse statistique compositionnelle en chimie analytique et de la diffractométrie roentgen sur les verres anciens… :)
Le tout étant open source, grand bien leur fasse.

avatar C1rc3@0rc | 

Face a une arme tu peux bien faire la taille que tu veux et avoir les sacs antivol les plus efficace au monde, si tu tiens un tant soi peu a ta vie, tu donnes le sac et son contenu.

Ici il n'est pas question de violence, mais de techniques qui passent inapercues pour voler de l'information, corrompre de l'information ou introduire un malware. C'est de la base de la base en espionnage industriel, politique, commercial, financier, militaire,...
Le fait est qu'il s'agit d'une nouvelle exploitation du port USB pour pirater une machine sans que personne s'en appercoive. T'imagines bien qu'il est encore plus simple de subtiliser le chargeur USB pour le remplacer par un verolé, et le tour est joué.

Moralité, on revient a la situation des machines a disquettes ou a CD: dans les entreprises "sensibles" fallait condamner le lecteur ou carrement l'enlever. Sauf que c'est pire: tu peux pas elever le port USB d'une machine et tu ne peux pas le condamner s'il n'y a rien d'autre pour charger...

avatar bonnepoire | 

Avec un Hackintosh aucun soucis, il ne sort pas de veille.

avatar mp_ | 

Meilleur commentaire de la journée, et il n'est pas encore midi ^^

avatar Nicolas R. | 

Nan puisqu'il ne démarre pas :p

avatar vrts | 

@bonnepoire : vu ton niveau ça ne m'etonne pas que tu ne sois pas capable de monter un hackintosh qui fonctionne :,)

avatar bonnepoire | 

Vlà le rageux...

avatar C1rc3@0rc | 

Ben pour monter un hackintosh qui fonctionne faut encore vouloir un hackintosh. Y en a que arrivent a se persuader que meme avec moins le peu qu'ils avaient avant ils peuvent faire autant, voire plus. Ils se disent, finalement, j'ai pas besoin de cette fonction, ou alors pendant le temps que ça prend maintenant, je peux en profiter pour aller prendre un café, sortir fumer, aller manger, me regarder une serie, surveiller que personne ne vole l'horloge...
On ne dira jamais assez le mal que l'informatique a fait au marchands de café et de cigarette: heureusement Apple est la pour redonner du temps libre aux utilisateurs de Macbook...

avatar xDave | 

@bonnepoire

Le mieux reste le MacBook N'aqu'unport... ou le prochain MacBook N'enapasDuTout.
Peinard quoi.

avatar asseb | 

Ne peut-on pas empêcher la connexion ou le reveil en LAN ?

avatar Nicolas R. | 

Le Wake On Lan n'a rien à voir je pense.

avatar BigMonster | 

Vive Linux !

:-))

avatar Nicolas R. | 

Rigole bien mais des outils existent aussi mon grand pour Linux.
Mimikatz, Lazagne te le démonte aussi xD

avatar BigMonster | 

:-)   =   premier degré

:-))   =   second degré

Restons zen…

avatar Nicolas R. | 

Le Dalai Lama rage sur ma zenitude t'en fait pas ;)

avatar Lonesome Boy | 

Où l'attaquant récupère-t-il le hash ?

avatar Nicolas R. | 

Sur le FS. Là c'est automatisé mais des tonnes d'outils existent déjà. Seulement moi je me demande plutôt comment il peut s'authentifier avec le hash parce que ça c'est top !

avatar mat 1696 | 

J'espère un correctif rapide et sur Mavericks, Yosemite, El Capitan et bien-sûr Sierra.

avatar bonnepoire | 

Sur Windows ça intéresse le FBI donc ils vont nier.

avatar CR_B | 

Je ne vois pas comment se protéger de ça.
Dans le fond je prend un mini pc avec 2 interfaces réseau en pont et je sniffe ce qui passe, j'aurai la même info.

avatar marc_os | 

Si j'ai un accès physique à la machine, et que ses données m'intéressent, je la redémarre en mode target, je la connecte à un autre Mac, et je peux récupérer ce que je veux. Je peux même partir avec facilement s'il s'agit d'un portable.

Il s'agit d'une attaque physique qui ne demande aucun savoir ni aucune techno particuliers. Il suffit d'un câble de connexion et d'un autre Mac.

Bon, maintenant j'espère qu'il y aura un nouvel article et qu'on y citera "marc_os, expert en sécurité" ! ;-)

avatar Naoned09 | 

@marc_os :
Ça marche pas si le disque est protégé avec FileVault, enfin je crois

avatar C1rc3@0rc | 

Ca limite on va dire, mais il faut encore proteger le bootloader.
Apres la solution de marc_os a un defaut: ça prend du temps et ça laisse des traces. Car pour demarrer une machine en veille, faut lui faire un redemarage "sauvage", la demarrer en mode cible, faire un backup du disque complet (ok 128go ça prend pas une heure, mais 1 To, si) faut ensuite eteindre la machine, puis la rallumer, et ouvrir la session et la restaurer... L'utilisateur va donc se douter que quelque chose s'il n'est pas revenu entre temps.

Par contre la technique decrite, c'est brancher une cle USB et ça prend 20 secondes. Sur un Macbook, ça prend 2 secondes: remplacer le chargeur USB par un verolé !

avatar Shralldam | 

@marc_os :
Ben si, ça demande quand même un minimum de savoir, si je ne me trompe. Car bien que les données soient copiées, elles sont toujours protégées par les permissions initiales, qu'il faudra changer, le plus vraisemblablement via le Terminal.

Et comme dit ailleurs, s'il y a Filevault, c'est cuit.

avatar marc_os | 

@ Shralldam
1. La solution proposée par l'article passe par une clef USB qui contient un exécutable spécialement conçu pour l'attaque. De mon côté, rien que du standard que tout possesseur d'un Mac et ayant déjà utilisé un disque externe possède déjà.
2. Comme pour tout disque externe, il suffit de désactiver la gestion des permissions.

avatar BeePotato | 

@ marc_os : « Si j'ai un accès physique à la machine, et que ses données m'intéressent, je la redémarre en mode target, je la connecte à un autre Mac, et je peux récupérer ce que je veux. »

Bon, bien sûr, il ne faut pas tomber sur un Mac dont le firmware a été protégé par un mot de passe. :-)
Ni, comme ça a déjà été dit, sur un Mac dont les données sont chiffrées.

Mais vu que ces deux mesures de précaution pourtant élémentaires, ne sont que bien peu souvent appliquées, il y a de fortes chances que ça fonctionne, il faut bien l’admettre.
Reste que c’est bien moins rapide et discret que l’attaque indiquée dans l’article (mais plus efficace si ça réussit, puisqu’on a directement les données).

avatar bunam | 

D'après la source on obtient des logins et des mots de passe des certains services, mais il faut plein de conditions, cf. mon commentaire plus bas, pas les données du disque.

avatar BeePotato | 

@ bunam : « D'après la source on obtient des logins et des mots de passe des certains services, mais il faut plein de conditions, cf. mon commentaire plus bas, pas les données du disque. »

Oui, on ne récupère que des hash de mots de passe, d’où ma remarque entre parenthèses à la fin de mon commentaire, sur le fait que l’efficacité n’est pas la même que si on arrive à accéder à un Mac en mode target.

avatar Manubzh | 

ah je pensais que l'attaque physique et rapide c'est un coup de marteau moi

avatar rikki finefleur | 

Je crois que windows n'accepte pas les DHCP tiers hors domaine.

avatar XiliX | 

@rikki finefleur :
Qu'est-ce que tu veux dire "hors domaine" ?
Parce que les connexions DHCP sur les box ne nécessitent aucun domaine ?

avatar rikki finefleur | 

Je parle pour les entreprises. Il faut que le serveur dhcp soit validé, sinon il est rejeté.

avatar Biking Dutch Man | 

Pas de problème avec les MacBook ils n'ont pas de port usb-a. Les autres en ont tellement peu qu'ils sont normalement tous occupés...

avatar melaure | 

Et les OS X précédent. Je suis sur su'on risque rien sur Panther et Tiger !!! :D

avatar IceWizard | 

Un cuter sous la gorge c'est physique et low-cost. C'est même une ADM (Arme de Destruction Massive) comme les terroristes du 11 Septembre 2001 l'ont démontré.

avatar bunam | 

D'après ce que j'ai compris l'ordre d'attaque c'est :
- créer un port réseau avec DHCP
- ce réseau passe en 1er dans la liste des réseaux
- "branché" à ce réseau une app qui se fait passer pour plein de truc (https://github.com/Spiderlabs/Responder)
"Responder is a LLMNR, NBT-NS and MDNS poisoner, with built-in HTTP/SMB/MSSQL/FTP/LDAP rogue authentication server supporting NTLMv1/NTLMv2/LMv2, Extended Security NTLMSSP and Basic HTTP authentication."
Donc sur un PC Windows d'entreprise (en domaine) on doit pouvoir choper le hash du mot de passe du compte sur lequel la session est ouverte.
Sur le reste et donc sur un Mac on va nous aspirer des comptes web (avec authentification Basic ce qui n'est vraiment pas courant), connexions aux serveurs SMB, FTP, à condition que les applis relancent des connexions.
Sur Mac, il n'y aura pas de compromission du login / mot de passe du compte local.
Un spécialiste dans la sale ?

avatar BeePotato | 

@ bunam : « Sur le reste et donc sur un Mac on va nous aspirer des comptes web (avec authentification Basic ce qui n'est vraiment pas courant), connexions aux serveurs SMB, FTP, à condition que les applis relancent des connexions.
Sur Mac, il n'y aura pas de compromission du login / mot de passe du compte local.
Un spécialiste dans la sale ? »

C’est la question que je me pose aussi (ainsi que quelques commentateurs sur le site du gars) : qu’est-ce qu’il récupère quand il essaye ça sur un Mac ?
J’avoue ne pas comprendre ce que Responder peut bien demander à Mac OS d’envoyer (mais manifestement, il lui fait bien envoyer un couple login/hash, d’après ce qu’en dit le gusse). J’espère qu’il donnera plus de détails plus tard.

avatar xDave | 

@bunam

Je suis Spécialiste dans le Sale et je te dis que c'est des conneries. Bien qu'on puisse pénétrer n'importe qui, n'importe quoi et n'importe comment pourvu qu'on s'en donne la peine.
alors si en plus l'utilisateur ouvre ses .... ports. Ben on est pas dans la merde.

ok ok je sors...

avatar bunam | 

;) kel con ! (moi hein)

avatar xDave | 

:)
trop tentant

avatar exi83 | 

Je ne sais pas si je suis le seul à l'avoir remarqué mais sur la vidéo la "clé USB" que le mec branche au PC ne semble rien faire ni meme déverrouiller la machine ... en effet si on regarde bien sûr le haut à droite de la vidéo , on peut voir la petite icône qui demande si on aime (ou pas) ce fond d'écran ce qui veut dire que le pc ne ce déverrouille pas mais retourne à "l'image d'accueil " car aucune action n'as été effectué dans les 30 secondes :) on dirait bien que c'est du bullshit ( pour la vidéo en tout cas lol )

avatar exi83 | 

@exi83

Holà j'ai du lire de travers sa sert juste à récupérer le mot de passe pas à déverrouillé la machine en question je n'est rien dit :)

avatar adixya | 

" le plus simple est d'éteindre son ordinateur quand on s'en éloigne. "

Sérieux ? C'est d'une simplicité immense, quoi...

avatar xDave | 

Et après on se demande pourquoi Apple ne veut pas nous donner un accès au FS d'un iPhone via USB comme sur Androïd... ?

avatar MacRicow | 

Cela dit, les Macs sont a priori protégés vis à vis des attaques électriques via USB :
http://www.zdnet.com/article/now-you-can-buy-a-usb-stick-that-destroys-laptops/?ftag=TRE17cfd61&bhid=23302077464836072966181851899325

CONNEXION UTILISATEUR