Recharge USB publique

Nous possédons tous un ou plusieurs appareils mobiles comme des tablettes, des iPad, des smartphones, des montres connectées, etc. qui se branchent en utilisant des prises USB.

C’est pour cela que dans les aéroports, dans les gares et dans presque tous les moyens de locomotions d’aujourd’hui, il existe des prises USB, afin que vous puissiez recharger vos appareils connectés.

Le problème, c’est qu’il est aussi possible de transférer des données par le même câble légitimement afin de faire des transferts de fichier de votre PC vers vos appareils et vice-versa.

Et c’est là où les pirates interviennent avec un peu d’ingéniosité, ils peuvent remplacer les câbles, USB de tous types, légitimes et officiels par des faux câbles (mais identique visuellement) spécialement conçus et qui cachent une puce programmable et qui est contrôlable par les pirates. Cela signifie qu’ils peuvent y cacher un malware propice pour un appareil donné, prenons 2 scenarii différents :

  • Pour les faux câbles Lightning, ils vont mettre sur la puce un malware uniquement dédié à l’environnement Apple,
  • pour les faux câbles micro-USB, un malware uniquement dédié pour les appareils Android, etc.

Dès lors que vous branchez vos appareils, le malware s’installe discrètement sur votre appareil. Cela permet aux pirates de pouvoir avoir accès à votre téléphone, et ce, même si vous avez débranché votre téléphone !

Les pirates peuvent aussi y cacher une carte Wi-Fi en supplément de la puce, ce qui pourrait leur permettre de rejouer différentes attaques contre votre appareil, un scénario possible est d’utiliser un 1er logiciel permettant de savoir si vous utilisez un antivirus et si oui lequel, à distance et en Wi-Fi, ils seront en capacité de savoir en temps réel quel malware envoyer au faux câble, permettant de compromettre votre appareil, on peut imaginer que tel antivirus bloquerait leur malware, mais qu’un autre antivirus, qui est justement installé sur votre appareil, ne le détecte pas encore.

Ces câbles pirates, aussi appelé “câble O.MG”, peuvent être créés artisanalement ou sont en vente sur internet, ils ressemblent à ça :

Câble O.MG passé au scanner, on y remarque une petite puce à gauche.

Il existe aussi une dérivée qui permet de récupérer les données tapées sur son ordinateur, si vous utilisez un câble qui n’est pas le vôtre, mais appartenant à un pirate et que vous le connectiez à votre PC, il peut agir comme un “keylogger”, c’est-à-dire qu’il va récupérer toutes les frappes que vous aurez tapées sur votre clavier et l’envoyer au pirate à votre insu.

Câble O.MG connecté en Wi-Fi, il est relié au téléphone du pirate par Wi-Fi.

Démonstration avec un câble O.MG connecté au téléphone :

Vous pouvez voir sur internet des dizaines d’articles qui montrent qu’il est possible de différencier les faux câbles des vrais. Attention toutefois, car c’était le cas il y a quelques années, maintenant, il n’est pas possible de le savoir même pour les experts en cybersécurité !

Je vous mets ci-dessous un petit récapitulatif pour les différencier en jouant au jeu des 5 différences : ci-dessous

1/ La finition de l’embout est différent et est plus mate sur celui d’Apple.

2/ On peut s’apercevoir qu’il y a beaucoup plus de fils.

3/ Sur le câble O.MG, on peut s’apercevoir qu’il y a une petite encoche (sur les deux faces), mais qui est inexistant sur celui d’Apple.

4/ Au dos, la couture du câble Apple est bien visible.

5/ Sur le côté, la couture du faux câble est visible. Le processus d’assemblage du câble O.MG est différent puisqu’il embarque des composants internes supplémentaires.

Comme on peut le voir ci-dessous, maintenant les câbles sont impossibles à distinguer des vrais :

Si vous n’avez vraiment plus de batterie sur votre appareil, 2 solutions s’offrent à vous :

  • La 1ère étant d’avoir avec vous une batterie externe et de toujours utiliser vos propres câbles
  • La 2ᵉ est d’acheter des bloqueurs de données physiques, c’est un petit appareil qui ressemble à une clé USB, où vous branchez d’un côté le câble de la borne et de l’autre votre appareil à recharger, ainsi ce petit appareil bloquera le transfert de données et ne laissera passer uniquement le courant.

Évidemment, pour les plus persévérants d’entrevous, vous allez me dire qu’il existe une dernière solution qui est de désactiver le “débogage USB” et le “transfert de fichier” ; mais n’oubliez pas, que tout cela, reste des fonctionnalités logicielles et restent donc faillibles.

Cependant, en utilisant un matériel physique, il est bien plus compliqué, voire impossible de bypasser puisque, c’est justement un composant physique ; s’il n’embarque pas des fils de données, mais uniquement des fils de recharge, dans ce cas, il est réellement impossible de bypasser cette fonctionnalité.

À RETENIR : Vous ne devez pas faire confiance aux ports USB public (avec ou sans câble déjà connecté) et toujours vous en méfier. Et vous devriez toujours avoir un bloqueur de données avec vous.

Voici à quoi cela ressemble, vous en avez pour quelques euros sur AliExpress et dans d’autres boutiques d’e-commerce électronique :

Voici un exemple d’utilisation d’un bloqueur de données physique :

Voici 2 scenarii où on peut retrouver des prises USB public, dans un 1er temps dans des centres commerciaux, des aéroports, des gares, etc. (photo ci-dessous).

Dans les stations de chargement de vos appareils connectés et les véhicules, il peut y avoir des câbles déjà existants, mais ce n’est pas forcément le cas partout, il est possible que vous en trouviez sans câble et seulement la prise USB, dans ce cas, vous devriez quand même utilisez un bloqueur de données physique, puisqu’un pirate peut aisément démonter la structure pour cacher un malware directement dans la prise USB.

Et dans les moyens de locomotions, comme les trains, les avions, etc. :


Source : https://fr.ifixit.com/Tutoriel/Comment+faire+la+différence+entre+le+câble+O.MG+et+un+câble+USB-A+standard/155496

Source : https://www.clubic.com/cybercriminality/actualite-465102-recharger-son-smartphone-dans-un-lieu-public-peut-etre-dangereux-selon-le-fbi.html

Source similaire : https://www.phonandroid.com/attention-a-ce-faux-cable-usb-lightning-il-permet-a-un-pirate-de-voler-toutes-vos-donnees-a-distance.html

Notre Newsletter

Adhérez au Club Cyber et recevez l'actualité directement dans votre boite mail ! Profitez également de nos offres exclusives d'e-learning et de nos webinaires privés !

spot_img

Dans la même catégorie