Une nouvelle faille de sécurité dans.. le clavier USB Apple
Après la faille SMS de l'iPhone découverte le mois dernier, c'est au tour du clavier Apple Alu de se faire pointer du doigt par K.Chen, un expert en sécurité lors du sommet Black Hat 2009. La faille ne concerne par directement le clavier Apple mais l'assistant de mise à jour firmware qui est détourné pour permettre l'envoi d'un firmware maison au clavier Apple.
Ken Chen reproche à Apple de sortir des produits avant qu'ils ne soit finalisés ce qui les oblige à rendre disponible par la suite des mises à jours firmware de différents produits (cartes graphiques, claviers, trackpads, superdrive etc..), en effet après avoir récupéré l'assistant de mise à jour firmware des claviers Alu, ce dernier a réussi à contourner les protections d'Apple (après décompilation des fichiers binaires de l'assistant, de d'assembleur et de l'hexa etc..) pour pouvoir mettre à jour un clavier avec son propre firmware.
A partir de là le plus gros est fait et l'attaquant peut ensuite selon ses envies envoyer un firmware qui modifie le comportements de certaines touches (changement de mapping, désactivation), joue avec les leds ou plus grave un firmware avec un keylogger intégré. Et pour couronner le tout ce type d'attaque est persistant aux réinstallations car le code ne se trouve pas sur l'ordinateur mais directement sur le clavier.
D'autres types d'attaque sont envisageable comme le "brickage" simple du clavier en interrompant le bootloader de ce dernier lors de son flashage par ex. Les claviers des MacBook / Pro alu ne semblent pas épargnés non plus à ce genre d'attaque vu qu'un assistant de mise à jour est aussi disponibles pour ces modèles. K. Chen évoque aussi de la possibilité d'exploiter cette faille en utilisant d'autres failles de Safari permettant un infection après la visite d'une page vérolée.
Cependant il faut s'avoir que ce type d'attaque n'est pas du tout spécifique au clavier Apple et on pourrait imaginer exactement le même scénario avec un autre clavier sur lequel on peut envoyer son propre code. De plus ce genre de rootkit ne se propageant pas tout seul, la visite d'un site infecté ou sa récupération quelque part (réseaux p2p) est obligatoire pour être touché ce qui fait que cette faille ne devrait pas toucher beaucoup de monde.
@ Présentation et détails sur l'exploitation de la faille (PDF - 5.1 Mo)