The malware they created, called BadUSB, can be installed on a USB device to completely take over a PC, invisibly alter files installed from the memory stick, or even redirect the user’s internet traffic. Because BadUSB resides not in the flash memory storage of USB devices, but in the firmware that controls their basic functions, the attack code can remain hidden long after the contents of the device’s memory would appear to the average user to be deleted.
...
They spent months reverse engineering the firmware that runs the basic communication functions of USB devices—the controller chips that allow the devices to communicate with a PC and let users move files on and off of them. Their central finding is that USB firmware, which exists in varying forms in all USB devices, can be reprogrammed to hide attack code.
Franchement il y a rien de nouveau. Les devices usb font tourner des firmware et sur certains il est possible de les reprogrammer. On peut faire tourner des device usb sous linux (par exemple les téléphone android).
Ayant contrôle sur le device on peut faire des clefs usb pour lequel on ne peut pas effacer les fichier (un virus par exemple) (malgrès le reformatage) ou qui stocke des info de manière permanente.
On peut faire aussi en sorte que notre clef usb simule un clavier, une carte réseau, ... pour tenter d'injecter/récuper des infos.
Mais de la à dire que l'USB à une énorme faille de sécu...
Le plus simple serait que les OS aie un moyen de demander à l'utilisateur s'il veut activer tel fonctionnalité du périphérique qui vient d'être branché.
D'ailleurs c'est déjà possible sous linux : https://www.kernel.org/doc/Documentation/usb/authorization.txt
[^] # Re: ?!
Posté par M . En réponse au journal L'USB c'est moisi, ça propage des virus. Évalué à 3.
En parcourant rapidement l'article de wired (http://www.wired.com/2014/07/usb-security/) on lit :
Franchement il y a rien de nouveau. Les devices usb font tourner des firmware et sur certains il est possible de les reprogrammer. On peut faire tourner des device usb sous linux (par exemple les téléphone android).
Ayant contrôle sur le device on peut faire des clefs usb pour lequel on ne peut pas effacer les fichier (un virus par exemple) (malgrès le reformatage) ou qui stocke des info de manière permanente.
On peut faire aussi en sorte que notre clef usb simule un clavier, une carte réseau, ... pour tenter d'injecter/récuper des infos.
Mais de la à dire que l'USB à une énorme faille de sécu...
Le plus simple serait que les OS aie un moyen de demander à l'utilisateur s'il veut activer tel fonctionnalité du périphérique qui vient d'être branché.
D'ailleurs c'est déjà possible sous linux : https://www.kernel.org/doc/Documentation/usb/authorization.txt