Malheur à celui qui ne surveille pas de près ses ports USB, car une simple connexion peut devenir un chaos total. La première fois que nous avons parlé de BadUSB, c'était en août 2014, et nous avons ensuite appris sa mise à disposition publique. Voici maintenant MalDuino, qui est essentiellement BadUSB sur du matériel open source. Une fois branché, MalDuino se comporte comme un clavier virtuel qui commence à injecter du texte. Quel genre de texte ? Eh bien... cela dépend de vous.
Dans la série Mr. Robot, l'un des personnages pirate un terminal en utilisant le célèbre accessoire Rubber Ducky. Avec le script approprié, le Rubber Ducky peut extraire de la mémoire tous les mots de passe en cleartext en moins de vingt secondes. L'épisode a laissé plusieurs détails techniques non résolus, comme par exemple si l'ordinateur était verrouillé ou non (si c'était le cas, il nécessite une attaque supplémentaire avant d'entrer), mais si on la compare à des horreurs au niveau de CSI (dans toutes ses versions), il s'agit d'une scène très bien réalisée. Le concept du Rubber Ducky suit la voie de BadUSB, un appareil qui se comporte de manière différente à celle attendue. Une fois que nous obtenons un accès physique à l'ordinateur, le ciel est la limite... cependant, il nous faut d'abord une échelle.
Cette échelle peut être MalDuino, un petit accessoire équipé d'un ATmega32u4 qui assume le rôle de clavier et commence à injecter du texte. En utilisant l'ATmega32u4, MalDuino se profile comme une version compacte de l'Arduino Leonardo, ce qui permet la programmation avec l'IDE officiel. Il y aura deux versions en vente. La première sera la Lite, avec un total de 30 kilo-octets pour stocker des scripts, une LED qui indique l'état de l'exécution (en cours ou terminée), et un interrupteur qui bloque les scripts pendant que nous programmons. La version Elite ressemblera au Rubber Ducky, avec un emplacement pour cartes microSD pour stocker des scripts plus complexes, et des interrupteurs permettant de les sélectionner à la volée.
Selon sa campagne sur Indiegogo, le MalDuino Lite coûtera 19 euros avec livraison incluse dans le monde entier, et pour le Elite ce sera 32 euros. Néanmoins, le projet est open source, et chacun pourra reproduire le matériel par ses propres moyens s'il le souhaite... ce qui nous amène automatiquement à la magie du matériel chinois et générique. Aujourd'hui, vous pouvez acheter sur eBay quelque chose de similaire pour moins de six dollars avec livraison gratuite, à condition d'attendre la fin du Nouvel An chinois. MalDuino a déjà tout le financement nécessaire, et les premières livraisons seront faites en mars.
