TrojPix : le canal de fuite de données qui transforme votre moniteur en une antenne radiofréquence

Une équipe de l'Université Shandong a démontré un nouveau canal de fuite de données qui transforme le signal vidéo d'un moniteur en une fréquence radio utilisable par un récepteur voisin. La méthode, appelée TrojPix par les chercheurs eux-mêmes, modifie les pixels de l'écran imperceptible à l'œil humain ; les variations du signal du câble coaxial ou VGA génèrent des émissions qu'un récepteur peut décoder. En laboratoire, ils ont obtenu des performances de pointe surprenantes - de l'ordre des mégabits par seconde - et des radios d'action de dix mètres en tests séparés, transformant le concept traditionnel de "filtrage de mots de passe" en la possibilité réelle de déplacer des fichiers complets de machines isolées.

Cette constatation doit être comprise dans son contexte historique : l'idée que l'équipement électronique « rayonne » l'information n'est pas nouvelle et remonte à la recherche TEMPEST sur les émanations électromagnétiques. Les attaques pratiques qui ont attiré des gap d'air dans le passé, comme Stuxnet ou malware propagé par des mémoires USB, montrent que l'entrée de code malveillant reste le lien critique; TrojPix n'ouvre pas la porte par lui-même, mais offre une sortie rapide si cette porte est déjà ouverte. Pour ceux qui défendent des infrastructures sensibles, cela change l'équation parce qu'un engagement initial, bien que limité, peut devenir une fuite de masse en minutes si des mesures physiques et organisationnelles appropriées ne sont pas prises. Plus sur l'histoire de ces émanations est recueilli auprès de sources publiques comme TEMPEST (Wikipedia) et le cas Stuxnet peut être examiné en Stuxnet (Wikipedia).

Les chiffres de TrojPix sont frappants : les transmissions à mégabits par seconde permettraient par exemple de filtrer des dizaines de mégaoctets en quelques secondes ou minutes. Cette capacité transforme un moniteur « éteint » en un émetteur efficace si le récepteur est suffisamment près et si l'environnement ne présente pas de blocages considérables. Cependant, les limites pratiques doivent être évaluées : murs, fermeture, bruit électromagnétique et distance réelle réduisent la portée et la fiabilité. La menace est donc réelle mais localisée, et son atténuation dépend à la fois des contrôles techniques et des décisions sur l'architecture physique et opérationnelle.

Sur le plan défensif, la conclusion la plus importante est que ne peut pas patcher la physique matérielle avec un patch logiciel. La contre-mesure la plus directe et la plus efficace est de remplacer les liaisons électriques par des fibres optiques lorsque la confidentialité l'exige, parce que la fibre n'émet pas de signaux électromagnétiques qui peuvent être capturés à l'extérieur. Les chambres et le câblage sont également utiles avec le soutien des normes TEMPEST pour les environnements très sensibles et l'utilisation de matériaux et de ferries qui réduisent les émissions dans les câbles en cuivre. Toutefois, ces solutions physiques sont coûteuses et devraient être appliquées à risque.

Au niveau des paramètres et de la gestion des risques, il existe des mesures pratiques et moins coûteuses qui réduisent la probabilité que TrojPix ou des techniques similaires puissent être exploitées: empêcher les logiciels peu fiables de dessiner à l'écran Au moyen de politiques de contrôle d'application et de listes blanches, surveillez les appels et les processus critiques d'API graphiques qui manipulent le cadre tampon et maintenez de solides défenses traditionnelles (anti-malware, EDR, contrôle des médias amovibles et segmentation stricte). Les environnements critiques devraient également mettre en place une détection active des émissions anormales au moyen de sondes RF et d'exercices en réseau d'équipe incluant des scénarios d'exfiltration physique non conventionnels.

Pour les administrateurs qui ne peuvent pas changer de fibre immédiatement, il y a des mesures d'atténuation intermédiaires : placer des moniteurs et des câbles à une plus grande distance des périmètres dangereux, utiliser des câbles avec un meilleur revêtement et des connecteurs blindés, et mettre en œuvre des politiques qui éteignent ou déconnectent physiquement les écrans lorsqu'ils ne sont pas utilisés dans les zones critiques. En outre, la conception de processus de vérification qui détectent l'activité graphique pendant que l'écran semble être éteint peut aider, bien que l'augmentation de la surveillance graphique puisse soulever de faux positifs et nécessiter un réglage opérationnel.

En fin de compte, la leçon est double : d'une part, la recherche comme TrojPix montre que la surface d'attaque est plus large que nous l'imaginions et que la sécurité physique reste aussi pertinente que la cyberéthique. D'autre part, la défense continue de reposer sur la prévention de l'accès initial: sans malware fireHold aucune infiltration. C'est la raison pour laquelle les organisations qui possèdent des actifs sensibles devraient prioriser les contrôles d'accès, la protection contre les intrusions et les audits réguliers, et compléter ces mesures par des évaluations des risques physiques et des tests de détection des émissions, le cas échéant.