La clé USB trouvée sur le parking : la brancheriez-vous ?
Une clé USB étiquetée « SALAIRES 2024 » traîne sur le parking de votre entreprise. Vous êtes seul(e) devant votre poste. Que faites-vous ?
Petite vérification
Avant de commencer, vérifiez si vous savez encore réaliser ces 3 actions très simples, sur la séance précédente consacrée à la vérification d'un fichier téléchargé :
- dans un terminal Linux, calculer l'empreinte SHA-256 du texte
bonjouravec la commandeprintf 'bonjour' | sha256sum, et vérifier qu'elle commence par2cb4b143 - donner le nom de domaine réel de
https://imagiconvert.example.telechargement-rapide.example/setup - expliquer pourquoi la vérification réussit quand un faux site publie lui-même l'empreinte de son fichier piégé
📌 Réponse attendue
TP pour réfléchir et résoudre des problèmes
Votre défi pour aujourd'hui consiste à examiner, sans rien exécuter, le contenu d'une clé USB trouvée sur un parking, puis à décider quoi en faire
L'agence de voyages « Cap Horizon » et le contenu de la clé sont fictifs, construits pour l'exercice. Les fichiers créés dans ce TP sont inoffensifs : ils ne contiennent aucun programme, seulement quelques octets qui imitent le type d'un fichier.
Dans ce TP, vous n'exécutez aucun fichier : vous les examinez. Faites toujours cet exercice dans la console d'une machine virtuelle, jamais sur le poste d'une organisation.
Vous travaillez à l'agence de voyages « Cap Horizon ». Un collègue a ramassé sur le parking une clé USB portant l'étiquette « SALAIRES 2024 », et propose de la brancher sur le poste de l'accueil « pour retrouver son propriétaire ». Vous lui demandez de patienter, et vous examinez une copie de son contenu.
Étape 1 — Recréer le contenu de la clé
Dans le terminal de votre VM Linux, créez un dossier de travail, puis reproduisez le contenu de la clé :
mkdir ~/tp-cle-usb
cd ~/tp-cle-usb
mkdir cle_parking
cd cle_parking
echo '%PDF-1.4' > Rapport_activite.pdf
echo 'Reunion du lundi : voir le planning des equipes.' > notes_reunion.txt
printf '[autorun]\nopen=Photos_vacances.jpg.exe\nlabel=SALAIRES 2024\n' > autorun.inf
for nom in Photos_vacances.jpg.exe Facture_septembre.pdf .cache_systeme.exe; do
{ printf 'MZ'; head -c 62 /dev/zero; } > "$nom"
done
printf '\114\000\000\000\001\024\002\000\000\000\000\000\300\000\000\000\000\000\000\106' > Documents.lnk
Listez ensuite le contenu du dossier de deux façons :
ls
ls -la
- Combien de fichiers voit la commande
ls? - Que montre
ls -laen plus ? Pourquoi est-ce un premier signal d'alerte ?
📌 Réponse attendue
Étape 2 — Demander à la machine le vrai type des fichiers
Le nom d'un fichier est choisi par celui qui le crée, donc il peut mentir. La commande file lit le
contenu du fichier pour en déterminer le type réel :
file *
file .cache_systeme.exe
- Quel est le type réel de
Facture_septembre.pdf? - Le fichier
Rapport_activite.pdfest-il cohérent avec son nom ? Cela prouve-t-il qu'il est inoffensif ? - Que désigne
Documents.lnk?
📌 Réponse attendue
Étape 3 — Se mettre à la place de l'utilisateur
Observez le nom Photos_vacances.jpg.exe. Sous Windows, l'explorateur de fichiers masque par
défaut l'extension des types de fichiers qu'il connaît.
- Combien d'extensions comporte ce nom ? Laquelle détermine la façon dont Windows traite le fichier ?
- Quel nom un utilisateur voit-il dans l'explorateur avec ce réglage par défaut ?
- Quel réglage permet de ne plus se faire piéger par ce procédé ?
📌 Réponse attendue
Étape 4 — Lire ce qui est lisible sans danger
Deux fichiers sont du texte : on peut les afficher avec cat, sans rien exécuter.
cat autorun.inf
cat notes_reunion.txt
N'utilisez jamais cat sur un fichier binaire : l'affichage serait illisible et peut dérégler le
terminal. Vérifiez d'abord son type avec file.
- Que demande
autorun.inf? - À quoi sert le libellé
SALAIRES 2024? - Quel est le rôle probable de
notes_reunion.txtdans cette clé ?
📌 Réponse attendue
Étape 5 — Décider quoi faire de la clé
Votre collègue insiste : « De toute façon, il y a un antivirus sur le poste de l'accueil. Je la branche juste une minute. »
- Que lui répondez-vous ?
- Que faut-il faire de la clé, concrètement, en 4 actions ?
- Peut-on être piégé par une clé USB même si aucun fichier n'est ouvert ? Justifiez.
Étape 6 — Interroger une base d'antivirus (pour aller plus loin, facultatif)
Calculez l'empreinte SHA-256 du fichier Photos_vacances.jpg.exe (comme lors de la séance
précédente), puis collez-la dans la zone de recherche du site virustotal.com (onglet Search),
sans téléverser le fichier.
sha256sum Photos_vacances.jpg.exe
Si l'accès à ce site est bloqué dans votre établissement, passez directement à la question.
- Si le site répond « aucun résultat », que peut-on en conclure ?
- Pourquoi ne faut-il pas téléverser sur ce site un document confidentiel trouvé sur une clé ?
📌 Réponse attendue
Restitution orale
Un étudiant (ou un binôme) vient présenter à la classe l'analyse de la clé (étapes 1 à 4) et la conduite à tenir proposée à l'agence (étape 5).
- Durée : 5 minutes de présentation + 2 à 3 minutes de questions.
- Qui passe : un(e) étudiant(e) (ou un binôme) désigné(e) par l'enseignant.
- Support : le travail réalisé pendant le TP, aucune préparation supplémentaire n'est nécessaire.
- Ce qui est attendu :
- rappeler le contexte (la clé trouvée sur le parking) et ce que l'analyse a révélé ;
- présenter la démarche suivie (types réels, noms trompeurs, appât) et la décision proposée ;
- répondre aux questions de la classe.
Cet exercice entraîne à l'oral technique court exigé par plusieurs épreuves du BTS (notamment E5 et E6) : clarté, structure, capacité à répondre à l'improviste.
📌 Une solution
Notions théoriques
Vous venez d'examiner une clé sans la brancher. Voyons pourquoi ce réflexe est aussi important, et ce que les attaquants cachent derrière une clé « innocente ».
Pourquoi on laisse des clés USB traîner
L'attaque que vous venez d'étudier relève de l'ingénierie sociale : au lieu de chercher une faille dans un système, on exploite le comportement d'une personne. Elle porte un nom, le baiting (« appâtage ») : on dépose un objet attractif (une clé étiquetée « Salaires », « Confidentiel » ou « Photos privées »), près de l'entrée, d'un parking ou d'une machine à café, en comptant sur la curiosité ou le bon geste (« la rendre à son propriétaire ») de celui qui la trouve.
Plusieurs expérimentations menées dans des universités ont montré qu'une part importante des clés abandonnées finit branchée sur un ordinateur, puis que des fichiers y sont ouverts.
Le ver Stuxnet (2010), qui a visé des installations industrielles, s'est notamment propagé par
clé USB, en exploitant un défaut dans la façon dont Windows traitait certains raccourcis .lnk.
Cette attaque se distingue de celle de la séance sur les conséquences d'une fuite de données. Là, la clé USB était perdue par un salarié, avec des données dessus : le danger était la fuite. Ici, la clé est déposée par l'attaquant : le danger est l'intrusion.
Ce qu'une clé peut contenir
| Piège | Principe | Comment le repérer |
|---|---|---|
| Programme déguisé | Un exécutable est nommé comme un document (Facture.pdf) | file montre un type réel différent de l'extension |
| Double extension | Photos.jpg.exe : l'extension réelle est masquée par l'affichage | Afficher les extensions, lire le nom jusqu'au bout |
| Raccourci piégé | Un fichier .lnk lance une commande | file indique « shortcut », et un vrai dossier n'est pas un raccourci |
| Lancement automatique | autorun.inf demande l'exécution à l'insertion | Fichier présent à la racine, lecture automatique désactivée |
| Document piégé | Un fichier bureautique contient une macro ou exploite une faille | Aucun signe visible : ne pas ouvrir, faire examiner |
| Matériel piégé | La clé se présente comme un clavier (BadUSB) | Aucun fichier à examiner : seule l'origine de la clé alerte |
Reconnaître le vrai type d'un fichier
Le type réel d'un fichier ne dépend pas de son nom, mais de son contenu : les premiers octets
(« signature » ou « nombre magique ») indiquent le format. C'est ce que lit la commande file.
| Commande | Rôle |
|---|---|
ls -la | Liste tous les fichiers, cachés compris, avec leur taille |
file nom_du_fichier | Affiche le type réel d'après le contenu |
cat nom_du_fichier | Affiche un fichier texte (jamais un binaire) |
sha256sum nom_du_fichier | Calcule l'empreinte, utilisable pour une recherche sur une base d'antivirus |
file renseigne sur le type d'un fichier, pas sur sa dangerosité. Un PDF reconnu comme
tel peut quand même être piégé, et un fichier inconnu d'une base d'antivirus n'est pas pour autant
sain.
Que faire d'une clé inconnue ?
Un seul réflexe, que résume l'étape 5 : on ne branche pas. Mieux vaut le compléter par des mesures organisationnelles et techniques :
- Sensibiliser les salariés : le geste de brancher « pour rendre service » est le plus fréquent, donc le plus exploité.
- Prévoir une procédure claire : à qui remettre une clé trouvée, comment la signaler.
- Limiter les ports USB sur les postes sensibles, ou n'autoriser que des supports de l'organisation.
- Examiner dans un environnement isolé : une machine virtuelle sans réseau, ou une « station blanche » dédiée.
Une pièce jointe d'e-mail suspecte se traite de la même manière : on ne l'ouvre pas, on vérifie son type réel et son empreinte, et on la signale. Le vecteur change (e-mail plutôt que clé), pas le raisonnement.
Test de mémorisation/compréhension
Bonnes pratiques
- Ne jamais brancher une clé inconnue sur un poste, professionnel ou personnel, même « pour la rendre à son propriétaire ».
- Remettre la clé au service informatique et signaler où elle a été trouvée.
- Se fier au type réel et non au nom :
filelit le contenu, l'extension peut mentir. - Afficher les extensions des noms de fichiers pour repérer les doubles extensions.
- Examiner dans un environnement isolé (machine virtuelle sans réseau), sans jamais exécuter ce que l'on analyse.
- Ne pas téléverser un document confidentiel sur un service d'analyse en ligne : chercher plutôt son empreinte.