Ce que nous avons trouvé : une Smart TV qui appelait un serveur C2
Lors d’un récent audit de cybersécurité réalisé pour un client, nous avons découvert une faille de sécurité majeure : une TV Android connectée au réseau de l’entreprise contenait un logiciel malveillant. Cet appareil tentait en permanence de se connecter à un serveur de commande et de contrôle (C2), dans le but d’installer une porte dérobée sur le réseau.
Grâce à ce serveur C2, les cybercriminels pouvaient infiltrer le réseau, voler des données ou même déployer un rançongiciel, en contournant les mesures de sécurité traditionnelles. Il s’agit essentiellement d’une attaque de phishing, mais exécutée à distance, sans qu’aucun collaborateur n’ait à cliquer sur quoi que ce soit.
Comment la surveillance du réseau a-t-elle détecté la menace ?
Lors d’un audit de sécurité pour un client qui n’avait pas encore souscrit à notre service de surveillance 24h/24, nous avons détecté un nombre inhabituel de connexions vers un botnet, toutes provenant d’un seul appareil de son réseau.
Nos analystes ont rapidement retracé ces alertes jusqu’à une Smart TV, ce qui a été confirmé par le client. Une analyse approfondie a révélé que de nombreux appareils de ce type sont livrés avec des logiciels malveillants préinstallés. Dans ce cas précis, il s’agissait d’une variante de CopyCat, un malware capable d’obtenir des privilèges root et d’exécuter des commandes à distance.
C’est à cela que ressemble la détection de menaces dans la vraie vie : pas une alarme spectaculaire, mais un trafic anormal provenant d’un appareil qui ne figurait sur aucun inventaire.
Qu’avons-nous découvert sur l’appareil infecté ?
Notre enquête, couvrant plusieurs sources publiques, a révélé que le téléviseur infecté tentait de se connecter à un domaine C2 malveillant connu : ycxrl[.]com.
Quels appareils sont associés à ce logiciel malveillant ?
- T95 (AllWinner H616)
- T95Max (AllWinner H618)
- X12-Plus (RockChip 3328)
- X88-Pro-10 (RockChip 3328)
Quels indicateurs de compromission surveiller ?
En plus des communications C2, nous avons identifié deux indicateurs de compromission (IOC) spécifiques qui signalent la présence de ce logiciel malveillant :
- un répertoire nommé /data/system/Corejava
- un fichier nommé /data/system/shared_prefs/open_preference.xml
Notre système a réussi à bloquer les connexions C2. Il faut mesurer ce qui se serait passé sans ce blocage : ce type de malware est capable d’exfiltrer des données et d’exécuter des commandes à distance, ce qui en fait une menace majeure et non un simple désagrément.
Pourquoi une PME devrait-elle s’en soucier ?
Ce cas met en évidence les risques que représentent les appareils IoT pour les réseaux d’entreprise. Un téléviseur en salle de réunion, un cadre photo numérique à l’accueil ou un thermostat connecté dans l’entrepôt partagent le même réseau que vos fichiers, vos factures et votre comptabilité. Personne ne les met à jour, personne ne les surveille, et le plus souvent personne n’en est responsable.
Dans ce cas précis, la protection DNS d’AXS Guard a détecté et neutralisé la menace très tôt. Sans protection adéquate, les cybercriminels auraient pu voler des données sensibles de l’entreprise ou utiliser le réseau comme tremplin pour d’autres attaques, y compris contre vos clients et vos fournisseurs.
Comment protéger votre réseau en quatre étapes
- Utilisez une protection DNS. Les requêtes DNS suspectes doivent être surveillées et bloquées, quel que soit l’appareil qui les émet. C’est ce qui a arrêté l’attaque dans ce cas.
- Faites l’inventaire des appareils connectés. Vérifiez régulièrement quels appareils accèdent à votre réseau et assurez-vous que chacun est connu, utile et fiable.
- Mettez en place une surveillance sécurité 24h/24. Un service géré détecte et contient les menaces en temps réel, y compris en dehors des heures de bureau, précisément le moment où ce type de trafic apparaît.
- Évitez les appareils bon marché et non vérifiés. Un matériel non certifié ou mal pris en charge par le fabricant présente un risque réel de logiciel malveillant préinstallé, comme le montre ce cas.
Ce qu’il faut retenir
La prolifération des appareils IoT bon marché, des Smart TV aux systèmes domotiques, ouvre de nouvelles brèches pour les cybercriminels. Ces appareils sont achetés en dehors de l’informatique, branchés sans réflexion et n’apparaissent dans aucune revue de sécurité. La surveillance du réseau est ce qui transforme cet angle mort en événement détectable, avant que quelqu’un d’autre ne l’exploite.
FAQ : surveillance du réseau et objets connectés
Qu’est-ce que la surveillance sécurité 24h/24 ?
La surveillance sécurité 24h/24 est l’analyse continue, jour et nuit, du trafic et des événements de sécurité d’un réseau, afin de détecter les comportements suspects, par exemple un appareil qui contacte un domaine malveillant connu. Contrairement à un antivirus, qui protège une seule machine, elle observe le réseau dans son ensemble : c’est ainsi que les menaces présentes sur des appareils non gérés deviennent visibles.
Une Smart TV peut-elle vraiment être piratée ?
Oui, et dans bien des cas elle n’a même pas besoin de l’être. Plusieurs boîtiers et téléviseurs Android à bas prix ont été livrés avec un logiciel malveillant déjà installé, comme cela a été documenté pour le modèle T95 et ses équivalents. Une fois connecté, l’appareil se comporte comme n’importe quel autre hôte de votre réseau.
Comment savoir quels appareils sont connectés à mon réseau ?
Commencez par un inventaire : listez chaque appareil ayant un accès réseau, attribuez-lui un responsable, puis retirez ou isolez tout ce qui est inconnu. Une analyse de risques ou un audit réseau fera remonter les appareils qui n’ont jamais été déclarés, et c’est de là que viennent la plupart des surprises.
Un pare-feu suffit-il face à ce type de menace ?
Un pare-feu est nécessaire mais pas suffisant. Ici, l’attaque venait de l’intérieur du réseau, depuis un appareil autorisé à y être. La détection a reposé sur le filtrage DNS et sur le fait que quelqu’un regardait les alertes, ce qui est le rôle d’un centre d’opérations de sécurité (SOC).
Vous ne savez pas ce qui est connecté à votre réseau ?
La plupart des organisations découvrent leurs angles morts IoT pendant un incident. Ce n’est pas une fatalité. Parlez-en à un expert Approach Cyber : nous faisons le point sur ce qu’une surveillance continue verrait passer sur votre propre réseau.
Sources
- Dépôt de recherche T95-H616-Malware (GitHub) : https://github.com/DesktopECHO/T95-H616-Malware
- Security Affairs, malware du boîtier Android TV T95 : https://securityaffairs.com/140866/security/t95-android-tv-box-malware.htm