Architecture et intégration
La station blanche GuardLab s’intègre comme point de contrôle indépendant des systèmes internes. Le principe est simple : tous les supports entrants (clés USB, disques externes, fichiers provenant de prestataires ou de flux physiques) sont d’abord analysés dans un environnement isolé avant toute introduction dans le SI.
Le risque USB
Comment fonctionne une attaque USB ?
Les clés USB peuvent véhiculer des fichiers en apparence légitimes, tels que des documents PDF ou bureautiques, qui contiennent en réalité des codes malveillants.
Ces menaces peuvent rester dormantes pour contourner les contrôles initiaux, s’activer uniquement après connexion au réseau interne, ou exploiter automatiquement des vulnérabilités du système dès l’insertion du support. Elles compromettent ainsi l’intégrité des systèmes et peuvent provoquer des interruptions ou une dégradation des opérations. L’usage de solutions de sécurité hétérogènes ou non optimisées est également un facteur qui accentue ce risque.
En parallèle, la nécessité de se conformer à des cadres réglementaires exigeants tels que NERC, NIST ou PCI DSS ajoute une complexité opérationnelle supplémentaire aux stratégies de cybersécurité, tant sur le plan technique qu’organisationnel.
Pourquoi ces attaques
fonctionnent encore ?
- Curiosité des utilisateurs (clés abandonnées volontairement)
- Confiance excessive dans les supports physiques
- Contournement des messageries sécurisées
- Hétérogénéité des postes et des protections
- Manque de traçabilité des flux physiques
Exemple de menaces réelles
- Type
- Remote Access Trojan (RAT)
- Caractéristiques
- PlugX, aussi connu sous le nom de Korplug, est principalement utilisé pour des opérations d’espionnage cybercriminalité et de cyberespionnage, souvent attribué à des groupes soutenus par l’État chinois comme Mustang Panda. Sa fonction principale est de permettre un contrôle à distance complet des systèmes infectés : exfiltration de données, capture d’écran, keylogging, gestion des processus et téléchargement de modules malveillants supplémentaires. PlugX se propage notamment via des clés USB et des campagnes de phishing ciblées, et utilise des techniques d’évasion avancées comme le DLL sideloading pour échapper aux détections.
- Risques
- Vol massif de données sensibles, persistance longue durée dans les réseaux compromis, et possibilité de sabotage ou d’exfiltration d’informations stratégiques.
- Activité
- En 2026, PlugX reste très actif, avec des campagnes récentes ciblant des secteurs comme la diplomatie, les télécoms et la manufacture en Asie et en Europe, malgré des opérations internationales de désinfection menées par le FBI et d’autres agences.
- Type
- Ver informatique
- Caractéristiques
- Stuxnet est conçu spécifiquement pour saboter les systèmes industriels, notamment les automates programmables Siemens (PLC) utilisés dans les centrales nucléaires. Développé conjointement par les États-Unis et Israël dans le cadre de l’opération « Olympic Games », son objectif était de perturber le programme nucléaire iranien en modifiant la vitesse des centrifugeuses et en masquant ces changements aux opérateurs. Stuxnet s’est propagé initialement via des clés USB, puis a exploité plusieurs vulnérabilités zero-day de Windows pour infecter les réseaux.
- Risques
- Destruction physique d’équipements industriels, perturbation de processus critiques, et propagation incontrôlée en dehors de la cible initiale.
- Activité
- Bien que Stuxnet ne soit plus utilisé dans des campagnes actives, son code source a inspiré de nombreux malwares industriels (« Stuxnet-like ») et reste une référence en matière de cyberguerre. Il n’est plus actif sous sa forme originale, mais ses techniques sont toujours étudiées et réutilisées.
- Type
- Ver réseau
- Caractéristiques
- Conficker est apparu en 2008, exploitant une vulnérabilité critique de Windows (MS08-067) pour se propager et former un botnet géant. Il utilise également des attaques par dictionnaire sur les mots de passe administrateur et se diffuse via les clés USB et les partages réseau. Son but est le vol de données, l’exécution de commandes à distance, le téléchargement de malwares supplémentaires, et la participation à des attaques DDoS.
- Risques
- Compromission massive de réseaux, vol d’identifiants, et utilisation des machines infectées pour des activités criminelles.
- Activité
- Malgré les correctifs et les efforts de nettoyage, Conficker reste présent sur certains systèmes non mis à jour, notamment dans des environnements industriels ou gouvernementaux où des machines anciennes ou isolées persistent. Il n’est plus aussi virulent qu’à son apogée (2009), mais des variantes peuvent encore être détectées.
- Type
- Ver informatique
- Caractéristiques
- Agent.BTZ a été utilisé dans une attaque majeure en 2008 contre le département de la Défense américain, se propageant via des clés USB infectées. Sa fonction est d’exfiltrer des données, d’espionner, et de créer des backdoors pour un accès persistant.
- Risques
- Compromission de réseaux sensibles, vol d’informations classifiées, et propagation rapide dans des environnements mal sécurisés. Après cette attaque, l’US DoD a interdit l’usage de clés USB non autorisées (« Operation Buckshot Yankee »).
- Activité
- Agent.BTZ n’est plus actif dans des campagnes récentes, mais son mode opératoire a influencé de nombreux malwares modernes ciblant les clés USB.
- Type
- Malware espion
- Caractéristiques
- Fanny est un malware espion découvert en 2014, souvent associé au groupe Equation (lié à la NSA). Il collecte les informations système, exfiltre des données, et prépare l’environnement pour des attaques plus avancées (comme Stuxnet ou Flame). Il se propage via des clés USB et exploite des vulnérabilités zero-day.
- Risques
- Espionnage industriel ou étatique, compromission de la sécurité nationale, et préparation du terrain pour des cyberattaques de grande envergure.
- Activité
- Fanny n’est plus signalé comme actif dans des campagnes récentes, mais ses techniques restent pertinentes pour les acteurs de la menace persistante avancée (APT).
- Type
- Trojan
- Caractéristiques
- USB Thief est conçu pour voler des données à partir de machines air-gapped (isolées du réseau) via des clés USB. Il copie discrètement des fichiers sensibles qui sont exfiltrés lors du rebranchement de la clé sur une machine connectée à Internet.
- Risques
- Vol de propriété intellectuelle, de secrets industriels ou militaires, et contamination croisée entre réseaux isolés et connectés.
- Activité
- USB Thief est toujours une menace potentielle, surtout dans les milieux industriels ou gouvernementaux où les clés USB restent un vecteur d’attaque privilégié, malgré les mesures de sécurité renforcées.
- Type
- Malware
- Caractéristiques
- LitterDrifter est un malware récent (2023-2024) se propageant via des clés USB et ciblant principalement les systèmes Windows. Sa fonction est l’installation de backdoors, l’exfiltration de données, et la propagation latérale dans les réseaux.
- Risques
- Compromission de la sécurité des entreprises, vol de données sensibles, et persistance dans les environnements mal protégés.
- Activité
- En 2026, LitterDrifter est toujours actif, avec des campagnes récentes signalées en Europe et en Asie, souvent liées à des groupes de cybercriminalité ou d’espionnage.
Une clé USB d’origine inconnue ou non contrôlée doit être considérée comme un support à risque.
La station blanche constitue un point de contrôle essentiel : elle permet d’analyser les supports amovibles dans un environnement isolé, de détecter les menaces avant toute introduction dans le système d’information et de réduire significativement les risques liés aux flux physiques entrants.