Jusqu’où un hacker peut-il agir à distance avec simplement un numéro de Fax ?

Croyez-le ou non, mais votre numéro de fax est suffisant pour qu’un hacker prenne complètement le contrôle de votre imprimante et puisse infiltrer le reste des appareils connectés au même réseau que lui.

Les chercheurs de Check Point ont révélé des détails sur deux vulnérabilités critiques d’exécution de code (RCE) qu’ils ont découvert dans les protocoles de communication utilisés par des dizaines de millions de fax dans le monde.

Vous vous dites surement : qui utilise encore un fax ? En fait, les fax ne sont pas des éléments du passé. Avec plus de 300 millions de numéros de fax et 45 millions de machines fax utilisées actuellement dans le monde, le Fax est toujours populaire parmi de nombreuses entreprises, régulateurs, avocats, banquiers et agences immobilières.

Puisque la majorité des machines fax sont aujourd’hui intégrés dans des imprimantes tout-en-un, connectées à un réseau Wifi et à une ligne de téléphone PSTN, un hacker à distance peut simplement envoyer un fichier image sur le fax pour exploiter les vulnérabilités révélées et prendre le contrôle du réseau d’une entreprise ou d’un domicile.

Tout ce dont le hacker a besoin pour cela c’est d’un numéro de fax, facile à trouver en naviguant sur le site web d’une entreprise ou simplement en le demandant directement.

Nommée Faxploit, l’attaque implique deux vulnérabilités de dépassement de tampon – l’une déclenche l’analyse syntaxique des marqueurs COM (CVE-2018-5925) et un autre problème se produit lors de l’analyse des marqueurs DHT (CVE-2018-5924), ce qui conduit à l’exécution de code à distance. 

Pour illustrer sa découverte, le chef de l’équipe de recherche de malware de Check Point, Yaniv Balmas, et le chercheur en sécurité, Eyal Itkin, ont utilisé les imprimantes fax Officejet Pro All-in-One très populaires d’HP- l’imprimante tout-en-un HP Officejet Pro 6830 et l’OfficeJet Pro 8720.

Comme on peut le voir dans la vidéo ci-dessus, les chercheurs envoient un fichier image contenant une charge utile malveillant via la ligne téléphonique, et dès que la machine fax la reçoit, l’image est décodée et intégrée à la mémoire de l’imprimante-fax.

Durant la démonstration, les chercheurs ont utilisé les exploits EternalBlue et DoublePulsar développés par la NSA, mis en lumière par le groupe Shadow Brokers et qui étaient derrière le tollé mondial du ransomware WannaCry l’année dernière, pour ainsi prendre le contrôle de la machine connectée et pour ensuite répandre le code infecté sur tout le réseau.

« En utilisant simplement une ligne de téléphone, nous avons pu envoyer un fax qui a pris le contrôle total de l’imprimante, et ensuite répandu la charge utile au sein du réseau informatique auquel l’imprimante accède », a déclaré le chercheur dans un post de blog publié aujourd’hui.

« Nous pensons que la communauté informatique doit porter une attention particulière aux risques de sécurité liés à ces exploits, pour changer la manière dont les architectures de réseau modernes envisagent la mise en réseau des imprimantes et des machines fax. »

Selon les chercheurs de Check Point, les attaquants peuvent coder le fichier image avec des malwares comme des ransomwares, des mineurs de cryptomonnaies, ou des outils de surveillance, selon la cible visée et les intérêts qu’elle suscite.

Les chercheurs de Check Point ont fait part de leurs découvertes à Hewlett Packard, qui a rapidement paré aux défauts de leurs imprimantes tout-en-un et déployé en réponse des patchs micrologiciels. Un patch est disponible sur la page d’assistance d’HP.

Néanmoins, les chercheurs pensent que les mêmes vulnérabilités peuvent aussi impacter des imprimantes tout-en-un avec fax vendus par d’autres fabricants et d’autres implémentations fax comme les services fax-à-email, les machines fax seules, et autres.