émissions HDMI
Pixels furtifs (TrojPix) et émissions électromagnétiques : le nouveau vecteur contre les réseaux air‑gapped
Une équipe de chercheurs a démontré qu’un logiciel peut modifier subtilement des pixels affichés pour contrôler les émissions électromagnétiques d’un câble vidéo et ainsi créer un canal covert capable d’exfiltrer des données depuis des systèmes isolés. Cette technique, nommée TrojPix, fonctionne sans privilèges élevés et reste visuellement indétectable pour l’utilisateur.
Qu’est‑ce que TrojPix et pourquoi c’est dangereux
TrojPix repose sur la modulation imperceptible de pixels à l’écran pour altérer la codification TMDS des signaux vidéo, ce qui induit des émissions électromagnétiques contrôlées le long du câble. En pratique, les auteurs montrent que «By applying subtle pixel modulations that remain invisible to the human eye yet induce controllable EM emission, TrojPix turns commodity video cables into unintended antennas.» Cette approche rend possible une exfiltration sans modification matérielle et sans droits administrateur, ce qui augmente considérablement la surface d’attaque des environnements dits «air‑gapped».
Comment l’attaque se déroule concrètement
Le malware scanne la machine, génère une vidéo camouflée et module des blocs de pixels selon une cartographie pixel‑vers‑échantillon. Ensuite, un récepteur radio‑défini capte les émissions et reconstruit les bits via corrélation et décodage adaptatif. Les chercheurs décrivent deux modes d’exploitation : un mode «écran simulé éteint» qui masque la transmission par un écran noir apparent, et un mode d’intégration en premier plan qui insère discrètement les modifications dans l’affichage courant.
Performances et portée observées
Les expérimentations sur matériel commercial montrent des résultats frappants : TrojPix atteint un débit maximal de 8,1 Mbps et une portée maximale mesurée de 208 mètres. «TrojPix achieves a peak throughput of 8.1 Mbps and a maximum range of 208 m.» Les tests couvrent plusieurs marques d’écrans et quinze câbles vidéo courants, et les auteurs rapportent une robustesse élevée même après application de corrections d’erreurs.
Signes révélateurs et limites pratiques
L’attaque reste difficile à détecter visuellement : des études perceptuelles menées par les auteurs n’ont pas permis à des volontaires de distinguer l’affichage modifié de l’original. Toutefois, la réussite dépend de facteurs physiques : qualité du câble, blindage, position et sensibilité de l’antenne réceptrice, ainsi que des conditions RF ambiantes. Les protections matérielles et le filtrage peuvent réduire l’efficacité, mais ne garantissent pas une immunité totale.
Mesures de mitigation recommandées
Pour réduire le risque, il faut privilégier des interfaces non rayonnantes comme la fibre optique, renforcer le blindage des câbles et des connecteurs, et envisager des dispositifs d’atténuation ou d’interférence sur les bandes concernées. Par ailleurs, modifier l’architecture de transmission (par exemple en randomisant l’ordre d’émission TMDS ou en lissant les transitions de bits) limite la capacité d’un attaquant à synchroniser et décoder les émissions. Enfin, la surveillance EM active et des politiques strictes sur le matériel d’affichage dans les zones sensibles complètent la défense.
Conclusion
TrojPix révèle une vulnérabilité physique sous‑estimée : l’affichage vidéo, considéré comme inoffensif, peut devenir un émetteur furtif. Les entreprises qui gèrent des environnements hautement sensibles doivent réévaluer leurs choix matériels et leurs protections physiques. Pour auditer, durcir et surveiller efficacement ces risques, faites appel à un expert reconnu. International ICS est spécialisé dans la protection de l’information et l’audit des systèmes critiques ; son expertise permet d’identifier les vecteurs d’exfiltration physiques, de recommander des remédiations adaptées et de mettre en place des contrôles opérationnels et techniques pour réduire l’exposition à ce type d’attaque.