Veille DFIR, SDR et embarqué : persistance par modem USB, analyse spectrale et rétro-ingénierie d'ECU
Cette sélection fait le point sur les récentes avancées en investigation numérique, en analyse radiofréquence et en systèmes embarqués. Elle rassemble des outils pratiques et des cas techniques utiles aux spécialistes du DFIR, du matériel et de la forensique automobile.
Forensique numérique et réponse à incident
Extraction de fichiers intégrés dans des documents OneNote
L'auteur de ce billet du SANS Internet Storm Center aborde un cas pratique portant sur des fichiers OneNote portant l'extension .one. Il y traite spécifiquement de la nécessité d'extraire des fichiers intégrés au sein d'un ensemble de documents de ce format. Pour un enquêteur DFIR, maîtriser l'extraction des pièces jointes contenues dans des fichiers .one est essentiel lors du triage de supports compromis ou de l'analyse de vecteurs d'infection.
Préparer les preuves multimédias numériques avant leur présentation au tribunal
Cet article souligne qu'une présentation efficace devant un tribunal repose avant tout sur une préparation minutieuse des éléments numériques. Il met en avant l'utilisation de l'outil Amped Replay pour accompagner les professionnels de la criminalistique dans cette démarche. Le logiciel permet de préparer des preuves multimédias numériques à la fois claires, exactes et correctement documentées. Pour un enquêteur, soigner la documentation et la clarté des preuves multimédias garantit leur recevabilité et leur compréhension lors des audiences judiciaires.
Maintien d'accès par modem USB dans un environnement compromis
Cette publication issue de Hackers Arise s'intéresse à l'utilisation d'un modem USB dans le cadre d'opérations d'ingénierie sociale et de compromission. Elle indique qu'un tel périphérique peut servir de mécanisme de persistance au sein d'un système ciblé. Ce vecteur fonctionne même lorsque l'environnement visé est isolé. Pour un enquêteur en réponse à incident, cela rappelle l'importance d'inspecter physiquement les ports USB et de rechercher des périphériques de communication non autorisés sur les machines isolées.
Radio logicielle (SDR) et communications sans fil
SweepSA : un analyseur de spectre rapide pour SDR AD936x et HackRF
Développé par l'un des mainteneurs de PortaPack Mayhem, SweepSA est un nouveau programme d'analyse de spectre par balayage. Il prend en charge les radios logicielles de type Pluto basées sur la puce AD936x, telles que l'AntSDR E310 et le LibreSDR, ainsi que les HackRF One et HackRF Pro. Cet outil a été conçu pour offrir un ressenti proche de celui d'un instrument de laboratoire sur banc d'essai. Pour un analyste spécialisé en sécurité matérielle et radio, ce logiciel transforme des SDR courants en outils de diagnostic spectral rapides pour identifier des émissions sur le terrain.
Mise à jour d'OrcSDR avec support SSTV, ACARS et cartes hors ligne sur ESP32-P4
OrcSDR est un firmware open-source permettant de faire fonctionner une clé RTL-SDR directement sur la tablette M5Stack Tab5 équipée d'un microcontrôleur ESP32-P4, sans nécessiter de PC ni de Raspberry Pi. Sa nouvelle version v0.5.0-beta.1 apporte plusieurs fonctionnalités inédites comme le support SSTV, ACARS et des cartes hors ligne. Cette mise à jour inclut également d'importantes améliorations en matière de stabilité. Pour un enquêteur sur le terrain, une telle solution autonome et compacte facilite l'écoute et le décodage de signaux radio sans dépendre d'un ordinateur portable.
Communication par bruit thermique sans porteuse reçue avec un RTL-SDR
Des chercheurs de l'université de Stanford ont présenté des travaux sur la communication par bruit thermique, une méthode permettant de transmettre des données sans fil sans générer le moindre signal radiofréquence. Pour envoyer de l'information, l'émetteur se contente de commuter son antenne entre deux états, tandis qu'un récepteur RTL-SDR est utilisé pour la réception. Cette approche démontre la possibilité d'échanger des données sans onde porteuse. Pour un spécialiste en sécurité radio et forensique, connaître ces techniques de transmission atypiques aide à anticiper des canaux de communication furtifs difficiles à détecter par analyse spectrale classique.
Forensique automobile et systèmes embarqués
Analyse d'ECU Honda Accord 2013 sur architecture SuperSH-2a
Un membre du forum RomRaider partage ses travaux de rétro-ingénierie sur le calculateur moteur (ECU) d'une Honda Accord de 2013 basé sur l'architecture SuperSH-2a. En traçant le régime de ralenti en fonction de la température sur une plage allant de -30 à 90 degrés, il a observé que la valeur de température utilise un facteur de 0,1 où 900 correspond à 90. Il identifie également une adresse mémoire spécifique liée à la température tout en cherchant à localiser les seuils de déclenchement du ventilateur. Pour un expert en forensique automobile, cet échange illustre concrètement le décodage des facteurs d'échelle et l'identification des adresses mémoire lors de l'analyse d'un firmware d'ECU.
Kit portable RISC-V LILYGO T-Display K230 avec LoRa et connectivité cellulaire
Le LILYGO T-Display K230 est un kit de développement portable articulé autour du processeur double cœur 64 bits RISC-V Kendryte K230 et doté d'un écran tactile AMOLED de 4,1 pouces. Il intègre 1 Go de RAM LPDDR4, une caméra de 2 MP, des interfaces HDMI, Ethernet, WiFi 4 ainsi qu'un émetteur-récepteur LoRa SX1262 ou LR2021. En option, il peut recevoir un clavier détachable avec batterie et un module nRF9151 apportant la connectivité cellulaire LTE-M/NB-IoT et le GNSS. Pour un auditeur matériel ou un enquêteur IoT, cette plateforme tout-en-un illustre la convergence des protocoles longue portée (LoRa, cellulaire) et de l'architecture RISC-V sur des terminaux de terrain.