Une étude révèle qu’une attaque sonore inaudible menace les assistants vocaux

Une étude récente révèle comment les attaquants peuvent déclencher des vulnérabilités dans les assistants vocaux à des fins malveillantes. Comme démontré, l’utilisation de chevaux de Troie sonores inaudibles permet d’exploiter les vulnérabilités existantes dans les assistants vocaux pour attaquer les appareils respectifs.

Un son inaudible peut attaquer les assistants vocaux

Une équipe de chercheurs de l’Université du Texas à San Antonio et de l’Université du Colorado à Colorado Springs a mis au point une stratégie d’attaque intéressante visant les assistants vocaux.

Plus précisément, les chercheurs ont développé une attaque NUIT (Near-Ultrasound Inaudible Trojan) qui consiste à injecter des commandes vocales malveillantes dans la plage inaudible pour déclencher des assistants vocaux.

Pour cela, l’attaquant peut inciter la victime à installer une application malveillante qui se mêlera plus tard des assistants vocaux de l’appareil en lisant des fichiers audio. Ou, l’attaque peut se produire via un site Web conçu de manière malveillante si et quand la victime le visite, par exemple, à la suite d’une attaque de phishing.

Une fois cela fait, l’attaquant exploite le microphone de l’appareil avec des ondes quasi ultrasonores inaudibles pour l’homme. Et avant d’effectuer toute autre action, il peut même réduire le volume de l’appareil cible via une commande inaudible similaire afin que la réponse de l’assistant vocal à la commande ne soit pas entendue. Ainsi, l’utilisateur victime ne saurait pas que l’attaque se produit pendant que l’adversaire continue d’exécuter des commandes malveillantes.

Les chercheurs ont partagé les vidéos suivantes comme démonstrations de l’attaque NUIT. Dans la première vidéo, l’attaquant attaque un iPhone, déclenchant Siri pour ouvrir la porte principale du lieu de la victime avec des commandes silencieuses.

De même, dans la vidéo suivante, l’attaquant déclenche Google Assistant (populaire sur les appareils Android) pour faire de même.

Dans les deux cas, le propriétaire de l’appareil cible est assis à proximité de l’appareil piraté. Pourtant, la victime reste inconsciente des activités de son téléphone.

Limites et contre-mesures

Selon les chercheurs, l’attaque NUIT n’est pas aussi parfaite qu’il n’y paraît. Il fonctionne principalement pour les combinés équipés d’un haut-parleur linéaire et d’un microphone. Comme cela devient courant, les chercheurs conseillent aux fabricants d’appareils d’envisager de repenser le placement afin d’empêcher la transmission sonore inaudible au microphone.

Bien que ce soit un remède pour l’avenir, pour l’instant, les chercheurs conseillent aux utilisateurs de passer à l’utilisation d’écouteurs au lieu de haut-parleurs. En effet, les écouteurs assurent une faible transmission du son, empêchant les commandes directes au microphone.

Les chercheurs vont présenter leur étude au USENIX Security 2023 prévu les 9 et 11 août 2023, au Anaheim Marriott à Anaheim, CA, USA. Alors que les détails sur l’attaque NUIT sont également disponibles sur un page web dédiée.

Faites-nous part de vos réflexions dans les commentaires.