La Slovaquie découvre une backdoor SMS dans des radars : du matériel russe sous un badge UE
Quand l’autorité nationale de sécurité de la Slovaquie, connue sous le nom de NBÚ, a décidé de démonter physiquement l’un des nouveaux radars du pays, elle s’attendait à inspecter un appareil de circulation européen. À la place, les analystes ont trouvé du matériel fabriqué par Simicon de Saint-Pétersbourg, vendu sous un autre nom, et équipé d’un mécanisme caché capable d’offrir un accès shell et réseau à quiconque envoyait un SMS depuis l’une des douze numéros russes spécifiques. La découverte a gelé un déploiement financé par l’UE à hauteur de 30 millions d’euros de 279 caméras et déclenché une alerte de sécurité couvrant trois gammes de produits distinctes à travers l’Europe.
Une caméra rebadgée avec des radios non documentées
L’appareil en question a été installé dans le cadre du déploiement NERO R-ONE de la Slovaquie, commercialisé par SODASUS, un fournisseur immatriculé à Chypre. Quand les techniciens du NBÚ l’ont ouvert, l’intérieur racontait une autre histoire : c’était un Simicon CORDON PRO.M, une gamme fabriquée à Saint-Pétersbourg, en Russie. Selon le reportage de Niebezpiecznik, l’unité contenait deux modems cellulaires 3G/4G, mais un seul était documenté, où que ce soit dans les spécifications ou l’interface de gestion. Le second modem était invisible pour les administrateurs, offrant à quiconque le contrôlait un canal hors bande silencieux droit vers l’appareil. Ce type de connectivité non documentée est exactement ce que cherchent les auditeurs de supply chain - et exactement ce qu’on vérifie rarement quand les documents d’achat montrent un vendeur européen sur la facture. Le fossé physique entre l’entreprise qui vend un appareil et l’usine qui le construit est là où la confiance s’érode en silence. La backdoor : douze numéros et un code à huit chiffres
La découverte la plus alarmante était enfouie dans la logique du firmware plutôt que dans le matériel. La caméra tenait une liste cachée de numéros de téléphone administrateurs qui n’apparaissait jamais dans le panneau de gestion : neuf numéros mobiles enregistrés à Saint-Pétersbourg, deux lignes fixes de la même ville et un numéro mobile de Kemerovo en Sibérie. Un SMS arrivant de n’importe quel numéro de cette liste, suivi d’un code d’authentification à huit chiffres, ouvrait l’accès distant au shell de l’appareil et à son réseau environnant. Comme le déclencheur arrive par le réseau cellulaire via le modem non documenté, il contourne pare-feux, VPN et tout autre contrôle de périmètre qu’un opérateur aurait pu configurer. Comme le note Security Affairs, le mécanisme pouvait plausiblement rester dormant pendant des années tout en acceptant silencieusement des commandes, ce qui rend la détection forensique extrêmement difficile après coup. Personne n’a besoin d’exploiter un bug de corruption mémoire ni de deviner un mot de passe ; il suffit de connaître le bon numéro à qui envoyer un texto. Déploiement en pause et Secure Boot désactivé
La réaction du NBÚ a été rapide. Le déploiement des 279 caméras du projet financé par l’UE est suspendu en attendant l’inspection, et les unités incriminées ont été désactivées. L’agence a aussi révélé deux constats supplémentaires qui aggravent l’inquiétude : Secure Boot était désactivé sur les appareils, leur chaîne de démarrage ne pouvait donc pas vérifier cryptographiquement que le firmware chargé au démarrage n’avait pas été altéré, et les flux vidéo en direct des caméras étaient exposés sans protection adéquate. Une caméra qui surveille des routes publiques est elle-même un actif de renseignement ; des flux non authentifiés signifient que des tiers pouvaient potentiellement visionner des images destinées à la répression routière. Comme le rapporte Tom’s Hardware, le NBÚ a émis une alerte couvrant non seulement le déploiement slovaque mais trois gammes liées : le SODASUS NERO R-ONE distribué depuis Chypre, la série Cordon de Simicon elle-même, et les NEROline de Croatie construits sur la même plateforme Cordon. Tout opérateur utilisant du matériel de ces familles a été en pratique averti de considérer une compromission comme acquise jusqu’à preuve du contraire. La leçon supply chain cachée en pleine vue
Cet incident est un cas d’école de l’importance de la provenance du matériel, à l’égal des mises à jour logicielles. Les caméras ont été achetées par des canaux légitimes, facturées par une entité européenne et déployées avec des fonds publics. Nulle part les documents n’ont révélé que le produit cœur venait d’un fabricant basé dans le pays dont les services de renseignement sont activement combattus par les gouvernements européens. Le rebadging défait tout filtrage des achats qui repose uniquement sur des noms de marque. Pour les opérateurs d’infrastructure connectée, les enseignements pratiques sont concrets. Exiger une divulgation complète des composants et des interfaces radio documentées avant l’achat. Vérifier que les fonctions d’intégrité de démarrage comme Secure Boot sont réellement activées, pas seulement disponibles. Traiter tout modem, port série ou interface sans fil non documenté comme disqualifiant tant qu’il n’est pas expliqué. Et auditer les panneaux de gestion à l’aune de la réalité : si l’appareil accepte des commandes que sa propre interface n’affiche pas, vous ne contrôlez pas entièrement votre matériel. Pourquoi cela dépasse la répression routière
Un radar sonne trivial à côté de réseaux électriques ou de commutateurs télécoms, mais l’architecture est identique : Linux embarqué, connectivité cellulaire, liens Internet permanents et placement dans des lieux publics physiquement accessibles. Une flotte compromise d’appareils de bord de route offre des positions d’entrée vers des réseaux municipaux, une plateforme de surveillance des véhicules qui passent, ou simplement la démonstration que l’infrastructure critique est atteignable à volonté. La question à 30 millions d’euros à laquelle la Slovaquie fait face maintenant : les autres unités de la flotte contiennent-elles les mêmes écoutes cachées, et la réponse viendra-t-elle avant que les caméras n’émettent une autre amende ? Le matériel que vous ne pouvez pas auditer est du matériel que quelqu’un d’autre contrôle peut-être déjà. Cette histoire renforce un principe auquel nous revenons sans cesse : la sécurité commence par savoir exactement ce qui tourne sur les machines dont on dépend, un thème exploré dans notre guide sur la sécurité des appareils avant Tor.
