Sony arrête la production de clés USB équipées de rootkit

Sony a arrêté la production de trois modèles de clés USB Microvault qui présentent des risques de sécurité pour les ordinateurs sous Windows, a déclaré à Vnunet.com un porte parole de la firme. Celui-ci a déclaré que le constructeur avait stoppé les livraisons du produit concerné au début du mois d’août 2007. Pas tant pour des raisons de sécurité qu’en raison de « ventes modestes« .

L’entreprise a annoncé avoir lancé une enquête sur les problèmes de sécurité révélés. En attendant les conclusions des investigations, Sony est incapable de se prononcer sur un éventuel plan de rappel des clés USB.

Les trois modèles concernés sont l’USM-128C, l’USM-256F et l’USM-512FL, chacun disposant d’un lecteur numérique d’empreintes. Sony est incapable d’évaluer le nombre d’unités distribuées mais précise qu’un nombre « limité » de pièces avait été vendues dans le monde ces dernières années.

L’éditeur de sécurité F-Secure a alerté, la semaine dernière, que les créateurs de virus (malware) pouvaient profiter des caractéristiques implémentées dans le périphérique afin de cacher des applications malveillantes à l’utilisateur et aux logiciels de sécurité. Développée par la firme taïwanaise FineArt Technology, l’application livrée avec la clé fonctionne d’une manière similaire à celle d’un rootkit.

En combinaison avec la technologie de FineArt, le lecteur d’empreintes digitale accède aux données stockées sur la clé. La manière dont l’application gère les données sur les profils est invisible à l’utilisateur ainsi qu’à certaines solutions de sécurité. Bien que cette configuration aide à préserver l’intégrité des données liées aux empreintes digitales, la méthodologie peut également servir de cachette aux virus et autres agents malveillants.

Deux ans plus tôt, une autre division de Sony s’était retrouvée empêtrée dans un scand ale de rootkit. A l’époque, la filiale musicale Sony BMG avait placé un rootkit sur certains de ses CD audio afin de lutter contre le piratage de musique.

F-Secure et le développeur Mark Russinovich avaient pointé du doigt le label pour son usage détourné de la technologie. Sony avait dans un premier temps nié les problématiques de sécurité impliquées avant qu’un malware vienne à exploiter les fonctionnalités du rootkit. Le scandale avait provoqué une enquête gouvernementale aux Etats-Unis et plusieurs poursuites judiciaires, la plupart d’entre elles étant aujourd’hui réglées.

Traduction d’un article de Vnunet.com en date du 31 août 2007.