Les attaques DMA (Direct Memory Access) exploitent les interfaces matérielles à haut débit — Thunderbolt, PCIe, FireWire et USB4 — pour lire et écrire directement dans la mémoire physique d'une machine, sans solliciter le processeur ni le système d'exploitation. Cette capacité d'accès direct rend les DMA attacks Thunderbolt PCIe particulièrement redoutables : elles contournent l'intégralité des protections logicielles, du chiffrement de disque BitLocker ou LUKS aux mécanismes d'authentification de session, en extrayant les clés maîtresses résidant en clair dans la RAM. Un attaquant disposant d'un accès physique de quelques minutes peut ainsi dumper l'intégralité de la mémoire, injecter du code malveillant dans le noyau ou déverrouiller un poste chiffré. Malgré les contre-mesures modernes comme l'IOMMU et Kernel DMA Protection, de nombreux équipements restent vulnérables à ces techniques d'exploitation matérielle.

En bref

  • Les attaques DMA permettent la lecture/écriture de TOUTE la mémoire physique via Thunderbolt, PCIe ou FireWire
  • PCILeech + FPGA (Screamer/Squirrel) est le standard pour les audits DMA professionnels
  • BitLocker sans PIN de pre-boot est vulnérable — la FVEK est en RAM et extractible par DMA
  • L'IOMMU (VT-d/AMD-Vi) est la mitigation principale mais n'est pas toujours activé par défaut
  • Thunderbolt 4 impose Security Level 2 minimum mais des contournements via ATS existent
\

En bref

  • Vecteurs DMA : Thunderbolt 3/4, PCIe, FireWire IEEE 1394, USB4 et M.2/NVMe
  • Outils : PCILeech, Inception, FPGA-based DMA platforms (Screamer, Squirrel)
  • Attaques : extraction de clés BitLocker/FileVault, bypass écran de verrouillage, injection kernel
  • Mitigations : IOMMU/VT-d, Thunderbolt Security Levels, Kernel DMA Protection, Secure Boot
  • Méthodologie de test physique pour les audits de sécurité matérielle
\
DMA (Direct Memory Access) — Mécanisme matériel permettant aux périphériques de lire et écrire directement dans la mémoire RAM sans intervention du processeur. Conçu pour les transferts de données haute performance, le DMA crée un vecteur d'attaque critique car il contourne toutes les protections logicielles du système d'exploitation.
\

Principes du DMA et Vecteurs d'Attaque

\

Le DMA est un mécanisme fondamental de l'architecture PC : les périphériques (carte réseau, carte graphique, contrôleur de stockage) ont besoin de transférer de grandes quantités de données vers et depuis la RAM sans solliciter le CPU à chaque octet. Le contrôleur DMA permet ces transferts directs entre le périphérique et la mémoire physique. Le problème de sécurité est évident : un périphérique malveillant peut lire ou écrire n'importe quelle adresse de la mémoire physique, accédant aux données de tous les processus, du kernel et des structures de sécurité.

\ \ \ \ \ \ \ \ \ \
InterfaceDébitAccès DMARisque
Thunderbolt 3/440 GbpsOui (PCIe tunneling)Critique
USB440-80 GbpsOui (PCIe tunneling)Critique
FireWire (IEEE 1394)800 MbpsOui (natif)Critique
ExpressCard5 Gbps (PCIe x1)Oui (PCIe direct)Critique
M.2/NVMe64 Gbps (PCIe 5.0 x4)Oui (PCIe direct)Nécessite ouverture
USB 3.x standard20 GbpsNon (sauf USB4)Faible
\

PCILeech : L'Outil de Référence

\

PCILeech est l'outil de référence pour l'exploitation DMA. Il supporte de multiples plateformes matérielles (FPGA, Thunderbolt, USB3380) et offre des fonctionnalités puissantes :

⚡

Retour terrain

Sur un test d'intrusion externe pour un groupe de BTP, j'ai exploité une CVE de 2023 sur une instance Confluence exposée sur Internet — non patchée depuis 14 mois. L'application était 'connue de l'équipe IT' comme devant être mise à jour mais la priorité n'avait jamais été accordée. En 20 minutes d'exploitation, j'avais un shell sur le serveur et accès au réseau interne. La fenêtre d'exploitation de 14 mois sur une CVE exploitée in-the-wild est malheureusement représentative.

\ 
# PCILeech — Exemples d'utilisation\ \ # 1. Dump de la mémoire physique complète\ pcileech dump -out memory.raw -min 0 -max 0x100000000\ \ # 2. Recherche de patterns en mémoire (clés de chiffrement)\ pcileech search -s "PRIVATE KEY" -min 0 -max 0x100000000\ \ # 3. Injection de shellcode en mémoire kernel\ pcileech kmdload -kmd LINUX_X64\ \ # 4. Bypass de l'écran de verrouillage Windows\ pcileech patch -sig wx64_intelptt_unlock\ \ # 5. Extraction de credentials (LSASS)\ pcileech lsass -out creds.txt
\

Plateformes FPGA pour Attaques DMA

\

Les plateformes FPGA sont le standard pour les attaques DMA professionnelles. Elles émulent un périphérique PCIe légitime (carte réseau, contrôleur USB) et interceptent/injectent les transactions DMA :

\
    \
  • Screamer (PCIe) : carte PCIe basée sur Xilinx Artix-7. Se connecte via le slot PCIe x1/x4 et émule n'importe quel device ID. Compatible PCILeech avec des débits de lecture de 2+ GB/s.
    • \
  • Squirrel (M.2) : facteur de forme M.2 — se branche dans le slot M.2 d'un laptop. Discret et efficace pour les audits physiques.
    • \
  • USB3380-based : carte USB-to-PCIe bridge. Moins performante mais bon marché (~50€) et facilement disponible.
    • \
  • LambdaConcept PCIe Screamer : plateforme open-source avec firmware PCILeech. Inclut un sniffer PCIe pour l'analyse passive du trafic.
    • \
\

Extraction de Clés BitLocker via DMA

\

L'une des attaques DMA les plus impactantes cible BitLocker (chiffrement de disque Windows). Quand BitLocker utilise le TPM seul (sans PIN de pre-boot), la clé de chiffrement (FVEK — Full Volume Encryption Key) est déchiffrée au boot et stockée en mémoire RAM. Un attaquant DMA peut :

\
    \
  1. Connecter un device DMA au système allumé (ou en veille S3)
    2. \
  2. Scanner la mémoire physique à la recherche du FVEK pattern
    3. \
  3. Extraire la clé — le disque peut être déchiffré hors-ligne
    4. \
\

Attaques FireWire Historiques

\

FireWire (IEEE 1394) est l'ancêtre des attaques DMA — le protocole accorde par conception un accès DMA complet à tout périphérique connecté, sans aucune authentification. L'outil Inception automatise les attaques FireWire :

\ 
# Inception — bypass de l'écran de verrouillage via FireWire\ inception --target win10 # Patch la mémoire pour bypass le login\ inception --target osx # Même chose sur macOS\ inception --target linux # Et Linux\ \ # Inception modifie la routine d'authentification en mémoire\ # pour qu'elle accepte n'importe quel mot de passe
\

IOMMU/VT-d : La Mitigation Principale

\

L'IOMMU crée des tables de traduction d'adresses pour les périphériques DMA, similaires aux tables de pages du MMU pour les processus. Chaque périphérique ne peut accéder qu'aux régions de mémoire physique qui lui sont explicitement assignées. Intel VT-d et AMD AMD-Vi implémentent l'IOMMU au niveau matériel.

\
    \
  • Thunderbolt Security Levels : None (SL0, DMA libre), User (SL1, confirmation), Secure (SL2, confirmation + UUID), USB-only (SL3, pas de PCIe tunneling)
    • \
  • Kernel DMA Protection (Windows 10+) : active l'IOMMU avant le chargement des drivers Thunderbolt, bloquant le DMA pré-boot
    • \
  • DMAR ACPI table : décrit les mappings IOMMU au BIOS/UEFI. Certains BIOS ne configurent pas correctement l'IOMMU, laissant des fenêtres d'attaque
    • \
\
⚠️ Attention — Même avec l'IOMMU activé, des contournements existent : certains BIOS laissent des fenêtres DMA ouvertes pendant le boot, les drivers kernel peuvent désactiver temporairement la protection IOMMU pour un device, et les attaques par ATS (Address Translation Services) PCIe peuvent contourner l'IOMMU en exploitant les capacités de traduction du device lui-même.
\
? Conseil pratique — Pour un audit DMA, commencez par vérifier si l'IOMMU est activé : dmesg | grep -i iommu sur Linux, ou msinfo32 → Kernel DMA Protection sur Windows. Testez avec un device PCILeech USB3380 (~50€) avant d'investir dans une plateforme FPGA.
\

À retenir

  • Les attaques DMA permettent la lecture/écriture de TOUTE la mémoire physique via Thunderbolt, PCIe ou FireWire
  • PCILeech + FPGA (Screamer/Squirrel) est le standard pour les audits DMA professionnels
  • BitLocker sans PIN de pre-boot est vulnérable — la FVEK est en RAM et extractible par DMA
  • L'IOMMU (VT-d/AMD-Vi) est la mitigation principale mais n'est pas toujours activé par défaut
  • Thunderbolt 4 impose Security Level 2 minimum mais des contournements via ATS existent
\

FAQ — Questions Fréquentes

\
\

Les MacBooks sont-ils vulnérables aux attaques DMA ?

Les MacBooks avec Apple Silicon (M1+) ne sont pas vulnérables aux attaques DMA classiques car Apple implémente un IOMMU strict (DART — Device Address Resolution Table) qui isole chaque périphérique. Les MacBooks Intel avec Thunderbolt 3 étaient vulnérables avant macOS Catalina 10.15.4 qui a activé l'IOMMU par défaut. Les MacBooks avec puce T2 ajoutent une couche de protection supplémentaire.

\

Comment se protéger contre les attaques DMA ?

Activez l'IOMMU dans le BIOS (VT-d/AMD-Vi), configurez Thunderbolt en Security Level 2 ou 3, utilisez un PIN de pre-boot avec BitLocker (pas TPM seul), désactivez FireWire si non utilisé, et activez Kernel DMA Protection sur Windows 10+. Pour les environnements les plus sensibles, désactivez physiquement les ports Thunderbolt ou utilisez des bloqueurs de port physiques.

\

PCILeech fonctionne-t-il à distance ?

Non, PCILeech nécessite un accès physique pour connecter le device DMA. Cependant, une fois le shellcode injecté en mémoire kernel, l'attaquant peut établir un accès distant persistant. Certains scénarios d'attaque combinent l'accès physique bref (evil maid) avec un implant réseau pour un accès continu.

\
\

Conclusion

Ce sujet s'inscrit dans un contexte de menaces en constante évolution. La meilleure protection combine veille active, audits réguliers et sécurité by design. Pour approfondir ou évaluer votre exposition, consultez nos experts.

Besoin d'un accompagnement expert ?

Nos consultants spécialisés en sécurité matérielle et audits physiques vous accompagnent dans l'évaluation de votre posture de sécurité.

Contactez-nous
\
Article recommandé : SGX/TDX et TEE : Attaques sur les Enclaves Sécurisées
\

? Articles connexes

\

? Références externes

\

Détection forensique des attaques DMA et traces en mémoire

La détection forensique d'une attaque DMA passée est particulièrement ardue car les accès mémoire directs ne génèrent pas de logs système standard. Les indices à rechercher lors d'une investigation post-incident incluent : les entrées de journal PCIe anormales dans les logs UEFI/BIOS (certains firmwares modernes journalisent les accès DMA inhabituels), les artefacts dans la mémoire de dump révélant des modifications de structures noyau cohérentes avec une attaque par rootkit DMA, et les journaux des contrôleurs Thunderbolt indiquant des connexions de périphériques non approuvés.

L'outil PCILeech lui-même génère des signatures détectables par certains EDR : les accès mémoire en mode DMA depuis un périphérique non-hôte correspondent à des patterns d'accès anormaux que des solutions comme Intel Transparent Supply Chain ou les modules IOMMU monitoring de certains hyperviseurs peuvent détecter en temps réel. Pour les organisations à haute sensibilité (défense, finance, infrastructure critique), l'implémentation d'un monitoring IOMMU actif — qui journalise toutes les tentatives d'accès DMA hors des plages allouées — est une mesure de défense en profondeur efficace contre les attaques Thunderbolt physiques.

Les contre-mesures physiques contre les attaques DMA représentent la première ligne de défense pour les environnements à haute sécurité. Le verrouillage des ports Thunderbolt via BIOS/UEFI est la mesure la plus simple et la plus efficace — la plupart des BIOS enterprise permettent de désactiver complètement les ports Thunderbolt ou de les limiter au mode "USB seulement" (sans DMA). Pour les environnements où Thunderbolt est nécessaire pour les docks et périphériques légitimes, l'activation du mode "Thunderbolt Security Level: User Authorization" exige une approbation explicite de l'utilisateur pour chaque nouveau périphérique Thunderbolt, avec persistance de l'autorisation stockée dans un TPM.

Les protections logicielles complémentaires incluent l'activation de la protection noyau Windows (Kernel DMA Protection, disponible depuis Windows 10 version 1803 sur hardware compatible) qui utilise l'IOMMU pour isoler les périphériques Thunderbolt dans des espaces d'adressage dédiés. Sur Linux, les paramètres `iommu=force` et `intel_iommu=on` dans GRUB activent la protection IOMMU. Ces mesures n'éliminent pas tous les vecteurs DMA (bus PCIe interne reste potentiellement vulnérable sur les machines accessibles physiquement) mais augmentent significativement le coût et la complexité des attaques.

\
Ayi NEDJIMI
\

Testez vos défenses avant les attaquants

\

Pentest, Red Team, audit de sécurité — rapport détaillé avec plan de remédiation priorisé.

\ \
\

Environnement de test et laboratoire pratique

La maîtrise des techniques de sécurité offensive et défensive requiert un environnement de pratique dédié. L'installation d'un laboratoire virtuel sur votre poste (VMware Workstation, VirtualBox, ou Proxmox pour une infrastructure plus élaborée) permet de tester les concepts présentés dans cet article sans risque pour les systèmes de production.

Configuration recommandée du lab

Pour reproduire les scénarios décrits, une configuration minimale comprend : un hyperviseur disposant d'au moins 16 Go de RAM et 4 cœurs CPU, un réseau virtuel isolé (host-only ou internal network sans accès Internet pour les VMs malveillantes), et un snapshot de base avant chaque manipulation pour faciliter le retour arrière. Les distributions spécialisées Kali Linux (offensive) et Parrot OS Security Edition couvrent l'ensemble des outils nécessaires sans configuration manuelle. Pour l'aspect défensif, Security Onion déploie en une seule VM un stack complet (Zeek, Suricata, Elasticsearch, Kibana) qui permet de visualiser l'impact des techniques testées.

Ressources de formation complémentaires

Les plateformes d'entraînement permettent de consolider la pratique dans des environnements légaux et structurés. HackTheBox et TryHackMe proposent des machines virtuelles sur lesquelles appliquer les techniques décrites, avec des difficultés progressives adaptées aux débutants comme aux experts. Pour les scénarios d'entreprise (Active Directory, Cloud, applications web complexes), les labs Pro de HackTheBox ou les modules DFIR/SOC de Blue Team Labs Online offrent des cas réalistes. Les CTF compétitifs (Hack The Box CTF, DEFCON CTF, PicoCTF) développent la créativité et l'adaptabilité face à des challenges inédits. La régularité de pratique (1-2 heures hebdomadaires minimum) prime sur l'intensité ponctuelle pour développer des réflexes durables.

Indicateurs de maturité et métriques de sécurité

Mesurer l'efficacité des mesures de sécurité implémentées est indispensable pour justifier les investissements et guider les priorités. Les métriques suivantes constituent un tableau de bord de sécurité applicable aux organisations de toutes tailles.

Métriques de couverture et de détection

Les indicateurs clés à suivre mensuellement : taux de couverture MITRE ATT&CK (pourcentage des techniques adversariales couvertes par des règles de détection actives) ; Mean Time To Detect (MTTD) pour les incidents de sécurité confirmés ; Mean Time To Respond (MTTR) depuis l'alerte jusqu'à la résolution ; taux de faux positifs sur les alertes SIEM (objectif : moins de 5% pour les règles de haute priorité) ; pourcentage de systèmes avec agents EDR installés et actifs (objectif : 100% des endpoints gérés). Ces métriques, compilées dans un rapport mensuel pour la direction, permettent de démontrer la valeur des investissements sécurité et d'identifier les domaines nécessitant des ressources supplémentaires.

Amélioration continue par les exercices

Les organisations les plus matures en matière de cybersécurité organisent régulièrement des exercices pour tester et améliorer leurs capacités. Les exercices tabletop (simulation de crise sur table, sans activation des systèmes techniques) développent la coordination des équipes et valident les procédures de communication de crise. Les tests de pénétration (pentest) annuels fournissent une évaluation objective de la résistance technique de l'infrastructure. Les exercices Red/Blue/Purple Team (1-2 fois par an pour les organisations matures) permettent d'aligner les équipes offensive et défensive autour d'objectifs communs d'amélioration. Chaque exercice doit donner lieu à un plan d'action formalisé avec des jalons de correction mesurables, intégré dans la feuille de route sécurité de l'organisation.

Synthèse et perspectives 2026

Les techniques et recommandations présentées dans ce guide s'inscrivent dans un contexte de menaces en constante évolution. La cybersécurité offensive et défensive sont deux faces d'une même médaille : comprendre les mécanismes d'attaque est indispensable pour construire des défenses robustes et résilientes face aux acteurs malveillants les plus sophistiqués.

Pour les équipes sécurité, l'enjeu de 2026 est double : maintenir une veille continue sur les nouvelles techniques publiées par la communauté de recherche (CVE, exploit-db, GitHub, Secrech, SSTIC) tout en assurant le durcissement progressif de l'infrastructure existante. Le référentiel MITRE ATT&CK reste le fil conducteur le plus efficace pour structurer un programme de détection et de réponse face aux tactiques, techniques et procédures des groupes APT ciblant les secteurs critiques.

La formation continue des équipes, la simulation régulière d'incidents (exercices tabletop, exercices Red/Blue/Purple Team), et l'automatisation des tâches répétitives via des outils SOAR constituent les piliers d'une organisation cyber mature. Les organisations qui investissent dans ces trois axes démontrent systématiquement de meilleures métriques de détection et de réponse (MTTD et MTTR réduits de 40% en moyenne selon les benchmarks sectoriels) face aux incidents de sécurité.

Checklist de mise en œuvre et points de contrôle

La mise en pratique des recommandations de cet article nécessite une approche structurée. Cette checklist synthétise les points de contrôle essentiels pour évaluer l'état d'avancement de votre déploiement et identifier les actions prioritaires.

Phase de préparation et d'inventaire

Avant toute action technique, constituer un inventaire précis est indispensable. Les éléments à recenser : cartographie exhaustive des actifs concernés (systèmes, applications, flux de données) avec leur criticité métier associée ; identification des propriétaires techniques et fonctionnels pour chaque actif ; évaluation du niveau de maturité actuel à partir des référentiels reconnus (CIS Controls, ISO 27001, NIST CSF) ; et documentation des dépendances entre composants pour anticiper les impacts des modifications. Un inventaire incomplet génère des angles morts qui deviennent des vecteurs d'attaque exploitables par des acteurs malveillants disposant d'informations accessibles publiquement (OSINT, Shodan, LinkedIn).

Phase de déploiement et validation

Le déploiement progressif réduit les risques d'interruption de service et facilite la détection des régressions. Adopter un modèle de déploiement par vagues (wave deployment) : d'abord les environnements de développement et de test pour valider les configurations, ensuite les systèmes non-critiques en production, enfin les systèmes critiques lors de fenêtres de maintenance planifiées. Chaque vague s'accompagne d'une validation fonctionnelle complète et d'une période d'observation des métriques de performance et de sécurité. Un plan de retour arrière documenté et testé est obligatoire avant toute opération sur un système critique. Les critères de succès doivent être définis avant le déploiement, non après — un taux de faux positifs inférieur à 5% pour les alertes de sécurité, une disponibilité maintenue au niveau SLA contractuel, et l'absence d'incidents de sécurité liés aux modifications.

Phase de supervision et d'amélioration continue

La mise en place d'indicateurs de suivi permet de mesurer l'efficacité des mesures déployées et de justifier leur maintien auprès de la direction. Tableau de bord mensuel recommandé : nombre d'alertes générées par catégorie (critique, majeur, mineur) avec tendance sur 6 mois ; taux de couverture des actifs critiques par les contrôles de sécurité ; délai moyen de remédiation des vulnérabilités par sévérité CVSS ; et résultats des tests de régression mensuels sur les règles de détection. Ce tableau de bord, présenté en comité de sécurité, constitue la base d'un dialogue constructif entre les équipes techniques et le management sur les priorités d'investissement en cybersécurité.

Ressources, outils et veille spécialisée

L'efficacité opérationnelle des équipes de sécurité repose sur la maîtrise des outils adaptés et sur une veille continue sur les évolutions techniques et réglementaires du domaine. Ce panorama recense les ressources incontournables pour approfondir les sujets abordés dans cet article.

Outils open source recommandés

L'écosystème open source de la cybersécurité offre des outils de qualité professionnelle, souvent comparables voire supérieurs aux solutions commerciales sur des cas d'usage spécifiques. Pour la détection et la réponse à incident : OSSEC/Wazuh (HIDS/XDR open source déployé sur plus de 500 000 systèmes), TheHive et Cortex (orchestration et automatisation de la réponse à incident), MISP (partage de threat intelligence, utilisé par plus de 6 000 organisations mondiales). Pour l'analyse forensique : Autopsy (interface graphique pour Sleuth Kit, analyse disque), Volatility 3 (analyse mémoire vive), YARA (création de règles de détection de malwares). Pour l'audit d'infrastructure : OpenSCAP (compliance scanning automatisé), Lynis (audit de durcissement Linux), BloodHound (cartographie des chemins d'attaque Active Directory). Ces outils, maintenus par des communautés actives et adoptés par les grandes entreprises et agences gouvernementales, constituent le socle technique des équipes SOC modernes.

Sources de veille et formation continue

La cybersécurité évolue à un rythme qui impose une veille structurée pour maintenir l'efficacité des défenses. Les sources primaires à surveiller : CERT-FR (bulletins d'alerte et de sensibilisation de l'ANSSI, à intégrer dans les flux de veille en priorité) ; NVD et CISA KEV (catalogue des CVE et des vulnérabilités activement exploitées) ; Microsoft MSRC, Google Project Zero et Cisco Talos (recherche offensive et advisories éditeurs) ; et les publications académiques des conférences SSTIC (France), USENIX Security, IEEE S&P et CCS. Pour la montée en compétences des équipes, les certifications SANS GIAC (GCIH, GPEN, GCFA) offrent le meilleur équilibre entre reconnaissance professionnelle et valeur pratique. Les plateformes d'entraînement TryHackMe et HackTheBox permettent une pratique régulière sur des scénarios réalistes sans risque légal, avec des modules spécifiques adaptés aux profils défensifs (Blue Team Labs) et offensifs (HTB Pro Labs).