Alors que Microsoft a corrig\u00e9 une faille de s\u00e9curit\u00e9 en 2013, voil\u00e0 que celle-ci refait surface. En cause : le syst\u00e8me de signature des DLL (Dynamic Link Library) de Windows. Et pour parfaire le tout, les pirates exploitent cette faille en l’associant \u00e0 l’un des pires malwares bancaires, Zloader.<\/p>\n\n\n\n
Dans un bulletin de s\u00e9curit\u00e9 datant de 2013, Microsoft d\u00e9clarait avoir corrig\u00e9 une faille de s\u00e9curit\u00e9 concernant ses DLL, faille de s\u00e9curit\u00e9 qui permettait \u00e0 un pirate de prendre totalement le contr\u00f4le de la machine. On croyait s’\u00eatre d\u00e9finitivement de cette menace dans Windows, mais voil\u00e0 qu’elle ressurgit pr\u00e8s d’une d\u00e9cennie plus tard.<\/p>\n\n\n\n
Ce sont les chercheurs en s\u00e9curit\u00e9 de Checkpoint qui sont \u00e0 l’origine de cette d\u00e9couverte : la faille est toujours exploit\u00e9e, car son correctif n’est pas activ\u00e9 par d\u00e9faut. Et les techniques des pirates ayant \u00e9volu\u00e9, ils en profitent dor\u00e9navant pour la coupler au malware bancaire Zloader. Ainsi, en novembre dernier, Checkpoint a pu r\u00e9pertorier pr\u00e8s de 2 200 victimes r\u00e9parties dans 111 pays, qui ont tous un point commun : Zloader avait \u00e9t\u00e9 install\u00e9 \u00e0 cause de la faille des DLL.<\/p>\n\n\n\n
LA FAILLE DES DLL DE WINDOWS A POURTANT BIEN \u00c9T\u00c9 CORRIG\u00c9E
Les DLL sont \u00e0 Windows ce que les citrouilles sont \u00e0 Halloween : elles sont indispensables au bon fonctionnement du syst\u00e8me et de ses applications. Elles sont pr\u00e9sentes dans toutes les versions de l’OS, depuis sa cr\u00e9ation en 1985, jusqu’au tr\u00e8s r\u00e9cent Windows 11 sorti l’an dernier. Mais pour \u00e9viter toute tentative de d\u00e9tournement des DLL d’un PC sous Windows, Microsoft signe num\u00e9riquement chacune d’entre elles. En th\u00e9orie, elles sont donc inviolables.<\/p>\n\n\n\n
En revanche, une succession de failles concernant les signatures des DLL est venue tout remettre en question il y a quelques ann\u00e9es : connues sous les noms de CVE-2020-1599, CVE-2013-3900 et CVE-2012-0151, Microsoft avait pourtant bien r\u00e9ussi \u00e0 les corriger. En revanche, si l’\u00e9diteur de Windows avait rapidement trouv\u00e9 un moyen de la combler en 2013, il avait estim\u00e9 qu’il valait mieux trouver une autre solution\u2026 Quitte \u00e0 d\u00e9sactiver par d\u00e9faut le correctif en 2014, car \u201cson impact sur les applications pouvait \u00eatre \u00e9lev\u00e9\u201d !<\/p>\n\n\n\n
Des hackers sont donc revenus sur la faille des DLL et remettent le couvert. Pour ce faire, ils injectent un script malveillant au fichier DLL, sans pour autant toucher \u00e0 la signature attribu\u00e9e par Microsoft. Et ils en profitent pour diffuser le malware bancaire ZLoader sur l’ordinateur de leurs victimes, un logiciel malveillant qui avait d\u00e9j\u00e0 fait refait surface en ao\u00fbt dernier.<\/p>\n\n\n\n
Une fois install\u00e9, le malware modifie les pr\u00e9f\u00e9rences de Windows Defender et patche la base de registre. Ensuite, l’attaquant a un acc\u00e8s total au syst\u00e8me et peut t\u00e9l\u00e9charger ou r\u00e9cup\u00e9rer n’importe quel fichier, lancer des scripts, etc. Autant dire qu’il peut faire absolument tout ce qu’il veut des donn\u00e9es qui se trouvent sur le PC compromis.<\/p>\n\n\n\n
LA M\u00c9THODE EMPLOY\u00c9E POUR DIFFUSER LE MALWARE RISQUE DE SE R\u00c9PANDRE COMME UNE TRAIN\u00c9E DE POUDRE
\u201cLorsque vous voyez un fichier DLL sign\u00e9, vous \u00eates presque certain de pouvoir lui faire confiance, mais cela montre que ce n’est pas toujours le cas\u201d, d\u00e9clare Kobi Eisenkraft, chercheur en logiciels malveillants chez Checkpoint. \u201cJe pense que nous verrons de plus en plus de cette m\u00e9thode d’attaque.\u201d Selon Checkpoint, la campagne de propagation du malware pr\u00e9sente de nombreuses similitudes avec celle de MalSmoke, qui a eu eu lieu en 2020.<\/p>\n\n\n\n
\u201cNous avons un correctif, mais personne ne l’utilise\u201d, explique Kobi Eisenkraft. \u201cPar cons\u00e9quent, de nombreux malwares pourraient attaquer les entreprises et les ordinateurs personnels en utilisant cette m\u00e9thode.\u201d Checkpoint recommande donc d’appliquer la mise \u00e0 jour de Microsoft permettant une v\u00e9rification stricte des DLL et d’Authenticode.<\/p>\n\n\n\n
Voil\u00e0 comment vous y prendre si vous souhaitez installer le correctif en question :<\/p>\n\n\n\n
Ouvrez le Bloc-notes de Windows et copiez-collez les lignes suivantes :
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\\Logiciel\\Microsoft\\Cryptographie\\Wintrust\\Config]
\u00ab EnableCertPaddingCheck\u201d=\u201d1 \u00bb
[HKEY_LOCAL_MACHINE\\Software\\Wow6432Node\\Microsoft\\Cryptography\\Wintrust\\Config]
\u00ab EnableCertPaddingCheck\u201d=\u201d1 \u00bb
Enregistrez le fichier : nommez-le comme bon vous semble, mais attribuez-lui l’extension .reg (plut\u00f4t que .txt)
Ex\u00e9cutez-le. Le fichier va alors patcher la base de Registre de Windows et le tour est jou\u00e9.
Notez que certaines signatures pourtant l\u00e9gitimes peuvent cependant appara\u00eetre comme non valides. Cela ne semble pas concerner des applications majeures, n\u00e9anmoins.<\/p>\n","protected":false},"excerpt":{"rendered":"
Alors que Microsoft a corrig\u00e9 une faille de s\u00e9curit\u00e9 en 2013, voil\u00e0 que celle-ci refait surface. En cause : le syst\u00e8me de signature des DLL (Dynamic Link Library) de Windows.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"nf_dc_page":"","footnotes":""},"categories":[1],"tags":[],"class_list":["post","type-post","status-publish","format-standard","hentry","category-uncategorized"],"yoast_head":"\n