Plus tôt dans l’année, une faille a été détectée par la société de sécurité enSilo dans plusieurs antivirus. Avertis, les éditeurs concernés ont tous corrigé la brèche depuis plusieurs mois. Cependant, le type de vulnérabilité est intéressant et montre comment certains mécanismes de sécurité de Windows peuvent être contournés.
La société israélienne enSilo, qui produit des outils de prévention contre les attaques informatiques, a repéré au printemps dernier une faille pratiquement commune à trois antivirus parmi les plus connus : AVG, McAfee et Kaspersky. Selon enSilo, la faille était critique : elle permettait à un pirate de viser une zone précise de la mémoire pour y retrouver à coup sûr des informations qui, une fois exploitée, pouvaient permettre de contourner certains mécanismes de défense intégrés à Windows.
Une même faille dans trois antivirus différents, tous mis à jour
La faille a été découverte en mars dernier quand l’un des produits de l’éditeur a détecté un souci dans une installation de la suite AVG Internet Security 2015. Un peu plus tard, le même problème a été trouvé dans les versions 2015 MR2 de Kaspersky Antivirus et Internet Security, ainsi que dans la version 8.8 de McAfee VirusScan Enterprise, d’Intel Security. À chaque fois, les produits se servaient d’une plage mémoire fixe – et donc prévisible – avec les permissions RWX (Read, Write, Execute).
Or, placer certaines informations sur une plage fixe casse l’une des protections les plus importantes dans Windows depuis Vista, à savoir l’ASLR (Address Space Layout Randomization). Ce mécanisme permet de placer en mémoire des éléments importants à des adresses choisies au hasard pour que les malwares ne sachent pas où chercher. Une autre protection, la DEP (Data Execution Prevention), empêche également l’exécution de code depuis des plages mémoires contenant des données. Là encore, la faille dans les produits de sécurité permettait de la contourner.
Dans tous les cas, cette brèche de sécurité a déjà été corrigée. AVG l’avait colmatée deux jours après avoir été averti par enSilo, tandis qu’Intel Security a diffusé un correctif le 26 août. Kaspersky a pris plus de temps et a mis à jour ses produits en septembre, mais non sans remercier copieusement enSilo, en particulier son attitude jugée « responsable ». Les détails de la faille ont en effet été transmis de manière discrète et n’ont jamais été révélés au public.
Windows, ses défenses et les logiciels tiers
La faille est en tout cas intéressante car elle illustre une situation connue depuis longtemps sous Windows : l’augmentation du nombre de mécanismes de sécurité ne peut compenser les libertés que prennent parfois les entreprises qui décident de développer leurs produits d’une manière dommageable pour l’utilisateur. C’est un constat valable par tous les éléments qui obtiennent des droits importants sous Windows, comme les antivirus justement, ainsi que les pilotes résidant (au moins partiellement) en espace noyau, comme les pilotes graphiques.
C’est d’ailleurs l’avis d’enSilo : « Ce type de vulnérabilité démontre clairement les problèmes dans l’écosystème de la sécurité. D’un côté, Microsoft investit lourdement dans des défenses, protections et améliorations pour renforcer son système contre les dangers. De l’autre, il y aura toujours une certaine forme de supervision dans les applications. Malheureusement, ce sont précisément les applications tierces vulnérables qui peuvent compromettre ces mêmes défenses ».
Ce sujet de réflexion est déjà ancien, mais explique les tentations des éditeurs de certains systèmes d’exploitation vers des environnements beaucoup plus contrôlés, comme ceux permis par les boutiques d’applications. Il existe de fait un curseur délicat entre la sécurité d’un côté, et le foisonnement applicatif de l’autre. Apple fait ainsi le forcing sur de nombreux points pour intégrer le Mac App Store, notamment l’utilisation obligatoire de la sandbox. Au risque finalement de provoquer la frustration et de faire fuire certains éditeurs, comme MacG l’analysait déjà en juin dernier.
Commentaires (187)
#1
Et c’est là que des commentaires vont surgir de partout :
« Windows c’est nul, lourd et plein de failles, vive Linux ! »
Comme toujours.
#2
Windows c’est nul, lourd et plein de failles, vive Linux !
Ah mince… ^^”
Mais bon on était déjà au courant que ce genre de faille pouvait exister, pas pour rien qu’il ne faut jamais considérer un système comme 100% sur.
#3
“Qui va regarder les observateurs ?”
Ça c’est une bonne question …
#4
Windows c’est cool, optimisé et plein de … (ho wait)
#5
Cela fait “assez longtemps” que ce genre de comportement n’est plus trop présent … m’enfin à s’en focaliser dessus c’est une longue histoire de frustration ? 
" />
Les AV ne sont ils pas signés numériquement ? Il me semblait que Ms avait mis en place un test automatique pour avoir la signature pour justement vérifier ce genre de ratés.
#6
#7
#8
Les antivirus ça sert à rien, ça c’est sûr.
#9
Les écrans bleu sont liés à un problème de gestion d’exceptions c’est souvent au niveau relation proco./carte. On parle ici pas de plantage mais d’accès à la mémoire, ne pas confondre les problématiques
" />
Pour le cas de non gestion de l’ASLR + DEP, il me semblait que Microsoft avait mis en place un test automatique lors d’une demande de signature qui vérifie que le processus gère bien ces méthodes. Donc en gros test qualité (limité forcément…) en échange de signature pour une exécution avec droits plus élevés.
#10
#11
c’est ceux qui n’ont pas d’antivirus et qui jouent les cadors qui vont être content et se pavaner un peu plus… : “un antivirus ça ne sert en rien et en plus c’est dangereux…..”
" />
#12
#13
IL semblerait qu’il ne soit maintenant plus tellement necessaire de le redire tellement c’est devenu une évidence
" />
#14
#15
#16
#17
Sur NXi la communauté s’amuse généralement avec chaque nouvelle… si après tu ne retiens que le fait que ce soit une news MS, cela relève plus d’une frustration non réglée. Il ne sert a rien de dire “certains devraient arrêter de râler un peu… quand tu re trouves le premier à raller”
" />
Perso, le jours où (autour de l’an 2000) un cador en sécurité informatique m’a monté un site underground avec des failles 0 day à acheter pour l’ensemble des systèmes disponibles, cela m’a vraiment fait prendre la part des choses (spécialement à la sacro sainte époque du “Mac c’est incassable”).
Pour en revenir à la news, la mise en place de ASLR et MEP a vraiment compliqué les choses depuis WinXP. Mais les outils avec accès privilégiés doivent être stricts dans leur tests qualité sur ces pratiques.
Pour le test automatique j’ai retrouvé https://msdn.microsoft.com/library/windows/apps/hh920280.aspx mais je pense que ce n’est que l’aspect “générique” pour le store et pas le coté signature numérique dont le test était bien plus poussé (mais je ne retrouve pas d’article détaillé dans la jungle du web).
#18
Je te conseille de compléter avec des supers outils pour scanner un fichier sur virtustotal.com (bien plus fiable que de se limiter à la passoire antivirus de MS).
#19
#20
#21
Si ! ça permet aux éditeur d’antivirus d’espionner tous tes mails, disques dur, historique de navigation… Et en plus certains utilisateur paient pour ça
" />
#22
#23
#24
#25
Je suppose qu’il y a autant de failles dans les AV Linux … mais on n’en parle jamais car en majorité les AV sont sur des postes individuels ou Windows est majoritaire et de loin.
#26
Le meilleur antivirus reste quand même le discernement, c’est gratuit et libre en plus
" />
#27
#28
#29
#30
z’auriez pas une faille pour couper mcaffee justement ? ce gros boulet fait tout ramer dès qu’on compile un truc, et ça me gaaaave
" />
#31
#32
#33
#34
Les antivirus c’est comme les préservatifs, c’est pas parce qu’on te dit que t’en as pas besoin, que t’en as pas besoin…
#35
#36
#37
#38
L
#39
#40
pas les droits pour faire ça sur nos postes, tu penses bien
" />
#41
Que ça soient les antivirus tiers ou celui de Micorsoft, aucun ne sert à quoi que ce soit.
A moins que tu sois visé personnellement (en tant qu’individu ou entreprise) par un pirate, tout ce que tu peux attraper sur Internet c’est des PUP. Et ces programmes-là, tu peux les éviter facilement si tu bloque les publicités, si tu sais faire la différences entre un site honnête et une arnaque, et si tu ne recherches pas des trucs louches du genre “comment pirater un compte fb” ou autre…
Et télécharger des cracks et des films, ce n’est absolument pas dangereux tant que tu sais où aller.
#42
En plus de la signature, MS vérifie surtout le comportement des drivers avant de les signer. La signature “prouve” donc que les drivers passent les certifications de MS.
Je ne sais pas ce qu’il en est pour les antivirus par contre.
#43
Il y a un antivirus intégré à Windows 10, et il est bien suffisant. Le reste passe par l’éducation. On ne télécharge pas n’importe quoi n’importe où. Et ça c’est vrai quel que soit l’OS.
#44
#45
#46
#47
#48
#49
#50
#51
#52
On doit pas lire les mêmes commentaires de NXi ou d’autres sites clairement…
#53
#54
En effet la plupart des merdes que les gens choppent se nettoient via adwcleaner ou Roquekiller,qui ne sont pas des AV à proprement parlé.
#55
T’es sérieux ? Tu penses vraiment qu’il y a besoin d’être ciblé personnellement pour chopper des m*rdes ? Je ne sais pas si j’ai mal compris, mais j’ai l’impression que tu es en train de tenir ce discours trop souvent entendu : “les pirates s’en foutent de mon ordi, je n’ai rien d’important, lol”.
Tu dois oublier les innombrables malwares qui s’installent via des failles, même sur des sites légitimes, compromis d’une façon ou d’une autre. Ou la clé USB qu’on te file et qui est infectée jusqu’à l’os (sans pour autant avoir un panneau “attention, danger” dessus). Ou le crack provenant d’une source sûre, comme tu le dis, mais qui, manque de chance, est piégé (c’est du vécu, en faisant fi de l’avertissement de l’antivirus justement).
Il n’y a pas seulement des PUP qui traînent (et encore, un antivirus bien configuré est capable de les débusquer). N’oublions pas que la mode est aux botnets et aux ransomwares actuellement, et ce sont loin d’être des PUP et pas besoin non plus d’être ciblé personnellement pour en chopper !
Alors oui, le bon sens, un système à jour et de la prudence permet d’éviter une majorité des menaces, mais un antivirus (qui ne se cantonnent plus seulement aux virus de nos jours, mais aux PUP, malwares, chevaux de Troie, etc.) reste un garde-fou quasiment indispensable. À plus forte raison pour le quidam moyen.
#56
Il a raison pourtant. Quand on est sous Windows on a de grosses habitudes, et parfois un besoin réel.
Quand tu viens lire une news sur la sécurité Windows et que t’as tout plein d’ados qui viennent te dire que tu devrais installer Linux, c’est chiant.
Installer Linux ça résoudra pas tous tes problèmes de sécurité, et ça t’en posera tout un tas de nouveaux (comment faire xxx ? Comment installer xxxx ?) que t’avais pas avant. Autrement dit c’est une non-solution.
#57
Juste pour dire que les antivirus prennent des ressources même aujourd’hui malgré les dires de certains. Le temps de boot du pc se trouve rallongé avec.
" />
Les bonnes pratiques du web et de temps en temps un coup de MalwareBytes et la toilette de mon pc est assurée.
Je pense que maintenant les plus grosses menaces viennent effectivement des applications tierces pas béton (autant dire toutes) et là… On peut pas faire grand chose. Faire des images chaque mois pour les gros coups, s’ils arrivent aide tout aussi bien qu’un antivirus.
Vivons heureux vivons débranché
#58
Je suis désolé mais Linux, c’est quand même bien mieux.
" />
Pas d’antivirus, donc pas de faille d’antivirus, et s’il y a faille sur l’OS, pas de notification si intrusion. Pas de notification, pas de problème
#59
#60
#61
#62
#63
#64
#65
#66
On s’en fout de la faille. Tant que Windows permet de taper du texte avec OpenOffice et de l’imprimer, ça ira.
#67
Je ne lance aucun débat.
Parler de Windows 7 sur une news de sécurité Windows, c’est utile. D’ailleurs Windows 7 n’est pas obsolète, il est encore supporté par MS pour les patchs de sécurité.
Parler de Linux d’une manière sérieuse sur un sujet de sécurité Windows, c’est utile.
Venir ici pour dire que Linux c’est génial qu’il faut l’installer et que Windows ça pue, eh bien ça ne sert à rien.
#68
Non, un antivirus prend des ressources. Quand tu as un portable, je serais pas étonné que ça représente 30 min à 1h d’autonomie en moins. Quand tu as besoin de ton ordi pour la journée, 1h d’autonomie c’est cher payé.
Bon maintenant on est d’accord que c’est quand même pas de l’autonomie perdue, un antivirus c’est utile.
#69
#70
#71
#72
Il faut aussi prendre en compte l’activité disque et l’activité réseau, sur un portable c’est probablement ça qui va faire augmenter la conso générale de la machine.
#73
#74
ces odeurs de vendredi ici
" /> (et oui c’est pas une excuse, on sait 
" />)
#75
Juste pour faire plaisir à Kaki87
" /> un livedvd/usb Linux pour passer un coup de clamav et dans le culcul le malware récalcitrant.
J’ai toujours une clé USB Linux sous la main précisément pour me débarrasser facilement de saletés récalcitrantes, virer des fichiers verrouillés sans devoir installer des utilitaires louches dont on ne sait pas trop ce qu’il font “en plus”, ou faire sauter les mots de passe d’utilisateurs distraits.
#76
#77
#78
Ce que veux dire Ergo_404 c’est que c’est peanuts parceque ta machine dispose de suffisamment de puissance pour que ce soit imperceptible à l’utilisation mais ça ne veux pas dire que ça ne consomme rien.
#79
Elle sert à quoi ton analyse résidente ?
#80
#81
#82
L article qui ne sert qu a placer une phrase pour Apple
Car dans le fond c’est pas terrible.
#83
#84
J’adore Linux et je ne jure que par ça pour les serveurs, mais de là à dire ça … Il est bien plus important de faire attention à ce que l’on installe qu’à taper sur un système.
#85
Voila :jap:.
#86
#87
#88
#89
#90
#91
J’avais le meme problème au boulot : trouver l’option qui respawn le service MA et la décocher et arreter son service windows
#92