Une vulnérabilité du pilote de Microsoft Defender expose Windows à des attaques internes

Une faille majeure vient d’être révélée dans un composant clé de Microsoft Defender. Ce pilote, pourtant censé protéger Windows, peut être détourné pour compromettre la sécurité du système. La particularité ? Cette vulnérabilité ne nécessite même pas un bug, juste un accès déjà élevé.

Cette découverte a été faite par Check Point Research, une équipe connue pour son sérieux en cybersécurité. Leur démo montre comment un outil légitime devient soudain une arme redoutable. La réaction de Microsoft laisse pourtant perplexe.

Le pilote Microsoft Defender retourné contre Windows

Le pilote BTR.sys, signé officiellement par Microsoft, est la star de la controverse. Ce fichier, utilisé pour nettoyer les virus au démarrage, ne souffre d’aucune faille technique en soi. C’est sa conception même qui est en cause. Car il exécute des commandes chiffrées, mais la clé de chiffrement est la même depuis Windows 7. Cette clé codée en dur permet à un attaquant avec les bons privilèges de construire des instructions malveillantes.

Résultat : ce pilote, qui tourne au plus bas niveau du système (ring 0), peut ordonner la suppression de fichiers absolument protégés. En clair, il détruit les défenses avant même que Defender ne se lance. C’est une attaque inside-out, qui exploite la confiance aveugle dans un composant signé.

Une fenêtre d’attaque avant le démarrage complet de l’OS

Le principe est simple mais percutant. L’attaque intervient lors du redémarrage, avant que les modules de sécurité fonctionnels ne soient actifs. Ce timing crée une fenêtre dorée. Le pilote BTR.sys s’exécute sans surveillance, avec un accès total au système de fichiers. C’est cette opportunité que le chercheur de Check Point exploite pour lancer des commandes destructrices.

Ils ont même publié un outil nommé BTR_CLI, un proof-of-concept qui automatise la création de ces commandes malveillantes. Officiellement, cet outil sert à mieux comprendre le risque. Mais il illustre clairement à quel point l’outil de réparation peut être abusé.

Pourquoi cette vulnérabilité change la donne en cybersécurité Windows

Les attaques classiques « Bring Your Own Vulnerable Driver » importent des pilotes tiers présentant des failles. Ici, le composant est une pièce essentielle de Windows, conçue par Microsoft et signée numériquement. Impossible de simplement le bloquer sans casser le système de protection intégré. En plus, l’attaquant doit disposer déjà d’un accès administrateur.

Mais disposer de privilèges n’est pas toujours suffisant pour écraser la sécurité complète. Ce pilote est l’outil ultime pour ceux qui ont passé cette première étape. C’est un abus de confiance au plus haut niveau, technique mais redoutablement efficace.

Cette technique, une forme avancée de ‘Living-off-the-Land Driver’

Ce type d’attaque est qualifié de LOLDriver car il recycle les outils originels du système. Le pilote agit depuis le ring 0, avec tous les droits administratifs. Il ramène les défenses à néant en un tournemain. Un vrai cauchemar pour les architectes réseaux et experts en résilience.

La protection repose désormais sur la surveillance très fine du contexte d’exécution de ce pilote. Ce n’est plus une question de signature, mais de comportement et d’usage. Une complexité supplémentaire pour les équipes de cybersécurité qui doivent faire la différence entre réparations légitimes et attaques furtives.

La réaction atone de Microsoft face à une faille critique

Surprenant, Microsoft ne considère pas cette vulnérabilité comme critique. Leur argument ? L’attaque nécessite un accès déjà administrateur. Pour eux, si un intrus a atteint ce niveau, le système est déjà compromis. À leurs yeux, c’est plus un problème de contrôle d’accès qu’une faille à corriger en urgence.

Une position qui peut se défendre d’un point de vue purement théorique. Mais dans les faits, laisser un composant aussi puissant sans barrière supplémentaire complique la défense et laisse la porte ouverte à des dégâts massifs. Les professionnels avertis savent que la résilience ne s’arrête jamais à une première compromission.

Quelles implications pour les infrastructures critiques ?

Dans les environnements industriels ou multipliant les accès distants, cette vulnérabilité est un appel à la vigilance renforcée. L’intrusion initiale, souvent difficile, doit être anticipée et détectée au plus tôt. Puis, il faut isoler les systèmes avant qu’un LOLDriver comme BTR.sys ne fasse des dégâts irréversibles.

Des stratégies incluent la surveillance proactive, la limitation stricte des privilèges et l’audit continu des pilotes chargés. Ce cas démontre qu’une architecture sécurisée ne peut pas se reposer uniquement sur la confiance des signatures digitales.

Source: www.generation-nt.com