Cette faille de Windows est exploitée par 11 gangs de pirates depuis 2017

Les chercheurs de Trend Micro ont identifié une nouvelle vulnérabilité dans le code de Windows. La faille permet d’exécuter arbitrairement du code sur un ordinateur, sans l’aval de son propriétaire. La brèche survient lorsque l’interface utilisateur ne représente pas correctement des informations critiques pour l’utilisateur. De facto, il est possible de masquer des informations essentielles pour l’usager, ou de manipuler l’interface pour le manipuler.

En l’occurrence, l’attaquant peut se servir de la façon dont Windows affiche les fichiers de raccourci (.lnk) pour parvenir à exécuter du code. Dans les détails, l’assaillant va dissimuler des commandes malveillantes dans des fichiers de raccourcis. Les instructions malveillantes sont en fait insérées dans des espaces invisibles dans le fichier de raccourci. Lorsque l’utilisateur inspecte le fichier .LNK dans l’explorateur Windows, les instructions ne s’affichent pas correctement à cause des espaces ajoutés. La victime pense donc que le raccourci est inoffensif alors qu’il peut exécuter du code malveillant en arrière-plan. L’astuce peut « rendre le contenu dangereux du fichier invisible pour un utilisateur ».

« L’interaction de l’utilisateur est nécessaire pour exploiter cette vulnérabilité en ce sens que la cible doit visiter une page malveillante ou ouvrir un fichier malveillant », détaille Trend Micro dans son rapport.

À lire aussi : 2 cyberattaques en cours contre des comptes Microsoft – comment des demandes OAuth peuvent vous piéger

Onze gangs criminels se sont servis de la faille

Les experts considèrent la brèche comme une faille de type zero-day. En clair, la vulnérabilité a été exploitée dans le cadre de cyberattaques avant sa divulgation. Les recherches de Trend Micro ont démontré que onze groupes de cybercriminels se sont servis de la faille dans leurs opérations depuis 2017. Elle a surtout été utilisée par des gangs financés par des gouvernements, comme la Corée du Nord, l’Iran, la Russie et la Chine. Ces nations sont connues pour mener des opérations d’espionnage à grande échelle.

Dans la plupart des offensives, la vulnérabilité a permis d’installer des virus sur les machines visées, tels que Ursnif, Gh0st RAT et Trickbot. Prés de 70 % des attaques visaient à dérober des données personnelles. Seules 20 % des offensives avaient pour objectif de récolter de l’argent. Trend Micro indique avoir trouvé près d’un millier de preuves que la faille a été exploitée, mais « il est probable que le nombre total de tentatives d’exploitation soit beaucoup plus élevé ». L’essentiel des tentatives d’exploitation vient de la Corée du Nord. Les attaques visent surtout les entreprises gouvernementales, financières et de télécommunications.

À lire aussi : Nouvelle faille de Windows – des millions de PC « risquent d’être compromis »

Microsoft hésite à corriger la faille

Dans un premier temps, Microsoft a fermement refusé de corriger la vulnérabilité. Trend Micro explique avoir « soumis un exploit de preuve de concept à Microsoft », c’est-à-dire une méthode démontrant qu’une vulnérabilité est exploitable. Malgré les preuves avancées par les chercheurs, le géant de Redmond a « refusé de résoudre cette vulnérabilité avec un correctif de sécurité ».

Dans une réaction adressée à nos confrères de Bleeping Computer, Microsoft a finalement tenu à nuancer sa position. Le groupe laisse entendre que toutes les précautions sont déjà prises pour que les utilisateurs de Windows soient protégés contre les fichiers malveillants échangés en ligne. En effet, « Microsoft Defender intègre des mécanismes de détection pour identifier et bloquer cette menace, tandis que Smart App Control ajoute une protection supplémentaire en empêchant le téléchargement de fichiers malveillants depuis Internet ».

Du reste, Microsoft encourage « les clients à faire preuve de prudence lorsqu’ils téléchargent des fichiers provenant de sources inconnues, comme le soulignent les avertissements de sécurité, qui sont conçus pour détecter et alerter les utilisateurs sur les fichiers potentiellement nuisibles ». Bien que l’éditeur estime que le problème décrit dans le rapport n’atteint pas un niveau suffisamment élevé pour justifier une réponse immédiate, il est disposé à se pencher sur la question. Microsoft d’aborder la possibilité d’un correctif dans une « future version » de Windows. Pour justifier son refus initial, Microsoft se retranche derrière les directives de classification de la gravité des failles en vigueur dans l’entreprise.