La liste de blocage des pilotes obsolètes de Microsoft vous a exposé aux attaques de logiciels malveillants pendant environ 3 ans

La page des règles de blocage des pilotes recommandées par Microsoft indique que la liste de blocage des pilotes « est appliquée » aux périphériques compatibles HVCI.
Pourtant, voici un système compatible HVCI, et l’un des pilotes de la liste de blocage (WinRing0) est chargé avec bonheur.
Je ne crois pas aux docs.https://t.co/7gCnfXYIys https://t.co/2IkBtBRhks pic.twitter.com/n4789lH5qy

– Will Dormann (@wdormann) 16 septembre 2022

Microsoft propose constamment de nouveaux produits de sécurité et des mises à jour promettant une meilleure protection de ses utilisateurs contre d’éventuelles attaques cybercriminelles. Cependant, dans une tournure inattendue des événements, le site Web Ars Technica a découvert une énorme révélation, affirmant que les PC Windows ont été laissés sans protection au cours des trois dernières années contre les pilotes malveillants en raison d’une version obsolète liste de blocage des pilotes vulnérables et des fonctions de protection de sécurité inefficaces.

Les pilotes sont des fichiers essentiels du PC Windows de chaque individu pour fonctionner correctement avec d’autres appareils, tels que les cartes graphiques, les imprimantes, les webcams, etc. Une fois installé, cela leur donne accès au système d’exploitation de votre machine, ce qui rend les panneaux numériques importants pour garantir leur utilisation en toute sécurité. Cela donne également aux clients l’assurance qu’aucune faille de sécurité n’est présente dans les pilotes, ce qui peut entraîner une exploitation de la sécurité sur les appareils Windows qui pourrait éventuellement permettre à des acteurs malveillants d’accéder au système.

Une partie des mises à jour de Windows consiste à ajouter ces pilotes malveillants à sa propre liste de blocage pour empêcher d’autres utilisateurs de les installer accidentellement à l’avenir. Un autre outil que Microsoft utilise pour ajouter une couche de protection pour éviter cela consiste à utiliser une fonctionnalité appelée intégrité du code protégé par l’hyperviseur (HVCI), également appelée intégrité de la mémoire, qui garantit que les pilotes installés sont sûrs pour empêcher les mauvais acteurs de mettre des codes malveillants dans le système d’un utilisateur. Récemment, Microsoft a souligné dans un Publier que cette fonctionnalité, avec Virtual Machine Platform, est activée par défaut pour la protection. La société a noté que les utilisateurs ont la possibilité de le désactiver après avoir vérifié qu’ils affectent les performances de jeu du système (bien que Microsoft ait également mentionné le réactiver après avoir joué à des jeux). Cependant, ces suggestions se sont avérées inutiles après qu’Ars Technica a découvert que la fonction HVCI ne fournit pas réellement la protection complète attendue contre les pilotes malveillants.

Avant le rapport d’Ars Technica, l’expert en vulnérabilité de sécurité Will Dormann de la société de cybersécurité Analygence partagé le résultat de son propre test, montrant que le problème est connu publiquement depuis septembre.

« La page des règles de blocage des pilotes recommandées par Microsoft indique que la liste de blocage des pilotes » est appliquée « aux périphériques compatibles HVCI », a tweeté Dormann. « Pourtant, voici un système compatible HVCI, et l’un des pilotes de la liste de blocage (WinRing0) est chargé avec bonheur. Je ne crois pas aux docs.

Dans le fil des tweets, Dormann a également partagé que la liste n’a pas été mise à jour depuis 2019, ce qui signifie que les utilisateurs n’ont pas été protégés contre les pilotes problématiques au cours des dernières années malgré l’utilisation de HVCI, les exposant à « apportez votre propre pilote vulnérable » ou attaques BYOVD .

« Microsoft Attack Surface Reduction (ASR) peut également bloquer les pilotes et les listes sont synchronisées avec la liste de blocage des pilotes HVCI », a ajouté Dormann. « Sauf que… dans mes tests, cela ne bloque rien. »

Fait intéressant, bien que le problème soit connu depuis septembre, Microsoft ne l’a résolu que par l’intermédiaire du chef de projet Jeffery Sutherland en octobre.

« Nous avons mis à jour les documents en ligne et ajouté un téléchargement avec des instructions pour appliquer directement la version binaire », a répondu Sutherland au tweet de Dormann. « Nous résolvons également les problèmes liés à notre processus de maintenance qui empêchait les appareils de recevoir des mises à jour de la politique. »

Microsoft a également admis la faille à Ars Technica récemment par l’intermédiaire d’un représentant de l’entreprise. « La liste des pilotes vulnérables est régulièrement mise à jour, mais nous avons reçu des commentaires selon lesquels il y a eu un écart de synchronisation entre les versions du système d’exploitation », a déclaré le porte-parole au site Web. « Nous avons corrigé cela et il sera réparé dans les mises à jour Windows à venir et futures. La page de documentation sera mise à jour au fur et à mesure que de nouvelles mises à jour seront publiées.

D’autre part, alors que Microsoft a déjà fourni des instructions sur la façon de mettre à jour manuellement la liste de blocage des pilotes vulnérables, on ne sait toujours pas quand cela sera fait automatiquement par Microsoft via des mises à jour.