Google Zero s’attaque encore à l’antivirus Windows Defender

Bonjour,

Par Louis Adam | Mardi 30 Mai 2017 zdnet.fr

L’équipe de Google Zero a décelé plusieurs failles au sein de Windows Defender, l’antivirus par défaut proposé par Microsoft aux utilisateurs de son système d’exploitation. Ces vulnérabilités potentiellement exploitables par un attaquant ont depuis été corrigées.

Les relations entre l’équipe Google Zero et Microsoft n’ont pas toujours été au beau fixe, l’équipe de Google n’hésitant pas à avoir recours au full disclosure quand les patchs tardaient à venir. Mais cette fois-ci, les vulnérabilités détectées par Tavis Omandy semblent avoir été corrigées sans heurts : Microsoft a en effet discrètement publié des correctifs de mise à jour pour son antivirus Windows Defender la semaine dernière, sans préciser la nature exacte de la vulnérabilité corrigée.

On en apprend plus dans la publication de Tavis Omandy, chercheur de l’équipe Google Zero à l’origine de la découverte de ces failles. Pour se protéger des attaques exploitant ce possible vecteur, il suffit donc de vérifier que le logiciel de protection est bien tenu à jour et patché dans sa dernière version. La faille la plus récemment découverte réside dans l’émulateur MsMpEng, un émulateur que l’on retrouve dans plusieurs produits de sécurité Microsoft.

Comme l’explique Tavis Omandy, cet émulateur est utilisé pour exécuter de façon sécurisée certains fichiers suspects, mais la sandbox est défaillante ce qui ouvre la voie à plusieurs scénarios d’attaques exploitant cette vulnérabilité. Parmi ceux-ci, Tavis Omandy évoque de possibles fuites de données, déni de service ainsi que d’autres attaques possibles en exploitant cette vulnérabilité en particulier.

Un patch sans tambour ni trompette, mais dans les temps 

Au début du mois de mai, l’équipe de Google Zero avait déjà repéré une première vulnérabilité au sein de l’émulateur MsMpEng. En scannant un fichier modifié par un attaquant, cette faille permettait de prendre le contrôle de la machine. Là aussi, un correctif avait été publié rapidement par Microsoft.

Comme à son habitude, l’équipe de Google Zero se penche en particulier sur les antivirus. Tavis Omandy a déjà expliqué par le passé que selon lui, ces logiciels méritent toute l’attention des chercheurs en sécurité, car l’utilisateur leur délègue habituellement des privilèges élevés.

Mais cette fois-ci, Microsoft a corrigé à temps ses logiciels et s’évite donc une publication de la faille avant que le correctif ne soit mis en ligne. Le signe que les équipes en sécurité de Google et de Microsoft ont enterré la hache de guerre ? Il faudra voir sur le long terme pour en juger. Les pratiques un peu musclées de l’équipe Google Zero avaient donné lieu à plusieurs accrochages entre les deux entités.