Alors que Microsoft a corrigé une faille de sécurité en 2013, voilà que celle-ci refait surface. En cause : le système de signature des DLL (Dynamic Link Library) de Windows. Et pour parfaire le tout, les pirates exploitent cette faille en l'associant à l'un des pires malwares bancaires, Zloader.

Dans un bulletin de sécurité datant de 2013, Microsoft déclarait avoir corrigé une faille de sécurité concernant ses DLL, faille de sécurité qui permettait à un pirate de prendre totalement le contrôle de la machine. On croyait s'être définitivement de cette menace dans Windows, mais voilà qu'elle ressurgit près d'une décennie plus tard.

Ce sont les chercheurs en sécurité de Checkpoint qui sont à l'origine de cette découverte : la faille est toujours exploitée, car son correctif n'est pas activé par défaut. Et les techniques des pirates ayant évolué, ils en profitent dorénavant pour la coupler au malware bancaire Zloader. Ainsi, en novembre dernier, Checkpoint a pu répertorier près de 2 200 victimes réparties dans 111 pays, qui ont tous un point commun : Zloader avait été installé à cause de la faille des DLL.

La faille des DLL de Windows a pourtant bien été corrigée

Les DLL sont à Windows ce que les citrouilles sont à Halloween : elles sont indispensables au bon fonctionnement du système et de ses applications. Elles sont présentes dans toutes les versions de l'OS, depuis sa création en 1985, jusqu'au très récent Windows 11 sorti l'an dernier. Mais pour éviter toute tentative de détournement des DLL d'un PC sous Windows, Microsoft signe numériquement chacune d'entre elles. En théorie, elles sont donc inviolables.

En revanche, une succession de failles concernant les signatures des DLL est venue tout remettre en question il y a quelques années : connues sous les noms de CVE-2020-1599, CVE-2013-3900 et CVE-2012-0151, Microsoft avait pourtant bien réussi à les corriger. En revanche, si l'éditeur de Windows avait rapidement trouvé un moyen de la combler en 2013, il avait estimé qu'il valait mieux trouver une autre solution… Quitte à désactiver par défaut le correctif en 2014, car “son impact sur les applications pouvait être élevé” !

À lire aussi : Valak – ce malware qui fait des ravages vole vos données le plus simplement du monde

Des hackers sont donc revenus sur la faille des DLL et remettent le couvert. Pour ce faire, ils injectent un script malveillant au fichier DLL, sans pour autant toucher à la signature attribuée par Microsoft. Et ils en profitent pour diffuser le malware bancaire ZLoader sur l'ordinateur de leurs victimes, un logiciel malveillant qui avait déjà fait refait surface en août dernier.

Une fois installé, le malware modifie les préférences de Windows Defender et patche la base de registre. Ensuite, l'attaquant a un accès total au système et peut télécharger ou récupérer n'importe quel fichier, lancer des scripts, etc. Autant dire qu'il peut faire absolument tout ce qu'il veut des données qui se trouvent sur le PC compromis.

La méthode employée pour diffuser le malware risque de se répandre comme une trainée de poudre

“Lorsque vous voyez un fichier DLL signé, vous êtes presque certain de pouvoir lui faire confiance, mais cela montre que ce n'est pas toujours le cas”, déclare Kobi Eisenkraft, chercheur en logiciels malveillants chez Checkpoint. “Je pense que nous verrons de plus en plus de cette méthode d'attaque.” Selon Checkpoint, la campagne de propagation du malware présente de nombreuses similitudes avec celle de MalSmoke, qui a eu eu lieu en 2020.

“Nous avons un correctif, mais personne ne l'utilise”, explique Kobi Eisenkraft. “Par conséquent, de nombreux malwares pourraient attaquer les entreprises et les ordinateurs personnels en utilisant cette méthode.” Checkpoint recommande donc d'appliquer la mise à jour de Microsoft permettant une vérification stricte des DLL et d'Authenticode.

Voilà comment vous y prendre si vous souhaitez installer le correctif en question :

• Ouvrez le Bloc-notes de Windows et copiez-collez les lignes suivantes :
  Windows Registry Editor Version 5.00
  [HKEY_LOCAL_MACHINE\Logiciel\Microsoft\Cryptographie\Wintrust\Config]
  “EnableCertPaddingCheck”=”1”
  [HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Cryptography\Wintrust\Config]
  “EnableCertPaddingCheck”=”1”
• Enregistrez le fichier : nommez-le comme bon vous semble, mais attribuez-lui l'extension .reg (plutôt que .txt)
• Exécutez-le. Le fichier va alors patcher la base de Registre de Windows et le tour est joué.
• Notez que certaines signatures pourtant légitimes peuvent cependant apparaître comme non valides. Cela ne semble pas concerner des applications majeures, néanmoins.

Source : Wired