L'antivirus intégré de Microsoft traverse une période difficile. Un exploit récemment divulgué, baptisé ShieldCrash, contourne le dernier correctif de Windows Defender, et ce sur des machines entièrement à jour. Pour un outil de sécurité sur lequel des millions d'utilisateurs Windows comptent par défaut, ce n'est pas un problème mineur. Ce n'est pas non plus la première fois que cela se produit récemment, et c'est ce qui rend ce zero-day de Microsoft Defender digne d'attention.
Une série de correctifs qui ne tiennent pas
Ce dernier contournement n'est pas apparu de nulle part. Il fait suite à une série de divulgations ciblant Windows Defender, notamment une faille de haute gravité surnommée RoguePlanet, également désignée sous le nom de ShieldBreak dans des articles précédents, qui était elle-même parvenue à contourner un correctif antérieur. À peu près au même moment, une autre faille suivie séparément et également appelée ShieldBreak a laissé les équipes de sécurité avec aucun correctif officiel et une échéance de 14 jours imposée par la CISA pour sécuriser les systèmes fédéraux.
Microsoft a fini par publier un correctif pour ce problème. ShieldCrash est ce qui s'est produit ensuite : une preuve de concept qui contourne ce même correctif, transformant ce qui aurait dû être un chapitre clos en un chapitre de nouveau ouvert. Le schéma est désormais suffisamment familier pour être décrit en lui-même : une faille est découverte, Microsoft la corrige, et dans un délai relativement court, une nouvelle technique défait le correctif.
Ce que fait réellement ShieldCrash
Le problème de fond est simple à expliquer, même sans entrer dans les détails techniques. Windows Defender est censé détecter et bloquer les activités malveillantes avant qu'elles ne causent des dommages. Lorsqu'un contournement comme ShieldCrash fonctionne même sur des systèmes ayant déjà installé la dernière mise à jour de sécurité, cela signifie que la couche de protection sur laquelle la plupart des utilisateurs Windows comptent ne peut pas être considérée comme fonctionnant comme annoncé, peu importe à quel point le système semble à jour. Comme indiqué dans notre couverture précédente de l'exploit ShieldCrash, la faille cible spécifiquement les machines ayant déjà installé le correctif censé combler la brèche précédente, ce qui la distingue d'une divulgation de vulnérabilité ordinaire.
Pour les utilisateurs quotidiens, la mécanique technique importe moins que le résultat pratique : un système Windows entièrement corrigé n'est pas automatiquement un système entièrement protégé. Cette distinction est facile à négliger lorsque Windows Update signale que tout est à jour.
Implications pour la vie privée d'un antivirus défaillant
C'est ici que l'histoire dépasse le cadre d'un simple bug technique pour toucher à quelque chose qui concerne la vie privée au quotidien. Les outils antivirus et de protection des points de terminaison ne se limitent pas à bloquer les virus au sens traditionnel. Defender occupe une position privilégiée sur le système, analysant les fichiers, surveillant les processus et servant de dernière ligne de défense contre les malwares qui volent des identifiants, enregistrent les frappes au clavier ou exfiltrent des fichiers personnels. Lorsque cette défense peut être contournée, le risque n'est pas abstrait. Les voleurs d'informations, les logiciels espions et les outils d'accès à distance sont exactement le type de malwares qui prospèrent lorsque la protection des points de terminaison échoue silencieusement, car l'utilisateur n'a aucun signe visible que quelque chose ne va pas.
Les contournements répétés érodent aussi un autre type de confiance : l'hypothèse selon laquelle installer des mises à jour équivaut à être en sécurité. Cette hypothèse sous-tend une grande partie des comportements de sécurité au quotidien, des opérations bancaires en ligne au stockage local de documents sensibles. Lorsque les correctifs sont contournés en quelques semaines, cette hypothèse doit être réexaminée, au moins pour quiconque manipule des données personnelles ou financières sensibles sous Windows.
Ce que cela signifie pour vous
Si vous comptez sur Windows Defender comme seule ligne de défense, c'est un moment raisonnable pour réévaluer la situation, sans paniquer. Les divulgations de zero-day comme celle-ci nécessitent généralement un accès local ou des conditions spécifiques pour être exploitées, et Microsoft a l'habitude de réagir, même si les correctifs n'ont pas toujours tenu. Le principal enseignement est qu'aucun outil de sécurité unique, aussi bien intégré soit-il à votre système d'exploitation, ne devrait être considéré comme infaillible.
Les mesures pratiques à envisager dès maintenant incluent le maintien des mises à jour automatiques activées afin de recevoir les correctifs dès leur publication, éviter les téléchargements depuis des sources non vérifiées tant que ce problème n'est pas résolu, et envisager des couches de protection supplémentaires telles qu'un outil de sécurité secondaire réputé ou des habitudes de navigation plus prudentes pour les comptes sensibles. Les équipes informatiques d'entreprise en particulier devraient surveiller de près les avis de Microsoft et être prêtes à appliquer rapidement les correctifs de suivi, car ce schéma suggère que d'autres mises à jour pourraient suivre.
La nature récurrente de ces contournements de Windows Defender rappelle que la sécurité est multicouche, et non ponctuelle. Rester informé des divulgations comme ShieldCrash, appliquer les mises à jour rapidement et ne pas compter sur un seul outil comme filet de sécurité complet sont les moyens les plus pratiques de garder une longueur d'avance face à un problème que, pour l'instant, Microsoft n'a pas entièrement résolu.
