{"id":507784,"date":"2022-12-12T18:16:47","date_gmt":"2022-12-12T20:16:47","guid":{"rendered":"https:\/\/teknomers.com\/fr\/des-chercheurs-demontrent-comment-ledr-et-lantivirus-peuvent-etre-utilises-contre-les-utilisateurs\/"},"modified":"2022-12-12T18:16:49","modified_gmt":"2022-12-12T20:16:49","slug":"des-chercheurs-demontrent-comment-ledr-et-lantivirus-peuvent-etre-utilises-contre-les-utilisateurs","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/des-chercheurs-demontrent-comment-ledr-et-lantivirus-peuvent-etre-utilises-contre-les-utilisateurs\/","title":{"rendered":"Des chercheurs d\u00e9montrent comment l’EDR et l’antivirus peuvent \u00eatre utilis\u00e9s contre les utilisateurs"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>12 d\u00e9cembre 2022<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>D\u00e9tection des terminaux \/ S\u00e9curit\u00e9 des donn\u00e9es<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Des vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 tr\u00e8s graves ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9es dans diff\u00e9rents produits de d\u00e9tection et de r\u00e9ponse aux terminaux (EDR) et antivirus (AV) qui pourraient \u00eatre exploit\u00e9es pour les transformer en effaceurs de donn\u00e9es.<\/p>\n

“Cet essuie-glace fonctionne avec les autorisations d’un utilisateur non privil\u00e9gi\u00e9, mais a la capacit\u00e9 d’effacer presque tous les fichiers d’un syst\u00e8me, y compris les fichiers syst\u00e8me, et de rendre un ordinateur compl\u00e8tement impossible \u00e0 d\u00e9marrer”, a d\u00e9clar\u00e9 Or Yair, chercheur chez SafeBreach Labs. a dit<\/a>. “Il fait tout cela sans impl\u00e9menter de code qui touche les fichiers cibles, ce qui le rend totalement ind\u00e9tectable.”<\/p>\n

Les logiciels EDR, de par leur conception, sont capables d’analyser en permanence une machine \u00e0 la recherche de fichiers potentiellement suspects et malveillants, et de prendre les mesures appropri\u00e9es, telles que les supprimer ou les mettre en quarantaine.<\/p>\n

L’id\u00e9e, en un mot, est de tromper les produits de s\u00e9curit\u00e9 vuln\u00e9rables en supprimant les fichiers et r\u00e9pertoires l\u00e9gitimes du syst\u00e8me et de rendre la machine inutilisable en utilisant des chemins sp\u00e9cialement con\u00e7us.<\/p>\n

\"La<\/a><\/center><\/div>\n

Ceci est r\u00e9alis\u00e9 en profitant de ce qu’on appelle un point de jonction<\/a> (aka soft link), o\u00f9 un r\u00e9pertoire sert d’alias \u00e0 un autre r\u00e9pertoire sur l’ordinateur.<\/p>\n

Autrement dit, entre la fen\u00eatre dans laquelle le logiciel EDR identifie un fichier comme malveillant et tente de supprimer le fichier du syst\u00e8me, l’attaquant utilise une jonction pour pointer le logiciel vers un chemin diff\u00e9rent, comme le lecteur C:.<\/p>\n

L’approche, cependant, n’a pas entra\u00een\u00e9 d’effacement, car les EDR ont emp\u00each\u00e9 tout acc\u00e8s ult\u00e9rieur \u00e0 un fichier apr\u00e8s qu’il a \u00e9t\u00e9 signal\u00e9 comme malveillant. De plus, si le fichier malveillant \u00e9tait supprim\u00e9 par l’utilisateur, le logiciel \u00e9tait assez intelligent pour d\u00e9tecter la suppression et s’emp\u00eacher d’agir dessus.<\/p>\n

La solution ultime est arriv\u00e9e sous la forme d’un outil d’essuyage, surnomm\u00e9 A\u00efkido<\/a>qui d\u00e9clenche la suppression privil\u00e9gi\u00e9e en cr\u00e9ant un fichier malveillant dans un r\u00e9pertoire leurre et en ne lui accordant aucune autorisation, obligeant les EDR \u00e0 reporter la suppression jusqu’au prochain red\u00e9marrage.<\/p>\n

Compte tenu de ce nouvel intervalle d’attaque, tout ce qu’un adversaire a \u00e0 faire est de supprimer le r\u00e9pertoire contenant le fichier malveillant, de cr\u00e9er une jonction pour pointer vers le r\u00e9pertoire cible \u00e0 supprimer et de red\u00e9marrer le syst\u00e8me.<\/p>\n

Une militarisation r\u00e9ussie de la technique pourrait entra\u00eener la suppression de fichiers syst\u00e8me tels que des pilotes, emp\u00eachant le d\u00e9marrage du syst\u00e8me d’exploitation. Il peut \u00e9galement \u00eatre abus\u00e9 pour supprimer tous les fichiers des r\u00e9pertoires des utilisateurs administrateurs.<\/p>\n

Sur 11 produits de s\u00e9curit\u00e9 test\u00e9s, six se sont r\u00e9v\u00e9l\u00e9s vuln\u00e9rables \u00e0 l’exploit d’effacement du jour z\u00e9ro, incitant les fournisseurs \u00e0 publier des mises \u00e0 jour pour rem\u00e9dier \u00e0 la lacune –<\/p>\n

“L’essuie-glace ex\u00e9cute ses actions malveillantes en utilisant l’entit\u00e9 la plus fiable du syst\u00e8me – l’EDR ou l’AV”, a d\u00e9clar\u00e9 Yair. “Les EDR et les AV ne s’emp\u00eachent pas de supprimer des fichiers.”<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n