Une faille de la politique de Microsoft Windows a \u00e9t\u00e9 observ\u00e9e, principalement exploit\u00e9e par des pirates de langue maternelle chinoise pour falsifier des signatures sur des pilotes en mode noyau.<\/p>\n
“Les acteurs exploitent plusieurs outils open source qui modifient la date de signature des pilotes en mode noyau pour charger des pilotes malveillants et non v\u00e9rifi\u00e9s sign\u00e9s avec des certificats expir\u00e9s”, a d\u00e9clar\u00e9 Cisco Talos dans un communiqu\u00e9. rapport exhaustif en deux parties<\/a> partag\u00e9 avec The Hacker News. “Il s’agit d’une menace majeure, car l’acc\u00e8s au noyau fournit un acc\u00e8s complet \u00e0 un syst\u00e8me, et donc un compromis total.”<\/p>\n Suite \u00e0 la divulgation responsable, Microsoft a dit<\/a> il a pris des mesures pour bloquer tous les certificats afin d’att\u00e9nuer la menace. Il a en outre d\u00e9clar\u00e9 que son enqu\u00eate avait r\u00e9v\u00e9l\u00e9 que “l’activit\u00e9 \u00e9tait limit\u00e9e \u00e0 l’abus de plusieurs comptes de programme de d\u00e9veloppeur et qu’aucun compromis de compte Microsoft n’a \u00e9t\u00e9 identifi\u00e9”.<\/p>\n Le g\u00e9ant de la technologie, en plus de suspendre les comptes du programme de d\u00e9veloppement impliqu\u00e9s dans l’incident, a soulign\u00e9 que les acteurs de la menace avaient d\u00e9j\u00e0 obtenu des privil\u00e8ges administratifs sur les syst\u00e8mes compromis avant d’utiliser les pilotes.<\/p>\n Il convient de souligner que le fabricant de Windows avait d\u00e9ploy\u00e9 des protections de blocage similaires en d\u00e9cembre 2022 pour emp\u00eacher les attaquants de ransomwares d’utiliser des pilotes sign\u00e9s Microsoft pour les activit\u00e9s de post-exploitation.<\/p>\n Application de la signature du conducteur<\/a>qui exige que les pilotes en mode noyau soient sign\u00e9s num\u00e9riquement avec un certificat du portail de d\u00e9veloppement de Microsoft, est une ligne de d\u00e9fense cruciale contre les pilotes malveillants, qui pourraient \u00eatre potentiellement utilis\u00e9s pour \u00e9chapper aux solutions de s\u00e9curit\u00e9, alt\u00e9rer les processus syst\u00e8me et maintenir la persistance.<\/p>\n La nouvelle faiblesse d\u00e9couverte par Cisco Talos permet de forger des signatures sur les pilotes en mode noyau, permettant ainsi de contourner les politiques de certificat Windows.<\/p>\n Ceci est rendu possible gr\u00e2ce \u00e0 une exception<\/a> d\u00e9coup\u00e9 par Microsoft pour maintenir la compatibilit\u00e9, ce qui permet aux pilotes \u00e0 signature crois\u00e9e s’ils ont \u00e9t\u00e9 “sign\u00e9s avec un certificat d’entit\u00e9 finale \u00e9mis avant le 29 juillet 2015 qui se lie \u00e0 une signature crois\u00e9e prise en charge [certificate authority].”<\/p>\n “La troisi\u00e8me exception cr\u00e9e une faille qui permet \u00e0 un pilote nouvellement compil\u00e9 d’\u00eatre sign\u00e9 avec des certificats non r\u00e9voqu\u00e9s \u00e9mis avant ou expir\u00e9s avant le 29 juillet 2015, \u00e0 condition que le certificat soit li\u00e9 \u00e0 une autorit\u00e9 de certification \u00e0 signature crois\u00e9e prise en charge”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9. a dit.<\/p>\n Par cons\u00e9quent, un pilote sign\u00e9 de cette mani\u00e8re ne sera pas emp\u00each\u00e9 d’\u00eatre charg\u00e9 sur un appareil Windows, permettant ainsi aux pirates de profiter de la clause d’\u00e9chappement pour d\u00e9ployer des milliers de pilotes malveillants sign\u00e9s sans les soumettre \u00e0 Microsoft pour v\u00e9rification.<\/p>\n Ces pilotes malveillants sont d\u00e9ploy\u00e9s \u00e0 l’aide d’un logiciel de contrefa\u00e7on d’horodatage de signature tel que CrochetSigneOutil<\/a> et FuckCertVerifyTimeValidity<\/a>qui sont accessibles au public depuis 2019 et 2018, respectivement.<\/p>\n HookSignTool est accessible via GitHub depuis le 7 janvier 2020, tandis que FuckCertVerifyTimeValidity a \u00e9t\u00e9 engag\u00e9 pour la premi\u00e8re fois dans le service d’h\u00e9bergement de code le 14 d\u00e9cembre 2018.<\/p>\n “HookSignTool est un outil de falsification de signature de pilote qui modifie la date de signature d’un pilote pendant le processus de signature en combinant l’accrochage \u00e0 l’API Windows et la modification manuelle de la table d’importation d’un outil de signature de code l\u00e9gitime”, a expliqu\u00e9 Cisco Talos.<\/p>\n Concr\u00e8tement, il s’agit de s’accrocher au Fonction CertVerifyTimeValidityCertVerifyTimeValidity function<\/a>qui v\u00e9rifie la dur\u00e9e de validit\u00e9 d’un certificat, pour modifier l’horodatage de signature lors de l’ex\u00e9cution.<\/p>\n “Ce petit projet emp\u00eache le signtool de v\u00e9rifier [sic] validit\u00e9 de l’heure du certificat et vous permettent de signer votre bac avec un certificat obsol\u00e8te sans modifier manuellement l’heure du syst\u00e8me \u00bb, lit-on sur la page GitHub de FuckCertVerifyTimeValidity.<\/p>\n \ud83d\udd10 PAM Security \u2013 Des solutions expertes pour s\u00e9curiser vos comptes sensibles<\/p>\n <\/a><\/p>\n Ce webinaire dirig\u00e9 par des experts vous fournira les connaissances et les strat\u00e9gies dont vous avez besoin pour transformer votre strat\u00e9gie de s\u00e9curit\u00e9 des acc\u00e8s privil\u00e9gi\u00e9s.<\/p>\n R\u00e9servez votre place<\/a><\/section>\n “Il installe le hook dans crypt32!CertVerifyTimeValidity et le renvoie toujours 0 et fait en sorte que kernel32!GetLocalTime renvoie ce que vous voulez car vous pouvez ajouter “-fuckyear 2011″ \u00e0 la ligne de commande de signtool pour signer un certificat \u00e0 partir de l’ann\u00e9e 2011.”<\/p>\n Cela dit, r\u00e9ussir une contrefa\u00e7on n\u00e9cessite un certificat de signature de code non r\u00e9voqu\u00e9 qui a \u00e9t\u00e9 \u00e9mis avant le 29 juillet 2015, ainsi que le cl\u00e9 priv\u00e9e et mot de passe du certificat<\/a>.<\/p>\n Cisco Talos a d\u00e9clar\u00e9 avoir d\u00e9couvert plus d’une douzaine de certificats de signature de code avec des cl\u00e9s et des mots de passe contenus dans un fichier PFX h\u00e9berg\u00e9 sur GitHub dans un r\u00e9f\u00e9rentiel fourchu de FuckCertVerifyTimeValidity. On ne sait pas imm\u00e9diatement comment ces certificats ont \u00e9t\u00e9 obtenus.<\/p>\n De plus, il a \u00e9t\u00e9 observ\u00e9 que HookSignTool a \u00e9t\u00e9 utilis\u00e9 pour signer \u00e0 nouveau des pilotes pirat\u00e9s afin de contourner les contr\u00f4les d’int\u00e9grit\u00e9 de la gestion des droits num\u00e9riques (DRM), un acteur nomm\u00e9 “Juno_Jr” publiant une version pirat\u00e9e de PrimoCache, une solution de mise en cache logicielle l\u00e9gitime. , dans un forum de cracking de logiciels chinois le 9 novembre 2022.<\/p>\n “Dans la version crack\u00e9e […]le pilote corrig\u00e9 a \u00e9t\u00e9 re-sign\u00e9 avec un certificat d\u00e9livr\u00e9 \u00e0 l’origine \u00e0 “Shenzhen Luyoudashi Technology Co., Ltd.”, qui est contenu dans le fichier PFX sur GitHub”, ont d\u00e9clar\u00e9 les chercheurs de Talos. “Cette possibilit\u00e9 de d\u00e9missionner d’un pilote fissur\u00e9 supprime un obstacle important lors d’une tentative de contournement des contr\u00f4les DRM dans un pilote sign\u00e9.”<\/p>\n Ce n’est pas tout. HookSignTool est \u00e9galement utilis\u00e9 par un pilote pr\u00e9c\u00e9demment non document\u00e9 identifi\u00e9 comme RedDriver pour falsifier son horodatage de signature. Actif depuis au moins 2021, il fonctionne comme un pirate de navigateur bas\u00e9 sur un pilote qui exploite la plateforme de filtrage Windows (PAM<\/a>) pour intercepter le trafic du navigateur et le rediriger vers localhost (127.0.0.1).<\/p>\n Le navigateur cible est choisi au hasard dans une liste cod\u00e9e en dur contenant les noms de processus de nombreux navigateurs chinois populaires tels que Liebao, QQ Browser, Sogou et UC Browser, ainsi que Google Chrome, Microsoft Edge et Mozilla Firefox.<\/p>\n “J’ai d’abord trouv\u00e9 RedDriver lors de mes recherches sur la falsification d’horodatage de certificat sur les pilotes Windows”, a d\u00e9clar\u00e9 Chris Neal, chercheur en sensibilisation pour Cisco Talos, \u00e0 The Hacker News. “C’\u00e9tait l’un des premiers \u00e9chantillons que j’ai rencontr\u00e9s qui \u00e9tait imm\u00e9diatement suspect. Ce qui a attir\u00e9 mon attention, c’est la liste des navigateurs Web stock\u00e9s dans le fichier RedDriver.”<\/p>\n L’objectif ultime de cette redirection du trafic du navigateur n’est pas clair, m\u00eame s’il va sans dire qu’une telle capacit\u00e9 pourrait \u00eatre utilis\u00e9e \u00e0 mauvais escient pour alt\u00e9rer le trafic du navigateur au niveau des paquets.<\/p>\n Les cha\u00eenes d’infection RedDriver commencent par l’ex\u00e9cution d’un binaire nomm\u00e9 “DnfClientShell32.exe”, qui, \u00e0 son tour, initie des communications crypt\u00e9es avec un serveur de commande et de contr\u00f4le (C2) pour t\u00e9l\u00e9charger le pilote malveillant.<\/p>\n “Nous n’avons pas observ\u00e9 la livraison du fichier initial, mais il est tr\u00e8s probable que le fichier ait \u00e9t\u00e9 emball\u00e9 pour se faire passer pour un fichier de jeu et qu’il ait \u00e9t\u00e9 h\u00e9berg\u00e9 sur un lien de t\u00e9l\u00e9chargement malveillant”, a d\u00e9clar\u00e9 Neal. “La victime a probablement pens\u00e9 qu’elle t\u00e9l\u00e9chargeait un fichier \u00e0 partir d’une source l\u00e9gitime et a lanc\u00e9 l’ex\u00e9cutable. ‘DNFClient’ est le nom d’un fichier appartenant \u00e0 ‘Dungeon Fighter Online’ qui est un jeu extr\u00eamement populaire en Chine et commun\u00e9ment appel\u00e9 ‘DNF’. .'”<\/p>\n “RedDriver a probablement \u00e9t\u00e9 d\u00e9velopp\u00e9 par des acteurs hautement qualifi\u00e9s, car la courbe d’apprentissage pour d\u00e9velopper des pilotes malveillants est abrupte”, a d\u00e9clar\u00e9 Cisco Talos. “Bien que la menace semble cibler les locuteurs natifs chinois, les auteurs sont probablement aussi des locuteurs chinois.”<\/p>\n “Les auteurs ont \u00e9galement d\u00e9montr\u00e9 une familiarit\u00e9 ou une exp\u00e9rience avec les cycles de d\u00e9veloppement de logiciels, un autre ensemble de comp\u00e9tences qui n\u00e9cessite une exp\u00e9rience de d\u00e9veloppement ant\u00e9rieure.”<\/p>\n <\/p>\n![\"Signatures](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/07\/1689102522_366_Les-pirates-exploitent-les-failles-de-la-politique-Windows-pour.jpg\" "\\"Signatures")
<\/div>\n![\"Signatures](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/07\/1689102522_72_Les-pirates-exploitent-les-failles-de-la-politique-Windows-pour.jpg\" "\\"Signatures")
<\/div>\n