Jusqu’\u00e0 34 mod\u00e8les de pilotes Windows vuln\u00e9rables uniques (WDM<\/a>) et les cadres de pilotes Windows (WDF<\/a>) les pilotes pourraient \u00eatre exploit\u00e9s par des acteurs malveillants non privil\u00e9gi\u00e9s pour prendre le contr\u00f4le total des appareils et ex\u00e9cuter du code arbitraire sur les syst\u00e8mes sous-jacents.<\/p>\n “En exploitant les pilotes, un attaquant sans privil\u00e8ge peut effacer\/alt\u00e9rer le micrologiciel et\/ou \u00e9lever [operating system] privil\u00e8ges”, Takahiro Haruyama, chercheur principal en menaces chez VMware Carbon Black, dit<\/a>.<\/p>\n Le recherche<\/a> d\u00e9veloppe des \u00e9tudes ant\u00e9rieures, telles que Tournevis \u00e0 vis<\/a> et POP-CORN<\/a> qui a utilis\u00e9 ex\u00e9cution symbolique<\/a> pour automatiser la d\u00e9couverte des pilotes vuln\u00e9rables. Il se concentre sp\u00e9cifiquement sur les pilotes qui contiennent un acc\u00e8s au micrologiciel via les E\/S de port et les E\/S mapp\u00e9es en m\u00e9moire.<\/p>\n Les noms de certains des pilotes vuln\u00e9rables incluent AODDriver.sys, ComputerZ.sys, dellbios.sys, GEDevDrv.sys, GtcKmdfBs.sys, IoAccess.sys, kerneld.amd64, ngiodriver.sys, nvoclock.sys, PDFWKRNL.sys (CVE-2023-20598<\/a>), RadHwMgr.sys, rtif.sys, rtport.sys, stdcdrv64.sys et TdkLib64.sys (CVE-2023-35841<\/a>).<\/p>\n Sur les 34 pilotes, six autorisent un acc\u00e8s \u00e0 la m\u00e9moire du noyau qui peut \u00eatre abus\u00e9 pour \u00e9lever les privil\u00e8ges et d\u00e9jouer les solutions de s\u00e9curit\u00e9. Douze des pilotes pourraient \u00eatre exploit\u00e9s pour renverser les m\u00e9canismes de s\u00e9curit\u00e9<\/a> comme la randomisation de la disposition de l’espace d’adressage du noyau (KASLR<\/a>).<\/p>\n Sept des pilotes, dont stdcdrv64.sys d’Intel, peuvent \u00eatre utilis\u00e9s pour effacer le micrologiciel dans le M\u00e9moire flash SPI<\/a>, rendant le syst\u00e8me impossible \u00e0 d\u00e9marrer. Intel a depuis publi\u00e9 un correctif pour le probl\u00e8me.<\/p>\n VMware a d\u00e9clar\u00e9 avoir \u00e9galement identifi\u00e9 des pilotes WDF tels que WDTKernel.sys et H2OFFT64.sys qui ne sont pas vuln\u00e9rables en termes de contr\u00f4le d’acc\u00e8s, mais peuvent \u00eatre trivialement utilis\u00e9s par des acteurs malveillants privil\u00e9gi\u00e9s pour mener \u00e0 bien ce qu’on appelle une attaque BYOVD (Bring Your Own Vulnerable Driver). .<\/p>\n Cette technique a \u00e9t\u00e9 utilis\u00e9e par divers adversaires, notamment le groupe Lazarus, li\u00e9 \u00e0 la Cor\u00e9e du Nord, comme moyen d’obtenir des privil\u00e8ges \u00e9lev\u00e9s et de d\u00e9sactiver les logiciels de s\u00e9curit\u00e9 ex\u00e9cut\u00e9s sur les points finaux compromis afin d’\u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n “La port\u00e9e actuelle des API\/instructions cibl\u00e9es par le [IDAPython script<\/a> for automating static code analysis of x64 vulnerable drivers] est restreint et limit\u00e9 uniquement \u00e0 l’acc\u00e8s au micrologiciel”, a d\u00e9clar\u00e9 Haruyama.<\/p>\n “Cependant, il est facile d’\u00e9tendre le code pour couvrir d’autres vecteurs d’attaque (par exemple, mettre fin \u00e0 des processus arbitraires).”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/11\/Des-chercheurs-decouvrent-34-pilotes-Windows-vulnerables-au-rachat-complet.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n