Les failles de sécurité pleuvent ces derniers jours avec la tenue de la conférence Black Hat Europe. La dernière découverte en date est particulièrement agressive puisqu’elle cible des milliers de machines avec une faille quasi indétectable.
Après Heartbleed et Log4Shell, vous reprendrez bien un peu de panique cyber, non ? LogoFAIL, une faille découverte par la société Binarly et dont le fonctionnement a été détaillé lors de la conférence Black Hat Europe, peut infecter votre machine avec un très haut degré de privilège, se lancer dès le démarrage de votre PC et résister à une réinstallation du système d’exploitation. De quoi faire de gros dégâts en somme.
« Game Over pour la sécurité »
Concrètement, comme le suggère son petit surnom, LogoFAIL va remplacer l’image de « boot » (le logo du constructeur qui s'affiche une poignée de secondes avant le lancement de Windows) de votre ordinateur par un fichier vérolé. Cela permet d’accéder ensuite à la configuration racine de l’ordinateur, et donc d’intercepter toutes les commandes et toutes les données reçues et stockées sur un PC. Plus qu’une seule faille, c’est en fait une grosse vingtaine de bugs qui ont été mis bout à bout pour arriver à créer ce nouveau vecteur d'attaque.
En s’attaquant à l’UEFI (le mini système stocké sur la carte mère censée faire le relai entre le matériel et l’OS installé sur le disque dur), LogoFAIL peut ainsi passer sous les radars de tous les antivirus et autres logiciels d’identification de malware. Petit bonus, puisque le ver est installé directement sur la mémoire de la carte mère, il résiste aussi à une réinstallation complète de la machine.
« Une fois le code arbitraire exécutée lors de la phase de démarrage, c’est game over pour la sécurité de l’ordinateur », explique Binarly, « à partir de là, on obtient un contrôle complet sur la mémoire et le disque dur de la machine infectée, et donc sur le système d’exploitation qui y est installé. »
Des mises à jour qui arrivent
Selon la configuration de l’UEFI sur votre machine, le remplacement de l’image de démarrage peut être plus ou moins aisé. Les PCs qui ont proprement intégré l’outil Intel Boot Guard sont un peu mieux protégés et ne peuvent être infectés qu’en flashant directement le bios. Cependant, d’autres machines (venant d’Acer et de Lenovo surtout) proposent carrément de changer l’image de boot via un petit logiciel installé directement sur Windows, rendant l’exploitation du bug très aisé.
D’après Binarly, la plupart des PCs (HP, Lenovo, Dell, Acer) et des cartes mères (Intel, AMD) sont vulnérables, à des degrés plus ou moins importants. Pour le moment, il est difficile de dire si cette faille a déjà été exploitée par des acteurs malveillants. Cependant, les constructeurs ayant été mis au courant, des mises à jour de l’UEFI devraient arriver rapidement. Ces dernières seront, la plupart du temps, rendues disponibles via l’outil de mise à jour constructeur installé par défaut sur votre ordinateur (souvent surnommé HP/Acer/Intel Driver Update ou Support Assistant).
Source : Binarly via Ars Technica
