Une vulnérabilité présente dans certains antivirus très utilisés permettait d'empêcher la suppression d'un fichier malveillant et d'entraîner celle d'un fichier légitime.
De nombreuses solutions antivirus peuvent être trompées et supprimer des fichiers tout à fait légitimes des systèmes qu'elles sont censées protéger, selon une preuve de concept publiée par Or Yair, un chercheur en sécurité de la société SafeBreach.
Un fichier inoffensif supprimé à la place du fichier dangereux
Or Yair explique que la vulnérabilité est liée à une catégorie de bug bien connu, le time-of-check to time-of-use (TOCTOU). En exploitant cette faille, du code peut devenir capable d'insérer un chemin alternatif après la détection d'un malware afin de conduire à la suppression d'un fichier légitime plutôt qu'à celle du fichier malveillant. D'après son rapport, il est même possible que des fichiers système soient supprimés de la sorte.
L'expert qui a étudié cette vulnérabilité l'appelle Aïkido, en référence à l'art martial japonais fondé sur l'exploitation des mouvements et de la force des adversaires pour les retourner contre eux. L'analogie prend en effet tout son sens lorsque l'on comprend la manière dont l'exploit fonctionne.
Windows Defender, Avast, AVG et Trend Micro ont corrigé la faille de sécurité
La faille de sécurité existe sur plusieurs antivirus populaires, dont Windiows Defender, Defender for Endpoint, SentinelOne EDR, Avast, AVG et Trend Micro. Également testés, McAfee et BitDefender ne sont apparemment pas concernés par ce problème.
Or Yair souligne que dans le cas de Windows Defender, Aïkido supprime des dossiers entiers, et pas uniquement des fichiers. La preuve de concept a été présentée à l'occasion de la conférence sur la sécurité Black Hat Europe 2022, et les éditeurs de logiciels antivirus ont déjà pu développer des correctifs pour combler cette vulnérabilité.
Microsoft lui a attribué l'identifiant CVE-2022-37971 et répare le bug dans la version 1.1.19700.2 de Microsoft Malware Protection Engine. Un patch a également été déployé par Trend Micro (Hotfix 23573, Patch_b11136) ainsi que par Avast et AVG (mise à jour 22.10).
Source : Neowin , Safebreach
- moodEssai 30 jours
- devices3 à 10 appareils
- phishingAnti-phishing inclus
- local_atmAnti-ransomware inclus
- groupsContrôle parental inclus
- moodEssai 14 jours
- devices10 appareils
- phishingAnti-phishing inclus
- local_atmAnti-ransomware inclus
- groupsContrôle parental inclus
