Un simple e-mail suffisait à prendre le contrôle de Windows

Le programme de Google visant à trouver les failles "zero-day" de ses concurrents, le ProjectZero, a de nouveau frappé. Cette fois, c'est une faille majeure frappant les derniers OS de Microsoft qui a été découverte. Une faille tellement importante que le groupe de Redmond l'a corrigée en seulement quelques jours alors que, parfois, il faut attendre des mois pour avoir un correctif.

La faille a été découverte durant le week-end du 6 mai 2017 par les experts du ProjectZero de Google, qui ont immédiatement prévenu Microsoft.

Un simple email piégé

Natalie Silvanovich et Tavis Ormandy, de l'équipe ProjectZero de Google, ont découvert cette faille le 6 mai 2017. Une faille critique, puisqu'elle permettait à un pirate de prendre le contrôle d'un ordinateur avec un simple email. Pire : il ne fallait même pas que l'email ou la pièce jointe soient lus ou ouverts pour que cette attaque soit efficace.

La faille se trouvait en effet dans le Microsoft Malware Protection Engine (MsMpEng) : il a pour but de protéger l'ordinateur de malwares. Mais lorsque la protection en temps-réel est activée, il va scanner les fichiers automatiquement. Un code malveillant placé dans un fichier, dans un mail ou même un simple lien Internet, suffisait à donner accès au pirate aux fichiers sensibles de Windows. Une fois cet accès acquis, le malware était installé et pouvait même se répandre, selon Tavis Omandy.

Microsoft corrige la faille en un temps record : deux jours

Prévenue par l'équipe de Google, la firme de Redmond a réagi en un temps record, si bien que Tavis Omandy l'a félicitée sur Twitter. Il faut dire que la faille concernait les tout derniers OS de Microsoft dont Windows 8, 8.1 et 10. Lundi 8 mai 2017 un correctif était déployé pour la corriger.



Heureusement, selon Microsoft, la faille ne semble pas avoir été exploitée par des pirates. Elle aura tout de même été qualifiée par Tavis Omandy comme l'une des pires failles découvertes dans Windows récemment.

• Une faille "zero day" dans Internet Explorer et Edge
• Google lance son Project Zero Prize pour sécuriser Android
• Build 2017 de Microsoft : assistants personnels et Windows 10
• Acer et HP proposent deux portables sous Windows 10 S