Une mise à jour du rootkit « Blue Screen of Death » qui a infecté des milliers de PC le mois de février passé, s'attaque désormais aux versions 64-bit de Windows.
Ce rootkit rentrera dans l'histoire comme la première infection des Windows compatibles x64 ayant pu briser les défenses du Kernel et infecter le secteur de boot du disque dur.
Cette mise à jour, désignée sous plusieurs appellations comme Alureon, TDL et Tidserv se répand déjà sur le Web à travers des sites pornographiques et des Kits d'exploits, nous apprends Marco Giuliani, un chercheur en sécurité au sein de Prevx, l'éditeur d'antivirus Anglais qui a découvert cette faille.
Le nouvel exploit a réussi tout de même à franchir deux barrières importantes que Microsoft avait mises en place dans les versions 64bits de Windows.
La première barrière est le « Kernel Mode Code Signing », qui exige que les logiciels et drivers soient signés numériquement avant de les autoriser à s'exécuter en mode-kernel.
La deuxième, connu sous le nom de « Kernel Patch Protection » ou « PatchGuard » protège le code et les structures critiques du noyau de Windows contre la modification par du code ou des données inconnues.
« Pour réussir cet exploit, le rootkit modifie le secteur d'amorçage du disque dur principal (MBR), ce qui lui permet d'intercepter les routines de démarrage de Windows, se les approprier et charger ses propres drivers », explique Giuliani.
Les rootkits de ce type seraient quasiment indétectables par le système d'exploitation et les anti-virus.
Les chercheurs de Symantec, qui ont à leur tour confirmé l'exploit, précisent que les composants principaux de Tidserv sont stockés sous forme chiffrée dans un espace vide à la fin du disque dur, ce qui rend plus difficile leur détection et leur suppression une fois l'ordinateur infecté.
La première version de ce rootkit a causé de sérieux dommages plus tôt cette année. La mise à jour de sécurité publié par Microsoft avait à l'époque provoqué le crache de certaines machines sous Windows 32-bit.
Une accusation portée par PrevX, déjà, et démentie par Microsoft
Cette exploit démystifie la sécurité des systèmes 64-bits ?
Il rappelle en tout cas qu'aucune technologie n'est à l'abri des attaques.
Sources : Blog de PrevX et celui de Symantec
Lire aussi :
Windows : des attaques pourraient exploiter les DLL, Microsoft sort un outil en urgence et Rapid7 un Kit pour tester vos applications Microsoft colmate la faille mise à jour par l'ingénieur de Google, le patch mensuel de demain mettra-t-il fin à la polémique ? Un groupe de chercheurs anonymes attaque Microsoft en dévoilant une vulnérabilité de Windows pour se venger de sa campagne anti-OrmandyLes rubriques (actu, forums, tutos) de Développez :
Sécurité Windows SystèmesEt vous ?
Cette découverte change-t-elle votre vision de la sécurité des OS 64bits ?En collaboration avec Gordon Fowler
