Windows : le premier Rootkit ciblant les versions x64 découvert
Il brise les défenses du noyau de l'OS et se répand sur le Web

Le , par Idelways, Expert éminent sénior
Une mise à jour du rootkit « Blue Screen of Death » qui a infecté des milliers de PC le mois de février passé, s'attaque désormais aux versions 64-bit de Windows.

Ce rootkit rentrera dans l'histoire comme la première infection des Windows compatibles x64 ayant pu briser les défenses du Kernel et infecter le secteur de boot du disque dur.

Cette mise à jour, désignée sous plusieurs appellations comme Alureon, TDL et Tidserv se répand déjà sur le Web à travers des sites pornographiques et des Kits d'exploits, nous apprends Marco Giuliani, un chercheur en sécurité au sein de Prevx, l'éditeur d'antivirus Anglais qui a découvert cette faille.

Le nouvel exploit a réussi tout de même à franchir deux barrières importantes que Microsoft avait mises en place dans les versions 64bits de Windows.

La première barrière est le « Kernel Mode Code Signing », qui exige que les logiciels et drivers soient signés numériquement avant de les autoriser à s'exécuter en mode-kernel.

La deuxième, connu sous le nom de « Kernel Patch Protection » ou « PatchGuard » protège le code et les structures critiques du noyau de Windows contre la modification par du code ou des données inconnues.

« Pour réussir cet exploit, le rootkit modifie le secteur d'amorçage du disque dur principal (MBR), ce qui lui permet d'intercepter les routines de démarrage de Windows, se les approprier et charger ses propres drivers », explique Giuliani.

Les rootkits de ce type seraient quasiment indétectables par le système d'exploitation et les anti-virus.

Les chercheurs de Symantec, qui ont à leur tour confirmé l'exploit, précisent que les composants principaux de Tidserv sont stockés sous forme chiffrée dans un espace vide à la fin du disque dur, ce qui rend plus difficile leur détection et leur suppression une fois l'ordinateur infecté.

La première version de ce rootkit a causé de sérieux dommages plus tôt cette année. La mise à jour de sécurité publié par Microsoft avait à l'époque provoqué le crache de certaines machines sous Windows 32-bit.

Une accusation portée par PrevX, déjà, et démentie par Microsoft

Cette exploit démystifie la sécurité des systèmes 64-bits ?

Il rappelle en tout cas qu'aucune technologie n'est à l'abri des attaques.

Sources : Blog de PrevX et celui de Symantec

Lire aussi :

Windows : des attaques pourraient exploiter les DLL, Microsoft sort un outil en urgence et Rapid7 un Kit pour tester vos applications

Microsoft colmate la faille mise à jour par l'ingénieur de Google, le patch mensuel de demain mettra-t-il fin à la polémique ?

Un groupe de chercheurs anonymes attaque Microsoft en dévoilant une vulnérabilité de Windows pour se venger de sa campagne anti-Ormandy

Les rubriques (actu, forums, tutos) de Développez :

Sécurité
Windows
Systèmes

Et vous ?

Cette découverte change-t-elle votre vision de la sécurité des OS 64bits ?

En collaboration avec Gordon Fowler


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de Shemsu-Hor Shemsu-Hor - Membre régulier https://www.developpez.com
le 30/08/2010 à 14:11
Cette découverte change-t-elle votre vision de la sécurité des OS 64bits ?

Bof, ce n'est surtout qu'une question de temps...
Avatar de cd090580 cd090580 - Membre habitué https://www.developpez.com
le 30/08/2010 à 14:34
Que l'OS soit 32, 64 voir 128 ou 256 bits, Windows, Mac, Unix ou Linux, il y aura toujours des failles quelles qu'elles soient.

Un système sans failles n'existera jamais. Il faut faire avec et c'est tout.
Ce qu'il faut surtout c'est éduquer les utilisteurs et leur apprendre à ne pas cliquer ou installer sur tout et n'importe quoi.
Avatar de Caly4D Caly4D - En attente de confirmation mail https://www.developpez.com
le 30/08/2010 à 14:57
je pense pas que beaucoup de personne se soit orienté vers le 64bits pour question de sécurité ...
Avatar de quentinc86 quentinc86 - Membre à l'essai https://www.developpez.com
le 31/08/2010 à 13:49
Pour réussir cet exploit, le rootkit modifie le secteur d'amorçage du disque dur principal (MBR)

Est-ce qu'il le formate ou est-ce qu'il le modifie ? Parce que ça serait marrant de voir l'impact de ce rootkit sur grub pour les utilisateurs ayant un dual-boot ...
Avatar de benzoben benzoben - Membre actif https://www.developpez.com
le 01/09/2010 à 9:13
Surtout, moi ce qui me fait marrer c'est quand j'entends des gens me dire : moi ça fait des années que j'ai pas eu de virus!
Si ça se trouve ils ont des rootkit depuis des années sur leur disque, et ils ne s'en rendent pas compte.
Offres d'emploi IT
Développeur perl h/f
Kobaltt - Aquitaine - PAU
Développeur big data H/F
Geosys - Midi Pyrénées - Toulouse (31000)
Conception/dév logiciel java h/f
Atos - Provence Alpes Côte d'Azur - Aix-en-Provence (13100)

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil