Windows : le premier Rootkit ciblant les versions x64 découvert
Il brise les défenses du noyau de l'OS et se répand sur le Web
Le 2010-08-30 12:46:59, par Idelways, Expert éminent sénior
Une mise à jour du rootkit « Blue Screen of Death » qui a infecté des milliers de PC le mois de février passé, s'attaque désormais aux versions 64-bit de Windows.
Ce rootkit rentrera dans l'histoire comme la première infection des Windows compatibles x64 ayant pu briser les défenses du Kernel et infecter le secteur de boot du disque dur.
Cette mise à jour, désignée sous plusieurs appellations comme Alureon, TDL et Tidserv se répand déjà sur le Web à travers des sites pornographiques et des Kits d'exploits, nous apprends Marco Giuliani, un chercheur en sécurité au sein de Prevx, l'éditeur d'antivirus Anglais qui a découvert cette faille.
Le nouvel exploit a réussi tout de même à franchir deux barrières importantes que Microsoft avait mises en place dans les versions 64bits de Windows.
La première barrière est le « Kernel Mode Code Signing », qui exige que les logiciels et drivers soient signés numériquement avant de les autoriser à s'exécuter en mode-kernel.
La deuxième, connu sous le nom de « Kernel Patch Protection » ou « PatchGuard » protège le code et les structures critiques du noyau de Windows contre la modification par du code ou des données inconnues.
« Pour réussir cet exploit, le rootkit modifie le secteur d'amorçage du disque dur principal (MBR), ce qui lui permet d'intercepter les routines de démarrage de Windows, se les approprier et charger ses propres drivers », explique Giuliani.
Les rootkits de ce type seraient quasiment indétectables par le système d'exploitation et les anti-virus.
Les chercheurs de Symantec, qui ont à leur tour confirmé l'exploit, précisent que les composants principaux de Tidserv sont stockés sous forme chiffrée dans un espace vide à la fin du disque dur, ce qui rend plus difficile leur détection et leur suppression une fois l'ordinateur infecté.
La première version de ce rootkit a causé de sérieux dommages plus tôt cette année. La mise à jour de sécurité publié par Microsoft avait à l'époque provoqué le crache de certaines machines sous Windows 32-bit.
Une accusation portée par PrevX, déjà, et démentie par Microsoft
Cette exploit démystifie la sécurité des systèmes 64-bits ?
Il rappelle en tout cas qu'aucune technologie n'est à l'abri des attaques.
Sources : Blog de PrevX et celui de Symantec
Lire aussi :
Les rubriques (actu, forums, tutos) de Développez :
Et vous ?
En collaboration avec Gordon Fowler
Ce rootkit rentrera dans l'histoire comme la première infection des Windows compatibles x64 ayant pu briser les défenses du Kernel et infecter le secteur de boot du disque dur.
Cette mise à jour, désignée sous plusieurs appellations comme Alureon, TDL et Tidserv se répand déjà sur le Web à travers des sites pornographiques et des Kits d'exploits, nous apprends Marco Giuliani, un chercheur en sécurité au sein de Prevx, l'éditeur d'antivirus Anglais qui a découvert cette faille.
Le nouvel exploit a réussi tout de même à franchir deux barrières importantes que Microsoft avait mises en place dans les versions 64bits de Windows.
La première barrière est le « Kernel Mode Code Signing », qui exige que les logiciels et drivers soient signés numériquement avant de les autoriser à s'exécuter en mode-kernel.
La deuxième, connu sous le nom de « Kernel Patch Protection » ou « PatchGuard » protège le code et les structures critiques du noyau de Windows contre la modification par du code ou des données inconnues.
« Pour réussir cet exploit, le rootkit modifie le secteur d'amorçage du disque dur principal (MBR), ce qui lui permet d'intercepter les routines de démarrage de Windows, se les approprier et charger ses propres drivers », explique Giuliani.
Les rootkits de ce type seraient quasiment indétectables par le système d'exploitation et les anti-virus.
Les chercheurs de Symantec, qui ont à leur tour confirmé l'exploit, précisent que les composants principaux de Tidserv sont stockés sous forme chiffrée dans un espace vide à la fin du disque dur, ce qui rend plus difficile leur détection et leur suppression une fois l'ordinateur infecté.
La première version de ce rootkit a causé de sérieux dommages plus tôt cette année. La mise à jour de sécurité publié par Microsoft avait à l'époque provoqué le crache de certaines machines sous Windows 32-bit.
Une accusation portée par PrevX, déjà, et démentie par Microsoft
Cette exploit démystifie la sécurité des systèmes 64-bits ?
Il rappelle en tout cas qu'aucune technologie n'est à l'abri des attaques.
Sources : Blog de PrevX et celui de Symantec
Lire aussi :
Les rubriques (actu, forums, tutos) de Développez :
Et vous ?
En collaboration avec Gordon Fowler
-
cd090580Membre avertiQue l'OS soit 32, 64 voir 128 ou 256 bits, Windows, Mac, Unix ou Linux, il y aura toujours des failles quelles qu'elles soient.
Un système sans failles n'existera jamais. Il faut faire avec et c'est tout.
Ce qu'il faut surtout c'est éduquer les utilisteurs et leur apprendre à ne pas cliquer ou installer sur tout et n'importe quoi.le 30/08/2010 à 14:34 -
benzobenMembre avertiSurtout, moi ce qui me fait marrer c'est quand j'entends des gens me dire : moi ça fait des années que j'ai pas eu de virus!
Si ça se trouve ils ont des rootkit depuis des années sur leur disque, et ils ne s'en rendent pas compte.le 01/09/2010 à 9:13 -
Shemsu-HorMembre régulierBof, ce n'est surtout qu'une question de temps...Cette découverte change-t-elle votre vision de la sécurité des OS 64bits ?le 30/08/2010 à 14:11
-
Caly4DEn attente de confirmation mailje pense pas que beaucoup de personne se soit orienté vers le 64bits pour question de sécurité ...le 30/08/2010 à 14:57
-
quentinc86Membre à l'essaiEst-ce qu'il le formate ou est-ce qu'il le modifie ? Parce que ça serait marrant de voir l'impact de ce rootkit sur grub pour les utilisateurs ayant un dual-boot ...Pour réussir cet exploit, le rootkit modifie le secteur d'amorçage du disque dur principal (MBR)le 31/08/2010 à 13:49