Les attaquants ont récemment utilisé une faille dans un pilote Windows, Truesight.sys, pour contourner la liste de blocage de Microsoft et mener une attaque de type BYOVD (Bring Your Own Vulnerable Driver). Cette vulnérabilité a permis à un groupe de cybercriminels, connu sous le nom de « Silver Fox », d’infecter des systèmes avec Gh0stRAT, un cheval de Troie de type Remote Access Trojan (RAT). Cet article explore comment cette faille a été exploitée et les mesures pour se protéger contre ce type d’attaque.
Qu’est-ce que l’attaque BYOVD ?
L’attaque BYOVD repose sur l’exploitation de pilotes vulnérables, permettant aux attaquants d’obtenir des privilèges élevés sur une machine et de contourner les mécanismes de sécurité. En utilisant un pilote malveillant, un attaquant peut manipuler des processus protégés et exécuter des actions non autorisées sur le système cible.
Comment la faille Truesight.sys a été exploitée
Le pilote Truesight.sys, développé par Adlice pour le programme anti-malware Roguekiller, présente une vulnérabilité permettant d’arrêter des processus protégés. Bien que Microsoft ait mis en place une liste de blocage pour des pilotes vulnérables, une version spécifique du Truesight.sys (2.0.2) a échappé à cette surveillance. Cela a permis au groupe Silver Fox de contourner les défenses de sécurité et d’infecter leurs victimes avec le malware Gh0stRAT.
L’impact de cette vulnérabilité
Cette vulnérabilité a permis aux attaquants d’infecter des milliers de systèmes, principalement en Asie, en exploitant des versions mal sécurisées de pilotes anciens. La capacité de contourner les outils de détection comme les antivirus et les solutions EDR a amplifié l’impact de l’attaque
Mesures de protection
Pour se protéger contre ce type d’attaque, il est essentiel de maintenir à jour les pilotes système et de surveiller les alertes relatives à des versions de pilotes vulnérables. Les administrateurs doivent également prêter attention aux versions de pilotes qui échappent aux listes de blocage de Microsoft et prendre des mesures proactives pour éliminer les failles dès qu’elles sont découvertes.
L’attaque BYOVD menée par Silver Fox met en lumière les risques associés à l’utilisation de pilotes vulnérables et à l’exploitation de failles dans des composants système de bas niveau. Une vigilance accrue et des mises à jour régulières sont indispensables pour prévenir de telles menaces.
