Depuis peu, une faille de sécurité permet d’exécuter du code malicieux lors du démarrage d’un terminal sous Windows ou Linux. Le problème, c’est que l’opération intervient assez tôt pour empêcher toute protection, comme les antivirus, de fonctionner. Heureusement, les fabricants ont d’ores et déjà pris le problème en main.
S’il y a bien un domaine qui évolue en permanence, c’est celui de la cybersécurité. Alors qu’une majeure partie de la population utilise Internet, la protection des données est devenue primordiale pour les utilisateurs, qui font de plus en plus appels à des VPN.
Pour autant, bien que les firmes déploient des moyens importants pour protéger les internautes, les pirates informatiques n’hésitent pas à redoubler d’imagination pour découvrir des failles en tout genre.
Récemment, Google en a fait les frais avec l’apparition d’un nouveau malware capable de pirater des compter Google, sans même connaître les mots de passe. Même Apple, qui est généralement épargnée, doit faire face à un problème du même acabit. En effet, depuis peu, des pubs sur Mac cachent un malware qui permet de voler des données bancaires. Toutefois, il semblerait que cette fois-ci, le problème soit bien plus grave.
LogoFAIL, le nouveau cauchemar de Windows et Linux
C’est par le biais de la société Binarly, spécialisée dans la cybersécurité, que l’on apprend qu’une nouvelle faille critique a été découverte sur Windows, mais également sur Linux. Nommée LogoFAIL, cette dernière permet aux pirates informatiques d’exécuter du code malicieux sur un terminal, et ce, sans que les antivirus ne puissent faire quoi que ce soit.
Comme l’expliquent les chercheurs de Binarly, la faille apparaît lors du démarrage de l’appareil, quand ce dernier affiche le logo du fabricant. Durant cette phase, l’Unified Extensible Firmware Interface (UEFI) continue de tourner, et c’est grâce à lui qu’il est possible d’effectuer une attaque.
En effet, d’après la firme, le UEFI contient plus d’une douzaine de vulnérabilités, qui existent depuis plusieurs années. En les compilant, il est alors possible de remplacer le logo du fabricant par une autre image, qui contient le code malicieux. Bien évidemment, il est tout à fait possible d’utiliser le logo d’origine afin de ne pas éveiller les soupçons de l’utilisateur.
À lire aussi : Le mode Isolement des iPhone n’est pas sécurisé et peut cacher des malwares
Un attaque rapide comme l’éclair
Malheureusement, comme cette étape intervient très tôt, le code peut s’activer bien avant le lancement de l’antivirus de l’appareil. De ce fait, celui-ci est incapable de repérer la menace à temps. Pire encore, il semblerait que les solutions de protection dédiées aux attaques de types bootkit, telles que Secure Boot ou encore Boot Guard d’Intel, soient quasiment inefficaces face à cette attaque.
Pour couronner le tout, la faille touche aussi bien l’architecture x64 que celle d’ARM. Toutefois, Binarly précise bien qu’il est nécessaire d’accéder au terminal avant de pouvoir exploiter la faille.
S’il est possible d’accéder physiquement à la machine pour y parvenir, la firme indique qu’une simple vulnérabilité sur un navigateur web peut suffire amplement. De plus, il semblerait que l’opération pour remplacer l’image soit assez facile à mettre en place.
Bonne nouvelle tout de même, les fabricants sont d’ores et déjà en train de déployer des patchs pour corriger le problème. En revanche, comme les solutions diffèrent selon les fabricants, c’est aux utilisateurs de chercher eux-même le patch qui convient à leur machine.
Sauf qu’au boot d’une machine l’UEFI n’a ni accès aux réseaux internes, ni à internet. Donc les attaques potentielles que vous décrivez doivent obligatoirement être exécutées par un spécialiste qui aie un accès physique à la machine visée par l’attaque. Les risques sont donc assez minimes, ce pourquoi ces bugs n’ont vraisemblablement pas bénéficié d’une priorité élevés dans la hiérarchie accordée aux résolution de bugs. Mais il n’y a pas de doutes à avoir, un de ces prochains jours il y aura très des correctifs disponibles.
Un injecteur USB qui se sert de son accès pilote pendant l’amorçage, ça se fait depuis 15 ans et certains états et marques ce sont fait une spécialité de ce genre de “blagues” en utilisant des périphériques sous marques blanche (souris, casques, antennes, imprimantes).
En France, c’est surtout par opportunisme avec des interceptions colis et en 3-4 heure ça repart comme si de rien n’était <3