Windows peut être trompé par des techniques capables de masquer l’identité réelle d’un fichier ou d’un processus aux outils de sécurité. Des chercheurs de Bitdefender Labs montrent que certains mécanismes de redirection de chemins peuvent perturber les antivirus et les EDR, même sans modifier directement le fichier ciblé.
Les bind links peuvent tromper l’analyse d’un fichier
Le problème repose sur les bind links, un mécanisme de Windows permettant de rediriger un chemin vers un autre emplacement.
Un outil de sécurité peut alors croire qu’il analyse un fichier légitime alors que le système lui présente en réalité un contenu différent.
Les chercheurs décrivent notamment une méthode appelée File-Binding. Elle consiste à rediriger un chemin considéré comme fiable vers un fichier malveillant.
Dans l’un des scénarios présentés, un composant chargé d’analyser des scripts peut ainsi sembler fonctionner normalement alors que le contrôle attendu n’est plus réellement effectué.
Un processus peut aussi masquer sa véritable identité
La technique Process-Binding applique le même principe à un programme complet.
Un processus peut apparaître sous l’identité d’un logiciel légitime tout en exécutant un autre code. Pour certains outils de surveillance, le nom ou le chemin observé peut donc ne plus correspondre à ce qui s’exécute réellement.
Une méthode plus avancée, baptisée Silo-Binding, exploite les mécanismes d’isolation de Windows. Un même chemin peut alors présenter un contenu différent selon l’environnement depuis lequel il est consulté.
Les antivirus et EDR peuvent perdre un signal important
Ce type de manipulation peut poser un problème particulier en entreprise, où les outils de sécurité utilisent notamment les chemins de fichiers et l’identité des processus pour repérer une activité suspecte.
Bitdefender rapproche cette approche des attaques BYOVD, dans lesquelles des pilotes vulnérables sont exploités pour désactiver ou contourner certaines protections avant une attaque, notamment avec des ransomwares.
Le risque vient ici du fait qu’un outil de sécurité peut continuer à fonctionner tout en recevant une représentation trompeuse de ce qu’il surveille.
Des privilèges élevés restent nécessaires
Ces méthodes ne sont pas accessibles à un attaquant disposant uniquement de droits standards.
Elles nécessitent en principe des privilèges élevés sur la machine ciblée. Microsoft a donc attribué au problème une gravité limitée.
Bitdefender estime néanmoins que des droits administrateur ne devraient pas permettre de masquer aussi facilement des fichiers ou processus aux outils de sécurité sans générer d’alerte.
Garder Windows à jour reste essentiel
Pour les particuliers, les mesures restent simples : installer les mises à jour de Windows, conserver les protections actives et éviter les logiciels ou scripts provenant de sources douteuses.
En entreprise, les outils de sécurité ont davantage intérêt à croiser plusieurs indicateurs plutôt qu’à se fier uniquement au nom d’un processus ou à son chemin d’accès.
Ces techniques montrent surtout qu’un fichier apparemment légitime peut ne pas toujours correspondre à ce qu’un antivirus pense réellement analyser.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
