C’est une ironie mordante : des chercheurs de la société Check Point Research ont mis en lumière une technique permettant de transformer un outil de réparation intégré à Windows en une arme offensive. Présentée lors des conférences Black Hat USA et DEF CON, cette méthode ne repose sur aucun bug logiciel, mais sur le détournement d’un pilote signé par Microsoft, BTR.sys. Cet outil, normalement utilisé pour supprimer des malwares récalcitrants au redémarrage, peut être manipulé par un attaquant disposant déjà de privilèges administrateur pour exécuter des commandes destructrices au plus bas niveau du système.
Comment un outil de nettoyage devient-il une arme ?
Le mécanisme est à la fois simple et dévastateur. Le pilote BTR.sys, caché dans une librairie de Defender, est conçu pour obéir à une liste d’instructions chiffrées. Les chercheurs ont découvert que la clé de chiffrement (RC4) est la même depuis Windows 7, codée en dur dans toutes les versions. En créant leur propre liste de commandes chiffrée, ils peuvent ordonner à ce pilote Microsoft tout-à-fait légitime de supprimer n’importe quel fichier ou clé de registre. Il s’agit d’une faille de conception fondamentale, où la confiance est l’arme.
Pour démontrer leur trouvaille, ils ont publié un outil preuve-de-concept, BTR_CLI. Ce dernier extrait le pilote, construit la transaction malveillante et l’exécute. L’astuce est de programmer l’opération pour le prochain redémarrage. Le pilote s’exécute alors dans une « fenêtre dorée » : le système de fichiers est accessible, mais les services de sécurité de plus haut niveau, comme l’antivirus lui-même, ne sont pas encore chargés. C’est le timing parfait pour démanteler les défenses avant même qu’elles ne s’activent.
Pourquoi cette technique est-elle si redoutable ?
Cette approche change complètement la donne par rapport aux attaques classiques. Habituellement, les pirates utilisent la technique du « Bring Your Own Vulnerable Driver » (BYOVD), qui consiste à importer un pilote tiers connu pour ses vulnérabilités. Ces pilotes finissent sur des listes noires. Ici, le pilote est un composant essentiel de Windows, signé et approuvé. Le bloquer reviendrait à casser Defender. Cela permet de neutraliser Microsoft Defender lui-même, mais aussi potentiellement d’autres solutions de sécurité (EDR).
Ce type d’attaque est qualifié de « Living-off-the-Land Driver » (LOLDriver), car l’attaquant utilise les outils déjà présents sur sa cible. C’est une forme de parasitisme numérique de haut vol. Le pilote opère depuis le Ring 0, le niveau le plus privilégié du système, ce qui lui donne un pouvoir absolu pour modifier, supprimer ou déplacer des fichiers normalement ultra-protégés. Lors d’une démonstration, les chercheurs ont pulvérisé l’intégralité de la suite Defender sur une machine Windows 11 à jour, même avec la protection anti-falsification activée.
Microsoft compte-t-il réagir ?
La réponse de Redmond a de quoi surprendre. Après avoir été prévenu, le Microsoft Security Response Center (MSRC) a conclu que cette découverte ne méritait pas un correctif de sécurité urgent. Leur argument ? La technique exige que l’attaquant dispose déjà de privilèges d’administrateur, notamment le droit de charger des pilotes (SeLoadDriverPrivilege). Selon eux, à ce stade, le système est déjà considéré comme compromis. Une logique qui peut se défendre, mais qui laisse un goût amer.
Cette position fait de BTR.sys un LOLDriver officiellement toléré. Pour les équipes de sécurité, la détection ne peut donc pas reposer sur la signature du fichier, mais sur le contexte de son utilisation. Il faut surveiller qui déclenche le chargement de ce pilote et la création de flux de données suspects (Alternate Data Streams) qui servent à lui passer ses instructions. Cela complexifie énormément la défense, car il faut distinguer une action de réparation légitime d’une attaque en cours utilisant les mêmes opérations au niveau du kernel.
Foire Aux Questions (FAQ)
Suis-je en danger immédiat ?
A priori, non. Check Point n’a trouvé aucune preuve que cette technique soit actuellement utilisée par des pirates. De plus, un attaquant doit d’abord obtenir un accès administrateur à votre machine. La meilleure protection reste donc d’appliquer les bonnes pratiques de sécurité pour éviter une compromission initiale.
Qu’est-ce que BTR_CLI ?
BTR_CLI est le nom de l’outil preuve-de-concept développé par les chercheurs de Check Point. Il n’est pas un virus, mais un programme qui démontre comment automatiser l’extraction, la configuration et l’exécution du pilote BTR.sys à des fins offensives. Il est disponible publiquement pour aider les chercheurs et les défenseurs à comprendre et détecter la menace.