Vous êtes dans : Accueil > Tribunes libres >

Microsoft Defender : la CVE-2021-1647 n’est plus réservée aux attaquant étatiques

Charles Blanc-Rolin , MARDI 26 JANVIER 2021

Corrigée le 12 janvier dernier dans le patch tuesday de Microsoft, la vulnérabilité CVE-2021-1647 affectant le moteur antivirus « Microsoft Malware Protection Engine » embarqué par défaut dans Windows, de la version 7 à la dernière version 20H2 de Windows 10 (et versions équivalentes côté serveurs) pourrait permettre à un attaquant de réaliser une exécution de code arbitraire.

Parmi les 83 vulnérabilités corrigées en janvier par Microsoft, c’est la seule annoncée par l’éditeur comme ayant été observée lors d’attaques [1]. D’après un article de Tom Spring sur Threat Post [2], cette faille aurait même pu être utilisée lors de la gigantesque attaque estimée comme étant de niveau étatique ayant visé l’éditeur SolarWinds [3 ], puis ses clients...

Si votre côté « utopiste optimiste » pouvait vous laisser penser que nous n’avions rien à craindre concernant l’utilisation de cette vulnérabilité contre nos modestes SI de santé français pour l’instant, car réservée aux « pirates du Kremlin », sachez qu’un premier « exploit » a été rendu publique ces derniers jours.
Il permet la neutralisation de l’antivirus embarqué dans Windows. 

Même si l’utilisateur ne dispose pas des privilèges lui permettant d’arrêter le service « windefend » :

L’exécution du POC dans ce contexte utilisateur va tuer le processus et le tuera à nouveau à chaque tentative de redémarrage.

Même si ce POC « de base » ne permet « que » la neutralisation de l’antivirus et qu’il nécessite une exécution locale, il pourrait bien permettre aux attaquants déjà rentrés ou sollicitant l’utilisateur « clique partout » de gagner beaucoup de temps dans leurs phases successives de compromission et leurs déplacements latéraux.

Ne nous voilons pas la face, des POCs clés en main permettant de réaliser une exécution de code arbitraire ne vont pas tarder à émerger plus largement…
Et une exécution de code arbitraire via un service lancé par l’utilisateur « system », c’est une aubaine que tout attaquant qui se respecte ne va pas manquer de saisir !

Il ne nous reste plus qu’une chose à faire ! Vérifier que nos machines soient patchées, et si ce n’est pas le cas, appliquer rapidement le correctif de sécurité de janvier.
Pour rappel, les versions du moteur d’antivirus inférieures à la version 1.1.17700.4 sont vulnérables, et ce, peu importe la version de Windows utilisée.

L’information peut également être récupérée rapidement via Powershell :

Je n’ai plus qu’à vous souhaiter bon courage et happy patching !

[1] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1647

[2] https://threatpost.com/critical-microsoft-defender-bug-exploited/162992/

[3] https://www.cert.ssi.gouv.fr/alerte/CERTFR-2020-ALE-026/

#microsoft#malware#antivirus#ssi