Une faille tout juste corrigée dans Windows déjà exploitée par un rançongiciel

Il y a deux jours, Microsoft a déployé le Patch Tuesday du mois de mars. Parmi les failles corrigées dans Windows, l’une d’elle est activement exploitée par un rançongiciel, avertit le Threat Analysis Group de Google.

Cette faille, estampillée CVE-2023-24880, réside dans les versions 10 et 11 de Windows. Quand le ransomware y arrive, il se présente sous la forme d’un fichier MSI dont la signature Authenticode est invalide, mais spécialement conçue pour exploiter la brèche.

Celle-ci se situe dans SmartScreen, composant important de la sécurité dans Windows et qui s’interpose entre un programme demandant à être exécuté et l’utilisateur. Face à la signature, SmartScreen renvoie une erreur, aboutissant au contournement de la défense par l’exécutable, ce dernier perdant alors sa Mark-of-the-Web (MotW), qui indique normalement qu’il vient du web.

Le ransomware est visiblement à pied d’œuvre depuis janvier. Google ajoute que son propre Safe Browsing, intégré dans Chrome, bloque ces fichiers dans 90 % des cas, donc pas systématiquement. Il est recommandé d’appliquer au plus vite les correctifs de sécurité de Windows, si ce n’est pas encore fait.

Source