/image%2F1430748%2F20211104%2Fob_f0b73a_photo.jpg)
Il s'agit des attaques des fichiers DLL (DLL preloading ), un nouveau vecteur pour les attaques distantes. « Ces pratiques pourraient permettre à un attaquant d'exécuter à distance du code arbitraire dans le contexte d'un utilisateur exécutant l'application vulnérable lorsque celui-ci ouvre un fichier à partir d'un emplacement à la confiance non approuvée », explique l'éditeur dans son alerte.
Le problème est inhérent au fonctionnement de Windows. La plupart des applications font appel aux fichiers de bibliothèque simplement en les chargeant par leur nom et non en indiquant leur chemin complet exact dans l'arborescence du système. Du coup, des petits malins se servent de ce vecteur pour inviter une victime potentielle à télécharger un fichier DLL infectieuxqui portera le même nom que l'original mais servira avant tout au pirate de prendre le contrôle du PC affecté.
Des études récentes ont montrées qu'une librairie malveillante peut être déposée sur un réseau partagé.
Cependant, pour Microsoft, le problème vient des applications, pas du système. Je rappelle que cette alerte ne parle pas de vulnérabilités spécifiques aux produits Microsoft. Pourtant des éditeurs proposentun outil bloquant l'appel de DLL distantes (des mésures de contournement permettant de réduire les risques) et un autre qui interdit le chargement de DLL partagéen réseau.
Dans son dernier bulletin de sécurité, Microsoft recommande ainsi de désactiver l'appel de librairies depuis WebDAV ou des réseaux partagés. Tout aussi radical (et donc potentiellement contraignant), l'éditeur préconise la désactivation du service WebClient et le blocage des ports TCP 139 et 445. On a également cet outil qui permet de bloquer le chargement de DLL depuis des répertoires distants, notamment sur une clé USB ou un site Web.
Si vous n'êtes pas informaticien, parlez-en à votre administrateur réseaux pour anticiper car il est toujours plus compliqué de guérir que de prévenir.