Applications Appx : Microsoft a désactivé les appels MSIX
Microsoft a pris la décision de désactiver l'appel du protocole MSIX afin de renforcer la sécurité des utilisateurs. En effet, des logiciels malveillants comme Emotet l'utilisaient pour installer des applications AppX malveillantes depuis un navigateur.
L'appel du protocole MSIX ("ms-appinstaller") vient d'être désactivé par Microsoft pour des raisons de sécurité. D'ailleurs, cette vulnérabilité appelée "Windows AppX Installer Spoofing" est associée à une référence CVE : CVE-2021-43890. Un correctif pour AppInstaller afin d'appliquer la désactivation a été inclus au Patch Tuesday de décembre 2021. Sur la page de la CVE, Microsoft explique comment se protéger avec des paramètres de GPO, si vous ne pouvez pas encore appliquer la mise à jour de décembre sur vos machines.
Il ne faut pas remonter bien loin pour trouver un malware qui utilise cette méthode pour infecter les machines. En décembre dernier je vous parlais du malware Emotet et de l'application Adobe PDF malveillante installée via un appel MSIX sur les machines. On pourrait également citer Bazarloader et Trickbot.
Grâce à cette méthode, les sources d'installation n'ont pas besoin d'être stockées en local, mais les données sont téléchargées directement depuis le serveur web. Désormais, cela n'est plus autorisé. L'utilisateur devra télécharger le package en local sur sa machine pour l'installer (ou pas) dans un second temps. Le fait que le package soit stocké sur la machine en local va également permettre à la solution de protection antivirus d'analyser le package.
Pour ceux qui utilisent des appels MSIX sur leur site, Microsoft précise qu'il est nécessaire de supprimer l'appel "ms-appinstaller:?source=" de l'URL afin que le fichier soit directement téléchargé. Par la suite, cet appel pourrait être réactivé, mais Microsoft veut se laisser le temps de trouver une manière de le faire de façon de sécurisée. En attendant, un paramètre de GPO pourrait être proposé aux administrateurs qui souhaitent réactiver l'appel MSIX.
