Patchez Windows pour vous protéger de cette faille zero-day exploitée par le malware QakBot
À l'occasion de son Patch Tuesday de Mai 2024, Microsoft a corrigé la faille de sécurité zero-day CVE-2024-30051. Sa particularité : elle est déjà exploitée par le malware QakBot ! Faisons le point sur cette menace.
Associée à la référence CVE-2024-30051, la faille de sécurité zero-day présente dans la bibliothèque "Desktop Window Manager" (DWM) du système d'exploitation Windows mérite une attention particulière. En charge de la gestion des fenêtres et introduit lors de la sortie de Windows Vista, il s'agit d'un composant central sur Windows.
Comme le précise Microsoft sur son site, cette vulnérabilité de type "heap-based buffer overflow" permet d'exécuter du code avec les privilèges SYSTEM sur la machine ciblée : "Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait obtenir les privilèges SYSTEM."
Une faille de sécurité zero-day exploitée par plusieurs malwares
Plusieurs chercheurs en sécurité sont à l'origine de la découverte de cette vulnérabilité, dont deux personnes de chez Kaspersky, qui ont mis en ligne un rapport au sujet de cette vulnérabilité et de la menace QakBot.
Tout a commencé par l'identification d'un fichier suspect sur VirusTotal, le 1er avril 2024. Ensuite, un suivi a été effectué par Kaspersky, ce qui a permis de découvrir l'existence d'un exploit pour cette vulnérabilité à la mi-avril.
"Nous l'avons vu utilisé avec QakBot et d'autres logiciels malveillants, et nous pensons que plusieurs acteurs de la menace y ont accès.", peut-on lire. Pour le moment, Kaspersky n'a pas donné de détails techniques supplémentaires afin de laisser le temps aux utilisateurs de Windows de se protéger.
QakBot, appelé aussi Qbot, est un Cheval de Troie bancaire identifié pour la première en 2008. Il est utilisé par les cybercriminels pour voler des numéros de cartes bancaires, des identifiants d'accès aux comptes bancaires, ainsi que des cookies de session. QakBot est aussi utilisé dans des attaques plus complexes où il sert à fournir un accès initial en vue d'exécuter un ransomware ou un autre logiciel malveillant.
Comment se protéger ?
La seule façon de se protéger, c'est d'installer la mise à jour de mai 2024 sur ses postes de travail Windows et ses serveurs sous Windows Server, car les deux OS sont vulnérables. Parmi les systèmes vulnérables, nous pouvons citer Windows 10, Windows 11, ainsi que Windows Server 2016 et les versions supérieures.
D'après la documentation de Microsoft, Windows Server est impacté même lorsqu'il est installé en mode "Core", c'est-à-dire sans interface graphique.
Les mises à jour viennent de sortir, donc pensez à les tester avant de les diffuser largement sur vos machines.
