Un bogue permet aux virus d'infecter les ordinateurs Windows

Une équipe de chercheurs a découvert une nouvelle technique par laquelle les logiciels malveillants pourraient contourner les contrôles antivirus et pénétrer dans les ordinateurs Windows. De cette façon, réussir à infecter l'ordinateur en question. Il a été surnommé le processus Doppelgänging et est une nouvelle technique qui tire parti d'une fonction Windows et du chargeur de processus.

Crash permet aux virus d'infecter les ordinateurs Windows

Les chercheurs ont présenté leurs résultats lors de la conférence de sécurité Black Hat 2017. Ce processus semble fonctionner sur toutes les versions de Windows. De plus, cette technique d'évasion de logiciels malveillants ressemble au Process Hollowing découvert il y a quelques années.

Fonctionnement de Doppelgänging sous Windows

Dans ce cas, la technique est différente de Process Hollowing. Principalement parce que tous les ordinateurs et antivirus sont déjà protégés contre cela. Dans ce cas, le processus a une approche différente, bien que l'objectif soit le même. Les transactions Windows NTFS et une ancienne implémentation du gestionnaire de processus du système d'exploitation sont utilisées. Ce gestionnaire a été initialement conçu pour Windows XP, mais toutes les versions l'ont.

Les transactions NTFS vous permettent de créer, modifier, renommer et supprimer des fichiers et répertoires partitionnés. Cela donne aux développeurs la possibilité de créer des routines de sortie. Tout d'abord, l'attaque traite un exécutable valide. Mais ensuite, il procède à son remplacement par un fichier malveillant. Il crée une section mémoire à partir de ce fichier malveillant et supprime les modifications apportées dans le fichier valide. La section mémoire est celle qui contient le code malveillant, mais elle parvient à être invisible pour l'antivirus.

Il a réussi à ignorer les principaux programmes antivirus dans les différentes analyses effectuées par les chercheurs. C'est donc un problème qui doit être résolu. Il semble que toutes les versions de Windows, à l'exception de Fall Creators Update, soient victimes de cet échec possible.