La semaine dernière, plusieurs démonstrations à la conférence Black Hat ont tourné autour de Vista, le prochain système de Microsoft. Lors d’une magnifique démonstration qui s’est terminée sous les applaudissements, Joanna Rutkowska, spécialiste des mécanismes internes de Windows pour la société COSEINC (Singapour), a démontré que l’on pouvait déjouer la sécurité de la version 64 bits de Windows (pilotes signés obligatoires) et utiliser la virtualisation des processeurs AMD pour rendre des malwares totalement indétectables.

En quoi consistait ce « hack » du système ? Joanna Rutkowska a commencé par saturer la mémoire du système avec divers logiciels afin que Vista commence à utiliser la pagination. Certains pilotes se sont alors retrouvés écrits dans la mémoire paginée. Rutkowska a alors procédé à une modification du pilote directement dans le fichier de pagination, une procédure qui réclame un compte administrateur. Les modifications introduites permettent ainsi d’utiliser les instructions privilégiées de Pacifica, la solution de virtualisation d’AMD. Une fois l’opération réalisée, elle a pu insérer un malware dans une machine virtuelle protégée.

Pendant que la salle applaudissait, Ben Fathi, responsable en chef de la sécurité de Microsoft, restait tranquillement dans un coin de la salle. Il est en quelque sorte le grand manitou de la sécurité chez l’éditeur de Redmond et c’est donc sur lui que reposent les promesses faites sur le système. Après la présentation de Joanna Rutkowska, il a accordé une courte interview à eWeek.

Il y explique qu’il n’y avait pas de quoi paniquer, puisque de toute manière la société s’était présentée au Black Hat pour cette raison précise : soulever des lièvres. Mais Fathi a précisé que le système était encore en phase bêta, qu’il existait toujours des bugs, et que la « faille » utilisée pour mener à bien le piratage révélé plus haut était corrigée désormais. En fait, depuis la mise au point de ce « hack » Joanna Rutkowska a travaillé avec Microsoft pour résoudre le problème. Interdiction de l’accès au fichier de pagination ? Chiffrement ? Toujours est-il que la manipulation n’est plus possible.



PS : Merci à Charon pour les explications du "hack"