Des chercheurs ont exécuté leur code dans une enclave VBS de Windows, censée résister même à un système compromis.

Des chercheurs en sécurité ont réussi à faire tourner leur propre code dans une enclave VBS de Windows. Or cette zone est conçue pour rester étanche, même quand le reste de la machine est entièrement compromis. L’exploit repose, selon le titre de la publication, sur une écriture de quatre octets et sur un bug de timing.

L’expérience a été menée en laboratoire, dans le cadre d’une preuve de concept. Elle n’indique donc pas, en soi, une exploitation réelle. Elle montre néanmoins qu’une barrière réputée très solide peut céder.

Une enclave VBS censée rester hermétique

VBS signifie « virtualization-based security ». Ce mécanisme s’appuie sur la virtualisation pour créer des zones de mémoire isolées. Le système d’exploitation y range des secrets qu’il juge sensibles.

Une enclave est donc une petite tranche de mémoire protégée. Même un attaquant disposant de privilèges élevés sur Windows ne devrait pas pouvoir la lire ni la modifier. Autrement dit, la compromission du noyau ne doit pas suffire à l’atteindre.

Cette promesse est au cœur de la défense en profondeur de Windows. En effet, elle limite les dégâts quand une première ligne de défense tombe. Par conséquent, toute brèche dans une enclave a un poids particulier.

Pourquoi l’enclave VBS de SmartScreen est visée

L’enclave attaquée par les chercheurs n’est pas n’importe laquelle. Elle gère les mots de passe pour une fonction anti-hameçonnage de Windows, rattachée à SmartScreen. Son rôle est donc de protéger des identifiants.

Cette cible est stratégique. En effet, une fonction anti-phishing manipule des données très sensibles. Si un attaquant exécute du code dans son enclave, il se place au plus près de ces secrets.

De plus, la protection est censée tenir face à un adversaire déjà puissant. C’est pourquoi la réussite des chercheurs retient l’attention. Elle remet en question l’hypothèse selon laquelle l’enclave résiste à une machine compromise.

Une écriture de quatre octets et un bug de timing

Deux ingrédients ressortent du titre de la publication. D’abord, une écriture de quatre octets. Ensuite, un défaut lié au timing, c’est-à-dire à l’ordre ou au moment des opérations.

Quatre octets paraissent dérisoires. Pourtant, une écriture contrôlée à un endroit bien choisi peut suffire à détourner le déroulement d’un programme. Par exemple, elle peut modifier un pointeur ou une valeur de contrôle.

Les bugs de timing, eux, surviennent en général quand le code suppose qu’une donnée ne change pas entre deux étapes. Un attaquant peut alors la modifier au bon instant. Il contourne ainsi une vérification qui semblait fiable.

Associés, ces deux défauts ont permis l’exécution de code dans l’enclave. Les informations disponibles ne détaillent pas ici la chaîne complète d’exploitation. Elles ne mentionnent pas non plus d’identifiant CVE ni de correctif. Il convient donc de rester prudent sur la portée exacte de la découverte.

Ce que cela change pour la défense

Cette recherche rappelle une règle simple. Une enclave réduit la surface d’attaque, mais elle n’est pas infaillible. Son code reste du code, avec ses erreurs de logique et de synchronisation.

Par ailleurs, plus une enclave expose de fonctions vers l’extérieur, plus elle offre de points d’entrée. Chaque donnée reçue du monde non fiable doit être validée avec rigueur. Les éditeurs doivent également traiter les accès concurrents avec le même soin.

Ce qu’il faut retenir

• Des chercheurs ont exécuté leur code dans une enclave VBS de Windows, en laboratoire.
• L’enclave visée gère les mots de passe d’une fonction anti-hameçonnage liée à SmartScreen.
• L’attaque combine une écriture de quatre octets et un bug de timing.
• Il s’agit d’une preuve de concept, sans exploitation réelle signalée dans les éléments disponibles.
• Aucun identifiant CVE ni correctif ne figure dans les informations dont nous disposons.

Recommandations

• Appliquez rapidement les mises à jour de Windows, notamment les correctifs de sécurité mensuels.
• Surveillez les bulletins de Microsoft pour savoir si cette recherche débouche sur un correctif.
• Ne comptez pas uniquement sur l’isolation matérielle : gardez des protections complémentaires.
• Activez l’authentification multifacteur, afin qu’un mot de passe volé ne suffise pas.
• Restez vigilant face au phishing, même si le navigateur et le système affichent des protections.

En conclusion, cette étude ne signe pas la fin de la sécurité par virtualisation. Elle montre toutefois que même les zones les plus protégées de Windows méritent un examen constant.

Source : Four-Byte Write and Timing Bug Let Researchers Run Code in Windows SmartScreen Enclave