Les chercheurs de Bitdefender Labs montrent comment une fonction légitime de virtualisation du système de fichiers peut être détournée pour masquer des fichiers, des processus et certaines activités malveillantes aux outils de sécurité.
Bitdefender Labs documente une nouvelle surface d’attaque sous Windows reposant sur l’exploitation des bind links. Cette fonctionnalité légitime permet de rediriger l’accès à un fichier ou à un répertoire dans le cadre de la virtualisation du système de fichiers. Selon les chercheurs, un attaquant disposant de privilèges administrateur pourrait toutefois la détourner afin de présenter une vision différente du système aux applications et aux outils de sécurité.
L’étude décrit trois nouvelles techniques baptisées File-Binding, Process-Binding et Silo-Binding. La première permet de faire charger un fichier malveillant depuis un chemin considéré comme légitime. La seconde vise à masquer l’identité réelle d’un processus en cours d’exécution. La troisième exploite les silos Windows pour afficher un contenu différent selon le contexte dans lequel le système de fichiers est consulté. Ces mécanismes pourraient compliquer le travail des solutions de détection et de réponse sur les terminaux. Les chercheurs indiquent notamment avoir réussi à contourner ou à perturber le fonctionnement de plusieurs dispositifs intégrés à Windows, parmi lesquels AMSI, AppLocker, Windows Firewall et Sysmon.
Un même chemin peut conduire à plusieurs fichiers
Cette recherche remet en cause une hypothèse couramment utilisée par les technologies de sécurité : celle selon laquelle un chemin d’accès désigne toujours le même fichier. Avec les bind links, un même emplacement peut en réalité pointer vers des contenus différents selon le processus ou l’environnement d’exécution.
Cette différence de perception peut créer un décalage entre ce qui est exécuté sur la machine et ce que voit la solution de sécurité. Elle risque ainsi de compliquer la détection d’un fichier malveillant, l’attribution d’une activité à un processus ou la reconstitution des événements lors d’une investigation. Microsoft a évalué cette problématique comme étant de faible sévérité, car son exploitation nécessite de disposer au préalable de privilèges administrateur. Bitdefender estime néanmoins que ce prérequis ne doit pas conduire à sous-estimer le risque. Les attaquants cherchent souvent à neutraliser les protections après avoir obtenu un premier accès privilégié à une machine.
L’éditeur rapproche ainsi ces techniques des attaques de type Bring Your Own Vulnerable Driver. Cette méthode, désormais utilisée par certains groupes de ransomware, consiste à exploiter un pilote légitime mais vulnérable pour désactiver les mécanismes de protection avant le déploiement de la charge malveillante.
Les chercheurs ont également identifié un scénario d’élévation de privilèges affectant Docker Desktop, signalé de manière responsable. Ce cas montre que l’exploitation des bind links pourrait dépasser le seul contournement des EDR et concerner plus largement la sécurité des environnements Windows virtualisés.
