Pilote vulnérable apporté par l'attaquant (BYOVD)

Les systèmes d'exploitation modernes n'autorisent le chargement de pilotes, les programmes qui s'exécutent dans le noyau du système avec les privilèges les plus élevés, que s'ils sont signés numériquement par un éditeur reconnu. Les attaquants ne peuvent donc pas facilement écrire leurs propres pilotes malveillants. La technique dite BYOVD contourne cette protection : l'attaquant, qui dispose déjà de droits d'administrateur, installe un pilote parfaitement légitime, signé, provenant d'un matériel ou d'un logiciel ancien, mais qui comporte une vulnérabilité connue. En exploitant cette faille, il obtient l'accès au noyau du système, et s'en sert pour arrêter les outils de détection et de réponse installés sur les postes, qui ne peuvent pas se protéger contre un code s'exécutant à un niveau supérieur au leur. Des outils prêts à l'emploi, vendus ou partagés entre groupes criminels, automatisent cette neutralisation. Une fois les défenses aveuglées, le rançongiciel se déploie sans alerte. Les parades consistent à bloquer les pilotes vulnérables connus au moyen de listes publiées par les éditeurs, à restreindre les droits d'administration, et à surveiller le chargement de pilotes inhabituels. Pour l'assurance, la technique montre qu'un outil de détection coché au questionnaire ne suffit pas : sa résistance à la désactivation et la gestion des droits d'administration comptent autant que sa présence.