Pilote vulnérable signé (BYOVD)

Définition

Le pilote vulnérable signé, désigné par l'acronyme anglais BYOVD pour Bring Your Own Vulnerable Driver, désigne une technique consistant pour un attaquant à installer volontairement sur un système compromis un pilote noyau légitime, signé numériquement et donc accepté par les mécanismes de vérification de signature de Windows, mais présentant une vulnérabilité connue permettant d'exécuter du code arbitraire dans le contexte du noyau avec les privilèges les plus élevés du système. Contrairement à l'exploitation d'une vulnérabilité inconnue, cette technique s'appuie sur des pilotes légitimement signés par des éditeurs reconnus, souvent des outils de diagnostic matériel ou de gestion système anciens et rarement mis à jour, ce qui contourne les protections de vérification d'intégrité du noyau tout en permettant à l'attaquant de désactiver des solutions de sécurité s'exécutant elles-mêmes en mode noyau, un objectif fréquent des attaques utilisant cette technique. La technique a gagné en popularité en réponse au durcissement croissant des mécanismes de protection en espace utilisateur, poussant les attaquants sophistiqués vers le noyau où les protections restent plus difficiles à contourner autrement. Pour les équipes défensives, la contre-mesure repose sur le maintien à jour d'une liste de blocage des pilotes vulnérables connus, l'activation de l'intégrité de code protégée par hyperviseur lorsque le matériel le permet, et la surveillance du chargement de pilotes rares ou inhabituels sur le parc.