Les points cl\u00e9s en bref<\/p>\n
- \n
- La signature n’est pas une protection.<\/strong> Un pilote de noyau sign\u00e9 valide appel\u00e9 PoisonX termine les processus de d\u00e9fense de l’extr\u00e9mit\u00e9 et supprime leurs hooks. La console reste silencieuse.<\/li>\n
- Les droits d’administrateur suffisent.<\/strong> Windows charge automatiquement le pilote sign\u00e9 dans le noyau. Pas besoin d’exploit suppl\u00e9mentaire, pas de CVE requis.<\/li>\n
- La d\u00e9tection l’emporte sur la confiance.<\/strong> La t\u00e9l\u00e9m\u00e9trie de chargement de pilote, la liste de blocage des pilotes vuln\u00e9rables et la minimisation coh\u00e9rente des droits s’appliquent l\u00e0 o\u00f9 la v\u00e9rification de signature \u00e9choue.<\/li>\n<\/ul>\n<\/div>\n
Li\u00e9 :<\/strong> Ce qui distingue vraiment EDR et XDR<\/a> \u00b7 Comment fonctionne une attaque de ransomware<\/a><\/p>\n
Ce qui se cache derri\u00e8re le pilote sign\u00e9<\/h2>\n
Qu’est-ce qu’une attaque BYOVD ?<\/strong> Bring Your Own Vulnerable Driver d\u00e9crit une technique par laquelle un attaquant avec des droits d’administrateur apporte un pilote sign\u00e9 valide mais d\u00e9fectueux ou malveillant sur le syst\u00e8me. Windows v\u00e9rifie la signature, la trouve en ordre et charge le pilote dans le noyau. Pas besoin d’exploit suppl\u00e9mentaire.<\/p>\n
Dans le cas de GodDamn, le pilote s’appelle PoisonX et porte une v\u00e9ritable signature de Microsoft Windows Hardware Compatibility Publisher. Symantec souligne une particularit\u00e9 : le BYOVD classique abuse d’un pilote l\u00e9gitime mais vuln\u00e9rable. PoisonX est au contraire un pilote malveillant d\u00e8s le d\u00e9part, que ses d\u00e9veloppeurs ont fait passer la v\u00e9rification de signature. Une fois charg\u00e9, il termine les processus de d\u00e9fense de l’extr\u00e9mit\u00e9 install\u00e9e et supprime les hooks de mode utilisateur via lesquels les antivirus et EDR observent un syst\u00e8me. L’agent reste formellement actif. Sa vision de l’\u00e9v\u00e9nement a disparu.<\/p>\n
GodDamn lui-m\u00eame n’est pas une nouvelle cr\u00e9ation. Broadcom classe la famille sous le nom d’un acteur appel\u00e9 Hyadina et l’\u00e9value comme successeur de Beast, qui est lui-m\u00eame issu de l’ancienne lign\u00e9e Monster. PoisonX n’appara\u00eet pas seulement dans ce seul groupe. Le pilote est d\u00e9j\u00e0 document\u00e9 dans d’autres bo\u00eetes \u00e0 outils et constitue donc un \u00e9l\u00e9ment de construction r\u00e9pandu, pas un cas isol\u00e9.<\/p>\n
La longue phase pr\u00e9alable au chiffrement<\/h2>\n
Le chiffrement se situe \u00e0 la fin d’une cha\u00eene, pas au d\u00e9but. Dans la campagne d\u00e9crite par Symantec, les attaquants se sont procur\u00e9 l’acc\u00e8s via l’outil de t\u00e9l\u00e9administration AnyDesk et l’ont d\u00e9pos\u00e9 dans un endroit discret du profil utilisateur. Ensuite, ils ont utilis\u00e9 un ensemble d’outils NirSoft disponibles gratuitement pour collecter les informations d’identification.<\/p>\n
Ce n’est qu’alors qu’ils ont d\u00e9plac\u00e9 lat\u00e9ralement \u00e0 travers le r\u00e9seau, d\u00e9sactiv\u00e9 le Defender via ses propres commandes d’administration et configur\u00e9 des services pour la persistance. Jusqu’au d\u00e9ploiement du ransomware, une dizaine de syst\u00e8mes avaient \u00e9t\u00e9 atteints. Cette phase pr\u00e9alable dure des heures \u00e0 des jours. C’est la v\u00e9ritable fen\u00eatre de d\u00e9tection.<\/p>\n
Pourquoi la confiance dans les signatures atteint ses limites<\/h2>\n
L’hypoth\u00e8se largement r\u00e9pandue est que ce qui est sign\u00e9 est digne de confiance. L’affaire PoisonX la contredit. Une signature valide atteste de l’origine d’un code. Mais elle ne dit rien sur son intention. D\u00e8s qu’un attaquant a d\u00e9j\u00e0 des droits d’administrateur, la signature devient un laissez-passer pour acc\u00e9der au noyau.<\/p>\n
Microsoft r\u00e9pond \u00e0 cela avec une liste noire des pilotes probl\u00e9matiques connus et avec une int\u00e9grit\u00e9 de code prot\u00e9g\u00e9e par hyperviseur. Ces deux m\u00e9canismes aident, mais agissent de mani\u00e8re r\u00e9active. Entre la d\u00e9couverte d’un pilote abus\u00e9 et son inscription sur la liste noire, il existe une fen\u00eatre. Tous les syst\u00e8mes n’ont pas l’isolement du noyau activ\u00e9. La compatibilit\u00e9 avec les anciens logiciels retarde en outre la mise en \u0153uvre.<\/p>\n
Ce que Detection-Engineering met en place concr\u00e8tement<\/h2>\n
L’effet de levier se situe au niveau du comportement, et non de la signature. Le chargement d’un pilote de noyau est un \u00e9v\u00e9nement rare et facile \u00e0 observer. Sysmon le enregistre avec le hachage, l’\u00e9tat de signature et le chemin. Un pilote charg\u00e9 \u00e0 partir d’un dossier utilisateur plut\u00f4t que du r\u00e9pertoire syst\u00e8me est un signal fort.<\/p>\n
De m\u00eame, la cr\u00e9ation d’un service de noyau \u00e0 partir d’une source inhabituelle, ainsi que la fin soudaine de processus de s\u00e9curit\u00e9, sont des indicateurs r\u00e9v\u00e9lateurs. Qui corr\u00e8le ces trois \u00e9v\u00e9nements voit l’attaque avant que le chiffrement ne commence.<\/p>\n
\nV\u00e9rifier imm\u00e9diatement<\/p>\n
- \n
- ✓<\/span>Activer l’isolement du noyau et l’int\u00e9grit\u00e9 de la m\u00e9moire (HVCI) sur les points de terminaison o\u00f9 le mat\u00e9riel et les pilotes le permettent.<\/li>\n
- ✓<\/span>Appliquer la liste noire des pilotes vuln\u00e9rables de Microsoft et compl\u00e9ter avec des r\u00e8gles WDAC personnalis\u00e9es contre les pilotes abus\u00e9s connus de LOLDrivers.<\/li>\n
- ✓<\/span>Surveiller les \u00e9v\u00e9nements de chargement de pilotes (Sysmon Event 6) pour les chemins inhabituels ainsi que l’installation de services de noyau (System-Log 7045).<\/li>\n
- ✓<\/span>Activer la protection contre les manipulations de l’EDR pour emp\u00eacher que l’agent ne soit simplement d\u00e9sactiv\u00e9.<\/li>\n
- ✓<\/span>Supprimer les droits d’administrateur local dans la vie quotidienne, mettre en \u0153uvre LAPS et un mod\u00e8le de hi\u00e9rarchisation.<\/li>\n<\/ul>\n<\/div>\n
La minimisation des droits comme pr\u00e9alable<\/h2>\n
Toutes les contr\u00f4les mentionn\u00e9es partagent une condition. Sans droits d’administrateur, aucun attaquant ne peut charger un pilote dans le noyau. C’est pr\u00e9cis\u00e9ment pourquoi la minimisation des droits se situe au d\u00e9but de toute r\u00e9ponse efficace, et non \u00e0 la fin.<\/p>\n
Concr\u00e8tement, cela signifie : pas de droits d’administrateur local permanents, acc\u00e8s Just-in-Time pour les t\u00e2ches privil\u00e9gi\u00e9es, LAPS pour les comptes locaux et une hi\u00e9rarchisation qui \u00e9loigne les administrateurs de domaine des points de terminaison. La liste noire, HVCI et la t\u00e9l\u00e9m\u00e9trie ne d\u00e9ploient leur effet que si les droits d’administrateur largement distribu\u00e9s ne font pas d\u00e9j\u00e0 la moiti\u00e9 du travail pour les attaquants.<\/p>\n
Foire aux questions<\/h2>\n
Chaque question est ferm\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nQu’est-ce qu’une attaque BYOVD ?<\/strong><\/summary>\n
Bring Your Own Vulnerable Driver d\u00e9signe l’introduction d’un pilote sign\u00e9 valide mais d\u00e9fectueux ou malveillant par un attaquant disposant de droits d’administrateur. Windows fait confiance \u00e0 la signature et charge le pilote dans le noyau, o\u00f9 il s’ex\u00e9cute avec les plus hauts privil\u00e8ges.<\/p>\n<\/details>\n
\nUn EDR \u00e0 jour suffit-il contre cette technique ?<\/strong><\/summary>\n
Pas seul. Le pilote sign\u00e9 s’attaque exactement \u00e0 la d\u00e9fense et lui soustrait la visibilit\u00e9. La d\u00e9tection ne devient efficace qu’en combinaison avec une protection contre les manipulations, une t\u00e9l\u00e9m\u00e9trie des pilotes et des droits d’administrateur restreints.<\/p>\n<\/details>\n
\nLa liste de blocage des pilotes vuln\u00e9rables de Microsoft prot\u00e8ge-t-elle de mani\u00e8re fiable ?<\/strong><\/summary>\n
Elle aide, mais agit de mani\u00e8re r\u00e9active. Entre la d\u00e9couverte d’un pilote et son ajout \u00e0 la liste, une fen\u00eatre reste ouverte. Des r\u00e8gles WDAC personnalis\u00e9es contre les pilotes connus pour \u00eatre abus\u00e9s comblent partiellement cette lacune.<\/p>\n<\/details>\n
\nComment reconna\u00eetre l’attaque dans les journaux ?<\/strong><\/summary>\n
Trois \u00e9v\u00e9nements sont r\u00e9v\u00e9lateurs : le chargement d’un pilote noyau \u00e0 partir d’un dossier utilisateur, la cr\u00e9ation d’un service noyau \u00e0 partir d’une source inhabituelle et l’arr\u00eat soudain de processus de s\u00e9curit\u00e9. Correl\u00e9s, ils donnent une image claire.<\/p>\n<\/details>\n
\nQuelle est la premi\u00e8re \u00e9tape la plus importante ?<\/strong><\/summary>\n
La r\u00e9duction des droits d’administrateur largement distribu\u00e9s. Sans ces droits, aucun pilote ne peut \u00eatre charg\u00e9 dans le noyau. Toutes les autres contr\u00f4les reposent sur cela.<\/p>\n<\/details>\n
Conseils de lecture de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/was-ist-edr-xdr-cover-hero-250x143.jpg\")
<\/span>Conseil de lecture<\/span>Ce qui distingue vraiment EDR et XDR<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/was-ist-ransomware-cover-hero-250x143.jpg\")
<\/span>Conseil de lecture<\/span>Comment fonctionne une attaque de ransomware<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/06\/sov-report-2026-schwachstellen-tempo-cover-hero-250x141.jpg\")
<\/span>Conseil de lecture<\/span>Quand les attaquants sont plus rapides que le correctif<\/span><\/span><\/a><\/p>\nPlus d’informations sur le r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-ki-modell-denken-anthropic-j-space-86585047.jpg\")
<\/span>cloudmagazin<\/span>Pour la premi\u00e8re fois, on peut observer une IA en train de r\u00e9fl\u00e9chir<\/span><\/span><\/a>![\"\"](\"https:\/\/mybusinessfuture.com\/wp-content\/uploads\/2026\/07\/ki-mittelstand-pilot-skalierung-roi-roadmap-cover-hero-760x434.jpg\")
<\/span>MyBusinessFuture<\/span>IA dans les PME : du pilote \u00e0 la mise \u00e0 l’\u00e9chelle<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-konglomerat-holding-aumovio-tkms-siemens-42852037-250x143.jpg\")
<\/span>Digital Chiefs<\/span>La direction IT d\u00e9termine si le spin-off est rentable<\/span><\/span><\/a><\/p>\nSource de l’image : g\u00e9n\u00e9r\u00e9e par IA (juillet 2026)<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"**Traduction :**\n\nLa s\u00e9curit\u00e9 informatique : un pilote noyau sign\u00e9 Microsoft d\u00e9sactive la protection EDR.","protected":false},"author":10,"featured_media":21989,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"Attaque BYOVD","_yoast_wpseo_title":"Un pilote sign\u00e9 rend la protection des points de terminaison aveugle","_yoast_wpseo_metadesc":"Cybers\u00e9curit\u00e9 : Un pilote noyau sign\u00e9 par Microsoft d\u00e9sactive la protection EDR. Pourquoi la confiance dans la signature \u00e9choue et quelles d\u00e9tections\u2026","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[254],"tags":[74],"class_list":["post-21998","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung","tag-ransomware"],"evm_reading_time_minutes":8,"wpml_language":"fr","wpml_translation_of":21988,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/21998","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=21998"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/21998\/revisions"}],"predecessor-version":[{"id":21999,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/21998\/revisions\/21999"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/21989"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=21998"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=21998"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=21998"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
- ✓<\/span>Appliquer la liste noire des pilotes vuln\u00e9rables de Microsoft et compl\u00e9ter avec des r\u00e8gles WDAC personnalis\u00e9es contre les pilotes abus\u00e9s connus de LOLDrivers.<\/li>\n
- Les droits d’administrateur suffisent.<\/strong> Windows charge automatiquement le pilote sign\u00e9 dans le noyau. Pas besoin d’exploit suppl\u00e9mentaire, pas de CVE requis.<\/li>\n