if ( !emtpy($headline_subheadline ) ) : ?>
Le problème, que Microsoft dit vouloir corriger, crée une opportunité pour les attaquants en convainquant les utilisateurs d’ignorer les alertes critiques de cybersécurité.
endif; ?>
Microsoft a signalé vendredi qu’un problème amène Windows à indiquer aux utilisateurs que l’antivirus Microsoft Defender est désactivé alors qu’il est en fait entièrement fonctionnel, un bug que le fournisseur dit s’efforcer de corriger.
Les consultants affirment que cet avis soulève une préoccupation majeure dans la mesure où il entraînera les utilisateurs à ignorer les alertes critiques, ce qui les rendra beaucoup plus vulnérables aux attaques.
La mise à jour du tableau de bord de santé de Microsoft sur le problème a signalé : « Après l’installation des dernières mises à jour de Microsoft Defender Antivirus, des notifications peuvent apparaître indiquant que ‘Microsoft Defender Antivirus est désactivé’ même si l’antivirus fonctionne correctement et que tous les paramètres l’indiquent comme actif. Ces notifications peuvent apparaître au démarrage de Windows et par intermittence par la suite. Elles persistent même si les paramètres de notification sont désactivés. Ce problème peut être observé dans n’importe quelle version de Windows ou Windows Server avec Microsoft Defender Antivirus exécutant les dernières mises à jour de Defender. «
Le message ajoutait : « Nous travaillons à publier une résolution dans une future mise à jour de l’antivirus Microsoft Defender et fournirons plus d’informations lorsqu’elles seront disponibles. »
Il a ensuite répertorié les différentes versions de client et de serveur Windows concernées : depuis l’actuel Windows 11, version 26H1 et Windows Server 2025 jusqu’à Windows 10 Enterprise LTSC 2016 et Windows Server 2012.
Mauvaise orientation
Les observateurs de l’industrie ont déclaré que la suggestion selon laquelle les utilisateurs ignorent ces alertes est préoccupante.
« Microsoft vient de publier des directives indiquant aux entreprises d’ignorer le signal exact qui précède une grande partie des détonations de ransomwares », a déclaré Aman Mahapatra, directeur de la stratégie de la société de conseil en technologie Tribeca Softtech, soulignant que la désactivation de la protection des points de terminaison est une pratique courante dans pratiquement tous les manuels d’affiliation de ransomwares au cours des cinq dernières années.
« L’alerte que Microsoft demande aux gens d’ignorer est la même alerte qu’un opérateur déclenche quelques minutes avant le début du cryptage », a-t-il déclaré. « Il s’agit d’une véritable régression de sécurité créée par un avis de bug et le délai illimité pour un correctif ne fait qu’empirer les choses. »
Plus inquiétant encore, il s’attend à ce que de nombreux centres d’opérations de sécurité (SOC) créent des règles pour supprimer ces alertes, ce qui rendra le problème encore plus grave.
« Lorsqu’un signal retentit constamment et s’avère faux, la réponse humaine se dégrade en quelques jours, et non en quelques semaines », a déclaré Mahapatra. « Un SOC qui en voit des centaines sur une flotte Windows écrira une règle de suppression d’ici la semaine prochaine, car l’alternative est la noyade (dans les fausses alertes), et cette règle survivra au bug pendant des mois. Personne ne revient en arrière pour supprimer les filtres qui maintiennent la file d’attente propre. »
Mahapatra a également prédit que les attaquants exploiteraient rapidement le bug pour participer à des attaques d’ingénierie sociale.
« Un attaquant appelant un service d’assistance en disant ‘Vous verrez des alertes Defender sur ma machine, Microsoft dit que c’est le bug connu, ignorez-le’ a maintenant un avis de fournisseur corroborant le prétexte », a déclaré Mahapatra. « Les services d’assistance ont été préparés précisément pour ce problème. C’est un prétexte valable avec une documentation publique derrière, et il sera utilisé. »
Lane Thames, responsable de l’équipe R&D en matière de cybersécurité chez Fortra, a amplifié les inquiétudes de Mahapatra.
« Les équipes informatiques doivent faire très attention à la manière dont elles communiquent ce problème aux utilisateurs, et cette communication doit avoir lieu immédiatement », a conseillé Thames. « Le message ne peut pas simplement être : « Si Windows indique que Defender est désactivé, ignorez-le ». C’est exactement le comportement que nous avons passé des années à apprendre aux utilisateurs à ne pas adopter.
« Le meilleur message est que Microsoft rencontre actuellement un problème de notification connu avec Microsoft Defender, mais les utilisateurs doivent continuer à signaler les avertissements de sécurité via le service d’assistance ou le canal de sécurité normal », a-t-il déclaré. « Le service informatique devrait vérifier l’état réel de Defender plutôt que de demander aux utilisateurs de prendre cette décision, sinon, lorsque le prochain avertissement sera réel, les utilisateurs auront peut-être déjà été formés pour l’ignorer. »
Cette alerte de Microsoft « crée une opportunité parfaite pour qu’une véritable attaque se cache dans le bruit », a-t-il ajouté.
Dégradation de la confiance
Mais Thames a souligné qu’il existe un problème potentiel plus important : la dégradation de la confiance.
« Les notifications de sécurité ne fonctionnent que lorsque les utilisateurs les croient. Si Windows dit à plusieurs reprises à quelqu’un que son antivirus est désactivé alors que le service informatique lui dit que ce n’est pas le cas, l’une de ces sources finira par perdre sa crédibilité, voire les deux », a-t-il déclaré. « Microsoft doit résoudre ce problème rapidement, car les faux avertissements de sécurité ont de lourdes conséquences : ils dégradent la confiance dont dépendent les contrôles de sécurité. »
Tom Kellermann, vice-président de la sécurité de l’IA et de la recherche sur les menaces chez TrendAI, une division de TrendMicro, a ajouté que parmi les attaques analysées par son équipe, environ 67 % exploitent la falsification et la désactivation des logiciels de sécurité, ce qui est généralement un précurseur d’une « campagne plus systémique et intrusive ».
La formulation de l’avis de Microsoft « est un mauvais exemple de communication de crise » et est « ridicule », a-t-il déclaré. « Ne vous fiez pas à ce conseil (d’ignorer l’alerte). Vérifiez s’il est exact et impliquez vos équipes de chasse aux menaces », qui peuvent examiner la télémétrie XDR.
Préserver les preuves
Noah Kenney, consultant principal chez Digital 520, a conseillé aux RSSI et aux DSI de conserver les preuves de cette situation pour prouver les réclamations d’assurance qui seront probablement initialement refusées.
« Dans six mois, un assureur examinant un serveur piraté n’acceptera pas « Microsoft a déclaré qu’il y avait un bug » comme preuve que Defender était en cours d’exécution. La fenêtre contextuelle dit non. Microsoft dit oui. La propre télémétrie de l’entreprise doit briser l’égalité », a-t-il déclaré. « Cela signifie des enregistrements horodatés des enregistrements des capteurs, des versions de Defender et de toute lacune dans les rapports. Les RSSI devraient sauvegarder ces enregistrements maintenant. Le correctif fera disparaître l’avertissement, mais il ne recréera pas de preuves si l’entreprise ne parvient pas à les conserver. «
Il a souligné que sa plus grande préoccupation concernant l’alerte Microsoft était son impact important sur de nombreuses versions de Windows.
« Windows 11 26H1 et Windows Server 2012 sont distants de quatorze ans, et Microsoft affirme que ce bug peut toucher les deux », a-t-il déclaré. « Les entreprises séparent les postes de travail, les serveurs, les systèmes existants et les infrastructures critiques dans différents anneaux de correctifs, mais Defender les gère tous. La fenêtre contextuelle sera corrigée, mais ce chemin de défaillance partagé à travers le domaine Windows sera toujours là, et une mauvaise mise à jour peut produire le même mauvais signal de sécurité partout à la fois. «
