Un cas concret de persistance malware sur Windows : un binaire apparemment anodin, des droits trop larges, et une clé de registre oubliée. Voici l'analyse.
🧱 Le Registre Windows : la mine d'or des attaquants
Pour comprendre cette attaque, il faut d'abord maîtriser le Registre Windows. C'est le cerveau du système : une immense base de données qui contient tous les réglages, du fond d'écran aux services critiques.
🦠 Le mécanisme de persistance
L'attaquant a utilisé une technique classique mais efficace : les clés Run. En plaçant un exécutable dans la branche HKEY_LOCAL_MACHINE (HKLM), le malware s'assure d'être lancé à chaque connexion d'un utilisateur.
Le détail critique : le fichier était caché dans C:\Users\Public\calc.exe. Pourquoi ici ? Parce que, par défaut, les permissions dans les dossiers publics sont souvent trop permissives. Dans ce cas, le groupe Users avait un contrôle total (Full Control).
🛡️ La remédiation : nettoyer et durcir
Le nettoyage seul ne suffit pas — il faut aussi colmater les conditions qui ont permis l'infection. Trois axes de remédiation :
- Supprimer la clé de registre malveillante et le binaire associé.
- Restreindre les droits avec
icacls: un utilisateur standard ne doit pas pouvoir déposer ou modifier des exécutables dans des dossiers partagés. - Activer l'audit via
auditpolpour détecter toute modification future de fichiers système avant qu'elle devienne un incident.
💡 Ce qu'il faut retenir
La sécurité ne s'arrête pas à l'antivirus. Une mauvaise gestion des permissions de fichiers associée à une clé de registre oubliée peut transformer une simple vulnérabilité en une porte dérobée majeure.
Restez curieux, restez en sécurité.