In Business

Réunis par l’école d’ingénieurs ESIEA à Laval, des experts internationaux de la
sécurité informatique offensive ont réussi à désactiver en quelques minutes
seulement les 6 antivirus les plus vendus dans le monde.

Laval, le 26 octobre 2009 – Au cours de la première édition du congrès iAWACS
dédiée à la sécurité informatique opérationnelle, des spécialistes mondiaux ont
démontré la très grande vulnérabilité des principaux antivirus présents sur le marché.
6 antivirus désactivés en moins de 2 minutes pour le moins résistant et 40 minutes
pour le plus efficace
Il n’aura pas fallu plus de temps aux experts de la sécurité informatique réunis par
l’ESIEA à l’occasion du congrès iAWACS pour désactiver 6 des antivirus les plus
répandus sur le marché. Ce concours, s’apparentant à un « test consommateur »,
réalisé en marge des travaux et conférences d’experts, souligne la rapidité avec
laquelle des logiciels antivirus de référence peuvent être désactivés :

McAfee en 1 min 56s
Norton en 4 min
GDATA en  5 min
AVG en 15Min
NOD32 en 33 min
Kaspersky en 40 min

Dr Web, le plus dur à contourner, a cependant été suffisamment affaibli pour
conclure qu’avec un peu plus de temps (plus d’une heure), les candidats seraient
parvenus à désactiver un septième antivirus.

Les experts avaient à disposition des ordinateurs standards fonctionnant sous
Windows, identiques à ceux des particuliers. Objectif : désactiver l’antivirus
protégeant le système en moins d’une heure. Preuve de leur réussite : la nondétection
par l’antivirus d’une attaque virale conventionnelle censée être détectée.
Vulnérabilité de la plupart des systèmes de protection
« L’objet du concours n’est pas de donner aux hackers les dernières « astuces » pour
pénétrer de façon frauduleuse des systèmes informatiques », souligne Robert Erra,
coresponsable du Congrès iAWACS. « Il n’est d’ailleurs pas question de divulguer au
grand public le détail des procédés techniques mis en oeuvre par les participants.
Ces informations seront uniquement communiquées aux éditeurs concernés pour
prouver la vulnérabilité de leurs programmes. »
Les responsables de la société AVG présents à iAWACS ont particulièrement
apprécié cette approche. Lorsque leur antivirus est tombé devant leurs yeux, ils ont
appelé en direct leurs développeurs en République Tchèque pour relayer les
informations techniques récupérées. Du producteur au consommateur si l’on peut
dire.
Un flou juridique qui bloque la recherche dans ce domaine…
Eric Filiol et Rober Erra ont eu du mal à convaincre les experts participant au congrès
iAWACS de s’inscrire également au concours. Seuls deux experts ont bien voulu jouer
le jeu. « La loi de 2004 sur la confiance dans l’économie numérique est trop floue sur
ce point… Une personne peut être potentiellement poursuivie si elle parvient à
désactiver un antivirus », ajoute Eric Filiol. « Si, faute d’un cadre juridique clair, la recherche dans ce domaine est bloquée en France, nous prendrons beaucoup de
retard, notamment par rapport à nos partenaires européens. Avec seulement deux
participants nous obtenons des résultats qui font frémir… Imaginez si la quarantaine
d’experts que nous avons réunis avaient tous participé au concours ! ».

Adopter la posture de l’attaquant : seule alternative efficace

Organisé dans le cadre du laboratoire de cryptologie et virologie opérationnelles de
l’ESIEA, le congrès iAWACS a rassemblé plusieurs spécialistes internationaux de la
sécurité informatique offensive, lesquels participent le plus souvent aux grands
rendez-vous internationaux de hackers (Black Hat, CanSecWest…). Pendant 3 jours,
des conférences et débats ont permis une large évaluation des principales politiques
et techniques en la matière grâce à la présentation de travaux « alternatifs ». Tous les
participants avaient un point commun : avoir développé des études opérationnelles
sur les attaques informatiques en privilégiant la vision de l’attaquant.
« iAWACS a pleinement rempli son but » conclut Robert Erra, « celui de contribuer à
offrir la meilleure réponse aux nouvelles exigences des entreprises et des états face
aux attaques des hackers, crackers et autres pirates du web. ». La prochaine édition
d’iAWACS se tiendra à Paris les 12, 13 et 14 mai juste après la 19eme édition de la
conférence EICAR, co-organisée également par l’ESIEA. Et les organisateurs
promettent d’ores et déjà d’aller beaucoup plus loin.

Mis à jour sur lepoint.fr :

G-Data, éditeur allemand d’antivirus, livre sa réponse. « Effectivement, il y a bien eu des processus de désactivation relevés », reconnaît un porte-parole. « Ils sont réalisables et efficaces, mais il est important de noter que le protocole de test est spécifique », poursuit-il.

« Il s’agissait de manipulations physiques sur la machine », avance, en guise de défense, G-Data. En clair, les experts en sécurité étaient assis devant les ordinateurs cibles et disposaient des droits d’administrateur sur le système d’exploitation. « À moins de laisser sa porte ouverte et son ordinateur allumé sur un compte d’administrateur, on ne peut pas arriver à une telle situation aussi rapidement. » Interrogé sur la possibilité de prendre à distance le contrôle de l’ordinateur pour arriver au même résultat, l’éditeur d’antivirus reconnaît : « Ce serait possible de le faire de l’extérieur, mais ce serait beaucoup plus long. »