La seconde moitié de 2006 a été une mauvaise période pour un utilisateur de Microsoft Word. Au cours des deux derniers mois seulement, les chercheurs en sécurité ont découvert au moins quatre vulnérabilités majeures. Ce n’étaient pas des bugs mineurs. Il s’agissait d’exploits zero-day, un terme qui semble dramatique pour une bonne raison. Cela signifie que le temps a commencé à tourner pour les défenseurs et les attaquants exactement au même moment. Habituellement, les pirates trouvent le trou en premier. Parfois, Microsoft le repère et l’annonce, uniquement pour que des acteurs malveillants frappent avant qu’un correctif ne soit prêt. Mais ces défauts spécifiques à Word étaient différents. Pendant près de huit semaines après le début des attaques, Microsoft n’avait pas publié un seul correctif.
Le cambriolage du 5 décembre
La première fissure dans l’armure est apparue début décembre. La portée était immense. Il a touché les versions Windows de Word 2000, 2002 et 2003. Il a également infecté les utilisateurs Mac exécutant Word 2004 et Word 2004 version X. Même ceux qui utilisaient simplement Word Viewer 2003 ou Microsoft Works 2004, 2005 et 2006 étaient dans la ligne de mire.
Le mécanisme était simple et terrifiant. Un attaquant intègre du code dans un document Word standard. Ils l’hébergent sur un site Web ou l’envoient sous forme de pièce jointe à un e-mail. Vous voyez le fichier. Vous l’ouvrez. Soudain, votre ordinateur ne vous appartient plus. L’attaquant prend le contrôle à distance. Ils exécutent du code sous vos propres identifiants de connexion. Cela signifie qu’ils ont les mêmes autorisations que vous. Ils peuvent accéder à vos fichiers, installer leur propre logiciel ou utiliser votre machine comme rampe de lancement pour d’autres attaques. Microsoft en a eu connaissance le 5 décembre 2006, lorsque les rapports d’attaques ont commencé à affluer.
Une deuxième porte s’ouvre
À peine une semaine plus tard, une deuxième vulnérabilité est apparue. C’était tout à fait différent du premier. Celui-ci ne reposait pas sur l’ouverture d’un fichier malveillant. Il s’appuyait sur l’échec de Word lui-même.
Selon Microsoft, cet exploit s’est déclenché lorsque l’application a rencontré une erreur spécifique. Si cette erreur se produisait, la porte s’ouvrait. Un attaquant pourrait pénétrer dans le système et exécuter du code malveillant sans aucune interaction de l’utilisateur au-delà du crash du programme. C’était un piège passif. Vous n’avez pas eu à cliquer sur quoi que ce soit de mal. Il suffisait d’utiliser Word. Ce deuxième trou affectait les mêmes versions Windows de Word 2000, 2002 et 2003, ainsi que Word Viewer 2003.
Le silence de Redmond pendant ces huit semaines était assourdissant. Les utilisateurs utilisaient des logiciels activement exploités, sans aucun correctif officiel en vue. Cela soulevait une question simple : combien de dégâts avaient déjà été causés avant même que quiconque commence à parler d’une solution ?
Les conséquences de ces failles initiales de corruption de la mémoire ne se sont pas arrêtées. Quelques jours plus tard, les chercheurs en sécurité ont découvert une troisième vulnérabilité. Celui-ci a également ouvert la porte à l’accès et au contrôle à distance, mais il provenait d’une cause profonde différente : un problème de débordement de tampon dans Word. Le danger est devenu tangible lorsqu’un expert en logiciels connu en ligne sous le nom de « Disco Johnny » a publié un code de validation de principe. Ce n’était pas seulement un avertissement théorique. Il s’agissait d’une démonstration pratique, donnant aux pirates informatiques le plan d’une attaque tout en prouvant à Microsoft qu’ils étaient confrontés à un autre problème critique.
Puis, environ cinq semaines plus tard, le 25 janvier, le quatrième trou s’est transformé en un vecteur d’attaque réel. La méthode était d’une simplicité trompeuse. Un utilisateur reçoit un e-mail avec un fichier Word truqué en pièce jointe. L’ouverture de ce fichier déclenche l’exploit. Les conséquences dépendent cependant entièrement de votre historique de versions. Si vous utilisez Word 2000, l’attaquant prend le contrôle à distance de l’ensemble du système. Si vous êtes sous Word 2003 ou Word XP, le résultat est moins terrifiant mais non moins gênant : le programme plante votre ordinateur. Il ne remet pas les clés, mais il vous refuse l’accès à votre propre travail.
Ces quatre problèmes n’étaient que les derniers chapitres d’une plus longue saga d’attaques exploitant des failles non découvertes dans la suite Microsoft Office. Ce modèle avait déjà commencé à apparaître en septembre 2006. C’est à ce moment-là que les pirates ont commencé à cibler une autre faille Word Zero Day, spécifiquement isolée de Word 2000. Le malware, identifié sous le nom de MDropper.Q, obligeait l’utilisateur à ouvrir un document infecté à l’aide de l’ancienne application Word 2000. Une fois ouvert, le virus a déposé du code malveillant sur le PC, accordant ainsi un contrôle total à un attaquant distant.
Les conseils de Microsoft restent cohérents malgré ces incidents : installez plusieurs couches de logiciels de sécurité et mettez à jour les versions avec vigilance. Mais au-delà des correctifs, la responsabilité se déplace vers le comportement des utilisateurs. Nous devons étendre notre méfiance traditionnelle à l’égard des pièces jointes aux courriers électroniques dans ce qui était autrefois considéré comme un espace numérique plus sûr. La règle générale a changé. Si un fichier se termine par « .doc », n’y touchez pas à moins de connaître la source et de lui faire confiance implicitement.
Pour ceux qui cherchent à comprendre les mécanismes à l’origine de ces violations, des ressources plus approfondies sont disponibles. Vous pouvez explorer le fonctionnement des pare-feu, la manière dont les virus informatiques se répliquent ou les méthodes spécifiques utilisées par les pirates pour infiltrer les systèmes. Pour des conseils plus spécifiques sur l’identification des menaces, il existe des guides sur la sélection des logiciels antivirus et des explications sur la manière dont les vers se propagent par courrier électronique. Si vous pensez que votre ordinateur est déjà compromis, des ressources existent pour vous aider à déterminer comment vous étiez contrôlé sur Internet.
Le contexte plus large de ces vulnérabilités est bien documenté. Des médias industriels comme F-Secure et McAfee fournissent des informations et des ressources continues sur les virus. Vous pouvez trouver des répertoires organisés sur les outils antivirus et des discussions séparant les canulars de virus des menaces réelles. L’histoire selon laquelle Microsoft laisse des failles critiques de Word non corrigées pendant de longues périodes continue d’être un point de discorde dans les cycles de l’actualité technologique.
Les sources de ces incidents proviennent de rapports détaillés rédigés par Joris Evers et Dawn Kawamoto, journalistes de CNET News.com, fin 2006 et début 2007. Leur couverture met en évidence l’escalade rapide de la découverte à l’exploitation, notant l’absence de correctifs immédiats pour certaines versions héritées. Le calendrier est serré. Un défaut est trouvé. Le code est publié. Les attaques commencent. Et les utilisateurs se retrouvent dans un paysage où un simple document peut devenir une arme.
La question n’est pas seulement de savoir quelle version est sûre. Il s’agit de savoir si le modèle reposant sur des correctifs post-exploit est toujours viable lorsque la fenêtre d’exposition est mesurée en jours et non en mois.
