Guide de sécurisation de Windows face aux menaces des périphériques amovibles

Les mesures de protection sur le système

Désactivation de la fonction d’exécution automatique

Une mise à jour importante pour certains systèmes
Au préalable, il est impératif que les propriétaires des systèmes Windows 2000, XP -toutes versions- (32 et 64 bits), Vista -jusqu’au SP1 inclus- (32 et 64 bits) s’assurent qu’une vulnérabilité système affectant la désactivation de l’autorun soit corrigée via les mises à jour Windows. Si vous êtes configurés en mises à jour automatiques, il ne devrait pas y avoir de soucis. Si ce n’est pas le cas (cf Annexe C) ou en cas de doutes, réinstallez manuellement cette mise à jour en fonction de votre système d’exploitation. Il s’agit donc des mises à jour de sécurité KB950582, KB967715 ou KB953252 (Note : il s’agit de la même mise à jour, en dépit des numéros de KB différents  affichés ; les numéros sont fonction du mode de distribution de la mise à jour et du système d’exploitation). Comme toutes les mises à jour de sécurité, cette dernière est téléchargeable et accessible à tous les utilisateurs Windows, que leur licence soit valide ou non.

Désactivation de l’exécution automatique sous Windows 2000 et Windows XP
La désactivation sur ces systèmes est particulière, car Windows n’avait pas pris en compte cette vulnérabilité exploitée par les auteurs des infections. Il faut donc, manuellement, aller désactiver la fonction via l’Editeur du Registre Windows.

Illustration 8 (XP)

Sous ces systèmes, par défaut, l’exécution automatique est activée (Illustration 8), induisant une très grande vulnérabilité à ce type de menaces. Ainsi, en utilisant Autorunplasma de S!Ri ou un simple démineur avec un fichier Autorun.inf de circonstance, copié-collé à la racine d’une clé USB ou d’un lecteur externe, nous nous rendons compte très rapidement de l’exécution inopinée de ces applications (Illustration 9).

Illustration 9 (XP)

Sur l’exemple ci-dessus, un simple double-clic sur le lecteur afin de l’ouvrir a suffi à exécuter l’application winmine.exe (le démineur Windows). Penchons nous sur la valeur NoDriveTypeAutoRun dans l’Editeur du Registre responsable de cet état de fait. Par défaut, cette dernière a une donnée hexadécimale de 91(145 en décimale). Pour accéder à l’Editeur du Registre, rendez-vous dans votre menu Démarrer et Exécuter, et saisissez regedit puis validez. Vous pouvez aussi créer un raccourci sur votre Bureau pointant sur le fichier regedit.exe (sans indiquer son chemin, ce dernier étant inclus dans le path windows, le système saura le trouver).

Clés, valeurs et données de valeurs par défaut

Modifions simplement la donnée à ff -en hexadécimal (255 en décimale), nous neutralisons ainsi l’exécution automatique. Vous pouvez le faire directement dans l’Editeur du Registre ; vous pouvez aussi copier-coller les éléments suivants dans un fichier texte et le sauvegarder comme un fichier .reg que vous n’aurez plus qu’à double-cliquer afin de le fusionner pour que les modifications soient prises en compte.

Clés, valeurs et données de valeurs par défaut

Si vous optez pour cette dernière méthode, il faut vous assurer qu’il n’y ait pas de ligne vierge avant la mention Windows Registry Editor Version 5.00 et que le Retour automatique à la ligne soit désactivé.

Pour sauvegarder le fichier au bon format, sélectionnez ensuite Enregistrer sous et assurez vous  que la partie Type indique Tous les fichiers. Saisissez ensuite un nom explicite, suivi de l’extension .reg ; ainsi, je vous suggère autorun_off.reg. Si tout s’est bien passé, vous obtiendrez un fichier avec l’icône suivante (Illustration 10).

Illustration 10

Si l’icône n’est pas celle indiquée, vous avez alors raté une étape. Enfin, vous pouvez aussi directement télécharger (clic droit, enregistrer sous) le fichier si vous le préférez. Là encore, vous devez obtenir l’icône (Illustration 10) suite au téléchargement du fichier pour que ce dernier soit fonctionnel. Pour finir, vous devrez redémarrer le système afin que les changements opérés soient effectifs.

Note : je vous fais arbitrairement allouer la donnée de valeur ff qui désactive l’exécution automatique sur tous les types de supports ; d’autres données de valeurs sont possibles, elles désactivent alors l’exécution automatique sur -uniquement-certains types de supports et pas d’autres. La remarque est vraie pour la partie Vista / 7 également. Consultez les liens (cf partie “Ressources utilisées” du chapitre “Notes“) indiqués pour prendre connaissance des autres données de valeur allouables.