L'antivirus qui a tout éteint

Pourquoi un antivirus peut tuer la machine entière

Un logiciel de sécurité doit voir ce que les autres programmes font. Pour cela, l'agent Falcon s'installe comme pilote en mode noyau, sous le nom CSAgent.sys — un pilote de filtre de système de fichiers, qui reçoit des notifications sur les opérations en cours. C'est ce qui lui donne sa puissance : à ce niveau, rien ne lui échappe. C'est aussi ce qui le rend dangereux. Le système d'exploitation isole les applications les unes des autres, mais il n'isole pas le noyau de lui-même. Quand un composant en mode noyau accède à une adresse mémoire qui ne lui appartient pas, Windows n'a aucune façon sûre de continuer : il arrête la machine et affiche un écran bleu. Ce comportement n'est pas un défaut, c'est le contrat.

La cause racine, d'après CrowdStrike

L'analyse publiée par CrowdStrike le 6 août 2024 décrit une conjonction de trois défauts. Un nouveau type de modèle, dédié à l'analyse des communications entre processus, déclarait 21 champs d'entrée, alors que le code qui appelait l'interpréteur n'en fournissait que 20. Ce décalage est resté invisible pendant des mois : les règles déployées entre mars et avril 2024 utilisaient un caractère générique sur le 21ᵉ champ, ce qui n'en déclenchait jamais la lecture. La règle diffusée le 19 juillet est la première à poser une condition réelle sur ce 21ᵉ champ. L'interpréteur est allé le chercher, au-delà de la fin du tableau.

Tableau d'entrees fourni par le code : [0] [1] ... [19]      -> 20 champs
Modele de regles                     : [0] [1] ... [19] [20] -> 21 champs

Lecture demandee : index 20 (le 21e)  ->  hors limites  ->  arret du noyau

Le vrai piège : on ne répare pas à distance

C'est la partie qui a transformé un incident en crise de plusieurs jours. Toute la gestion de parc moderne repose sur une hypothèse implicite : la machine démarre, donc on peut lui envoyer quelque chose. Ici, les systèmes touchés entraient en boucle de redémarrage ou en mode de récupération. Aucun correctif ne pouvait leur parvenir. La remise en service s'est faite à l'unité : démarrer en mode sans échec, supprimer un fichier, redémarrer. Avec, pour beaucoup d'organisations, la contrainte supplémentaire de disposer des clés de chiffrement de disque pour accéder au système.

Ce que CrowdStrike a changé

• Ajout d'une vérification des bornes à l'exécution dans l'interpréteur de contenu.
• Correction du nombre de champs fournis par le type de modèle.
• Validateur modifié pour n'autoriser qu'un caractère générique sur le 21ᵉ champ.
• Déploiement progressif des règles, par vagues, au lieu d'une diffusion simultanée.
• Contrôle donné aux clients sur le moment et le périmètre de réception des mises à jour de contenu.