Mise à jour urgente : pourquoi installer dès que possible

Les éditeurs publient des mises à jour pour corriger des failles. Si un criminel entre par une faille de sécurité, il cherche ensuite des informations sensibles à exploiter¹. Tant que la mise à jour n'est pas installée sur votre appareil, la faille y reste.

Le MITRE décrit une voie d'attaque courante, la compromission par visite de site (drive-by). Un utilisateur visite un site qui héberge le contenu de l'attaquant. Des scripts cherchent alors la version du navigateur et de ses extensions, à la recherche d'une version vulnérable. Si elle est trouvée, le code d'exploitation est envoyé au navigateur. En cas de succès, l'attaquant obtient l'exécution de code sur le poste, sauf si d'autres protections sont en place⁵. La visite d'un site légitime compromis, ou d'une publicité malveillante diffusée par un fournisseur de publicité légitime, peut suffire à déclencher la chaîne⁵.

Le MITRE classe à part l'exploitation de logiciels côté poste de travail pour obtenir l'exécution de code. Parmi ses exemples, un groupe a exploité de nombreuses failles ActiveX, y compris des zero-days⁶, et un logiciel malveillant a utilisé une faille zero-day connue d'Adobe Flash pour s'exécuter sur les machines des victimes⁶.

• Installer les mises à jour dès la notification, sans choisir « Remind me later »¹.
• Vérifier au besoin à la main que la mise à jour a bien fonctionné³.
• Activer les mises à jour automatiques dans les réglages¹.
• Profiter d'une période d'inactivité (déjeuner, réunion, nuit) si la mise à jour est longue : elle peut durer de quelques secondes à plusieurs minutes ou heures³.
• Ne télécharger les mises à jour que depuis les sites ou dispositifs officiels des éditeurs et fabricants³.
• Signaler au service informatique un appareil qui ne peut pas être mis à jour. Cybermalveillance.gouv.fr indique qu'un tel appareil doit être protégé autrement, par exemple en le déconnectant d'Internet ou en l'isolant du reste du réseau³.

Repousser la mise à jour

La CISA raconte le cas de Veda, qui cliquait régulièrement sur « Remind Me Later » sur son ordinateur et son téléphone. Selon le récit, le logiciel malveillant venait probablement de son fils, qui avait cliqué sur un lien menant à un site infecté. Le logiciel malveillant a alors exploité une faille connue de son système d'exploitation ancien. Elle a perdu l'accès à plusieurs comptes et de l'argent a été retiré de son compte bancaire¹. Le récit de la CISA ne porte pas de date, et la page est marquée « Archived Content » : elle peut ne pas refléter la politique actuelle¹.

Accepter les avertissements et les notifications d'un site

Le MITRE note que, dans une attaque par visite de site, l'utilisateur peut devoir aider le processus en activant des scripts ou des notifications, ou en ignorant des fenêtres d'avertissement⁵. Accepter les notifications d'un site peut aussi lui donner la permission d'exécuter du code JavaScript dans le navigateur⁵.

Les fausses mises à jour

Des messages qui ressemblent à des alertes de mise à jour peuvent apparaître pendant la navigation : fausses publicités ou fenêtres malveillantes. Il peut s'agir d'une technique pour faire installer un faux correctif qui est en réalité un virus³. Le MITRE décrit des actions que l'attaquant peut obtenir de l'utilisateur : ouvrir un lien ou un fichier, télécharger et exécuter un logiciel malveillant, activer un outil d'accès à distance⁷.

L'illustration suivante est neutralisée : l'adresse est inventée et ne mène nulle part.

[Illustration] Fenêtre qui s'affiche pendant la navigation :
"Mise à jour requise. Téléchargez le correctif maintenant."
Bouton : hxxps://mise-a-jour-navigateur[.]exemple[.]invalid/correctif

Conseil de la rédaction : fermer la fenêtre, ne rien télécharger, et lancer la mise à jour depuis les réglages de l'appareil ou du navigateur. Cybermalveillance.gouv.fr rappelle aussi de rester attentif aux cases pré-cochées à l'installation, qui peuvent valoir acceptation d'un logiciel non désiré³.

Reporter une mise à jour seul

Le NCSC britannique ajoute que la décision de ne pas mettre à jour relève d'un niveau de direction, comme risque assumé par l'organisation⁴. Le NCSC recommande aussi, contre l'hameçonnage, de n'utiliser que des logiciels et appareils pris en charge et tenus à jour avec les derniers correctifs⁸.