Autoprotection des logiciels antivirus

Bien connues mais tout de même efficaces

Les techniques ASLR et DEP ont certes bien plus de 10 ans, mais elles sont plus actuelles que jamais. Leur objectif premier est le suivant :

Le code d'un programme complexe est rarement exempt d'erreur. D'après Wikipedia (page allemande), les meilleurs programmes ne comptent qu'une erreur pour 2 000 lignes de code. Cependant, Photoshop CS6 est par exemple composé d'environ 9 millions de lignes de code et Windows XP en comporte près de 40 millions. Le diagramme du designer londonien David McCandless (en anglais) fournit un bon aperçu concernant le nombre de lignes de code constituant les programmes.

Ces inévitables erreurs peuvent par la suite se révéler être des points faibles offrant une porte d'entrée pour le code malveillant d'un attaquant. Une suite de sécurité connaît ces lacunes et tente de boucher les trous. Néanmoins, même une suite de sécurité n'est qu'un programme composé de nombreux fichiers et d'une multitude de lignes de code. La suite elle-même peut présenter une vulnérabilité qu'un attaquant peut exploiter. Cela aurait naturellement des répercussions fatales.

Si la prise en charge des techniques ASLR et DEP est intégrée lors de la programmation, alors le risque d'exploitation réelle d'une éventuelle vulnérabilité diminue en conséquence. Il n'est toutefois pas possible de dire qu'un logiciel n'utilisant pas l'ASLR et le DEP soit forcément dangereux. Si la programmation ne contient absolument aucune erreur, alors il n'est pas possible de la rendre encore plus sûre. L'ASLR et le DEP constituent en tout cas une protection supplémentaire dont il ne faut pas se priver. Leur utilisation est en effet très simple : il s'agit de fonctions présentes dans le compilateur qu'il suffit d'activer. Cela n'influence pas l'étendue du code ou la durée d'exécution du programme.

32 produits examinés

Avec cette analyse, AV-TEST voulait découvrir dans quelle mesure les fabricants utilisent cette protection supplémentaire pour leurs produits. Pour cela, les différents produits ont été installés et tous les nouveaux fichiers ont été consignés par écrit. Les fichiers PE (Portable Executable) en mode utilisateur pour 32 et 64 bits ont ensuite été utilisés pour l'analyse. Tous les autres fichiers, dont les fichiers PE dits natifs, étaient insignifiants pour le test. Les fichiers PE incluent par exemple les extensions suivantes :

.exe ou « Executable », c'est-à-dire un programme ou un module exécutable
.dll ou « Dynamic Link Library », une bibliothèque de programmes
.sys ou « System », un logiciel du système
.drv ou « Driver », un fichier pilote pour un appareil

Entre 5 et 45 % des fichiers installés d'une solution de protection sont des fichiers PE, qui ont été examinés pour savoir s'ils étaient aussi protégés par le DEP ou l'ASLR au niveau du code.

Sous forme de tableaux séparés en 32 et 64 bits, les testeurs ont ensuite indiqué en pourcentage combien de fichiers PE d'un programme présentent cette protection supplémentaire. Le résultat est un peu surprenant étant donné que certains fabricants utilisent l'ASRL et le DEP de manière partielle voire complète tandis que d'autres y renoncent presque entièrement.

Produits pour utilisateurs privés : tout le monde n'utilise pas la protection supplémentaire

Le laboratoire a présenté séparément les résultats des produits pour les utilisateurs privés et pour les entreprises. Parmi les suites de sécurité Internet pour les utilisateurs privés, 24 produits ont été évalués au total. Ils ont aussi été présentés en deux catégories : 32 et 64 bits. Les seuls produits à utiliser l'ASLR et le DEP à 100 % sont proposés par ESET (utilisateurs privés) et Symantec (professionnels). Avira, G Data, McAfee et AVG (les deux produits) n'utilisent la protection supplémentaire à 100 % que dans les fichiers 64 bits de leur produit. Pour la version 32 bits, le résultat varie entre 90 et presque 100 %.

Au total, la moitié de toutes les suites de protection mise à plus de 90 % sur l'utilisation de l'ASLR et du DEP. L'utilisation diminue ensuite par pas d'environ 10 % de produit à produit jusqu'au plus petit résultat d'environ 5 %. Dans un seul cas, celui d'Kingsoft pour 64 bits, le résultat est même de 0 %.

Peu importe que ce soit l'ASLR ou le DEP, de nombreux fichiers pour 64 bits utilisent davantage ces techniques de protection que les fichiers pour 32 bits. Il n'est cependant pas possible d'identifier une règle.

Produits d'entreprise : un fort taux d'utilisation

Dans le cas des solutions d'entreprise, les fabricants misent bien plus sur l'autoprotection supplémentaire fournie par l'ASLR et le DEP. Néanmoins, seul Symantec utilise continuellement la protection à 100 %. Sophos ne le fait que pour ses fichiers 64 bits. Sophos fait cependant remarquer que ses fichiers 32 bits non protégés incluent un grand nombre de DLL qui ne contiennent que des données et ne constituent donc pas un danger. En additionnant pour chaque produit les résultats obtenus pour 32 et 64 bits, alors 6 des 8 produits présentent un taux d'utilisation entre 81,5 et 97 %. Seul Trend Micro ne mise pas sur cette technique et n'utilise donc l'ASLR et le DEP que pour 19 % de ses fichiers PE.

Au final, il est possible de dire que cette autoprotection est plus souvent utilisée pour les fichiers 64 bits que pour les fichiers 32 bits. Il ne s'agit cependant que d'une tendance et non d'une règle.

Bilan : une bonne protection supplémentaire ne fait jamais de mal

Nous ne pouvons que recommander aux fabricants d'utiliser les techniques ASLR et DEP, lesquelles sont disponibles gratuitement. Il s'agit en effet d'une protection supplémentaire, ce qui ne peut pas nuire. Certes, l'ASLR aussi peut être berné avec des techniques de « Spraying » comme cela est décrit en ligne sur le site heise « Die Rückkehr der Pufferüberläufe » (« Le retour des dépassements de tampon », article en allemand). Déjouer l'ASLR nécessite cependant plus de travail de la part de l'auteur du code malveillant. Et c'est normalement quelque chose qu'il cherche à éviter.

Le DEP (ou NX Bit) n'est pas non plus une protection parfaite pour les fichiers mais les auteurs d'exploits doivent également surmonter des obstacles supplémentaires ce qui requiert aussi plus de travail.

Comme souvent, c'est le cumul des choses qui compte. Le travail nécessaire à l'attaquant pour surmonter deux, trois remparts ou plus demande du temps, des ressources et des étapes supplémentaires qui peuvent éventuellement plus facilement être identifiés comme attaque par un logiciel antivirus.

La position des fabricants

AV-TEST a fait parvenir les résultats de l’analyse à tous les fabricants et leur a, le cas échéant, aussi demandé pourquoi ils n'utilisent pas le DEP et l'ASLR. En résumé, les réponses sont les suivantes :

• Certaines bibliothèques achetées ne font pas appel au DEP et à l'ASLR. Seules des bibliothèques utilisant ces techniques devraient toutefois être achetées dans le futur.
• Certains fichiers isolés utilisent une technique de protection propre qui ne serait pas compatible avec le DEP et l'ASLR.
• Pour une protection spéciale, des fichiers particuliers ont été créés avec un compilateur non conforme avec Microsoft ce qui les rend incompatibles avec le DEP et l'ASLR.
• Certains fichiers ne sont plus activement utilisés par le programme et sont donc délaissés.
• Des techniques de protection développées par les fabricants telles que le CFI (Control Flow Integrity) et la technique du sandbox sont utilisées.