Cybersécurité - Innovations digitales et numériques

La firme n'a pas dit quand elle comptait livrer un patch pour corriger le bug de Word, ni si elle allait livrer un correctif d'urgence « out-of-band », c'est à dire avant le prochain Patch Tuesday programmé pour le 8 avril. Il est rare que la firme de Redmond livre une mise à jour « out-of-band », sauf dans le cas d'attaques massives exploitant la vulnérabilité, ce qui, si l'on en croit la déclaration de Dustin Childs, n'est pas le cas actuellement. Le patch MS13-008 est le dernier correctif « out-of-band » livré par Microsoft : l'éditeur l'avait publié en urgence en janvier 2013 pour boucher des vulnérabilités dans les navigateurs IE6, IE7 et IE8, exploitées depuis plusieurs semaines par les pirates.

La détection de cette vulnérabilité intervient 2 jours seulement après l'ajout dans le Patch Tuesday d'un bulletin critique corrigeant 24 failles dans IE, dont 15 visées IE10. Le code de l'attaque, précise FireEye, était hébergé sur un site compromis basé aux Etats-Unis. La société souligne qu'il s'agit d'une attaque classique de contournement par téléchargement. Elle s'appuie sur un ActionScript Flash, le langage script d'Adobe, pour leurrer l'outil de sécurité ASLR (address space layout randomization) de Windows.

Cela bouge vite dans le domaine de la sécurité, et, en particulier, dans le domaine de l’analyse préventive des attaques dite APT (Advanced Persistent Threat). Juste quelques jours après le rachat de Mandiant par FireEye dans une opération estimée a 1 milliard de dollars, Palo Alto met la main sur Morta Security, une start-up californienne qui travaille dans le même domaine que Mandiant.