Microsoft Defender détourné : votre antivirus contre vous

Imaginez que votre vigile de nuit, celui en qui vous avez une confiance totale, soit retourné contre vous sans que vous le sachiez. C'est exactement ce que permet une technique d'attaque récemment mise en lumière : des cybercriminels utilisent un composant officiel et signé de Microsoft pour désactiver silencieusement votre antivirus, avant même que Windows ait fini de démarrer. Résultat : votre ordinateur tourne toute la journée sans aucune protection, pendant que vous pensez être parfaitement sécurisé. Si vous dirigez une PME et que vous utilisez Windows, lisez ce qui suit. Cela vous concerne directement.

Que se passe-t-il concrètement ?

Pour comprendre l'attaque, pas besoin d'être ingénieur. Un "driver" est un petit programme qui fait le lien entre Windows et un équipement ou une fonctionnalité du système. Microsoft Defender, l'antivirus intégré à Windows, utilise l'un de ces drivers pour se lancer au démarrage de l'ordinateur. Des chercheurs en sécurité ont découvert que ce driver peut être exploité par des attaquants pour ordonner à Windows de supprimer des fichiers critiques d'autres logiciels de sécurité, et ce avant que ces logiciels aient eu le temps de se défendre. La subtilité redoutable : puisque ce driver est signé par Microsoft lui-même, Windows lui fait confiance sans poser de question. L'antivirus que vous avez acheté et installé pour protéger vos données se retrouve désactivé ou détruit, et aucune alerte ne s'affiche à l'écran. Cette technique porte un nom dans le milieu de la cybersécurité : BYOVD, pour "Bring Your Own Vulnerable Driver", soit en français "apportez votre propre driver vulnérable". Elle est de plus en plus utilisée par des groupes de pirates organisés qui ciblent aussi bien les grandes entreprises que les PME.

Pourquoi les PME sont particulièrement exposées

On pourrait croire que ce type d'attaque sophistiquée ne vise que les grandes entreprises ou les institutions. C'est une idée reçue dangereuse. Les PME françaises représentent une cible privilégiée pour une raison simple : elles ont des données de valeur (fichiers clients, données bancaires, propriété intellectuelle) mais des moyens de défense souvent limités. Un dirigeant de PME n'a généralement pas d'équipe informatique dédiée. Il se repose sur son antivirus Windows, parfois complété d'un outil tiers, et fait confiance à son prestataire informatique pour le reste. Or, si l'antivirus est neutralisé en silence dès le démarrage de la machine, plus rien ne bloque l'installation d'un ransomware, d'un logiciel espion ou d'un outil de vol de mots de passe. Le pirate a alors tout le temps devant lui. La sécurité endpoint PME, c'est-à-dire la protection de chaque poste de travail, devient ainsi le maillon faible de toute la chaîne. Et cette vulnérabilité Microsoft Defender amplifie encore ce risque sur les parcs informatiques qui n'ont pas été mis à jour récemment.

Ce que Microsoft a fait, et pourquoi ce n'est pas suffisant

Microsoft a été informé de cette vulnérabilité et a publié des correctifs de sécurité. C'est une bonne nouvelle. La mauvaise : ces correctifs ne s'appliquent que si votre système Windows est régulièrement mis à jour. Or, dans de nombreuses PME, les mises à jour sont repoussées, désactivées pour éviter les redémarrages intempestifs, ou tout simplement oubliées. De plus, la technique BYOVD évolue en permanence. Les pirates adaptent leurs outils pour contourner les nouveaux correctifs. Un antivirus PME Windows non maintenu, ou une configuration laissée par défaut sans surveillance, reste donc vulnérable même après les correctifs officiels. C'est pourquoi compter uniquement sur Microsoft Defender sans surveillance active ni mises à jour automatiques, c'est laisser une fenêtre ouverte dans votre système de sécurité.

Ce que vous pouvez faire dès maintenant

1. Vérifiez que vos mises à jour Windows sont automatiques et à jour. Allez dans Paramètres > Windows Update et assurez-vous que la mise à jour automatique est bien activée sur tous les postes de votre entreprise. C'est la première ligne de défense contre cette vulnérabilité Microsoft Defender. 2. Ne comptez pas sur un seul outil de protection. Associez Microsoft Defender à une solution de sécurité endpoint PME dédiée, gérée par un prestataire de confiance. Ces solutions surveillent en temps réel l'état de votre protection et alertent en cas de désactivation suspecte. 3. Demandez un audit rapide de vos postes. Votre prestataire informatique peut vérifier en moins d'une heure si vos machines sont à jour, si votre antivirus fonctionne réellement, et si des drivers suspects ont été installés récemment. 4. Activez la journalisation des événements système. Cette option, souvent ignorée, garde une trace de tout ce qui se passe sur vos ordinateurs. En cas d'attaque, elle permet de comprendre ce qui s'est passé et de limiter les dégâts. 5. Sensibilisez vos collaborateurs. Un pirate ne peut exploiter cette faille que s'il a d'abord réussi à s'introduire dans votre système, souvent via un e-mail de phishing. Former vos équipes à reconnaître les messages suspects reste l'un des investissements les plus rentables en cybersécurité. Votre antivirus PME Windows est un allié précieux, mais ce n'est pas un bouclier infaillible. La sécurité de votre entreprise repose sur une combinaison d'outils à jour, de bonnes pratiques et d'une vigilance permanente. Face à des attaques de plus en plus sophistiquées, agir maintenant coûte infiniment moins cher que de gérer une crise après une intrusion.