Mettez à jour vos ordinateurs personnels, utilisateurs de Windows, car il existe une faille de sécurité désagréable qui est déjà utilisée dans les attaques en ligne. Microsoft a publié un correctif pour la vulnérabilité lors de la série de mises à jour mensuelles du Patch Tuesday d’hier (14 décembre).
La faille « zero-day », cataloguée sous le nom de CVE-2021-43890, est apparemment utilisée par les cybercriminels pour diffuser des logiciels malveillants qui volent des informations sensibles sur les PC et essaient de vous faire appeler de fausses lignes d’assistance technique. Windows 10 et Windows 11 sont également vulnérables.
La faille provient d’un problème avec l’outil Windows App Installer, qui peut également être téléchargé à partir du Microsoft Store en ligne.
« Microsoft est au courant des attaques qui tentent d’exploiter cette vulnérabilité en utilisant des packages spécialement conçus qui incluent la famille de logiciels malveillants connue sous le nom d’Emotet/Trickbot/Bazaloader », a déclaré l’avis de sécurité publié au sujet de la faille.
« Un attaquant pourrait créer une pièce jointe malveillante à utiliser dans des campagnes de phishing », a ajouté l’avis. « L’attaquant devrait alors convaincre l’utilisateur d’ouvrir la pièce jointe spécialement conçue. Les utilisateurs dont les comptes sont configurés pour avoir moins de droits d’utilisateur sur le système pourraient être moins touchés que les utilisateurs qui opèrent avec des droits d’utilisateur administratifs. »
Comment se protéger
Cette dernière phrase met en évidence l’une des mesures de sécurité les moins connues, mais les plus efficaces, que les utilisateurs de Windows peuvent mettre en œuvre. Si vous configurez votre compte Windows « pilote quotidien » habituel en tant qu’« utilisateur limité » qui ne peut pas installer ou modifier de logiciel, vous courez beaucoup moins de risques que votre ordinateur soit sérieusement piraté.
Votre compte administratif peut rester en veille. Même lorsque vous avez besoin de mettre à jour les choses, vous pouvez simplement utiliser le mot de passe du compte administrateur pour faire avancer les choses sans avoir à vous connecter complètement.
Quoi qu’il en soit, pour mettre à jour votre machine Windows, cliquez sur l’icône Windows en bas à gauche de l’écran (ou en bas au centre si vous utilisez Windows 11), puis sur l’icône d’engrenage dans le menu contextuel. Cela vous amène à l’écran Paramètres Windows ; cliquez sur Mise à jour et sécurité, puis sur le bouton Rechercher les mises à jour.
Si vous souhaitez que les mises à jour soient installées automatiquement, cliquez sur Options avancées pendant que vous êtes sur cette page et activez l’entrée appropriée.
Hier, Microsoft a corrigé 66 autres failles dans ses différents packages logiciels, y compris cinq autres vulnérabilités qui ont également été classées comme zéro jour parce que la nouvelle a été diffusée à leur sujet avant que les correctifs ne soient prêts. La faille décrite en détail ci-dessus est la seule du groupe dont nous savons qu’elle est déjà exploitée.
L’un des défauts les plus graves qui n’est pas un jour zéro implique l’exécution de code à distance – c’est le piratage sur Internet pour vous et moi – dans Microsoft Office. Alors que la faille App Installer a un score de gravité de 7,1 sur 10, celui-ci note 9,6.
Microsoft ne fournit pas beaucoup de détails sur cette faille, probablement parce que le géant du logiciel ne veut pas que quiconque sache comment l’exploiter avant que la plupart des gens n’aient eu la chance d’installer le correctif.