Glossaire
Liste de blocage des pilotes vulnérables
Liste maintenue par Microsoft de pilotes noyau signés mais exploitables que Windows refuse de charger, bloquant les attaques de type bring-your-own-vulnerable-driver.
La liste de blocage des pilotes vulnérables de Microsoft est une stratégie App Control for Business qui recense des pilotes noyau signés légitimement mais présentant des vulnérabilités connues, un comportement malveillant, ou ayant servi à contourner la sécurité. Windows refuse de charger les pilotes de cette liste. Depuis la mise à jour Windows 11 2022, elle est activée par défaut sur tous les appareils et (sauf sous Windows Server 2016) appliquée dès que l'intégrité de la mémoire (HVCI), Smart App Control ou le mode S est actif. La liste est mise à jour chaque trimestre et la copie intégrée est distribuée par les mises à jour mensuelles de Windows ; Microsoft publie aussi la dernière version sous forme de stratégie XML que les organisations peuvent déployer plus fréquemment avec App Control.
Dans une attaque bring-your-own-vulnerable-driver (BYOVD), un attaquant disposant de droits d'administrateur charge un ancien pilote signé et exploite sa faille pour lire ou écrire la mémoire du noyau, généralement afin de tuer les processus EDR. Vérifiez que le paramètre « Liste de blocage des pilotes vulnérables de Microsoft » est activé, déployez la stratégie XML Microsoft actuelle sur les systèmes à forte valeur et surveillez les événements Code Integrity 3076 (audit) et 3077 (appliqué) pour détecter les chargements bloqués.
Voir Liste de blocage des pilotes vulnérables : stopper le BYOVD.