Test crash anti-virus : les éditeurs prennent un coup de massue

Les outils anti-virus ont pris une claque lors d’une réunion organisée dans le cadre du laboratoire de cryptologie et virologie opérationnelles de l’école d’ingénieurs ESIEA à Laval (Mayenne).

Des experts de la sécurité informatique du groupe International Alternative Workshop on Aggressive Computing and Security (iAWACS) sont parvenus à désactiver en quelques minutes seulement six outils anti-virus populaires. Ce qui démontrerait « la très grande vulnérabilité des principaux antivirus présents sur le marché ».

Dans la présentation fournie à la presse, iAWACS présente cette exercice comme un « test consommateur ». Disposant « d’ordinateurs standards fonctionnant sous Windows », la mission des experts était de « désactiver l’anti-virus protégeant le système en moins d’une heure par le biais d’une attaque virale conventionnelle » (pourtant censée être détectée par les dits-outils).

Résultat : c’est l’hécatombe. 6 outils anti-virus sur sept testés auraient été désactivés en un laps de temps allant de 2 minutes à 40 minutes.

Source : iAWACS – ESIEA – Octobre 2009. Signalons l’absence de Microsoft Security Essentials pour ce test.

Selon Robert Erra, co-responsable du congrès iAWACS, « l’objet du concours n’est pas de donner aux hackers les dernières ‘astuces’ pour pénétrer de façon frauduleuse des systèmes informatiques (…)Il n’est d’ailleurs pas question de divulguer au grand public le détail des procédés techniques mis en œuvre par les participants. »

Néanmoins, l’expérience pourrait servir de leçons aux éditeurs de solutions de sécurité IT. « Ces informations seront uniquement communiquées aux éditeurs concernés pour prouver la vulnérabilité de leurs programmes. »

Outre le challenge technologique, les experts ont tenu à soulever un flou juridique en lien avec ce « crash test anti-virus ».

Prise à la lettre, la loi pour la Confiance dans l’économie numérique du 21 juin 2004 interdit théoriquement cet exercice de contourner des outils anti-virus en vue de les désactiver sous peine de poursuite.

D’ailleurs, seuls deux experts participant au congrès iAWACS (sur quarante) ont accepté de prendre ce risque.