Parce qu’ils fonctionnent au cœur du système, les pilotes vulnérables représentent une cible privilégiée pour contourner les défenses de Windows. Face à cette réalité, le système s’appuie sur une liste interne destinée à en bloquer certains.
Vous n’êtes pas sans savoir que les pilotes matériels occupent une place particulière dans l’architecture de Windows. Ils assurent en effet la liaison entre le système et les composants physiques de la machine, que l’on parle de carte graphique, de webcam, d’imprimante ou de contrôleur réseau. Parce qu’ils fonctionnent au plus près du noyau, ces pilotes disposent logiquement de droits étendus. Si bien que lorsqu’une faille les affecte, elle peut être exploitée pour contourner certaines protections du système, désactiver des outils de sécurité ou obtenir des privilèges élevés.
Ces dernières années, plusieurs acteurs malveillants ont justement tiré parti de drivers légitimes mais vulnérables pour parvenir à leurs fins, technique communément appelée Bring Your Own Vulnerable Driver (BYOVD). Pour répondre à ce risque, Microsoft a intégré à Windows un élément destiné à empêcher le chargement de certains pilotes identifiés comme possiblement dangereux.
Offre partenaire
Protection avancée des e-mails, des calendriers, des mots de passe, du réseau… de votre entreprise grâce à la suite d'applications professionnelles sécurisées.
Offre partenaire
Une liste de blocage pour freiner les abus de pilotes vulnérables
Baptisée Microsoft Vulnerable Driver Blocklist, cette liste de blocage est intégrée à Windows, activée par défaut sur Windows 11 depuis l’édition 22H2, et appliquée sur Windows 10 dans certains contextes de sécurité (intégrité de la mémoire HVCI, Smart App Control ou mode S). Elle s’inscrit plus généralement dans les protections de l’OS liées à l’isolation du noyau, que Microsoft présente dans les options de sécurité dites Core Isolation, lesquelles s’appuient sur la virtualisation pour isoler en mémoire certaines fonctions sensibles et limiter l’impact d’un code malveillant exécuté avec des privilèges élevés.
Concrètement, Microsoft tient à jour un ensemble de règles de blocage visant des pilotes (et, dans certains cas, des certificats ou signatures associées) identifiés comme vulnérables ou déjà exploités dans des attaques. À chaque tentative de chargement d’un pilote par Windows, par exemple au démarrage de l’OS ou lors de l’installation d’un nouveau périphérique, le système vérifie s’il figure dans cette liste. Le cas échéant, son chargement est bloqué avant qu’il ne puisse s’exécuter.
Cet inventaire évolue en continu, alimenté en coopération avec les fabricants de matériel et les OEM, ce qui permet à Microsoft de travailler main dans la main avec les fournisseurs pour corriger au plus vite les pilotes concernés en cas de faille avérée. Quoi qu’il en soit, si le niveau de menace est jugé élevé et que le blocage du pilote ne risque pas d’entraîner de dysfonctionnements majeurs pour les utilisateurs et utilisatrices, la version vulnérable peut être ajoutée à la blocklist, décision qui relève en dernier ressort de Redmond.
Une protection utile, mais pas exhaustive
Pour autant, la liste de blocage des pilotes vulnérables ne doit pas être perçue comme un filet de sécurité absolu. Microsoft doit composer avec un équilibre délicat entre sécurité et stabilité, sachant qu’interdire systématiquement des drivers présentant une faiblesse théorique peut entraîner des incompatibilités matérielles, voire des plantages du système.
La liste n’est donc pas exhaustive et privilégie un blocage ciblé des cas jugés les plus à risque plutôt qu’une validation individuelle de chaque pilote autorisé. En contrepartie, ce modèle suppose que certaines vulnérabilités puissent subsister tant qu’elles ne sont pas formellement intégrées à la blocklist.
Autre limite, cette dernière n’est pas forcément mise à jour en temps réel, mais actualisée via Windows Update, avec des mises à jour qui peuvent arriver dans le cadre du cycle de maintenance de Windows, de mises à jour optionnelles, ou des évolutions de version du système. Dans les environnements les plus verrouillés, des politiques de contrôle applicatif plus strictes (par exemple via App Control / WDAC) peuvent appliquer des règles plus à jour ou plus restrictives. Il peut donc exister un décalage entre l’identification d’un pilote problématique, sa prise en compte par Microsoft et son blocage effectif sur un poste donné, d’où l’importance de télécharger ses updates système en temps et en heure.
Enfin, cette liste noire gagne à être présentée comme un outil parmi d’autres. Elle complète les protections de Windows, mais ne dispense ni de maintenir les pilotes et le système à jour, ni de limiter les privilèges d’administration, ni d’appliquer des politiques de contrôle plus strictes sur les postes sensibles.
