Une faille Windows jusque-là ignorée permet de rendre aveugles antivirus et EDR sans exploiter la moindre vulnérabilité logicielle. Bitdefender Labs détaille trois techniques de contournement basées sur les bind links, comparables selon eux aux attaques BYOVD prisées des ransomwares.
Baptisées « File-Binding », « Process-Binding » et « Silo-Binding », trois méthodes s'appuient sur une fonctionnalité légitime de virtualisation du système de fichiers, normalement au service des applications du Store, de Windows Sandbox et des conteneurs, pour rendre des solutions EDE aveugle sous Windows. Un cybercriminel qui dispose des droits administrateur peut ainsi faire croire à un logiciel de sécurité qu'il inspecte un fichier parfaitement sain, alors qu'un tout autre code s'exécute en fond. Bitdefender, qui a étudié ces trois techniques, compare la menace aux tristement célèbres attaques BYOVD, déjà largement exploitées par les groupes de ransomware.
Une fonctionnalité méconnue de Windows fragilise toute la sécurité du système
Bitdefender nous explique que le mécanisme repose sur bindflt.sys, un pilote noyau intégré à Windows depuis plusieurs versions. Son rôle, en temps normal, est parfaitement inoffensif, puisqu'il permet de rediriger un chemin de fichier vers un autre, sans jamais toucher au fichier d'origine. C'est ce même mécanisme qui permet aux applications du Microsoft Store, à Windows Sandbox et aux conteneurs d'isoler leur propre vue du système de fichiers sans jamais toucher aux fichiers réels de la machine, une technique de virtualisation bien connue des développeurs.
Rien à voir, en apparence, avec un lien symbolique (symlink) classique. Un symlink est un objet visible sur le disque, repérable par n'importe quel outil d'analyse. Un bind link, lui, n'existe que dans la mémoire du pilote : il disparaît au redémarrage, échappe à l'énumération classique des fichiers, et surtout, il peut masquer un fichier qui existe déjà sans jamais le modifier physiquement.
Figurez-vous que c'est cette dernière propriété qui intéresse Martin Zugec et son équipe de Bitdefender Labs, auteurs de l'étude diffusée le 15 juillet 2026. Une immense partie de la sécurité Windows repose sur un postulat simple. Un chemin d'accès désigne toujours le même fichier. Un antivirus qui hache un exécutable, une règle AppLocker qui autorise un programme, un pare-feu qui filtre une connexion, tout part de ce principe. Or, en manipulant les bind links, ce postulat s'effondre, et ce sur l'ensemble du parc Windows 10 (à partir de la mise à jour RS4) et Windows 11 actuellement en circulation.
Les chercheurs revendiquent d'ailleurs une méthode de travail assez révélatrice de leur philosophie maison. Plutôt que d'attendre qu'une fonctionnalité Windows soit détournée par de vrais attaquants pour réagir dans l'urgence, l'équipe préfère la disséquer en amont, comme un exercice presque académique, pour anticiper les scénarios d'abus avant qu'ils ne deviennent un problème sur le terrain.
File-Binding, Process-Binding, Silo-Binding : trois techniques, trois niveaux de sophistication
La première technique, appelée File-Binding, consiste à détourner un chemin de confiance vers un fichier malveillant. Les chercheurs prennent l'exemple d'un module de sécurité AMSI, utilisé notamment par PowerShell pour scanner les scripts avant exécution. En redirigeant son chemin habituel vers une DLL truquée exportant les mêmes fonctions, l'attaquant fait croire que chaque script est passé au crible, alors qu'aucune analyse n'a réellement lieu.
Ensuite, il y a Process-Binding, qui applique le même principe à un exécutable entier. Un attaquant peut ainsi lancer un programme anodin, disons winver.exe, tout en faisant réellement tourner un tout autre binaire, comme l'invite de commandes cmd.exe. La liste des processus continue d'afficher le nom du programme légitime, alors que le code qui s'exécute n'a plus rien à voir avec lui. Un petit hic tout de même, ce lien reste visible à l'échelle de la machine entière, ce qui laisse une chance à un analyste ou à un outil un peu curieux de repérer l'incohérence en croisant plusieurs sources d'information. Une faille que la technique suivante va justement combler.
La troisième technique, Silo-Binding, est la plus retorse. Elle s'appuie sur les silos Windows, ces bulles d'isolement utilisées par les conteneurs, pour créer deux vues différentes d'un même chemin selon qu'on l'observe depuis l'intérieur ou l'extérieur. Le programme malveillant tourne alors dans la bulle, tandis que tout ce qui regarde de l'extérieur, AppLocker, le pare-feu Windows ou l'outil de journalisation Sysmon, ne voit qu'un fichier parfaitement propre et une identité de confiance. Ce dernier est directement intégré à Windows 11 et Windows Server 2025 depuis peu, même s'il n'y est pas activé par défaut.
Les chercheurs ont poussé la démonstration jusqu'à tester la technique face à un véritable outil offensif, avec Invoke-Mimikatz, un script connu pour dérober des identifiants, et que n'importe quel antivirus digne de ce nom bloque en temps normal dès son exécution. Une fois relancé sous le nom de tiworker.exe, un processus Windows parfaitement anodin, grâce à Silo-Binding, le même script s'est exécuté sans la moindre alerte, alors que rien n'avait changé dans son code, seule son identité apparente avait été maquillée.
Pourquoi Bitdefender refuse de minimiser cette faille Windows
Précisons que ces attaques nécessitent des droits administrateur sur la machine ciblée. C'est d'ailleurs sur cette base que Microsoft a classé le problème en faible sévérité après la divulgation responsable des chercheurs. Bitdefender maintient malgré tout son parallèle avec les attaques BYOVD (Bring Your Own Vulnerable Driver), un classique dans la boîte à outils des groupes de ransomware avant chiffrement : l'accès administrateur, selon eux, ne doit pas valoir un blanc-seing sur la détection.
Et pire, en creusant le sujet, les chercheurs ont aussi mis la main sur une faille d'élévation de privilèges touchant Docker Desktop, une application qui permet de développer, partager et exécuter des applications conteneurisées directement sur son ordinateur. Un simple membre du groupe docker-users, sans droits administrateur sur la machine hôte, pouvait grimper jusqu'aux privilèges SYSTEM grâce à un bind link. Docker a depuis mis à jour sa documentation pour avertir de ce risque.
Du côté Microsoft, il existe une parade depuis la mise à jour 24H2, grâce à un mécanisme qui permet de bloquer la création de bind links sur certains chemins protégés. Une rustine bienvenue, mais loin d'être totale selon Bitdefender, puisqu'elle est absente des versions antérieures de Windows, qu'elle ne s'active que pour les liens créés sur la partition de démarrage, et qu'elle peut, de l'aveu même des chercheurs, être contournée.
Les utilisateurs de la plateforme GravityZone de Bitdefender sont d'ores et déjà protégés contre cette classe d'attaques, sans action de leur part, prévient le spécialiste cyber. Pour les autres, la marque conseille de se rapprocher de son éditeur de sécurité afin de savoir si son produit vérifie réellement le fichier exécuté, plutôt que de se fier aveuglément au chemin rapporté par Windows. Les plus curieux, ou les équipes techniques qui voudraient creuser le sujet, pourront également consulter le rapport complet et l'outil de test bindutil, tous deux mis à disposition par Bitdefender sur son dépôt GitHub officiel. De quoi, sans doute, alimenter quelques discussions animées entre équipes IT dans les semaines à venir.
