Vulnérabilité de sécurité Nvidia GeForce Experience Node.js
- Catégorie: Les Fenêtres
Chercheurs en sécurité Sec Consult découvert une vulnérabilité dans le logiciel GeForce Experience de Nvidia qui permet aux attaquants de contourner la liste blanche des applications Windows.
GeForce Experience de Nvidia est un programme que Nvidia installe par défaut dans ses packages de pilotes. Le programme, initialement conçu pour fournir aux utilisateurs de bonnes configurations de jeux informatiques afin qu'ils fonctionnent mieux sur les systèmes des utilisateurs, a été explosé depuis par Nvidia.
Le logiciel vérifie les mises à jour des pilotes maintenant, et peut les installer, et il applique l'enregistrement avant que ses autres fonctionnalités ne deviennent disponibles.
Ce qui est intéressant, c'est qu'il n'est pas nécessaire pour utiliser la carte graphique et que la carte vidéo fonctionne tout aussi bien sans elle.
Nvidia GeForce Experience installe un serveur node.js sur le système lors de son installation. Le fichier ne s'appelle pas node.js, mais NVIDIA Web Helper.exe et se trouve par défaut sous% ProgramFiles (x86)% NVIDIA Corporation NvNode .
Nvidia a renommé Node.js en NVIDIA Web Helper.exe et l'a signé. Cela signifie que Node.js est installé sur la majorité des systèmes équipés de cartes graphiques Nvidia, étant donné que les pilotes sont installés automatiquement et n'utilisent pas l'option d'installation personnalisée.
Pointe : Installez uniquement les composants du pilote Nvidia dont vous avez besoin , et désactiver les services Nvidia Streamer et d'autres processus Nvidia ,
La liste blanche permet aux administrateurs de définir des programmes et des processus qui peuvent s'exécuter sur un système d'exploitation. Microsoft AppLocker est une solution de liste blanche populaire pour améliorer la sécurité sur les PC Windows.
Les administrateurs peuvent améliorer encore la sécurité en utilisant des signatures pour appliquer l'intégrité du code et des scripts. Ce dernier est pris en charge par Windows 10 et Windows Server 2016 avec Microsoft Device Guard par exemple.
Les chercheurs en sécurité ont trouvé deux possibilités pour exploiter l'application NVIDIA Web Helper.exe de Nvidia:
- Utilisez Node.js directement pour interagir avec les API Windows.
- Chargez le code exécutable «dans le processus node.js» pour exécuter du code malveillant.
Le processus étant signé, il contournera par défaut toutes les vérifications basées sur la réputation.
Du point de vue de l'attaquant, cela ouvre deux possibilités. Utilisez node.js pour interagir directement avec l'API Windows (par exemple pour désactiver la liste blanche des applications ou pour charger de manière réfléchie un exécutable dans le processus node.js pour exécuter le binaire malveillant au nom du processus signé) ou pour écrire le malware complet avec node. js. Les deux options ont l'avantage que le processus en cours d'exécution est signé et contourne donc les systèmes antivirus (algorithmes basés sur la réputation) par défaut.
Comment résoudre le problème
La meilleure option pour le moment est probablement de désinstaller le client Nvidia GeForce Experience du système d'exploitation.
La première chose que vous voudrez peut-être faire est de vous assurer qu'un système est vulnérable. Ouvrez le dossier% ProgramFiles (x86)% NVIDIA Corporation sur le PC Windows et vérifiez si le répertoire NvNode existe.
Si c'est le cas, ouvrez le répertoire. Recherchez le fichier Nvidia Web Helper.exe dans le répertoire.
Cliquez ensuite avec le bouton droit sur le fichier et sélectionnez les propriétés. Lorsque la fenêtre des propriétés s'ouvre, passez aux détails. Là, vous devriez voir le nom du fichier d'origine et le nom du produit.
Une fois que vous avez établi qu'un serveur Node.js est bien sur la machine, il est temps de le supprimer à condition que Nvidia GeForce Experience ne soit pas nécessaire.
- Vous pouvez utiliser le Panneau de configuration> Désinstaller une applet de programme pour cela, ou si vous utilisez Paramètres de Windows 10> Applications> Applications et fonctionnalités.
- Quoi qu'il en soit, Nvidia GeForce Experience est répertorié comme un programme distinct installé sur le système.
- Désinstallez le programme Nvidia GeForce Experience de votre système.
Si vous vérifiez à nouveau le dossier du programme par la suite, vous remarquerez que tout le dossier NvNode n'est plus sur le système.
Maintenant lis : Bloquer le suivi de la télémétrie Nvidia sur les PC Windows