Changer notre façon de lutter contre les logiciels malveillants

Microsoft est assis sur une mine d’informations absolue. L'outil de suppression de logiciels malveillants (MSRT) s'exécutant sur des milliards d'ordinateurs dans le monde et chaque processus Windows Update envoie une tonne de télémétrie non personnelle à Microsoft Central. Ces données pourraient aider les éditeurs de logiciels antivirus et les chercheurs universitaires à développer de meilleurs moyens de lutter contre les logiciels malveillants. Dans son discours liminaire à la neuvième conférence internationale de l'IEEE sur les logiciels malveillants et indésirables (Malware 2014), Dennis Batchelder, de Microsoft, a expliqué ce que le géant du logiciel envisageait de faire avec toutes ces données - et ce n'est pas ce à quoi vous pouvez vous attendre.

Partager, c'est bien

Lors de la conférence de l'année dernière, Batchelder, en tant que directeur de recherche du Microsoft Malware Protection Center, a expliqué en détail ce que Microsoft peut déterminer à partir de l'immense cache de données provenant de MSRT. La plupart des activités actuelles de son équipe ont été inspirées par la discussion découlant de cette présentation.

Batchelder s'est penché sur le sujet en se concentrant sur les écosystèmes de logiciels malveillants et anti-programmes malveillants. Les syndicats du crime se disputent l'argent et achètent des technologies auprès de fournisseurs quasi-légaux - exploitent des kits, des réseaux de zombies et tout ce dont ils ont besoin. Les éditeurs de logiciels anti-programme malveillant bénéficient de leur propre soutien de la part des chercheurs, des équipes d’intervention en cas d’urgence informatique, de l’application de la loi, etc.

Le problème, a noté Batchelder, est que les bons gars ne travaillent pas ensemble efficacement. Il a détaillé un certain nombre de points de friction et les projets développés par Microsoft pour rendre l’écosystème anti-programme malveillant plus efficace.

Échappement numérique

Les études ont déterminé quelles drogues sont populaires dans différentes villes en analysant le contenu des égouts, a déclaré Batchelder. Heureusement pour nous, le projet Digital Exhaust correspondant n'est pas aussi dégoûtant. Batchelder propose d'étendre la protection et la détection en trouvant des partenaires dont les efforts produisent déjà des informations sur les activités malveillantes en tant qu'effet secondaire, et en transformant ces informations en informations supplémentaires.

L’équipe de protection contre la fraude d’une banque ou d’un établissement financier est un exemple de partenaire de cette initiative. Ces groupes disposent déjà d'algorithmes élaborés qui les aident à déterminer si une charge inattendue vous met vraiment en vacances ou si votre compte a été piraté. Microsoft propose à l'équipe de fraude de partager ses conclusions et de récupérer en retour des données corrélatives de la mine d'or de télémétrie que j'ai mentionnée. Yahoo, Yandex, Facebook et Amazon comptent parmi les partenaires qui se préparent à dialoguer avec Microsoft.

Alliance pour le logiciel propre

Votre antivirus a-t-il déjà signalé un "programme potentiellement indésirable"? Microsoft a abandonné le mot "potentiellement" car pour la plupart des utilisateurs, ils sont vraiment indésirables. Les plus gros coupables de leur propagation sont les reconditionneurs de téléchargement. Vous souhaitez télécharger un outil, peut-être WinZip. Mais lorsque vous essayez, vous obtenez cinq ou six offres pour une barre d’outils, un plug-in, un codec, autre chose que ce que vous vouliez.

Plutôt que d'écrire des signatures et d'éliminer ces programmes indésirables, la Clean Software Alliance de Microsoft est un plan visant à encourager ces reconditionneurs à nettoyer leurs activités. Ceux qui acceptent de ne plus ajouter de logiciels ombragés peuvent afficher le logo de la Clean Software Alliance. Parmi les 75 fournisseurs identifiés par Microsoft, 47 ont été contactés et 44 ont accepté de participer, a déclaré Batchelder.

Ce programme n'est pas quelque chose que Microsoft peut prendre, a noté Batchelder. La société a trouvé un partenaire volontaire au sein de l'organisation AMTSO (Anti-Malware Testing Standards Organization). Avec le soutien de Microsoft, l’AMTSO gère désormais l’initiative CSA.

Éradication coordonnée des programmes malveillants

Les forces de l'ordre et les grandes organisations de sécurité suivent les réseaux criminels et les réseaux de zombies internationaux qui affectent les utilisateurs du monde entier. Parfois, ils ont suffisamment de preuves et de liens pour éliminer les méchants. Et parfois, ils se marchent sur les pieds. Batchelder a signalé plusieurs cas embarrassants dans lesquels Microsoft réussissait à éliminer un réseau malveillant qui avait endommagé le travail effectué par d'autres groupes.

La solution? Eradication coordonnée des programmes malveillants. À l'heure actuelle, Microsoft et ses partenaires travaillent à plusieurs démêlements coordonnés pour divers réseaux d'espionnage et de fraude. Batchelder a hâte de lancer 10 ou 15 projets de ce type à la fois.

Apprendre des données

Batchelder a expliqué qu'il n'avait aucun intérêt à faire de Microsoft la solution la plus importante, la meilleure ou la seule à offrir un logiciel anti-programme malveillant. La propre analyse de la société montre que le meilleur moyen de se protéger contre les logiciels malveillants consiste à utiliser un ensemble diversifié de solutions de sécurité. "Mon travail ne consiste pas à promouvoir notre antivirus", a conclu Batchelder. "Mon travail consiste à protéger Windows et tous les utilisateurs de Windows."

C'est un noble sentiment, définitivement. Et l'idée que tous les braves gens travaillent ensemble pour lutter contre les logiciels malveillants est certainement une bouffée d'air frais. Je vais certainement garder un œil sur les projets Digital Exhaust, Clean Software Alliance et Eradication coordonnée des programmes malveillants. Quant aux chercheurs universitaires qui participent à cette conférence et à une conférence similaire, ils peuvent désormais accéder à la totalité de la base de données de télémétrie de Microsoft. Il est impossible de dire quels résultats nouveaux et bénéfiques ils obtiendront en soumettant ces données à l'essentiel de l'analyse.