Quelqu'un a exécuté du code dans la pièce scellée où Windows garde votre mot de passe

Windows 11 conserve quelques secrets dans ce qui ressemble à une pièce scellée. Cela s'appelle une enclave VBS, une portion de mémoire isolée par le processeur de sorte que même un logiciel malveillant disposant des droits d'administrateur complets ne peut pas lire ce qui s'y trouve. L'une de ces enclaves contient la copie hachée de votre mot de passe Windows qu'utilise Defender SmartScreen pour la protection anti-hameçonnage améliorée, la fonction qui vous alerte si vous tapez ce mot de passe dans une page web ou si vous le collez dans le Bloc-notes.

Le 13 octobre, Adrian Denkiewicz, de la société de sécurité Doyensec, a publié le récit complet de la manière dont il y a fait tourner son propre code. Le composant s'appelle SFAPE.dll, et la porte d'entrée était presque risible: appeler deux fois sa routine d'initialisation lui a permis d'écrire quatre octets fixes à une adresse de son choix. À partir de ce seul point d'appui, il a construit des lectures mémoire, puis des écritures, a cassé la table de validation de l'enclave elle-même et a fini par appeler des fonctions arbitraires à l'intérieur de la zone protégée. L'enclave est chargée par lsass.exe, qui s'exécute en tant que SYSTEM, le gain était donc bien réel.

Passons à la partie rassurante. La faille, CVE-2026-83498, a été corrigée le 8 septembre dans KB5124008. Microsoft a également modifié la stratégie d'intégrité du code pour que Windows refuse de charger les anciennes versions vulnérables du fichier, fermant ainsi l'astuce évidente du retour en arrière. Personne n'a observé cette technique dans une attaque réelle, et elle ne vous atteint pas depuis internet. Il faut qu'un code s'exécute déjà sur votre PC pour que tout cela s'applique.

C'est justement là l'essentiel. Ce type de recherche ne devient dangereux que sur des machines qui ont cessé d'accepter les mises à jour depuis des mois. Le score de santé de Tendvane signale un PC qui a pris du retard en silence, ce que l'on ne remarque généralement pas avant que cela ne compte.