Microsoft retire la confiance accordée aux pilotes de noyau à signature croisée

Microsoft s’attaque à une faille de sécurité ancienne de Windows. Selon l’article d’origine, à partir de la mise à jour Windows d’avril 2026, Windows ne ferait plus confiance aux pilotes de noyau signés dans le cadre de l’ancien Cross-Signed Driver Program. Depuis des années, des attaquants exploitent ces pilotes pour charger directement dans le noyau des composants malveillants ou vulnérables.

L’article indique que ce changement concerne Windows 11, Windows Server 2025 et les versions ultérieures. Cette chronologie provient de la publication d’origine et ne constitue pas une vérification indépendante de l’état actuel du déploiement.

Pourquoi Microsoft effectue ce changement

À l’origine, la signature croisée était une solution pratique pour les fournisseurs qui ne souhaitaient pas passer par le WHCP (Windows Hardware Compatibility Program). Elle est devenue au fil du temps une importante surface d’attaque utilisée pour :

• L’élévation de privilèges.
• Le contournement des outils EDR.
• La persistance au niveau du noyau.
• La désactivation des outils de sécurité pendant les attaques par ransomware.

Bien que les certificats de ce programme aient expiré il y a des années, Windows continuait à faire confiance à ces pilotes. L’article décrit le retrait de cette confiance.

Éléments relevés dans les commentaires de la communauté

La discussion TechCommunity a souligné plusieurs points importants :

• De nombreuses organisations dépendent encore d’équipements industriels, médicaux et embarqués anciens qui n’ont que des pilotes à signature croisée.
• Certains fournisseurs ne sont jamais passés au WHCP, notamment les fabricants spécialisés ou produisant de faibles volumes.
• Les journaux du mode d’évaluation seront essentiels, car l’application de la règle peut interrompre silencieusement des pilotes.
• Les outils de virtualisation, la redirection USB et les anciennes applications métier peuvent dissimuler des pilotes à signature croisée oubliés par les équipes.

Cela illustre une dette technique qui peut ne devenir visible qu’au moment de l’application de la règle.

Comment vérifier si votre environnement est concerné

Voici cinq méthodes pratiques de vérification.

1. Vérifier les signatures des pilotes avec PowerShell

Listez les pilotes en mode noyau :

Get-WindowsDriver -Online | Select-Object Driver, ClassName, ProviderName, Date, Version

Vérifiez les détails de signature :

Get-AuthenticodeSignature "C:\Windows\System32\drivers\*.sys"

Repérez les éléments suivants :

• Un certificat qui n’est pas WHCP.
• Un état `NotSigned` ou `UnknownError`.
• Un émetteur de certificat historique utilisé pour la signature croisée.

2. Utiliser SigCheck de Sysinternals

Analysez les pilotes :

sigcheck -q -m -i c:\windows\system32\drivers

Recherchez les résultats « Cross-signed », « Unsigned » ou « No WHQL ».

3. Rechercher les alertes du mode d’évaluation dans les journaux d’événements

L’article indique qu’après l’installation de la mise à jour d’avril 2026, Windows consignerait des avertissements avant l’application de la règle.

Accédez à : Event Viewer → Applications and Services Logs → Microsoft → Windows → CodeIntegrity → Operational.

Recherchez :

• Event ID 3089 : pilote autorisé, mais qui sera bloqué ultérieurement.
• Event ID 3091 : pilote à signature croisée.

Selon l’article, ces journaux peuvent servir de système d’alerte précoce.

4. Examiner les signatures dans Device Manager

Pour chaque appareil :

1. Ouvrez Device Manager.
2. Cliquez avec le bouton droit sur l’appareil et sélectionnez Properties.
3. Ouvrez l’onglet Driver.
4. Sélectionnez Driver Details.
5. Vérifiez le champ Digital Signer.

Si le champ n’indique pas Microsoft Windows Hardware Compatibility Publisher, le pilote n’est pas signé WHCP.

5. Inventorier les pilotes du parc avec Intune ou SCCM

Pour une vérification à l’échelle de l’entreprise :

• Intune : Device Diagnostics et scripts personnalisés.
• SCCM : interroger `Win32_SystemDriver`.
• Defender for Endpoint : utiliser Advanced Hunting.

Exemple de requête MDE :

DeviceFileEvents | where FolderPath endswith "drivers" | where FileName endswith ".sys"

Que faire si vous trouvez des pilotes à signature croisée

• Contactez le fournisseur et demandez des remplaçants signés WHCP.
• Planifiez le renouvellement du matériel si le fournisseur n’existe plus.
• Isolez les systèmes historiques si aucun remplacement n’est possible.
• Surveillez chaque semaine les journaux Code Integrity jusqu’au début de l’application de la règle.