Mais du coup quel type de restauration ?
car j'ai deja formater mon pc.
Avant l'installation des pilotes avec le logiciel driver booster. Ce logiciel est considéré comme un rogue, c'est à dire un faux logiciel de sécurité/optimisateur/mise à jour de programmes.
D'ailleurs, dans les forums de désinfection, il est supprimé d'office, en demandant si la personne a payé le logiciel.
Un topic relatant ce fait:
https://forums.cnetfrance.fr/topic/1313585-driver-booster--mettre-a-jour-ses-pilotes-avec-un-logiciel/
==> Je te conseille, avant de te renseigner sur des questions légitimes, de consulter le site de malekal, il est gorgé d'information fiable, généralement:
https://www.malekal.com/comment-mettre-a-jour-ses-pilotes/
==> Pour mettre à jour tes pilotes\drivers, je te conseille cependant driverscloud
https://www.driverscloud.com/fr/demarrer
Une explication de driverscloud:
https://www.malekal.com/driverscloud-mettre-a-jour-ses-pilotes/
==> Ainsi, tu pourra voir réellement les pilotes manquants. En effet,
Windows update met quelquefois à jour quelques pilotes, mais ce n'est pas suffisant.
En outre, j'ai un problème avec les mises à jour de pilote via Windows 8.1 concernant Nvidia, la signature de certains fichiers de NvidiA est biaisée, aujourd'hui, je me demande si Microsoft n'implémente pas des failblesses dans la signature des pilotes Nvidia pour infecter l'ordinateur, selon l'ordre des demandeurs.
Exemple:
Le fichier nvapi64.dll est celui qui est véridique, toutefois il est suspicieux, car le certificat racine, nommé "NVIDIA Corporation PE Sign v2014", qui a créé le certificat intermédiaire "NVIDIA Subordinate CA 2014" est suspicieux.
J'en parle ici:
https://www.forum-des-portables-asus.fr/forums/threads/windows-10-redstone-4-nouvelle-politique-de-confidentialite-de-microsoft.17699/post-148772
Puis ici:
https://www.forum-des-portables-asus.fr/forums/threads/windows-10-redstone-4-nouvelle-politique-de-confidentialite-de-microsoft.17699/post-149166
Le fichier Nvapi64.dll de gauche n'est pas légitime, la somme de contôle MD5 , cependant est la même que celle du fichier de droite.
Cela laisse supposer, qu'à partir du fichier de droite, on a pu créer un fichier (celui de gauche ayant la même de contrôle) pour mieux cacher l'infection.
Or dans le document :
https://www.symantec.com/content/dam/symantec/docs/security-center/white-papers/assessment-windows-vista-kernel-mode-06-en.pdf
Symantec, qui fournissait des certificats racines frauduleux, et qui ne savait donc pas gérer son réseau informatique concernant la gestion des PKI (par vol, par manque de vérification), explique que l'autorité de certification provient de M$, via ce
papier qui permet de créer des certificats racines, dont NVIDIA Subordonate CA 2014 !!via d'une version non finale de Windows Vista, oh!!!
Lire ceci:
https://www.lesnumeriques.com/vie-du-net/symantec-cede-son-activite-autorite-certification-n65381.html
Or l'auteur du
post a été contacté par Nvidia, il mentionne:
ittoby a dit:
Update 4/21/2014: NVidia contacted me regarding this issue we determined that the "Microsoft Digital Media Authority 2005" certificate is actually "baked into" Vista and higher operating systems. This seems a relatively well hidden fact, but it was revealed in
this paper by Symantec. Interesting to say the least... anyhow their cert still has a potential revocation issue and they are working to resolve it.
Que ja traduis par:
"Mise à jour du 21 avril 2014: Nvidia m'a contacté à propos de ce problème. Nvidia a déterminé que le certificat "Microsoft Digital Madia Authority 2005" est intégré à W$ Vista et versions supérieures.
C'est un fait relativement bien caché, mais a été révélé par l'article de Symantec. Intéressant à remarquer, de toute facon, le certificat Microsoft Digital Media Authority" a eu toujours un problème de révocation potentiel et ?? cherchent à le résoudre..."
Or en 2018, le problème n'est pas toujours résolu, j'avais remarqué le même cas:
En regardant les certificats de contre-signature de nvgolshim64.dll, on a:
Puis:
Mais que vois-je ?
==> Le certificat racine concernant la contre signature "Symatec Time Stamping Service Signer-G4" sert de certificat pour chiffrer le fichier nvapi64.dll ci-dessous:
Sûrement une erreur, j'ai dû afficher les certificats de contre-signature, mais si ce n'est pas le cas, j'y crois pas!!
MAIS IL FAUT RESTER PRUDENT
Windows 10 imposant la validation étendue de ses pilotes, on va voir si ce phénomène se produit, et remarquer si rééllement W$ 10 est réellement sécurisé.
Néanmoins, je ne vois pas pourquoi les attaquants utiliseraient le certificat racine de contre-signature pour signer un fichier déjà signé, ayant la même somme de contrôle. On pourait penser que le fichier signé par le certificat racine de contre-signature a été concu malicieusement pour avoir la même somme de contrôle que celui de l'original...
En attendant à comprendre comme le chiffrement fonctionne sous W$, si c'est avérée que l'on ne peut pas signer des fichiers de contre-signature sans savoir le clée privée, cela veut dire que ....
Sacré découverte, si elle est véridique, c'est explosif.
De la recherche est nécessaire.
En tout cas, c'est la seconde backdoor que je découvre de WIndows 8.1
Je vais bien le garder au chaud ce topic.
De toute manière, même si M$ a ajouté dans son API schannel plusieurs mécanismes de sécurité, dont la révocation de MD5 dans ces certificats (car contourné pour créer des certificats rogues, donc par nécéssité), ils appliquent tardivement des principes de sécurisation de chiffrement trop tard, mais je me retiendrais de l'affirmer, travailler dur pour ramasser quelques miette sous Windows, c'est vain.
Cordialement