Protection 📝 Empêcher l'exécution détournée via raccourcis .url malveillants

[Sylvain*]

Empêcher l'exécution détournée via raccourcis .url malveillants

Introduction

Le filtre Windows SmartScreen est conçu pour empêcher l’exécution d’applications potentiellement malveillantes, notamment celles téléchargées depuis Internet. Toutefois, des attaquants exploitent des fichiers de raccourcis .url pour contourner cette protection et exécuter des contenus malveillants via des scripts ou des binaires distants. Ce tutoriel détaille les mesures de protection permettant de bloquer ce vecteur d’attaque au sein de systèmes Windows 10 et 11, en restreignant l’utilisation détournée des fichiers .url.

---

Prérequis

• Connaissance approfondie de Windows

• Familiarité avec les outils systèmes Windows

• Droits administrateurs nécessaires

---

Niveau de difficulté

• Étape #1 : Moyen

• Étape #2 : Moyen

• Étape #3 : Avancé

• Étape #4 : Avancé

• Étape #5 : Moyen

---

Les Avantages

• Étape #1 : Réduction de la surface d’attaque exploitée par les .url

• Étape #2 : Empêche les contournements de SmartScreen par des exécutables distants

• Étape #3 : Renforcement des contrôles via la stratégie de groupe

• Étape #4 : Possibilité de centralisation avec Active Directory

• Étape #5 : Mise en place durable et peu intrusive

---

Les Inconvénients

• Étape #1 : Risque de faux positifs sur des liens légitimes

• Étape #2 : Peut bloquer des flux internes ou des scripts automatisés

• Étape #3 : Nécessite une gestion fine des extensions de fichiers

• Étape #4 : Complexité accrue en environnement non maîtrisé

• Étape #5 : Non rétroactif sur les fichiers existants

---

Étape #1

Ouvrir l’éditeur de stratégie locale avec gpedit.msc

Naviguer vers Configuration utilisateur > Modèles d’administration > Composants Windows > Explorateur de fichiers

Activer la stratégie Ne pas autoriser l’exécution de raccourcis Internet (.url)

Cliquer sur Activé puis sur OK pour valider

---

Étape #2

Utiliser l’éditeur du Registre pour bloquer l’ouverture automatique des fichiers .url

Lancer regedit.exe avec les droits administrateurs

Accéder à la clé suivante

HKEY_CLASSES_ROOT.url

Modifier la valeur Content Type en la supprimant ou la neutralisant

---

Étape #3

Mettre en place une règle AppLocker ou WDAC ciblant les fichiers .url

Créer une règle de type Chemin de fichier interdit pour

*.url

Appliquer la stratégie à tous les utilisateurs sauf les administrateurs

Forcer une actualisation avec

gpupdate /force

---

Étape #4

Activer l’audit AppLocker pour vérifier les impacts avant blocage

Lancer l’Observateur d’événements

Surveiller les événements dans

Microsoft-Windows-AppLocker/EXE and DLL

Adapter les règles selon les résultats constatés

---

Étape #5

Déployer une GPO interdisant l’association automatique de .url à Internet Explorer

Aller dans Configuration utilisateur > Préférences > Paramètres du panneau de configuration > Paramètres Internet

Forcer un navigateur moderne par défaut sans prise en charge des .url

Valider et tester avec un poste utilisateur

---

Astuce

Pour renforcer la protection, il est recommandé d’utiliser les règles de contrôle d’accès logiciel comme AppLocker ou WDAC en ciblant les types de fichiers associés à des exécutions détournées comme les

.url

.lnk

.hta

---

Mise en garde

Toute mauvaise manipulation des clés de registre ou des stratégies de sécurité peut entraîner des blocages non désirés. Testez toujours les règles dans un environnement isolé avant déploiement.

---

Conseil

Utilisez ProcMon pour analyser les comportements système lors de l’ouverture de fichiers suspects et identifier les contournements éventuels de SmartScreen en ciblant les processus associés à explorer.exe et rundll32.exe.

---

Solutions alternatives

• Blocage fichiers .url Windows

• AppLocker .url protection

• Windows WDAC url filtering

---

Références utiles

• Support Microsoft

• Microsoft Learn

• Recherche GitHub

---

Conclusion

Le blocage des fichiers .url constitue une contre-mesure efficace pour empêcher les attaques contournant SmartScreen. En combinant les stratégies de groupe, la configuration du registre et le contrôle d’accès via AppLocker ou WDAC, les administrateurs peuvent considérablement réduire les risques liés à l’utilisation malveillante de ces raccourcis. L’adoption de ces méthodes s’inscrit dans une démarche proactive de durcissement de la posture de sécurité Windows.