Skip to main content

Alertes BitDefender sur PAExec utilisé par Medulla

S'applique à : Medulla / Bitdefender GravityZone
Version : Medulla 5.6.x / GravityZone selon les fonctionnalités disponibles
Environnement : Windows / Medulla On-Premise ou SaaS
Catégorie : Sécurité / EDR / Antivirus / Télé-exécution
Composant concerné : PAExec

Cette FAQ explique pourquoi Bitdefender GravityZone peut détecter ou bloquer certaines opérations réalisées par Medulla à l'aide de PAExec, et comment diagnostiquer les événements concernés.

Elle présente également les possibilités d'exclusion proposées par Bitdefender GravityZone afin de résoudre les éventuels problèmes de compatibilité tout en préservant le niveau de sécurité des postes administrés.

Important :
Les exclusions de sécurité ne doivent être mises en place que lorsqu'un blocage réel a été identifié et que l'origine légitime de l'exécution a été vérifiée.
Toute exclusion doit être limitée au périmètre strictement nécessaire, validée par l'équipe de sécurité et régulièrement réévaluée.

1. Contexte : pourquoi Medulla utilise-t-il PAExec ?

Medulla utilise PAExec, un outil d'exécution distante compatible avec les principes de fonctionnement de PsExec, afin de réaliser certaines opérations d'administration sur les postes Windows.

Selon les fonctionnalités et les scénarios utilisés, ce mécanisme peut intervenir dans :

  • Le déploiement d'applications.
  • L'exécution de commandes ou de scripts.
  • Le lancement de certaines actions depuis le kiosque applicatif.
  • Les opérations de maintenance et d'administration.
  • Certaines actions automatisées nécessitant des privilèges élevés.

Dans Medulla, ce mécanisme est notamment utilisé par le composant :

scheduling_launch_kiosk.py

PAExec est un outil d'administration légitime. Toutefois, les techniques employées peuvent également être utilisées par des attaquants pour exécuter des commandes à distance ou effectuer des mouvements latéraux dans un réseau.

Les solutions de sécurité telles que Bitdefender GravityZone peuvent donc surveiller ou bloquer certains comportements associés à PAExec.

Information :
Une détection de PAExec ne signifie pas nécessairement que le poste est compromis.
Elle doit cependant faire l'objet d'une vérification afin de confirmer que l'exécution correspond bien à une opération Medulla autorisée.

2. Pourquoi Bitdefender peut-il détecter PAExec ?

PAExec utilise un mécanisme reposant notamment sur la création et l'exécution d'un service Windows temporaire.

Dans le scénario décrit ici, son fonctionnement peut comprendre les étapes suivantes :

  1. Medulla déclenche une opération nécessitant PAExec.
  2. Le binaire PAExec est utilisé pour préparer l'exécution.
  3. Une copie temporaire du programme est créée sur le poste concerné.
  4. Un service Windows temporaire est installé.
  5. Le service exécute l'action demandée avec les privilèges nécessaires.
  6. Le service et le fichier temporaire sont normalement supprimés à la fin de l'opération.

Ces opérations peuvent déclencher des mécanismes de détection antivirus ou comportementale.

Bitdefender peut notamment analyser :

  • La création d'un fichier exécutable.
  • Le lancement d'un processus.
  • La création d'un service Windows.
  • Les opérations réalisées avec des privilèges élevés.
  • Les comportements pouvant correspondre à une tentative d'exécution distante.

Attention :
Les événements observés doivent être rapprochés des journaux Medulla et de l'historique des actions de l'administrateur.
Il ne faut pas considérer automatiquement toute détection PAExec comme un faux positif.

3. Quels fichiers PAExec sont utilisés par Medulla ?

Binaire source

Le binaire PAExec installé avec l'agent Medulla se trouve généralement dans :

C:\Program Files\Medulla\bin\paexec.exe

Copie temporaire

Lors de certaines exécutions, PAExec peut créer une copie temporaire dans le répertoire Windows.

Le nom du fichier peut être dynamique :

C:\Windows\PAExec-<PID>-<NomPoste>.exe

Exemple :

C:\Windows\PAExec-2124-CSE-SDN-ALV-02.exe

Le nom exact dépend de l'exécution et de l'environnement.

Information :
Bitdefender peut détecter le binaire source ou sa copie temporaire.
Une exclusion du seul fichier paexec.exe peut donc ne pas suffire lorsque le blocage concerne le fichier temporaire.

4. Pourquoi PAExec s'exécute-t-il sous NT AUTHORITY\SYSTEM ?

Dans le fonctionnement décrit, PAExec utilise un service Windows temporaire.

Ce service peut être exécuté sous le compte :

NT AUTHORITY\SYSTEM

Il peut également être lancé avec l'argument :

-service

Ce comportement permet au service de disposer des privilèges nécessaires à certaines opérations d'administration.

Comportement attendu :
L'utilisation du compte SYSTEM et de l'argument -service est cohérente avec le fonctionnement de PAExec dans ce scénario.
Ces éléments doivent néanmoins être vérifiés avec le contexte de l'exécution.

5. Quels événements Windows peuvent être observés ?

Les opérations réalisées par PAExec peuvent générer plusieurs événements Windows, selon les paramètres d'audit activés sur le poste.

ID Journal Description Présence
7045 System Installation d'un nouveau service Windows. Possible
7036 System Changement d'état d'un service Windows. Possible
5145 Security Vérification d'accès à un objet partagé sur le réseau. Selon l'audit
4648 Security Ouverture de session avec des identifiants explicites. Selon le scénario
4688 Security Création d'un nouveau processus. Si l'audit est activé

Des événements relatifs aux partages administratifs ou aux pipes nommés peuvent également être observés lorsque ces mécanismes sont utilisés.

Exemples de pipes associés au fonctionnement de PAExec :

*-stdin
*-stdout
*-stderr

Information :
La présence de ces événements dépend de la configuration Windows, des stratégies d'audit et du scénario d'exécution.
Ils ne sont pas systématiquement générés ou enregistrés sur tous les postes.

6. Quels modules Bitdefender peuvent intervenir ?

Bitdefender GravityZone dispose de plusieurs mécanismes de protection pouvant intervenir lors d'une exécution PAExec.

Antimalware – On-access

Ce module analyse les fichiers lors de leur accès, notamment lorsqu'ils sont créés, copiés, ouverts ou exécutés.

Il peut intervenir lorsque PAExec crée ou exécute sa copie temporaire.

Antimalware – On-demand

Ce module réalise des analyses à la demande ou planifiées.

Il peut détecter un fichier PAExec présent sur le disque pendant une analyse.

Advanced Threat Control – ATC/IDS

Ce mécanisme surveille les comportements pouvant correspondre à une activité malveillante.

Il peut intervenir lorsque plusieurs opérations considérées comme sensibles sont réalisées au cours d'une même exécution.

Ransomware Mitigation

Ce module participe à la détection et à la limitation des conséquences de certaines activités de type rançongiciel.

Son implication éventuelle doit être confirmée dans les détails de la détection.

Autres modules de protection

Selon la licence, la version et la configuration de GravityZone, d'autres mécanismes peuvent être disponibles, notamment :

  • Advanced Anti-Exploit.
  • Process Inspection.
  • LSASS Protection.
  • Les mécanismes de détection EDR/XDR.

Important :
Il est essentiel d'identifier le module ayant réellement généré le blocage avant de créer une exclusion.
Une exclusion Antimalware ne garantit pas nécessairement la suppression d'une détection provenant d'un autre module.

7. Où consulter les détections PAExec dans GravityZone ?

Connectez-vous à la console GravityZone Control Center avec un compte disposant des droits nécessaires.

Selon votre version et les modules souscrits, les détections peuvent être consultées depuis les sections relatives aux incidents, aux menaces, aux rapports ou à l'activité des postes.

Recherchez notamment les éléments suivants :

  • Le nom du poste concerné.
  • La date et l'heure de la détection.
  • Le chemin du fichier détecté.
  • Le nom de la menace ou de la détection.
  • Le module de protection concerné.
  • L'action réalisée par Bitdefender : blocage, quarantaine ou autre remédiation.
  • Le processus concerné et, lorsqu'elles sont disponibles, les informations de filiation des processus.

Les chemins suivants peuvent être recherchés :

C:\Program Files\Medulla\bin\paexec.exe
C:\Windows\PAExec-*.exe

Comparez ensuite l'heure de la détection avec l'historique des opérations réalisées dans Medulla.

Bonne pratique :
Avant toute modification de la politique de sécurité, conservez les informations de détection afin de pouvoir vérifier précisément l'efficacité des éventuelles exclusions.

8. Où configurer les exclusions dans Bitdefender GravityZone ?

Bitdefender GravityZone permet de gérer des exclusions depuis les politiques de sécurité et, selon la version de la console, depuis des profils de configuration centralisés.

Méthode 1 – Exclusions dans une politique

  1. Connectez-vous à GravityZone Control Center.
  2. Ouvrez le menu Policies.
  3. Sélectionnez une politique existante ou créez une politique dédiée.
  4. Accédez à Antimalware > Exclusions.
  5. Activez les exclusions dans la politique si nécessaire.
  6. Ajoutez les règles adaptées au problème identifié.
  7. Enregistrez la politique.
  8. Vérifiez son affectation aux postes concernés.

Méthode 2 – Exclusions centralisées

Les versions de GravityZone disposant des profils de configuration permettent de créer des exclusions réutilisables dans plusieurs politiques.

  1. Ouvrez Policies > Configuration profiles.
  2. Accédez à la section Exclusions.
  3. Créez une liste d'exclusions ou sélectionnez une liste existante.
  4. Ajoutez les règles nécessaires.
  5. Associez la liste à la politique concernée.
  6. Vérifiez que cette politique est appliquée aux postes Medulla.

Information :
Les libellés exacts et l'organisation des menus peuvent varier selon la version de GravityZone et les fonctionnalités disponibles dans votre environnement.

9. Quels types d'exclusions sont disponibles dans GravityZone ?

GravityZone documente plusieurs types d'exclusions.

Type Fonctionnement Intérêt pour PAExec
File Exclut un fichier déterminé. Exclusion ciblée du binaire source ou de la copie temporaire.
Folder Exclut le contenu d'un dossier et de ses sous-dossiers. À éviter en première intention en raison de son périmètre plus large.
Extension Exclut les fichiers d'une extension donnée. Déconseillé pour PAExec.
Process Exclut des objets accédés par le processus spécifié, selon les modules sélectionnés. À évaluer avec précaution, car la portée peut dépasser le seul binaire.
File Hash Exclut un fichier identifié par son empreinte SHA256. Permet une identification précise d'une version donnée du binaire.
Certificate Hash Exclut des applications correspondant à une empreinte de certificat. Uniquement si un certificat approprié est présent et vérifié.
Threat Name Exclut une détection identifiée par son nom. À utiliser avec une grande prudence.
Command Line Exclut une ligne de commande spécifiée. Peut permettre un ciblage plus précis dans certains scénarios.

Les types d'exclusions disponibles et les modules auxquels ils peuvent s'appliquer dépendent de la version et de la configuration de GravityZone.

Attention :
Une exclusion de type Process n'est pas équivalente à une exclusion de type File.
Selon le module concerné, une exclusion de processus peut également concerner les objets auxquels ce processus accède.

10. Comment exclure le binaire source PAExec ?

Lorsque la détection concerne directement le binaire installé avec Medulla, une exclusion ciblée de type File peut être envisagée.

Chemin concerné

C:\Program Files\Medulla\bin\paexec.exe

Procédure

  1. Ouvrez la liste d'exclusions de la politique ou du profil concerné.
  2. Ajoutez une nouvelle exclusion.
  3. Sélectionnez le type File.
  4. Indiquez le chemin complet du binaire PAExec.
  5. Sélectionnez uniquement le ou les modules ayant généré le blocage, si l'interface le permet.
  6. Ajoutez une justification à la règle.
  7. Enregistrez les modifications.
  8. Vérifiez leur application sur le poste pilote.

Exemple de justification :

Medulla - PAExec
Exclusion ciblée du binaire source
Motif : compatibilité avec les opérations d'administration Medulla
Périmètre : postes pilotes Medulla

Information :
Cette exclusion concerne le binaire source.
Elle ne couvre pas nécessairement la copie temporaire générée lors de certaines exécutions.

11. Comment exclure la copie temporaire PAExec ?

Lorsque Bitdefender bloque la copie temporaire de PAExec, le chemin détecté peut correspondre au format suivant :

C:\Windows\PAExec-<PID>-<NomPoste>.exe

Exemple :

C:\Windows\PAExec-2124-CSE-SDN-ALV-02.exe

Comme le nom du fichier change d'une exécution à l'autre, une exclusion portant uniquement sur le nom complet d'un fichier temporaire peut devenir rapidement inadaptée.

Exclusion par chemin avec caractère générique

GravityZone documente la prise en charge des caractères génériques dans les chemins d'exclusion.

Une règle de type File peut donc être étudiée avec le chemin :

C:\Windows\PAExec-*.exe

Cette expression vise les fichiers exécutables situés directement dans C:\Windows\ dont le nom commence par PAExec-.

Procédure

  1. Identifiez le module Bitdefender ayant bloqué le fichier.
  2. Ouvrez la configuration des exclusions.
  3. Ajoutez une règle de type File.
  4. Renseignez le chemin avec le caractère générique.
  5. Limitez l'exclusion au module concerné lorsque cela est possible.
  6. Appliquez la règle uniquement aux postes pilotes.
  7. Relancez une opération Medulla précédemment bloquée.
  8. Contrôlez le résultat dans Medulla et GravityZone.

Risque de sécurité :
Cette exclusion repose sur un nom de fichier prévisible. Un programme malveillant pourrait utiliser un nom correspondant au même motif.
Elle ne doit donc pas être considérée comme une garantie d'identification du binaire Medulla.
Son utilisation nécessite une validation de sécurité et une surveillance adaptée.

12. Quels caractères génériques sont pris en charge par GravityZone ?

La documentation Bitdefender décrit les caractères génériques suivants pour les chemins d'exclusion :

Caractère Signification
* Correspond à zéro ou plusieurs caractères.
? Correspond à exactement un caractère.
** Permet des correspondances sur plusieurs niveaux de chemins selon les règles documentées pour Windows.

Exemples documentés par Bitdefender :

C:\Test\*.png
C:\Test\*
**\file.txt

Pour PAExec, le motif étudié est :

C:\Windows\PAExec-*.exe

Attention :
Évitez les expressions trop larges, notamment celles utilisant ** sans restriction de chemin.
Une mauvaise utilisation des caractères génériques peut étendre considérablement la portée d'une exclusion.

13. Peut-on utiliser les variables système Windows ?

Oui.

GravityZone documente l'utilisation de variables système dans les chemins d'exclusion.

Par exemple :

%ProgramFiles%
%WINDIR%

Ces variables permettent d'adapter certaines exclusions à la configuration réelle du poste.

Exemple pour la copie temporaire PAExec

Lorsque le champ d'exclusion accepte cette syntaxe :

%WINDIR%\PAExec-*.exe

Cette forme peut être préférable à un chemin fixe lorsque le répertoire Windows n'est pas systématiquement situé sur le lecteur C:.

Recommandation :
Privilégiez les variables système lorsque leur utilisation est compatible avec la règle créée et vérifiez le résultat sur un poste pilote.

14. Peut-on exclure PAExec par son empreinte SHA256 ?

Oui.

Bitdefender GravityZone documente les exclusions de type File Hash utilisant l'algorithme SHA256.

Cette méthode permet d'identifier précisément un contenu binaire donné.

Récupérer l'empreinte SHA256

Sur un poste disposant de l'agent Medulla, ouvrez PowerShell et exécutez :

Get-FileHash "C:\Program Files\Medulla\bin\paexec.exe" -Algorithm SHA256

Exemple de résultat :

Algorithm : SHA256
Hash      : <EMPREINTE_SHA256>
Path      : C:\Program Files\Medulla\bin\paexec.exe

Créer l'exclusion

  1. Ouvrez la configuration des exclusions GravityZone.
  2. Ajoutez une nouvelle exclusion.
  3. Sélectionnez File Hash.
  4. Renseignez l'empreinte SHA256 du fichier vérifié.
  5. Sélectionnez le ou les modules concernés.
  6. Enregistrez la règle.
  7. Appliquez-la aux postes pilotes.
  8. Vérifiez le comportement de Medulla.

Avantage :
Une exclusion par empreinte est plus précise qu'une exclusion fondée uniquement sur un nom de fichier.
Elle permet d'identifier une version particulière du binaire PAExec.

Limites :
Une empreinte SHA256 différente nécessite une nouvelle évaluation de la règle.
Il faut également vérifier que la copie temporaire correspond bien au même contenu binaire.
Bitdefender signale par ailleurs que les exclusions par empreinte peuvent entraîner une consommation CPU supplémentaire liée au calcul des empreintes.

15. Comment vérifier l'empreinte de la copie temporaire ?

Lorsqu'une copie temporaire PAExec est présente sur le poste, son empreinte peut être comparée à celle du binaire source.

Dans PowerShell :

Get-FileHash "C:\Program Files\Medulla\bin\paexec.exe" -Algorithm SHA256

Puis, en adaptant le nom du fichier temporaire :

Get-FileHash "C:\Windows\PAExec-2124-CSE-SDN-ALV-02.exe" -Algorithm SHA256

Si les deux empreintes sont identiques, les deux fichiers ont le même contenu binaire.

Information :
Le fichier temporaire peut être supprimé très rapidement après l'exécution.
Il n'est donc pas toujours possible de récupérer son empreinte après coup.

Attention :
Ne désactivez pas les protections du poste simplement pour conserver une copie du fichier.
Si le fichier est bloqué ou mis en quarantaine, privilégiez les procédures d'analyse et de collecte approuvées par votre équipe de sécurité.

16. Le hash change-t-il après une mise à jour Medulla ?

Il peut changer.

Si le binaire PAExec est remplacé par une version différente lors d'une mise à jour, son empreinte SHA256 sera différente.

Il est recommandé de vérifier l'empreinte après :

  • Une mise à jour majeure de Medulla.
  • Une mise à jour de l'agent Windows.
  • Un remplacement du binaire PAExec.
  • Une nouvelle détection concernant PAExec.

Information :
Une mise à jour Medulla ne modifie pas nécessairement le binaire PAExec.
L'empreinte ne change que si le contenu du fichier est modifié.

17. Peut-on exclure PAExec par processus ?

Oui, GravityZone propose des exclusions de type Process.

Cette méthode doit toutefois être distinguée d'une exclusion de fichier.

Selon la documentation Bitdefender, une exclusion de processus peut concerner les objets auxquels le processus exclu accède, en fonction des modules de protection sélectionnés.

Le chemin du processus source peut être :

C:\Program Files\Medulla\bin\paexec.exe

Une exclusion de processus peut donc avoir une portée plus importante qu'une exclusion ciblée du seul fichier exécutable.

Recommandation :
Pour un blocage portant uniquement sur le fichier PAExec, privilégiez l'étude d'une exclusion de type File ou File Hash.
N'utilisez une exclusion de type Process que si le module responsable et le comportement à exclure ont été clairement identifiés.

18. Peut-on exclure une ligne de commande PAExec ?

Oui, GravityZone documente des exclusions de type Command Line pour Windows.

Cette possibilité peut être intéressante lorsque le blocage concerne une commande particulière plutôt que le fichier lui-même.

Dans le scénario PAExec décrit, un argument pouvant être observé est :

-service

Cependant, cet argument seul ne permet pas d'identifier de manière suffisamment fiable une opération Medulla.

Une éventuelle exclusion par ligne de commande doit donc être construite à partir de la commande complète réellement observée dans les événements de sécurité.

Attention :
N'ajoutez pas d'exclusion générale sur le seul argument -service.
Une telle règle pourrait correspondre à d'autres programmes ou scénarios d'exécution.

19. Quelle exclusion privilégier pour PAExec ?

Le choix dépend du module Bitdefender ayant généré le blocage et des informations disponibles.

Situation Exclusion à étudier Précaution
Blocage du binaire source File sur le chemin exact Limiter au module responsable.
Blocage d'une version connue du binaire File Hash SHA256 Vérifier l'empreinte et sa stabilité.
Blocage d'une copie temporaire au nom dynamique File avec motif PAExec-*.exe Risque d'usurpation du nom ; validation de sécurité nécessaire.
Détection comportementale ATC/IDS Exclusion ciblée adaptée au module Analyser d'abord les événements et la portée réelle de l'exclusion.
Blocage d'une commande particulière Command Line, si applicable Utiliser la commande complète vérifiée.
Plusieurs composants Medulla bloqués Analyse au cas par cas Ne pas exclure automatiquement tout le dossier Medulla.

Approche recommandée :
Commencer par identifier précisément le blocage, puis sélectionner la règle la plus restrictive compatible avec le module concerné.
Valider le résultat sur un poste pilote avant tout déploiement plus large.

20. Faut-il exclure tout le répertoire Medulla ?

Non, pas systématiquement.

Le répertoire principal de l'agent Medulla est généralement :

C:\Program Files\Medulla\

GravityZone permet de créer des exclusions de type Folder.

Cependant, une exclusion de dossier peut couvrir l'ensemble des fichiers et processus présents dans le répertoire et ses sous-répertoires, selon les modules concernés.

Elle est donc plus large qu'une exclusion ciblée du seul binaire PAExec.

Il est préférable de commencer par examiner les chemins suivants :

C:\Program Files\Medulla\bin\paexec.exe
C:\Windows\PAExec-*.exe

Important :
L'exclusion de tout le répertoire Medulla ne doit être envisagée qu'après analyse de plusieurs incompatibilités avérées et validation par l'équipe de sécurité.
Elle ne doit pas constituer la configuration par défaut.

21. Quelles exclusions faut-il éviter ?

Les exclusions suivantes sont fortement déconseillées :

C:\Windows\
C:\Program Files\
C:\
*.exe
**\*.exe

Ces expressions peuvent exclure un nombre très important de fichiers ou de processus.

Elles risquent de réduire fortement l'efficacité des protections antivirus et comportementales.

Il est également déconseillé d'exclure globalement :

  • Tous les processus exécutés sous SYSTEM.
  • Tous les services Windows.
  • Tous les outils d'administration distante.
  • Toutes les détections associées à PsExec ou PAExec.
  • L'ensemble d'une catégorie de menaces sans analyse préalable.

Attention :
Ne désactivez pas globalement les modules Antimalware, ATC/IDS ou Ransomware Mitigation pour résoudre un problème de compatibilité PAExec.

22. Comment appliquer une politique dédiée aux postes Medulla ?

Il est recommandé de créer une politique spécifique pour les postes sur lesquels une incompatibilité PAExec a été confirmée.

Créer ou adapter une politique

  1. Connectez-vous à GravityZone Control Center.
  2. Ouvrez Policies.
  3. Créez une nouvelle politique ou clonez une politique existante.
  4. Ajoutez uniquement les exclusions nécessaires.
  5. Enregistrez la politique.

Affecter la politique

  1. Ouvrez la section Network.
  2. Sélectionnez les postes pilotes concernés.
  3. Ouvrez le menu Actions.
  4. Sélectionnez Assign policy.
  5. Choisissez la politique adaptée.
  6. Validez l'affectation.

Vérifiez ensuite que les postes utilisent effectivement la politique attendue.

Information :
Les exclusions centralisées peuvent être réutilisées dans plusieurs politiques lorsque les profils de configuration correspondants sont disponibles dans GravityZone.

23. Comment vérifier que l'exclusion fonctionne ?

Après application de la politique, effectuez les vérifications sur un poste pilote.

Étape 1 – Vérifier l'état de Bitdefender

Confirmez que :

  • L'agent Bitdefender Endpoint Security Tools est actif.
  • La politique attendue est appliquée.
  • Les protections non concernées par l'exclusion restent activées.

Étape 2 – Tester une opération Medulla

Depuis Medulla, réalisez une opération correspondant au scénario précédemment bloqué.

Selon votre environnement, il peut s'agir :

  1. D'un déploiement d'application.
  2. D'une exécution de script.
  3. D'une action de maintenance.
  4. D'une opération lancée depuis le kiosque applicatif.

Étape 3 – Vérifier le résultat dans Medulla

Contrôlez :

  • Le démarrage de l'opération.
  • Son exécution sur le poste.
  • Son résultat final.
  • Les éventuelles erreurs remontées dans l'historique ou les journaux Medulla.

Étape 4 – Vérifier GravityZone

Contrôlez que :

  • Le fichier PAExec concerné n'est plus bloqué dans le scénario testé.
  • Aucune nouvelle mise en quarantaine n'empêche l'opération.
  • Le module ayant précédemment généré le blocage n'interrompt plus l'exécution légitime.
  • Les autres protections restent opérationnelles.

Validation :
L'exclusion peut être considérée comme fonctionnellement efficace lorsque l'opération Medulla précédemment bloquée se termine correctement et que la cause initiale du blocage ne se reproduit plus.
Cette validation fonctionnelle ne remplace pas l'évaluation de sécurité de l'exclusion.

24. Que faire si PAExec reste bloqué ?

Si le problème persiste après la création d'une exclusion, procédez aux vérifications suivantes.

  1. Confirmez que la politique contenant l'exclusion est bien appliquée au poste.
  2. Vérifiez le chemin exact du fichier détecté.
  3. Contrôlez le type d'exclusion choisi : File, Process, File Hash ou autre.
  4. Vérifiez la syntaxe du chemin et des caractères génériques.
  5. Identifiez le module ayant généré le nouveau blocage.
  6. Vérifiez si l'exclusion s'applique réellement à ce module.
  7. Comparez les heures des événements Bitdefender et Medulla.
  8. Vérifiez si le blocage concerne un autre fichier ou un autre processus.

Exemple

Fichier détecté :

C:\Windows\PAExec-2124-CSE-SDN-ALV-02.exe

Motif d'exclusion à vérifier :

C:\Windows\PAExec-*.exe

Si la règle est correctement appliquée mais que le blocage persiste, le problème peut provenir d'un module de protection différent de celui initialement identifié.

Attention :
N'élargissez pas automatiquement l'exclusion à tous les modules.
Analysez d'abord la nouvelle détection et vérifiez la portée des modifications envisagées.

25. Comment traiter un faux positif Bitdefender ?

Bitdefender dispose d'une procédure officielle permettant de traiter les applications légitimes détectées comme des menaces.

Lorsqu'une opération Medulla est bloquée :

  1. Conservez les informations de détection.
  2. Vérifiez que le fichier concerné provient bien de votre installation Medulla.
  3. Contrôlez son empreinte SHA256.
  4. Vérifiez la correspondance entre l'opération Medulla et l'événement Bitdefender.
  5. Testez une exclusion ciblée si elle est justifiée.
  6. Si le problème persiste, transmettez les éléments nécessaires au support Bitdefender pour analyse.

La documentation officielle Bitdefender décrit également les modalités de collecte et de transmission d'échantillons lorsqu'une application légitime est détectée à tort.

Documentation Bitdefender :
Resolving legitimate applications detected as threats by Bitdefender

26. Peut-on désactiver temporairement Bitdefender pour effectuer un diagnostic ?

Bitdefender documente une procédure de diagnostic consistant à cloner une politique et à désactiver temporairement la protection On-access sur un poste déterminé.

Cependant, cette opération réduit le niveau de protection du poste et ne doit pas être utilisée comme méthode habituelle de résolution des problèmes PAExec.

Elle doit être réservée aux interventions de diagnostic expressément autorisées par l'équipe de sécurité.

Privilégiez d'abord :

  • L'analyse des événements GravityZone.
  • La vérification des chemins et empreintes.
  • La création d'une exclusion ciblée.
  • La consultation des journaux Medulla.
  • L'assistance du support Bitdefender.

Important :
Ne désactivez pas durablement les protections Bitdefender pour permettre le fonctionnement de Medulla.

27. Comment retirer une exclusion devenue inutile ?

Lorsqu'une exclusion n'est plus nécessaire, elle doit être supprimée de la politique ou de la liste d'exclusions correspondante.

Procédure générale

  1. Connectez-vous à GravityZone Control Center.
  2. Ouvrez la politique ou le profil de configuration concerné.
  3. Accédez à la liste des exclusions.
  4. Identifiez la règle à retirer.
  5. Vérifiez les politiques et les postes qui l'utilisent.
  6. Supprimez la règle ou retirez son association à la liste concernée.
  7. Enregistrez les modifications.
  8. Vérifiez leur application sur les postes.

Effectuez ensuite un test Medulla afin de confirmer que le problème de compatibilité ne se reproduit pas.

Bonne pratique :
Conservez un historique des exclusions créées, modifiées ou supprimées, avec leur justification et leur date de validation.

28. Quelles informations transmettre au support en cas de problème ?

Pour faciliter le diagnostic, rassemblez les informations suivantes :

Informations Medulla

  • Version du serveur Medulla.
  • Version de l'agent Windows.
  • Fonctionnalité concernée : déploiement, script, kiosque ou autre.
  • Date et heure de l'opération.
  • Message d'erreur et résultat de l'action.

Informations Windows

  • Version de Windows.
  • Nom du poste concerné.
  • Chemin du fichier PAExec détecté.
  • Événements Windows pertinents.
  • Empreinte SHA256 du binaire source.

Informations Bitdefender

  • Version de Bitdefender Endpoint Security Tools.
  • Version ou environnement GravityZone.
  • Politique de sécurité appliquée.
  • Module ayant généré le blocage.
  • Nom exact de la détection.
  • Action réalisée : blocage, quarantaine ou autre.
  • Exclusions éventuellement configurées.

Recommandation :
Une capture ou un export de l'événement Bitdefender, associé à l'historique de l'action Medulla, constitue généralement un point de départ utile pour le diagnostic.

29. Bonnes pratiques de sécurité

Pour maintenir un bon niveau de protection tout en assurant la compatibilité avec Medulla, nous recommandons :

  • De vérifier chaque détection avant de la considérer comme un faux positif.
  • De privilégier les exclusions ciblées sur un fichier ou une empreinte connue.
  • De limiter les exclusions aux seuls modules concernés.
  • De tester les modifications sur un nombre restreint de postes.
  • De conserver les protections Bitdefender non concernées par le problème.
  • De ne pas exclure globalement le répertoire Windows.
  • De ne pas désactiver les mécanismes de détection comportementale de manière générale.
  • De vérifier les empreintes après une mise à jour de l'agent Medulla.
  • De documenter les exclusions et leur justification.
  • De réévaluer régulièrement les exclusions existantes.
  • De retirer les exclusions devenues inutiles.
  • De conserver une surveillance des exécutions de PsExec et PAExec en dehors des opérations Medulla autorisées.

30. Résumé des éléments techniques

Élément Valeur
Solution de sécurité Bitdefender GravityZone / BEST
Composant Medulla PAExec
Binaire source C:\Program Files\Medulla\bin\paexec.exe
Copie temporaire possible C:\Windows\PAExec-<PID>-<NomPoste>.exe
Motif de chemin à étudier C:\Windows\PAExec-*.exe
Compte d'exécution possible NT AUTHORITY\SYSTEM
Argument de service -service
Composant Medulla concerné scheduling_launch_kiosk.py
Types d'exclusions documentés File, Folder, Process, File Hash, Certificate Hash, Threat Name, Command Line
Empreinte prise en charge SHA256
Caractères génériques *, ?, **, selon les règles de chemin documentées
Modules à examiner On-access, On-demand, ATC/IDS et autres modules indiqués dans la détection
Exclusion déconseillée C:\Windows\ dans son ensemble

31. Quelle procédure suivre en priorité ?

En cas de blocage de PAExec par Bitdefender, nous recommandons la procédure suivante.

Étape 1 – Identifier la détection

Consultez les événements GravityZone et identifiez le fichier, le module et l'action de sécurité concernés.

Étape 2 – Vérifier l'origine de l'exécution

Confirmez que l'opération correspond à une action Medulla autorisée.

Étape 3 – Vérifier le binaire

Contrôlez son chemin et, si nécessaire, son empreinte SHA256.

Étape 4 – Choisir une exclusion ciblée

Selon le problème identifié, étudiez une exclusion de type :

  • File pour un chemin précis.
  • File Hash pour un binaire identifié par son empreinte.
  • File avec caractère générique pour une copie temporaire au nom dynamique, uniquement après évaluation du risque.
  • Autre type d'exclusion lorsque le module responsable le justifie.

Étape 5 – Tester sur un poste pilote

Appliquez la politique uniquement au poste concerné et relancez l'opération Medulla.

Étape 6 – Vérifier le résultat

Contrôlez les journaux Medulla et GravityZone.

Étape 7 – Déployer progressivement

Si les tests sont concluants et que l'exclusion est validée par l'équipe de sécurité, étendez progressivement la politique aux postes concernés.

En résumé :
La compatibilité entre Medulla et Bitdefender GravityZone doit être traitée en identifiant précisément le module responsable du blocage.
GravityZone propose plusieurs mécanismes d'exclusion permettant d'adapter la politique de sécurité.
L'objectif est de rétablir les opérations Medulla autorisées sans créer d'exclusions excessivement larges.

32. Sources et documentation officielle

Les informations relatives à la configuration des exclusions GravityZone proviennent de la documentation officielle Bitdefender.

Gestion des exclusions GravityZone

Bitdefender GravityZone – Exclusions

Documentation de référence pour :

  • La création de listes d'exclusions.
  • Les différents types d'exclusions.
  • Les chemins et caractères génériques.
  • Les variables système.
  • Les exclusions SHA256.
  • La sélection des modules de protection.

Exclusions intégrées aux politiques

Bitdefender GravityZone – In-policy exclusions

Documentation concernant les exclusions configurées directement dans les politiques de sécurité.

Configuration Antimalware

Bitdefender GravityZone – Antimalware

Documentation sur la configuration des modules antivirus et l'affectation des politiques.

Protection On-access

Bitdefender GravityZone – On-access

Documentation concernant l'analyse des fichiers lors de leur accès ou de leur exécution.

Gestion des faux positifs

Bitdefender – Resolving legitimate applications detected as threats

Procédure officielle pour traiter les applications légitimes détectées comme des menaces.

Création et gestion des politiques

Bitdefender GravityZone – Creating policies

Documentation concernant les politiques et les profils de configuration.

Note documentaire :
Les mécanismes PAExec décrits dans cette FAQ correspondent au fonctionnement présenté pour Medulla.
Les procédures de création d'exclusions, les types d'exclusions, les caractères génériques et les modules de protection sont issus de la documentation Bitdefender.
Les chemins PAExec proposés constituent une adaptation au contexte Medulla. Leur pertinence doit être confirmée à partir des événements réellement observés sur les postes concernés.

Back to top