Publié le 10-01-2006 à 00:00:00 dans le thème Virus - Antivirus

Pays : International - Auteur : Damien Bancal

Pub : CA Personal Firewall 2007 - Contrecarrez les intrus!

Analyse, cette semaine, de trois menaces codes malicieux prêts à frapper votre ordinateur : WMFMaker, Gaobot.LTL et Mytob.MF. WMFMaker est un programme utilisé pour créer des images WMF (Windows MetaFile) qui exploitent une faille critique dans le moteur Graphics Rendering Engine. La vulnérabilité réside dans la prise en charge de Windows 2003/XP/2000/Me/98 des fichiers WMF (Windows Meta File) et par conséquent, toutes les applications utilisant ce format sont susceptibles d’être affectées, par exemple Internet Explorer et Microsoft Outlook. WMFMaker peut être utilisé pour créer des images contenant toute sorte de code malicieux (cheval de Troie, ver ou tout autre malware) dans l’ordinateur touché par cette faille.

WMFMaker est conçu pour fonctionner depuis la ligne de commande, en incluant le chemin d’accès à l’outil et au fichier exécutable qui va être inclus dans l’image WMF et se lancer si la vulnérabilité est exploitée. Ce faisant, un fichier avec une extension .wmf est généré avec un nom variable, allant de evil.wmf au nom de l’exécutable inclus dans celui-ci.

Mytob.LX ouvre alors une porte dérobée pour se connecter à un serveur IRC et recevoir des commandes de contrôle. Ce ver stoppe également différents processus actifs dont des processus relatifs à des solutions antivirus. Il modifie le fichier qui l’héberge pour empêcher l’utilisateur d’accéder à des sites web d’éditeurs de solutions de sécurité. Les images malicieuses WMF créées par WMFMaker peuvent être distribuées de différentes façons, par exemple, en les hébergeant dans une page web et en persuadant des utilisateurs de les ouvrir. Si la victime utilise Internet Explorer, le code sera activé automatiquement lorsqu’il accèdera à la page web. Cependant, s’il utilise un autre navigateur, l’utilisateur sera averti que le fichier va être téléchargé.

Sous la pression des utilisateurs et les recommandations des éditeurs antivirus et des spécialistes de la sécurité, Microsoft a finalement anticipé la publication de son patch pour corriger cette vulnérabilité, qui devait initialement sortir le 10 janvier, en même temps que ses autres correctifs. Entre-temps on a pu déplorer l’infection de très nombreuses machines par cheval de Troie notamment.

La seconde menace étudiée dans notre rapport de cette semaine est Gaobot.LTL, un ver qui se propage par les moyens suivants : Internet en utilisant les vulnérabilités LSASS, RPC DCOM, WebDAV et UPnP, les réseaux utilisant des logiciels de peer-to-peer (P2P) d’échanges de fichiers, AOL Instant Messenger (AIM) et IRC.

Gaobot.LTL se connecte à plusieurs serveurs IRC pour recevoir des commandes à distance (afin de voler les mots de passe présents sur l’ordinateur, lancer des attaques de déni de service, scanner des adresses IP, etc.). Il empêche également les utilisateurs d’accéder aux sites Internet des éditeurs de solutions de sécurité informatique, il est par conséquent possible que les programmes antivirus ne puissent pas se mettre à jour, laissant l’ordinateur vulnérable face à d’autres programmes malveillants.

Le rapport se termine avec Mytob.MF, un ver permettant des envois en masse de courriers électroniques et qui atteint les ordinateurs par un message à caractéristiques variables contenant un fichier joint nommé Abuse_Seport.zip. Ce ver utilise des techniques d’ingénierie sociale pour se propager vers le plus grand nombre d’ordinateurs possible. Plus précisément, le message porteur de ce ver se propage en prenant la forme d’un email provenant d’un service de réclamations accusant les destinataires de mener des activités illégales depuis leurs ordinateurs.

Lorsque l’on décompresse et ouvre le fichier Abuse_Seport.zip, Mytob.MF s’installe sur l’ordinateur et mène diverses actions comme la recherche d’adresses emails dans différents types de fichiers puis l’envoi d’une copie de lui-même à ces mêmes adresses. Il interrompt les processus des différents programmes de sécurité chargés dans la mémoire et empêche l’utilisateur d’accéder à certaines pages, notamment les sites Internet des éditeurs d’antivirus. (Panda Software)

Trojan.Silentbanker

Plus discret et plus intelligent, Trojan.Silentbanker ou le cheval de Troie qui ferait pâlir d´envie Ulysse et Jesse James.

Musique gratuite pour téléphone portable

Le constructeur finlandais Nokia va mettre en place, jeudi prochain, son offre de musique illimitée sur mobile.

Consortium Actimize

Pour lutter mondialement contre les fraudes à la carte de paiement, Actimize se dote d´une nouvelle technologie d´analyse et acquiert les droits d´exploitation de données issues d´un consortium représentant des milliards de transactions.

Les faux anti-spyware innondent le web !

Une nouvelle menace qui risque de s´amplifier dans les mois à venir : les faux anti-spyware. Ces attaques passaient jusqu´alors inaperçues. Aujourd´hui, elles prennent une tout autre dimension.

Protection antivirus et sauvegarde

Les solutions antivirus ESET NOD32 et ESET Smart Security s´associent à Carbonite afin d´offrir à tout nouvel utilisateur ESET, la sauvegarde en ligne de leurs données pendant 1 an.

Dictao présente son portail de signature électronique

Dictao, éditeur de référence de produits logiciels pour les applications de dématérialisation des flux reposant sur la signature électronique, sera présent aux Assises de la Sécurité 2008, à Monaco.

Prévention contre les fuites de données

La prévention contre les fuites de données de Websense est désormais disponible pour les postes de travail, avec une intégration à la passerelle de sécurité Internet.

Une nouvelle utilisation simultanée de plusieurs techniques de spams

Les spammeurs tentent de piéger les utilisateurs en les poussant à confirmer la validité de leur adresse e-mail.

Trojan.Silentbanker

Plus discret et plus intelligent, Trojan.Silentbanker ou le cheval de Troie qui ferait pâlir d´envie Ulysse et Jesse James.

Les faux anti-spyware innondent le web !

Une nouvelle menace qui risque de s´amplifier dans les mois à venir : les faux anti-spyware. Ces attaques passaient jusqu´alors inaperçues. Aujourd´hui, elles prennent une tout autre dimension.

Protection antivirus et sauvegarde

Les solutions antivirus ESET NOD32 et ESET Smart Security s´associent à Carbonite afin d´offrir à tout nouvel utilisateur ESET, la sauvegarde en ligne de leurs données pendant 1 an.

Online Backup de F-Secure

Le nouveau service de sauvegarde en ligne illimitée de F-Secure est disponible pour les FAI.

EeePC infecté en usine par un virus informatique

Le grand frêre du petit portable d'ASUS, le EeeBox, infecté par un virus lors de sa fabrication.

BitDefender rejoint l´association ELA dans son combat contre la leucodystrophie

BitDefender, annonce son engagement auprès de l´association ELA dans son combat contre la leucodystrophie.

Piége électronique sur le site de DJ Verano

Une des stars de la scène elecro, DJ Verano, se fait pirater son site Internet. Un virus serait passé par là.

Neosploit is not dead

Découverte : Neosploit n´a pas disparu. Démonstration d´une stratégie astucieuse avec la mise en place de Neosploit 3.1

Réagissez à ce contenu