Publié le 22-02-2005 à 00:00:00 dans le thème Virus - Antivirus

Pays : International - Auteur : Damien Bancal

Pub : Découvrez les Labs ZATAZ

Cette semaine, le rapport de Panda Software analyse les virus et les intrusions Mydoom, AO et AM, deux variantes de Gaobot, DAC et CYK, et Bropia.J.

Mydoom.AO, apparu en milieu de semaine, a une capacité à se propager bien plus rapidement et à plus grande échelle que la plupart des virus. Ceci est principalement lié au fait qu’il utilise Google, Altavista, Yahoo et Lycos pour chercher des adresses mail auxquelles il se transfert. Afin de tromper les utilisateurs, il envoie des emails qui se font passer pour des messages d’erreur de distribution.

Les messages transportant Mydoom.AO incluent une pièce jointe, qui contient le code du ver, avec une des extensions suivantes : ZIP, COM, SCR, EXE, PIF, BAT ou CMD. Si l’utilisateur exécute le fichier attaché, le ver crée plusieurs copies de lui même sur l’ordinateur affecté sous le nom JAVA.EXE, et cherche des adresses mail dans le carnet d’adresses Windows, dans les fichiers Internet temporaire et dans les fichiers portant certaines extensions. Puis il sélectionne les noms de domaine des adresses qu’il a collectées et les entre comme un terme de recherche dans Google, Altavista, Yahoo et Lycos. Ensuite, Mydoom.AO se transfert à toutes les adresses trouvées. Ce ver crée également plusieurs entrées dans le registre Windows afin de s’assurer qu’il sera exécuté à chaque démarrage de l’ordinateur.

La seconde variante de Mydoom de ce rapport est la variante AM, qui se propage dans des messages email aux caractéristiques variables et via les applications P2P de partage de fichiers KaZaA, Morpheus, eDonkey2000, iMesh et LimeWare.

Sur les ordinateurs qu’il infecte, Mydoom.AM met fin aux processus appartenant à certains outils de sécurité, tels que les programmes antivirus et les firewalls, laissant ainsi l’ordinateur affecté vulnérable face à d’autres attaques de malwares.

Ce ver modifie également le fichier HOSTS, afin d’empêcher l’accès aux sites web de plusieurs sociétés éditrices d’antivirus et met fin aux processus appartenant à d’autres vers, tels que Netsky, Bagle, Sobig et Blaster.

Gaobot.DAC et Gaobot.CYX sont deux vers qui utilisent plusieurs moyens de propagation, dont les suivants :
- Ils effectuent des copies d’eux-mêmes dans les ressources réseau partagées auxquelles ils réussissent à accéder.
- Pour se propager via Internet, ils exploitent des failles de sécurité, telles que les vulnérabilités LSASS et RPC DCOM, pour lesquelles Microsoft a déjà sorti les correctifs permettant de les corriger.

Les variantes DAC et CYX de Gaobot intègrent des caractéristiques de backdoor qui permettent à des hackers de prendre le contrôle à distance de l’ordinateur affecté et de mener des actions telles que l’exécution de commandes, le téléchargement et l’exécution de fichiers, l’enregistrement de saisies clavier, le vol de diverses informations de l’ordinateur, le lancement d’attaques par déni de service distribuées, etc.

Nous terminerons ce rapport avec Bropia.J, un ver qui se propage via MSN Messenger. Lorsqu’il est exécuté, ce code malicieux tente d’afficher une page HTML qui contient un lien vers une certaine page web afin d’afficher une image. Par ailleurs, Bropia.J empêche l’utilisateur d’accéder aux Tâches planifiées et à l’éditeur du Registre Windows (le fichier REGEDIT.EXE).

Tweet

L´ANSSI recrute de manière originale

06-02-2012 à 19:16 - 0 commentaire(s)

INFO ZATAZ - L´Agence Nationale de la Sécurité des Système d'Information lance un recrutement fort sympathique pour les amateurs de chiffrement.

Nouvelle attaque à l´encontre des clients du Crédit Agricole

05-02-2012 à 10:43 - 0 commentaire(s)

INFO ZATAZ - Nouvelle tentative de vol de données bancaires appartenant aux clients de la banque française Crédit Agricole.

Sauvegarde des conversations téléphoniques pour France télévision

04-02-2012 à 11:42 - 0 commentaire(s)

INFO ZATAZ - Un document intéressant mis à jour sur Internet visant les sociétés souhaitant faire du business avec France Télévision.

Faille sur le site Wikileaks

04-02-2012 à 11:27 - 0 commentaire(s)

INFO ZATAZ - Une faille sur le site Wikileaks permet d´afficher n´importe quoi, donc de fausses informations, sur le portail international d´information.

Piège sur Facebook

04-02-2012 à 10:59 - 0 commentaire(s)

INFO ZATAZ - Un escroc se fait passer pour Coca Cola, sur Facebook, afin de mettre la main sur vos données privées.

Arnaque aux logements

04-02-2012 à 10:53 - 0 commentaire(s)

INFO ZATAZ - Depuis quelques heures, un escroc tente de louer de faux appartements en région parisienne. ZATAZ vous l´a délogé.

Une conférence téléphonique du FBI piratée par des Anonymous

04-02-2012 à 10:21 - 1 commentaire(s)

INFO ZATAZ - Une conférence téléphonique entre FBI et plusieurs polices européennes, dont la France, au sujet des Anonymous, interceptée.

La Ville de Chambéry corrige une fuite de données

04-02-2012 à 10:05 - 1 commentaire(s)

INFO ZATAZ - Avec l´aide du CERTA, le site Internet de la ville de Chambéry bouche une fuite de données concernant les administrés de cette commune Française.

Des jeux en ligne pour enfants attendrissants mais infectés de virus

Les jeux online pour enfants ne sont pas sans danger. Plus de 60 sites infectés au cours des 30 derniers jours.

Le Cheval de Troie Carberp Cible les Abonnés de la Freebox

Un code malveillant s´invite chez les clients Free afin de leur ponctionner leurs données bancaires.

Un virus exploite Facebook pour faire des petits

Un virus informatique passe par quelque 45.000 comptes Facebook pour se reproduire.

Un site d'Amnesty International hacked

Le site britannique de l'ONG Amnesty International, AOL et DailyMail exploites dans la diffusion d'un logiciel espion.

Zero day pour Yahoo Messenger

Un nouvel exploit de type 0day sévit sur Yahoo! Messenger en modifiant les statuts des utilisateur… et diffuse bien sûr des malwares !

Un nouveau virus Facebook s´attaque à vos données bancaires

Un virus informatique, diffusé par Facebook, installe le bot Zeus. Un code malveillant qui s´intéresse à vos données bancaires.

Infiltrations en cours, prudence

Plusieurs centaines de sites web exploités dans une infiltration informatique via un kit pirate datant du 18 novembre dernier.

Un outil gratuit pour tuer le bot TDSS

Le bot TDSS (Pihar, Sst...) vient de voir débarquer son pire ennemi via un logiciel gratuit dédié à le détruire.

Réagissez à ce contenu