Ceux dont on parle...et le rappel de quelques uns de ceux qui ont sévi l'année dernière, et qui sont sans doute encore vivants...

Quelque soit le programme anti-virus que vous utilisez il est très vivement conseillé de le mettre à jour avec les toutes dernières listes de nouveaux virus . 

Abuse : je rapporte ici, POUR INFO ce qui vient de m'arriver. J'ai reçu pour la première fois un mail de abuse@orange.fr . Il est intéressant de savoir de quoi il retourne. Pour cela cliquer sur ce lien : http://r.orange.fr/r?ref=abuse_vir1&url=http://assistance.orange.fr/1260.php . Pour l'essentiel chaque fournisseur d'accès est censé aviser ses clients s'ils sont l'objet de plaintes nominatives pour transmission de virus. Et en cas de plaintes répétitives la cellule "Abuse" peut prendre des sanctions, rupture de contrat par exemple, voir dans les cas graves transmission aux autorités judiciaires. Orange pour sa part recommande dans le mail que j'ai reçu de faire un scan en ligne à partir d'un lien fourni dans le même message. En l' occurence il s'agit de F Secure. Je l'ai fait et on m'a trouvé 7 virus et 3 logiciels espions qui ont été traités et transmis à Abuse à la fin de la procédure. Un fichier détaillé des opérations et des fichiers infectés est fourni à la fin du scan.

Je note pour ma part : que je n'avais préalablement eu aucun message d'alerte de AVAST, et que mon système fonctionnait normalement, et fonctionne toujours de même après ce "traitement". A suivre.

UPS : notre ami Alain BADAROUS vient de se faire pièger et me demande de faire passer l'information : si vous recevez un mail de UPS vous "informant" que l'on n'avait pas pu vous livrer un colis parce que l'adresse était inexacte, détruisez le message et surtout n'ouvrez pas la pièce jointe. Deux choses à noter à la suite de cet incident : AVAST est un bon anti-virus. Mais il n'est pas inutile de dire une fois de plus qu'il faut SAUVEGARDER en permanence pour ne pas perdre ses données.

Win 32 Trojan-gen(other) et Backdoor Generic-1626 : touché le 10/06/08 par ces deux virus, plus exactement "logiciels espions"(en anglais "spyware"). A noter ceci : AVAST a bien détecté les fichiers infectés par le premier mais pas par le second. Très significatif aussi, le comportement de ce type de virus. Ils sont "dormants" et se manifestent à l'activation du programme dans lequel ils sont "logés". A la suite de cette infection, après mise en quarantaine des fichiers infectés j'ai dû désinstaller complètement trois programmes touchés par Win 32 Trojan-gen(other). Je n'ai trouvé aucun "removal tool", outil de suppression, pour ce virus. Donc il "dort" toujours...Le 2ème, Backdoor Generic-1626, non détecté par AVAST, l'a été par Dr Web (voir 2 articles en dessous) que je recommande vivement, de plus gratuit. Dans ce cas les fichiers touchés se trouvaient dans le dossier RESTORE de Windows. Dans ce cas notez la conduite à tenir : une fois les fichiers infectés mis en quarantaine ou supprimés, rebooter et créer un nouveau point de restauration, car les points précédents ne pourront plus servir.

Important : on peut avoir plusieurs logiciels de détection des virus et des trojans. Citons par exemple Ad-Aware, Spybot, DrWeb, Windows Defender, mais ils ne doivent pas être actifs en même temps. On doit donc les configurer pour qu'ils ne soient pas activés en permanence. Seul 1 anti-virus principal est en veille permanente.

Notez aussi ceci : à l'expérience la cause principale d'infection par les spywares est bien le téléchargement ou le piratage de softwares (logiciels) sur internet. Méfiance...

Trojans Win32:Horst : encore lui, ou plutôt eux, car il y plusieurs versions...voir les 2 articles ci-dessous. Je viens à nouveau d'être infecté par ce trojan. J'ai découvert cette infection sur un CD de sauvegarde et je crois utile de rapporter ici les curieux symptômes de cette infection : s'agissant d'un CD ordinaire de 700 MO les propriètès du lecteur faisaient état d'un espace libre et d'une taille totale de 7,99 TO (tétra-octet)...Une autre caractéristique de ce virus : un fichier "setup.exe" de 48 ko, est présent dans tous les répertoires.

Trojan.downloader.17000, 17576, 17600, etc, etc...:  cette information est "sous toute réserve", c'est mon expérience personnelle d'il y a quelques jours; j'utilise 2 anti-spam, Ad-Aware et Spybot (+ ant-virus AVAST) qui ne me trouvent jamais rien d'anormal. J'ai découvert par hasard ce site Dr Web  http://www.drweb.fr/  qui offre gratuitement un outil de désinfection sous forme d'un fichier téléchargeable de 5,35 MO, cureit.exe. Pas d'installation. J'ai exécuté ce fichier (le scan est assez long, pour moi environ 1 heure). Résultat : une dizaine de trojans, 54 fichiers infectés, la majorité par Trojan.downloader.17...., les 3/4 situés dans les répertoires RESTORE de Windows. A suivre. Je suis preneur de toute information de la part de ceux qui feront l'expérience.

Trojans Win32:Horst (SUITE):  j'ai trouvé. Le site Symantec ci-après http://www.symantec.com/security_response/writeup.jsp?docid=2006-113015-3846-99&tabid=3 donne les renseignements et les valeurs de la base de registre qu'il faut effacer. C'est valable même si l'on utilise un autre anti-virus que Norton. Ne pas oublier de désactiver momentanément la restauration du système. Reste à savoir si cela est valable pour toutes les versions du Trojan (EA, DZ, EB,  etc   )  

Trojans Win32:Horst-EA  -DZ   -EB : Mon expérience personnelle récente : 13/12/06. 78 fichiers infectés détectés et supprimés par AVAST sur mon ordinateur principal, 86 sur mon ordinateur n°2 en réseau. Tous les fichiers infectés se trouvaient dans C:\local settings\Guy\Temp, moins 1 qui se trouvait dans un sous répertoire du répertoire C:\system volume information. Cette précision a son importance car ce répertoire est celui qui conserve les informations RESTORE de Windows XP. A noter que ce répertoire "system volume information" est un fichier protégé du système et qu'il n'est pas visible par défaut. Pour le voir, dans le poste de travail il faut faire "outils / options des dossiers" et décocher "masquer les fichiers protégés du système". Dans mon cas, et seulement sur mon ordi n°1, AVAST a a aussi détecté que la mémoire était infectée et m'a recommandé de scanner APRES reboot, ce que j'ai fait. A suivre. Très ennuyeux car les renseignements au sujet de ces trojans sont : capture de codes depuis internet, enregistrement des frappes au clavier, réduction de la sécurité, s'installe lui même dans la base de registre, etc...A noter qu'il n'est pas détecté par Ad-aware (anti spyware).

Win fixer : plusieurs membres du club nous ont rapporté une infection par ce Trojan. Une des manifestations connue est un assaut de pages et messages publicitaires et des perturbations majeures dans Word. Un site web, en anglais, fait le point à ce sujet : www.remove-winfixer.com  . Il semble qu'un programme Winfixer s'installe à l'insu de l'utilisateur et qu'il est possible de le supprimer tout simplement en allant dans Panneau de config / Ajout suppression de programmes. S'il ne figure pas dans la liste des programmes, le site cité ci-dessus préconise de télécharger un utilitaire XoftSpy SE qui le détectera et le supprimera. Pour ce faire il faudra acheter la licence, environ 10 Euros.

Anti-virus AVAST : nous avons maintenant un peu plus de recul au sujet de cet anti-virus gratuit. Il semble donner toute satisfaction. Il paraît  aussi efficace que NORTON ou McAfee VIRUSCAN et il est pour l'instant totalement gratuit. Il est seulement demandé de s'enregistrer en ligne une fois par an sur le site WWW.AVAST.COM  .

W32.Mytob : ce virus arrive par un courrier soi-disant de Wanadoo qui vous menace de suspendre ou annuler votre compte si vous ne remplissez pas un questionnaire ...

Fausse barre Google : méfiance, c'est une proposition de CoolWebSearch...

Sober-O et P : si vous recevez un courrier vous proposant de vous reconnaître sur une vieille photo de classe...c'est une variante du virus Sober N qui en 2005 a infecté des milliers d'ordinateurs dans 40 pays en proposant des billets pour le Mondiale du foot en Allemagne en 2006.

Images JPG piègées : Lu sur ce site : http://www.infos-du-net.com/ : "Cette année a vu apparaître une nouvelle sorte de virus. Cachés dans des fichiers images .jpg, il suffisait d'afficher ces images pour être infecté. Andrey Bayora, un chercheur indépendant, souhaitait savoir si les éditeurs avaient réellement pris en compte cette nouvelle menace en soumettant à 23 antivirus un fichier jpeg infecté. Le résultat de ces tests fut plus que troublant : sur les 23 antivirus testés, seul Norton Antivirus a trouvé le virus tandis que les autres l'ont laissé passer. Parmi les 22 perdants, on trouve pourtant de grands noms comme McAfee, Sophos, Trend Micro ou encore Kaspersky Antivirus.

La menace n'est pourtant pas si minime qu'on le pense. Durant toute l'année 2004, de nombreuses failles ont été découvertes et exploitées par les "pirates" tant sous Windows que sous Linux. Les maisons d'édition seraient-elles en train de reproduire la même erreur avec les jpeg piégés qu'avec les spywares qu'elles ont mis de côtés pendant des années ? "

Scob : A ce jour 03/07/04 c'est tout ce que l'on sait. C'est un cheval de Troie pour lequel il n'existe pas de correctif à ce jour. Il serait particulièrement "au point" pour intercepter les données bancaires et les mots de passe. La présence de ces 2 fichiers : kk32.dll et surf.dat signalerait une machine infectée. A bon entendeur salut...Dernière minute : McAfee Viruscan a identifié le virus et sait l'éradiquer. La définition de virus doit être à jour du 02/07/04

W32.Sasser.Worm : Cadeau du 1er Mai. C'est un cheval de Troie. Il arrive par Internet. Il ferme et rallume votre ordinateur toutes les 3 minutes. Même si vous n'êtes pas encore touché, téléchargez l'outil d'éradication de suite à cette adresse en cliquant ici :  http://securityresponse.symantec.com/avcenter/Fx.Sasser.exe

Trojan.ByteVerify et Trojan.StartPage : je ne sais pas s' il y a un rapport entre ces 2 virus (il s'agit là en fait de "cheval de Troie" - c'est une forme de virus/programme suite à une intrusion via Internet, et non via le courrier électronique). Mon anti-virus Norton a arrêté 6 fichiers infectés, non réparables, et la méthode préconisée sur le site Norton pour éradiquer le virus s'est avérée inefficace. Les conséquences immédiates sont les suivantes : la page d'accueil que j'avais choisie, en l'occurrence la page index du site du club, a été remplacée par une page "about:blank" (???) se présentant comme un moteur de recherche, et la barre Google que j'avais installée a disparu. J'ai récupéré ma page d'accueil mais j'ai abandonné mes recherches pour retrouver la barre Google, j'en suis navré car elle est très efficace pour les pop-up (fenêtres parasites pendant la navigation internet). Cette expérience me permet de donner ci-après certaines indications concernant un retour (partiel) à la normale, et les symptômes de l'infection :

-dans ce cas j'ai utilisé avec succès le logiciel Ad-aware dont j'ai parlé récemment (voir http://perso.wanadoo.fr/micaero/conseils.htm ) ; il détecte les instructions suspectes dans la base de registre de Windows. Voici une liste de "choses" qu'il ne faut pas avoir sur son disque dur ou dans la base de registre :

        - Avenue Média, Internet Optimizer, DyFuCa, MoneyTree/DyFuCa, nem207.dll, nem204.dll, wsem210.dll, iopti130.dll, about:blank, search123.com, ActivAlert,

Note : ne pas oublier de faire un backup de la base de registre avant de modifier ou de supprimer des instructions

W32/Beagle@mm  : dernier arrivé..., apparemment sans conséquence sur le système, mais recrudescence de spam dans les e-mails.

W32/Netsky.B@mm  etc ...on en est à la lettre R ... tout l'alphabet va y passer... (Un outil unique existe sur le site Norton)

W32/Nachi.worm.B  (nom Mc Afee) ou  W32/Welchia.worm  (nom Norton) . Plusieurs fichiers Windows XP infectés sur l'un des ordinateurs de la salle de cours du club + apparemment neutralisation de Viruscan. A cette occasion il faut noter que les instructions sur les sites internet des Anti-virus précisent que la réparation avec les outils fournis ne peut être définitive que si les mises à jour de sécurité de Microsoft (lesquelles ???) ont été préalablement installées. D'où la consigne de configuration automatique de mise à jour par Windows Update.(voir plus bas W32.Blaster.worm)               

W32.Novarg.A@mm : 26 Janv 04 - Ainsi nommé par Norton; Nom Viruscan Mc Afee : W32/Mydoom@MM . Imparable. Arrive avec le courrier et contamine le disque immédiatement. Le seul remède est l'outil (removal tool) à télécharger sur le site de l'anti virus. (Sous XP ne pas oublier de désactiver la restauration du système avant de lancer le nettoyage,... et de la réactiver après.)

Download.trojan : 10 Nov. 03 - Un autre... particularité : les antivirus ne le répare pas, il n'y a pas de fichiers infectés visibles portant ce nom. Méthode : booter en mode sans échec, lancer l'anti-virus et analyser tous les fichiers. Quelque soit le résultat, toujours en mode sans échec faire "rechercher" les fichiers "download.trojan". Cette fois il y en a. Les supprimer. (Sous XP ne pas oublier de désactiver la restauration du système avant de lancer le nettoyage,... et de la réactiver après.)

W32.Swen.A@mm : 19 Sept. 03 - Un de plus...Télécharger FixSwen.exe sur le site Symantec/Norton Anti-virus. Sous XP ne pas oublier de désactiver la restauration du système avant de lancer le nettoyage,... et de le réactiver après.

Worm.Automat.AHB : Sept. 03 - Un e-mail vous invite à mettre à jour Windows avec un fichier joint "Update 4628.exe". N'ouvrez pas, jetez...Notre ami HAUTIER a dû réinstaller Windows XP sur son portable qui était devenu complètement inutilisable.

W32.Blaster.Worm : Attention utilisateurs de Windows XP... détecté le 12/08/03. Les abonnés Wanadoo ont reçu un e-mail à ce sujet pour se connecter de toute urgence sur http://assistance.wanadoo.fr/reponse640.asp  ou http://www.microsoft.com/france/securite/alertes/blaster.asp pour prendre les mesures qui s'imposent  MEME SI VOUS N'ETES PAS CONTAMINE. Il semble bien qu'il faille retenir de cette attaque : qu'il est nécessaire sous Windows XP d'activer le Firewall de la connexion internet spécialement si vous êtes en ADSL ; de télécharger et d'appliquer le Correctif de Sécurité Windows XP cité dans les pages internet dont adresses ci-dessus; et évidemment de disposer d'un programme anti-virus  A JOUR.

C'est un virus...sans en être un : le "hoax", mot anglais qui signifie canular. Il vise toujours à perturber le réseau et consiste souvent à faire circuler un e-mail en chaine du genre "si vous avez ce fichier (généralement un fichier Windows) supprimez le car il va détruire votre disque dur, et transmettez à tous les destinataires de votre' carnet d'adresses...". La conduite à tenir : ne rien supprimer, ne rien transmettre, effacer le message.

W32Nimda@mm(dll). Touché : Guy LEDOUX. Arrèté par Norton Anti-virus lors d'un téléchargement depuis le site de Microsoft . Un fichier infecté (riched20.dll) non réparable, mis en quarantaine.  Idem le lendemain sur ce site Networkhttp://www.pcstats.com/articleview.cfm?articleID=641 alors que je ne faisais aucun téléchargement : W32.HLLW Bymer. Fichier infecté : Wininit.exe, non réparable, mis en quarantaine. Curieusement dans l'un et l'autre cas l'ordinateur redémarre normalement. Les fichiers touchés existent toujours à leur place d'origine. Les fichiers correspondants mis en quarantaine par Norton sont de tailles différentes. ????? ....qui peut m'expliquer ? 

Content.bat (110 k) : nom du fichier joint à un message dont l'objet était : "This EULA grants you no rights", et le texte entre autre : "par \plain\f2\fs16\cf0\b 3.\tab PRE\RELEASE CODE.\p...etc " C'était bien un virus détecté par Viruscan, (mais je ne sais pas sous quel nom) dont un des effets consistait notamment à rendre les icones du bureau Windows insaisissables... 

VBS.tam.A : nouvelle variante de Mélissa, Love.letters, etc, détecté sur mon disque dur par NORTON Anti Virus lors d'un scan "tous fichiers". Semble provenir du circuit de la Généalogie (infos disponibles : Roland DEBAERE) . Génère sur certains ordinateurs (pas sur tous) des fichiers out.hta et tam.hta. Se propage par le courrier. Personnellement a infecté le fichier "éléments supprimés.dbx" d'Outlook Express. Non réparable. Mis en quarantaine. Bien qu'identifié par NORTON comme s'attaquant aux fichiers programmes n'est pas détecté automatiquement au boot. Nature et étendue des dégâts inconnus. (de moi en tous cas...). GL

2°/ autre forme du précédent : W32.Magistr.@corrupt , plus grave. Il est également identifié par NORTON, mais pas complètement éradiqué. Personnellement j'ai eu 47 fichiers infestés, NORTON en a réparé 46 et mis un en quarantaine. Il s'agissait d'un .EXE. J'ai dû désinstaller et réinstaller le programme.