Virussomania

4 décembre 20074 décembre 2007 Virussomania - Club informatique Saintongeais - Patrice LASSALLEVirussomania - Club informatique Saintongeais - Patrice LASSALLE Page Page 11


PlanPlan Introduction : Origine des VirusIntroduction : Origine des Virus Définition sommaireDéfinition sommaire Vecteurs d’infectionVecteurs d’infection Anatomie d’un Virus génériqueAnatomie d’un Virus générique Principales Menaces actuellesPrincipales Menaces actuelles Les parades actuellesLes parades actuelles conclusionconclusion


Introduction : Introduction : De l’Origine des VirusDe l’Origine des Virus

Guerre froide (années 50)Guerre froide (années 50) 1960 : Théorisation 1960 : Théorisation (John Von Neumann - Mathématicien)(John Von Neumann - Mathématicien) de de

l’autoreproduction des programmes informatique)l’autoreproduction des programmes informatique)

puis avec Core Wars un jeu de compétition entre codes destructeurspuis avec Core Wars un jeu de compétition entre codes destructeurs

Vengeance personnelleVengeance personnelle Espionnage et agression industrielleEspionnage et agression industrielle Sport intellectuelSport intellectuel Positionnement en tant que spécialistePositionnement en tant que spécialiste Connerie bête et méchante pure et simpleConnerie bête et méchante pure et simple Mais de plus en plus…Economie souterraine !Mais de plus en plus…Economie souterraine !


Définition sommaireDéfinition sommaire Un virus est un programme Un virus est un programme

informatique, porteur ou transporteur informatique, porteur ou transporteur d’informations pouvant revêtir une d’informations pouvant revêtir une forme agressive.forme agressive.

Le terme de Virus est normalement Le terme de Virus est normalement réservé aux programmes capables de réservé aux programmes capables de s’auto reproduire sur tous les médias s’auto reproduire sur tous les médias rencontrés.rencontrés.

Il est ICI utilisé Il est ICI utilisé génériquementgénériquement pour pour tout type de vecteur implanté agressif tout type de vecteur implanté agressif ou passifou passif


Vecteurs d’infectionVecteurs d’infection

Tous médias transportablesTous médias transportables CDCD DisquetteDisquette DVDDVD Disque DurDisque Dur Carte mémoireCarte mémoire Etc.Etc. Etc.Etc.


Vecteurs d’infectionVecteurs d’infection Toutes connexionsToutes connexions

RéseauRéseau InternetInternet USBUSB WifiWifi Etc.Etc. Etc.Etc.

Mais aussi maintenant :Mais aussi maintenant : Smartphone et terminaux TPH mobilesSmartphone et terminaux TPH mobiles Et GPS…Et GPS…(équipés de RFID (Radio Fréquency IDentification)(équipés de RFID (Radio Fréquency IDentification)


Vecteurs d’infectionVecteurs d’infection

ET VOUS !!!!!ET VOUS !!!!!


Anatomie d’un Virus Anatomie d’un Virus génériquegénérique

ModuleModule

d’agressiond’agression

VIRUS GENERIQUEVIRUS GENERIQUEModuleModule

d’infectiond’infection

Module deModule de

réplicationréplication

Module deModule de masquagemasquage

Polymorphie Polymorphie / Furtivité/ Furtivité

Module Module Modification Modification

BDRBDR

Module de Module de compression compression des donnéesdes données

Module Module d’envoi des d’envoi des

donnéesdonnées

Module deModule de

connexionconnexion


Principales Menaces actuellesPrincipales Menaces actuelles Les virus et Bombes logiquesLes virus et Bombes logiques Les Chevaux de TroieLes Chevaux de Troie

Les Trojans ouvrant des portes dérobées ou Backdoors Les Trojans ouvrant des portes dérobées ou Backdoors (avec BackOrifice et Netbus)(avec BackOrifice et Netbus)Actuellement gestion des « PC Zombie » Actuellement gestion des « PC Zombie » (attaques simultanées des sites marchands ou administratifs mais (attaques simultanées des sites marchands ou administratifs mais

aussi campagne de Spam)aussi campagne de Spam) Les vers Les vers (en 88, le ver Morris, la première catastrophe du genre)(en 88, le ver Morris, la première catastrophe du genre)

Du Cookie au Spyware puis du Spyware au Malware Du Cookie au Spyware puis du Spyware au Malware (avec optimisation de leur action par utilisation simultanée de (avec optimisation de leur action par utilisation simultanée de plusieurs failles et utilisation de Keyloggers)plusieurs failles et utilisation de Keyloggers)

Le Phishing ou hameçonnage Le Phishing ou hameçonnage (extrapolation des Keyloggers)(extrapolation des Keyloggers)

Les Rootkits (Les Rootkits (maîtres dans l’art d’effacer toute trace de leur maîtres dans l’art d’effacer toute trace de leur présence, qui après avoir colonisés le noyau même de l’OS s’en présence, qui après avoir colonisés le noyau même de l’OS s’en prennent maintenant au BIOSprennent maintenant au BIOS))

Etc.Etc.


Attention !Attention !Nous sommes passésNous sommes passés

Du Dilettantisme au Crime Du Dilettantisme au Crime organiséorganisé

Inquiétude liée à l’arrivée sur le marché de Inquiétude liée à l’arrivée sur le marché de vraies organisations de trafiquants vraies organisations de trafiquants d’informations capables de produire des codes d’informations capables de produire des codes viraux sophistiqués.viraux sophistiqués. Le Le phishingphishing (contraction des mots anglais (contraction des mots anglais

« « fishingfishing », en français », en français pêchepêche, et « , et « phreakingphreaking », », désignant le désignant le piratage de lignes téléphoniquespiratage de lignes téléphoniques), traduit ), traduit parfois en « parfois en « hameçonnagehameçonnage », n’est pas pratiqué par », n’est pas pratiqué par des individus isolés. des individus isolés. C’est une technique d'«C’est une technique d'«ingénierie socialeingénierie sociale» où il » où il s’agit d’exploiter non pas une faille informatique mais s’agit d’exploiter non pas une faille informatique mais la « faille humaine ».la « faille humaine ».




Mais aussi :Mais aussi : Les PC Zombies ne profitent pas non plus à des Les PC Zombies ne profitent pas non plus à des

simples individus mais à des organisations simples individus mais à des organisations structurées leur assurant ainsi de substantielles structurées leur assurant ainsi de substantielles rentrées de devises sonnantes et trébuchantes.rentrées de devises sonnantes et trébuchantes.

De même, le Ver PGP Coder (introduction d’un De même, le Ver PGP Coder (introduction d’un cheval de Troie codant les informations récupérable cheval de Troie codant les informations récupérable contre paiement d’une « rançon »).contre paiement d’une « rançon »).




Mais aussi :Mais aussi : La prolifération des Chaînes de mailing visant l’effet La prolifération des Chaînes de mailing visant l’effet

d’avalanche, propices à la récupération des adresses d’avalanche, propices à la récupération des adresses des réémetteurs…Plus le message est larmoyant, des réémetteurs…Plus le message est larmoyant, plus il « rapporte » à ses auteurs !!plus il « rapporte » à ses auteurs !!


Quelques Causes de fragilité Quelques Causes de fragilité

Au manque de rigueur des utilisateurs, avertis ou non, il convient Au manque de rigueur des utilisateurs, avertis ou non, il convient d’ajouter :d’ajouter : Que la complexité des OS, tournés vers l’ergonomie, entraîne une Que la complexité des OS, tournés vers l’ergonomie, entraîne une

multiplicité de failles de sécurité. multiplicité de failles de sécurité. La sécurité informatique s’accompagne nécessairement d’un La sécurité informatique s’accompagne nécessairement d’un environnement austère réservé à une gestion par des professionnels.environnement austère réservé à une gestion par des professionnels.

Quelques exemples :Quelques exemples : Nous devrions tous travailler dans un environnement fondé sur un Nous devrions tous travailler dans un environnement fondé sur un

compte a droits restreints…et non en compte Administrateur.compte a droits restreints…et non en compte Administrateur. Si l’on s’octroie le droit de modifier les fichiers Sys, Dll et Reg…pourquoi Si l’on s’octroie le droit de modifier les fichiers Sys, Dll et Reg…pourquoi

pas les virus ?pas les virus ? Nous devrions abandonner la FAT 32 (pas d’attribut de propriété aux Nous devrions abandonner la FAT 32 (pas d’attribut de propriété aux

fichiers donc place libre à l’intégration de virus).fichiers donc place libre à l’intégration de virus). Enfin, gardons à l’esprit qu’aucune défense n’est parfaitement Enfin, gardons à l’esprit qu’aucune défense n’est parfaitement

fiable et qu’une très bonne défense ne sert pas à grand-chose fiable et qu’une très bonne défense ne sert pas à grand-chose si l’utilisateur ne fait pas lui-même preuve de prudence.si l’utilisateur ne fait pas lui-même preuve de prudence.


Les parades actuellesLes parades actuelles

Priorité 1 : Priorité 1 : La Prudence !La Prudence ! Priorité 2 : Mise à niveau et à jour du Système Priorité 2 : Mise à niveau et à jour du Système

d’exploitation (Windows)d’exploitation (Windows) Priorité 3 : Mise en place d’un Anti-virus et Priorité 3 : Mise en place d’un Anti-virus et

maintien à jour de ce derniermaintien à jour de ce dernier Priorité 4 : Mise en place d’un FireWallPriorité 4 : Mise en place d’un FireWall Priorité 5 : Mise en place (Priorité 5 : Mise en place (et à jouret à jour) d’utilitaires ) d’utilitaires

anti Spy et / ou anti Malwaresanti Spy et / ou anti Malwares Priorité 6 : Ouverture des messages et surtout Priorité 6 : Ouverture des messages et surtout

des pièces jointes des pièces jointes avec la plus grande avec la plus grande circonspectioncirconspection


Les parades actuellesLes parades actuelles

Et puis :Et puis : Refusez d’obtempérer !Refusez d’obtempérer !

Arrêtez et refusez de réémettre les chaînesArrêtez et refusez de réémettre les chaînes Ne transmettez jamais de codes personnels, Ne transmettez jamais de codes personnels,

même à sa « banque »même à sa « banque » Agissez contre le Spam à votre niveau :Agissez contre le Spam à votre niveau :

Posséder plusieurs adresses dont une « à jeter »Posséder plusieurs adresses dont une « à jeter » Signaler les spams sur : Signaler les spams sur :

http://www.signal-spam.fr/ Agir en adulte !Agir en adulte !

Cessez de devenir, vous-même, le support de Cessez de devenir, vous-même, le support de l’infection !l’infection !


Quelques exemplesQuelques exemples






Liens sur infoweb17

Les dernières infos sur les virus Les outils pour se protéger Les indispensables à télécharger


ET SI…….! C’est trop tard !ET SI…….! C’est trop tard !La bête est là !!!La bête est là !!!

Que faire ?Que faire ?Attention…Il ne s’agit que de Attention…Il ne s’agit que de

manipulations simples …manipulations simples … D’abord, noter toutes les informations D’abord, noter toutes les informations

accessibles :accessibles : Nom de la bêbête s’il apparaît (dans l’anti-virus ou l’anti Nom de la bêbête s’il apparaît (dans l’anti-virus ou l’anti

spy. Même si ce dernier ne peut pas la tuer)spy. Même si ce dernier ne peut pas la tuer) Conséquences de l’attaques (ralentissement, apparitions Conséquences de l’attaques (ralentissement, apparitions

surprenantes, etc.)surprenantes, etc.) Toutes les propositions suivantes ne pourront pas Toutes les propositions suivantes ne pourront pas

forcément être réalisées, il s’agit de choisir celles qui forcément être réalisées, il s’agit de choisir celles qui correspondent à votre situation, l’une après l’autre…correspondent à votre situation, l’une après l’autre…



Que faire ?Que faire ? Ensuite quelques cas distincts à considérer :Ensuite quelques cas distincts à considérer :

1.1. Vous avez ou non toujours la main, Vous avez ou non toujours la main,

2.2. Vous avez ou non accès à Internet (ou accès par un autre PC).Vous avez ou non accès à Internet (ou accès par un autre PC).

3.3. Vous disposez ou non d’un logiciel anti-virus sur CD Rom.Vous disposez ou non d’un logiciel anti-virus sur CD Rom.

4.4. Vous disposez ou non d’un CD Rom premettant de reprendre la Vous disposez ou non d’un CD Rom premettant de reprendre la main.main.

5.5. Vous disposez ou non d’un second PC.Vous disposez ou non d’un second PC.



Que faire ?Que faire ?1. Vous n’avez plus la main…cas parmi les plus graves !

• Plusieurs options s’offrent à vous :A. Tentez en priorité de rebooter en mode sans échec.

Si vous n’arrivez pas à taper F8 au bon moment, arrêtez « sauvagement » votre PC en coupant avec le bouton arrêt/marche dès le lancement de Windows, au prochain reboot, le mode sans échec vous sera proposé. Si vous réussissez, alors désactivez la restauration du système (cf. § 2) et suivez les instructions du § 2.

• Sinon :B. Vous disposez d’un anti-virus sur CD-Rom

bootable, arrêtez votre PC et rebootez sur le CD Rom afin de déclencher une recherche de virus.



Que faire ?Que faire ?C. Vous disposez d’une version de Windows

permettant son fonctionnement sur CD (type Bart PE) ou un CD d’UBCD (Ultimate Boot CD), alors prenez la main en bootant sur ce média et tentez de lancer les utilitaires anti virus ou/et anti malwares. Au besoin, tentez une réinstallation de ces logiciels.

D. Pour les spécialistes, lancer le logiciel Hijack This et sortez le rapport pour lequel vous pourrez obtenir des explications sur le Net ainsi que les manipulations afférentes.



Que faire ?Que faire ?E. Si vous arrivez à vous connecter sur le Net (vous

risquez de ne pas réussir en restant en mode sans échec):• Connectez-vous sur le site Secuser :

• http://www.secuser.com/outils/antivirus.htm pour une désinfection en ligne

• http://www.secuser.com/telechargement/desinfection.htm si vous avez eu connaissance du nom de l’infection.

• Connectez-vous sur le site de Kaspersky :• http://www.kaspersky.com/virusscanner

pour une désinfection en ligne.


F.F. Pour les bidouilleurs possédant un second PC, Pour les bidouilleurs possédant un second PC,

mais cela représente un taux de risque importantmais cela représente un taux de risque important, ,

commencer par mettre à jour les utilitaires de protection du commencer par mettre à jour les utilitaires de protection du

second PC, puis connectez le disque dur infecté sur le second PC, puis connectez le disque dur infecté sur le

second PC (soit en direct soit dans un boîtier externe) et second PC (soit en direct soit dans un boîtier externe) et

lancez immédiatement les scanners de protection.lancez immédiatement les scanners de protection.

Bien sûr, si la saloperie qui infecte le disque 1 est Bien sûr, si la saloperie qui infecte le disque 1 est

résistante aux utilitaires, cela aura pour effet d’infecter le résistante aux utilitaires, cela aura pour effet d’infecter le

deuxième PC…!! A n’utiliser que lorsque l’infection s’est deuxième PC…!! A n’utiliser que lorsque l’infection s’est

produite sur un PC déjà mal protégé.produite sur un PC déjà mal protégé.

ET SI…….! C’est trop tard !ET SI…….! C’est trop tard !

La bête est là !!!La bête est là !!!

Que faire ?Que faire ?



Que faire ?Que faire ?2. Vous avez encore la main…

• Priorité une, supprimez les sauvegardes automatiques :• Sous Windows XP :

Panneau de Configuration Système Restauration du système et cochez « désactivez la restauration du système sur tous les lecteurs »

• Sous Vista :Panneau de Configuration Système Protection du Système et là, décocher les disques marqués dans la fenêtre « disques disponibles » .

• Passez en mode sans échec (§ 1 A)



Que faire ?Que faire ?• Vous pouvez effectuer les mêmes manipulations que ci-

dessus, à savoir :• Lancement des protections en mode complet,• Tentative de désinfection via le Net ( § 1 E),• Lancement de Hijack This pour les plus confirmés• Avec les mêmes réserves, test du Disque dur sur un

autre PC,

Enfin, lorsque tout a été tenté sans résultat positif, il ne restera plus que ce que les lignes précédentes ont désiré empêcher…le formatage …!


ConclusionConclusionPas de Parano....

Mais ...Prudence,Et des Sauvegardes

Nom de Zeus!!!

Documents

Virussomania