Fin juillet 2003 : la faille
Le
16 juillet dernier, une faille majeure de Windows (NT4/2000/XP
et Server 2003) était rendue publique. Annoncée avec
un niveau d'alerte très élevé par les spécialistes de
la sécurité, elle permet aux pirates de pénétrer
un système, et potentiellement d'en prendre le contrôle
total (les explications techniques sur JDNet
Solutions).
Dans la quinzaine, un groupe chinois
(baptisé X-Focus) publiait le code d'un programme visant à profiter
de cette faille. Microsoft a eu beau distribuer un correctif
dans de brefs délais, la menace s'est matérialisée
le 11 août sous la forme d'un virus d'un genre inédit.
Le 11 août 2003, Blaster prépare
l'attaque
Le
monde informatique assiste à l'une des attaques les plus rapides
et les plus dangereuses de son histoire au vu du nombre de
machines attaquées et surtout potentiellement attaquables.
En effet, contrairement aux vers qui se propagent par mail
auxquels nous étions habitués, W32.Blaster
(surnommé LovSan) scanne le réseau et détecte les machines
vulnérables.
Une fois un PC contaminé, un message revendicatif est
envoyé à un serveur Microsoft, enjoignant Bill Gates, fondateur
de Microsoft, d'améliorer la qualité de ses logiciels. Le
fichier transmis de façon totalement transparente pour
l'utilisateur est programmé pour s'exécuter à chaque démarrage
du poste infecté et tenter une attaque périodique contre le
site du support technique de Microsoft. Le premier assaut
est programmée pour les 15 et 16 août et doit se renouveler
tous les mois.
Le 15 août Microsoft trouve
la parade
Très vite,
quelques milliers de postes sont infectés, en particulier
aux Etats-Unis et en Amérique du Sud. Des variantes du ver
apparaissent. Au quinze août, c'est plus d'un demi million
de PC qui s'apprêtent contre le gré, et le plus
souvent à l'insu même de leur propriétaire,
à attaquer windowsupdate.com, le site des mises à
jour Windows.
Pendant ce temps, dans la torpeur estivale, on ne chôme
pas chez F-Secure, Symantec et autres Mc Afee. Les mises à
jour d'antivirus, les antidotes et les recommandations fleurissent
sur le web : il s'agit d'appliquer un patch à Windows
et à l'aide d'un pare-feu, de bloquer les ports 135,
139, 445 et 593, qu'utilise le ver pour se répandre.
Le ver, désormais présent sous quatre versions capables de
coexister (et donc d'infecter simultanément un même
ordinateur ) a contaminé plus de 600.000 postes et continue
de se répandre sur les machines non patchées. Microsoft parvient
cependant à déjouer l'attaque en déconnectant
ses serveurs et en détournant le site visé vers une autre
adresse.
Aujourd'hui encore, Blaster continue néanmoins de se répandre
à travers le réseau. Concrètement, il ne revêt
guère de risque pour les données stockées
sur les postes contaminés, mais du fait d'une erreur
dans la programmation du virus, les machines atteintes redémarrent
de façon intempestive. C'est d'ailleurs grâce
à ce "défaut de fabrication" que cette
infection qui aurait pu passer inaperçue a été
diagnostiquée.
20 août : SoBig.F entre en
action
En marge de Blaster,
mais tout aussi foudroyant, une nouvelle variante du virus
SoBig apparu en janvier se propage sur le Net. Plus conventionnel,
en ce sens qu'il s'agit d'un ver spammeur qui se multiplie
par l'intermédiaire de pièces jointes, SoBig.F
prépare une attaque Internet massive, annoncée pour le vendredi
22 août à 19H GMT (21H à Paris). Là encore, l'internaute
lambda ne semble pas particulièrement visé,
mais le mal se répand à une telle vitesse que
le risque est grand de voir le réseau des réseaux
ployer sous la masse d'e-mails vérolés.
Les spécialistes de la sécurité aux aguets
comprennent en partie le fonctionnement du ver : au jour et
à l'heure dite, SoBig doit se connecter à 20 ordinateurs
individuels localisées aux Etats-unis, au Canada et en Corée,
pour y télécharger un programme et l'exécuter. Le hic, c'est
que le 22 août au matin, à quelques heures de
l'attaque, nul ne connaît l'action de ce programme.
Et depuis... nouvelle parade, nouveaux
virus
En
quelques jours, Sobig.f, a décroché le record
historique de diffusion d'un virus sur Internet, mais il n'a
pas eu l'occasion d'engendrer de dégats. Les efforts groupés
du FBI, de Microsoft, de l'éditeur d'antivirus F-Secure et de
nombreux fournisseurs d'accès ont en effet permis d'identifier
et de déconnecter à temps les 20 machines. L'attaque
a donc été bloquée sans dommage, mais non
sans générer une vertigineuse pluie de mails contaminés.
Dans le même temps, Blaster (ou LovSan) continue
son bonhomme de chemin, se répandant de manière quasi
invisible en cette période de l'année où
nos PC sont délaissés. Son efficacité n'a
pas échappé aux auteurs de virus qui s'en inspirant
ont redoublé d'inventivité.
Cousin de Blaster qui exploite la même faille, Dumaru
est ainsi apparu il y a quelques jours sur le Réseau.
Une fois infiltré dans l'ordinateur, il dépose un cheval de
troie permettant à un pirate de prendre le contrôle du poste.
A la différence de Blaster, ce ver se propage par mail sous
l'adresse d'emprunt "support@microsoft.com" et propose
à sa victime d'installer un programme intitulé patch.exe.
Inutile de vous préciser qu'il ne faut en aucun cas y
toucher...
Autre filleul de Blaster, le vers Welchia
utilise lui aussi la même faille, mais cette fois à
des fins curatives. Oui, vous avez bien lu, Le virus Welchia
se veut votre allié. Dans un premier temps, il désactive
Blaster/LovSan, puis il applique manu militari le correctif
de sécurité à Windows et finit par s'auto-détruire.
On reste perplexe face à ce ver du troisième
type qui prétend combattre le mal par le mal. Certes
ses intentions semblent louables, mais allez savoir s'il ne
cache pas un fléau dans ses entrailles... En outre,
sur certains postes, Welchia, qui soit dit en passant ne s'applique
qu'aux versions anglaises, chinoises et coréennes de
Windows, peut créer de graves dysfonctionnement.
Si votre PC est
contaminé...
Préalable à toute
tentative de désinfection, il est indispensable
d'appliquer à Windows (XP et 2000) un correctif
de sécurité pour combler la faille qu'exploite
Blaster et consorts. La procédure est décrite
en détail et en français sur le site de
Microsoft.
Dans le tableau ci-dessous, nous avons listés les
liens de téléchargement direct des outils
de décontamination gratuits proposés par
trois éditeurs d'antivirus de premier plan, F-Secure,
Mc
Afee et Symantec.
Dans tous les cas, le téléchargement ne
nécessite que quelques secondes, et l'utilisation
du logiciel se résume à un ou deux clics.
Une fois procédé au nettoyage de votre ordinateur,
il convient bien entendu de respecter les règles
d'usage, c'est à dire de mettre à jour les
fichiers de description virale de votre anti-virus (bien
sûr, d'en acheter un si vous n'êtes pas encore
équipé), de ne jamais ouvrir les pièces
jointes aux mails, y compris lorsque leur émetteur
vous est connu, et enfin, d'installer un firewall car
les nouvelles menaces peuvent frapper quiconque est connecté
au Net. |
|
Ce
mois d'août a vu se propager sur le net quatre nouveaux
virus particulièrement pernicieux. Pas de réel
danger pour les particuliers, mais une vraie menace pour le
Réseau. Récit et parades. (25
août 2003)
