W32.Blaster.Worm  Lovsan, (11 août 2003). Le ver W32.Blaster.Worm se nomme encore  W32/Lovsan.worm, Win32.Poza, Lovsan, WORM_MSBLAST.A, W32/Blaster-A ou W32/Blaster  exploite la faille de sécurité mentionnée dans le bulletin MS03-026 : un débordement de mémoire tampon dans l’interface RPC risque de permettre l'exécution d'un code malveillant. Il affecte  Microsoft Windows NT 4.0, Windows NT 4.0 Édition Terminal Server, Windows 2000, Windows XP, Windows Server 2003 mais ne touche pas Windows 98 et Millennium Edition. Un programme d'éradication de Symantec et une documentation de Microsoft Comment supprimer le ver Blaster ?

Sobig.B Palyh (=Mankx) 18/05/2003   W32/Palyh@MM (Indice de gravité : moyen)
W32/Palyh@MM est un ver qui  usurpe l'adresse support@microsoft.com. (le (spoofing). Affecte  Microsoft Outlook, Outlook Express et programmes de messagerie électronique basés sur le Web. Si support@microsoft.com est bien une adresse électronique valide, Microsoft n'envoie pas de courrier non sollicité contenant des pièces jointes à ses clients. On reçoit par ce message un fichier attaché qui se veut être un correctif,  en fait si  ce fichier est exécuté, le virus s'envoie à tous les correspondants présents dans le carnet d'adresses Windows, ainsi qu'aux adresses email collectées dans les fichiers .DBX, .HTM, .HTML, .EML ou .TXT de l'ordinateur infecté. http://secuser.com/alertes/2003/palyh.htm 

FIZZER, repéré le 8 mai 2003 par la société finlandaise d'antivirus F-Secure, qui lui a attribué un niveau un de dangerosité sur une échelle de trois, le plus élevé, se propage actuellement au Moyen-Orient et en Europe. Il peut affecter les ordinateurs sous Windows, sur lesquels est installé le logiciel de messagerie électronique Outlook, ainsi que l'interface d'échange de fichiers peer-to-peer, Kazaa.
http://www.symantec.com/avcenter/venc/data/w32.hllw.fizzer.removal.tool.html
http://www.secuser.com/alertes/2003/fizzer.htm

BUGBEAR (30 septembre 2002) est un virus qui se propage par email et via les dossiers partagés. Il se présente sous la forme d'un message dont le titre et le nom du fichier joint sont aléatoires. Si le fichier joint est exécuté, le virus se copie dans le répertoire Windows avec un nom aléatoire et installe un troyen de type "keylogger" qui espionne les frappes au clavier. Bugbear est enfin capable de désactiver les antivirus et firewalls personnels les plus populaires.  http://www.secuser.com/alertes/2002/bugbear.htm

YARNER, (mars 2002) un virus "hautement destructif" : il efface les fichiers du disque dur, diffusé par le message ""Trojaner-Info Newsletter [date du jour" et par le texte du message rédigé en allemand :
"Hallo ! Willkomen zur neuesten Newsletter-Ausgabe der Webseite Trojaner-Info.de. Hier die Themen im Ueberblick: 01. YAW 2.0 - Unser Dialerwarner in neuer Version " etc.. (vous n'avez ici que le début du texte)
Le message est accompagné d'un fichier attaché : YAWSETUP.EXE (437 Ko) et si vous cliquez sur le fichier vous exécutez le virus. Aujourd'hui comme hier, méfiez vous des fichiers attachés, particulièrement des *.exe, *.com, *.pif, *.bat, *.doc, *.xls et  ayez un antivirus à jour.
http://www.secuser.com/alertes/2002/yarner.htm

GIBE  (mars 2002) Gibe est un virus de mail qui se présente sous la forme d'un message intitulé "Internet Security Update" accompagné d'un fichier joint nommé Q216309.EXE (129 Ko). L'expéditeur est faussement "Microsoft Corporation Security Center", afin de laisser penser à une alerte accompagnée d'un correctif. Le corps du message, en anglais, détaille les vulnérabilités et l'installation du prétendu correctif 
http://www.secuser.com/alertes/2002/gibe.htm

W32Kleze, 
http://www.secuser.com/alertes/2002/klez.htm
http://www.sophos.fr/virusinfo/analyses/w32kleze.html
http://www.sophos.fr/virusinfo/analyses/w32klezf.html
http://www.sophos.fr/virusinfo/analyses/w32klezg.ht
http://sophos.fr/support/disinfection/klezh.html

W32/NIMDA.  Un nouveau ver/virus est apparu W32/NIMDA. A priori ce serait la cause de la très grosse augmentation du trafic réseau a destination du port 80 (requêtes vers des serveurs web). NIMDA se propage au moyen de la messagerie électronique. Il arrive sous la forme d'un document attache avec le nom 'README.EXE'.
http://securityresponse.symantec.com/avcenter/venc/data/pf/w32.nimda.a@mm.html

Sircam. La page http://www.linternaute.com/0redac_actu/0107_juillet/070725sircam.shtml donne toute explication à ce sujet Attention !  Le virus SIRCAM comporte une instruction de destruction !!! L'instruction de destruction de SIRCAM est programmée pour entrer en action le 16 octobre : à cette date, tous les fichiers seraient détruits et les données perdues. Un programme d'éradication sous Dos

 "Magistr.b",  2 variantes sont possibles: Virus W32/Magistr.a@MM
http://www.symantec.fr/region/fr/avcenter/magistr_24876.html
http://www.sarc.com/avcenter/venc/data/w32.magistr.24876@mm.html
et W32/Magistr.b@MM
http://www.symantec.com/avcenter/venc/data/w32.magistr.39921@mm.html
Le sujet et le corps du message sont choisis de façon tout a fait aléatoire. Le résultat est un message au sujet et au contenu  complètement incohérents et inattendus. Les textes sont des extraits de fichiers choisis aléatoirement sur le disque. Dans le cas de MAGISTR, les retombées risquent d'être très graves, ce programme étant susceptible d'endommager sérieusement non seulement vos informations mais aussi des éléments de configuration du système infecté.

Code Red". 

WScript/KakWorm est un ver qui s'attache à tous les courriers électroniques envoyés depuis un ordinateur infecté, sous Outlook Express 5 (versions anglaise et française de Windows). Quand un ordinateur sain reçoit sous Outlook Express un message infecté, le ver crée le fichier kak.hta dans le répertoire de démarrage de  Windows. Au démarrage suivant, il modifie C:\Autoexec.bat (après l'avoir sauvegardé sous le nom C:\Ae.kak) en lui ajoutant 2 lignes qui effacent kak.hta. Il remplace aussi le fichier de signature d'Outlook par un fichier infecté, C:\Windows\kak.htm. Tous les messages envoyés depuis Outlook par la suite sont infectés. WScript.KakWorm s'installe dans le répertoire C:\Windows\System, sous un nom variable avec l'extension .hta, et il modifie la base de registres de manière à être lancé à chaque démarrage du système, ce qui lui permet de reconstituer le fichier C:\Windows\kak.htm à chaque fois. Si Windows est démarré le 1er du mois à partir de 18 heures, il affiche un message d'alerte. Puis il éteint Windows

Patch et outils :

Beaucoup de sites proposent des Fix. (petits programmes chargés d'éradiquer un certain type de virus.

http://www.secuser.com/telechargement/desinfection.htm
http://www.emsisoft.net/fr/support/malware/ (orienté trojan)
http://fr.bitdefender.com/html/free_tools.php
http://www.inoculer.com/antivirus.php3
http://www.europe.f-secure.com/download-purchase/tools.shtml. 

Un antivirus en ligne  www.secuser.com/antivirus

Hoax.

Un site de référence pour traquer les fausses rumeurs (hoax). : http://www.hoaxbuster.com, et http://www.hoaxkiller.com/ 
Une petite description de HoaxKiller
En cas de réception d'un hoax, ou pour vérifier le texte d'un message suspect, vous pouvez utiliser gratuitement notre analyseur antihoax (cliquez sur le lien ou sur l'image ci-dessous). Mis à jour régulièrement, il permet d'identifier les principaux hoax, ainsi que certains virus et certaines tentatives d'escroquerie en ligne. Si nécessaire, prévenez ensuite l'expéditeur du message ainsi que les éventuels co-destinataires, afin de les informer de l'existence des hoax et de contribuer à enrayer la propagation du message.

et chez Norton http://www.symantec.com/avcenter/hoax.html

Les plus célèbres.

JDBGMGR.EXE, Hoax du même type que SULFNBK.EXE, un mail  vous demande de supprimer le fichier Jdbgmgr.exe au prétexte qu'il serait un virus. Jdbgmgr.exe (Java Debugger Manager) est en effet un fichier  présent dans certaines versions de Windows et fait partie de la machine virtuelle Java de Microsoft.

GOOD LUCK  Certains médias (dont Le Figaro, France Inter et Europe 1) ont rapporté l'existence d'un virus nommé Good Luck qui serait "incontrôlable", "totalement invisible", "très destructeur" et une "arme absolue des cyber terroristes". Ce virus est en fait le produit d'une opération de communication particulièrement maladroite menée par un éditeur d'antivirus français.  Good Luck, n'a pour aucune existence réelle. Au final, d'après un membre de la Direction centrale de la sécurité des systèmes d'information (DCSSI) cité par Libération : "Il n'y a rien de concret dans cette affaire. A part une belle manipulation de l'opinion publique par T****". http://www.secuser.com/hoax/2002/goodluck.htm

SULFNBK.EXE n'est pas un virus mais un fichier de Windows qui sert à transcrire les noms longs en nom 8+3 quand on passe dans une fenêtre dos.  LFN = Long File Name. Un hoax désignant ce fichier comme virus s'est répandu depuis avril 2000. 
http://www.symantec.com/avcenter/venc/data/sulfnbk.exe.warning.html


Vous pouvez retrouver tous les bulletins de sécurité à l'adresse :
http://www.microsoft.com/france/technet/themes/secur/default.asp#bulletins

Dernière mise à jour le 02/05/04

« Retour en page d'accueil des Services »
« Retour en page d'accueil de CIEL »