Rapport d'incidents de virus

Un virus de MSDOS et trois vers, dont le célèbre W32/Navidad.B, sont les codes malveillants que nous allons examiner aujourd’hui dans d’Oxygen3 24h-365d.

Le premier de notre liste se nomme Ulodozen. C’est un virus de MSDOS qui a été créé en C. Une fois entré dans un ordinateur, il devient immédiatement résident mémoire et, de là, entreprend d’infecter les fichiers dotés de l’extension .EXE, lorsque ces derniers sont exécutés. Sous l'action virulente de ce virus, les informations contenues dans ces fichiers sont irrémédiablement perdues.

Le deuxième code malveillant que nous examinons aujourd'hui est un ver de VBS (Visual Basic Script), VBS/Pica.A, qui, pour être exécuté, a besoin que l'utilitaire Windows Scripting Host (WHS) soit installé dans l'ordinateur qu’il vient d’infecter. Pour se diffuser à d’autres systèmes, VBS/Pica.A s'auto-envoie dans un message e-mail à toutes les entrées du carnet d'adresses de sa victime. Outre se copier dans le répertoire Windows en tant que fichier appelé SILLYWORM.VBS, le ver modifie aussi le Registre Windows, de manière à pourvoir être exécuté automatiquement à chaque démarrage de l'ordinateur.

Le second des trois vers étudiés aujourd'hui se nomme VBS/GingSeng.A et a la particularité d’être inséré dans une page HTML. Pour se diffuser, il utilise la messagerie électronique - dans un message dont le sujet est « Jer Resume » et qui inclut le fichier « JER.HTM » -, et/ou un canal IRC, si le programme Mirc est installé sur la machine. Lorsqu'il infecte un ordinateur, ce code malveillant empêche l’arrêt de la session de travail et prévient l'accès au Bureau de Windows et à la configuration du réseau. Qui plus est, il modifie aussi les propriétés de Microsoft Windows System ainsi que les noms d’utilisateur et d’organisation.

Nous allons conclure ce rapport avec W32/Navidad.B, un ver qui continue à provoquer de nombreux cas d'infection qui ont été rapportés cette semaine. Ce code malveillant envoie des e-mails aux expéditeurs des messages non lus qui se trouvent dans la boîte de réception. Chaque message inclut un fichier attaché appelé EMANUEL.EXE qui contient le ver. Une fois entré, W32/Navidad.B restera résident sous la forme d’un processus qui est visible depuis la liste des tâches et qui modifie plusieurs entrées dans le Registre, cette action empêchant les fichiers exécutables d'être exécutés dans le système