Sécurité : un rookit rusé qui squatte le MBR

Un nouveau rootkit (logiciel malveillant qui permet d'ouvrir une porte dérobée sur un ordinateur) particulièrement vicieux a été détecté par les chercheurs du " SANS Institute's Internet Storm Center " et par Symantec.

Ce rootkit se distingue par le fait qu'il soit capable de résider au niveau du MBR des disques durs (Master Boot Record, également appelé Zone d'amorce ou secteur 0). De fait, ce rootkit se charge avant même le système d'exploitation et arrive à échapper à la plupart des antivirus une fois qu'il a été installé...

Les origines de ce rookit restent inconnues, il aurait cependant déjà contaminé plus de 5000 ordinateurs à travers le monde. Uniquement compatible avec Windows XP, il pourrait être propagé de différentes façons. La plupart du temps à travers un fichier exécutable qui se charge d'installer le rootkit dans le MBR s'il est lancé. S'il était porté sur Windows Vista, le rootkit en question pourrait provoquer un avertissement de l'UAC (User Account Control) puisqu'il requiert les droits d'administrateur pour s'installer.

Les créateurs du rootkit auraient par ailleurs réussi à voler les données liées à un " proof of concept " (preuve de concept) mis au point par Derek Soeder et Ryan Permeh de eEye Digital Security qui voulait, en 2005, démontrer que la création d'un logiciel malveillant était possible.

Les différentes firmes d'antivirus précisent qu'elles vont agir pour détecter ce rootkit avant qu'il ne soit installé sur la machine. En cas de contamination, la réparation demande un passage par la console d'administration afin de restaurer le MBR, chose que ne peuvent faire les antivirus depuis Windows. Le rootkit dissimulé serait utilisé pour installer discrètement des Troyens spécialisés dans les vols de coordonnées bancaires... Les spécialistes en sécurité recommandent aux utilisateurs avancés d'activer dans leur Bios l'option qui permet de protéger le MBR en écriture.

Trés impressionnant ce rootkit !
Pour certains ça fera enfin une raison valable de passer à vista :)

Mon stack IP a pété hier, techniquement ça peut venir de ce genre de truc ?

Comment on fait si on a pas de bios ? :D

(j'utilise Windows sur mon iMac)

Le problème, c'est que je ne connais personne qui utilise Vista avec l'UAC activé :)

Les spécialistes en sécurité recommandent aux utilisateurs avancés d'activer dans leur Bios l'option qui permet de protéger le MBR en écriture

Quelqu'un aurait un petit tuto pour expliquer comment faire? J'ai rien trouvé sur google :neutre:

Zarod a écrit:
Mon stack IP a pété hier, techniquement ça peut venir de ce genre de truc ?

Ca fait mal quand ça pète?
A part ça y'a pas beaucoup de chances que ça vienne de là...

TraXX a écrit:
Le problème, c'est que je ne connais personne qui utilise Vista avec l'UAC activé :)

C'est pas faux

---

Mr. Roro a écrit:

Les spécialistes en sécurité recommandent aux utilisateurs avancés d'activer dans leur Bios l'option qui permet de protéger le MBR en écriture

Quelqu'un aurait un petit tuto pour expliquer comment faire? J'ai rien trouvé sur google :neutre:

C'est une option "boot sector protection" qu'il faut activer, dispo dans la plupart des bios.

Avant ça s'appellait aussi "Virus protection" il me semble

C'est balot j'ai pas de MBR (mac inside :P)

Il est censé faire quoi (ou permettre quoi) ce truc ?

J'espère que ce genre de saloperie ne fout pas en l'air les partitions lorsque la mbr est "émulée" (bootcamp et XP ou VISTA)

Enfin tout cela ne me fera pas acheter ni conseiller du Symantec loin de là ...

J'utilise UAC, et c'est pas mal du tout.

machiavel71 a écrit:
J'utilise UAC, et c'est pas mal du tout.

Je trouve ça aussi une bonne initiative.

Le mieux c'est de le désactiver lorsque l'on vient d'installer vista pour être tranquille pour tout ce qui est installation logiciels/parametrages systemes/ configuration drivers etc...

Une fois la machine complètement opérationnelle, l'uac ne dérange plus que trés rarement.

Et à part ça il semblerait que le Sp1 enleve beaucoup à la pénibilité de l'uac.

(sinon trés beau post hors sujet)
Edité le 10/01/2008 à 16:05

> C'est balot j'ai pas de MBR (mac inside )

En es-tu bien certain ?

bilbonsacquet a écrit:
C'est balot j'ai pas de MBR (mac inside :P)

Il est censé faire quoi (ou permettre quoi) ce truc ?

J'espère que ce genre de saloperie ne fout pas en l'air les partitions lorsque la mbr est "émulée" (bootcamp et XP ou VISTA)

Enfin tout cela ne me fera pas acheter ni conseiller du Symantec loin de là ...

Bah c'est marqué, ça permet de rendre le rootkit indétectable d'un antivirus puisqu'il est lancé AVANT l'OS

Y'a peu de chances que ça marche pour la virtualisation (bootcamp)

Et sinon symantec est une TRES bonne société sur la sécurité mais avec un LOGICIEL antivirus plus que tout pourri

moi j'utilise le UAC mais j'ai désactiver l'assombrisement de l'ecran.

Elcos a écrit:
moi j'utilise le UAC mais j'ai désactiver l'assombrisement de l'ecran.

+1 j'prèfère me prendre un message de temps en temps qu'un antivirus tout le temps... :)

Il suffira de faire un FIXMBR et FIXBOOT avec la console de recup et le tour est joué :D

De +, j'ai pas l'option dans le BIOS pour bloquer les virus boot.
Edité le 10/01/2008 à 16:20

popolof a écrit:
Trés impressionnant ce rootkit !
Pour certains ça fera enfin une raison valable de passer à vista :)

c'est peut être microsoft qui l'a lancer!!!!

ultrahardcore a écrit:
Il suffira de faire un FIXMBR et FIXBOOT avec la console de recup et le tour est joué :D

encore faut-il savoir qu'on est infecté :D

---

personne06 a écrit:

c'est peut être microsoft qui l'a lancer!!!!

:lol: ça aurait été étonnant qu'il n'y en est pas un qui le lache :mdr

En cas de contamination, la réparation demande un passage par la console d'administration afin de restaurer le MBR, chose que ne peuvent faire les antivirus depuis Windows.

Je vais peut-être dire une connerie mais, si le virus est capable de s'inscrire dans le MBR sans passer par la console d'administration, pourquoi l'antivirus serait obliger de passer par elle pour le supprimer ? :confused:

est-ce que le rootkit marche si on a un multi-boot ? avec grub...

Notre antivirus au boulot detecte les virus de mbr sans problème... (trend micro officescan)

Le vrai problème c'est qu'il n'est pas capable de le nettoyer...

Ca fait quand meme une difference avec ce qui est annoncé par la news.