Virus, l’éternel retour…

JP Montferrat, responsable du site Coulommiers, terre de Brie, nous adresse cet article :
Il se présente comme un correspondant connu, s’auto-exécute à l’affichage, se cache de l’expéditeur initial et enregistre tout ce qui est frappé au clavier, mot de passe et autres informations confidentielles.
C’est le virus Badtrans.B, une variante de Badtrans, qui a envahit la Toile en quelques jours. Si les entreprises ont pour beaucoup pris les bonnes dispositions, les particuliers sont les plus touchés.Lundi 26 novembre au matin, MessageLabs détectait une centaine de mails infectés par minute. Si MessageLabs l’identifie comme provenant de Grande-Bretagne, une cinquantaine de pays sont déjà touchés, dont la France.
Les imperfections des logiciels ne sont pas seuls en cause. Badtrans.B est un virus intelligemment conçu, tant dans son mode de déploiement et d’infection que dans son objectif final.

Badtrans.B apparaît en effet comme la réponse d’un correspondant à qui l’on a précédemment adressé un courrier. L’origine du mail est donc trompeuse en soit. D’autant que le message d’entête varie. Nous avons, à VNUnet, reçu un message infecté avec l’entête : « Re: Tr: CHANGEMENT DE COORDONNÉES !!! A METTRE A JOUR ». Difficile de se méfier quand on connaît effectivement l’expéditeur. Heureusement, le fichier joint, qui contient l’application infectieuse et qui, comme pour l’entête, peut prendre un nom aléatoire (stuff, info, Me_nude, fun, news, etc.), possède une doubleextension : .MP3, .DOC ou .ZIP, suivi de .pif ou .scr. Encore faut-il avoir activé l’affichage des extensions sous Windows. Le mail reçu à la rédaction proposait simplement « CARD.DOC.pif », que l’on peut rapidement assimiler à la carte de visite virtuelle jointe aux courriers electroniques.
Malheureusement, Badtrans.B exploite une faille connue liée à l’entête MIME qui permet d’exécuter le fichier joint à partir de l’affichage du message dans la fenêtre de prévisualisation d’Outlook. Microsoft met en ligne un correctif pour éviter ce mode d’infection.

Discret mais à l’écoute du clavier

Plus malin, Badtrans.B ajoute un souligné (« _ ») en début d’adresse e-mail de l’expéditeur. Si bien que l’expéditeur involontaire du virus ne peut être joint ni informé du contenu infectieux de ses messages. Y compris avec les systèmes de réponse automatique des anti-virus installés sur les serveurs de messagerie des entreprises. Mais le pire est le pouvoir du virus en lui
même. Badtrans.B modifie la base de registre de Windows (au niveau HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce kernel32 = kern32.exe) afin de s’exécuter à chaque démarrage du système. Il s’auto-envoie à tous les correspondants du carnet d’adresses, allant même jusqu’à « répondre » aux correspondants qui s’adressent à l’utilisateur infecté. Il est de plus difficle à détecter sans anti-virus puisqu’il ne détruit aucun fichier et ne cherche pas à déstabiliser le système. Ce qu’il fait est bien plus dangereux pour l’utilisateur. Il installe dans le répertoire System le cheval de Troie KDLL.DLL qui espionne tout ce qui est saisi au clavier. Mots de passe comme numéro de carte bancaire, notamment, n’ont ainsi plus de secret pour les auteurs du virus. Effrayant !

Les particuliers seraient les principales victimes de Badtrans puisque, selon MessageLabs, 93 % des e-mail britanniques infectés proviennent de fournisseurs d’accès plutôt grand public. Les entreprises ont donc rapidement su prendre les dispositions nécessaires pour éviter la contamination. Notamment en corrigeant Outlook en temps et en heure. Encore une fois, les auteurs de virus profitent des systèmes non mis à jour.
Répétons-le donc avec force, il faut impérativement installer les mises à jour de sécurité proposées par les éditeurs !