Rapport du 07/11/06 sur les virus et les intrusions

Netsad.F utilise une technique de dissimulation relativement courante : il termine les processus de plusieurs programmes de sécurité. Cette méthode est souvent utilisée par les malwares pour éviter d'être détectés et mettre l'ordinateur à la merci d'autres menaces. De plus, ce ver modifie la configuration du système afin d'empêcher l'utilisateur d'accéder à des sites Web d'éditeurs de solutions de sécurité.

Netsad.F a recours à deux méthodes de propagation. Dans le premier cas, il envoie des copies de lui-même dans des messages prétendant provenir du domaine yahoo.com (l'adresse du véritable l'expéditeur étant masquée). L'objet des messages fait appel à la curiosité des destinataires (“classroom test of you?”, “I have your password!”, “old photos about you?”, etc) ou leur fait croire qu'il s'agit d'un message d'erreur (“Deliver Error”, “Deliver Mail”, “Delivery Failure”, etc). Le code du ver est stocké dans la pièce jointe du message, dont le nom est variable : MAIL.PIF, PANDA.EXE, README.HTML.CMD, etc.

Dans le deuxième cas, Netsad.F utilise les réseaux de peer-to-peer. Pour cela, il place des copies de lui-même dans les répertoires partagés de logiciels de P2P tels qu'Emule, KaZaA ou Morpheus. Les fichiers portent des noms qui incitent les utilisateurs à les télécharger, par exemple : “FunGame.flash.exe”, “PasswordFinder.exe”, “pornoPic.scr”, etc.

Le ver Nuwar.A utilise une stratégie similaire, quoique moins efficace. Tandis que Netsad.F est capable de terminer plus de 350 processus en mémoire, Nuwar.A en stoppe moins de 15. Toutefois, ce deuxième ver utilise une plus grande variété d'adresses et de domaines dans les emails qu'il envoie pour se propager.

L'objet du message envoyé a toujours un rapport avec la politique : l'avènement d'une 3ème guerre mondiale, les présidents Vladimir Poutine ou Georges Bush.

Enfin, notre rapport se penche sur le cheval de Troie de porte dérobée Nixfed.A. Une fois installé sur le système, ce code malicieux permet à des pirates de prendre le contrôle à distance de l'ordinateur, à l'insu de l'utilisateur. Ce malware effectue plusieurs actions, parmi lesquelles :

• Enregistrer les frappes saisies au clavier par l'utilisateur.
• Effectuer des captures d'écran.
• Transférer des fichiers.
• Redémarrer ou éteindre l'ordinateur.
• Commencer une session de chat entre l'ordinateur infecté et le pirate.
• Ouvrir le lecteur de CD-ROM.
• Définir un mot de passe pour permettre au pirate d'établir des connexions distantes avec l'ordinateur.
• Surveiller le trafic réseau.
• Journaliser l'activité du système.
• S'exécuter à chaque ouverture de session.
• Désactiver le gestionnaire des tâches.

Nixfed.A est un malware extrêmement dangereux. Une fois l'ordinateur infecté, les pirates peuvent surveiller les actions effectuées par l'utilisateur, notamment les opérations confidentielles telles que les transferts bancaires.

Les Technologies TruPrevent™ de Panda Software ont été capables de détecter tous les codes malicieux présentés dans ce rapport sans besoin d'identification préalable. Ainsi, les utilisateurs des solutions Panda étaient protégés contre ces menaces dès leur apparition.

De plus, Panda Software met à la disposition des utilisateurs qui souhaitent vérifier si leur ordinateur a été infecté par ces menaces ou par d'autres codes malicieux, sa solution gratuite en ligne, Panda ActiveScan, à l'adresse : http://www.pandasoftware.fr/activescan/activescan.html.

Les utilisateurs peuvent, grâce à cet antivirus gratuit, effectuer une analyse complète de leur ordinateur lorsqu'ils soupçonnent une infection.

Pour plus d’informations sur ces menaces, ou sur toute autre menace, consultez l’Encyclopédie de Panda Software.

A propos de PandaLabs
Depuis 1990, la mission de PandaLabs est d’analyser les nouvelles menaces le plus rapidement possible pour assurer une totale sécurité à nos clients. Plusieurs équipes, spécialisées dans chaque type spécifique de malware (virus, vers, chevaux de Troie, logiciels espions, phishing, spam, etc.) travaillent 24 heures sur 24 et 7 jours sur 7 pour offrir une garantie maximale. Pour cela, elles s’appuient sur les Technologies TruPrevent™, un véritable système global d’alertes, basé sur des sondes distribuées stratégiquement et qui permettent de neutraliser les nouvelles menaces et de les envoyer au plus tôt à PandaLabs pour les analyser. Selon Av.Test.org, PandaLabs est le laboratoire de virus qui offre les mises à jour complètes dans les délais les plus brefs. Plus d’informations à l’adresse : www.pandasoftware.com/pandalabs.asp