Utilisateurs d'Outlook attention, nouveau virus en vue

S'abonner :

Newsletters

Magazines

01men.

[ ATTAQUE VIRALE ]
Utilisateurs d'Outlook attention, nouveau virus en vue
Anna Kournikova, la charmante joueuse de tennis russe, peut se vanter d'avoir été l'un des sujets phares de ce lundi. Dommage que cela soit au travers d'un virus portant son nom.

Jean-Baptiste Su, en direct de la Silicon Valley , 01net., le 13/02/2001 à 10h21

Après les virus Melissa et I Love You, c'est au tour de Kournikova, du nom de la joueuse de tennis russe, de viser les utilisateurs d'Outlook. Bien qu'il soit totalement innofensif pour la machine de l'utilisateur, ce virus est capable de se propager très rapidement, au risque de bloquer les serveurs de messageries des fournisseurs Internet et des entreprises.

" Le message invite à cliquer sur la photo d'Anna Kournikova attachée à l'e-mail. En fait, au lieu d'une photo, c'est un script VisualBasic qui renvoie le même message à tous les correspondants mentionnés dans le carnet d'adresse d'Outlook. Rappelons que Melissa se contentait des cinquante premiers noms ", explique Ryan McGee, responsable marketing chez McAfee.

Selon les éditeurs de logiciels antivirus, le virus est venu d'Europe avant de se propager en Amérique du Nord et probablement en Asie. " Il n'est pas nouveau. On l'avait déjà identifié l'été dernier. D'ailleurs on ne comprend pas pourquoi il a mis autant de temps pour se propager. Il disparaîtra rapidement car, après le virus I Love You, les utilisateurs sont désormais sensibles à la question et la plupart des antivirus le détectent déjà ", ajoute Ryan McGee.

Même son de cloche chez le norvégien F-Secure. De leur côté, les spécialistes de Symantec semblent avoir été surpris de l'arrivée du virus. " On doit avoir une version mise à jour des signatures sur notre site ", affirmait hier Liam Yu, le responsable produits de Norton Antivirus.

Bloquer une fois pour toutes les messages comportant un script VisualBasic

Le virus est loin d'être aussi sophistiqué que son prédécesseur, I Love You. " Il n'est pas polymorphique et ne dispose pas de beaucoup de variantes. Il a certainement été créé à partir d'un kit à virus disponible sur les sites underground ", rassure Liam Yu.

De nouveau, l'arrivée d'un tel virus montre à quel point les utilisateurs d'Outlook sont vulnérables à ce genre d'attaques. " Il ne fonctionne pas avec les clients de messagerie Notes ou Eurora. Malheureusement, le patch disponible pour Outlook empêche simplement l'éxécution automatique de tels scripts. Dans le cas du virus Kournikova, l'utilisateur doit cliquer sur le fichier attaché et Outlook n'a pas d'autre choix que de l'éxécuter ", reconnaît le responsable de Symantec.

Une manière d'éviter ce genre d'attaques est de bloquer une fois pour toutes les messages comportant un script VisualBasic. " Je ne connais aucun client qui ait besoin d'envoyer de tels scripts par e-mail. Le plus simple est de tout bloquer au niveau du serveur de messagerie ", indique Ryan McGee.

Un vers classique et peu dangereux

Le vers AnnaKournikova, écrit en Visual Basic, arrive sous forme chiffrée. Une fois activé par la victime, le vers déchiffre son code puis modifie le registre Windows. Il y crée une nouvelle clef HKCU\software\OnTheFly. avec la valeur "Worm made with Vbswg 1.50b" qu'il utilise comme signature. Elle est dérivée du nom d'un outil de création de virus, "VBS Worms Generator 1.50b" , disponible sur des sites Internet de hackers. Pour fonctionner, les runtimes VB5 et Windows Scripting Host 5 doivent donc être installés sur la machine victime de l'attaque.

Ensuite, le vers vérifie s'il a déjà contaminé la victime. Si non, il crée une nouvelle entrée HCKU\software\OnTheFly\mailed dans le registre Windows puis se transfère par courrier électronique vers toutes les adresses contenues dans la boîte aux lettres Outlook.

Enfin, il s'autocopie dans le répertoire Windows de l'ordinateur victime sous le nom : AnnaKournikova.jpg.vbs. Si la victime efface le vers, celui-ci essaie de se recréer mais n'y parvient pas à cause d'une erreur de programmation de la part de l'auteur.

Ce vers s'inspire du célèbre "I Love You" mais est nettement moins sophistiqué que son illustre prédécesseur. Le seul risque encouru est un ralentissement des services de messagerie au sein des entreprises. La plupart des antivirus le détectent car sa date de création remonte à l'été dernier.