Le service de veille antivirale de Doctor Web présente l'analyse de l’activité virale du mois de juillet 2008.

Les retentissantes épidémies virales appartiennent désormais au passé. Elles ont cédé leur place à un combat silencieux, invisible pour l'utilisateur non averti. Le mois de juillet nous en fait la démonstration et cet aperçu aurait pu s’intituler « Aperçu de l’activité des trojans », puisque ce sont des Chevaux de Troie de toutes sortes qui ont accaparé le devant de la scène durant le mois de Juillet.

A propos des Chevaux de Troie

Parmi les trojans les plus intéressants du point de vue de l’analyse, et en ce qui concerne l'algorithme permettant leur neutralisation, nous pouvons mentionner ceux de la famille Virtumod (selon le classement d’autres éditeurs antivirus Virtumonde/Vundo/Monder). Ces trojans ne figurent pas encore dans le top 10 des programmes malicieux les plus répandus mais ils se font déjà remarquer. Seuls quelques antivirus sont capables de les détecter et de les neutraliser. Ce sont les algorithmes utilisés pas l’auteur de ces trojans qui posent problème aux éditeurs antivirus. L’auteur du trojan développe plusieurs axes d’évolution (3 à 4) du packer polymorphe. Depuis les derniers mois, ce sont environs 10 modifications qui sont sorties, compte tenu du fait que des dizaines de milliers d’échantillons correspondent à chaque type de packer. Cette information est prouvée non seulement par les bases de Dr.Web, mais également pas les collections d’autres éditeurs antivirus ainsi que par les échantillons reçus constamment depuis le serveur de l’analyse antivirus en ligne.

Virtumod – n’est pas le seul représentant actif du « polymorphisme off-line ». Il est tout à fait flagrant que, sans développer les contre mesures technologiques permettant d’ajouter rapidement la détection des packers polymorphes dans le moteur antivirus, la situation va bientôt devenir très difficile.

Ces derniers temps, un autre trojan a largement été diffusé – Trojan.Clb. Il comporte un rootkit et utilise la technique splicing pour cacher les fichiers et certaines branches de la base de registre. Le trojan Trojan.DnsChange.967 mérite également d’être mentionné, il remplace l’adresse DNS du serveur sur les routeurs permettant la configuration depuis l’interface web. Ceci est particulièrement dangereux pour les utilisateurs des réseaux sans fil, dont les routeurs sont souvent configurés via l'interface web. Les utilisateurs de tel service sans fil, qui travaillent par exemple via Wifi, peuvent facilement devenir les victimes de ce remplacement de DNS, à la suite duquel leurs données confidentielles peuvent être aspirées.

Autre fauteur de troubles : le représentant de la famille Trojan.Okuks. Sa détection ne pose aucun problème pour la plupart des éditeurs antivirus mais il n’en est pas de même pour sa neutralisation. Dans le cas où un antivirus n'est pas capable de réparer correctement le système infecté par ce type de trojan, par exemple lorsque le fichier est supprimé mais sans nettoyer la base de registre, la machine va tomber en BSOD directement après le redémarrage.

A propos des « leaders »

Il s’agit des vers de la famille Autoruner, qui sont souvent soumis à l’analyse de Doctor Web via le scanner en ligne.

Ces vers utilisent comme mode de transport les cartes flash qui sont très répandues aujourd’hui. On en utilise partout, au travail, à la maison etc. Mais cette commodité s’accompagne d’un grand risque compte tenu du fait que les virus sont de plus en plus diffusés à l'aide de tels supports amovibles. Non seulement les cartes flash sont visées par les virus mais aussi tout support amovible pouvant être connecté à une machine par le port USB : appareils photos, vidéo, cadres photographiques, téléphones mobiles. Sur le serveur de statistiques de Doctor Web qui affiche la situation globale sur les serveurs protégés par Dr.Web, le vers de la famille Autoruner est au premier rang des menaces au mois de juillet.

Tableaux 1. Top 10 les plus fréquemment détectés sur les serveurs de messagerie au mois de juillet 2008

Tableau 2. Top 10 les plus fréquemment détectés sur les PC au mois de juillet 2008