www.virtuelnet.net :: Hébergement libre sur serveurs libres

Nouvelle épidémie en vue pour les systèmes Windows avec ce virus-ver "multitâche": il sature les réseaux, ouvre une porte dérobée sur les postes clients et est programmé pour lancer une attaque groupée contre le site de SCO.
Les ordinateurs fonctionnant avec Windows font face à leur deuxième épidémie de virus-ver en moins de 15 jours. Le parasite se prénomme cette fois Mydoom, alias Novarg ou encore Mimail.R. Une énième variante du virus Mimail découvert en août 2003.
Détecté le 26 janvier, Mydoom est un "mass mailer" qui se repand très rapidement sur les réseaux en les saturant.
En plus de transiter classiquement par les messageries de courrier électronique, Mydoom emprunte également le réseau d'échange "peer-to-peer" Kazaa. Il se copie dans le répertoire de partage de fichiers de Kazaa sur les machines qu'il infecte. Et prend alors les noms de fichiers suivants: nuke2004, office_crack, rootkitXP, strip-girl-2.0bdcom_patches, activation_crack, icq2004-final ou winamp. Des fichiers à ne surtout pas ouvrir, au risque de contaminer son ordinateur.
Ce virus peut donc également prendre la forme d'un e-mail, avec pour objet: "Error, Status, Server Report, Mail Transaction Failed, Mail Delivery System, hello ou hi". Le corps du message, toujours en anglais, varie; exemple: «Mail transaction failed. Partial message is available». Bien entendu, Mydoom est dissimulé dans la pièce jointe qui accompagne le message. Son nom peut varier comme son extension ? .zip, .bat, .exe, .pif, .cmd, .scr ? mais son poids reste fixe: 22,528 octets.
Comme souvent, il suffit de ne pas ouvrir cette pièce jointe pour que le virus demeure inactif. Dans le cas contraire, il contaminera la machine en commençant par chercher des adresses e-mails dans divers emplacements. Enfin, grâce à son propre moteur d'envoi de courrier (protocole SMTP), Mydoom se postera de lui-même vers l'ensemble des contacts trouvés.
Il se copie également dans le répertoire "Windows System" avec le nom de fichier "taskmon.exe", et modifie la base de registre pour être lancé à chaque démarrage du système.
S'il ne détruit aucune donnée sur le disque dur, Mydoom n'est est pas moins dangereux. Outre la saturation des réseaux qu'il peut entraîner au niveau d'un serveur d'e-mails, il installe également sur le poste client une porte dérobée ("backdoor"). Le système contaminé devient alors accessible à distance; une personne malintentionnée a les mains libres pour en prendre le contrôle ou y exécuter du code.

Un virus politique

Mais Mydoom n'est pas un mass-mailer comme un autre. "Il semble que ce ver ait une vocation politique", commente Eugenio Correnti, directeur technique de F-Secure France. Car il est également programmé pour lancer une attaque par déni de service (DDOS) à l'encontre du site de l'éditeur SCO. Ce type d'attaque a pour principe de saturer les serveurs hébergeant le site en lui envoyant un grand nombre de requêtes depuis la multitude d'ordinateurs infectés.
Rappelons que SCO Group défraye la chronique judicaire en affirmant détenir des droits de propriété intellectuelle sur du code Unix présent dans le noyau Linux. L'attaque par déni de service est programmée pour la date du 1er février 2004 et jours suivants. Le virus a quant à lui une fin de vie fixée au 12 février.

Source: ZDNet France