Un nouveau virus sous Windows 7, Réactions à la publication du 20/07/2010

[Lionel]

Il est très difficile pour un site Mac de parler de failles ou de virus sous Windows sans être considéré comme un "Troll". Pourtant, nous considérons qu'il est important de relater ces informations non seulement parce qu'elles concernent une bonne partie de la population, mais aussi parce que les mécanismes d'infection pourraient demain être d'une manière plus ou moins proche transposées sous OS X.


Pour en revenir à ce virus, il se propage de PC en PC sous Windows 7 lorsque ces derniers autorisent le lancement automatique de certains fichiers depuis une clé USB ou un disque montés. Pour infecter les machines, ce virus va installer sur la machine cible deux pilotes qui n'attirent pas l'attention des protections du système parce qu'ils sont cachés derrière une signature numérique de pilotes valides visiblement usurpée à Realtek. Ils ont donc l'apparence de fichiers anodins.
Une fois de plus, ce virus vise les informations personnelles comme des identifiants ou mots de passe ou encore des numéros de cartes bancaires. 


Pour sa propagation, comme vous l'aurez compris, elle se fera de clés ou disques en machine et ainsi de suite.
Par Lionel

[iJOJO]

Il est très difficile pour un site Mac de parler de failles ou de virus sous Windows sans être considéré comme un "Troll". Pourtant, nous considérons qu'il est important de relater ces informations non seulement parce qu'elles concernent une bonne partie de la population, mais aussi parce que les mécanismes d'infection pourraient demain être d'une manière plus ou moins proche transposées sous OS X.


Pour en revenir à ce virus, il se propage de PC en PC sous Windows 7 lorsque ces derniers autorisent le lancement automatique de certains fichiers depuis une clé USB ou un disque montés. Pour infecter les machines, ce virus va installer sur la machine cible deux pilotes qui n'attirent pas l'attention des protections du système parce qu'ils sont cachés derrière une signature numérique de pilotes valides visiblement usurpée à Realtek. Ils ont donc l'apparence de fichiers anodins.
Une fois de plus, ce virus vise les informations personnelles comme des identifiants ou mots de passe ou encore des numéros de cartes bancaires. 


Pour sa propagation, comme vous l'aurez compris, elle se fera de clés ou disques en machine et ainsi de suite.
Par Lionel

Lionel bizarrement sous d'autre site, on parle de rootkit....

source pcinpact

Une nouvelle faille de type 0-day, donc déjà exploitée au moment où elle est révélée, touche actuellement Windows. Cette brèche est doublement « intéressante », non seulement par ses détails techniques, mais aussi par son exploitation.

La faille de sécurité est considérée comme critique et touche les raccourcis, ou plus exactement la manière dont Windows XP se charge d’afficher les éléments graphiques pour ces raccourcis, via Shell32.dll. Le problème atteint sa plus grande dangerosité avec les clés USB quand l’exécution automatique est activée. Si un fichier lnk (« Link », raccourci) a été spécialement créé pour tirer profit de la faille, la machine va se retrouver infectée.

Malheureusement, désactiver l’exécution automatique ne permet pas de diminuer significativement les risques, car il suffit que le raccourci soit passé en revue par Windows. Dès lors, la faille est exploitable sans la participation de l'utilisateur : aucun mécanisme de sécurité ne peut empêcher le malware qui l'exploite de fonctionner. Et pour cause : il s’agit d’un rootkit qui présente la particularité d’installer deux pilotes signés, mrxnet.sys et mrxcls.sys, dont la mission est entre autres de masquer le rootkit. En clair : si l'utilisateur ouvre un dossier dans lequel se trouve un raccourci spécialement conçu, la brèche est exploitable.

La clé de signature, découverte par VirusBlokAda et analysée actuellement par Sophos, appartient à la société RealTek, celle-là même qui produit des puces pour un très grand nombre de produits. Cela signifie, au mieux, que cette clé a été « volée » d’une manière ou d’une autre, et que son usage a été fortement détourné.

Ce message a été modifié par iJOJO - 20 Jul 2010, 13:58.