Virus et Antivirus

Protection et sécurité :	Transféré page suivante :
Antivirus	Firewall
mise à jour	principe
précautions à prendre	informations sur les ports
contrôler un fichier à l'antivirus	firewall gratuit
antivirus performant
antivirus gratuit	Mot de passe
Anti-Troyens	mettre un mot de passe dans le Bios
	utiliser Desktop Shield
Infos sur les virus	autres utilitaires de protection
sites sur les virus
Virus dangereux
W95CIH Tchernobyl
Magistr
MTX
Hybris
Kak (Wscript.kakworm)
W32.Sircam.worm
VBS/Haptime-A
les faux virus (hoax)

Protection et sécurité :

Ce chapitre contient des connaissances de base en matière de sécurité.
Si on désire se documenter plus avant, consulter les sites suivants :
http://websec.arcady.fr/
http://securinet.free.fr/
http://www.zataz.com/

Voir également ces liens :
http://claymania.com/nav-map-fr.html
plus précisément :
http://claymania.com/prevent-fr.html
http://claymania.com/safe-hex-fr.html

On peut également consulter la "pseudo Faq" du forum fr.comp.securite :
http://www.bigfoot.com/~arboi/secu/FAQNOPI

Antivirus :

Mise à jour :

S'il n'est pas à jour, l'antivirus ne sert (presque) à rien. Car des nouveaux virus apparaissent tous les jours et il faut que l'antivirus soit en mesure de les reconnaître.
Une version de démonstration d'un antivirus sera donc rapidement dépassée.
Il faut disposer d'un antivirus enregistré, et aller régulièrement sur le site de l'Editeur de l'antivirus pour télécharger la dernière mise à jour (il y en a tous les 15 jours environ).

Voir la section Anti-Virus updates sur cette page :
http://www.windrivers.com/

On ajoutera la page de mise à jour de l'antivirus dans ses Favoris pour y accéder facilement ensuite.

Précautions à prendre :

Un minimum de précautions peuvent mettre à l'abri de bien des mésaventures !

Avec Outlook Express (ou autre logiciel de messagerie) :

- ne jamais ouvrir une pièce jointe dans le logiciel de messagerie,
- l'enregistrer d'abord dans un dossier sur le disque dur (voir), et la contrôler avec un antivirus (voir)
- se méfier particulièrement des fichier .exe ou .com,
- etc.

Avec les fichiers téléchargés sur Internet :

Tous les fichiers qui proviennent d'Internet doivent être placés dans un dossier spécial où ils seront examinés à l'aide d'un antivirus avant d'être utilisés (voir).

Contrôler un fichier avec l'antivirus :

Pour examiner un fichier, ou un dossier, à l'antivirus :

- cliquer avec le bouton droit sur le fichier ou le dossier, - sélectionner l'antivirus dans le menu.

On peut avoir deux antivirus sur son ordinateur.
L'un sera mis en surveillance, l'autre sera utilisé pour la vérification des fichiers.
Cela sera utile si l'un des deux se montre incapable d'éradiquer un virus.

Antivirus performant :

Les avis divergent quant à l'efficacité des antivirus...

Une liste d'antivirus est disponible à cette adresse :
http://claymania.com/anti-virus-fr.html

AVP. Actuellement, sur les forums, l'antivirus qui recueille le plus d'avis positifs. Il coûte moins de 300F, et ses mises à jours sont gratuites :
http://www.avp-fr.com/

Antivirus gratuit :

Site InoculateIT :
http://antivirus.cai.com/

Mises à jour d'Inoculate :
http://antivirus.cai.com/update.htm

Pour accéder facilement à cette adresse pour les mise à jour :

Anti-Troyens :

Un Trojan (cheval de Troie) est un programme qui permet de prendre le contrôle d'un ordinateur à distance, ou de transmettre des données par le web à l'insu de son utilisateur (voir).
D'après Roland Garcia : "un bon trojan est difficile à supprimer car il est souvent référencé en trois endroits."

Logiciels spécialisés dans l'éradication des Trojans (Cheval de Troie)
The Cleaner : http://www.moosoft.com/download.php
Purge-It : http://www.purge-it.com/

Infos sur les virus :

Sites sur les virus :

Infos sur les virus :

Actualités :
http://www.sophos.fr/ (français)
http://www.zataz.com/ (français)
http://www.autoreproinf.com (français)

Théorie :
http://websec.arcady.fr/virus.htm (français)
http://securinet.free.fr/ (français)
http://claymania.com/nav-map-fr.html (français)

Désinfection :
http://aspirine.altasecu.com/ (français)
http://aspirine.altasecu.com/control.html?scripts
(contient quelques scripts pour se débarrasser de certains virus)

http://www.symantec.com/region/fr/avcenter/ (français)
http://www.avp.ch/ (anglais)
http://www.f-secure.com/sitemap.shtml (anglais)

Virus dangereux :

Selon Roland Garcia, contributeur du forum news:fr.comp.securite.virus (à consulter en cas de doute) :

"Les soit disant virus dangereux que sont ILoveYou ou Kournikova ne sont que des gadgets et il est évident de s'immuniser contre eux à l'avance.
Fabriquer une signature contre ces virus ne prend que 10 mn.
Les vrais virus sont du genre CIH, MTX, Hybris ou Magistr. Eux posent de sérieux problèmes de détection et de désinfection. Ils ne se diffusent pas en quelques heures et agissent en profondeur. Sauf rare coup de malchance votre éditeur sera averti avant vous et vous les aurez dans la base. C'est là que les qualités d'antivirus font la différence.

WIN95CIH Tchernobyl :

C'est sûrement le virus le plus destructeur (avec Magistr). Car il attaque le Bios, et peut rendre l'ordinateur inutilisable. Suivant ses variantes, il se déclenche le 26 avril (date de l'explosion de la centrale nucléaire du même nom), ou tous les 26 du mois.

Des infos :
http://www.viruslist.com/eng/viruslist.asp?id=3204&key=00001000050000500007

Un programme pour l'éradiquer (kill_cih) est disponible ici :
http://www.sarc.com/avcenter/kill_cih.html (anglais)

Ou alors (informations de Christian Fabre) :
Fix CIH pour rétablir le système :
http://grc.com/files/fix-cih.exe
Clean CIH pour éradiquer le virus :
http://www.pspl.com/download/cleancih.exe

Magistr :

Virus de messagerie contenu en pièce jointe.
http://www.zdnet.fr/cgi-bin/a_actu.pl?File_ini=a_actu.zd&ID=18722
http://planete.qc.ca/pierrealaincoic/alertevirus/
Très dangereux. Aussi bien sur Outlook que sur Netscape.
"Le sujet du message, le nom du fichier .exe qui l'accompagne sont produits aléatoirement... Parmi les symptômes qui peuvent traduire l'infection d'une machine par ce virus, on note la présence du fichier “WG-SKYF.DAT”...."

Exemple de virus Magistr : expediteur : l'occase l'occase ; objet : !"#$ ; pas de message d'inscrit dans le corps du mail, par contre une piece jointe qui est un fichier : CFGWIZ32.EXE

Pour l'éradiquer :
http://www.symantec.fr/region/fr/avcenter/magistr_24876.html

MTX :

Virus de messagerie contenu en pièce jointe.
Le nom de la pièce jointe peut varier (ex : READER_DIGEST_LETTER.TXT.pif). Le point important, c'est le nom de l'extension (.pif), invisible dans la configuration ordinaire de Windows.
voir http://www.europe.f-secure.com/v-descs/mtx.shtml
http://claymania.com/mtx-removal-fr.html
Il est préférable de modifier Windows pour qu'il affiche le nom du fichier en entier (voir).

Hybris :

Virus de messagerie contenu en pièce jointe. Il en existe différentes variantes (32 paraît-il).
Il ne se propage pas par l'intermédiaire du Carnet d'adresses, comme d'autres virus de messagerie, mais en s'incrustant dans une bibliothèque Windows (wsock32.dll).

blanche.scr (ou autre)
Le sujet du message est : Les 7 coquins nains ou Blanche neige et ...les sexe nains
Infos sur :
http://vil.mcafee.com/dispVirus.asp?virus_k=98873&
http://www.f-secure.com/v-descs/hybris.shtml

Pour le supprimer :
http://claymania.com/hybris-removal-fr.html

Un site est consacré au virus Hybris (en anglais) :
http://www.sexyfun.net/

Kak (Wscript.kakworm) :

Autre virus similaire : VBS_TAM.A
(la méthode d'éradication manuelle est semblable pour les deux (voir texte).

(voir aussi) Virus contenu dans un message en HTML. Il s'active à cause d'une faille de sécurité des versions d'Outlook Express antérieures à la 5.01 (problème corrigé pour la 5.01 et versions ultérieures).
Il n'est pas dangereux... Il se contente, le 1 de chaque mois à partir de 18h00, d'afficher un texte au démarrage de l'ordinateur. Mais il se propage si on rédige ses messages en HTML.

Pour s'en débarrasser :
http://claymania.com/kak-removal-fr.html
script de désinfection :
http://aspirine.altasecu.com/control.html?scripts

Pour éviter d'en être à nouveau victime :
- effectuer les mise à jour critique sur le site Windows Update, ou,
- installer le patch :
http://www.microsoft.com/windows/ie_intl/fr/security/eyedog.htm

W32.Sircam.worm :

Virus de messagerie contenu en pièce jointe. Très répandu actuellement.
L'objet du message et le nom de la pièce jointe sont aléatoires (pris dans les fichiers de l'ordinateur infecté). Le seul identifiant, pour sa version anglaise, c'est un mail commençant par : Hi! How are you? et finissant par : See you later. Thanks
La taille du message peut aller de 288 Ko à plus de 1.6 Mo.

Premier indice d'infection : présence d'un fichier scam32.exe dans Windows\System.

Infos sur :
http://www.sophos.fr/virusinfo/analyses/w32sircama.html (français)
http://www.sarc.com/avcenter/venc/data/w32.sircam.worm@mm.html (anglais)

Téléchargement d'un utilitaire pour l'éradiquer :
http://www.avp.ch/files/clrav.com (voir ci-dessous)
ou :
http://www.symantec.com/avcenter/FixSirc.com

Méthode de désinfection avec clrav.com :

Je n'ai pas essayé cette méthode, et je ne la garantis pas. Mais c'est la procédure à suivre pour télécharger un programme Dos, et le lancer à partir d'une fenêtre Commandes MS-DOS.

VBS/Haptime-A :

Alias : VBS/Help, Happy Time, VBS/Haptime@MM
voir :
http://www.sophos.fr/virusinfo/analyses/vbshaptimea.html
"Il essaie d'infecter les fichiers avec les extensions VBS, HTML, HTM, HTT et ASP. Il essaiera aussi de supprimer les fichiers EXE et DLL lorsque la somme du mois et du jour est égale à 13 (par exemple, le 7 juin)".

Les faux virus (hoax) :

Les faux virus, ce sont des messages qui se répandent principalement par l'intermédiaire des forums de discussion. Ces messages prétendent à l'existence d'un nouveau virus, souvent en faisant référence à une société importante (Microsoft par exemple), et recommandent de transmettre l'information à tous ses contacts.
En fait, ce sont des hoax (canulars), qui n'ont pour seul but que d'engorger les serveurs de news et de messagerie.

Infos sur les faux virus (français) :
http://www.hoaxbuster.com/