Les exe attaqués par Win32.Sality

[randriano]

Bonjour,

Je suis le nouveau recru d'une boîte de dév et bizarrement mon AV détecte des centaines de fichiers infectés dans mes dossiers partagés sous WINDOWS XP

Le plus bizarre c'est que ma clé USB et mon DD portable se trouvent partagés à mon insu. Comment un virus arrive à faire cela? Son infection consiste à infecter les fichiers XP

Mon but c'est de discuter sur ce virus car il y a peu d'info sur le net

[kovrov]

Salut,
Y’a 2 mois que j’avais le même problème avec ce mauvais virus, c’est vraiment dangereux il infecte tous les .exe et rien ne marche plus, mais ne t’inquiète pas y’a une solution pour ça.
fais attention ton antivirus peut supprimer les fichiers infectés s’il ne peut pas les désinfecter.
Alors la seule méthode que j’ai trouvé c’était un removal rmslt.exe sur le site d’AVG (2.7 MB) il désinfecte tout les fichiers touchés par ce virus.
bonne chance

[kovrov]

je l'ai telecharger de ce lein: http://www.avg.com/in-en/virus-removal

[homeostasie]

Envoyé par randriano

Le plus bizarre c'est que ma clé USB et mon DD portable se trouvent partagés à mon insu. Comment un virus arrive à faire cela? Son infection consiste à infecter les fichiers XP

Je ne pense pas que cela soit spécifique à XP. D'autre part, juste comme cela des fichiers XP, ca ne veut pas dire grand chose. ;-)
Ce virus s'attaque aux fichiers .scr et .exe.

Envoyé par www.microsoft.com/security

Virus:Win32/Sality is a family of polymorphic file infectors that target Windows executable files with extensions .SCR or .EXE. They may execute a damaging payload that deletes files with certain extensions and terminates security-related processes and services.

Le lien en question, dans un premier temps, pour un complément d'information:
http://www.microsoft.com/security/po...Win32%2fSality

EDIT: Un autre lien qui explique la propagation sur support amovible -> http://www.avertlabs.com/research/bl...ovable-drives/

[0x44-0x43-0x53-0x43]

Quelque mots sur le fonctionnement de ce vers.

L'infection des fichiers ce fait par un procédé d'injection ou autrement appeler ( bind ) , il va chercher tout les fichiers exécutable du disque ( .exe , .scr , .bat , .com ) et injecter chaque application qui ne sont pas en cours d'utilisation dans un stub génère qui contiendra le virus et l'exécutable qui fus remplacer .
Donc lorsque vous allez exécuter un exe ( notepad , calc , write ) par exemple les deux ressources ( virus et programme original ) vont se lancer en mémoire sans même s'inscrire sur le disque uniquement a partir du flux ressource.

hint : pour la recherche de fichier il utilise un simple FindNext...FindClose en balayant la totalité des disques qu'il détecte au préalable.
Pour la propagation USB c'est un jeu d'enfant , il va hooker un message qui lorsqu'un nouveau média va se connecter au port USB va éditer ou crée un fichier autorun.inf qui contiendra une section de lancement automatique , et bien sur le virus autocopie sur la clé pour être lancer automatiquement par le fichier autorun.inf.

Enfin en programmation il est très simple de forcer un partage de média qui par la suite est utilisé pour partager les ressources sur le réseaux ou même les axe de p2p (peer to peer).

[randriano]

Merci pour l'explication

Envoyé par randriano

Le plus bizarre c'est que ma clé USB et mon DD portable se trouvent partagés à mon insu. Comment un virus arrive à faire cela? Son infection consiste à infecter les fichiers XP

En fait, il semble que cela n'avait rien avoir avec le ver, c'est que le lecteur F: était partagé avant moi, dès que j'ai mis la clé, c'est partagé. Je ne sais pas si c'est vrai

[pi-2r]

Bonjour,

j'ai lu dans le dernier n° de MISC, que le vers réside en en mémoire pour pouvoir se propager.
Il possède un système d'auto protection pour éviter que les processus infectés ne se termine.
Par la même occasion, il désactive le gestionnaire des taches (par le biais de la base de registre) ainsi que que la base de registre et les clé qui permettent a l'ordinateur de redémarrer en mode sans échec.....