Des chercheurs découvrent le premier malware à pratiquer l'overwrite, caché sous la forme d'un Adobe Updater

**deadalnix** · 28/03/2010, 18h07

Sous windows, il n'existe pas de système de MAJ unifié.

Donc, chacun des programmes installés avec lui sont utilitaires de MAJ. c'est le cas d'adobe avec ce soft. Mais c'est aussi le cas de nombreux autres soft (sun le fait, google le fait, etc . . .).

Le problème, c'est que ce daemon est capable d'installer des softs dans le système. Or, si l'on peut tromper ce soft, on peut installer ce que l'on veut sur la machine cible. De plus, on peut le faire avec les droits admin, avec la bénédiction, même d'un utilisateur avertis puisque ce type d'action nécessite des droits admin en temps normal.

Le soucis, qui est souvent décrié en sécurité, c'est qu'en multipliant les softs du genre plutôt qu'en ayant un système de MAJ unifié, on multiplie les points d'entrée pour une attaque. Et on le voit clairement ici.

Pour ce qui est des softs adobe, le lus utilisé reste flash player. Or ce dernier n'est pas un soft standard, mais un plug-in. On ne peut donc pas utiliser de solution telle que tu le proposes.

**Zenol** · 28/03/2010, 21h09

Envoyé par Skyounet

Et tu le trouves où le binaire non corrompu à part en désinstallant/réinstallant l'application ?

Tu le prends sur un second PC?

Quoi qu'il en soit, d'accord, imaginons que l'utilisateur réinstalle l'application.
Je ne vois toujours pas en quoi l'utilisateur devras faire les mises à jour à la main.
Il lui suffit de réinstaller l'application, et ça s'arrête là.

Et puis, je crois qu'il sera plus difficile pour ce dernier de virer le malware que d'effectuer la réinstallation d'adobe reader...

Quoi qu'il en soit, sans informations sur le vecteur d'infection, cette news n'a pas beaucoup d'intérêt.

Et quand à dire que c'est le premier, j'ai de gros doute. Encore, le premier à modifier l'updater d'adobe, c'est déjà plus crédible.

**zoonel** · 29/03/2010, 03h23

Les vecteurs d'infections sont toujours les mêmes :
clef usb infectée d'un pote, sites webs infectés exploitant une faille (flash non mis à jour par exemple) et plus généralement système non mis a jour, faux codecs, téléchargement d'exécutables à tout va n'importe où -> cracks, p2p, mails, msn, faux programmes, ....
mot de passe trop faible (bon la je suis allé chercher un peu loin, mais c'est possible).
Bref il suffit d'une infime brèche pour se retrouver avec une infection carabinée

PS: et c'est pas parceque l'antivirus ne dit rien que c'est pas un virus ... et inversement

Moralité : tout internaute devrait passer un permis de surfer

Invité · 29/03/2010, 09h53

Envoyé par deadalnix

Sous windows, il n'existe pas de système de MAJ unifiée.

Donc, chacun des programmes installe avec lui sont utilitaire de MAJ. c'est le cas d'adobe avec ce soft. Mais c'est aussi le cas de nombreux autres soft (sun le fait, google le fait, etc . . .).

C'est bête moi qui croyait que les fabricants ( assembleurs ) de PC faisait du bon boulot, bah non ils oublient de mettre un soft de MAJ unifié sur le machine de leurs clients, OH !

**dams78** · 29/03/2010, 10h46

Envoyé par kaymak

Ce que tu demandes c'est le vecteur d'infection, il n'à dans cette news que peu d'intérêt.

C'est sa résidence. La manière qu'il utilise pour s"intégrer discrètement au système.

Justement, je trouve que ça a son importance, pour moi il y a deux types d'attaque :
- Les attaques sur des failles de sécurité, et là l'utilisateur n'y peut rien (sauf ceux qui prétendent n'avoir jamais eu de virus, ils doivent être vraiment balèze d'ailleurs) à ça tu peux rajouter les ports ouverts, les mots de passe légers comme certains l'ont préciser.
- Et les virus à mon avis plus présents et pourtant les plus faciles à éviter avec une réelle volonté de la part des éditeurs. Je pense au virus qui est installé par l'utilisateur à son insu : et quand on a un soft AdobeUpdate.exe on a beau être prudent, on ne peut pas savoir qu'il s'agit d'un virus. A cela tu rajoutes le phishing, etc. Et pourtant des solutions existent : il s'agit de tester l'intégrité des données reçues...

Mais bon après on se retrouve comme sous Linux, avec un système qui n'a pas besoin d'anti virus, mais seulement d'un système de mises à jour et d'un par feu, et ça, pour le business c'est pas bon

**Mens Pervincet** · 29/03/2010, 10h51

Je n’ai aucune expérience en sécurité informatique, mais je me pose une question:
J'ai bien compris que pour lancer un service réseau il faut les droits admin, et qu'ici le problème est que le virus ayant corrompu Adobe updater, l'utilisateur a l impression d'avoir affaire à adobeUpdater.exe et lui accorde les droits nécessaires.
Cependant, il me semble que pour écrire dans la zone de programme ( et donc, corrompre Adobe updater) il faut également une élévation de privilège. Je me trompe?? Du coup je vois mal comment se fait la contamination si l'utilisateur est un minimum sur ses gardes. Auriez-vous des éléments de réponse ?

**Médinoc** · 29/03/2010, 11h06

Si l'utilisateur accepte de télécharger la mise à jour, il aura un prompt d'élévation et exécutera l'updater en tant qu'admin...

**dams78** · 29/03/2010, 11h10

Envoyé par Mens Pervincet

J'ai aucune experience en securite informatique, mais je me pose une question:
j'ai bien compris que pour lancer un service reseau il faut les droits admin, et qu'ici le probleme est que le virus ayant corrompu adobe updater, l'utilisateur a l impression d'avoir affaire a adobeUpdater.exe et lui accorde les droits necessaires.
Cependant il me semble que pour ecrire dans la zone de programme ( et donc corrompre adobe updater) il faut egalement une elevation de privilege. Je me trompe ?? Du coup je vois mal comment se fait la contamination si l'utilisateur est un minimum sur ses gardes. Auriez vous des elements de reponse ?

C'était justement pour ça que je demandais "le mode de diffusion", pour moi j'ai compris que l'utilisateur lançais AdobeUpdater.exe, du coup il va lui donner les droits admin sans méfiance. Et la solution pour éradiquer ce genre de problèmes est toute simple : vérifier l'intégrité des données, c'est déjà fait sur d'autres plateformes.
Il serait intéressant d'ailleurs de savoir le pourcentage de virus qui est installé de cette manière par l'utilisateur.

**Lyche** · 29/03/2010, 11h16

Trop fort, hier soir j'ai eu une demande d'AdobeUpdater pour faire une installation, c'est la seule fois de ma vie ou j'ai refusé

d'ailleurs, en générale il ne demande pas ! Je ne sais pas si c'est le virus ou non, mais cette demande a été refusée.. Coup de chance

!

**dams78** · 29/03/2010, 11h25

C'est quand même paradoxal : pour avoir un système au maximum sécurisé il faut le mettre à jour, mais pour éviter ce type de virus il faut refuser les mises à jour

**deadalnix** · 29/03/2010, 17h22

Envoyé par dams78

C'est quand même paradoxal : pour avoir un système au maximum sécurisé il faut le mettre à jour, mais pour éviter ce type de virus il faut refuser les mises à jour

C'est pourquoi il faut un système de MAJ unifié afin d'éviter de multiplier les daemon de maj, et donc les risque potentiels.

**dams78** · 29/03/2010, 17h26

Envoyé par deadalnix

C'est pourquoi il faut un système de MAJ unifié afin d'éviter de multiplier les daemon de maj, et donc les risque potentiels.

Alors là je suis tout à fait d'accord, j'ai toujours connu ça sous Debian (Linux) et je n'ai jamais compris pourquoi ce n'était pas aussi utilisé dans un OS orienté utilisateurs plus ou moins confirmés comme Windows.

**deadalnix** · 29/03/2010, 17h33

Si ça peut te rassurer, Bill gates non plus. Il s'est prononcé la dessus par le passé.

Mais bon, il est à la retraite maintenant, c'est Steve qui gère . . .

**JeitEmgie** · 29/03/2010, 18h16

http://vreugdenhilresearch.nl/Pwn2Ow...tExplorer8.pdf

**kaymak** · 31/03/2010, 17h28

Envoyé par dams78

Justement, je trouve que ça a son importance, pour moi il y a deux types d'attaque :
- Les attaques sur des failles de sécurité, et là l'utilisateur n'y peut rien (sauf ceux qui prétendent n'avoir jamais eu de virus, ils doivent être vraiment balèze d'ailleurs) à ça tu peux rajouter les ports ouverts, les mots de passe légers comme certains l'ont préciser.
- Et les virus à mon avis plus présents et pourtant les plus faciles à éviter avec une réelle volonté de la part des éditeurs. Je pense au virus qui est installé par l'utilisateur à son insu : et quand on a un soft AdobeUpdate.exe on a beau être prudent, on ne peut pas savoir qu'il s'agit d'un virus. A cela tu rajoutes le phishing, etc. Et pourtant des solutions existent : il s'agit de tester l'intégrité des données reçues...

Mais bon après on se retrouve comme sous Linux, avec un système qui n'a pas besoin d'anti virus, mais seulement d'un système de mises à jour et d'un par feu, et ça, pour le business c'est pas bon

Oui c'est une information importante, mais c'était par rapport à la news en elle-même.
Ici, qu'importe le vecteur d'infection, ce qui est grave c'est que le virus se fait passer pour adibeUpdater.
Et donc si il fait poper une demande d'accès aux droits d'admin tu vas tomber dans le panneau.
Et lui donner les droits d'admin.

Ce n'est pas clair, mais je ne pense pas que le virus se diffuse via adobe updater.

Après les vecteurs que tu cites son commun à toutes formes d'attaques, quelle qu'en soit son but, ce n'est qu'un moyen comme un autre pour s'infiltrer dans un système, au pif le social engineering.