Discussion :

[Katleen Erna]

Des chercheurs découvrent le premier malware à pratiquer l'overwrite, caché sous la forme d'un Adobe Updater

Un code malicieux vient d'être repéré pour la première fois par des spécialistes en sécurité informatique.

En effet, des chercheurs viennent de découvrir un malware qui se substitue aux mises à jour de certaines applications. Habituellement, ce type de programmes ne pratique pas l'overwrite.

Seuls les ordinateurs tournant sous Windows sont touchés. Le malware se cache sous la forme d'un updater pour les produits Adobe ou Java. Une variante imite Adobe Reader v.9 et overwrite AdobeUpdater.exe, lequel a pour mission de se connecter régulièrement auprès des serveurs d'Adobe pour vérifier si une nouvelle version est disponible.

Une fois installé bien au chaud sur une machine, le malware active les services DHCP (Dynamic Host Configuration Protocol) client, DNS (Domain Name System) client, partage réseau (ces services sont pour la plupart déjà lancés) et ouvre un port, pour recevoir des commandes.

D'après un expert de Trend Micro, les bons antivirus devraient détecter cette menace. Il précise aussi que les ordinateurs infectés seront altérés même une fois le malware désinstallé, car ils perdront la fonctionnalité d'auto-mise à jour de n'importe quel logiciel infecté, ce qui exposera la machine a bien d'autres menaces si des patchs ne peuvent alors pas être rapidement installés (à cause de ce défaut). Il faudra en effet aux utilisateurs victime de ces codes malveillants, recommencer a télécharger leur mises à jour à la main, ce que certains ne sauront ou ne voudrons pas faire.

Source : Le blog de l'analyste en sécurité Nguyen Cong Cuong (avec captures d'écran)

[dams78]

Et bah...
J'ai pas compris comment il s'installait pas contre? Il se présente sous la forme AdobeUpdater.exe c'est ça?

[FotoXe33]

C'est là où on dit "Vive UNIX" !!!

[kaymak]

J'ai pas compris comment il s'installait pas contre? Il se présente sous la forme AdobeUpdater.exe c'est ça?

Ce que tu demandes c'est le vecteur d'infection, il n'à dans cette news que peu d'intérêt.

Il se présente sous la forme AdobeUpdater.exe c'est ça?

C'est sa résidence. La manière qu'il utilise pour s"intégrer discrètement au système.

[jaimepaslesmodozélés]

Justement si, le vecteur d'infection est LA chose à connaître, et pourtant on n'en parle pas

j'ai une JRE correctement installée et à jour, Flash idem, pare-feu et antivirus à jour, configurés et actifs, je me pose donc la question essentielle : comment diable va t-on corrompre les updaters de ces deux logiciels ?
- S'il faut aller attraper un virus en faisant X bêtises, il n'y a pas lieu de s'alarmer (comme d'hab quoi, seuls les inconscients tombent dans le piège, pas les internautes avertis, ceci étant valable pour 99,9999% des virus, faut être honnête).
- Si mon install se corrompt "toute seule" (disons.... une faille non patchée permettant à quelqu'un de se connecter et corrompre l'updater), là oui, il y a un problème, mais sauf info contraire, tout va bien.

Rhalala, c'est toujours pareil : on vous parle d'une faille super dangereuse pouvant manger vos enfants, mais on se garde bien de vous dire que pour être attaqué, il faut passer 50h sur des warez, tout accepter sur la mule, ne pas avoir d'antivirus, ouvrir tous ses ports, et sacrifier un CD de la star'ac.

[MadScratchy]

C'est là où on dit "Vive UNIX" !!!

[Zenol]

D'après un expert de Trend Micro, les bons antivirus devraient détecter cette menace. Il précise aussi que les ordinateurs infectés seront altérés même une fois le malware désinstallé, car ils perdront la fonctionnalité d'auto-mise à jour de n'importe quel logiciel infecté, ce qui exposera la machine a bien d'autres menaces si des patchs ne peuvent alors pas être rapidement installés (à cause de ce défaut).

Heu, je n'ai pas bien comprit ce passage. En quoi le malware supprimé, serait-il impossible de re-placer des binaires saint des updaters? Généralement, si l'on suprimer un ver, un trojan ou autre, on le vire et on restaure les binaires corrompus...

[Skyounet]

Heu, je n'ai pas bien comprit ce passage. En quoi le malware supprimé, serait-il impossible de re-placer des binaires saint des updaters? Généralement, si l'on suprimer un ver, un trojan ou autre, on le vire et on restaure les binaires corrompus...

Et tu le trouves où le binaire non corrompu à part en désinstallant/réinstallant l'application ?

[El_Arby]

bonsoir
j'aiemrait bien comprendre comment un tel malware puisse activer des services
(tel que DHCP ..) sans que windows defender ou l'antivirus puisse detecter
une telle activite?!

[Skyounet]

bonsoir
j'aiemrait bien comprendre comment un tel malware puisse activer des services
(tel que DHCP ..) sans que windows defender ou l'antivirus puisse detecter
une telle activite?!

Euh, parce que tu peux activer des services avec simplement une ligne de commande.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

net start tonservice

[teddyalbina]

Euh, parce que tu peux activer des services avec simplement une ligne de commande.

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

net start tonservice

Ne pas oublier aussi que la plupart des utilisateurs se baladent sur le compte admin pour ceux sous XP y'a rien à faire ceux sous vista et 7 ne lisent pas le message de l'os quand il demande la validation user pour faire l'augmentation de privilège l'un dans l'autre ...

[goomazio]

De toute manière si c'est AdobeUpdater.exe qui demande les droits admins, même en lisant le message d'avertissement on va accepter.

[LordMacharius]

Sous seven, est-ce-que simplement retirer les droits de l'updater a la main suffirait-il ? (Il y a une gestion de droits pour les users du type ACL)

Sinon je suis curieux de voir comment il fait ca ce joli malware :p

[miltone]

Rhalala, c'est toujours pareil : on vous parle d'une faille super dangereuse pouvant manger vos enfants, mais on se garde bien de vous dire que pour être attaqué, il faut passer 50h sur des warez, tout accepter sur la mule, ne pas avoir d'antivirus, ouvrir tous ses ports, et sacrifier un CD de la star'ac.

J'ai à une certaine période beaucoup navigué et téléchargé sur le net SANS AUCUN ANTIVIRUS !!!!!

Alors oui peut-être que malgré moi j'avais certains virus
MAIS
jamais aucun qui m'ait causé quelques soucis que ce soit.

Je suis toujours étonné de voir le comportement des gens face à leur ordinateur. Leur pratique et leur gestion surtout. Même cher des gens qui travail dans l'informatique d'ailleurs.

On préfère vendre un antivirus à 30€/an(licence oblige) au lieu de proposer un ensemble d'outil gratuit à lancer régulièrement sur ca machine ou voir même d'apprendre certains concept pour eviter la cata.

Les virus sont créés par les gens qui vendent les anti-virus



Les virus c'est comme dieu ca permet de trouver une réponse facile et rapide à des soucis bien souvent plus technique et délicat

[jaimepaslesmodozélés]

Si seulement tu savais à quel point je suis d'accord avec toi
Mais bon : en disant ça tu vas t'attirer les foudres des fanas de la sécurité ^^.

Après, il faut prendre en compte un cas de figure assez répendu : tu es un utilisateur averti MAIS appartenant à un réseau constitué de collègues qui, eux, n'ont aucune notion de sécurité, téléchargent à tout va et sèment moulte virus. Là, tu as malheureusement besoin d'un bon firewall et trop souvent d'un antivirus (à cause du collègue qui t'envoie un mail / clef-usb rigolo mais vérolé).

C'est comme sur la route : tu as beau conduire ultra-prudament, tu es tout de même content d'avoir déboursé XXX euros pour un système d'air-bags & co en prévision du jour où un andouille te sera rentré dedans de plein fouet.

PS : on ne sait toujours pas COMMENT on se fait corrompre notre installation JRE/Flash ? *snif*, dommage...

[deadalnix]

Alors oui peut-être que malgré moi j'avais certains virus
MAIS
jamais aucun qui m'ait causé quelques soucis que ce soit.

Non par contre, tout ceux qui reçoivent du spam peuvent te remercier.

Les boites qui subissent des DDoS devraient aussi t'envoyer la facture.

Et pour le reste, depuis le temps qu'on dit que de ne pas avoir un système de maj unifié sous windows est un problème, je me demande encore comment certains croient avoir découvert quelque chose en s'en apercevant.

[teddyalbina]

Non par contre, tout ceux qui reçoivent du spam peuvent te remercier.

Les boites qui subissent des DDoS devraient aussi t'envoyer la facture.

Et pour le reste, depuis le temps qu'on dit que de ne pas avoir un système de maj unifié sous windows est un problème, je me demande encore comment certains croient avoir découvert quelque chose en s'en apercevant.

Maj unifié ça existe c'est windows update, mais encore faut-il que les éditeurs l'utilisent, c'est le cas pour certains

[deadalnix]

Justement, non. D'ailleurs à ce porpos, bill gates a tenus des propos fort intéressants après sont départ à la retraite.

Faudrait quand même être plus royaliste que le roi.

[berceker united]

J'ai à une certaine période beaucoup navigué et téléchargé sur le net SANS AUCUN ANTIVIRUS !!!!!

Alors oui peut-être que malgré moi j'avais certains virus
MAIS
jamais aucun qui m'ait causé quelques soucis que ce soit.

Je suis toujours étonné de voir le comportement des gens face à leur ordinateur. Leur pratique et leur gestion surtout. Même cher des gens qui travail dans l'informatique d'ailleurs.

On préfère vendre un antivirus à 30€/an(licence oblige) au lieu de proposer un ensemble d'outil gratuit à lancer régulièrement sur ca machine ou voir même d'apprendre certains concept pour eviter la cata.

Les virus sont créés par les gens qui vendent les anti-virus



Les virus c'est comme dieu ca permet de trouver une réponse facile et rapide à des soucis bien souvent plus technique et délicat

Ne le prend pas mal mais je pense que tu es un peut naïf sur ce point. Les virus n'ont plus le même comportement que dans les années 90. Avant les virus avait pour but de te nuire maintenant, ils sont là sans nuire à l'ordinateur mais pour ce servir de lui pour commettre des actes sur le net généralement. Sincèrement, si tout le monde avait au moins un antivirus sérieux je pense que nous aurions moins de problème plus de bande passante.

[Psychopathe]

Justement si, le vecteur d'infection est LA chose à connaître, et pourtant on n'en parle pas
....

Rhalala, c'est toujours pareil : on vous parle d'une faille super dangereuse pouvant manger vos enfants, mais on se garde bien de vous dire que pour être attaqué, il faut passer 50h sur des warez, tout accepter sur la mule, ne pas avoir d'antivirus, ouvrir tous ses ports, et sacrifier un CD de la star'ac.

Mon dieu que je suis d'accord. Je suis toujours amusé de lire tous ces trucs sur une faille de sécurité ou un virus, mais on t'explique jamais comment on le chope et comment le pirate va arriver à profiter de la faille surtout si tu ne vas sur aucun site à risques, que ton pc est à jour et que tu as un Kaspersky Internet Security à jour...

En tout cas ce qui est intéressant c'est que c'est encore Adobe qui est mis en cause (Stevie doit se frotter les mains...). En effet, pourquoi créer un exécutable pour faire une mise à jour (question naive?)? Pourquoi ne pas faire plus simplement une demande de mise à jour quand on lance uniquement un exécutable Acrobat par exemple? Dans le sens d'intégrer la mise à jour avec le logiciel associé (comme un navigateur, ou un Ccleaner quand on le lance). Pourquoi vouloir proposer ce "machin", surtout si on n'utilise presque jamais Acrobat par exemple? Car en effet si le programme n'est jamais lancé, alors en théorie il ne peut y avoir de faille non? Donc pourquoi vouloir proposer une mise à jour? Mais bon: j'ai certainement rien compris...