Forums Zebulon.fr: Backdoor.Win32.IRCBot.aaq - Forums Zebulon.fr

Le scan global des DLL

Citation

Citation

Citation

Citation

Citation

Citation

Citation

Conclusion

Pour rappel, ce ver MSN est un ver qui se propage via des zips proposant de visualiser des photos.
La personne ouvre le zip et executer le fichier à l'intérieur, l'infection s'installe.

L'infection est composé d'un fichier DLL et un fichier exe.
La DLL se charge au démarrage de Windows via une clef spécifique de la base de registre visualisable par la ligne O21 sur HijackThis. Ex :
O21 - SSODL: printers - {70810444-A130-4DA8-8653-79F20EC2C3A4} - libwinets.dll (file missing)

Voici les dates d'apparitions des DLL :
* syshosts.dll : 31 mai
* syshelps.dll : 7 juin
* sysprinters.dll : 1er juillet
* libcintle2.dll : 29 juillet
* libcintles3.dll : 30 juillet
* libwinets.dll : 1er août
* libhelps.dll : 06 août
* libmsns.dll : 08 août
* prodigys323.dll : 10 août - http://www.cisrt.org...og/read.php?138 - non présent dans le test
* libweb.dlll : 16 août.

Pour stopper l'infection, il faut donc que les antivirus détecte le fichier zip mais aussi les DLL et les fichiers .EXE afin que les personnes qui ont été infectées durant la période où le zip n'était pas détecté puissent se désinfecter.

Que constatons au niveau de la détection ?
- Avast! est toujours dans le ploton de queue pour intégrer l'infection voire le dernier.
- Avast! ne détecte que deux DLL sur les 9 testées.

Compte tenu du nombre important de personnes qui utilisent Avast! en France, surement l'antivirus le plus répandu avec Norton et McAfee.
On peut dire qu'Avast! permet à l'infection de se propager librement puisqu'il a parfois mis entre 6 et 15 jours pour intégrer le zip et qu'il ne détecte que 2 des 9 DLL ce qui laisse un nombre conséquent de machines infectées.
Au vu de la vitesse de propagation de l'infection que permet MSN... Cela donne une idée du potentielle du nombre de PC infectés.

Au 19/08 :
* Une recherche Google sur les mots "virus msn" retourne 12 millions de résultats : http://www.google.fr/search?hl=fr&clie...rcher&meta=
* Sur les mots "msn photos msn" 3,8 millions de résultats : http://www.google.fr/search?hl=fr&clie...rcher&meta=

Avast! ne semble pas détecter les dernières DLL.. ce qui signifie que les internautes qui possèdent Avast! et qui ont été infectés n'ont pu se désinfecter à partir de leur antivirus.
Voici quelques cas relévés au pif sur des forums de sécurités avec des personnes ayant Avast!, bien entendu je ne peux pas poster tous les liens de tous les forums de sécurités (vous avez vu le nombre de retour de Google).
Le but étant que vous puissiez avoir un aperçu de la réalité des désinfections.

Pour ma part, je rajouterai, mais c'est une remarque personnelle, ce n'est pas la première fois que je constate qu'Avast! ne détecte pas le contenu de l'infection mais seulement les fichiers qui entraîne l'infection.
Je ne peux pas le prouver car ce serait trop long... par contre, je vous invite tous à visiter plusieurs liens de désinfections sur les forums de sécurité.
Vous verrez que la majorité du temps, les personnes qui aident à la désinfection passent AVG Antispyware et/ou BitDefender.. et qu'en général... ils détectent beaucoup de choses (le contenu de l'infection qu'Avast! semble laisser de côté).

Autre remarque personnelle, Avast! ne se comporte pas comme cela que sur les infections MSN, je tiens à le préciser ; chose que j'ai tenté de démontrer sur la page de mon forum relayé par ce post : http://forum.zebulon...howtopic=122975

Pour les néophytes qui crient haut et fort (et surtout qui répètent ce qu'ils entendent autour d'eux), qu'Avast! est le meilleur Antivirus gratuit.
Vous avez tout faux... il suffit de vous promener sur les forums de désinfections pour vous en rendre compte.

Personnellement, je vous conseille donc Antivir à la place d'Avast! : http://forum.malekal.../ftopic4192.php
En second lieu, AVG dans les gratuits.