Le créateur de Zotob sous les verrous ?

[Sebastien.B]

Il s'agirait d'un jeune marocain repéré par le FBI

 

L'auteur présumé du très virulent ver Zotob aurait été arrêté ce jeudi à Rabat par la police marocaine, a indiqué vendredi la Direction générale de la sûreté nationale (DGSN). Il s'agirait d'un jeune marocain repéré par le FBI américain.

 

L'arrestation a été effectuée par un groupe mixte de la Police judiciaire et des Renseignements généraux marocains suite à "une demande d'assistance" de la Police fédérale américaine.

 

Le FBI avait retracé l'itinéraire du virus comme étant originaire d'un site informatique au Maroc, a-t-on précisé de même source.

 

Le concepteur présumé du virus, dont l'identité n'a pas été révélée, est âgé de 18 ans. Il aurait agi "en connivence" avec des réseaux de fraude sur les cartes bancaires, selon les premières investigations de la police marocaine.

 

On ne sait pas s'il s'agit du créteur de la version originale de Zotob ou d'une de ses variantes.

 

Zotob a fait son apparition août en exploitant des brèches dans la sécurité des plates-formes Windows 95, 98, ME, NT, 2000 et XP. Il a fait pas mal de dégâts, notamment dans les médias américains.

 

Il aura fallu moins d'une semaine pour que la faille révélée par Microsoft sur l'environnement Plug-and-Play de Windows soit exploitée par les 'hackers'. Au 'Patch Tuesday' de Microsoft, mardi 9 août, a succédé, dès mercredi 10 août, la publication - par un russe anonyme sous le pseudo 'Houseofdabus' - du code d'exploitation de la faille sur les machines sous Windows 2000.

 

Le ver Zotob.A est apparu le dimanche 14 août. Silicon.fr a publié l'information le 15 août (Alerte au ver Zotob.A). Pas d'exploit particulier hormis la rapidité de réaction, un inconnu a incorporé le code d'exploitation dans un 'bot', un ver qui se répand automatiquement. Sven Jaschan avait fait de même avec Sasser !

 

Le mercredi 17 août, une nouvelle menace commençait à faire parler d'elle, IRCbot, conçue sur le même modèle que Zotob. Une menace plus grande encore que son prédécesseur, puisque McAfee affirmait que IRCbot "bat tous les records de propagation".

 

Le 17 août, Trend Micro annonçait que six vers exploitant la même faille sur le Plug-and-Play de Windows 2000 étaient actifs : Zobot.C, Zobot.D, RBOT.CBQ, RBOT.CBR, SDBOT.BZH et DrugeBot.A.

 

Depuis, une vague de vers est venue menacer les systèmes Windows 2000, sans que l'on sache bien si la menace a l'envergure qu'on lui attribue, ou s'il ne s'agit pas plutôt du réveil des éditeurs et de la presse après les vacances.

 

Une origine commune, une menace cumulée

 

Point commun entre toutes ces attaques virales: elles exploitent la même faille sur Windows, révélée par l'éditeur lors de ses dernières mises à jour, l'alerte MS05-039 du 9 août qui révélait la vulnérabilité Plug-and-Play de Windows 2000.

 

Les hackers se sont précipités sur la faille et ont lancé leurs vers. Facile, on leur a généreusement fourni le code !

 

Ce type de ver, autonome, se répand en scannant les machines via le port 445/TCP. Lorsqu'une victime est identifiée, ce ver utilise le code d'exploitation afin de télécharger le dossier principal du virus via FTP. Il met alors en place un serveur FTP sur la machine infectée et commence à scanner à partir de celle-ci afin de trouver d'autres victimes et se répandre.

 

Les hackers se sont, semble-t-il, donné le mot et le code de 'Houseofdabus' s'est retrouvé dupliqué, soit directement dans des souches virales, Zotob, IRCbot, Bozori, soit sur des variantes de ces derniers, qui se multiplient et amplifient la menace, très concentrée sur les grandes organisations implantées aux Etats-Unis.

 

 

http://www.silicon.fr/getarticle.asp?ID=11188

[ipl_001]

Bonjour Sébastien, bonjour à tous,

 

Merci pour l'information !

 

Si je ne me trompe, il s'agit du premier Marocain à se faire piquer pour un genre d'affaire semblable... il pourrait bien y avoir une bonne petite colonie de passionnés !

 

Sébastien... tu devrais mettre un peu de pub pour ton site/forum perso dans ta signature !

L'as-tu stoppé ? l'URL http://internetsecurite.free.fr/ n'aboutit pas !

[Invité grenouille]

Slt Seb, ipl, à tous,

 

A propos de l'info, je ne crois pas qu'il faille faire d'amalgame entre son arrestation et le fait qu'il aurait créé un virus.

 

Son arrestation est plutôt dûe à sa participation aux fraudes à la CB. Enfin ça me paraît plus logique...

Modifié le 26 août 2005 par grenouille