Jump to content
Règlement du forum ×
IPTV et arnaques ×

Windows : la faille d'octobre a son ver, Conficker


algérien_dz

Recommended Posts

Il y a un mois environ nous avions parlé d’un bulletin de sécurité de Microsoft à propos d’une faille qui touchait toutes les versions de Windows. Jugée critique pour Windows 2000, XP et 2003 Server, elle était considérée comme « seulement » importante sous Vista et Windows Server 2008.

 

Le bulletin, estampillé MS08-067, expliquait : « Cette mise à jour de sécurité corrige une vulnérabilité signalée confidentiellement dans le service Serveur. La vulnérabilité pourrait permettre l'exécution de code à distance si un système affecté recevait une requête RPC spécialement conçue. Sur les systèmes Windows 2000, Windows XP et Windows Server 2003, un attaquant pourrait exploiter cette vulnérabilité pour exécuter du code arbitraire sans nécessiter d'authentification. Il serait possible d'utiliser cette vulnérabilité dans la création d'un ver. »

 

Et justement, un ver a bien été créé, et l’éditeur en parle dans un bulletin informatif dans son centre de sécurité. Il a pour nom Win32/Conficker.A et son arrivée ne surprend personne. Son installation commence par la recherche du fichier « services.exe » pour s’y injecter. Il se copie ensuite dans le répertoire de Windows en prenant l’apparence d’un fichier DLL dont le nom comporte 5 à 8 caractères. Il change ensuite les dates de création/modification du fichier pour coller à celles de « kernel32.dll » pour échapper à un des types de détection des logiciels de sécurité.

 

Pour la propagation de l’ennemi, Microsoft indique : « Win32/Conficker.A se copie lui-même en mémoire et commence à se propager vers des adresses IP aléatoires à travers un réseau en exploitant une faille du service Windows Server (SVCHOST.EXE). Si la faille est exploitée avec succès, le ver commande à l’ordinateur ciblé de télécharger une copie du ver depuis l’ordinateur hôte via le protocole HTTP et en utilisant un port aléatoire ouvert par le ver ».

 

Constat intéressant : le ver identifie la position géographique de l’ordinateur en utilisant trois adresses :

  • Getmyip.org
  • Getmyip.co.uk
  • Checkip.dyndns.org

Or, Win32/Conficker.A évite d’infecter les machines basées en Ukraine.

 

À noter que le ver remet à zéro les points de restauration de la machine, empêchant l’utilisateur de faire un simple retour en arrière.

 

Ceux qui n’ont pas mis à jour leur machine devraient y songer maintenant que le ver se propage. Le moyen le plus simple est de passer par Windows Update, mais ceux qui le souhaitent peuvent passer par cette page pour télécharger l’exécutable du correctif spécifique à leur version de Windows.

Link to comment
Share on other sites

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Guest
Reply to this topic...

×   Pasted as rich text.   Paste as plain text instead

  Only 75 emoji are allowed.

×   Your link has been automatically embedded.   Display as a link instead

×   Your previous content has been restored.   Clear editor

×   You cannot paste images directly. Upload or insert images from URL.

×
×
  • Create New...