Alerte monstre : trois virus en 12 heures

Novrag, Doom, Mydoom, mimail mutant..., les noms se suivent et ne se ressemblent pas. Très schématiquement, deux nouvelles variantes de mimail se propagent actuellement avec une certaine violence, l'une des deux infections conduisant à une attaque en déni de service à l'encontre de SCO. Les intitulés les plus courant sont le fameux "hi", "Mail Delivery System", "Test" ou "Mail Transaction Failed". Les principaux auteurs d'antivirus ont mis à jour leurs bases de données et certifient pouvoir bloquer ce ver. L'une des variantes utilise une clef de cryptage polymorphique. Le poids binaire du mimail le plus diffusé en Europe gravite aux environs de 32 Ko et se présente sous forme d'un fichier au format zip, pif, scr, bat etc. Bien entendu, toute ouverture dudit fichier est fortement déconseillée.

Le troisième virus, quant à lui, est attendu depuis très longtemps : il se nomme Dumaru selon la viruslist de Kaspersky, et connaît trois avatars, j, k et l.

Dumaru n'est pas particulièrement un inconnu des services de police, puisqu'il sévit depuis décembre dernier. Ce qui est inhabituel, c'est qu'il se propage grâce à l'activation d'un courrier au format html singeant l'aspect d'une alerte Microsoft (un phishing classique), laquelle semble effectivement provoquer un téléchargement d'un site ayant l'aspect d'une page Microsoft, URL y comprise. Les habitués des rapports de faille auront compris, on est bel et bien face à la première exploitation virale du fameux "bug" d'Internet Explorer connu sous le nom de code "0x01@", qui permet de "monter" de toute pièce un spoofing d'URL. Une fois le processus d'infection entamé, la machine est transformée en "mass mailer", autrement dit en usine à diffusion de virus et de spam.

Interrogés sur ce sujet, les responsables de l'antenne sécurité de Microsoft France rappellent qu'une page d'information a été publiée à ce sujet sur le site MS. Celle-ci explique aux usagers comment distinguer une "fausse" page d'une véritable adresse du Technet. Précisons que les auteurs du dernier vecteur Dumaru jouent avec la typographie de leur site-leurre, et se réclament de MicroSoft... à une majuscule près, on aurait pu y croire.

Le correctif IE, attendu depuis décembre dernier, est en cour d'écriture. Son retard de mise à disposition sur les serveurs du "response team" est dû, semble-t-il, à un problème de régression sur certaines "grosses applications utilisées par nos clients", précise un porte parole de l'éditeur.

Rappelons que peu de temps après la découverte de cette faille, plusieurs professionnels de la sécurité avaient publié leurs propres rustines, donc certaines s'étaient révélées relativement dangereuses.