Sécurité des fichiers de format commun - Historique des versions

Adela le 20 novembre 2016 à 22:20

2016-11-20T22:20:39Z

← Version précédente		Version du 20 novembre 2016 à 22:20
Ligne 107 :		Ligne 107 :

	Une fois que le système infecté a localisé le serveur C&C, il reçoit des backdoors cryptés, dissimulés sous forme d’images dans des fichiers GIF qui se retrouvent sur la machine de la victime. Ceux-ci peuvent télécharger à leur tour un backdoor plus volumineux qui effectue plusieurs opérations élémentaires : copie, déplacement ou suppression de fichier, création de répertoire, terminaison de processus et, bien entendu, téléchargement et exécution de nouveau malware.		Une fois que le système infecté a localisé le serveur C&C, il reçoit des backdoors cryptés, dissimulés sous forme d’images dans des fichiers GIF qui se retrouvent sur la machine de la victime. Ceux-ci peuvent télécharger à leur tour un backdoor plus volumineux qui effectue plusieurs opérations élémentaires : copie, déplacement ou suppression de fichier, création de répertoire, terminaison de processus et, bien entendu, téléchargement et exécution de nouveau malware.

			= Fichier multimedia =
			'''Image'''

			Dans le cas des fichiers image, il existe un type de virus utilisant ces dernière pour l'infection d'ordinateur. C'est le virus perrun.

			Perrun est composé d'un troyen extracteur qui peut lire, extraire et exécuter du code viral caché dans des fichiers JPEG ainsi que d'un programme caché dans une image JPEG et capable de se copier lui-même dans des fichiers JPEG, simulant un virus. Pris séparément, ni le troyen extracteur ni l'image contenant du code viral caché ne sont des virus, par contre l'ensemble se comporte comme un virus multicomposant : comme les images prétendument infectées ne contiennent qu'une partie du virus multicomposant et surtout comme elles ne peuvent pas infecter un ordinateur sain, il est cependant clairement erroné de parler de virus uniquement JPEG.

			Cependant, cela est à ce jour le seul virus utilisable par le biais du fichier image enregistré sur le disque dur d'un ordinateur, un autre point d'accès étant les méta données qui sont enregistré avec l'image, ce qui peut mener à des attaques par buffer overflow.

			'''Video'''

			Coté vidéo, il n'existe pas de virus directement actif depuis le fichier vidéo qui fonctionne sur tout lecteur, la plupart des vidéos pouvant être dit potentiellement virales sont en effet fabriquées pour exploiter un seul type de faille sur un seul type de logiciel vidéo.

			= Faille 'hors' fichier =

			Une des formes les plus triviales de camouflage des virus et d'incitation (ingénierie sociale) à l'ouverture (l'exécution) du virus est la faille des doubles extensions

			Ce virus exploite le camouflage des extensions de fichiers aux utilisateurs

			Les noms de fichiers, sous Windows, sont constitués de 2 parties séparées par un point : un nom et un suffixe (une extension du nom) de 1, 2, 3, 4 ou 5 caractères qui donne au système d'exploitation l'indication du programme à utiliser pour manipuler le fichier. C'est un héritage du vieux monde MS-Dos et nous devons faire avec.
			Exemple: Si on a un fichier Excel s'appelant dépenses, son nom complet est depenses.xls


			Cette extension permet donc de savoir quelle est la nature du fichier. Dans les exemples ci-dessus :
			.xls signifie que le fichier est de type "tableur Excel" et donc que l'application pour le manipuler est OpenOffice ou Excel.

			Un nom de fichier peut contenir plusieurs "points" - seul le dernier sera suivi de l'extension, les autres sont simplement considérés commes des caractères faisant parti du nom du fichier
			ceci.est.un.nom.de.fichier.valide.txt

			Une méthode courrante de diffusion des virus est l'utilisation de doubles extensions. Elle fonctionne malheureusement assez bien car, par défaut, Microsoft masque les extensions de fichiers dans Windows. Il est donc possible de "jouer" avec l'utilisateur, de le tromper :
			ceci.est.un.nom.de.fichier.valide.txt.exe

			Comme ces extensions existent depuis la nuit des temps (de l'informatique), par défaut, Microsoft Windows ne les affiche pas, sous prétexte que tout le monde les connait et que cela encombre l'affichage. Lorsque l'on voit apparaître un fichier trucmuche.txt on n'y prête plus attention. On a le reflexe de penser que c'est un fichier texte et on fait un double clic dessus pour voir ce qu'il y a dedans. Et en réalité c'était un fichier trucmuche.txt.exe, donc une double extension et un programme exécutable qui, bien sûr, implante un virus.

Tmart le 20 novembre 2016 à 20:02

2016-11-20T20:02:23Z

← Version précédente		Version du 20 novembre 2016 à 20:02
Ligne 97 :		Ligne 97 :

	Ce code JavaScript est déclenché (à l'ouverture du document, ou plus tard lors de l'arrivée d'un événement précis) par les primitives PDF "/OpenAction" ou "/AA" (Additional Action).		Ce code JavaScript est déclenché (à l'ouverture du document, ou plus tard lors de l'arrivée d'un événement précis) par les primitives PDF "/OpenAction" ou "/AA" (Additional Action).
	=Exemple=		==Exemple==
	'''MiniDuke'''		'''MiniDuke'''

Tmart le 20 novembre 2016 à 20:01

2016-11-20T20:01:42Z

← Version précédente		Version du 20 novembre 2016 à 20:01
Ligne 1 :		Ligne 1 :

	= Introduction =

	----

	= Introduction=		= Introduction=
	Dans la plupart des cas les virus ou malware se cache dans des programmes malveillant, ces programmes se cachent donc dans des fichiers ayant les extensions .exe ou .bin.		Dans la plupart des cas les virus ou malware se cache dans des programmes malveillant, ces programmes se cachent donc dans des fichiers ayant les extensions .exe ou .bin.

Tmart : /* Macrovirus */

2016-11-20T20:01:26Z

Macrovirus

← Version précédente		Version du 20 novembre 2016 à 20:01
Ligne 4 :		Ligne 4 :
	----		----

			= Introduction=
⚫	= Macrovirus =
			Dans la plupart des cas les virus ou malware se cache dans des programmes malveillant, ces programmes se cachent donc dans des fichiers ayant les extensions .exe ou .bin.

			On peux donc se demandais si d'autre fichiers tel que des documents word,des images ou des fichiers pdf peuvent être malveillant. Cette page nous permettra de répondre à cette question.
	----

		⚫	= Macrovirus =
	'''Qu'est-ce qu'un virus macro ?'''		'''Qu'est-ce qu'un virus macro ?'''

Ligne 25 :		Ligne 28 :

	== Moyen de Protection ==		== Moyen de Protection ==
	----
	'''1) Protégez vos emails'''		'''1) Protégez vos emails'''

Ligne 53 :		Ligne 55 :

	== Exemple de Retrovirus ==		== Exemple de Retrovirus ==
	----
	'''Melissa'''		'''Melissa'''

Tmart le 20 novembre 2016 à 17:42

2016-11-20T17:42:31Z

@@ Ligne 60 : / Ligne 60 : @@
 Cette infection avait deux conséquences :
-    Saturation des systèmes de messagerie
+*Saturation des systèmes de messagerie
-    Tous les documents infectés d'une entreprise ou d'un particulier étaient envoyés à de multiples adresses, qu'ils soient confidentiels ou non.
+*Tous les documents infectés d'une entreprise ou d'un particulier étaient envoyés à de multiples adresses, qu'ils soient confidentiels ou non.
 Le montant estimé des dégâts est de 385 millions de dollars (source : International Computer Security Association). Symantec indique que ce virus ne contenait pas de fonctions destructrices, mais que dès juin 1999, un nouveau virus, ExploreZip apparaissait qui lui avait des fonctions destructrices.
@@ Ligne 82 : / Ligne 83 : @@
 Locky supprime aussi les sauvegardes interne ("shadow copies") que Windows fait par l'intermédiaire de son VSS (Volume Snapshot Service), rendant impossible toute récupération.

Tmart le 20 novembre 2016 à 16:52

2016-11-20T16:52:59Z

← Version précédente		Version du 20 novembre 2016 à 16:52
Ligne 66 :		Ligne 66 :

	L'auteur du virus (l'américain David L. Smith) a été identifié grâce au champ GUID dans les documents infectés. Avec les versions de Windows de l'époque, lorsqu'il était généré, ce champ contenait l'adresse MAC de l'ordinateur ayant servi à la création du document. Au cours de la propagation du virus, le champ était recopié par le logiciel Word ou par le virus lui-même. Dans les versions suivantes de Windows, l'algorithme qui génère le GUID a été modifié pour respecter la vie privée des utilisateurs, les 48 bits de l'adresse MAC ont été retirés.		L'auteur du virus (l'américain David L. Smith) a été identifié grâce au champ GUID dans les documents infectés. Avec les versions de Windows de l'époque, lorsqu'il était généré, ce champ contenait l'adresse MAC de l'ordinateur ayant servi à la création du document. Au cours de la propagation du virus, le champ était recopié par le logiciel Word ou par le virus lui-même. Dans les versions suivantes de Windows, l'algorithme qui génère le GUID a été modifié pour respecter la vie privée des utilisateurs, les 48 bits de l'adresse MAC ont été retirés.

			'''Locky'''

			Locky est ce qu'on appelle un ransomware, c'est-à-dire un malware (pour Windows) qui prend en otage vos fichiers en les chiffrant et qui vous réclame une rançon à payer pour pouvoir déchiffrer vos précieuses données.

			Comme la plupart des ransomwares, Locky se diffuse par email (envoyés grâce à un botnet) dans lesquels se trouve une pièce jointe mortelle. Le sujet de ces emails suit toujours la même syntaxe (pour le moment), à savoir "ATTN: Invoice J-XXXXXXX". Le corps du message contient un message correctement rédigé, parfois en français, qui nous demande de payer rapidement une facture, et la pièce jointe est au format "invoice_J-XXXXXX.doc".

			Quant au nom de l'expéditeur, ce n'est jamais le même. Il doit s'agir du propriétaire d'une des machines détournées via le botnet pour l'envoi de ces spams.

			Le fichier Word (.doc) attaché contient un texte étrange qui indique d'activer les macros pour pouvoir le lire. Je vous rassure, si les macros sont activées, le texte ne sera pas réellement déchiffré (hé oui). Par contre, le ransomware Locky sera rapidement téléchargé et installé sur l'ordinateur.

			[[Fichier:Locky_word.png]]

			À partir de là, le ransomware commence à chiffrer les fichiers en fonction de leur extension et affiche dans le bloc note, un message réclamant de l'argent

			Locky supprime aussi les sauvegardes interne ("shadow copies") que Windows fait par l'intermédiaire de son VSS (Volume Snapshot Service), rendant impossible toute récupération.

Tmart le 20 novembre 2016 à 09:01

2016-11-20T09:01:54Z

@@ Ligne 7 : / Ligne 7 : @@
 ----
 Un virus macro est un virus informatique qui modifie ou remplace une macro, à savoir un ensemble de commandes utilisées par des logiciels pour exécuter des actions courantes. Par exemple, l'action « ouvrir un document » dans de nombreux logiciels de traitement de texte dépend d'une macro pour fonctionner, car le processus comporte plusieurs étapes distinctes. Le virus macro modifie cet ensemble de commandes, de sorte qu'il puisse s'exécuter à chaque lancement de la macro.
 Les virus macro se trouvent principalement dans des documents ou intégrés en tant que code malveillant dans des logiciels de traitement de texte. Ils peuvent provenir de documents joints à des e-mails, ou le code peut être téléchargé dès lors que l'utilisateur clique sur des liens de phishing dans des bannières publicitaires ou à partir d'URL. Ils sont difficiles à détecter, car ils restent inactifs tant qu'une macro infectée n'est pas lancée. Ce n'est qu'à ce moment-là qu'ils exécutent une série de commandes. Un virus macro est similaire à un cheval de Troie dans le sens où il peut paraître bénin et où les utilisateurs ne remarquent pas immédiatement d'effets néfastes. En revanche, contrairement aux chevaux de Troie, les virus macro peuvent se reproduire et infecter d'autres ordinateurs.
 Le risque principal des virus macro est leur capacité à se propager rapidement. Dès qu'une macro infectée est lancée, tous les autres documents sur l'ordinateur de l'utilisateur sont à leur tour infectés. Certains de ces virus provoquent des anomalies dans les documents de texte, comme l'omission ou l'ajout de mots, tandis que d'autres accèdent aux comptes de messagerie et envoient des copies de fichiers infectés à tous les contacts de l'utilisateur, qui vont à leur tour ouvrir ces fichiers et y accéder, puisqu'ils sont envoyés par une source de confiance.
@@ Ligne 17 : / Ligne 23 : @@
 Pour supprimer ces virus, vous devez vous appuyer sur un logiciel de sécurité doté d'outils spécifiques de détection et de suppression des virus macro. Effectuez des analyses régulières pour nettoyer tous les documents éventuellement infectés et vous assurer que de nouveaux virus informatiques ne sont pas téléchargés.
 ----
 Melissa est un virus informatique qui a sévi à partir du 26 mars 1999.

Tmart : Tmart a déplacé la page Utilisateur:Sécurité des fichiers de format commun vers Sécurité des fichiers de format commun

2016-11-20T08:51:58Z

Tmart a déplacé la page Utilisateur:Sécurité des fichiers de format commun vers Sécurité des fichiers de format commun

← Version précédente	Version du 20 novembre 2016 à 08:51
(Aucune différence)

Tmart : Tmart a déplacé la page Utilisateur:Tmart vers Utilisateur:Sécurité des fichiers de format commun

2016-11-20T08:51:25Z

Tmart a déplacé la page Utilisateur:Tmart vers Utilisateur:Sécurité des fichiers de format commun

← Version précédente	Version du 20 novembre 2016 à 08:51
(Aucune différence)

Tmart : Sécurité des fichiers de format commun

2016-11-20T08:50:10Z

Sécurité des fichiers de format commun

Nouvelle page

= Introduction =

----

= Macrovirus =

----
Un virus macro est un virus informatique qui modifie ou remplace une macro, à savoir un ensemble de commandes utilisées par des logiciels pour exécuter des actions courantes. Par exemple, l'action « ouvrir un document » dans de nombreux logiciels de traitement de texte dépend d'une macro pour fonctionner, car le processus comporte plusieurs étapes distinctes. Le virus macro modifie cet ensemble de commandes, de sorte qu'il puisse s'exécuter à chaque lancement de la macro.

Les virus macro se trouvent principalement dans des documents ou intégrés en tant que code malveillant dans des logiciels de traitement de texte. Ils peuvent provenir de documents joints à des e-mails, ou le code peut être téléchargé dès lors que l'utilisateur clique sur des liens de phishing dans des bannières publicitaires ou à partir d'URL. Ils sont difficiles à détecter, car ils restent inactifs tant qu'une macro infectée n'est pas lancée. Ce n'est qu'à ce moment-là qu'ils exécutent une série de commandes. Un virus macro est similaire à un cheval de Troie dans le sens où il peut paraître bénin et où les utilisateurs ne remarquent pas immédiatement d'effets néfastes. En revanche, contrairement aux chevaux de Troie, les virus macro peuvent se reproduire et infecter d'autres ordinateurs.

Le risque principal des virus macro est leur capacité à se propager rapidement. Dès qu'une macro infectée est lancée, tous les autres documents sur l'ordinateur de l'utilisateur sont à leur tour infectés. Certains de ces virus provoquent des anomalies dans les documents de texte, comme l'omission ou l'ajout de mots, tandis que d'autres accèdent aux comptes de messagerie et envoient des copies de fichiers infectés à tous les contacts de l'utilisateur, qui vont à leur tour ouvrir ces fichiers et y accéder, puisqu'ils sont envoyés par une source de confiance.

Ces virus peuvent également être conçus dans le but d'effacer ou de compromettre des données stockées. En outre, il est important de noter que les virus macro se propagent indépendamment de la plate-forme : ils peuvent infecter les systèmes Windows et Mac à l'aide du même code. Tout logiciel utilisant des macros peut servir d'hôte, et toute copie d'un logiciel infecté, qu'elle soit envoyée par e-mail, stockée sur un disque ou sur une clé USB, sera elle aussi porteuse du virus.

Pour supprimer ces virus, vous devez vous appuyer sur un logiciel de sécurité doté d'outils spécifiques de détection et de suppression des virus macro. Effectuez des analyses régulières pour nettoyer tous les documents éventuellement infectés et vous assurer que de nouveaux virus informatiques ne sont pas téléchargés.

== Exemple de Retrovirus ==

----
Melissa est un virus informatique qui a sévi à partir du 26 mars 1999.

Cette infection avait deux conséquences :

Saturation des systèmes de messagerie
Tous les documents infectés d'une entreprise ou d'un particulier étaient envoyés à de multiples adresses, qu'ils soient confidentiels ou non.

Le montant estimé des dégâts est de 385 millions de dollars (source : International Computer Security Association). Symantec indique que ce virus ne contenait pas de fonctions destructrices, mais que dès juin 1999, un nouveau virus, ExploreZip apparaissait qui lui avait des fonctions destructrices.

L'auteur du virus (l'américain David L. Smith) a été identifié grâce au champ GUID dans les documents infectés. Avec les versions de Windows de l'époque, lorsqu'il était généré, ce champ contenait l'adresse MAC de l'ordinateur ayant servi à la création du document. Au cours de la propagation du virus, le champ était recopié par le logiciel Word ou par le virus lui-même. Dans les versions suivantes de Windows, l'algorithme qui génère le GUID a été modifié pour respecter la vie privée des utilisateurs, les 48 bits de l'adresse MAC ont été retirés.