[Dico] Les virus,troyens et worms

Bas de page

Pages : 1

mafilou

L\'ennemi de mon ennemi est mon ami

Modérateur

3366 messages postés

Posté le 03-04-2005 à 23:44:12

Les virus,troyens et worms

Introduction :
Malgré la croyance populaire, la définition d'un virus pourrait être la suivante: « tout programme d'ordinateur capable d'infecter un autre programme d'ordinateur en le modifiant de façon à ce qu'il puisse à son tour se reproduire ».

Le mot générique virus regroupe en réalité une série de programme dont le nom anglais « malware » évoque bien le but.
On distingue ainsi différents grands types de malware :

les virus dit classiques :
Plus spécifiquement, un virus est un programme parasite conçu pour entrer dans l'ordinateur d'une personne clandestinement. S'attaché lui même lui-même aux fichiers ou dans des secteurs ou il seras autoreproducteurs

les WORMS :
Un WORM est un programme parasite conçu pour se reproduire sur votre ordinateur et ensuite le diffuser sur d'autres ordinateurs via l'email (par votre carnet d'adresses) ou un IRC. L’utilité des WORMS peut parfois surprendre : parfois des agences de publicité se montent des listes d'adresses email légitimes pour l'usage dans le marketing par ce moyen, ils peuvent également être conçus pour ralentir des réseaux, de ce fait donnant à d'autres concurrents une avance dans leur domaine Même si ce n’est pas toujours le cas ils sont souvent conçus pour créer le chaos dans les réseaux TCP/IP.

les troyens (chevaux de Troie)
Logiciels dont le but essentiel est d'installer une backdoor ( porte dérobée ) qui donne au pirate un contrôle total de votre ordinateur à distance (Risque sur internet). Ce ne sont pas des virus car ils ne se reproduisent pas, mais les anti-virus les détectent assez bien.

Après avoir tracé un bref historique des virus, nous nous proposons dans cet exposé de détailler ces différents malware. Nous allons en montrer les aspects techniques et les moyens de se protéger contre ceux – ci.

Nous regarderons aussi les implications dans la politique de sécurité de l’entreprise.

Historique

1986
• Le premier virus informatique voit le jour au Pakistan, il se nomme Brain et infecte les ordinateurs IBM
1987
• Le virus Jerusalem est détecté. Il est conçu pour supprimer les fichiers infectés les vendredi 13, c’est un des premiers virus capable d’infecter et de détruire des fichiers
1988
• Robert Morris, le fils d’un des principaux scientifiques du National Computer Security Center, lâche dans la nature le premier WORM Internet, qui va se répandre plus vite que ce qu'il ne l'avait imaginé , en effet ce WORM à infecté plus de 60000 machines connectées les rendant totalement instable. Morris tentera d’expliquer après coup, que ceci était une erreur de programmation, il sera néanmoins condamné à 3 mois de prison avec sursis et à 10 000 dollars d’amende
1989
• Le Cyber Criminel Dark Avenger créé le programme informatique Avenger.1808, qui se propage d’un ordinateur à un autre détruisant toutes les données à son passage.
• WDEF, un des premiers virus Macintosh qui détruit les données fait son apparition.
• Environ 30 virus sont découverts
1991
• Dark Avenger créé MtE un logiciel permettant de rendre des virus polymorphes, c’est à dire pouvant se transformer en plus de 4 000 milliards de formes différentes, et donc extrêmement difficiles à détecter
• Dark Angel et Nowhere Man lancent le premier générateur de virus, fonctionnant de manière simple, il permet à n’importe qui de créer un virus
• A la fin de l’année il y a plus de 1000 virus en circulation
1996
• Concept, le premier virus macro infectant les documents Word, devient le virus le plus répandu dans le monde
1998
• Cult of the Dead Cow, un groupe de Hackers développe Back Orifice, un cheval de Troie permettant un accès complet aux PC infectés
1999
• Le virus Melissa créé par David Smith sème la panique dans le monde et cause plus de 80 millions de dollars de dégâts

Fonctionnement :

Principe communs aux malware
L'exécution: Phase d'introduction du malware dans le système
La propagation : Pendant laquelle le malware cherche à se multiplier le plus possible.
L'action : Etape finale durant laquelle le malware met en oeuvre des fonctions de dommages perturbantes et/ou destructrices

Type de virus
Les virus mutants
Virus dont la forme original du code a été modifiée pour transformer les effets du virus de base et tromper les logiciels anti-virus.
Exemple: jerusalem se déclenche les vendredi 13, jerusalem-d les vendredi 13 après 1990, payday les vendredi non 13

Les virus polymorphes ou auto mutants
Etant donné que les antivirus détectent (entre autres) les virus grâce à leur apparence (la succession de bits qu'ils représentent), certains créateurs de virus ont pensé à leur donner la possibilité de modifier automatiquement leur apparence au fur et a mesure des contaminations de manière autonome.

Les virus macros
Avec la multiplication des programmes utilisant des macros, Microsoft a mis au point un langage de script commun pouvant être inséré dans la plupart des documents pouvant contenir des macros, il s'agit de VBScript, un sous-ensemble de Visual Basic. Ces virus arrivent actuellement à infecter les macros des documents Microsoft Office, c'est-à-dire qu'un tel virus peut être situé à l'intérieur d'un banal document Word ou Excel, et exécuter une portion de code à l'ouverture de celui-ci lui permettant d'une part de se propager dans les fichiers, mais aussi d'accéder au système d'exploitation (généralement Windows).
Or, de plus en plus d'applications supportent Visual Basic, ces virus peuvent donc être imaginables sur de nombreuses autres applications supportant le VBScript.

Le début du troisième millénaire a été marqué par l'apparition à grande fréquences de scripts Visual Basic diffusés par mail en fichier attaché (repérables grâce à leur extension .VBS) avec un titre de mail poussant à ouvrir le cadeau empoisonné.
Celui-ci a la possibilité, lorsqu'il est ouvert sur un client de messagerie Microsoft, d'accéder à l'ensemble du carnet d'adresse et de s'autodiffuser par le réseau. Ce type de virus est appelé WORM.

Exemple de VBS a inséré dans une page html exécutant un programme:

CODE
<script Language="VBScript" SRC="script.vbs">
Dim WSHShell
Set WSHShell = WScript.CreateObject("WScript.Shell"

' open minimized and start
WSHShell.Run "notepad.exe", 2, false

Set WSHShell = Nothing
WScript.Quit (0)
</SCRIPT>

Il est également possible de faire un appel à un composant ActiveX automatiquement téléchargé et exécuté, c’est alors ce composant qui contiendra le virus.

Virus défensif
Virus capable de perturber les actions de détection des logiciels anti-virus et d'empêcher l'analyse des éléments contaminés.
Tel que Klez qui fait des ravages actuellement, lancé en service, il empêche le démarrage pour ne citer que lui de Norton Antivirus. Et interrompt l’installation même du programme.

Type de worms
Comme nous l’avons vu précédemment avec les VBS, des virus peuvent par exemple se propager en utilisant la liste de contactes email d’Outlook express. Les virus s’auto propageant sur un réseau sont appelés WORMS.

Un WORMS de par sa définition n’est pas forcément malicieux, le premier comme nous l’avons vu dans l’historique était juste un programme se propageant dans le but d’en mesurer la progression. Il était malheureusement buggé et eu l’effet d’un virus sur les machines porteuses car il monopolisait les ressources de l’ordinateur.

Type de troyens
Le but de ces virus est de se propager, vulnérabiliser des systèmes, et "marquer" les systèmes de telle façon à ce qu'ils puissent être repérés par leurs créateurs. Des ports sont ainsi ouverts et sur ces ports écoutent des logiciels serveurs. Les « clients » scannent alors des plages d’adresses ip sur les ports « infectés » en leur demandant s’il y’a bien un troyen dessous. Bien évidement, les troyens peuvent à la connexion au réseau Internet envoyer, des messages indiquant l’adresse ip de l’ordinateur infecté (ceci évitant le scan au client).

Les infections
Le but premier d’un virus est d’infecter un maximum de machine possible pour ce faire il utilise généralement tous les moyens disponibles. Au départ, ils se répandaient principalement en se fondant dans les fichiers exécutables sur des supports tels que les disquettes ou les CD-Rom. De nos jours leurs moyens de propagations sont beaucoup plus conséquent, en effet depuis l’avènement d’Internet et des réseaux en général, les virus et WORMS vont utiliser toutes les ouvertures possibles de l’ordinateur pour se répandre.

Mais voyons un peu en détail comment ces infections sont possibles.

Infection par fichiers exécutables :
Pour réaliser ce type d’infection, les concepteurs vont jouer avec des notions assez poussées en assembleur et introduire dans le fichier exécutable une portion de code de leur cru, qui sera exécutée lors de l’exécution de ce programme. Ce type d’infection peut être bien entendu beaucoup plus complexe et utiliser par exemple des morceaux de codes répartis dans plusieurs exécutables, qui ne seront actifs que tous ensemble sur une machines. D’autres vont utiliser des librairies dynamiques ( dlls ) trafiquées et dont les mises à jour sont accessible via internet. Les seules limites sont celles de l’imagination des créateurs.

Pour infecter un ordinateur par ce type de virus, il est nécessaire que l’utilisateur exécute le fichier sur sa machine, ce qui fait que par des précautions ou politiques de sécurités, que nous énoncerons plus tard, il est possible de se prémunir de telles attaques.

Utilisation des failles de conception de logiciels ou de système d’exploitation
Afin de pallier au fait que l’utilisateur doive physiquement exécuter un programme, certains concepteurs se sont penchés sur les failles possibles de logiciels tels que outlook express, internet explorer, ou encore windows media player, ou de faille de système d’exploitation comme windows.

Du coté des système d’exploitation du type windows, la faille la plus utilisée est le fait que l’extension du fichier est cachée par défaut on peut donc recevoir un fichier affichant coucou.mp3 qui se révèlent en fait être un fichier exécutable coucou.mp3.exe ou coucou.mp3.vbs contenant un virus ou autre malware.

Les logiciels tel que Outlook express offrent, de part leur volonté de simplifier la vie de l’utilisateur à l’extrême, des fonctionnalités très intéressante du point de vue des virus, ce qui permit a des virus comme « I love you » ( 2000 ) de se répandre comme une traînée de poudre sur le réseau.

Démonstration :
Un des plus gros problèmes des concepteurs de virus au début de l’informatique était de parvenir a faire arriver le virus sur un ordinateur sans que l’utilisateur ne s’en aperçoive. Outlook a résolu ce problème puisque par défaut il va, lors de la synchronisation avec votre boîte mail, télécharger gracieusement pour vous les fichiers attachés.
Le second problème rencontré était de faire exécuté le virus par l’utilisateur; Là encore Outlook à la réponse, puisque, afin de rendre votre lecture de mail encore plus plaisante, il va regarder le type de fichier attaché et, si c’est un fichier multimédia il va l’exécuter en priant que Windows media player démarre et accepte le fichier
Et voila, le tour est joué, non seulement vous ne vous êtes pas rendus compte que le virus était arrivé sur votre ordinateur mais en plus de cela il est maintenant installé.
Le dernier problème était de trouver le plus rapidement possible un maximum de cibles potentielles et bien entendus Outlook a pensé a tout. Il suffit en effet au virus ( ou WORM ) d’aller jeter un œil dans votre carnet d’adresses pour trouver ses futures victimes puisque par défaut Outlook va envoyer tous les mails qui serait dans votre dossier a envoyer au moment de votre synchronisation avec votre compte mail.

Social engineering :
Cette technique qui paraît la plus « bête » n’est malheureusement pas à sous-estimer. En effet, il n’est pas rare qu’une infection débute par un simple fichier infecter envoyé par un « ami du net ».

Imaginez vous, nous sommes l’après midi et votre petit frère ou petite sœur a décidé d’aller sur votre ordinateur. Il démarre MSN, ICQ ou encore AIM et se met a chatter. Un inconnu vient alors et lui demande de rentrer dans sa liste de contact en se faisant passer pour un professeur. Il entame la conversation sur des sujets soi-disant important. A un moment, ce professeur, en prétextant un travail de dernière minute, lui envoie un fichier. Votre petit frère , confiant, accepte le fichier et l’exécute. Et voila votre ordinateur auquel vous faisiez tellement attention vient de se faire infecter. Aucune trace n’existe de cet envois et vous ne saurez jamais que vous avez été infecté ni par qui. Cette personne aura bien entendu pris soin de se retirer de la contact-list de votre frère.

Infections indirectes :
Une fois le malware démarré et installé sur une machine, il va généralement se reproduire sur un nombre aléatoire de fichiers. En local tout d’abord, via le réseau par la suite : via les shares de windows, ou encore en utilisant des failles de serveur http et en changeant les pages webs pour que d’autres personnes soient infectées en surfant sur ces sites( nimda ).

De cette manière une machine infectée va infecter en général tout le réseau lui étant directement accessible, mais aussi d’autres réseaux.

Conséquence d'une infection
• un ralentissement de la machine, car en effet ces processus parasites consomment du temps processeur
• un comportement énervant, les virus peuvent agacer l'utilisateur en rendant les réactions du système inhabituelles et inopportunes
• rendre inopérants des programmes, des périphériques, ou encore des services du système informatique
• destruction de données de tout types.

Aspect technique de la détection

Généralités
Tout antivirus est composé de 2 parties ayant chacune un rôle essentiel :
• Un " moteur ", qui a pour rôle la détection (d’une manière ou d’une autre) des virus.
• Un module de nettoyage qui a pour but de traiter le fichier infecté
Sur les antivirus de type scanner on adjoint au moteur une base de données des virus comme nous le verrons ci-dessous

Quatre types d’antivirus :
Les scanners : Ceux – ci vont regarder chacun des fichiers du système et vérifier que ces fichiers ne contiennent pas une signature de virus connus. Ce type d’antivirus à une faiblesse majeure. Etant donné qu’il se base sur une liste de signature, si un nouveau virus apparaît il ne le connaîtra pas et ne sera pas à même de le détecter.

Les scanners génériques :
Pour palier à la faiblesse des scanners traditionnels, il existe ce type de scanner qui ne vas pas se baser sur une définition complète pour tous les types de virus connus, mais plutôt sur des portions de signatures afin de détecter les variantes des virus connus et de pouvoir les intercepter.

Les scanners heuristiques :
Ceux – ci sont une évolutions des scanners génériques. En plus de scanner les fichiers entrant dans le système, ils vont examiner la composition des fichiers afin de trouver des portions de codes susceptibles de poser des problèmes ou d’être dangereuse pour le système. Ils vont donc regarder dans le code des fichiers exécutables afin de trouver des portions de code permettant la modification automatique du programme ou la détection d’autres programmes tels que les antivirus. Cette méthode est très intéressante, mais elle génère malheureusement beaucoup de fausses alarmes et à terme de donner un faux sentiment de sécurité. Le but de ce genre de technique est de parvenir au final à des systèmes experts qui désassemblent les fichiers exécutables et analysent le code afin de découvrir les parties dangereuses ou susceptibles de le devenir.

Les antivirus scanner sont de loin les plus répandus, ils combinent en général les trois principes énoncés ci-dessus, et, afin d’augmenter le niveau de protection de l’ordinateur, on leurs adjoint une composante temps réel qui va scanner toute écriture sur le disque pour y découvrir une signature connue.

Mais un autre type d’antivirus existe. Celui-ci sera plus dédié aux serveurs de fichiers.

Les antivirus par checksums
Lors de l’infection d’une machine, quel que soit le type de virus, un changement sera effectué dans les répertoires ou les fichiers (changement de tailles ou de composition des fichiers).

Ce type d’antivirus, beaucoup moins répandus, va se baser sur une somme de contrôle des fichiers du système. Lorsqu’un fichier est modifié il va le déterminer via une « base de données » des checksums de tous les fichiers du système. Ce type de protection est efficace pour des systèmes contenant beaucoup de fichier statiques mais pour des stations de travail, il ne permettra pas de se protéger complètement et, comme les scanner heuristique, va générer beaucoup d’alertes inopportunes.

Les sandbox
Le concept des sandbox ( bac à sable en français ) est assez simple. On va isoler le programme inconnu dans une zone en lui faisant croire qu’il s’exécute sur le système. En réalité c’est le programme sandbox qui exécute le programme à surveiller et lors de cette exécution il vérifie toutes les opérations faites pour voir si elles ne font pas de dommage au système.

La machine virtuelle java est un bon exemple de sandbox. Dans sa dernière version, elle intègre le concept et encapsule les applet java et programme java dans une portion sécurisée du navigateur pour que si l’applet est hostile elle ne pose pas de problème sur le système.

Le Bac à sable est donc un module de sécurité proactif surveillant constamment les activités de l’ordinateur à la recherche d'actions hostiles pour pouvoir intervenir dès qu'un danger potentiel est identifié. Quand un malware tente une action hostile, il est capturé et mit en quarantaine à l'intérieur du Bac à Sable. L’utilisateur sera alors en général informé de l'action tentée et on lui proposera de confirmer une réaction inoffensive pour les informations critiques.

Prévention

Les anti-virus :
Il est bien évident qu’il faut équiper les ordinateurs d’anti-virus lorsque ceux-ci sont en contact avec d’autres ordinateurs. Il faut qu’ils soient installés le plus tôt possible sur le système, que la liste des définitions de virus qu’ils connaissent soit constamment à jour et qu’ils soient configurés pour surveiller tous les points d’entrées de l’ordinateur.

Voici un comparatif des différents anti-virus disponible sur le marché.
Testé sur un PC contenant 121 malware à chaque test.

Image downsized - click on the image to get an original view

Les SandBoxs :
On l’a vu, on peut intercepter des virus connus de nos anti-virus. Mais que se passe-t-il si un nouveau virus à la structure non suspecte fait son apparition dans la nature ? Il vous faut généralement attendre que l'éditeur de votre anti-virus en ait récupéré un exemplaire pour qu'il en établisse la signature caractéristique et développe les antidotes appropriés. Bref, il faut croiser les doigts pour ne pas être parmi les premiers infectés.

Contrairement aux anti-virus, c'est son comportement à l'exécution qui est observé dans un cadre hors de danger.

Les Firewalls :
Pour être totalement efficaces, ces solutions doivent tourner sur une machine contrôlée par un utilisateur bienveillant, en effet il est rare de vouloir infecter sa propre machine, cependant des hackers peuvent arrêter les anti-virus, sandbox et autres programmes de surveillances pour ainsi infecter la machine.
C’est pourquoi l’usage d’un firewall est nécessaire au bon fonctionnement de la politique globale de sécurité.

Le cas linux/UNIX

Malgré la plupart des croyances populaires, les virus sous linux/UNIX existent. Un des premiers WORMS fût conçu sur cette plateforme ( Bliss ).

Mais, il y a certainement très peu de virus en liberté fonctionnant sous UNIX, et cela n'est pas si étonnant que ça. Les restrictions d'accès dans l'environnement en sont une raison. Par exemple, quand un utilisateur lance un fichier qui contient un virus, le virus possède les mêmes privilèges que cet utilisateur (sous des conditions normales, très peu de privilèges). Donc le virus ne peut pas se propager vers d'autres systèmes. Mais, si un utilisateur avec toutes les permissions lance un virus, celui-ci pourrait infecter le système complet et voyager vers d'autres systèmes, et ainsi de suite.

Souvenez-vous aussi que le nombre de virus pour Windows est beaucoup plus élevé parce que les systèmes d'exploitation UNIX sont beaucoup moins répandus sur les ordinateurs privés. Si plus de personnes se servaient de systèmes UNIX à la maison, alors évidemment il y aurait plus de virus pour ces systèmes. La montée en faveur du système d'exploitation GNU/Linux l'a certainement prouvé.

Prenez donc garde, les systèmes UNIX tels que GNU/Linux deviennent de plus en plus populaires et faciles à utiliser. De plus en plus d'utilisateurs inexpérimentés opèreront probablement leurs systèmes en tant qu'utilisateurs ayant tous les privilèges, permettant ainsi aux programmes malfaisants de causer des dommages.

Intégration dans la politique générale de sécurité

Schéma général
Dans une entreprise de taille moyenne ou un domicile familial, le réseau aura une structure généralement proche de celle-ci :

Image downsized - click on the image to get an original view

Afin d’intégrer la gestion du problème des malwares dans une politique de sécurité globale, il est important de situer les points d’entrées possibles de ces malware dans le réseau. On peut voir aisément que quatre parties du réseau doivent être sécurisées et prises en considération pour la gestion de ces malwares

Le firewall
On peut se protéger aisément contre les troyens en utilisant des règles de filtrage très strictes. En effet, en interdisant de base toutes connections en provenance du réseau externe (nuage Internet) et à destination du réseau interne, on supprime toutes possibilité de connexion et d’utilisation d’un troyen installé sur une des machines locales.

Mais bien entendu dans un environnement nécessitant d’offrir des services au monde extérieur cette solution n’est pas viable. Dès lors le travail de l’administrateur du firewall sera de n’ouvrir sur le firewall que le ports utilisés et nécessaires et de les « forwardé » vers une machine particulière.

Mais ceci n’empêche pas l’infection du réseau interne car d’autres voies d’accès existent. Pour ce faire, il faut que chaque machine soit protégée.

Les serveurs
Les serveurs comme les Workstations sont susceptibles d’être infectés par des virus WORMS ou troyens. Pour les protéger, une bonne technique serait de base d’avoir les serveurs utilisant UNIX comme OS. En effet, UNIX étant beaucoup plus configurable à la base que windows il sera hautement sécurisable : possibilité de contrôler chaque service et chaque port ouvert et de ce fait limiter les possibilité d’avoir un troyen qui tourne sur la machine.

Malheureusement ce ne sera pas suffisant car ces serveurs seront accédés par des machines clientes, et une bonne politique de limitation des risques d’infections consiste à avoir un antivirus de type scanner qui tourne sur le serveur et scanne tous les fichiers entrants et sortants sur ces serveurs.

Trois types de serveurs seront vulnérables : serveurs de fichiers, serveurs de mail et serveurs web, et afin d’endiguer une contamination par ces serveurs, ou du moins de la prévenir, il faut que le scanner soit à même de découvrir des malwares écris pour les OS des machines clientes ( windows principalement ). Les fichiers infectés découverts, il doit être capable de les isoler et d’envoyer une alerte à l’administrateur du réseau afin que celui-ci prenne les mesures nécessaires.

Les Workstations
Sur les Workstations, le travail de l’administrateur va consister en un équilibrage entre la lourdeur à l’utilisation et la sécurisation. Afin d’éviter que les utilisateurs ne rapatrient des fichiers vérolés d’Internet, l’utilisation d’un proxy filtrant est à envisager. De cette manière, l’administrateur peut limiter les sites accessibles et donc les possibilités d’infection. Pour ce qui est de l’usage de l’email, l’utilisation d’un serveur de mail interne à l’entreprise va permettre d’avoir ( comme énoncer pus haut ) un antivirus sur le serveur mail, et de ce fait de vérifier que les utilisateur ne rapatrient pas de mail vérolés sur leurs machine.

Mais ce n’est pas tout, de nos jours les stations de travail ont généralement un lecteur de CD-ROM et un lecteur de disquette. Ce sont deux points d’entrées potentiels et dès lors un système de sandbox sur chaque machine cliente peut éviter une contamination de tout le système et par là de tous le réseau.

Et pour finir, pour éviter qu’une machine infectées ne contamine toutes les autres, il faut interdire les transferts de fichier entre Workstations en forçant l’utilisation de répertoire sur le serveur de fichier protégé (comme décris plus haut) par un antivirus

Les itinérants
Une règle de bonne pratique serait d’interdire l’utilisation d’itinérants (ordinateurs portables,…). Mais si il est impossible de les interdire, il faut pouvoir les enfermés dans une portion de réseau totalement sous contrôle et fermée par rapport au reste du réseau. Si des transferts de fichiers sont nécessaire entre les machines itinérantes et les fixes, il faut qu’ils se fassent via les serveurs de fichiers protégés (comme décris plus haut) par un antivirus.

Les mises à jour
Une chose à ne pas oublier pour chacun des acteurs fixes sont les mises à jour. En effet, on peut avoir les meilleurs antivirus, si ils ne sont pas au fait des dernières signatures de virus, ils sont aussi utiles qu’une barrière ouverte. Il est donc intéressant d’avoir un système de mise à jour automatique sur chacune des Workstations et serveurs, utilisant par exemple un système de miroir sur un des serveurs de réseau et rapatriant les définitions a partir de ce serveur.

Bien entendu cette politique n’est pas exhaustive et par exemple on pourrait ajouter un système de scanning automatique des ports des ordinateurs du réseau afin de découvrir de potentiels troyens installés. On pourrait aussi installé un IDS sur le réseau afin de déterminer si un WORM est occupé de tenter une attaque sur un des serveurs du réseau,… .

Merci à Echape2000 et au win-web

--------------------
Pas de copie privée <==> Pas de redevance copie privée