[virus] (gromozon?)
Fermé
rayleigh
-
24 oct. 2006 à 20:10
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 - 28 oct. 2006 à 10:14
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 - 28 oct. 2006 à 10:14
A voir également:
- [virus] (gromozon?)
- Svchost.exe virus - Guide
- Youtu.be virus - Guide
- Faux message virus iphone - Forum iPhone
- Myavids virus ✓ - Forum Téléphones & tablettes Android
- Vérificateur de lien virus - Guide
39 réponses
Regis59
Messages postés
21143
Date d'inscription
mardi 27 juin 2006
Statut
Contributeur sécurité
Dernière intervention
22 juin 2016
1 321
27 oct. 2006 à 11:07
27 oct. 2006 à 11:07
Re,
Apparemment je suis sur une piste trouvé sur Zebulon, on peut essayer?
a+
Apparemment je suis sur une piste trouvé sur Zebulon, on peut essayer?
a+
afideg
Messages postés
10517
Date d'inscription
lundi 10 octobre 2005
Statut
Contributeur sécurité
Dernière intervention
12 avril 2022
602
27 oct. 2006 à 11:09
27 oct. 2006 à 11:09
Bonjour Régis59 et Lyonnais92
D'accord Régis
Mais il y a les ScanOnline "avec remove" et ceux "sans remove".
Peut-être va-t-on y voir une différence de "comportement de la bête" ?
Dans le cas contraire, tant pis !
Merci d'avance pour l'essai.
D'accord Régis
Mais il y a les ScanOnline "avec remove" et ceux "sans remove".
Peut-être va-t-on y voir une différence de "comportement de la bête" ?
Dans le cas contraire, tant pis !
Merci d'avance pour l'essai.
Regis59
Messages postés
21143
Date d'inscription
mardi 27 juin 2006
Statut
Contributeur sécurité
Dernière intervention
22 juin 2016
1 321
27 oct. 2006 à 11:16
27 oct. 2006 à 11:16
Salut Afideg,
Apparemment, d'apres ce que j ai lu rapidement, il y a possibilité de le supprimer !
Pour cela, faudrait tester quelques programmes...
J'aimerais commencer par 2 programmes pour nos informations...
1- Ad aware et scanner son pc avec et copier coller le rapport
2- Spy Sweeper:
Télécharge SpySweeper (de Webroot) de ce lien (version d'essai de 14 jours) : https://www.webroot.com/fr/fr
Clique sur "Télécharger la version test".
Installe le programme. Une fois installé, il se lancera.
L'option de le mettre à jour s'affichera; clic Yes.
Lorsque les mises à jour seront installées, clic Options sur la gauche.
Clic sur l'onglet Sweep Options.
Sous What to Sweep, coche les options suivantes:
-Sweep Memory
-Sweep Registry
-Sweep Cookies
-Sweep All User Accounts
-Enable Direct Disk Sweeping
-Sweep Contents of Compressed Files
-Sweep for Rootkits
DÉCOCHE Do not Sweep System Restore Folder.
Clic Sweep Now sur la gauche.
Clic sur Start.
Quand le scan est terminé, clic sur Next.
Assure-toi que tous les items sont cochés, puis clic sur Next.
Tous les items cochés seront éliminés.
Si Spy Sweeper veut redémarrer pour terminer le nettoyage : ACCEPTE.
Clic Session Log au haut - à droite, et copie tout ce qu'il y a dans la fenêtre.
Clic sur l'onglet Summary, puis clic sur Finish.
Colle le contenu du "Session Log" dans ta prochaine réponse.
---> Après s'en suivra des tools et peut etre gmer...
Merci de te joindre avec nous pour cette lutte impitoyable des malwares d'Internet.
Apparemment, d'apres ce que j ai lu rapidement, il y a possibilité de le supprimer !
Pour cela, faudrait tester quelques programmes...
J'aimerais commencer par 2 programmes pour nos informations...
1- Ad aware et scanner son pc avec et copier coller le rapport
2- Spy Sweeper:
Télécharge SpySweeper (de Webroot) de ce lien (version d'essai de 14 jours) : https://www.webroot.com/fr/fr
Clique sur "Télécharger la version test".
Installe le programme. Une fois installé, il se lancera.
L'option de le mettre à jour s'affichera; clic Yes.
Lorsque les mises à jour seront installées, clic Options sur la gauche.
Clic sur l'onglet Sweep Options.
Sous What to Sweep, coche les options suivantes:
-Sweep Memory
-Sweep Registry
-Sweep Cookies
-Sweep All User Accounts
-Enable Direct Disk Sweeping
-Sweep Contents of Compressed Files
-Sweep for Rootkits
DÉCOCHE Do not Sweep System Restore Folder.
Clic Sweep Now sur la gauche.
Clic sur Start.
Quand le scan est terminé, clic sur Next.
Assure-toi que tous les items sont cochés, puis clic sur Next.
Tous les items cochés seront éliminés.
Si Spy Sweeper veut redémarrer pour terminer le nettoyage : ACCEPTE.
Clic Session Log au haut - à droite, et copie tout ce qu'il y a dans la fenêtre.
Clic sur l'onglet Summary, puis clic sur Finish.
Colle le contenu du "Session Log" dans ta prochaine réponse.
---> Après s'en suivra des tools et peut etre gmer...
Merci de te joindre avec nous pour cette lutte impitoyable des malwares d'Internet.
Lyonnais92
Messages postés
25159
Date d'inscription
vendredi 23 juin 2006
Statut
Contributeur sécurité
Dernière intervention
16 septembre 2016
1 536
27 oct. 2006 à 11:38
27 oct. 2006 à 11:38
Re,
Pour comprendre une partie des problèmes et des enjeux, la référence de la traduction de l'article de Marco GIULIANI cité par Afideg au post 5
http://xp.net.free.fr/articles/gromozon.php
On peut voir en particulier la 2ème partie, Analyse des techniques d'infection.
Le point crucial est le rootkit, comme déjà signalé, surtout quand il utilise les "ADS" des fichiers NTFS.
@+
Pour comprendre une partie des problèmes et des enjeux, la référence de la traduction de l'article de Marco GIULIANI cité par Afideg au post 5
http://xp.net.free.fr/articles/gromozon.php
On peut voir en particulier la 2ème partie, Analyse des techniques d'infection.
Le point crucial est le rootkit, comme déjà signalé, surtout quand il utilise les "ADS" des fichiers NTFS.
@+
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question
did71
Messages postés
2187
Date d'inscription
vendredi 24 mars 2006
Statut
Contributeur sécurité
Dernière intervention
30 janvier 2010
36
27 oct. 2006 à 12:17
27 oct. 2006 à 12:17
Bonjour à tous,
L'outil de Prevx (FixGrom.exe) n'a pas fonctionné! Les seuls cas où j'ai vu la bête "mourrir", le fix avait fonctionné.
En espèrant que Spy Sweeper nous montre quelque chose.
a+
L'outil de Prevx (FixGrom.exe) n'a pas fonctionné! Les seuls cas où j'ai vu la bête "mourrir", le fix avait fonctionné.
En espèrant que Spy Sweeper nous montre quelque chose.
a+
afideg
Messages postés
10517
Date d'inscription
lundi 10 octobre 2005
Statut
Contributeur sécurité
Dernière intervention
12 avril 2022
602
27 oct. 2006 à 16:54
27 oct. 2006 à 16:54
Salut,
D'accord did71.
Je viens de rentrer.
1°- Il y a lieu d'observer que malgré ce que dit Rayleigh:
- au # 2 : « J'ai désinstallé Kaspersky, et j'ai essayé d'executer F-secure Blacklight. Il ne s'execute pas correctement avec ce message d'erreur : F-Secure could not acquire necessary privileges (SeDebugPrivilege) .........
Comment je fais pour lui permettre de s'executer correctement ? »
( à noter qu'il aurait pu s'entendre répondre d'exécuter Look2Me-Destroyer.exe, qui précisément termine son rapport ainsi : "Restoring SeDebugPrivilege for Administrateurs - Succeeded" )
- au # 14-« le problème n'est pas vraiment résolu, car mon PC ne réussit pas à se connecter aux sites fournissant des programmes permettant de détruire gromozon...:-( »
- au # 20 : « En fait, même si je recupère les programmes dont vous parlez, je ne peux pas les faire tourner (la bête les bloque). »
2°- Il a tout de même pu lancer :
HJT ( post d'introduction ) ,
de même que SilentRunners.vbs
et CounterSpy .
3°- Et en conséquence, je regrette qu'au # 4 , le test de Dr Web n'ait pas été réalisé.
( Ce n'est pas cette observation judicieuse de Qc001 qui devait dispenser l'analyse par Dr Web. )
4°- Mais je considère en l'espèce, exclue l'idée que la bête bloquerait tous les programmes.
Merci Régis59 d'accepter de poursuivre dans le sens de Zebulon.
à suivre
( ça dépend de la volonté et du temps dont dispose Rayleigh )
Merci à lui de nous suivre.
D'accord did71.
Je viens de rentrer.
1°- Il y a lieu d'observer que malgré ce que dit Rayleigh:
- au # 2 : « J'ai désinstallé Kaspersky, et j'ai essayé d'executer F-secure Blacklight. Il ne s'execute pas correctement avec ce message d'erreur : F-Secure could not acquire necessary privileges (SeDebugPrivilege) .........
Comment je fais pour lui permettre de s'executer correctement ? »
( à noter qu'il aurait pu s'entendre répondre d'exécuter Look2Me-Destroyer.exe, qui précisément termine son rapport ainsi : "Restoring SeDebugPrivilege for Administrateurs - Succeeded" )
- au # 14-« le problème n'est pas vraiment résolu, car mon PC ne réussit pas à se connecter aux sites fournissant des programmes permettant de détruire gromozon...:-( »
- au # 20 : « En fait, même si je recupère les programmes dont vous parlez, je ne peux pas les faire tourner (la bête les bloque). »
2°- Il a tout de même pu lancer :
HJT ( post d'introduction ) ,
de même que SilentRunners.vbs
et CounterSpy .
3°- Et en conséquence, je regrette qu'au # 4 , le test de Dr Web n'ait pas été réalisé.
( Ce n'est pas cette observation judicieuse de Qc001 qui devait dispenser l'analyse par Dr Web. )
4°- Mais je considère en l'espèce, exclue l'idée que la bête bloquerait tous les programmes.
Merci Régis59 d'accepter de poursuivre dans le sens de Zebulon.
à suivre
( ça dépend de la volonté et du temps dont dispose Rayleigh )
Merci à lui de nous suivre.
Qc001
Messages postés
256
Date d'inscription
samedi 11 février 2006
Statut
Membre
Dernière intervention
9 juillet 2009
17
27 oct. 2006 à 18:17
27 oct. 2006 à 18:17
Salut afideg, tout le monde ;
J'aimerais juste clarifier quelques trucs.
SedebugPrivilege est enlevé par une infection Look2Me active, effectivement. Look2Me n'est pas le seul à le faire par contre, et la preuve est ici : pas de Look2Me sur la bécane de Rayleigh.
Si certains programmes tournent et d'autres pas, ben vous constatez le travail ingénieux du codeur... Les progs qui ne font pas mal peuvent tourner ;-)
Pour Dr.Web CureIt : pas de mal à essayer sur une bécane prête pour le formatage, même si celui-ci est risqué. Un helper qui veut le prescrire régulièrement doit assumer une partie des risques, et bien avertir le visiteur et surveiller pour les faux-positifs.
L'article de Marco GIULIANI a été réalisé suite à la sortie de ce rootkit, qui a bien évolué depuis. Il bosse chez Prevx celui-là.
J'aurais aimé pouvoir en faire plus, mais bon...j'ai assez lu sur cette bête...
Rayleigh : tu as bien bossé, et tu peux en être fier (fière).
@+
J'aimerais juste clarifier quelques trucs.
SedebugPrivilege est enlevé par une infection Look2Me active, effectivement. Look2Me n'est pas le seul à le faire par contre, et la preuve est ici : pas de Look2Me sur la bécane de Rayleigh.
Si certains programmes tournent et d'autres pas, ben vous constatez le travail ingénieux du codeur... Les progs qui ne font pas mal peuvent tourner ;-)
Pour Dr.Web CureIt : pas de mal à essayer sur une bécane prête pour le formatage, même si celui-ci est risqué. Un helper qui veut le prescrire régulièrement doit assumer une partie des risques, et bien avertir le visiteur et surveiller pour les faux-positifs.
L'article de Marco GIULIANI a été réalisé suite à la sortie de ce rootkit, qui a bien évolué depuis. Il bosse chez Prevx celui-là.
J'aurais aimé pouvoir en faire plus, mais bon...j'ai assez lu sur cette bête...
Rayleigh : tu as bien bossé, et tu peux en être fier (fière).
@+
afideg
Messages postés
10517
Date d'inscription
lundi 10 octobre 2005
Statut
Contributeur sécurité
Dernière intervention
12 avril 2022
602
27 oct. 2006 à 18:48
27 oct. 2006 à 18:48
Salut Qc001
Merci pour tes interventions précises et précieuses sur CCM.
À propos de SedebugPrivilege
Ce que je disais ( ni plus ni moins - merci cependant d'avoir ajouté ce commentaire intéressant - ) c'est que,
lorsque BlackLight ne peut être exécuter et qu'il s'affiche le message d'erreur suivant : « F-Secure could not acquire necessary privileges (SeDebugPrivilege) .........» ,
on peut tenter d'exécuter Look2Me-Destroyer.exe, qui précisément termine son rapport ainsi : "Restoring SeDebugPrivilege for Administrateurs - Succeeded" ).
Donc, et puisque tu ajoutes pertinemment « Look2Me n'est pas le seul à le faire par contre »,
serait-il possible d'en déduire que Look2Me-Destroyer.exe ne restaurera les privilèges ( qui empêchent BlackLight de s'accomplir ) que pour autant que ces privilèges aient été la conséquence exclusive du seul Look2Me ?
Merci
Merci pour tes interventions précises et précieuses sur CCM.
À propos de SedebugPrivilege
Ce que je disais ( ni plus ni moins - merci cependant d'avoir ajouté ce commentaire intéressant - ) c'est que,
lorsque BlackLight ne peut être exécuter et qu'il s'affiche le message d'erreur suivant : « F-Secure could not acquire necessary privileges (SeDebugPrivilege) .........» ,
on peut tenter d'exécuter Look2Me-Destroyer.exe, qui précisément termine son rapport ainsi : "Restoring SeDebugPrivilege for Administrateurs - Succeeded" ).
Donc, et puisque tu ajoutes pertinemment « Look2Me n'est pas le seul à le faire par contre »,
serait-il possible d'en déduire que Look2Me-Destroyer.exe ne restaurera les privilèges ( qui empêchent BlackLight de s'accomplir ) que pour autant que ces privilèges aient été la conséquence exclusive du seul Look2Me ?
Merci
Qc001
Messages postés
256
Date d'inscription
samedi 11 février 2006
Statut
Membre
Dernière intervention
9 juillet 2009
17
27 oct. 2006 à 19:14
27 oct. 2006 à 19:14
Resalut afideg ;-)
Tes questions sont tout à fait pertinentes. J'aurais pu être un peu plus complet dans mes remarques. Voici donc quelques notions supplémentaires :
Oui, Look2Me-Destroyer et l2mfix (avec option #2) peuvent restaurer le SeDebugPrivilege. Par contre, si l'infection qui enlève ces privilèges est toujours active, les privilèges seront enlevés à nouveau au prochain démarrage. Bémol : passer un outil puissant tels Look2Me-Destroyer ou l2mfix (option #2) sur une bécane comporte toujours certains risques, surtout si Look2Me n'est pas présent, alors moi je préfère ne pas faire tourner ces outils juste pour les privilèges. Dans certains cas rares, SedeBug a été retiré par une éradication de Look2Me faite par un outil autre que les deux mentionnés précédemment (avec Spy Sweeper par exemple...), qui ne restaure pas les privilèges.
Je conseille plutôt l'utilisation d'un outil plus gentil dans ces cas-là : VX2Finder (de Option^Explicit). C'est un outil qui ne sert plus, mais il demeure disponible. Faut juste le lancer et cliquer sur le bouton "Restore Policy", puis redémarrer. Sans danger.
Pour terminer : BlackLight n'a vu ce rootkit qu'une seule fois depuis que je surveille les développements. Les nouvelles variantes se cachent beaucoup mieux :-(
Voilà..
Bonne soirée toutes/tous :-)
Tes questions sont tout à fait pertinentes. J'aurais pu être un peu plus complet dans mes remarques. Voici donc quelques notions supplémentaires :
Oui, Look2Me-Destroyer et l2mfix (avec option #2) peuvent restaurer le SeDebugPrivilege. Par contre, si l'infection qui enlève ces privilèges est toujours active, les privilèges seront enlevés à nouveau au prochain démarrage. Bémol : passer un outil puissant tels Look2Me-Destroyer ou l2mfix (option #2) sur une bécane comporte toujours certains risques, surtout si Look2Me n'est pas présent, alors moi je préfère ne pas faire tourner ces outils juste pour les privilèges. Dans certains cas rares, SedeBug a été retiré par une éradication de Look2Me faite par un outil autre que les deux mentionnés précédemment (avec Spy Sweeper par exemple...), qui ne restaure pas les privilèges.
Je conseille plutôt l'utilisation d'un outil plus gentil dans ces cas-là : VX2Finder (de Option^Explicit). C'est un outil qui ne sert plus, mais il demeure disponible. Faut juste le lancer et cliquer sur le bouton "Restore Policy", puis redémarrer. Sans danger.
Pour terminer : BlackLight n'a vu ce rootkit qu'une seule fois depuis que je surveille les développements. Les nouvelles variantes se cachent beaucoup mieux :-(
Voilà..
Bonne soirée toutes/tous :-)
Désolé pour vous, mais j'ai formaté cet aprèm.
Je reste disponible si vous voulez des infos sur ce qui m'est arrivé.
Encore une question, mais est-ce normal qu'il y ait un bout de mon disque dur (100 Mo) qui soient en amont de C: et que je ne puisse pas le regrouper. Le bios-je crois que ça s'appelle comme ça- m'annoncait que C: était la première partition).
A bientôt
Rayleigh
Je reste disponible si vous voulez des infos sur ce qui m'est arrivé.
Encore une question, mais est-ce normal qu'il y ait un bout de mon disque dur (100 Mo) qui soient en amont de C: et que je ne puisse pas le regrouper. Le bios-je crois que ça s'appelle comme ça- m'annoncait que C: était la première partition).
A bientôt
Rayleigh
Kristopher
Messages postés
3731
Date d'inscription
vendredi 18 novembre 2005
Statut
Contributeur
Dernière intervention
10 juillet 2009
105
27 oct. 2006 à 21:12
27 oct. 2006 à 21:12
Bonsoir,
Quel dommage... J'en connais qui seront sûrement très déçu :(
Pourtant, ça commençait bien : CounterSpy a éradiqué "Virtumonde" et je suis presque certain que Spy Sweeper aurait très probablement trouvé d'autres malwares...
Si non, je pensais à un dernier logiciel, antispyware pour être précis, un dénommé Spyware Doctor qui semble le plus judicieux pour cette infection exactement qui se comporte à l'instar d'un rootkit.
Or cet antispyware est le plus efficace de tous pour l'éradication des rootkits justement !
Voir test récent : https://www.pcworld.com/article/126885/article.html
Je cite : "Spyware Doctor... was the only tested product to detect 100 percent of active rootkits." - interrésant non ? ;)
Bonne soirée à tous,
Kristopher
Quel dommage... J'en connais qui seront sûrement très déçu :(
Pourtant, ça commençait bien : CounterSpy a éradiqué "Virtumonde" et je suis presque certain que Spy Sweeper aurait très probablement trouvé d'autres malwares...
Si non, je pensais à un dernier logiciel, antispyware pour être précis, un dénommé Spyware Doctor qui semble le plus judicieux pour cette infection exactement qui se comporte à l'instar d'un rootkit.
Or cet antispyware est le plus efficace de tous pour l'éradication des rootkits justement !
Voir test récent : https://www.pcworld.com/article/126885/article.html
Je cite : "Spyware Doctor... was the only tested product to detect 100 percent of active rootkits." - interrésant non ? ;)
Bonne soirée à tous,
Kristopher
afideg
Messages postés
10517
Date d'inscription
lundi 10 octobre 2005
Statut
Contributeur sécurité
Dernière intervention
12 avril 2022
602
27 oct. 2006 à 21:45
27 oct. 2006 à 21:45
Salut Rayleigh
Heureux pour toi , tant pis pour la recherche.
Mais quelque chose m'intrigue.
Tu annonçais: « J'utilise quotidiennement avast, mais depuis l'attaque, j'ai fait tourner kaspersky »
Sur ton log HJT, tu avais notamment :
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
Et aussi O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
que tu as supprimé ultérieurement.
Mais je suppose que Avast n'avait pas été (re)paramétré uniquement pour mail et web, lors de l'installation de KAS AVP .
En effet , si tel était le cas, il s'agirait de rendre à Avast toutes ses fonctions.
Je me réfère à ceci dans mon raisonnement :
« installer AVG anti-virus et Avast, AVG anti-virus pour le résident - plus léger et plus fiable ( il n'y a que lui qui détecte les virus en train de contaminer mon PC ) - et Avast pour mail et web -où il est beaucoup plus performant - »
Peux-tu me confirmer si tu as, ou comment tu gères la fonction de Firewall ( via routeur ? ) ?
En effet, je me permets de rappeler les conseils de Qc001 au # 9- « Pour ce qui est de la prévention maintenant...
De bonnes habitudes de surf sont toujours numero1.
Utiliser un navigateur autre que IE (quoique le nouveau IE version 7 soit prometteur..) tel FireFox (avec "No Script" et "AdBlock"), ou Opera.
Un bon parefeu, antivirus et Windows à jour.
Il y a une foule d'outils et de progs disponibles pour la prévention, mais tout cela dépend du propriétaire :-) (tel un fichier Hosts, SpywareBlaster, prog anti-malware avec boucliers, etc..).»
Merci pour ta collaboration .
à+..
Heureux pour toi , tant pis pour la recherche.
Mais quelque chose m'intrigue.
Tu annonçais: « J'utilise quotidiennement avast, mais depuis l'attaque, j'ai fait tourner kaspersky »
Sur ton log HJT, tu avais notamment :
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
Et aussi O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
que tu as supprimé ultérieurement.
Mais je suppose que Avast n'avait pas été (re)paramétré uniquement pour mail et web, lors de l'installation de KAS AVP .
En effet , si tel était le cas, il s'agirait de rendre à Avast toutes ses fonctions.
Je me réfère à ceci dans mon raisonnement :
« installer AVG anti-virus et Avast, AVG anti-virus pour le résident - plus léger et plus fiable ( il n'y a que lui qui détecte les virus en train de contaminer mon PC ) - et Avast pour mail et web -où il est beaucoup plus performant - »
Peux-tu me confirmer si tu as, ou comment tu gères la fonction de Firewall ( via routeur ? ) ?
En effet, je me permets de rappeler les conseils de Qc001 au # 9- « Pour ce qui est de la prévention maintenant...
De bonnes habitudes de surf sont toujours numero1.
Utiliser un navigateur autre que IE (quoique le nouveau IE version 7 soit prometteur..) tel FireFox (avec "No Script" et "AdBlock"), ou Opera.
Un bon parefeu, antivirus et Windows à jour.
Il y a une foule d'outils et de progs disponibles pour la prévention, mais tout cela dépend du propriétaire :-) (tel un fichier Hosts, SpywareBlaster, prog anti-malware avec boucliers, etc..).»
Merci pour ta collaboration .
à+..
did71
Messages postés
2187
Date d'inscription
vendredi 24 mars 2006
Statut
Contributeur sécurité
Dernière intervention
30 janvier 2010
36
27 oct. 2006 à 21:53
27 oct. 2006 à 21:53
bonsoir à tous,
le formatage ne fait plaisir à aucun helper mais dans ce cas, c'était vraiment recommandé!
CounterSpy a trouvé virtumonde mais pas gromozon, et s'il ne l'a pas détecté , c'est qu'il y avait une raison, il ne peut pas détruire gromozon!
Pour afideg, utiliser firefox avec No Script, me semble la meilleure solution pour l'instant!
a+
le formatage ne fait plaisir à aucun helper mais dans ce cas, c'était vraiment recommandé!
CounterSpy a trouvé virtumonde mais pas gromozon, et s'il ne l'a pas détecté , c'est qu'il y avait une raison, il ne peut pas détruire gromozon!
Pour afideg, utiliser firefox avec No Script, me semble la meilleure solution pour l'instant!
a+
afideg
Messages postés
10517
Date d'inscription
lundi 10 octobre 2005
Statut
Contributeur sécurité
Dernière intervention
12 avril 2022
602
27 oct. 2006 à 22:20
27 oct. 2006 à 22:20
Bonsoir did71
Mon message précédent était ni plus ni moins une recommandation de précautions pour Rayleigh; qui ne possède pas FireFox je crois.
J'aimerais recevoir sa réponse quand il aura repris ses habitudes avec son PC.
Je ne comprends pas ceci « Pour afideg, utiliser firefox avec No Script, me semble la meilleure solution pour l'instant ! »; dois-je l'interprêter comme une recommandation de "barrière contre ce qu'on appelle gromozon"?
Dans ce cas, cette recommandation va bien au-delà de afideg.
Merci à toi . ;)
PS: Ne sait-on pas paramétrer ce " NoScript " quelque part , même en l'absence de FireFox ?? Donne -moi la procédure SVP ? ( j'ai Kis6 )
Bonne nuit.
Mon message précédent était ni plus ni moins une recommandation de précautions pour Rayleigh; qui ne possède pas FireFox je crois.
J'aimerais recevoir sa réponse quand il aura repris ses habitudes avec son PC.
Je ne comprends pas ceci « Pour afideg, utiliser firefox avec No Script, me semble la meilleure solution pour l'instant ! »; dois-je l'interprêter comme une recommandation de "barrière contre ce qu'on appelle gromozon"?
Dans ce cas, cette recommandation va bien au-delà de afideg.
Merci à toi . ;)
PS: Ne sait-on pas paramétrer ce " NoScript " quelque part , même en l'absence de FireFox ?? Donne -moi la procédure SVP ? ( j'ai Kis6 )
Bonne nuit.
did71
Messages postés
2187
Date d'inscription
vendredi 24 mars 2006
Statut
Contributeur sécurité
Dernière intervention
30 janvier 2010
36
27 oct. 2006 à 22:31
27 oct. 2006 à 22:31
bonsoir afideg,
oui, c'est une recommandation, pour l'instant, les personnes infectés par gromozon utilisent IE (ou des dérivés genre MyIE)!
avec firefox et Noscript, pas d'infections!
Noscript est un plug in de firefox et seulement destiné à firefox!
a+
oui, c'est une recommandation, pour l'instant, les personnes infectés par gromozon utilisent IE (ou des dérivés genre MyIE)!
avec firefox et Noscript, pas d'infections!
Noscript est un plug in de firefox et seulement destiné à firefox!
a+
afideg
Messages postés
10517
Date d'inscription
lundi 10 octobre 2005
Statut
Contributeur sécurité
Dernière intervention
12 avril 2022
602
27 oct. 2006 à 23:24
27 oct. 2006 à 23:24
OK
Merci did71 pour ces précisions.
;)
Merci did71 pour ces précisions.
;)
Qc001
Messages postés
256
Date d'inscription
samedi 11 février 2006
Statut
Membre
Dernière intervention
9 juillet 2009
17
27 oct. 2006 à 23:14
27 oct. 2006 à 23:14
C'est encore moi... le grand méchant :-P
rayleigh : si certains sont déçus, c'est la vie. Et c'est ta bécane. J'assumerai les retombées, s'il le faut ;-)
Pour ce 100Mo d'espace : je sais pas ! Faudrait demander dans le forum "Windows" je crois, ou peut-être quelqu'un qui passe par ici saura.. Est-ce un espace configuré par quelqu'un, prévu pour Linux ?
====================
Pour Kristopher : j'ai de la difficulté avec ces tests genre PCMag qui ne donnent aucuns détails sur les "rootkits" détectés, etc.. "Détectés" c'est une chose, mais que fait-il avec l'éradication ? Cette page a été mise à jour en Août, alors que Gromozon et pe386 n'existaient pas. Faudrait juste le tester ? Propose-le à ton prochain visiteur "rootkitté" ; je pense à de petits rootkits tous simples à la Egdaccess, ou bien Haxdoor ou bien HackerDefender. Plusieurs ont fait tourner Gromozon en essais, et lui ont balancé l'arsenal au complet. Si Spyware Doctor pouvait quoique que ce soit contre ce monstre, nous en aurions entendu parler (à tout le moins je l'espère !!). SUPERAntispyware est un petit nouveau dans l'arène, et très agressif dans ses détections. Faudrait juste tester...
Counterspy est un dérivé de Windows Defender (clone de MS Anti-spyware/Giant à l'époque). Très bien pour nous lorsque nous avons des bécanes 98/ME à désinfecter (l'un des rares à tourner sous ces vieux OSs). Il détecte Virtumonde, mais nepeut rien faire avec ; Vundo est très coriace (aucun outil commercial ne peut l'enlever).
Dommage pour le formatage ? Bien évidemment...mais pas un drame.
Bon weekend tout le monde :-)
rayleigh : si certains sont déçus, c'est la vie. Et c'est ta bécane. J'assumerai les retombées, s'il le faut ;-)
Pour ce 100Mo d'espace : je sais pas ! Faudrait demander dans le forum "Windows" je crois, ou peut-être quelqu'un qui passe par ici saura.. Est-ce un espace configuré par quelqu'un, prévu pour Linux ?
====================
Pour Kristopher : j'ai de la difficulté avec ces tests genre PCMag qui ne donnent aucuns détails sur les "rootkits" détectés, etc.. "Détectés" c'est une chose, mais que fait-il avec l'éradication ? Cette page a été mise à jour en Août, alors que Gromozon et pe386 n'existaient pas. Faudrait juste le tester ? Propose-le à ton prochain visiteur "rootkitté" ; je pense à de petits rootkits tous simples à la Egdaccess, ou bien Haxdoor ou bien HackerDefender. Plusieurs ont fait tourner Gromozon en essais, et lui ont balancé l'arsenal au complet. Si Spyware Doctor pouvait quoique que ce soit contre ce monstre, nous en aurions entendu parler (à tout le moins je l'espère !!). SUPERAntispyware est un petit nouveau dans l'arène, et très agressif dans ses détections. Faudrait juste tester...
Counterspy est un dérivé de Windows Defender (clone de MS Anti-spyware/Giant à l'époque). Très bien pour nous lorsque nous avons des bécanes 98/ME à désinfecter (l'un des rares à tourner sous ces vieux OSs). Il détecte Virtumonde, mais nepeut rien faire avec ; Vundo est très coriace (aucun outil commercial ne peut l'enlever).
Dommage pour le formatage ? Bien évidemment...mais pas un drame.
Bon weekend tout le monde :-)
afideg
Messages postés
10517
Date d'inscription
lundi 10 octobre 2005
Statut
Contributeur sécurité
Dernière intervention
12 avril 2022
602
27 oct. 2006 à 23:27
27 oct. 2006 à 23:27
Merci Qc001
Bon W-E à toi également
;)
Bon W-E à toi également
;)
Lyonnais92
Messages postés
25159
Date d'inscription
vendredi 23 juin 2006
Statut
Contributeur sécurité
Dernière intervention
16 septembre 2016
1 536
28 oct. 2006 à 01:35
28 oct. 2006 à 01:35
Bonsoir,
J'ai un peu de scrupules à intervenir sur ce post, bien conscient de mes lacunes en matière de lutte anti malware par rapport aux autres intervenants.
Mon premier souci est d'essayer en apprendre un peu plus sur le sujet. A la suite d'Afideg, j'ai fait des recherches sur Google. J'ai aussi lu les informations fournies par Qc001. Je suis intéressé par les références complémentaires. Par exemple, j'ai trouvé essentiellement des références sur des forums italiens et français par l'entrée "gromozon". Les références américaines peuvent se faire sur un autre point d'entrée. Mais lequel ? De même, j'ai trouvé peu d'information sur les évolutions de la bête depuis l'article fondateur. J'avais bien vu qu'il faisait partie de prevx. Il est probable que l'outil d'éradication de prevx est fondé sur ses analyses.
Mon second souci, c'est les retombées sur le monde des helpeurs de cette nouvelle race de malware. Je ne sais pas ce qui peut se passer en dehors de la France. Je ne sais même pas les réflexions qui peuvent avoir lieu dans les autres grands sites de cette lutte. Mais j'ai fait tilt dès le post 3 "faut formater". La suite des réactions ne m'a pas surpris. Formater est un blasphème, l'aveu d'un échec personnel du helpeur.
L'origine de cette réaction, sa légitimité doit être comprise. La génération qui la porte a été formé, a appris le "métier" dans un contexte où la supériorité était du côté des bons qui gagnaient de plus en plus souvent et, sur la fin, quasiment à tous les coups contre les méchants. Cette vision est certainement simpliste. Elle est peut être même fausse. Afideg a eu raison de faire remarquer sur un autre forum le taux d'abandon par les helpés. Combien de cures se sont terminées par un formatage ignoré du helpeur ? Peu importe dans cette discussion. Présent depuis quelques mois seulement, une des idées fortes de l'apprentissage tel que je l'ai compris était bien celle là : on peut éviter le formatage. Qc001 le confirme lui même. C'est bien ce qu'il disait lui même il y a peu.
Je pense aussi que les pionniers n'avaient pas la même certitude : ils ont du subir trop d'échec pour ne pas avoir gardé l'idée que le formatage était parfois inévitable. Je laisse un historien déterminer les dates de chacune de ces périodes (si tant est que j'ai raison).
J'espère me tromper mais je crois que ce post, sur ce forum en tout cas, marque la fin d'une époque, d'une certaine forme d'un âge d'or de la bataille. Les concepteurs de gromozon ont un temps d'avance sur leurs opposants. Ils ont trouvé des modes d'infection qui résistent aux techniques actuelles mises en oeuvre pour les repérer (il semble que certains y arrivent encore) et surtout les éradiquer. Je n'ai pas les compétences techniques pour rentrer sérieusement dans les discussions qui doivent avoir lieu dans les équipes des sociétés qui vivent de l'anti (virus, trojan, spyware, ...). Mais je crois en savoir suffisamment pour avoir l'intuition que le rootkit peut être placé n'importe où dans un fichier NTFS et que ses caractéristiques elles même (taille par exemple) peuvent présenter une grande variabilité. Si je peux me permettre ces comparaisons, le retrouver ne relève plus de la recherche du vainqueur du Grand Prix de l'Arc de Triomphe (ou de la Ligue des champions), ni même du bonneteau mais s'apparente à trouver la bonne combinaison du Loto.
Encore une fois, j'espère avoir tort, mais, ce soir, je suis assez pessimiste. Songez par exemple à ce qu'il n'est pas possible d'observer la bête sur une VM : elle la décèle et ne s'installe pas dans ces conditions !
Mais, je crois nécessaire que tous les arguments soient présentés et analysés. Il faut donc continuer de nous approprier le dossier technique. Hormis Qc001 et Did71, qui connaissait quelque chose à cette bestiole ? Je n'en avais jamais entendu parler (d'où mon intérêt pour le post). Je comprends que ceux qui ont déjà beaucoup donné sur le sujet souhaitent passe à autre chose : le sujet est frustrant, dés que l'on est convaincu qu'il n'y a rien d'autre à faire, le mieux est d'aider le helpé dans son formatage et de se reconcentrer sur les cas où le traitement va être un succès. Je crois, il en a déjà beaucoup fait sur le post, que Qc001 a encore des références utiles pour nous convaincre.
Après, il faudra tirer les conséquences positives. Par exemple, quels conseils utiles avons-nous à faire pour que le formatage soit le moins douloureux possible. Il nous faudra aussi assurer la veille technologique pour le jour où un "fix" verra le jour.
Ce qui serait vraiment dommage serait que cela décourage les meilleurs artisans actuels de la bataille.
@+
J'ai un peu de scrupules à intervenir sur ce post, bien conscient de mes lacunes en matière de lutte anti malware par rapport aux autres intervenants.
Mon premier souci est d'essayer en apprendre un peu plus sur le sujet. A la suite d'Afideg, j'ai fait des recherches sur Google. J'ai aussi lu les informations fournies par Qc001. Je suis intéressé par les références complémentaires. Par exemple, j'ai trouvé essentiellement des références sur des forums italiens et français par l'entrée "gromozon". Les références américaines peuvent se faire sur un autre point d'entrée. Mais lequel ? De même, j'ai trouvé peu d'information sur les évolutions de la bête depuis l'article fondateur. J'avais bien vu qu'il faisait partie de prevx. Il est probable que l'outil d'éradication de prevx est fondé sur ses analyses.
Mon second souci, c'est les retombées sur le monde des helpeurs de cette nouvelle race de malware. Je ne sais pas ce qui peut se passer en dehors de la France. Je ne sais même pas les réflexions qui peuvent avoir lieu dans les autres grands sites de cette lutte. Mais j'ai fait tilt dès le post 3 "faut formater". La suite des réactions ne m'a pas surpris. Formater est un blasphème, l'aveu d'un échec personnel du helpeur.
L'origine de cette réaction, sa légitimité doit être comprise. La génération qui la porte a été formé, a appris le "métier" dans un contexte où la supériorité était du côté des bons qui gagnaient de plus en plus souvent et, sur la fin, quasiment à tous les coups contre les méchants. Cette vision est certainement simpliste. Elle est peut être même fausse. Afideg a eu raison de faire remarquer sur un autre forum le taux d'abandon par les helpés. Combien de cures se sont terminées par un formatage ignoré du helpeur ? Peu importe dans cette discussion. Présent depuis quelques mois seulement, une des idées fortes de l'apprentissage tel que je l'ai compris était bien celle là : on peut éviter le formatage. Qc001 le confirme lui même. C'est bien ce qu'il disait lui même il y a peu.
Je pense aussi que les pionniers n'avaient pas la même certitude : ils ont du subir trop d'échec pour ne pas avoir gardé l'idée que le formatage était parfois inévitable. Je laisse un historien déterminer les dates de chacune de ces périodes (si tant est que j'ai raison).
J'espère me tromper mais je crois que ce post, sur ce forum en tout cas, marque la fin d'une époque, d'une certaine forme d'un âge d'or de la bataille. Les concepteurs de gromozon ont un temps d'avance sur leurs opposants. Ils ont trouvé des modes d'infection qui résistent aux techniques actuelles mises en oeuvre pour les repérer (il semble que certains y arrivent encore) et surtout les éradiquer. Je n'ai pas les compétences techniques pour rentrer sérieusement dans les discussions qui doivent avoir lieu dans les équipes des sociétés qui vivent de l'anti (virus, trojan, spyware, ...). Mais je crois en savoir suffisamment pour avoir l'intuition que le rootkit peut être placé n'importe où dans un fichier NTFS et que ses caractéristiques elles même (taille par exemple) peuvent présenter une grande variabilité. Si je peux me permettre ces comparaisons, le retrouver ne relève plus de la recherche du vainqueur du Grand Prix de l'Arc de Triomphe (ou de la Ligue des champions), ni même du bonneteau mais s'apparente à trouver la bonne combinaison du Loto.
Encore une fois, j'espère avoir tort, mais, ce soir, je suis assez pessimiste. Songez par exemple à ce qu'il n'est pas possible d'observer la bête sur une VM : elle la décèle et ne s'installe pas dans ces conditions !
Mais, je crois nécessaire que tous les arguments soient présentés et analysés. Il faut donc continuer de nous approprier le dossier technique. Hormis Qc001 et Did71, qui connaissait quelque chose à cette bestiole ? Je n'en avais jamais entendu parler (d'où mon intérêt pour le post). Je comprends que ceux qui ont déjà beaucoup donné sur le sujet souhaitent passe à autre chose : le sujet est frustrant, dés que l'on est convaincu qu'il n'y a rien d'autre à faire, le mieux est d'aider le helpé dans son formatage et de se reconcentrer sur les cas où le traitement va être un succès. Je crois, il en a déjà beaucoup fait sur le post, que Qc001 a encore des références utiles pour nous convaincre.
Après, il faudra tirer les conséquences positives. Par exemple, quels conseils utiles avons-nous à faire pour que le formatage soit le moins douloureux possible. Il nous faudra aussi assurer la veille technologique pour le jour où un "fix" verra le jour.
Ce qui serait vraiment dommage serait que cela décourage les meilleurs artisans actuels de la bataille.
@+
Regis59
Messages postés
21143
Date d'inscription
mardi 27 juin 2006
Statut
Contributeur sécurité
Dernière intervention
22 juin 2016
1 321
28 oct. 2006 à 09:37
28 oct. 2006 à 09:37
Salut tout le monde :-)
Rayleigh, Bonne initiative et bonne continuation a toi :-) Merci pour tout en tout cas. Protege bien ton PC ;-)
Hello Mister Qc001,
Comment vas tu?
Aurais tu des infos sur ou on pourrait choper la bête? J'ai entendu dire il me semble, sans en etre sur, que le test de ce rootkit sur VM était impossible? Ragot ou affirmation?
Salut Lyonnais ;-)
Comme le disait afideg:
Gromozon alias LinkOptimizer
Peut etre qu'il faudrait chercher sous son autre appellation.
Je sais que sur Zebulon, il y a un poste d ouvert sur ce rootkit, si ca interresse certain, je peux essayer de chercher plus d infos par la bas.
Pour ce qui est des retombée, faut savoir que les francais ne sont pas les plus top dans la lutte anti malware. En effet, je pense que les americains sont plus "fort" que nous dans cette lutte...(cf forums US). Ainsi, les infections contaminent le monde tout entier, faut pas se leurer, chaque pays est touché par toutes ces infections.
C'est sur que le formatage peut etre evité. Cependant il faut qu on ait a notre disposition des outils efficaces et complet. Sans SmitfraudFix, jamais on aurait pu supprimer cette bete aussi facilement...(cf changelog de Smitfraudfix et ses evolutions tous les 2/3 jours)
Lyonnais, saches qu avant que tu arrives sur cette lutte, nous avons aussi subi ces evolutions et nous avons su s y adapter.
Personnellement cela fait environ 2 ans que je suis sur cette lutte et crois moi que les evolutions se sont faites tous les mois quasiment. Pourtant rien nous a empecher, a l heure actuelle, de supprimer toutes les infections connues et evolutives.
Si tu prend l exemple de Sasser, il a fallu que l on s adapte pour s en debarrasser. Laissons nous le temps de nous familiariser avec ces evolutions.
Même si on ne peut tester un rootkit (d'apres ce que j ai compris) sur une VM, on le testera sur une machine avec un systeme d exploitation normal et non virtuel. J'ai PC en construction, bha je ferais mes tests dessus. Le bon gagne toujours, faut pas l oublier !
Ce qui est crée peut etre detruit ! C'est ca l informatique !
Ne nous decourageons pas, loin de la...
Je ne suis pas inscrit sur des forums US mais d apres ce que j ai vu sur Zebulon (avec des liens directs vers forums US), nous avons les possibilités de les vaincre. Soyons confiant !
A+
Rayleigh, Bonne initiative et bonne continuation a toi :-) Merci pour tout en tout cas. Protege bien ton PC ;-)
Hello Mister Qc001,
Comment vas tu?
Aurais tu des infos sur ou on pourrait choper la bête? J'ai entendu dire il me semble, sans en etre sur, que le test de ce rootkit sur VM était impossible? Ragot ou affirmation?
Salut Lyonnais ;-)
Comme le disait afideg:
Gromozon alias LinkOptimizer
Peut etre qu'il faudrait chercher sous son autre appellation.
Je sais que sur Zebulon, il y a un poste d ouvert sur ce rootkit, si ca interresse certain, je peux essayer de chercher plus d infos par la bas.
Pour ce qui est des retombée, faut savoir que les francais ne sont pas les plus top dans la lutte anti malware. En effet, je pense que les americains sont plus "fort" que nous dans cette lutte...(cf forums US). Ainsi, les infections contaminent le monde tout entier, faut pas se leurer, chaque pays est touché par toutes ces infections.
C'est sur que le formatage peut etre evité. Cependant il faut qu on ait a notre disposition des outils efficaces et complet. Sans SmitfraudFix, jamais on aurait pu supprimer cette bete aussi facilement...(cf changelog de Smitfraudfix et ses evolutions tous les 2/3 jours)
Lyonnais, saches qu avant que tu arrives sur cette lutte, nous avons aussi subi ces evolutions et nous avons su s y adapter.
Personnellement cela fait environ 2 ans que je suis sur cette lutte et crois moi que les evolutions se sont faites tous les mois quasiment. Pourtant rien nous a empecher, a l heure actuelle, de supprimer toutes les infections connues et evolutives.
Si tu prend l exemple de Sasser, il a fallu que l on s adapte pour s en debarrasser. Laissons nous le temps de nous familiariser avec ces evolutions.
Même si on ne peut tester un rootkit (d'apres ce que j ai compris) sur une VM, on le testera sur une machine avec un systeme d exploitation normal et non virtuel. J'ai PC en construction, bha je ferais mes tests dessus. Le bon gagne toujours, faut pas l oublier !
Ce qui est crée peut etre detruit ! C'est ca l informatique !
Ne nous decourageons pas, loin de la...
Je ne suis pas inscrit sur des forums US mais d apres ce que j ai vu sur Zebulon (avec des liens directs vers forums US), nous avons les possibilités de les vaincre. Soyons confiant !
A+
Qc001
Messages postés
256
Date d'inscription
samedi 11 février 2006
Statut
Membre
Dernière intervention
9 juillet 2009
17
28 oct. 2006 à 10:08
28 oct. 2006 à 10:08
Bon Samedi tout le monde.
J'avais quelques paragraphes d'écris ici en réponse, à travers les activités familiales, puis le sommeil a eu le dessus avant que je ne termine. J'ai réservé le tout en fichier, car je devrai éditer suite au post de Quentin (Hello :-))
Lyonnais : tu soulèves des points fort intéressants, et je vais m'y attaquer. Je risque de ne revenir que Dimanche par contre.
Rapidement : je ne teste pas les bestioles, donc je vais devoir aller aux renseignements afin de savoir où choper cette chose. Impossible d'installer sur machine virtuelle, effectivement... y faut un PC "sacrificiel"..lol
Petite note sur les collègues "forts" : ils/elles sont partout, même si la majorité des gros forums Sécu sont hébergés aux U.S.
Gromozon semble avoir été repéré beaucoup en Italie, avec quelques cas ici et là aux quatre coins.
Je dois retourner au dodo (4:00), alors je repasse dès que je le peux ;-)
J'avais quelques paragraphes d'écris ici en réponse, à travers les activités familiales, puis le sommeil a eu le dessus avant que je ne termine. J'ai réservé le tout en fichier, car je devrai éditer suite au post de Quentin (Hello :-))
Lyonnais : tu soulèves des points fort intéressants, et je vais m'y attaquer. Je risque de ne revenir que Dimanche par contre.
Rapidement : je ne teste pas les bestioles, donc je vais devoir aller aux renseignements afin de savoir où choper cette chose. Impossible d'installer sur machine virtuelle, effectivement... y faut un PC "sacrificiel"..lol
Petite note sur les collègues "forts" : ils/elles sont partout, même si la majorité des gros forums Sécu sont hébergés aux U.S.
Gromozon semble avoir été repéré beaucoup en Italie, avec quelques cas ici et là aux quatre coins.
Je dois retourner au dodo (4:00), alors je repasse dès que je le peux ;-)
Lyonnais92
Messages postés
25159
Date d'inscription
vendredi 23 juin 2006
Statut
Contributeur sécurité
Dernière intervention
16 septembre 2016
1 536
28 oct. 2006 à 10:14
28 oct. 2006 à 10:14
Bonjour,
Les références sur Google sont avec "gromozon". LinkOptimiser ne donne rien de plus (et beaucoup en moins). Je n'ai pas encore regardé avec les noms donnés par Kapersky.
Pour les test sur VM, si l'on fait confiance à Marco Giulani, au moment où il écrit son article, ils sont impossibles et il démontre pourquoi :
J'ai parlé dans la deuxiéme partie du "repérage" des machines virtuelles par www.google.com.
Plus précisément, l'élément de contrôle est localisé dans la Dll embarquée de l'exécutable responsable de l'installation du rootkit et des autres infections.
Le procédé de vérification utilisé est apellé "Red Pill" par Joanna Rutkowska c'est un vieux "truc" bien connu.
Une routine vérifie à quelle adresse est localisé l' IDT (Interrupt descriptor table) dans la mémoire.
Sur un PC Windows normal, l'IDT est localisé à l'adresse 0x80xxxxxx mais sur une machine émulée, la localisation se fait dans une plage d'adresse différente.
VMWare, par exemple, localise l'IDT à l'adresse 0xffxxxxxx tandis que VirtualPC la localise à l'adresse 0xe8xxxxxx. La routine vérifie donc si l'adresse mémoire de l'ITD est supérieure a 0xDxxxxxxx , si c'est le cas c'est que la Dll tourne sur une machine virtuelle donc elle stoppe le processus d'infection.
Pour mémoire, www.google.com est un des composants de l'infection, peut être le composant central.
@+
Les références sur Google sont avec "gromozon". LinkOptimiser ne donne rien de plus (et beaucoup en moins). Je n'ai pas encore regardé avec les noms donnés par Kapersky.
Pour les test sur VM, si l'on fait confiance à Marco Giulani, au moment où il écrit son article, ils sont impossibles et il démontre pourquoi :
J'ai parlé dans la deuxiéme partie du "repérage" des machines virtuelles par www.google.com.
Plus précisément, l'élément de contrôle est localisé dans la Dll embarquée de l'exécutable responsable de l'installation du rootkit et des autres infections.
Le procédé de vérification utilisé est apellé "Red Pill" par Joanna Rutkowska c'est un vieux "truc" bien connu.
Une routine vérifie à quelle adresse est localisé l' IDT (Interrupt descriptor table) dans la mémoire.
Sur un PC Windows normal, l'IDT est localisé à l'adresse 0x80xxxxxx mais sur une machine émulée, la localisation se fait dans une plage d'adresse différente.
VMWare, par exemple, localise l'IDT à l'adresse 0xffxxxxxx tandis que VirtualPC la localise à l'adresse 0xe8xxxxxx. La routine vérifie donc si l'adresse mémoire de l'ITD est supérieure a 0xDxxxxxxx , si c'est le cas c'est que la Dll tourne sur une machine virtuelle donc elle stoppe le processus d'infection.
Pour mémoire, www.google.com est un des composants de l'infection, peut être le composant central.
@+
