pparu dans la nuit du lundi 26 au mardi 27 janvier, le virus/ver
Mydoom (alias Novarg ou Mimail Q ou R) se répand
actuellement sur Internet. Selon des experts, il constitue la plus importante
attaque virale jamais connue sur Internet. Il se propage en utilisant
les messageries e-mail, mais également les réseaux d'échange
peer-to-peer du type Kazaa.
Comment Mydoom se propage-t-il par e-mail ?
Mydoom, comme la plupart des autres virus, se cache dans un fichier
attaché. Il vous suffit d’ouvrir le fichier pour être
infecté.
Le message véhiculant Mydoom est en langue anglaise et s’apparente
à un message d’erreur ou un message de test.
- L'objet peut contenir différentes
accroches : test, hi, hello, Mail Delivery
System, Mail Transaction Failed, Server Report,
Status Error.
- Le corps du message peut contenir
l’une des phrases suivantes : "Test", "The
message cannot be represented in 7-bit ASCII encoding and has been
sent as a binary attachment", "The message contains
Unicode characters and has been sent as a binary attachment",
"Mail transaction failed". "Partial message
is available".
- Les pièces jointes
peuvent avoir pour titre document, readme, doc,
text, file, data, test, message,
body et pour extension : pif, scr, exe,
cmd, bat.
Quels sont les effets du virus ?
Le ver n'agit que sur les PC sous Windows. Il infecte votre ordinateur
dès que vous double-cliquez sur la pièce jointe vérolée.
Mydoom ouvre alors un "port" sur votre ordinateur. Autrement
dit, il laisse une porte ouverte, par laquelle des pirates pourraient
éventuellement prendre le contrôle à distance
de votre ordinateur (et dérober, modifier ou détruire
toute information). Par ailleurs, il s’auto-envoie à toutes
les adresses e-mail recensées sur votre ordinateur (dans vos
carnets d’adresses ou dans le cache de votre navigateur). Il
se met également à la recherche du programme de partage
de fichiers KaZaa sur votre ordinateur. Si ce dernier est détecté,
un fichier est alors copié dans le répertoire de partage,
ce qui permet sa diffusion par le système d'échange.
Enfin le ver est programmé pour attaquer un site Internet spécifique
à partir du 1er février.
Que faut-il faire pour ne pas être infecté ?
Comme toujours...
- Il suffit de ne pas ouvrir la pièce jointe pour que le virus
demeure inactif : jetez le message à la corbeille
- Si vous avez un anti-virus, nous vous
conseillons de le mettre à jour.
Je suis infecté. Comment me débarrasser
du vers ?
Vous pouvez utiliser le désinfectant
fourni par F-Secure.
Les variantes
| Description |
Effets |
Que faire ? |
| Mydoom.M se présente sous la
forme d'un message dont le titre et le corps sont aléatoires,
avec un fichier joint dont l'extension est .BAT, .CMD, .COM, .EXE,
.PIF, .SCR ou .ZIP (28 Ko) et dont le nom contient le domaine
ou l'adresse e-mail du destinataire. |
Si le fichier joint est exécuté,
le virus s'envoie aux adresses figurant dans le carnet d'adresses
Windows et divers autres fichiers, et installe une porte dérobée
autorisant la prise de contrôle à distance de l'ordinateur
infecté. |
Ne pas cliquer sur la pièce jointe, supprimer
le message. |
| Mydoom.S se présente sous la
forme d'un message dont le titre est "photos" et le
corps est "LOL!;))))", avec un fichier joint photos_arc.exe
(27 Ko). |
Si le fichier joint est exécuté,
le virus s'envoit aux adresses figurant dans le carnet d'adresses
Windows et divers autres fichiers, et installe deux portes dérobées
autorisant la prise de contrôle à distance de l'ordinateur
infecté. |
Ne pas cliquer sur la pièce jointe, supprimer
le message. |
| Mydoom.AS se présente sous
la forme d'un message dont le titre et le corps sont aléatoires,
avec un fichier joint dont l'extension est .bat, .cmd, .exe, .pif,
.scr ou .zip (33 Ko). |
Si le fichier joint est exécuté,
le virus s'envoie aux adresses figurant dans le carnet d'adresses
Windows et divers autres fichiers, installe une porte dérobée
autorisant la prise de contrôle à distance de l'ordinateur
infecté par un individu malveillant, modifie le système
pour empêcher l'utilisateur de mettre à jour son
antivirus puis tente de se copier dans les dossiers mis en partage. |
Ne pas cliquer sur la pièce jointe, supprimer
le message. |
| Mydoom.AX se présente sous
la forme d'un message en anglais dont le titre et le corps sont
aléatoires, accompagné d'un fichier joint dont l'extension
est .bat, .cmd, .com, .exe, .pif, .scr ou .zip, en se faisant
passer notamment pour une mise en garde informant le destinataire
que la sécurité de son ordinateur a été
compromise et l'incitant à exécuter le fichier joint
pour remédier au problème. |
Si le fichier joint est exécuté,
le virus s'envoie aux adresses figurant dans divers fichiers ainsi
qu'à des adresses collectées via plusieurs moteurs
de recherche dont Google, installe une porte dérobée
autorisant la prise de contrôle à distance de l'ordinateur
infecté, puis tente de se copier dans certains dossiers
partagés. |
Ne pas cliquer sur la pièce jointe, supprimer
le message. |
| Mydoom.BQ se propage par courriel.
Il se présente sous la forme d'un message dont le titre
et le corps sont aléatoires, accompagné d'un fichier
dont l'extension est .bat, .cmd, .exe, .pif, .scr ou .zip (33
Ko), incitant l'utilisateur à exécuter le fichier
joint sous prétexte de débloquer son compte ou par
mesure de sécurité. |
Si le fichier joint est exécuté,
le virus s'envoie aux adresses figurant dans le carnet d'adresses
Windows et divers fichiers, installe une porte dérobée
autorisant la prise de contrôle à distance de l'ordinateur
infecté par un individu malveillant, désactive certains
antivirus et pare-feux personnels, puis modifie le système
pour empêcher la connexion aux sites des principaux éditeurs
d'antivirus. |
Ne pas cliquer sur la pièce jointe, supprimer
le message. |
| Mydoom.BU se propage par courriel.
Il se présente sous la forme d'un message dont le titre
et le corps sont aléatoires, accompagné d'un fichier
dont l'extension est .bat, .cmd, .exe, .pif, .scr ou .zip (33
Ko), incitant l'utilisateur à exécuter le fichier
joint sous prétexte de débloquer son compte ou par
mesure de sécurité. |
Si le fichier joint est exécuté,
le virus s'envoie aux adresses figurant dans le carnet d'adresses
Windows et divers fichiers, installe une porte dérobée
autorisant la prise de contrôle à distance de l'ordinateur
infecté par un individu malveillant, désactive certains
antivirus et pare-feux personnels, puis modifie le système
pour empêcher la connexion aux sites des principaux éditeurs
d'antivirus. |
Ne pas cliquer sur la pièce jointe, supprimer
le message. |
|
|
Les virus : généralités
• vos questions • se
protéger • les antivirus
• l'actualité •
la carte des virus • les
virus stars
