Le virus-ver Mydoom

Apparu dans la nuit du lundi 26 au mardi 27 janvier, le virus/ver Mydoom (alias Novarg ou Mimail Q ou R) se répand actuellement sur Internet. Selon des experts, il constitue la plus importante attaque virale jamais connue sur Internet. Il se propage en utilisant les messageries e-mail, mais également les réseaux d’échange peer-to-peer du type Kazaa.

Comment Mydoom se propage-t-il par e-mail ? Mydoom, comme la plupart des autres virus, se cache dans un fichier attaché. Il vous suffit d’ouvrir le fichier pour être infecté. Le message véhiculant Mydoom est en langue anglaise et s’apparente à un message d’erreur ou un message de test.

• L’objet peut contenir différentes accroches : test, hi, hello, Mail Delivery System, Mail Transaction Failed, Server Report, Status Error.
• Le corps du message peut contenir l’une des phrases suivantes : « Test« , « The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment« , « The message contains Unicode characters and has been sent as a binary attachment« , « Mail transaction failed« . « Partial message is available« .
• Les pièces jointes peuvent avoir pour titre document, readme, doc, text, file, data, test, message, body et pour extension : pif, scr, exe, cmd, bat.

Quels sont les effets du virus ? Le ver n’agit que sur les PC sous Windows. Il infecte votre ordinateur dès que vous double-cliquez sur la pièce jointe vérolée. Mydoom ouvre alors un « port » sur votre ordinateur. Autrement dit, il laisse une porte ouverte, par laquelle des pirates pourraient éventuellement prendre le contrôle à distance de votre ordinateur (et dérober, modifier ou détruire toute information). Par ailleurs, il s’auto-envoie à toutes les adresses e-mail recensées sur votre ordinateur (dans vos carnets d’adresses ou dans le cache de votre navigateur). Il se met également à la recherche du programme de partage de fichiers KaZaa sur votre ordinateur. Si ce dernier est détecté, un fichier est alors copié dans le répertoire de partage, ce qui permet sa diffusion par le système d’échange. Enfin le ver est programmé pour attaquer un site Internet spécifique à partir du 1er février.Que faut-il faire pour ne pas être infecté ? Comme toujours… – Il suffit de ne pas ouvrir la pièce jointe pour que le virus demeure inactif : jetez le message à la corbeille – Si vous avez un anti-virus, nous vous conseillons de le mettre à jour.Je suis infecté. Comment me débarrasser du vers ? Vous pouvez utiliser le désinfectant fourni par F-Secure.

Les variantes

Description	Effets	Que faire ?
Mydoom.M se présente sous la forme d’un message dont le titre et le corps sont aléatoires, avec un fichier joint dont l’extension est .BAT, .CMD, .COM, .EXE, .PIF, .SCR ou .ZIP (28 Ko) et dont le nom contient le domaine ou l’adresse e-mail du destinataire.	Si le fichier joint est exécuté, le virus s’envoie aux adresses figurant dans le carnet d’adresses Windows et divers autres fichiers, et installe une porte dérobée autorisant la prise de contrôle à distance de l’ordinateur infecté.	Ne pas cliquer sur la pièce jointe, supprimer le message.
Mydoom.S se présente sous la forme d’un message dont le titre est « photos » et le corps est « LOL!;)))) », avec un fichier joint photos_arc.exe (27 Ko).	Si le fichier joint est exécuté, le virus s’envoit aux adresses figurant dans le carnet d’adresses Windows et divers autres fichiers, et installe deux portes dérobées autorisant la prise de contrôle à distance de l’ordinateur infecté.	Ne pas cliquer sur la pièce jointe, supprimer le message.
Mydoom.AS se présente sous la forme d’un message dont le titre et le corps sont aléatoires, avec un fichier joint dont l’extension est .bat, .cmd, .exe, .pif, .scr ou .zip (33 Ko).	Si le fichier joint est exécuté, le virus s’envoie aux adresses figurant dans le carnet d’adresses Windows et divers autres fichiers, installe une porte dérobée autorisant la prise de contrôle à distance de l’ordinateur infecté par un individu malveillant, modifie le système pour empêcher l’utilisateur de mettre à jour son antivirus puis tente de se copier dans les dossiers mis en partage.	Ne pas cliquer sur la pièce jointe, supprimer le message.
Mydoom.AX se présente sous la forme d’un message en anglais dont le titre et le corps sont aléatoires, accompagné d’un fichier joint dont l’extension est .bat, .cmd, .com, .exe, .pif, .scr ou .zip, en se faisant passer notamment pour une mise en garde informant le destinataire que la sécurité de son ordinateur a été compromise et l’incitant à exécuter le fichier joint pour remédier au problème.	Si le fichier joint est exécuté, le virus s’envoie aux adresses figurant dans divers fichiers ainsi qu’à des adresses collectées via plusieurs moteurs de recherche dont Google, installe une porte dérobée autorisant la prise de contrôle à distance de l’ordinateur infecté, puis tente de se copier dans certains dossiers partagés.	Ne pas cliquer sur la pièce jointe, supprimer le message.
Mydoom.BQ se propage par courriel. Il se présente sous la forme d’un message dont le titre et le corps sont aléatoires, accompagné d’un fichier dont l’extension est .bat, .cmd, .exe, .pif, .scr ou .zip (33 Ko), incitant l’utilisateur à exécuter le fichier joint sous prétexte de débloquer son compte ou par mesure de sécurité.	Si le fichier joint est exécuté, le virus s’envoie aux adresses figurant dans le carnet d’adresses Windows et divers fichiers, installe une porte dérobée autorisant la prise de contrôle à distance de l’ordinateur infecté par un individu malveillant, désactive certains antivirus et pare-feux personnels, puis modifie le système pour empêcher la connexion aux sites des principaux éditeurs d’antivirus.	Ne pas cliquer sur la pièce jointe, supprimer le message.
Mydoom.BU se propage par courriel. Il se présente sous la forme d’un message dont le titre et le corps sont aléatoires, accompagné d’un fichier dont l’extension est .bat, .cmd, .exe, .pif, .scr ou .zip (33 Ko), incitant l’utilisateur à exécuter le fichier joint sous prétexte de débloquer son compte ou par mesure de sécurité.	Si le fichier joint est exécuté, le virus s’envoie aux adresses figurant dans le carnet d’adresses Windows et divers fichiers, installe une porte dérobée autorisant la prise de contrôle à distance de l’ordinateur infecté par un individu malveillant, désactive certains antivirus et pare-feux personnels, puis modifie le système pour empêcher la connexion aux sites des principaux éditeurs d’antivirus.	Ne pas cliquer sur la pièce jointe, supprimer le message.