Le virus-ver Hybris : hahaha@sexyfun.net, les 7 coquir nains

Impossible d’y avoir échappé (à Arobase.org, on en reçoit bien un par semaine) : le virus-ver Hybris a infesté l’Internet. Ce virus atterrit dans votre boîte aux lettres comme un message en provenance de l’adresse hahaha@sexyfun.net et comportant l’objet « 7 coquir nains » ou « Blanche neige et …les sexe nains« . Il a été découvert à la fin de septembre 2000 et se répand depuis début novembre 2000. La propagation a pris une grande envergure au début de l’an 2001.

Comment se propage Hybris ?

Le W95.Hybris (connu aussi comme W32.Hybris.gen, W32.Hybris.22528.dr, W32/Hybris.gen@M, I-Worm.Hybris, TROJ_HYBRIS.B) est un ver qui se propage par courrier électronique comme pièce jointe aux messages sortants. Le ver infecte le fichier de connexion WSOCK32.DLL. Sur une machine infectée, chaque fois qu’un utilisateur envoie un e-mail à une personne, le ver transmet un autre e-mail (infecté cette fois) à la même personne.

Qui vise-t-il donc ? Ce virus-ver ne s’attaque qu’aux systèmes exploités sous Windows. Il ne tente d’infecter que les personnes référéencées dans le carnet d’adresses d’Outlook ou Outlook Express.

Ca fait mal docteur ? Le ver infecte donc le fichier de connexion WSOCK32.DLL pour transmettre d’autres e-mails infectés à vos correspondants. On le soupçonne également d’infecter les fichiers compressés de type .ZIP et .RAR. Certaines pièces jointes de type .SCR (écran de veille) une fois exécutées, empêchent l’utilisation de l’ordinateur et infectent les programmes DOS.

Comment reconnaître le message ?

Le message reçu a les caractéristiques suivantes :

De : Hahaha <hahaha@sexyfun.net>
Objet : les 7 coquir nains(variante : Blanche neige et …les sexe nains, Snowhite and the seven Dwarfs)
Message : C’etait un jour avant son dix huitieme anniversaire. Les 7 nains, qui avaient aidé ‘blanche neige’ toutes ces années après qu’elle se soit enfuit de chez sa belle mère, lui avaient promis une *grosse* surprise. A 5 heures comme toujours, ils sont rentrés du travail. Mais cette fois ils avaient un air coquin…
Pièce jointe : un fichier .EXE ou .SCR. Les pièces jointes sont choisies au hasard selon une liste prédéfinie. Dans cette liste figurent blancheneige.exe, nains.exe, blanche.scr, sexynain.scr, anpo porn(.scr, atchim.exe, branca de neve.scr, dunga.scr, dwarf4you.exe, enano porno.exe, joke.exe, midgets.scr, sexy virgin.scr, etc.

Il existe une version en langue anglaise et une autre en langue espagnole du même message, mais l’adresse de l’expéditeur et son nom fictif sont les mêmes.

Comment ne pas se faire infecter ? N’ouvrez pas le mail et surtout ne sauvegardez ni le message ni les pièces jointes. Eliminez tous les messages et les pièces jointes et videz la corbeille.

Je suis infecté. Comment me débarrasser du vers ? Suivez les instructions (en anglais) de McAffee.