Le virus-ver Sircam

A Arobase.org, on a reçu notre premier message contenant le virus Sircam le 19 juillet 2001, soit 2 jours après sa naissance. Et le 24 juillet, on croulait sous les mails infectés.Même si les éditeurs d’antivirus lui accordent une portée moindre que Love Letter ou Melissa, Sircam bénéficie de toute leur considération : ils lui attribuaient fin juillet un « niveau de risque maximal ».

Comment se propage Sircam ?

Sircam (référencé officiellement sous le nom W32.Sircam.Worm@mm) est un ver qui se propage par courrier électronique comme pièce jointe aux messages sortants. Sur une machine infectée (fonctionnant obligatoirement sous Windows), le ver recense toutes les adresses référencées dans le carnet d’adresses de Windows et celles contenues dans le cache du navigateur (c’est à dire le répertoire qui stocke les pages Web visitées pour permettre un surf plus rapide). A chacune des adresses collectées, il envoie un document pris au hasard dans le dossier Mes documents de Windows (après l’avoir naturellement infecté). Il suffit que le destinataire ouvre ce document pour se voir à son tour infecté.

Qui est visé par ce virus ?

Ce virus-ver ne peut infecter que les ordinateurs fonctionnant sous Windows. Cela n’empêche pas les utilisateurs de MacOS et de Linux ou d’Unix de recevoir les mails générés par le ver.

Ca fait mal docteur ?

Le principal risque est de voir diffusé par courrier électronique des documents plus ou moins confidentiels que vous abritez sur votre ordinateur. Pour info, ici à Arobase.org, on a reçu par exemple les documents personnels chiffrage_cloison.xls (de Jacques B.), W-Pricer.doc (de Pierre B.), RECUP100.DOC (de Paul H.), Bien regarder.doc (de Lucie D.), Mme Lacase 05 04 2001.doc (de David M.), COMMUNES.DOC (d’Albert G.), Intel_Ebusiness1.doc (de Jean-Louis P.) Un autre risque (qui surviendrait sur un ordinateur contaminé sur 33) serait de voir tout son espace libre sur le disque dur rempli par un fichier créé par le virus. Un dernier (survenant sur un ordinateur sur 20) serait une destruction de tous les fichiers le 16 octobre prochain.

Comment reconnaître un message contenant Sircam ?

Le message reçu a les caractéristiques suivantes :

• Le sujet du message est le nom du document joint, sans son extension (par exemple chiffrage_cloison)
• Le texte du message est selon les cas en anglais ou en espagnol : Hi! How are you? I send you this file in order to have your advice See you later. Thanks ouHola como estas ? Te mando este archivo para que me des tu punto de vista Nos vemos pronto, gracias.
• La pièce jointe est un document classique (d’extension .doc, .xls, .jpg, etc.), auquel le ver a ajouté une autre extension (.pif, .lnk, .bat, .com). Ainsi, vous pouvez recevoir par exemple le fichier chiffrage_cloison.xls.bat Sachez seulement que cette seconde extension n’apparaît pas dans l’explorateur de Windows ou dans certains logiciels comme Outlook ou Outlook Express (elle apparaît en revanche dans Eudora).Pour la repérer dans ces derniers cas, examinez l’icône du document : elle comporte une petite flèche (semblable à celle d’un raccourci). Vous pouvez aussi cliquer du bouton droit du document pour étudier ses propriétés : vous verrez alors apparaître la seconde extension.

Comment ne pas se faire infecter ?

Si jamais vous receviez un message contenant selon toute vraisemblance le virus, n’ouvrez pas la pièce jointe. Répondez à l’expéditeur du message et avertissez-le qu’il est infecté par le virus. Vous pouvez, si vous le désirez, lui communiquer l’adresse de cette page (https://www.arobase.org/virus/sircam.htm) pour qu’il puisse se renseigner.Supprimez enfin le message et sa pièce jointe. Videz la corbeille.Si vous possédez un antivirus, n’oubliez pas de mettre à jour la liste des virus, si vous ne l’avez pas fait depuis le 19 juillet 2001.

Je suis infecté. Comment me débarrasser du vers ?

Vous pouvez actionner votre antivirus si vous en possédez un (après avoir éventuellement mis à jour la liste des virus), ou télécharger gratuitement l’utilitaire de désinfection mis à disposition sur le site de l’éditeur d’antivirus Kapersky. Le fichier s’appelle clrav.com.

Où puis-je trouver de l’information complémentaire ?

Vous trouverez un descriptif du virus sur les sites – Viruslist.com (en anglais) – McAfee.com (en anglais)