Windows

Piratages
Eagle1

Morto un virus qui se propage via la fonction bureau a distance

Alerte Virale

Morto est un « 
ver
 » qui se propage via la fonction de Bureau à distance de Windows (Remote Desktop Protocol).

Si une machine connectée à Internet ou à un réseau local n’est pas suffisamment sécurisée, Morto l’infecte sans intervention de l’utilisateur, puis balaie le réseau à la recherche de nouvelles machines à infecter.

Systémes concernés:

– Windows

Alias:

Citation:

Win-Trojan/Helpagent.7184 (AhnLab)
Trojan horse Generic24.OJQ (AVG)
Trojan.DownLoader4.48720 (Dr.Web)
Backdoor:W32/Morto.A (F-Secure)
Worm:W32/Morto.B (F-Secure)
Worm:Win32/Morto.A (Microsoft)
Troj/Agent-TEE (Sophos)

Morto est un ver, c’est-à-dire un « 
virus
 » qui se propage automatiquement via le réseau informatique, iIl utilise pour cela la fonction de Bureau à distance de Windows ou Remote Desktop Protocol (RDP) :

Morto balaie automatiquement le réseau informatique et tente d’établir une connexion sur le port « TCP/3389 » (correspondant au Bureau à distance) en tant qu’administrateur, en essayant les mots de passe suivants:

« *1234
0
111
123
369
1111
12345
111111
123123
123321
123456
168168
520520
654321
666666
888888
1234567
12345678
123456789
1234567890
!@#$%^
%u%
%u%12
1234qwer
1q2w3e
1qaz2wsx
aaa
abc123
abcd1234
admin
admin123
letmein
pass
password
server
test
user »

Si la connexion est établie, « Morto » infecte alors la machine.

Il se copie dans plusieurs répertoires sous divers noms, modifie le Registre de Windows pour s’exécuter à chaque démarrage, tente de désactiver les antivirus et logiciels de sécurité les plus populaires, tente de télécharger et d’installer d’autres programmes malicieux depuis des sites web distants, puis balaye le réseau informatique à la recherche de nouvelles machines à infecter.

Il peut également recevoir des instructions et être utilisé pour lancer des attaques par déni de service (DoS).

Les utilisateurs n’ayant pas l’utilité du Bureau à distance peuvent désactiver temporairement ou définitivement cette fonction:

Pour Windows XP:

menu Démarrer > Panneau de configuration > Systéme > onglet Utilisation à distance > décocher la case « Autoriser les utilisateurs à se connecter à distance à cet ordinateur ».

Pour Windows 7:

menu Démarrer > Panneau de configuration > Systéme et sécurité > Systéme > Paramétres systéme avancés > onglet Utilisation à distance > cocher « Ne pas autoriser les connexions à cet ordinateur »..

old.secunews.org
: Conseille à tous les utilisateurs de s’assurer qu’ils disposent sur leur ordinateur d’un antivirus configuré pour se mettre à jour automatiquement et fréquemment, des derniers correctifs de sécurité diffusés,d’un logiciel pare-feu,éviter le plus possible les sites Web inconnus ou peu recommandables et de vous méfiez des mails reçus de provenance inconnue afin d’empêcher que vos PC ne deviennent un élément d’un réseau de zombie (
botnet
)

Read More
Piratages
Eagle1

Popureb un rootkit qui oblige à restaurer Windows

Alerte Virale

Les patch Tuesdays se succédent(
16 correctifs pour le Patch Tuesday de microsoft de Juin 2011
), mais parfois, Microsoft est prêt à le reconnaÓtre, cela ne suffit pas.

La derniére alerte lancée aux Etats-Unis ce lundi 27 juin 2011, s’appelle « Popureb« , ce malware est une infection
trojan
qui se propage comme un redoutable
rootkit
, il s’enferre si profondément dans Windows qu’il pourrait bien conduire les utilisateurs à une ré-installation compléte de l’OS.

Sa référence exacte:
Trojan:Win32/Popureb.E
(Microsoft)

Car la source est un certain Chun Feng, ingénieur du MMPC, qui n’est autre que le trés officiel « 
Microsoft Malware Protection Center
« , lequel vient de l‚cher l’information sur un blog.

Ce
malware
écrase, ni plus ni moins, l’enregistrement du
boot
(ou MBR, master boot record), le fameux secteur 0 du disque dur, o? est stocké le code de lancement du systéme d’exploitation, une fois que le BIOS a été lancé et fait son check-in.

De ce fait, confirme Computerworld, ce ver cheval de Troie ne peut pas être détecté, ni par les anti-virus ni les autres systémes de sécurité -semble-t-il, puisque non visible par l’OS.

Recommandations

Sur
son blog
Microsoft Malware Protection Center, la firme de Redmond ne prend pas de détour:

« Si votre systéme est infecté avec ce Trojan:Win32/Popureb.E, nous vous recommandons de rétablir le MBR et d’utiliser ensuite le CD de restauration pour restaurer votre systéme à un état antérieur à l’infection » explique l’ingénieur Chung Feng.

La démarche nécessite de passer par la console de récupération via un CD de restauration ou d’installation de Windows XP, Vista ou 7, de maniére à réparer le secteur zéro endommagé à l’aide de la commande « fixmbr ».

Ensuite, une restauration du systéme est nécessaire, toujours à partir du disque, pour revenir à un état de l’OS datant d’avant la contamination – encore faut-il réaliser des points de restauration pour que cette manoeuvre soit possible.

old.secunews.org
: Conseille à tous les utilisateurs de s’assurer qu’ils disposent sur leur ordinateur d’un antivirus configuré pour se mettre à jour automatiquement et fréquemment, des derniers correctifs de sécurité diffusés,d’un logiciel pare-feu,éviter le plus possible les sites Web inconnus ou peu recommandables et de vous méfiez des mails reçus de provenance inconnue afin d’empêcher que vos PC ne deviennent un élément d’un réseau de zombie (
botnet
)

Read More