Attention, rootkit

On 21 Oct 2007 22:43:06 GMT, mpg <manuel.pg@free.fr>:

LoL...

Mdr : on est dans la hiérarchie francophone ;-p

Bof... Y'a bien longtemps que "lol" a perdu sa valeur d'acronyme.
C'est plutôt un signe de ponctuation, qui a l'avantage d'en dire long
sur son utilisateur.

Le 21 Oct 2007 19:00:41 GMT, Fabien LE LEZ a écrit dans
<news:938nh3pd8s8tms6pqm7j4d9bire1sr91rt@4ax.com>:

On 21 Oct 2007 18:41:08 GMT, Michel MARTIN <martin.michel47@free.fr>:

je ne sais pas si ce forum est le meilleur pour ce sujet, mais je
voudrai dénoncer un rootkit présent sur un logiciel que je trouvais
intéressant, WebMediaPlayer.
Ah ben oui, faut pas installer sur son PC n'importe quelle cochonnerie

téléchargée sur Internet. De même, il est déconseiller de manger
quelque chose qui traîne par terre dans la rue.
Salut

C'est étrange, qu'utilistes-tu comme antivirus. Je pose la question car
mon pôvre antivirus gratuit (avast !) detecte le malware au
téléchargement ;o))

Oulala, tu me fais peur. D'après toi, tous les passages de logiciels de
sécurité ne sont pas suffisants? Tous me répondent qu'il n'y a rien (y
compris Secuser.com, ou plutôt Trend Micro, avec son AV en ligne).
Ben les rootkit sont créés pour berner les antivirus "standards"

Je viens encore, par sécurité, de (re)passer CCleaner, et toutes les
listes présentées ont été vérifiées au peigne fin, il ne reste
absolument aucune trace de quelque chose de bizarre.
CCleaner n'est PAS un outil de sécurité

Alors, que penser?
Amicalement, Michel
As-tu essayer cet outil (gratuit) :

http://www.sophos.fr/products/free-tools/sophos-anti-rootkit.html ?
Sinon il y avait RootkitRevealer de Sysinternals, mais depuis qu'ils ont
été repris par Microsoft, mon favori ne fonctionne plus, mais une
recherche donne par exemple ceci :
www.01net.com/telecharger/windows/Securite/antivirus-antitrojan/fiches/35293.html

A essayer avanr le "format C:" qui doit rester AMHA la dernière solution !!!

On 22 Oct 2007 09:00:20 GMT, Kurieux :

A essayer avanr le "format C:" qui doit rester AMHA la dernière solution !!!

Tu peux tourner le problème dans tous les sens, et abuser des points
d'exclamation autant que tu veux, mais le problème de base reste le
même : à partir du moment où un système a été compromis, tu n'as aucun
moyen d'être certain qu'il est redevenu sain.

Par ailleurs, réinstaller Windows en utilisant une image (Partimage,
Ghost, etc.) prend quelques minutes, et le réinstaller à la dure, avec
les logiciels utiles, prend une heure ou deux. Je suis prêt à parier
que les diverses tentatives de nettoyage (y compris la recherche de
documentation à jour, si elle existe) prend bien plus longtemps, pour
un résultat non garanti.

(Ajoutons à cela que Windows a tendance à s'"encrasser" à l'usage, et
qu'une réinstallation ne peut qu'améliorer la stabilité et la
réactivité du système.)

On 22 Oct 2007 09:00:20 GMT, Kurieux :

A essayer avanr le "format C:" qui doit rester AMHA la dernière solution !!!

Tu peux tourner le problème dans tous les sens, et abuser des points
d'exclamation autant que tu veux, mais le problème de base reste le
même : à partir du moment où un système a été compromis, tu n'as aucun
moyen d'être certain qu'il est redevenu sain.
D'ou tu sors ça ?

J'abuse des points d'exclamation quand je vois sur ce forum des conseils
dignes des hotlines informatiques de la grande distribution (faut-il
préciser que ce n'est pas du tout un compliment ?)
Et tourner le problème dans tous les sens c'est plutôt plus intelligent
que de commencer par le formatage du disque
Si tu avais lu complétement mon post et consulté les liens tu aurais vu,
par exemple, que RootkitRevealer "permet de detecter les différences
entre la réalité de votre système et l'API (ce que Windows voit)"
Et si les divers anti-rootkit n'arrivent pas à nettoyer le système il
existe encore la commande SFC /scannow à lancer à partir du CD d'XP, à
préferer à format c:

Par ailleurs, réinstaller Windows en utilisant une image (Partimage,
Ghost, etc.) prend quelques minutes,
Pour cela il aurait fallu que le posteur original ai effectué précement

une image

et le réinstaller à la dure, avec
les logiciels utiles, prend une heure ou deux. Je suis prêt à parier
que les diverses tentatives de nettoyage (y compris la recherche de
documentation à jour, si elle existe) prend bien plus longtemps, pour
un résultat non garanti.
Une heure ou deux, oui ou même une demi journée, ou même une journée, ça

dépends du PC, de la disponibilté des pilotes, de la compétence du
reinstalleur, du temps de sauvegarde des documents perso, etc...

Et je repète que le "format c:" est la dernière solution !!!!!! - et oui
j'abuse ;o)) -

Kurieux <adresse-invalide@nospam.invalid> writes:

D'ou tu sors ça ?

Euh, de ce que pensent pas mal de personnes bossant (et payées pour,
c'est dingue non ?) dans le secteur de la sécurité informatique, par
exemple.

Et tourner le problème dans tous les sens c'est plutôt plus intelligent
que de commencer par le formatage du disque

Ah ?

Perdre du temps à tenter de nettoyer un système alors qu'il n'y a aucune
garantie que le dit système soit clean à la fin des opérations est
intelligent, c'est un concept intéressant.

Et si les divers anti-rootkit n'arrivent pas à nettoyer le système il
existe encore la commande SFC /scannow à lancer à partir du CD d'XP, à
préferer à format c:

Mouarf, la seule chose que fasse sfc, c'est valider que les fichiers
système ne sont pas corrompus, pour détecter une injection de code dans
un processus lors de son exécution, c'est certainement d'une efficacité
absolue...

Et je repète que le "format c:" est la dernière solution !!!!!!

La touche ! du clavier est bloquée.

--
Pourriez vous me dire comment réaliser un fichier autoexecutable ou
plus presisement le fichier .exe que l'on met dedans !
-+- T in Guide du Neuneu Usenet : autoexécution de neuneu -+-

Le Mon, 22 Oct 2007 11:51:52 +0000, Kurieux a écrit :

Tu peux tourner le problème dans tous les sens, et abuser des points
d'exclamation autant que tu veux, mais le problème de base reste le
même : à partir du moment où un système a été compromis, tu n'as aucun
moyen d'être certain qu'il est redevenu sain.
D'ou tu sors ça ?

Problablement d'une certaine pratique de la sécurité. Fabien est un
"vieux" lecteur de ce forum et apparement il a de la mémoire.

J'abuse des points d'exclamation quand je vois sur ce forum des conseils
dignes des hotlines informatiques de la grande distribution (faut-il
préciser que ce n'est pas du tout un compliment ?)

Dans le n'importe quoi on y arrive.

Et tourner le problème dans tous les sens c'est plutôt plus intelligent
que de commencer par le formatage du disque

Quand on connait déjà les procédures à suivre ET le pourquoi de ces
procédures on peut s'épargner pas mal de temps à entamer des actions
dont le résultat sera incertain.

Si tu avais lu complétement mon post et consulté les liens tu aurais vu,
par exemple, que RootkitRevealer "permet de detecter les différences
entre la réalité de votre système et l'API (ce que Windows voit)"
Et si les divers anti-rootkit n'arrivent pas à nettoyer le système il
existe encore la commande SFC /scannow à lancer à partir du CD d'XP, à
préferer à format c:

Sur un système corrompu aucun outil ne peut prétendre être infaïble.

Maintenant en bootant à partir d'un système sain on peut effectivement
comparer les binaires. Malheureusement je ne crois pas qu'il existe de
référent à un MS-Windows en utilisation réelle[1], c'est à dire avec
différent logiciels installés, outre ceux d'origine. Pire, sous
wouinwouin des modifs subtiles de la BdR peuvent conduire à des
faiblesses exploitables[1]. Et je ne parles même pas de tous les Ocx et
autres active-x troué installés à droite ou à gauche.

Et je repète que le "format c:" est la dernière solution !!!!!! - et oui
j'abuse ;o)) -

Oui effectivement tu abuse.
Pour ta culture :
http://www.certa.ssi.gouv.fr/site/CERTA-2002-INF-002/index.html
Jette un oeil au chapitre 6, en particulier le 6.1

Amha la seule raison pour "réparer un système troué" sans réinstaller
est l'obligation de devoir continuer à faire tourner des systèmes
critiques, en attendant de pouvoir proprement faire une réinstall bien
sur.

Donc, en ce qui me concerne, non seulement tu donnes "des conseils dignes
des hotlines informatiques de la grande distribution (faut-il préciser
que ce n'est pas du tout un compliment ?)" mais en plus tu ne prends même
pas soin de seulement imaginer que tes connaissances sont imparfaites. Et
je peux t'assurer qu'en sécurité, vu ce que tu annonces, elles le sont.

Eric.

[1] Et c'est la que de toute façon "SFC /scannow" peut se rhabiller.

Kurieux <adresse-invalide@nospam.invalid> writes:

D'ou tu sors ça ?

Euh, de ce que pensent pas mal de personnes bossant (et payées pour,
c'est dingue non ?) dans le secteur de la sécurité informatique, par
exemple.
Et moi qui suis professionnel de l'info depuis 28 ans, qui bosse sur PC

depuis 17 ans (et depuis environ 7 ans la part des interventions
concernant la sécurité augmente jusqu'à occuper 50%) je dis qu'il existe
des outils (j'en ai cité dans mon premier post) qui le permettent.
Maintenant si tu veux discuter prouves moi que ce n'est pas le cas avec
d'autres arguments que "je l'ai dit alors c'est vrai"

Et tourner le problème dans tous les sens c'est plutôt plus intelligent
que de commencer par le formatage du disque

Ah ?
oui tu sais le cerveau, c'est un outil qui permet de faire des

comparaisons, d'analyser, de faire des synthèses, de prendre des
décisions réfléchies. Du temps de mes débuts on citait cet axiome :
"Think before, code later".

Perdre du temps à tenter de nettoyer un système alors qu'il n'y a aucune
garantie que le dit système soit clean à la fin des opérations est
intelligent, c'est un concept intéressant.

Et si les divers anti-rootkit n'arrivent pas à nettoyer le système il
existe encore la commande SFC /scannow à lancer à partir du CD d'XP, à
préferer à format c:

Mouarf, la seule chose que fasse sfc, c'est valider que les fichiers
système ne sont pas corrompus, pour détecter une injection de code dans
un processus lors de son exécution, c'est certainement d'une efficacité
absolue...

Evidemment "format c:" c'est efficace. Et pourquoi ne pas conseiller

l'achat d'un autre PC, on sait jamais, un rootkit aurait pu infecté le BIOS
Et puis le conseiller ainsi, sans s'assurer que les documents perso ont
été sauvegardé c'est un peu -comment dirai-je- cavalier

Et je repète que le "format c:" est la dernière solution !!!!!!

La touche ! du clavier est bloquée.
Non mais je le préfère aux majuscules, j'aime pas crier, mais je reïtère

: le "format c:" est la dernière solution !!!!!!!!!!!!!!!!!!!!! - c'est
tellement facile, tiens j'en rajoute - !!!!!!!!!!!!!!!!!!!!!!!!!!! ;o))

Tu peux tourner le problème dans tous les sens, et abuser des points
d'exclamation autant que tu veux, mais le problème de base reste le
même : à partir du moment où un système a été compromis, tu n'as aucun
moyen d'être certain qu'il est redevenu sain.
D'ou tu sors ça ?

Problablement d'une certaine pratique de la sécurité. Fabien est un
"vieux" lecteur de ce forum et apparement il a de la mémoire.

J'abuse des points d'exclamation quand je vois sur ce forum des conseils
dignes des hotlines informatiques de la grande distribution (faut-il
préciser que ce n'est pas du tout un compliment ?)

Dans le n'importe quoi on y arrive.
Ben non, j'ai bien une douzaine de clients qui après appels à leur

hotline ont fait appel à mes services alors qu'ils étaient encore en
période de garantie

Et tourner le problème dans tous les sens c'est plutôt plus intelligent
que de commencer par le formatage du disque

Quand on connait déjà les procédures à suivre ET le pourquoi de ces
procédures on peut s'épargner pas mal de temps à entamer des actions
dont le résultat sera incertain.
Tout à fait, mais là soucis n'est pas d'intervenir personellement sur le

problème, mais de donner le conseil fatal : formattes et réinstalles,
sans être sur place pour savoir si les sauvegardes ont été faites.

Si tu avais lu complétement mon post et consulté les liens tu aurais vu,
par exemple, que RootkitRevealer "permet de detecter les différences
entre la réalité de votre système et l'API (ce que Windows voit)"
Et si les divers anti-rootkit n'arrivent pas à nettoyer le système il
existe encore la commande SFC /scannow à lancer à partir du CD d'XP, à
préferer à format c:

Sur un système corrompu aucun outil ne peut prétendre être infaïble.
Alors on formattes. C'est bien ce que je dis : "des conseils dignes

des hotlines informatiques de la grande distribution (faut-il préciser
que ce n'est pas du tout un compliment ?)"

Maintenant en bootant à partir d'un système sain on peut effectivement
comparer les binaires. Malheureusement je ne crois pas qu'il existe de
référent à un MS-Windows en utilisation réelle[1], c'est à dire avec
différent logiciels installés, outre ceux d'origine. Pire, sous
wouinwouin des modifs subtiles de la BdR peuvent conduire à des
faiblesses exploitables[1]. Et je ne parles même pas de tous les Ocx et
autres active-x troué installés à droite ou à gauche.

Et je repète que le "format c:" est la dernière solution !!!!!! - et oui
j'abuse ;o)) -

Oui effectivement tu abuse.
Pour ta culture :
http://www.certa.ssi.gouv.fr/site/CERTA-2002-INF-002/index.html
Jette un oeil au chapitre 6, en particulier le 6.1
Il y a bien longtemps que le CERTA est, avec bien d'autres, dans mon

dossier de marques-pages, même si je n'avai pas pris connaissances de ce
document.
j'y ai aussi lu le chapitre 5 Comment analyser l'intrusion a posteriori
? Cela serait donc possible ? :o))

Amha la seule raison pour "réparer un système troué" sans réinstaller
est l'obligation de devoir continuer à faire tourner des systèmes
critiques, en attendant de pouvoir proprement faire une réinstall bien
sur.

Donc, en ce qui me concerne, non seulement tu donnes "des conseils dignes
des hotlines informatiques de la grande distribution (faut-il préciser
que ce n'est pas du tout un compliment ?)" mais en plus tu ne prends même
pas soin de seulement imaginer que tes connaissances sont imparfaites. Et
je peux t'assurer qu'en sécurité, vu ce que tu annonces, elles le sont.

Eric.
Ben ça me permet de gagner ma vie à la satisfaction des clients

Mes connaissances sont le résultat d'études informatiques confrontées à
la réalité du terrain. Ce qui me permet (l'experience du terrain) compte
tenu du contenu post initial, de trouver très cavalier de conseiller de
but en blanc le "format c:". Il faudrait d'abord s'assurer que le rooque
les sauvegardes des documents ont été faites, que les médias d'instal.
sont disponibles, que le posteur est suffisement compétent, etc...
J'imagine bien que dans une optique de rapidité d'intervention
-rentabilité oblige- c'est la solution facile. Encore une fois ma
formation et mon expérience m'ont enseignée à réfléchir avant d'agir et
à ne pas lacher "l'affaire facilement". Mes clients apprécient, le
bouche à oreille fonctionnant à plein

[1] Et c'est la que de toute façon "SFC /scannow" peut se rhabiller.
Dans certain cas, tout comme le "format c:" dans l'hypothétique

infection du BIOS.
j'oubliai : !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Le Mon, 22 Oct 2007 13:04:41 +0000, Kurieux a écrit :

Maintenant si tu veux discuter prouves moi que ce n'est pas le cas avec
d'autres arguments que "je l'ai dit alors c'est vrai"

http://www.certa.ssi.gouv.fr/site/CERTA-2002-INF-002/index.html
uniquement pour commencer.

"Think before, code later".

Celle la tu devrais te l'appliquer avant de répondre sans t'être
informé d'avantage :
http://support.microsoft.com/kb/328691

Tient, amusant, vers le bas du document, pondu par MS :

"Après avoir terminé ces étapes, nous vous recommandons d'utiliser un
antivirus disposant des définitions du virus les plus récentes pour
détecter et supprimer le cheval de Troie MIRC. Ensuite, formatez et
réinstallez le serveur dès que vous le pourrez. Nous recommandons cette
mesure parce que le serveur a été compromis."

Relis bien les deux dernières phrases...

Pour infos je bosse peu avec Windows et il ne m'a fallu que quelques
minutes pour trouver ce document. Remise en cause... (voir plus bas)

Mouarf, la seule chose que fasse sfc, c'est valider que les fichiers
système ne sont pas corrompus, pour détecter une injection de code dans
un processus lors de son exécution, c'est certainement d'une efficacité
absolue...

Evidemment "format c:" c'est efficace.

Pas seulement efficace. La seule solution sure (et encore, pas "format c:"
mais ce que ça suggère : nettoyage du MBR, "repartitionnage" et
formatage avant réinstall.

Et puis le conseiller ainsi, sans s'assurer que les documents perso ont
été sauvegardé c'est un peu -comment dirai-je- cavalier

Fabien a déjà répondu à ça, en bas du post :
<99eoh359khj3s703pt2mrr3c2u7cik7cro@4ax.com>

Sans compter que faire un backup de ses données c'est le b-a ba.

Et je repète que le "format c:" est la dernière solution !!!!!!

Si c'est dans le sens dernière partie de la solution (sauvegarde des
données, "réparation" de l'intrusion pour un système critique ET
réinstall dès que possible alors oui.


Enfin une dernière remarque :
Jette un oeil dans les archives et des "Et moi qui suis professionnel de
l'info depuis 28 ans" on en a déjà eu quelques un. Et généralement
ceux qui s'avancent avec ce genre d'argument le font parce qu'ils en
manquent, d'argument. Dans ce métier la moindre des choses est la remise
en cause régulière de ses compétances.

Avant de te répondre j'ai vérifié que les quelques outils que tu
proposes ne suffisent pas à garantir l'intégrité du système.

Bref je te suggère, avant de remettre ton age vénérable en avant :

http://www.paroles.net/chansons/22466.htm
http://www.paroles.net/chansons/17866.htm

Comme j'ai l'habitude de le dire[1], je ne me suis jamais fait trouer, *à
ma connaissance*. Tu vois la nuance?

Eric

[1]pourvu que ça dure!

Eric Razny wrote in message <pan.2007.10.22.13.55.19.2223@razny.net>:

Pas seulement efficace. La seule solution sure (et encore, pas "format c:"
mais ce que ça suggère : nettoyage du MBR, "repartitionnage" et
formatage avant réinstall.

Ça ne suffit pas : rien ne garantit que le BIOS n'a pas été reflashé.