Logo GNT
Actualités Tests & Guides Bons Plans
GTA 6 iPhone 17 Copilot Switch 2 Temu ChatGPT Tesla
OVH Cloud OVH Cloud
Entraide Sécurité Sécurité Sécurité Attention, rootkit

Attention, rootkit

74 réponses
Avatar
Michel MARTIN
Bonsoir,
je ne sais pas si ce forum est le meilleur pour ce sujet, mais je
voudrai dénoncer un rootkit présent sur un logiciel que je trouvais
intéressant, WebMediaPlayer. Logiciel qui présente quelques centaines de
radio locales sur Internet. Dommage!
Après son installation, j'ai eu une alarme de Zone Alarm qui demandait
l'autorisation de passer, avec un logiciel dont le nom est aléatoire
(suite de consonnes, peu de voyelles) suivi du fatidique .EXE
Refusé, il y a eu plusieurs tentatives avortées. Inquiet de ce remue
ménage, j'ai installé Avastr Anti-rootkit qui me l'a trouvé (bien sûr,
il est invisible, même si on demande à voir tous les fichiers extensions
comprises). Tout désinstallé, je n'avais plus rien.
Voulant en avoir le coeur net, j'ai réinstallé ce logiciel (car j'en
avais installé 2 ou 3 le même jour), et le rootkit est réaparu.
J'en ai donc eu la certitude que c'était bien lui.
Attention, lors de la désinstallation, il réclame à corps et a cri le
branchement sur Internet, sinon il refuse de se désinstaller. ... sauf
si on clique plusieurs fois sur le bouton "reéssayer" . Accès refusé sur
le Net, désinstallation un peu à la cosaque. Puis passage de Ccleaner.
Et de plusieurs anti-spywares. et vérification finale par Avast
anti-rootkit.
Je ne sais pas s'il existe un site pour dénoncer ces saletés, ce serait
une bonne chose.
Ha, le programme de désinstallation s'appelle AU_.exe, qui est dans un
des fichiers temp du dossier Documents and settings/propriétaire/Local
settings/~nsu.tmp.
Le rootkit (invisible, sauf pour un anti-rootkit) est dans le dossier
Documents and settings/propriétaire/Local settings/Application data.
Amicalement, Michel
--
http://martin.michel47.free.fr/
Signaler un problème avec ce contenu

10 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
3 4 5 6 7
Avatar
Ludovic

Ensuite tu reccomandes Avast



Non, tu n'as donc pas compris ce qui est écrit sur la page...
Mais ce n'est pas une nouveauté...

Cordialement,
Ludovic.

Avatar
Ludovic
On 23 Oct 2007 17:39:01 GMT, Eric Razny wrote:

Vas voir les nombreux posts sur fr.comp.securite.virus (ou une recharche web) à propos
de machin détecte merdouille1&2 mais pas merdouille3 ou alienX alors que
bidule détecte même alien5 mais pas les merdouilles.


Toutes les désinfections ratées que j'ai pu lire sur ce forum
l'ont été suite à :
- non désactivation de la restauration de Windows ;
- non utilisation du mode sans échec de base.

Je n'ai eu qu'une fois à reformater un PC infecté : Un collègue
avait eu un virus qui lui avait vérollé tous les .exe de son PC...

Le reste du temps, un bon nettoyage et hop, c'est reparti.
Bref, formatage, bof...

Cordialement,
Ludovic.

Avatar
DePassage
Ensuite tu reccomandes Avast



Non, tu n'as donc pas compris ce qui est écrit sur la page...
Mais ce n'est pas une nouveauté...


Si si j'ai lu et je te fais un copier coller car tu n'as pas répondu aux
points cités :

Tu dis :

- Utiliser un firewall : INDISPENSABLE

et tu proposes d'utiliser un firewall alternatif. Mais tu ne dis pas
"Pourquoi ?".
Tu dis qu'il ne faut pas utiliser 2 firewall, mais tu proposes
d'utiliser le firewall du routeur. Tu ne dis pas non plus si il faut
garder un firewall logiciel (sur le PC), et si oui, ou non, "Pourquoi ?"

- Utiliser un antivirus, bien sûr... et tu cites AVAST
"il ne vous manque plus qu'un antivirus "efficace", si possible, pas le
plus connu,"

Ben désolé, AVAST est Trop connu et comporte sufisamment de lacunes pour
être exploité. Et là je parle de "lacunes", pas de "failles"...

-Ne plus utiliser INTERNET EXPLORER
Et tu dis "En effet, IE (Internet Explorer) est autorisé à se connecter
à Internet via le firewall"
Ah bon ? Et pas Firefox ?? :-)

Tu préconises Firefox, et plus loin je lis .. "C'est un TRES BON
REMPLACANT d' Internet Explorer, à condition de ne pas récupérer les
divers plug-in inutiles (notamment ceux de type ActiveX...)...

Ah.. je ne savais pas qu'il y avait des plug-in de type ActiveX sous
firefox. C'est nouveau.
Il y a un plug-in du nom de IE Tab, qui fourni à Firefox l'intégralité
du moteur de rendu de Microsoft (mais ce n'est pas un plug-in de type
"active X) et un autre qui installe un plug-in qui ne fait QUE prendre
en charge le media player. Et.. C'est tout (du moins à ma connaissance,
ce qui n'est pas infaillible) Seul le premier est vraiment dangereux

Tu dis :
Décocher les coches "Activer Javascript" et "Activer Java" lors de surf
sur des pages "très dangereuses". et utiliser "NoScript"

Bien, alors autant surfer avec Lynx en mode texte parce que cela te
prive de 99% des sites à usage familial
Parce que les surf sur des pages "très dangereuses" sont à définir, et
les plus dangereuses, tu ne les verras meme pas avec ce qui existe comme
moyen d'infection actuellement

-Ne plus utiliser Outlook Express

et tu dis "En fait, certains virus se moquent du fait que Outlook
Express interdise l'ouverture des pièces jointes."
Parce que la faille est simplement là ???
Plus loin tu dis que tu es satisfait de "The bat" parce qu'il n'execute
pas les pièces jointes"

Donc il n'existe aucune faille à exploiter dans l'affichage d'un mail ?

Je zappe le reste du "pro" qui passe outre le scan de ses messages par
Zone alarm car il "fait confiance à sa tete"...


J'attend toujours ta conclusion du test



Vous les avez eu... Je ne vais pas me répéter sans cesse...



Ben non... Tu n'as pas été bien loin

Dans ta page tu dis

"Testez votre antivirus : http://securite-informatique.info/virus/eicar/"

Il faut donc télécharger Eicar et l'EXCUTER

Moi je te dis de tester la meme chose sur

http://www.web-mediaplayer.com/

Cela consiste à télécharger et excuter. Sois logique dans ton raisonnement.

Ton test a consisté à "J'ai cliqué sur http://www.web-mediaplayer.com/
et si je clique sur "télécharger", il ne se passe strictement rien..."

Ben si.. tu es un utilisateur lambda, rassuré par le professionalisme de
la page web affichée et tu le veux ce programme.


Avatar
Ewa (siostra Ani) N.
Le mercredi 24 octobre 2007 à 00:12:59, dans <471e71de$0$21145$ vous écriviez :

Vous les avez eu... Je ne vais pas me répéter sans cesse...



Ben non... Tu n'as pas été bien loin



En effet, Ludovic ne fait que nous répéter url (toujours le même) de
sa page (toujours la même).
Et tant pis si le monde évolue.


Ewcia


--
Niesz
http://www.krolestwa.com


Avatar
Ludovic
On 23 Oct 2007 22:19:55 GMT, "Ewa (siostra Ani) N." wrote:

En effet, Ludovic ne fait que nous répéter url (toujours le même) de
sa page (toujours la même).
Et tant pis si le monde évolue.


Mais non, la page évolue... Encore faut-il y aller pour le savoir...
Franchement, si vous avez du temps à perdre à réaliser les mêmes
réponses jour après jour, c'est votre affaire. Moi je préfère mettre
à jour ma façon de me protéger afin que les collègues en profitent.
Personnellement, je n'ai pas de temps à perdre à répondre à notre
ami "De passage" qui fait même du copier-coller de ses réponses
maintenant...

De toute façon, des satyres de personnes qui n'ont rien d'autre
à donner que des liens Google, bof...

Au revoir...
Cordialement,
Ludovic.

Avatar
DePassage
On 23 Oct 2007 22:19:55 GMT, "Ewa (siostra Ani) N." wrote:

En effet, Ludovic ne fait que nous répéter url (toujours le même) de
sa page (toujours la même).
Et tant pis si le monde évolue.


Mais non, la page évolue... Encore faut-il y aller pour le savoir...
(...)
Personnellement, je n'ai pas de temps à perdre à répondre à notre
ami "De passage" qui fait même du copier-coller de ses réponses
maintenant...


Et bien en tant qu'utilisateur lambda de l'informatique, je me pose des
questions sur cette page censée m'aider et qui évolue, et tu n'y réponds
pas (ou alors tu n'as pas les réponses ?)

De toute façon, des satyres de personnes qui n'ont rien d'autre
à donner que des liens Google, bof...


C'est vrai que tu n'oseras jamais remplacer ton lien de test EICAR
par http://www.web-mediaplayer.com/ :-)

Ou alors tu en veux un autre ? (il y en a 30 0000 du meme genre)
Un site web vérolé peut etre ??


Avatar
Kurieux

C'est vrai que tu n'oseras jamais remplacer ton lien de test EICAR
par http://www.web-mediaplayer.com/ :-)

Bonjour

Au demeurant il y a assez peu des antivirus utilisés par virustotal.com
qui détecte la bestiole : http://cjoint.com/?kyknswtWMg

Ou alors tu en veux un autre ? (il y en a 30 0000 du meme genre)
Un site web vérolé peut etre ??
Bien volontier, c'est toujours utile de tester ses outils

Merci d'avance

Avatar
Denis Cil
Kurieux le 24 oct. 2007 a déposé dans les nouilles:

Bonjour
Au demeurant il y a assez peu des antivirus utilisés par virustotal.com
qui détecte la bestiole : http://cjoint.com/?kyknswtWMg


L'executable est patché à la volée par le fort justement nommé patch.php :
http://www.web-mediaplayer.com/*patch.php*?file=/var/www/www.web-
mediaplayer.com/

C'est juste un peu plus simplement compliqué.

<http://cjoint.com/?kynGyrrsl2>



--
Denis

Avatar
DePassage

C'est vrai que tu n'oseras jamais remplacer ton lien de test EICAR
par http://www.web-mediaplayer.com/ :-)

Bonjour

Au demeurant il y a assez peu des antivirus utilisés par virustotal.com
qui détecte la bestiole : http://cjoint.com/?kyknswtWMg


Virustotal ne fonctionne qu'avec les bases de définitions de virus (En
heuristique il en est autrement)

Néanmoins c'est un bon indicateur concernant la réactivité des éditeurs.


Ou alors tu en veux un autre ? (il y en a 30 0000 du meme genre)
Un site web vérolé peut etre ??
Bien volontier, c'est toujours utile de tester ses outils

Merci d'avance


Tsss tsss :-)

Si j'ai mis en avant ce site, c'est qu'il revient régulièrement sur les
forums depuis des mois parce que des gens se font infecter avec en
téléchargeant le programme.

C'est connu, et cela permet de mettre en avant le type d'infection
possible par un programme que l'utilisateur lambda pense être sain,
puisqu'apparaissant (le site) sur le premier lien google
De plus c'est surligné en jaune de plus, pouvant laisser à penser que
puisqu'il s'agit d'un site commercial il ne peut y avoir aucun problème

Concernant les autres sources elles apparaissent et disparaissent au fil
du temps et ce n'est pas dans un forum public que ca doit être divulgué.
On ne sait qui est qui et l'usage qu'il peut en être fait.
Si tu veux tester et aider contacte par ex les responsables de
Zebulon.fr il y a un forum privé pour cela. Suffit d'être admis.


Avatar
DePassage
Kurieux le 24 oct. 2007 a déposé dans les nouilles:

Bonjour
Au demeurant il y a assez peu des antivirus utilisés par virustotal.com
qui détecte la bestiole : http://cjoint.com/?kyknswtWMg


L'executable est patché à la volée par le fort justement nommé patch.php :
http://www.web-mediaplayer.com/*patch.php*?file=/var/www/www.web-
mediaplayer.com/

C'est juste un peu plus simplement compliqué.



En plus le code change régulièrement, la signature n'est pas la même, et
parfois on peut voir sur virustotal qu'aucun programme ne détecte quoi
que ce soit


3 4 5 6 7