gros probleme AU SECOURS :(((

sur les news:bpaq2j$1lh0qr$1@ID-75150.news.uni-berlin.de,
Frederic Bonroy <bidonavirus@yahoo.fr> signalait:

L'analyse du courrier par un module additionnel quel que soit le
produit *est* un gadget commercial, inutile et souvent source de
problème.

Amen.

Me semble que Roland l'a déjà signalé comme beaucoup.

Oui.

NAV et KAV conseille d'ailleurs sur leur FAQ ou support respectif de
le désactiver....

Si c'est un gadget inutile alors il n'y a *aucune* raison de
l'inclure, c'est de la bêtise et c'est valable pour Symantec ET
Kaspersky. Ça illustre bien encore une fois comment les éditeurs se
concentrent sur des choses complètement anodines, il n'y a pas que
Microsoft qui fait ça.

Marketing : Le client aime bien les gadgets inutiles et les belles
interfaces en technicolor avec plein de truc qui clignotent ; chacun imite
l'autre, de la même manière qu'il y a des tas de
machins détectés comme virus qui n'en sont pas dans toutes les DB simplement
parce qu'un concurrent le détecte ;)
--
JacK

Marketing : Le client aime bien les gadgets inutiles et les belles
interfaces en technicolor avec plein de truc qui clignotent ;

Ouais, l'antivirus nécessitant DirectX approche à grands pas. :-|

Roland Garcia wrote:

Oui, certaines personnes ont été convaincus par ces bobards ...

Adressez vous à ces "certaines" personnes.

Nous préfèrons règler le problème à la source des bobards.

--
Olivier Aichelbaum

djehuti wrote:

[couic] Tegam, que son étude prospective contenait
une partie publicitaire, etc. :-((((((

et c'était pas vrai ?

Non, c'était mensonger.

--
Olivier Aichelbaum

On Mon, 17 Nov 2003, JacK wrote:

sur les news:3fb8e718$0$10412$626a54ce@news.free.fr,
djehuti <djehuti55@aol.com> signalait:

Sans doute OA estime-t-il que ce n'en était pas de signaler à la fin de son
"étude prospective" Notre logiciel protège contre ce genre d'attaques ou qq
ch d'approchant ?

Ils ont fait suffisamment de battage au sujet de cette "étude prospecti ve et
du rapport secrêt" que le tout peut être considéré comme une tent ative de
publicité et de désinformation maladroite.

Bonjour,

Puisque vous en parlez, il me semble qu'on peut parler un peu
plus serieusement de ce fameux rapport confidentiel depuis qu'une
partie du contenu de celui-ci a ete' reproduite dans le Virus
Bulletin de Juin 2003, et que certains d'entre vous ont lu
(au passage, j'en profite pour remercier certain ).

Pour ca, je vais tenter de resumer tres brievement l'article
de E. Dotan (si des points de ce resume' ne sont pas clairs,
n'hesitez pas a demander):

------------------

Cet article, intitule' "The Scalable Stealth Trojan : Un Upcoming
Danger" s'attache a decrire ce qui pourrait etre "le cheval de troie
du futur", le denomme' "Goodluck" (cette denomination n'est pas
employee dans l'article, mais un communique' de presse publie'
sur le site de tegam permet de faire le lien).

En guise d'introduction, l'auteur precise que si les outils de
securite' actuels (firewalls, firewalls personnels et anti-virus)
offrent une protection efficace contre la plupart des chevaux de
troie "prets a l'usage", ils ne permettent pas de se proteger
contre des chevaux de troie destines a effectuer des attaques
ciblees. L'auteur precise que "Goodluck" utilise une combinaison
de techniques nouvelles et de techniques deja connues permettant
de le rendre furtif ("Although many of these techniques have been
used already by one Trojan or another, they have not yet been
combined to create a `super-stealth' trojan horse").

La premiere partie de l'article, intitulee "Process Identity
Falsification (PIDF)" decrit plusieurs techniques destinees a
garantir cette furtivite'.

Apres un bref rappel du mode de fonctionnement des firewall
personnels (Prise en compte du processus a l'origine du
flux reseau lors du controle d'acces), l'auteur enumere trois
methodes destinees a tromper ceux-ci. La premiere de ces methodes,
baptisee "API Hooking"consiste a detourner des fonctions du
systeme d'exploitation, de maniere a ce que les flux generes
par les fonctions operant le detournement soit attribues aux
processus appelants. La deuxieme methode consiste a effectuer
ce type de detournement au niveau de la couche du systeme
d'exploitation nommee SPI (Winsock's Service Provider
Interface), qui permet d'alterer toutes les operations sur
les sockets. Bien que tres efficace (pas de processus visible,
demarrage du cheval de troie au boot), cette technique est
difficilement exploitable : les droits d'administrateur sont
necessaires pour pouvoir installer le hook. Finalement, une
troisieme technique consiste a injecter le code malveillant
dans la memoire d'un processus existant, en utilisant les
fonctions CreateRemoteThread et WriteProcessMemory du systeme
d'exploitattion (NT/2000/XP). Cette technique ne necessite pas
les droits d'administrateur (NDT: Cette derniere technique,
assez largement employee dans les chevaux de troie a forte
diffusion, est connue sous le terme de "firewall bypass").
Finalement, l'auteur mentionne l'hypothetique cheval de Troie
pourrait etre sous la forme d'un plugin de browser ou de client
mail, ou meme sous celle d'un ActiveX. Il conclut cette premiere
partie de la maniere suivante : "The same techniques work
against behaviour blockers that monitor file or registry I/O -
if SST needs to modify files or registry keys that are protected
by behaviour monitors, PIDF can be used perform the modifications
to appear as if they originated from clean, authorized process."
En Francais, les "bloqueurs" sont eux-aussi vulnerables a ce genre
de techniques de detournement de processus.

La deuxieme partie s'intitule "Passive Communication Protocol
and HQ Servers", elle decrit la mise en place de canaux de
communication entre le cheval de troie et la personne le
controlant (cette communication est bi-directionnelle : envoi
de commandes dans un sens, fuite d'information dans l'autre).
L'auteur rappelle que, pour eviter les blocages par des
firewalls "classiques" certains trojans "de grande distribution"
ne se comportent pas comme des serveurs mais preferent initier
des connections sortante vers un serveur controle' par l'
attaquant (NDT: Cette technique, generalement nommee "LAN Bypass"
a ete' initialement concue pour pouvoir controler des postes
en adressage prive'[cf. RFC 1918]). L'auteur precise aussi
que "Goodluck" tiendrait a jour une liste de serveurs premettant
de le controler, et s'y connecterait via des protocoles standards
comme HTTP, de maniere a passer inapercu. Ainsi, il suffirait que
le cheval de troie visite un site web controle' par l'attaquant
pour y recuperer un ensemble d'instructions. Ces instructions
pourraient par exemple indiquer une nouvelle liste de serveurs
relais ou declencher une mise a jour du cheval de troie. Selon
l'auteur, cette capacite' qu'aurait Goodluck de se mettre a jour
sur demande permettrait de le rendre plus resistants vis-a-vis des
antivirus a signature : "But more importantly, it avoids leaving
a constant signature for the SST Trojan's binary, in case a Trojan's
sample is discovered and sent for analysis at a given time and place".
D'apres lui, le cheval de troie etant programme' dans un langage de
haut niveau, une modification manuelle mineure du code de celui-ci
devrait permettre de rendre la nouvelle version indetectable.
L'envoi de donnees pourrait quant a lui se faire via les protocoles
FTP, SMTP ou HTTP (NDT: SMTP et HTTP sont a l'heure actuelle largement
utilises par la composante de "notification" chevaux de Troie, qui
avertit l'attaquant que sa cible est on-line).

Le paragraphe suivant, "Hiding Further" decrit quelques
fonctionnalites supposees rendre le cheval de troie encore plus
furtif : le detrournement de processus en rapport avec le protocole
de communication utilise', l'envoi de donnees lors des periodes
d'inactivite' de l'ordinateur (en se basant par exemple sur
la mise en route de l'economiseur d'ecran) ou a la suite d'envois
de donnees du meme type inities par l'utilisateur (le trojan
n'envoie un mail que lorsque l'utilisateur vient d'en envoyer un).

Dans une partie intitulee "Real-Scale Testing against Protection
Software", l'auteur precise que des programmes malveillants
utilisant les techniques evoquees ci-dessus ont ete' mis au point
par son equipe pour verifier la validite' de celles-ci, et que
ces programmes ont effectivement permis de contourner avec succes
5 firewall personnels comptant parmis les plus utilises (les noms
ne sont pas precises). Ni un firewall autonome ni les antivirus
testes n'ont permis d'arreter le programme malveillant. Par contre,
celui-ci n'a pu contourner un proxy HTTP avec authentification.
Cependant, l'auteur precise qu'il eut-ete possible de renifler
le mot de passe lors de son transit depuis le browser jusqu'au
serveur web (NDT: S'il avait eu les memes lectures que Nicob, il
aurait envisage' une autre technique).

En conclusion, l'auteur explique qu'il est extremement delicat
de detecter ce type de programme malveillants en utilisant des
methodes heuristiques ou une analyse du code. En effet, des
programmes legitimes utilisent eux-aussi des techniques similaires
a celles employees pour le detournement de processus, et etablir
automatiquement la distinction entre un programme legitime
et un cheval de troie est selon-lui hors de portee des firewalls
personnels a l'heure actuelle ("And let's not forget that while heuristics
are good at detecting some types of virus, they are less
efficient when it comes to detecting unknown trojan horses - even
primitive ones. Generic detection of Trojan horses and, in particular,
hand-crafted Trojan horses, is more in the realm of desktop firewalls.
The fact, as we have demonstrated, that desktop firewalls can be
bypassed is bad news indeed.").

------------------

J'espere n'avoir rien oublie' d'important. Dommage qu'on ne sache
pas ce que le rapport confidentiel contenait en plus...

Des commentaires ?

--
Tweakie

JacK wrote:

[couic] Tegam, que son étude prospective contenait
une partie publicitaire, etc. :-((((((

et c'était pas vrai ?

@tchao

Sans doute OA estime-t-il que ce n'en était pas de signaler à la fin de son
"étude prospective" Notre logiciel protège contre ce genre d'attaques ou qq
ch d'approchant ?

Ce n'est pas dans l'étude proprement dite, or c'est bien l'étude
qui a été critiquée sur ce point.

OA n'est sans doute pas d'accord : il voit plutôt des publicités
subliminales pour d'autres produits de sécurité sur ce NG orchestrées par
une bande de lâches anonymes © ou une meute © à la solde de KAV © qui
l'oblige à laver son honneur © après avoir organisé une campagne de
dénigrement contre sa personne et ses publications ©

http://www.google.fr/groups?selm?189BCE.D36C47CC%40acbm.com

--
Olivier Aichelbaum

Frederic Bonroy wrote:

On peut très bien écrire un programme qui écrase une partie
d'un fichier sans vérifier la présence préalable d'une autre
chaine.

Techniquement oui. Techniquement, on peut faire un tas de choses.

Ce n'était pas clair à lire l'intervention d'avant, d'où mon
objection.

--
Olivier Aichelbaum

j'ai supprimé ce programme mais j avais gardé une image ecran de la fenetre
de AVG qui aparraissait quand stinger se mettait en route,texte ci-dessous:

Virus
Trojan horse Backdoor.Optix.BJ
is found in file C:Windowssystem32svhost.exe
To remove this virus , please run AVG for Windows


depuis la seule chose qui change c le fonctionnement de AVG en mode sans
echec (il trouve rien)
mais en mode normal j ai les mêmes embrouilles que mon post d'origine.



"joke0" <404pagenotfoundNOSWEN@caramail.com> a écrit dans le message de
news: XnF9436A4220592Ejoke0@joke0.net...

Salut,

JuggernauT:

ben le probleme c'est que meme en mode sans echec .......la
fenetre de l antivirus se ferme au bout de 5 secs
j'ai supprimé svhost.exe heureusement ......
ca resout rien ....

Si tu as encore ce svchost.exe (dans la poubelle ou s'il a été
recréé) envoie-le moi parce que là, on a aucune info sur cette
backdoor (backdoor.optix.bj [McAfee]).

De plus, quelque chose m'étonne, c'est que Stinger le détecte
mais ne le nettoie pas c'est ça?

Je vois 3 manoeuvres pas trop compliquées:

1) Repasser Stinger pour voir s'il trouve toujours qqc (en mode
sans échec),

2) Tu peux essayer Clrav (de Kaspersky):
ftp://updates3.kaspersky-labs.com/utils/clrav.com

3) Après un démarrage normal, tu fais CTRL+ALT+SUPPR et dans le
gestionnaire de tâches tu repères les processus suspects (tu
peux nous faire une liste si tu veux de l'aide).

--
joke0

Tweakie wrote:

Bonjour,

Yo.

Cet article, intitule' "The Scalable Stealth Trojan : Un Upcoming
Danger" s'attache a decrire ce qui pourrait etre "le cheval de troie
du futur", le denomme' "Goodluck" (cette denomination n'est pas
employee dans l'article, mais un communique' de presse publie'
sur le site de tegam permet de faire le lien).

Eh oui. En fait, comme plus personne ne parlait de ce fameux rapport secret
noir devant mettre en danger l'ensemble du Net dans le futur, il fallait
bien en rendre publique une partie. J'ai failli dire, comme tout le monde
s'en tapait un peu, mais bon... D'autant plus que, comme je t'en avait
parlé, Mr Dotan semble avoir redécouvert le fil à couper le beurre. D'aucuns
diront, il a lu la doc du VC++ sur Win32 aux chapitres hook et debugging. Il
y en a qui doivent bien se marrer.

Apres un bref rappel du mode de fonctionnement des firewall
personnels (Prise en compte du processus a l'origine du
flux reseau lors du controle d'acces), l'auteur enumere trois
methodes destinees a tromper ceux-ci. La premiere de ces methodes,
baptisee "API Hooking"consiste a detourner des fonctions du
systeme d'exploitation, de maniere a ce que les flux generes
par les fonctions operant le detournement soit attribues aux
processus appelants.

Ouah, trop top ça. Connu depuis des lustres. Au bas mot depuis 1994...

La deuxieme methode consiste a effectuer
ce type de detournement au niveau de la couche du systeme
d'exploitation nommee SPI (Winsock's Service Provider
Interface), qui permet d'alterer toutes les operations sur
les sockets. Bien que tres efficace (pas de processus visible,
demarrage du cheval de troie au boot), cette technique est
difficilement exploitable : les droits d'administrateur sont
necessaires pour pouvoir installer le hook.

Bah, on peut toujours se débrouiller autrement pour les avoir les droits.
Mais c'est sûr que c'est pas franchement utilisable. Un peu comme détourner
NTDLL avec des drivers.

Finalement, une
troisieme technique consiste a injecter le code malveillant
dans la memoire d'un processus existant, en utilisant les
fonctions CreateRemoteThread et WriteProcessMemory du systeme
d'exploitattion (NT/2000/XP). Cette technique ne necessite pas
les droits d'administrateur (NDT: Cette derniere technique,
assez largement employee dans les chevaux de troie a forte
diffusion, est connue sous le terme de "firewall bypass").

Tu parles, ça fait au moins 5 ans que j'en parle et Richter a du en causer
en 1995 ! Ce n'est pas le fil à couper le beurre qu'il redécouvre, c'est le
silex...

En Francais, les "bloqueurs" sont eux-aussi vulnerables a ce genre
de techniques de detournement de processus.

Ben oui, faut bien attirerle chaland suivant le processus classique:

1) On fait peur,
2) On donne la solution, car, chose incroyable, on a la solution en
magasin... Rien de neuf sous le soleil.

La deuxieme partie s'intitule "Passive Communication Protocol
and HQ Servers",

Franchement, elle te semble crédible ?

D'apres lui, le cheval de troie etant programme' dans un langage de
haut niveau, une modification manuelle mineure du code de celui-ci
devrait permettre de rendre la nouvelle version indetectable.

Oui, il rédécouvre le x-Morphisme...

Dans une partie intitulee "Real-Scale Testing against Protection
Software", l'auteur precise que des programmes malveillants
utilisant les techniques evoquees ci-dessus ont ete' mis au point
par son equipe pour verifier la validite' de celles-ci, et que
ces programmes ont effectivement permis de contourner avec succes
5 firewall personnels comptant parmis les plus utilises (les noms
ne sont pas precises).

Note qu'il s'agit d'un aveu que ça société développe du code malveillant.

En conclusion, l'auteur explique qu'il est extremement delicat
de detecter ce type de programme malveillants en utilisant des
methodes heuristiques ou une analyse du code.

Il aurait pu s'en douter avant non :o) ?

En effet, des
programmes legitimes utilisent eux-aussi des techniques similaires
a celles employees pour le detournement de processus, et etablir
automatiquement la distinction entre un programme legitime
et un cheval de troie est selon-lui hors de portee des firewalls
personnels a l'heure actuelle.

Et oui, le bon vieus principe des running conditions ou du détournement d
eprivilège appliqué à la source, c'est à dire au code même.

J'espere n'avoir rien oublie' d'important. Dommage qu'on ne sache
pas ce que le rapport confidentiel contenait en plus...

Des calembredaines du même tonneau, sans nul doute.

Des commentaires ?

Les mêmes, acides, que je t'ai donné il y a quelques mois : il devrait se
tenir un peu plus au courant sur certains channels de hackers, lire un peu
plus d'articles de Richter, Pietrek ou Robbins et arrêter de faire peur au
béotien.

--
AMcD

http://arnold.mcdonald.free.fr/

En conclusion, l'auteur explique qu'il est extremement delicat
de detecter ce type de programme malveillants en utilisant des
methodes heuristiques ou une analyse du code. En effet, des
programmes legitimes utilisent eux-aussi des techniques similaires
a celles employees pour le detournement de processus, et etablir
automatiquement la distinction entre un programme legitime
et un cheval de troie est selon-lui hors de portee des firewalls
personnels a l'heure actuelle.

On en revient au principe d'indéterminabilité de Cohen, les firewalls et
les anti-virus (tous, signature, heuristique, générique....) sont
facilement contournables et il faut se tourner vers une signature à jour
qui peut seule empêcher l'exécution première du code malveillant. Donc
rien de neuf concernant la théorie des virus/trojans.

Des commentaires ?

Je garde mon anti-virus à jour et continuerai à être prudent.

Roland Garcia