OVH Cloud OVH Cloud

Infecte, mais je ne sais pas quoi faire...

281 réponses
Avatar
Olivier
Bonjour à tous,
Suite au comportement que je jugeais anormal de ma messagerie (je recevais
régulièrement des messages infectés, et il semble que le virus utilise mon
adresse pour infecter d'autres personnes), j'ai lancé un scan de mon disque.
Il semble que je sois effectivement infecté, puisque l'antivirus m'annonce avoir
découvert:
Trojan.Spy.Bispy.C
Backdoor.Ralpha.A
Je ne trouve pas sur les sites des antivirus la référence à ces deux virus, et
ne sais donc pas quel utilitaire utiliser pour me désinfecter.
Quelqu'un peut-il m'aider?

Merci d'avance

10 réponses

Avatar
AMcD®
LaDDL wrote:

Techniquement l'algorithme employé va permettre d'étudier s'il existe
des fréquences d'apparition et d'interrelation liées aux instructions.


Pfff, c'est du vent ça, du blabla. T'as pas un peu plus "précis" comme
explication ?

Mais la reconnaissance de modèles n'est pas fiable à 100%. C'est
pourquoi d'autres algorithmes sont employés.


Oui, oui, je m'en doute...

Et ce qui fait la différence entre certains AV heuristique c'est leur
taux de faux positifs.


En fait, le problème c'est que tu parles beaucoup sans être précis ou que tu
produit des poncifs sans grande information technique précise. C'est pour
ça, je pense, que t'as pas mal de "retour" :o).

--
AMcD®

http://arnold.mcdonald.free.fr/

Avatar
LaDDL
Nicob wrote:

On Tue, 18 May 2004 20:49:49 +0200, LaDDL wrote:

Une menace existe parce qu'il y a des vulnérabilités qui sont exploitées
par des attaquants.


On va me reprocher de pinailler, mais je trouve cette définition du
terme "menace" fort étrange ...
Soit plus explicite stp ?

Une menace au plan de la SI/SSI peut être défini comme un risque.
Tu sais bien que l'on gère les risques car ils sont très nombreux et ne
couvrent pas uniquement les failles/vulnérabilités des réseaux/systèmes.
Et une vulnérabilité privée, comme un
0-day sur IIS, Apache, ou OpenSSH, ce n'est pas une menace ?
Allons.



Avatar
LaDDL
Noshi wrote:

On Tue, 18 May 2004 22:04:25 +0200, LaDDL wrote:

Frederic Bonroy wrote:

Un cheval de Troie qui formate le disque dur n'exploite aucune
vulnérabilité dans quoi que ce soit
Un Trojan exploite une/des vulnérabilités pour s'installer sur le

système de la victime. Une fois installé c'est clair il agit point
barre.


A condition de considérer l'utilisateur comme une "vulnérabilité" alors
oui...
L'homme est par définition vulnérable. Devant un système c'est pareil.


, et les pare-feu ne peuvent rien
faire contre.
Ca dépend du type d'attaques par Trojan.



La on parle de la personne qui va télécharger un programme sur un site
quelconque pour une raison quelconque et qui va l'exécuter sur son poste.
Résultat. Un trojan qui lui formate son disque dur.
Non on parle des attaques par Trojan en général et pas d'un type en

particulier ou d'une attaque passive via un serveur hostile.

Le firewall n'a *rien* pu faire pour l'empecher. La seule chose qui aurait
pu c'est un antivirus qui aurait la signature du programme dans sa base ou
qui arriverait a le détecter par heuristique.
Pour contrer ce mode d'attaque il y a bien entendu un AV heuristique

mais aussi un contrôleur d'intégrité de la BDR que certains appellent
ici bloqueur.

Mais sur ce point la
particulier. Avec ou sans firewall le résultat est le *même*.
Sur cet exemple oui si tu parles du user connecté chez lui et qui ne

dispose pas des autres contre-mesures (AV heuristique + contrôleur
d'inteégrité de la BDR/bloqueur)

Et il existe
de nombreux cas ou ca aurait été pareil.
Tous les scénarios sont envisageables.

Ce n'était pas le propos. Une bonne sécurité s'appuie sur une protection
multi-niveau.

L'analyse des flux peut fournir beaucoup d'informations.


mais trop tard... quand le mal est déjà fait.
Avant que le mal n'arrive comme tu l'as souligné un AV heuristique peut

remplir cette fonction pour détecter du code hostile sur une page html
ou dans une url. Mais pas toujours. C'est pourquoi il faut
contrôler/gérer les entrées/sorties dans la BDR ainsi que le flux
http/https.



Avatar
Noshi

Noshi wrote:

Enfin, tous les chevaux de Troie ne peuvent pas etre detectes
par un AV a signature : comment un AV pourrait-il decider si
un serveur FTP ou un serveur Telnet est legitime ?


Bonne question. Par signature justemment...


Ce n'est pas tellement une question de signature ou pas signature. C'est
le vieux problème qui resurgit: ce qui est légitime sur mon ordinateur
ne l'est pas forcément sur celui d'un autre.


un trojan qui installe un serveur ftp ne sera pas légitime dans les deux
cas... et donc pourra être identifié par une signature.

--
Noshi



Avatar
LaDDL
Frederic Bonroy wrote:

LaDDL wrote:

Ces tests tiennent compte de la majorité des antivirus sur le marché.
Non pas tous les tests.



Ceux dont on parle ci. Av-test.org, Hambourg, et ainsi de suite.
Magdeburg ne les passe pas tous en revue.



Il est question de la majorité.
Pas tous. ;)


Comment pouvez-vous féliciter la presse pour recourir aux tests
effectués par des organismes que vous n'estimez pas suffisamment dignes
de confiance?
Vous affabulez complètement.



Vous critiquiez les tests réalisés entre autres par av-test.org,
Comme je vous l'ai dit aujourd'hui dans l'un de mes posts, je n'ai fait

que dire que je reprochais aux tests de l'uni de Magdeburg de ne pas
étudier tous les AVs. Je n'ai rien ajouté de plus.

or en
même vous félicitez la presse d'avoir amélioré ses tests, ce qu'elle a
fait en ayant recours à de tels organismes.
Je confirme. cf mes précédents posts d'aujourd'hui à votre attention.






Avatar
AMcD®
Frederic Bonroy wrote:
AMcD® wrote:

Eh bien ils le feront !


J'en doute, voir ci-dessous.


Pas moi.

Tatata. Cela ça peut se planquer, se dissimuler.


Bien sûr. Mais en pratique, qui le fait? La plupart des auteurs de
virus sont contents quand leur machin fonctionne. La prochaine étape
alors c'est la diffusion, et pas le blindage. Hein, honnêtement, des
virus vraiment bien camouflés, y en a beaucoup?


Ce n'est pas parce qu'il n'y en a pas que ça n'a pas d'intérêt. Vu la
puissance du simple PC de monsieur tout le monde de nos jours, il est
possible de faire faire des choses incroyable sans grosse perte de temps
(qui n'a pas trop d'impact dans le cas d'un virus) à du code.

Et de faire pédaler les AVs. Sans problème... Je te rappelle quand même que
l'année dernière on est arrivé à faire detecter par un AV un véritable
overwriter comme étant... EICAR ! D'une manière générale, faut pas pousser
bien loin pour les bousculer un peu les AVs hein...

Moi, je ne suis pas si "opimiste" que vous pour le futur. C'est surtout une
question de compétence technique, de temps, d'argent, etc.

--
AMcD®

http://arnold.mcdonald.free.fr/


Avatar
LaDDL
joke0 wrote:

Salut,
Bjr,


LaDDL:
Loin d'être la majorité donc.


La majorité par rapport à qui, à quoi stp ?


Par rapport au nombre de chevaux de Troie qui existent.
Certes mais on ne parle pas d'un AV en particulier.

On sait tous qu'aucun AV ne détecte tous les Trojans.
Qquns sont meilleurs que d'autres dans ce domaine.
Mais l'on sait aussi que pour lutter contre les trojans il n'y a pas que
les AV.
Il faut avoir sur son système en plus d'un AV et d'un FW : un contrôleur
d'intégrité de la BDR ou bloqueur (qualifié par d'autres) + une bonne
table TCP/UDP etc

Tu es sûr que tu m'as lu?
Vivi.




Avatar
LaDDL
Nicob wrote:

On Tue, 18 May 2004 18:07:59 +0200, LaDDL wrote:

OK. Alors, une petite question : "Quel cheval de Troie récent
serait bloqué par un pare-feu faisant un suivi de sessions correct ?"


Eh Nicolas on est à l'école là ? MDR


Et au fait, cher "Bruno", il est extrêmement mal-poli, en tout cas à mes
yeux, d'appeller les gens par leur prénom IRL quand ils sont sous pseudo.

A bon entendeur ...
Autant pour moi, navré si cela a pu te froisser. C'était just4fun.




Avatar
LaDDL
Frederic Bonroy wrote:

LaDDL wrote:

Mais là où je pense il y a une appréciation différente entre nous de
c'est dans la démarche technique de l'analyseur spectral et heuristique.


Non. Je sais bien que ce que *vous* appelez "heuristique" et "spectral",
ce sont deux choses différentes techniquement. Mais ils reposent tous
les deux sur le principe de l'heuristique.
Avec cette phrase nous sommes entièrement d'accord. Clair et limpide

comme de l'eau de source. ;)


Avatar
JacK
sur les news:40ab47a2$0$4251$
LaDDL signalait:
Frederic Bonroy wrote:
[..]

Comme je vous l'ai dit aujourd'hui dans l'un de mes posts, je n'ai
fait que dire que je reprochais aux tests de l'uni de Magdeburg de ne
pas étudier tous les AVs. Je n'ai rien ajouté de plus.
Ces tests sont réalisés avec l'accord du Dev où ils ne sont pas faits (ou du

moins publiés...) Je doute qu'ESET autorise à nouveau A. Marx à tester leurs
produits ou que TEGAM accepte un jour d'être testé par un organisme
indépendant :o)
--
JacK