OVH Cloud OVH Cloud

Petite mise au point (non trollesque) sur ViGUARD

130 réponses
Avatar
NickJrIII
Bonjour,
J'espère que vous ne m'en voudrez pas de m'exprimer sur ce que je pourrais
appeler un dénigrement, en dépit de vos connaissances et votre sérieux (je
vise en particuler R.G. et F. B. que je respecte beaucoup).
Considérons donc ce petit post comme un droit de réponse de la part d'un
utilisateur.

J'ai lu avec intérêt le test que Nicob a publié sur la prétendue infection
par Sasser.
J'avoue être étonné.

Sasser est pourtant bloqué, chez moi, comme chez l'éditeur:
http://www.viguard.com/fr/infovi.php?virus=SASSER
J'en conclus que manisfestement le test est biaisé, et je pense
qu'erreur/bug a pu se produire.
En effet, j'ai remarqué que ViGUARD français installé sur une machine
anglaise réagissait différemment du même couple français cette fois.
Certaines alertes n'apparaissaient pas alors qu'elles sont présentes sur un
Windows français.
Je ne sais pas si cela est dû à un problème sur le Windows anglais, mais ce
doute mérite que le test soit reconduit sur un Windows français avec une
version française.

Ma seconde remarque ira à M. Garcia.
Vous avez raison de dire que l'utilisateur peut mal interpréter les alertes
et peut se laisser infecter s'il accepte celles-ci.
Toutefois, sur ma machine, et pour le bien de toute ma famille, j'ai opté
pour "bloquer et ne pas alerter" pour les modifications exe, dll...ainsi que
pour les programmes s'ajoutant au démarrage.
Sur ce PC où tout est installé, cela ne pose pas de problème, rien n'est à
installer en cours d'utilisation.
Et pour les MAJ, je m'en occupe.
Conclusion mathématique: pas d'alertes, pas de risque de mauvais choix car
tout est bloqué par défaut, donc 0 % d'infection à cause du comportement de
l'utilisateur.
Reste les hypothétiques pourcents dûs à une éventuelle faille de ViGUARD qui
laisserait passer des bestiolles. A voir donc.

Merci.

10 réponses

Avatar
NickJrIII
"Pierre VG" <kostic+ a écrit dans le message de
news:
NickJrIII a joyeusement tapoté
(news:42050249$0$6603$) dans
fr.comp.securite.virus:

Ca fait partie du devoir citoyen de l'internet !


le citoyen de l'internet a comme devoir de patcher jusqu'à la nausée les
softs qu'il a acqui ?
vous pensez réellement ce que vous écrivez ou c'est juste une formule
qui vous a plu ?


Formule exclusivement dictée par des considérations esthétiques.
Si il n'y avait pas de patch, ce serait évidemment mieux.
Quel intérêt d'ailleurs de patcher ? A part faire ce qui n'a pas été bien
fait.



ps : devriez installer oe-quotefix afin de corriger votre oe tout
merdeux... et enfin citer comme autre chose qu'un goret...
à télécharger là :
http://home.in.tum.de/~jain/software/oe-quotefix/downloads.php
et là, le fichier pour le franciser :
http://www.default.slavenet.org/oe-qf-lang/
enfin, ça se paramètre en suivant les indications là :
http://www.aminautes.org/forums/configurer/oe/QF_doc.html

--
Pierre



Avatar
Roland Garcia
"Roland Garcia" a écrit dans le message de
news:

Vous êtes en train de nous présenter une vision faussée de la réalité
actuelle, dans ces conditions permettez moi de douter de votre vision de
la réalité future.



Vision fausée, vision fausée...vous y allez fort.


Pas du tout.

Je pense qu'on peut reconnaître que le point fort des AV est aussi un point
faible.


Tous les anti-virus.

Si un AV a 150 MAJ/an, ça fait 150 cas dans lesquels le programme sera
potentiellement inefficace.


Oui.

Tant que la MAJ n'est pas réalisée, votre système prend un risque
infectieux.


Oui.

Or le temps joue contre vous, si l'éditeur est peu réactif, vous pouvez être
infecté.


Oui.

Pourquoi KAV a t-il décidé dans ce cas de faire des MAJ toutes les 3 heures
?


Pour avoir 1460 fois moins de chance d'être infecté qu'avec tout autre
système à mise à jour annuelle.

Est-ce avoir une vision faussée que de dire ça ?


Oui car vous oubliez de dire l'essentiel, ce que vous décrivez ci-dessus
n'est pas à substituer mais bien à ajouter aux méthodes préventives
reconnues efficaces que nous utilisons déjà.

Postulat simple: pour qu'un virus soit ajouté dans les bases, il doit être
analysé, et avant d'être analysé, il infecte des PC.
Et si c'était le votre ?


Sasser ? ZA me protégeait contre lui depuis des années.

--
Roland Garcia


Avatar
Nicob
On Sat, 05 Feb 2005 11:17:04 +0100, NickJrIII wrote:

J'en conclus que manisfestement le test est biaisé,


J'en conclus que vous n'avez pas compris la problématique.
Voir mes autres posts dans ce fil pour les détails ...


Nicob

Avatar
Nicob
On Sat, 05 Feb 2005 14:48:43 +0100, NickJrIII wrote:

Je ne pense pas qu'on puisse passer outre la surveillance de ViGUARD. Enfin
pas avec des techniques connues alors. Et pas avec la version 2004 en tout
cas.


Voici le pseudo-algo d'un code pouvant faire ça :
- détourner le flot d'exécution d'un processus privilégié (SYSTEM)
- tuer Viguard (méthode #6 ou *pas* !)
- installer un rootkit kernel cachant fichiers et processus de l'attaquant
- redémarrer Viguard

Dès la première étape, t'es niqué. Le reste ne dépend que de
l'imagination, la compétence et le ciblage de l'attaquant.


Nicob

Avatar
Nicob
On Sat, 05 Feb 2005 12:55:57 +0100, NickJrIII wrote:

Par contre, ViGUARD BLOQUE Sasser.
Il l'a fait chez moi, et l'éditeur le confirme.


Le téléchargement est effectivement bloqué. Mais pour qu'il y ait
téléchargement, il faut que un programme l'ait demandé. Et le lancement
de ce téléchargement n'est pas détecté par Viguard. C'est là tout le
problème ...

Si vous prenez le cas de Slammer (tout se passe en RAM, un seul
paquet UDP attaquant -> attaqué, zéro paquet attaqué -> attaquant),
l'infection devrait être complète.

Vu que vous avez Viguard et que Microsoft propse des versions d'eval de
SQL Server, ça vous dirait de nous confirmer ça ?


Nicob

Avatar
Nicob
On Sat, 05 Feb 2005 18:26:27 +0100, NickJrIII wrote:

Il n'y a que 9 techniques.
Windows n'a pas des possibilités infinies !


Vous rendez vous seulement compte qu'un ver anti-Viguard adapté
de Sasser/Blaster/Slammer pourrait par exemple modifier à loisir les
infos traitées par le noyau ? Les possibilités *sont* infinies !


Nicob

Avatar
NickJrIII
"Nicob" a écrit dans le message de
news:
On Sat, 05 Feb 2005 12:55:57 +0100, NickJrIII wrote:
Vu que vous avez Viguard et que Microsoft propse des versions d'eval de
SQL Server, ça vous dirait de nous confirmer ça ?



Que dois-je faire alors ?

Avatar
Frederic Bonroy

1/ Si je bloque Sasser, qu'est-ce que la charge alors ?


?

2/ Si je protège le Run, un virus ne pourra, me semble t-il, pas inscrire de
clef de démarrage. J'ai bon ?


Oui, mais ce n'est pas le fait d'empêcher l'inscription de la clé de
démarrage qui va empêcher un virus de se propager. Il suffit
qu'ultérieurement vous lanciez un programme infecté.

3/ Pourquoi chez moi, et chez l'éditeur, Sasser n'a RIEN causé sur mon PC ?


Vous devriez cesser de parler de l'éditeur et nous faire part uniquement
de vos expériences à vous. Ce que disent les éditeurs est à prendre avec
des pincettes, surtout dans ce cas précis où des captures d'écran
montrant la réaction du logiciel face à Sasser ont mystérieusement changé.

Avatar
djehuti
NickJrIII <NickJrIII chez Hotmail point com> a écrit dans le message
news:4205435b$0$10463$
"Nicob" a écrit dans le message de
news:
On Sat, 05 Feb 2005 12:55:57 +0100, NickJrIII wrote:
Vu que vous avez Viguard et que Microsoft propse des versions d'eval
de SQL Server, ça vous dirait de nous confirmer ça ?



Que dois-je faire alors ?


t'installes SQL Server (sans le patcher)... et t'attends :-)

@tchao


Avatar
NickJrIII
"Pierre VG" <kostic+ a écrit dans le message de
news:
NickJrIII a joyeusement tapoté
(news:42052894$0$25785$) dans
fr.comp.securite.virus:

Formule exclusivement dictée par des considérations esthétiques.


de la merde démagogique donc...
le reste serait à l'avenant, tout votre charabia sur l'honnêteté, et
blablabla ? on est en droit de se poser la question, ou allez-vous vous
vexer parce que cette question peut survenir ?


Vous semblez avoir une défiance (et une méfiance) envers ce qui ne parle pas
en language binaire.
C'est épidermique ?


Si il n'y avait pas de patch, ce serait évidemment mieux.
Quel intérêt d'ailleurs de patcher ? A part faire ce qui n'a pas été
bien fait.


votre goret-quotage en est une très belle illustration.
il me fait d'ailleurs penser à l'autre tordu qui clamait haut et fort
son côté indépendant en contournant systématiquement le xnay de ses
contradicteurs dans le but évident de leur nuire...


Je ne devrai pas le dire mais vous êtes malappris.
Voyez comment vous partez à la charge, fier de vos propos désobligeants
(pour cette personne).
Je ne sais pas si on vous l'a déjà fait remarqer, mais on doit respecter ses
semblables. Et sachez que pour ma part:
1/ je ne tente de nuire à personne.
2/ je vous apprécie quand vous apportez une réponse à mes questions, et je
vous en remercie.
3/ mon "goret-quotage" n'est pas de mon fait, mais de celui de OE. Bien sur
j'installerai le fix que vous m'avez conseillé.
Je pense avoir été explicite tout au long de mes posts, j'ai une démarche
qui diffère, elle n'est ni moins bonne, ni meilleure, juste différente.
Si vous pensez que je cherche à faire quoi que ce soit de répréhensible
(publicité vile, troll, etc...), je vous "ce n'est pas le cas".

Petite question:
"de la merde démagogique": ça sort de la bouche de qui ça ? Pas de vous je
pense, vous semblez être au dessus de ça.
J'espère que vous ne m'en voudrez pas de remettre certaines choses en ordre.
Quelque soit tout le bien que l'on puisse penser d'une personne, j'estime
qu'on se doit de réagir quand elle dépasse les bornes.