OVH Cloud OVH Cloud

Réécrire le Master Boot Record ou secteur de démarrage principal??

27 réponses
Avatar
sabrinapinto
Bonsoir,

Avant tout, désolée si ce message fait doublon, je ne suis pas
familière à ce genre de groupes et j'ai dû bugger quelque part car
j'ai déjà tenté de poster et ça n'a pas fonctionné.

J'ai deux soucis :

- je suis nulle en informatique (ça vous n'y pouvez rien!)

- je suis envahie par un méchant petit virus (junkie.1027) qui s'est
fourré dans le master boot record de mon PC (c'est l'antivirus
bitdefender qui me le dit : master boot record 80).

J'ai eu déjà quelques pistes pour m'en débarrasser (mes antivirus n'y
arrivent pas) : utiliser la commande fdisk /mbr.

Mais j'ai peur que l'infection soit allée trop loin, car ça ne marche
pas.

Je suis assez inquiète car j'ai pas mal de données (photos, mp3) que
je n'ai pas pu sauvegarder (graveur HS, ou c'est le virus qui a fait
des siennes) et ça m'incite à vouloir virer cette saleté de petite
bête de mon système.


Est-ce quelqu'un aurait une solution à me proposer pour me sortir de
cette galère???

Je vous en remercie d'avance!!

Sabrina

(PC : je suis sous win 98 2ème édition, et j'ai également kaspersky
antivirus qui ne m'a rien détecté, l'incapable! (je précise que je ne
fais pas tourner mes 2 AV en même temps, je ne lance bitdefender
qu'épisodiquement).

7 réponses

1 2 3
Avatar
Frederic Bonroy

Pour améliorer la page http://www.uni-koblenz.de/~fbonroy/fdisk.html if faut,
soit la réécrire, ou l'enlever complètement du réseau.


La réécrire comment?

"Fdisk et les virus.

Si vous avez un virus dans le MBR, faites fdisk /status et si c'est bon,
faites fdisk /mbr.

Merci à Zvi Netiv pour son soutien apporté à la rédaction de cette page.

This page is valid HTML 4.01 transitional."

Comme précisé
auparavant, le contenu de cette page est archaique, l'information contenue est
un mélange d'information (et conseils) vraie et erronée. En bref, déconseillée!


Vous ne dites toujours pas ce qui est erronné - comment voulez-vous que
moi ou les lecteurs dans le doute ici accordent un quelconque crédit à
vos dires si vous refusez d'expliciter vos critiques?

Vous paraît-il impossible que l'on puisse, même en 2005, encore se
retrouver dans une situation où fdisk /mbr ferait plus de mal que de bien?

Alarmisme pur.


Comme les emails dangereux, c'était aussi de l'alarmisme pur jusqu'à
l'arrivée de Bubbleboy. :-)

D'ailleurs, la majorité des antivirus pendent que One_Half était
encore commun (au milieu des années '90), enlevaient le virus du MBR sans
récupérer la clé de chiffrage, et sans déchiffrer les pistes déja modifiées.
Alors a quoi sert cette histoire d'horreur avec ce postiche?


?

Je ne suis pas concepteur d'antivirus, si leur mode de fonctionnement
vous déplaît c'est aux éditeurs qu'il faut vous adresser.

Avatar
joke0
Salut,

Zvi Netiv:
Pour améliorer la page
http://www.uni-koblenz.de/~fbonroy/fdisk.html if faut, soit la
réécrire, ou l'enlever complètement du réseau.

Comme précisé auparavant, le contenu de cette page est
archaique, l'information contenue est un mélange d'information
(et conseils) vraie et erronée. En bref, déconseillée!


J'aimerais que vous détailliez ce qui est faux/erroné sur cette page.

Merci.

--
joke0

Avatar
rm

bonjour,

Pour améliorer la page http://www.uni-koblenz.de/~fbonroy/fdisk.html if faut,
soit la réécrire, ou l'enlever complètement du réseau. Comme précisé
auparavant, le contenu de cette page est archaique, l'information contenue est
un mélange d'information (et conseils) vraie et erronée. En bref, déconseillée!


Je viens de relire cette page et je ne vois pas quelles informations
seraint obsolètes (hors-mis qu'elle concerne des systèmes d'exploitation
plus tellement à la mode) ou erronnées.

aussi, pourriez vous expliciter vos dires ?

@+
--
rm

Avatar
Zvi Netiv
Frederic Bonroy wrote:

Pour améliorer la page http://www.uni-koblenz.de/~fbonroy/fdisk.html if faut,
soit la réécrire, ou l'enlever complètement du réseau.


La réécrire comment?


Je m'excuse d'avance pour mon franglais.

Vous pouvez commencer par le sujet et le contenu de la page. A présent, la page
n'est qu'un diatribe anti-FDISK. Vous ferez mieux avec "Les virus boot et
comment s'y prendre" comme sujet.

80% du texte présent n'a aucune relevance aux virus boot et leurs effets sur
systèmes Windows 32, et sur la façon de les traiter. Renoncez ces parties.

La discussion sur FDISK est longue et pour la plupart obsolète. Raccourcicez,
et mettez à jour. C'est l'endroit d'ajouter ma proposition de lancer FDISK
/STATUS avant le FDISK /MBR. C'est aussi l'endroit d'expliquer l'utilisation de
FIXMBR pour les utilisateurs qui emploient W2K et XP.

La discussion sur la structure du MBR souffre d'inexactitudes et contribue peu
au suject comment traiter les alertes virus boot d'aujourd'hui. Example:
l'ordre des partitions dans la table n'importe pas - deuxième table sur votre
page - vous pouvez les inscrire dans l'ordre que vous voulez, même 4,1,3,2. Si
laissé faire, FDISK les entrera dans l'ordre 1,2,3,4 et non pas comme dans votre
page. Cela dit, cette information n'a aucun rapport au virus boot, et n'a
aucune importance pour les éradiquer, ou pour la réparation du MBR. Alors à
quoi sert de bourrer le crâne avec ces détails inutiles?

Les conseils et précautions sur la page ont deux défauts: Les présents ne sont
pas bons, et les nécessaires n'existent pas sur votre page. Commencent par ceux
qui manquent: Toute discussion des virus boot en 2005, détection ou réparation,
sans dire un mot au sujet des fausse alarmes est une défaillance aux
conséquences graves, puisque la plupart *sont* des faux positifs! Comme est le
cas de ce fil!

La première chose a faire quand on recoit une alerte virus boot est la
confirmation qu'il s'agit d'une vraie alerte boot. Seulement les alertes
confirmées par au moins DEUX antivirus, de différents producteurs, peuvent êtres
addressées comme virus. Les autres sont forcément des fausses alertes et
nécessitent le remplacement de l'antivirus!

Furtivité: L'explication du phénomène est inexacte, ainsi que les conclusions
tirées. L'impact est sur les précautions à prendre, ainsi que sur la méthode de
s'en débarrasser. La méthode la plus efficace pour s'adresser aux furtifs, et
pratiquée que par KAV et IV (je suis l'auteur de la méthode) est le tunneling
coopératif. A propos, le dernier n'est pas réalisé par "appeler l'interruption
13h du BIOS en contournant le virus" mais sans mêler les interruptions du tout,
et effectuée de façon inverse de ce que vous préciser.

La protection antivirale du BIOS: Toutes les versions de Windows à partir de
W95 écrivent dans le secteur 001 (MBR) comme part du fonctionement normal! Le
seul conseil à ce sujet est de ne pas activer cette protection!

Précautions à prendre et suppression des virus boot:

* Première précaution (ajout): Confirmez avec plusieurs antivirus que c'est
bien un virus boot ce que vous avez, et pas une fausse alerte (il faut qu'au
moins deux produis alertent sur le même virus. Une plainte par Windows, surtout
Win 9x ou ME, que vous avez un virus boot, est fiable et peut être considérée
comme alerte par deux antivirus). La chance que vous avez un vrai virus boot
dans le cas d'alerte pas produit unique est *moins que un seul pourcent*! La
grande majorité des enquêtes à la page finiront là parce qu'elles parviennent de
fausses alarmes.

* Sauvegarde du MBR et du secteur amorce: C'est inutile, dangereux, et pas
nécessaire! Plus de contenus de disques durs ont étés perdus que sauvés par la
restauration du secteur de sauvegarde. La configuration des disque dur est
souvent changée par l'ajout de partitions, conversions FAT32 en NTFS,
rajustement avec Partition Magic, etc. Très peu d'utilisateurs savent comment
se rassurer que le secteur de sauvegarde conforme avec la configuration actuelle
du disque dur, avant de le restaurer. Je ne connais pas beaucoup de cas dans
lequels la restauration d'un secteur MBR a fait du bien, mais j'en connais des
centaines qui ont finis mal. D'autre part, il existent assez d'utilitaires qui
permettent la reconstruction du MBR, y compris la table de partitions. Pour
conclure, il y a assez de raisons contre la sauvegarde du MBR, et assurance
suffisante pour sa réconstruction, si nécessaire.

Désinfection par antivirus: Dans le cas d'une vraie infection par virus boot
(minorité) il faut *toujours* s'y prendre comme au cas de "data recovery", même
si l'incident était causé par virus! Même dans les jours du DOS, les résultats
et dégas causés par les virus boot étaient pour la plupart de nature qui
nécessitaient des moyens de recouvrement de données. Cette réalité est
maintenant même plus prononcée vu l'abondances des systèmes Win 98/ ME / W2K /
XP sur FAT32 (les virus boot sont presque tous des créatures pour FAT12/16), et
NTFS. Le meilleur conceil que l'on puisse donner au sujet est de restreindre le
rôle des antivirus à la détection et confirmation des virus boot et les renoncer
pour la réparation. Sinon, on risque d'aggraver le problème en lieu de le
résoudre.

Boot par disquette / CD ROM: Les spécialistes antivirus savent depuis longtemp
que le démarrage "sain" a partir de disquette, ou de CD ROM, n'est non seulement
pas nécessaire pour se débarrasser des virus, mais plus souvent qu'au contraire,
le nettoyage *exige* le boot à partir du disque dur lui-même, et avec le système
exploitation installé! Virus boot compris, surtout les furtifs! Au point qu'on
peut reconnaître les dinosaures déguisés par le fait qu'ils exigent le scan
"formel" (à partir de boot sain) comme précondition obligatoire.

Réparation des effets des virus boot: Le choix du moyen à utiliser dépend des
paramètres du problème, comme suit:

Système d'exploitation
Système fichiers (FAT16 / NTFS)
Capabilité self-boot du disque dur?
Accessibilité aux partitions à partir de boot externe (XP pour NTFS)

Dans les cas ou l'access vers toutes les partitions est possible à partir de
boot externe (DOS, ou WinPE pour NT/W2K/XP) et le système ne part pas de
lui-même, utiliser FDISK /MBR pour Win 9x / ME, ou FIXMBR (à partir de la
console "réparation") pour W2K et XP.

Dans le cas que la table de partition est corrompue (pas d'accès après boot
externe), demandez conseil au groupe comp.sys.ibm.pc.hardware.storage ou vous
trouverais le grand magicien de la réstauration des disques durs, un Danois qui
s'apelle Svend Olaf Mikkelsen (auteur des fameux
utilitaires "findpart"). Le groupe est en anglais.

Gestionnaires de boot, overlays: Ces outils ont tous leurs propre moyens
d'installation. L'utilisation accidentelle de FDISK /MBR ou FIXMBR sur ces
dispositifs fera moins de mal qu'un antivirus, laissent le recouvrement toujour
possible.

Chiffrage de la table de partition: Irrelevant aujourd'hui.

One_Half et semblables: Fable ancienne sans aucune relevance actuelle.

En cas de pépin ... : Le groupe à s'adresser de préférence est
comp.sys.ibm.pc.hardware.storage. De ce groupe, vous pouvez compter sur Pierre
Vandevenne à ce sujet.

Je crains que je n'ais pas laissé beaucoup intacte, mais puisque vous avez posé
la question ... Si vous pensez de réécrire la page, je suis prèt à la rédiger
volontairement.

Regards, Zvi
--
NetZ Computing Ltd. ISRAEL www.invircible.com www.ivi.co.il (Hebrew)
InVircible Virus Defense Solutions, ResQ and Data Recovery Utilities


Avatar
Frederic Bonroy

Je m'excuse d'avance pour mon franglais.


Pas grave.

Vous pouvez commencer par le sujet et le contenu de la page. A présent, la page
n'est qu'un diatribe anti-FDISK. Vous ferez mieux avec "Les virus boot et
comment s'y prendre" comme sujet.


Hmmm... oui et non. Le but n'a pas été d'expliquer comment supprimer
tous les virus boot en toutes circonstances. Par exemple, je n'en sais
pas assez sur le fonctionnement des divers gestionnaires de
disque/démarrages pour pouvoir donner des conseils universellement
applicables. Je laisse soin aux experts de faire ça. :-)

A l'origine le but de la page était principalement d'expliquer pourquoi
fdisk /mbr pouvait avoir des conséquences désastreuses. fdisk /mbr était
un automatisme dangereux et beaucoup de gens ne comprenaient pas
pourquoi. C'est ainsi qu'est née cette page.

Je crois que c'est plus une question de philosophie que de technique. Si
vous estimez que la mauvaise réputation de fdisk /mbr n'est pas ou plus
justifiée, bien. Je préfère tenir compte de *toutes* les éventualités.

80% du texte présent n'a aucune relevance aux virus boot et leurs effets sur
systèmes Windows 32, et sur la façon de les traiter. Renoncez ces parties.


Ce que vous dites est en partie vrai. Mais là encore une fois, le but
n'était pas d'expliquer aux gens comment se débarrasser de leur virus
boot, mais plutôt de leur expliquer pourquoi ils ne doivent pas le faire
avec fdisk /mbr et de proposer quelques alternatives de base.
La page ne dit pas "faites ceci", mais "ne faites pas cela".

Quant aux ordinateurs Windows 32, ils représentent *une* configuration
parmi d'autres. Elle est la plus répandue, d'accord, mais il y a encore
suffisamment d'ordinateurs sans Windows 32 bits.

Expliquer à des gens sous DOS, Windows 3.11 ou même des systèmes
alternatifs comment se débarrasser d'un virus sous Windows 32 bits me
paraît peu pertinent.

La discussion sur FDISK est longue et pour la plupart obsolète. Raccourcicez,
et mettez à jour.


Question: admettons que des virus comme One_Half, Hare, etc. soient
encore en liberté. Retournez quelques années en arrière. Les
explications sur Fdisk vous paraissent-elles pertinentes dans ce contexte?

C'est l'endroit d'ajouter ma proposition de lancer FDISK
/STATUS avant le FDISK /MBR. C'est aussi l'endroit d'expliquer l'utilisation de
FIXMBR pour les utilisateurs qui emploient W2K et XP.


(Voyez ci-dessous.)

La discussion sur la structure du MBR souffre d'inexactitudes et contribue peu
au suject comment traiter les alertes virus boot d'aujourd'hui. Example:
l'ordre des partitions dans la table n'importe pas - deuxième table sur votre
page - vous pouvez les inscrire dans l'ordre que vous voulez, même 4,1,3,2. Si
laissé faire, FDISK les entrera dans l'ordre 1,2,3,4 et non pas comme dans votre
page. Cela dit, cette information n'a aucun rapport au virus boot, et n'a
aucune importance pour les éradiquer, ou pour la réparation du MBR. Alors à
quoi sert de bourrer le crâne avec ces détails inutiles?


4 chiffres (0, 1, 2, 3) ne sont pas du bourrage de crâne quoiqu'il est
vrai que comme d'habitude, il n'y a pas de standard. M'enfin vous n'avez
pas tort, je vais supprimer ces chiffres.

Les conseils et précautions sur la page ont deux défauts: Les présents ne sont
pas bons, et les nécessaires n'existent pas sur votre page. Commencent par ceux
qui manquent: Toute discussion des virus boot en 2005, détection ou réparation,
sans dire un mot au sujet des fausse alarmes est une défaillance aux
conséquences graves, puisque la plupart *sont* des faux positifs! Comme est le
cas de ce fil!

La première chose a faire quand on recoit une alerte virus boot est la
confirmation qu'il s'agit d'une vraie alerte boot. Seulement les alertes
confirmées par au moins DEUX antivirus, de différents producteurs, peuvent êtres
addressées comme virus.


D'accord, je rajoute ça.

Cependant, lorsque deux antivirus sont en désaccord il est difficile de
savoir qui a raison. C'est donc uniquement sur la base de votre
expérience (vous déclarez que les fausses alertes sont fréquentes, donc
il est plus probable qu'en cas de désaccord l'antivirus qui ne voit rien
ait raison) que je rajoute cela.

Les autres sont forcément des fausses alertes et
nécessitent le remplacement de l'antivirus!


Ça par contre je ne le rajouterai pas. Je connais votre avis sur les
antivirus conventionnels et je ne le partage pas. :-)

Furtivité: L'explication du phénomène est inexacte, ainsi que les conclusions
tirées. L'impact est sur les précautions à prendre, ainsi que sur la méthode de
s'en débarrasser. La méthode la plus efficace pour s'adresser aux furtifs, et
pratiquée que par KAV et IV (je suis l'auteur de la méthode) est le tunneling
coopératif. A propos, le dernier n'est pas réalisé par "appeler l'interruption
13h du BIOS en contournant le virus" mais sans mêler les interruptions du tout,
et effectuée de façon inverse de ce que vous préciser.


Vous passez directement par les ports? Notez la phrase "Notez qu'il
existe un moyen d'accéder au disque dur sans le BIOS (et donc sans le
virus)".

Je ne partage pas votre avis là-dessus - à moins que vous fournissiez
des détails techniques plus précis pourquoi les explications sont inexactes.

La protection antivirale du BIOS: Toutes les versions de Windows à partir de
W95 écrivent dans le secteur 001 (MBR) comme part du fonctionement normal! Le
seul conseil à ce sujet est de ne pas activer cette protection!


Où voulez-vous en venir? Je cite:

"Cette fonction intercepte les tentatives d'écriture du secteur d'amorce
via l'interruption 13h du BIOS mais sans se soucier de la légitimité de
ces tentatives. Les routines d'installation de divers systèmes
d'exploitation modifient le secteur d'amorce de manière tout à fait
légitime; [...]"

"Cette fonction n'a donc pas beaucoup d'intérêt et vous pouvez la
désactiver."

Précautions à prendre et suppression des virus boot:

* Première précaution (ajout): Confirmez avec plusieurs antivirus que c'est
bien un virus boot ce que vous avez, et pas une fausse alerte (il faut qu'au
moins deux produis alertent sur le même virus. Une plainte par Windows, surtout
Win 9x ou ME, que vous avez un virus boot, est fiable et peut être considérée
comme alerte par deux antivirus). La chance que vous avez un vrai virus boot
dans le cas d'alerte pas produit unique est *moins que un seul pourcent*! La
grande majorité des enquêtes à la page finiront là parce qu'elles parviennent de
fausses alarmes.


Voir ci-dessus, j'ai rajouté quelque chose sur l'utilisation d'un second
antivirus.

* Sauvegarde du MBR et du secteur amorce: C'est inutile, dangereux, et pas
nécessaire! Plus de contenus de disques durs ont étés perdus que sauvés par la
restauration du secteur de sauvegarde. La configuration des disque dur est
souvent changée par l'ajout de partitions, conversions FAT32 en NTFS,
rajustement avec Partition Magic, etc. Très peu d'utilisateurs savent comment
se rassurer que le secteur de sauvegarde conforme avec la configuration actuelle
du disque dur, avant de le restaurer. Je ne connais pas beaucoup de cas dans
lequels la restauration d'un secteur MBR a fait du bien, mais j'en connais des
centaines qui ont finis mal. D'autre part, il existent assez d'utilitaires qui
permettent la reconstruction du MBR, y compris la table de partitions. Pour
conclure, il y a assez de raisons contre la sauvegarde du MBR, et assurance
suffisante pour sa réconstruction, si nécessaire.


Bon, je supprime.

[...]


Voir ma proposition ci-dessous.

Gestionnaires de boot, overlays: Ces outils ont tous leurs propre moyens
d'installation. L'utilisation accidentelle de FDISK /MBR ou FIXMBR sur ces
dispositifs fera moins de mal qu'un antivirus, laissent le recouvrement toujour
possible.


Moins de mal mais un peu de mal quand-même? N'aurais-je au final pas
complètement tort de recommander la prudence pour ce qui est de l'usage
de fdisk /mbr? ;-)

En cas de pépin ... : Le groupe à s'adresser de préférence est
comp.sys.ibm.pc.hardware.storage. De ce groupe, vous pouvez compter sur Pierre
Vandevenne à ce sujet.


Au fait, j'aimerais bien avoir son avis à lui aussi. S'il lit ceci, ce
serait chouette qu'il se manifeste.

Je crains que je n'ais pas laissé beaucoup intacte, mais puisque vous avez posé
la question ... Si vous pensez de réécrire la page, je suis prèt à la rédiger
volontairement.


En fin de compte vous avez fait des suggestions qui n'auraient pas
laissé grand chose intact si je les avais toutes reprises. Cependant, je
ne partage pas votre avis sur certains points et donc je vais me
contenter à apporter les modifications dont vous m'avez convaincu du
bien-fondé.

Par contre, si vous avez la possibilité/volonté de rédiger un texte sur
la suppression des virus boot sur des systèmes Windows modernes (ce qui,
encore une fois, n'était PAS le but de ma page à moi), je vous y invite
et je suis sûr qu'on lui trouvera une petite place ici:
http://www.lacave.net/~jokeuse/usenet/fcsv.html

J'irai même plus loin en vous proposant de supprimer totalement la
section "Précautions à prendre et suppression de virus boot" de ma page
et de mettre un lien vers la vôtre. Ainsi on aurait des détails, euh,
"historiques" sur fdisk /mbr et des conseils de désinfection pertinents
pour les systèmes modernes.

Ça vous dit?

Avatar
Zvi Netiv
Frederic Bonroy wrote:

Vous pouvez commencer par le sujet et le contenu de la page. A présent, la page
n'est qu'un diatribe anti-FDISK. Vous ferez mieux avec "Les virus boot et
comment s'y prendre" comme sujet.


Hmmm... oui et non. Le but n'a pas été d'expliquer comment supprimer
tous les virus boot en toutes circonstances. Par exemple, je n'en sais
pas assez sur le fonctionnement des divers gestionnaires de
disque/démarrages pour pouvoir donner des conseils universellement
applicables. Je laisse soin aux experts de faire ça. :-)

A l'origine le but de la page était principalement d'expliquer pourquoi
fdisk /mbr pouvait avoir des conséquences désastreuses. fdisk /mbr était
un automatisme dangereux et beaucoup de gens ne comprenaient pas
pourquoi. C'est ainsi qu'est née cette page.


... et la raison pour laquelle il est temp de cesser cette campagne futile.

Je crois que c'est plus une question de philosophie que de technique. Si
vous estimez que la mauvaise réputation de fdisk /mbr n'est pas ou plus
justifiée, bien. Je préfère tenir compte de *toutes* les éventualités.


C'est un prétexte souvent utilisé pour renoncer au progrès. ;) Avec cette
philosophie, vous devez encore soutenir les bains d'eau glacée en lieu du
prozac.

80% du texte présent n'a aucune relevance aux virus boot et leurs effets sur
systèmes Windows 32, et sur la façon de les traiter. Renoncez ces parties.


Ce que vous dites est en partie vrai. Mais là encore une fois, le but
n'était pas d'expliquer aux gens comment se débarrasser de leur virus
boot, mais plutôt de leur expliquer pourquoi ils ne doivent pas le faire
avec fdisk /mbr et de proposer quelques alternatives de base.
La page ne dit pas "faites ceci", mais "ne faites pas cela".


Drôle d'idée, de dire qoi ne PAS faire comme thème!

Quant aux ordinateurs Windows 32, ils représentent *une* configuration
parmi d'autres. Elle est la plus répandue, d'accord, mais il y a encore
suffisamment d'ordinateurs sans Windows 32 bits.


D'apres la statistique de la page NetZ pour 2004, 3 accès par système 16 bit /
Win 3x ont étés comptés, de ~1.5 millions au total. Un millionième, ça qualifie
pour "suffisament"?

Ca me semble bizarre de dédier une page entière pour personne, laissant la
majorité se débrouiller toute seule.

Expliquer à des gens sous DOS, Windows 3.11 ou même des systèmes
alternatifs comment se débarrasser d'un virus sous Windows 32 bits me
paraît peu pertinent.


Est ce que vous vous rendez compte de l'absurdité de vos explications? ;)

Lisez www.invircible.com/iv_tools.php Vous y trouverez des réponses à vos
questions.

La discussion sur FDISK est longue et pour la plupart obsolète. Raccourcicez,
et mettez à jour.


Question: admettons que des virus comme One_Half, Hare, etc. soient
encore en liberté. Retournez quelques années en arrière. Les
explications sur Fdisk vous paraissent-elles pertinentes dans ce contexte?


Pas plus qu'aujourd'hui. Certainemant pas la partie "quoi ne pas faire avec",
cette là n'était jamais pertinente.

C'est l'endroit d'ajouter ma proposition de lancer FDISK
/STATUS avant le FDISK /MBR. C'est aussi l'endroit d'expliquer l'utilisation de
FIXMBR pour les utilisateurs qui emploient W2K et XP.


(Voyez ci-dessous.)

La discussion sur la structure du MBR souffre d'inexactitudes et contribue peu
au suject comment traiter les alertes virus boot d'aujourd'hui. Example:
l'ordre des partitions dans la table n'importe pas - deuxième table sur votre
page - vous pouvez les inscrire dans l'ordre que vous voulez, même 4,1,3,2. Si
laissé faire, FDISK les entrera dans l'ordre 1,2,3,4 et non pas comme dans votre
page. Cela dit, cette information n'a aucun rapport au virus boot, et n'a
aucune importance pour les éradiquer, ou pour la réparation du MBR. Alors à
quoi sert de bourrer le crâne avec ces détails inutiles?


4 chiffres (0, 1, 2, 3) ne sont pas du bourrage de crâne quoiqu'il est
vrai que comme d'habitude, il n'y a pas de standard. M'enfin vous n'avez
pas tort, je vais supprimer ces chiffres.

Les conseils et précautions sur la page ont deux défauts: Les présents ne sont
pas bons, et les nécessaires n'existent pas sur votre page. Commencent par ceux
qui manquent: Toute discussion des virus boot en 2005, détection ou réparation,
sans dire un mot au sujet des fausse alarmes est une défaillance aux
conséquences graves, puisque la plupart *sont* des faux positifs! Comme est le
cas de ce fil!

La première chose a faire quand on recoit une alerte virus boot est la
confirmation qu'il s'agit d'une vraie alerte boot. Seulement les alertes
confirmées par au moins DEUX antivirus, de différents producteurs, peuvent êtres
addressées comme virus.


D'accord, je rajoute ça.

Cependant, lorsque deux antivirus sont en désaccord il est difficile de
savoir qui a raison. C'est donc uniquement sur la base de votre
expérience (vous déclarez que les fausses alertes sont fréquentes, donc
il est plus probable qu'en cas de désaccord l'antivirus qui ne voit rien
ait raison) que je rajoute cela.

Les autres sont forcément des fausses alertes et
nécessitent le remplacement de l'antivirus!


Ça par contre je ne le rajouterai pas. Je connais votre avis sur les
antivirus conventionnels et je ne le partage pas. :-)


La probabilité qu'une détection de virus boot par produit singulier est vraie,
est de 50%. La probabilité qu'un produit (quelconque) *manque* un vrai virus
boot est dans l'environ d'un pourcent, donc le complément (de s'en appercevoir)
est de 99%. Ces chiffres sont à peu près les mêmes pour tous les produits de
réputation.

Pas besoin d'avoir le IQ de Madona (150!) pour calculer que la probabilité d'une
fausse alarme est de 50% si un seul produit est utilisé, et 99% quand deux
produits sont utilisés et seulement un des deux détecte un virus.

Si vous voulez être vraiment pédant, exigez alors trois antivirus et faites vous
même le calcul des probabilités.

Furtivité: L'explication du phénomène est inexacte, ainsi que les conclusions
tirées. L'impact est sur les précautions à prendre, ainsi que sur la méthode de
s'en débarrasser. La méthode la plus efficace pour s'adresser aux furtifs, et
pratiquée que par KAV et IV (je suis l'auteur de la méthode) est le tunneling
coopératif. A propos, le dernier n'est pas réalisé par "appeler l'interruption
13h du BIOS en contournant le virus" mais sans mêler les interruptions du tout,
et effectuée de façon inverse de ce que vous préciser.


Vous passez directement par les ports?


C'est une des méthodes.

Notez la phrase "Notez qu'il
existe un moyen d'accéder au disque dur sans le BIOS (et donc sans le
virus)".

Je ne partage pas votre avis là-dessus - à moins que vous fournissiez
des détails techniques plus précis pourquoi les explications sont inexactes.


C'est votre page, et vous jugerez ce qui est utile.

La protection antivirale du BIOS: Toutes les versions de Windows à partir de
W95 écrivent dans le secteur 001 (MBR) comme part du fonctionement normal! Le
seul conseil à ce sujet est de ne pas activer cette protection!


Où voulez-vous en venir? Je cite:

"Cette fonction intercepte les tentatives d'écriture du secteur d'amorce
via l'interruption 13h du BIOS mais sans se soucier de la légitimité de
ces tentatives. Les routines d'installation de divers systèmes
d'exploitation modifient le secteur d'amorce de manière tout à fait
légitime; [...]"

"Cette fonction n'a donc pas beaucoup d'intérêt et vous pouvez la
désactiver."


Il y a la différence entre le mou conseil de "pouvoir" la désactiver, et
l'affirmation que vaut mieux de ne pas l'activer.

Précautions à prendre et suppression des virus boot:

* Première précaution (ajout): Confirmez avec plusieurs antivirus que c'est
bien un virus boot ce que vous avez, et pas une fausse alerte (il faut qu'au
moins deux produis alertent sur le même virus. Une plainte par Windows, surtout
Win 9x ou ME, que vous avez un virus boot, est fiable et peut être considérée
comme alerte par deux antivirus). La chance que vous avez un vrai virus boot
dans le cas d'alerte pas produit unique est *moins que un seul pourcent*! La
grande majorité des enquêtes à la page finiront là parce qu'elles parviennent de
fausses alarmes.


Voir ci-dessus, j'ai rajouté quelque chose sur l'utilisation d'un second
antivirus.

* Sauvegarde du MBR et du secteur amorce: C'est inutile, dangereux, et pas
nécessaire! Plus de contenus de disques durs ont étés perdus que sauvés par la
restauration du secteur de sauvegarde. La configuration des disque dur est
souvent changée par l'ajout de partitions, conversions FAT32 en NTFS,
rajustement avec Partition Magic, etc. Très peu d'utilisateurs savent comment
se rassurer que le secteur de sauvegarde conforme avec la configuration actuelle
du disque dur, avant de le restaurer. Je ne connais pas beaucoup de cas dans
lequels la restauration d'un secteur MBR a fait du bien, mais j'en connais des
centaines qui ont finis mal. D'autre part, il existent assez d'utilitaires qui
permettent la reconstruction du MBR, y compris la table de partitions. Pour
conclure, il y a assez de raisons contre la sauvegarde du MBR, et assurance
suffisante pour sa réconstruction, si nécessaire.


Bon, je supprime.

[...]


Voir ma proposition ci-dessous.

Gestionnaires de boot, overlays: Ces outils ont tous leurs propre moyens
d'installation. L'utilisation accidentelle de FDISK /MBR ou FIXMBR sur ces
dispositifs fera moins de mal qu'un antivirus, laissent le recouvrement toujour
possible.


Moins de mal mais un peu de mal quand-même? N'aurais-je au final pas
complètement tort de recommander la prudence pour ce qui est de l'usage
de fdisk /mbr? ;-)


D'abord, le FDISK /MBR fera que du bien à Disk Manager (en effet, c'est la
commande à utiliser -- et recommendée par Ontrack pour réparer leur overlay).
Pour EZ-bios, if faudra toujours ré-installer le gestionaire en cas d'affection
par virus boot (le overlay sera percé pas l'infection, ainsi que le MBR loader).
Le lancement du FDISK /MBR fera ni du mal ni du bien dans ce cas. A quoi bon
alors raconter des bobards?

En cas de pépin ... : Le groupe à s'adresser de préférence est
comp.sys.ibm.pc.hardware.storage. De ce groupe, vous pouvez compter sur Pierre
Vandevenne à ce sujet.


Au fait, j'aimerais bien avoir son avis à lui aussi. S'il lit ceci, ce
serait chouette qu'il se manifeste.

Je crains que je n'ais pas laissé beaucoup intacte, mais puisque vous avez posé
la question ... Si vous pensez de réécrire la page, je suis prèt à la rédiger
volontairement.


En fin de compte vous avez fait des suggestions qui n'auraient pas
laissé grand chose intact si je les avais toutes reprises. Cependant, je
ne partage pas votre avis sur certains points et donc je vais me
contenter à apporter les modifications dont vous m'avez convaincu du
bien-fondé.

Par contre, si vous avez la possibilité/volonté de rédiger un texte sur
la suppression des virus boot sur des systèmes Windows modernes (ce qui,
encore une fois, n'était PAS le but de ma page à moi), je vous y invite
et je suis sûr qu'on lui trouvera une petite place ici:
http://www.lacave.net/~jokeuse/usenet/fcsv.html

J'irai même plus loin en vous proposant de supprimer totalement la
section "Précautions à prendre et suppression de virus boot" de ma page
et de mettre un lien vers la vôtre. Ainsi on aurait des détails, euh,
"historiques" sur fdisk /mbr et des conseils de désinfection pertinents
pour les systèmes modernes.

Ça vous dit?


Je ne voudrais pas voir une page sur le réseau qui porte mon nom, outre que
celles de NetZ, et l'ajout d'une telle page en francais sera hors de contexte.

Je serais prèt à rédiger votre page. Si ca vous intéresse, nous pouvons achever
les détails par e-mail. Le mien est dans ma signature.

Regards, Zvi
--
NetZ Computing Ltd. ISRAEL www.invircible.com www.ivi.co.il (Hebrew)
InVircible Virus Defense Solutions, ResQ and Data Recovery Utilities


Avatar
Frederic Bonroy

C'est un prétexte souvent utilisé pour renoncer au progrès. ;) Avec cette
philosophie, vous devez encore soutenir les bains d'eau glacée en lieu du
prozac.


Lorsque quelqu'un ici soupçonne la présence d'un virus boot et qu'on lui
répond par "essayez fdisk /mbr" sans savoir ce qui se trouve réellement
dans le MBR, j'attrappe la chair de poule.

Vous conviendrez que si fdisk /mbr est recommandé sur les forums et
ailleurs, dans beaucoup de cas ce n'est pas dû à l'expertise de la
personne qui le conseille mais plutôt au bouche-à-oreille...?
Vous trouvez ça normal, sain, utile, que fdisk /mbr soit recommandé
partout par des gens qui ne savent même pas ce que cette commande fait,
juste parce qu'ils en ont entendu parler un jour?

D'apres la statistique de la page NetZ pour 2004, 3 accès par système 16 bit /
Win 3x ont étés comptés, de ~1.5 millions au total. Un millionième, ça qualifie
pour "suffisament"?


Des ordinateurs sous DOS avec accès à Internet, il n'y en a pas des masses.

Lisez www.invircible.com/iv_tools.php Vous y trouverez des réponses à vos
questions.


Voir ci-dessous.

Question: admettons que des virus comme One_Half, Hare, etc. soient
encore en liberté. Retournez quelques années en arrière. Les
explications sur Fdisk vous paraissent-elles pertinentes dans ce contexte?



Pas plus qu'aujourd'hui. Certainemant pas la partie "quoi ne pas faire avec",
cette là n'était jamais pertinente.


Je trouve intéressant que vous proposiez encore xOneHalf ou XMonkey ici:
http://www.invircible.com/iv_tools.php

Je cite:

"XMonkey will also recover access to hard drives that were affected by
Monkey and rendered inaccessible by procedures such as FDISK /MBR, [...]"

Ça alors. :-)

C'est votre page, et vous jugerez ce qui est utile.


Euh...? Oui enfin bon, passons.

Il y a la différence entre le mou conseil de "pouvoir" la désactiver, et
l'affirmation que vaut mieux de ne pas l'activer.


Je crois que ce passage indique bien qu'il vaut mieux ne pas l'activer
puisqu'elle n'a pas d'avantages dignes de ce nom. Là vous pinaillez...

Je ne voudrais pas voir une page sur le réseau qui porte mon nom, outre que
celles de NetZ,


Et bien vous la mettez sur www.invircible.com, ce n'est pas un problème.

et l'ajout d'une telle page en francais sera hors de contexte.


?

Je serais prèt à rédiger votre page. Si ca vous intéresse, nous pouvons achever
les détails par e-mail. Le mien est dans ma signature.


Ça ne m'intéresse pas; je suis toujours d'accord pour corriger des
erreurs techniques, objectives, vérifiables. Mais je ne suis pas
d'accord pour abandonner ma philosophie.

Si un jour vous rédigez une page de désinfection de virus boot en
français, faites moi signe et je me ferai un plaisir de placer un lien.


1 2 3