Trojan Exploit-MhtRedir.gen

Salut à toi *Reyes*, tu nous disais ce mercredi 24/11/2004 vers
21:44:11 ce qui suit :

Bonjour,

Mauvaise surprise avec Firefox 1.0
Suite au téléchargement et à l'installation de ce navigateur, je me suis
retrouvé avec le cheval de Troie Exploi-MhtRedir.gen dont j'ai eu toutes les
peines du monde à me débarrasser. Le trojan se trouvait dans Documents and
Settings, application data et dans le dossier Firefox. Ma suite sécurité de
Mcafee ne pouvait le supprimer parce que le disque était protégé en écriture.
J'ai donc dû désinstaller Firefox et supprimer "à la main" le dossier caché
restant de Firefox.

Dommage.

Où aviez-vous téléchargé le pgm ?

--
L'erreur est de croire qu'on est seul devant ses problèmes !
Utilisez Firefox - Thunderbird - MesNews .... le tiercé gagnant ;) ICQ#
225201643

Salut à toi *Reyes*, tu nous disais ce mercredi 24/11/2004 vers
21:53:33 ce qui suit :

Où aviez-vous téléchargé le pgm ?

Ici : http://www.mozilla.org/products/firefox/
for Windows, French (4.7MB)

Reyes

C'est bizarre je suis FF depuis Firebird et les nightlies jusque la 1.0
et je n'ai jamais eu ce pbl. Ma suite Panda est très sévère aussi et
n'a jamais "crié" avec FF :/

--
L'erreur est de croire qu'on est seul devant ses problèmes !
Utilisez Firefox - Thunderbird - MesNews .... le tiercé gagnant ;) ICQ#
225201643

"Michel Doucet" <bidon@bidon.fr> a écrit dans le message de news:

Où aviez-vous téléchargé le pgm ?

Ici : http://www.mozilla.org/products/firefox/
for Windows, French (4.7MB)

Reyes

Salut à toi *Reyes*, tu nous disais ce mercredi 24/11/2004 vers 21:44:11
ce qui suit :

Bonjour,

Mauvaise surprise avec Firefox 1.0
Suite au téléchargement et à l'installation de ce navigateur, je me suis
retrouvé avec le cheval de Troie Exploi-MhtRedir.gen dont j'ai eu toutes
les peines du monde à me débarrasser. Le trojan se trouvait dans
Documents and Settings, application data et dans le dossier Firefox. Ma
suite sécurité de Mcafee ne pouvait le supprimer parce que le disque
était protégé en écriture. J'ai donc dû désinstaller Firefox et supprimer
"à la main" le dossier caché restant de Firefox.

Dommage.

--
L'erreur est de croire qu'on est seul devant ses problèmes !
Utilisez Firefox - Thunderbird - MesNews .... le tiercé gagnant ;) ICQ#
225201643

Reyes a écrit :

Bonjour,

Mauvaise surprise avec Firefox 1.0
Suite au téléchargement et à l'installation de ce navigateur, je me suis
retrouvé avec le cheval de Troie Exploi-MhtRedir.gen dont j'ai eu toutes les
peines du monde à me débarrasser. Le trojan se trouvait dans Documents and
Settings, application data et dans le dossier Firefox. Ma suite sécurité de
Mcafee ne pouvait le supprimer parce que le disque était protégé en
écriture. J'ai donc dû désinstaller Firefox et supprimer "à la main" le
dossier caché restant de Firefox.

Dommage.

Il était probablement dans le cache de Firefox. Les risques qu'il soit
executé sont plus que faibles, généralement une simple vidange du cache
suffit à leur faire la peau (j'en ai déjà fais l'expérience).

Lock5 wrote:

Exploit-mhtRedir.gen est en fait une appellation générique pour certain
trojan et exploit. Par exemple des failles de IE qui permettent de
créer des pages html provoquant divers résultat comme plantage,
exécution de code arbitraire ou autre. Firefox n'est pas sensible a ces
problème mais ton anti virus détect quand même qu'un page qui contient
ces "virus" a été téléchargé et se déclenche. Comme la page est mise
dans le cache de firefox, le problème semble venir de celui-ci.

Enfin, c'est une supposition :)

raisonnement tout à fait logique. Firefox ne filtre pas le contenu de la
page et donc le stocke sur disque mais ne va pas exécuter le code malicieux.

Le 11/24/2004 09:53 PM, Reyes a écrit :

"Michel Doucet" <bidon@bidon.fr> a écrit dans le message de news:

Où aviez-vous téléchargé le pgm ?

Ici : http://www.mozilla.org/products/firefox/
for Windows, French (4.7MB)

Cela fait deux fois que j'entends parler de cette histoire.

Etes-vous que firefox est responsable ?

Car il serait étonnant que le dit troyen ne fut pas présent avant...

Aussi connu sous le nom de JS-Small D :

"JS/Small-D utilise la faille MHTML pour télécharger et exécuter un
fichier distant. Pour plus d’informations concernant cette faille,
consultez le bulletin de sécurité MS04-013 de Microsoft."

MTHML -> Internet Explorer, étant donné que firefox n'utilise AUCUN
COMPOSANT du moteur de rendu d'IE, comment firefox aurait-il pu importer
un tel troyen ?

Et si on recherche le dit bulletin on tombe sur cette page de K-Otik

http://www.k-otik.net/bugtraq/04142004.MS04-013.php

" Une vulnérabilité critique a été identifiée dans Microsoft Outlook
Express, elle pourrait être exploitée par un attaquant distant afin de
compromettre un système vulnérable via une simple page/email HTML. Cette
faille résulte d'une erreur présente au niveau de la manipulation de
certaines URLs MHTML, ce qui pourrait provoquer l'exécution de code
arbitraire dans la zone "Local Machine" avec les privilèges de
l'utilisateur connecté. (Outlook et Internet Explorer sont vulnérables).

Ce patch fixe notamment les failles CHM exploitées massivement par des
pirates et par les virus Ibiza et Bugbear.c."

Or, il semble que vous utilisiez OE 6.0Sp2...

Ou que MacAffee déconne sérieusement, car à chaque fois qu'on fait le
lien entre ce troyen et firefox, MacAffee est en cause...

Copie et suivi sur fr.comp.securite.virus

--
Frédéric Béziès - mozjf@alussinan.org

Site Perso : http://perso.wanadoo.fr/frederic.bezies/
Weblog : http://fredbezies.jexiste.fr/dotclear/
Fourre-tout : http://perso.wanadoo.fr/frederic.bezies/pratique/

Salut à toi *nofuture*, tu nous disais ce mercredi 24/11/2004 vers
22:08:03 ce qui suit :

Lock5 wrote:

Exploit-mhtRedir.gen est en fait une appellation générique pour certain
trojan et exploit. Par exemple des failles de IE qui permettent de créer
des pages html provoquant divers résultat comme plantage, exécution de code
arbitraire ou autre. Firefox n'est pas sensible a ces problème mais ton
anti virus détect quand même qu'un page qui contient ces "virus" a été
téléchargé et se déclenche. Comme la page est mise dans le cache de
firefox, le problème semble venir de celui-ci.

Enfin, c'est une supposition :)

raisonnement tout à fait logique. Firefox ne filtre pas le contenu de la page
et donc le stocke sur disque mais ne va pas exécuter le code malicieux.

Trouvé sur le site de Mc Afee :
"This threat exploits an Internet Explorer vulnerability." ..... donc
pas de pbl avec FF :D

--
L'erreur est de croire qu'on est seul devant ses problèmes !
Utilisez Firefox - Thunderbird - MesNews .... le tiercé gagnant ;) ICQ#
225201643

Le 11/24/2004 10:14 PM, Reyes a écrit :

"Lock5" <lock5r@invalid.invalid> a écrit dans le message de news:

Exploit-mhtRedir.gen est en fait une appellation générique pour certain
trojan et exploit. Par exemple des failles de IE qui permettent de
créer des pages html provoquant divers résultat comme plantage,
exécution de code arbitraire ou autre. Firefox n'est pas sensible a ces
problème mais ton anti virus détect quand même qu'un page qui contient
ces "virus" a été téléchargé et se déclenche. Comme la page est mise
dans le cache de firefox, le problème semble venir de celui-ci.

Oui, bien entendu, je ne dis pas que le trojan est de Firefox, mais il est
arrivé avec Firefox.
C'est pas prudence que j'ai tout viré.

Tiens, cela me fait penser aux erreurs 404 qui pourrissent IE, et
foutent en l'air la protection du SP2...

Mais - et c'est la force de firefox - le code source est ouvert, et
introduire un troyen, cela aurait été visible...

--
Frédéric Béziès - mozjf@alussinan.org

Site Perso : http://perso.wanadoo.fr/frederic.bezies/
Weblog : http://fredbezies.jexiste.fr/dotclear/
Fourre-tout : http://perso.wanadoo.fr/frederic.bezies/pratique/

"Lock5" <lock5r@invalid.invalid> a écrit dans le message de news:

Exploit-mhtRedir.gen est en fait une appellation générique pour certain
trojan et exploit. Par exemple des failles de IE qui permettent de
créer des pages html provoquant divers résultat comme plantage,
exécution de code arbitraire ou autre. Firefox n'est pas sensible a ces
problème mais ton anti virus détect quand même qu'un page qui contient
ces "virus" a été téléchargé et se déclenche. Comme la page est mise
dans le cache de firefox, le problème semble venir de celui-ci.

Oui, bien entendu, je ne dis pas que le trojan est de Firefox, mais il est
arrivé avec Firefox.
C'est pas prudence que j'ai tout viré.

--
Reyes

"Reyes" <Anti-Spam-Reyes@echecs.com> wrote :

Bonjour,
Mauvaise surprise avec Firefox 1.0
Suite au téléchargement et à l'installation de ce navigateur, je
me suis retrouvé avec le cheval de Troie Exploi-MhtRedir.gen dont

Exploit-mhtRedir.gen est en fait une appellation générique pour certain
trojan et exploit. Par exemple des failles de IE qui permettent de
créer des pages html provoquant divers résultat comme plantage,
exécution de code arbitraire ou autre. Firefox n'est pas sensible a ces
problème mais ton anti virus détect quand même qu'un page qui contient
ces "virus" a été téléchargé et se déclenche. Comme la page est mise
dans le cache de firefox, le problème semble venir de celui-ci.

Enfin, c'est une supposition :)

--
Lock5

Le 11/24/2004 10:11 PM, Michel Doucet a écrit :

Salut à toi *nofuture*, tu nous disais ce mercredi 24/11/2004 vers
22:08:03 ce qui suit :

Lock5 wrote:

Exploit-mhtRedir.gen est en fait une appellation générique pour
certain trojan et exploit. Par exemple des failles de IE qui
permettent de créer des pages html provoquant divers résultat comme
plantage, exécution de code arbitraire ou autre. Firefox n'est pas
sensible a ces problème mais ton anti virus détect quand même qu'un
page qui contient ces "virus" a été téléchargé et se déclenche. Comme
la page est mise dans le cache de firefox, le problème semble venir
de celui-ci.
Enfin, c'est une supposition :)

raisonnement tout à fait logique. Firefox ne filtre pas le contenu de
la page et donc le stocke sur disque mais ne va pas exécuter le code
malicieux.

Trouvé sur le site de Mc Afee :
"This threat exploits an Internet Explorer vulnerability." ..... donc
pas de pbl avec FF :D

Laisse tomber, il cherche juste à troller !

Trouvé sur fr.comp.securite.virus en date du 20/11/2004 :

Path: news.wanadoo.fr!news.wanadoo.fr!news.wanadoo.fr!not-for-mail
From: "Reyes" <Anti-Spam-Reyes@echecs.com>
Newsgroups: fr.comp.securite.virus
Subject: Exploit-MhRedir.gen
Date: Sat, 20 Nov 2004 18:10:08 +0100
X-Priority: 3
X-MSMail-Priority: Normal
X-Newsreader: Microsoft Outlook Express 6.00.2900.2180
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2900.2180
X-RFC2646: Format=Flowed; Original
Lines: 18
Message-ID: <419f796a$0$8783$8fcfb975@news.wanadoo.fr>
Organization: les newsgroups par Wanadoo
NNTP-Posting-Host: AAubervilliers-152-2-12-101.w82-121.abo.wanadoo.fr
X-Trace: 1100970346 news.wanadoo.fr 8783 82.121.203.101:4298
X-Complaints-To: abuse@wanadoo.fr
Xref: news.wanadoo.fr fr.comp.securite.virus:123128

No comment ;)

--
Frédéric Béziès - mozjf@alussinan.org

Site Perso : http://perso.wanadoo.fr/frederic.bezies/
Weblog : http://fredbezies.jexiste.fr/dotclear/
Fourre-tout : http://perso.wanadoo.fr/frederic.bezies/pratique/