I) Comment les menaces informatiques font-elles pour infecter système d'exploitation? Comment faire pour s'en prémunir?

L'argent motive sans conteste les créateurs de programmes malveillants. Ce n'était pas le cas des premiers créateurs de virus dans le milieu des années 80. À cette époque, c'était plutôt par défi, montrer qu'ils en étaient capables, ou par provocation tout simplement. Les infections se contentaient de se dupliquer d'elles-mêmes, d'afficher un message, et détruisaient parfois (rarement) des données.

De nos jours, ces programmes sont source de revenus et les moyens sont divers :

Attaque en masse (DDOS) à partir d'ordinateurs détournés,
Envois de publicités mails à partir d'ordinateurs détournés (spam),
Affichage de publicités (popup),
Arnaques avec de faux logiciels de sécurité (rogues),
Vol de données, de mots de passe, de numéros de série de logiciels...
Redirection vers des sites frauduleux (phishing),
Chantage (ransomware),
Etc.

Pour arriver à leur fin, la plupart des infections se doivent de rester discrètes afin de rester le plus longtemps possible chez leurs hôtes. On pourrait suspecter une infection dans le cas d'affichage de popup, ou par une activité douteuse du système, voire de la connexion Internet.

Le nom virus s'appliquant à une famille bien précise d'infection on utilisera plutôt malware, un terme plus global. On parlera aussi de crimeware au vu des actions frauduleuses de ces applications.

II) Comment les infections sont arrivées dans le système ?

Dans la très grosse majorité des cas, c'est l'utilisateur lui-même qui invite sans le savoir ces compagnons indésirables par un excès de confiance. Simplement en exécutant des programmes téléchargés.

En outre, certains sites volontairement mal conçus permettent d'exploit les failles, les vulnérabilités de votre ordinateur ou de vos logiciels.

A - Les cracks et les keygens

Pour utiliser des logiciels payants sans débourser le moindre centime, nombreux sont ceux qui enlèvent les protections à l'aide d'un programme appelé communément crack ou inscrivent un numéro de série généré par un keygen. Toutes ces applications facilitant le piratage ne sont pas forcément contaminées, mais les auteurs de malwares font maintenant passer leurs créations malignes comme étant ce type de programme.

Ainsi, en pensant faire sauter la protection d'un logiciel, l'utilisateur trop confiant exécute un programme malveillant avec ses droits d'administrateur, ce qui permettra l'infection du système.

Voici deux exemples issus d'un rapport d'un antivirus provenant d'un ordinateur infecté :

C:\Documents and Settings\...\shared\Symantec.Norton.Ghost.10.patch.crack.zip
-> Trojan-Downloader.Win32.Agent.bgy
C:\Program Files\eMule\Incoming\Camfrog_v3.72_PRO + CRACK.zip
-> Trojan-Spy.Win32.KeyLogger.lu

Sachez que les auteurs de malwares créent de faux sites de cracks où tous les cracks proposés sont infectieux, d'autres sites eux contiennent des exploits, si votre navigateur n'est pas à jour, c'est l'infection assurée.
En outre, certaines infections issues de cracks proposés sur les réseaux P2P, une fois installées mettent à disposition des cracks piégés sur le réseau P2P pour que d'autres internautes les téléchargent et s'infectent: exemple avec l'infection Security Toolbar 7.1

cracks/P2P
Le Danger des cracks!



B - Les faux codecs

La technique ne change pas, l'utilisateur est invité à exécuter un programme (malsain dans la réalité) pour laisser entrer l'infection dans le système.

Afin de visionner une séquence vidéo provenant des sites pornographiques ou parfois humoristiques, il vous est demandé d'installer un codec ou un ActiveX.



L'installation du logiciel demandé semble se dérouler normalement. Mais c'est bien l'infection que l'utilisateur exécute sur son système. Et les effets indésirables ne tardent pas à apparaître :

fausses alertes de sécurité,
modification du fond d'écran,
détournement de la page d'accueil du navigateur...
installation non désirée de faux logiciels de sécurité (rogue) proposant leurs services payants pour nettoyer l'infection.



Plus d'informations sur les faux codecs

C - Les logiciels gratuits

Faites-vous partie des personnes qui font confiance à tous les programmes ayant la mention "gratuit" ?
Lisez-vous les conditions d'utilisation (le texte immense écrit en tout petit pendant l'installation) ? Faites-vous partie des personnes qui cliquent sur Suivant jusqu'à lancer l'installation ?
C'est certainement le cas, il y a donc des réflexes à changer.

Une bonne initiative des éditeurs peut cacher des méthodes d'un tout autre genre.
En abusant de votre confiance grâce à la méthode du social engineering ces éditeurs infecteront votre machine afin de gagner de l'argent avec leurs logiciels gratuits.
Nous allons prendre l'exemple de l'adware Magic.Control qui s'installe avec les logiciels suivants :

go-astro
GoRecord
HotTVPlayer
MailSkinner
Messenger Skinner
Instant Access
InternetGameBox
sudoplanet
Webmediaplayer

Une fois un de ces programmes installés, vous serez submergés sous les publicités.
Voici un exemple d'une page web :



Regardez le bas de la page : No Spyware, C'est gratuit. Sans connaître l'éditeur, vous lancez l'installation et viendra avec elle l'infection.



Voici un exemple d'autres programmes installant l'adware lop.com/Swizzor, ce dernier est proposé sur l'add-on Messenger Plus! ou des programmes de P2P torrent (BitDownload, Bitroll, NetPumper etc.).

Encore une fois, dans l'EULA, il est clairement écrit que lesdits programmes ouvriront des popup de publicités.

EULA de Messenger Plus!




EULA de BitDownload



Il ne faut donc pas télécharger tout et n'importe quoi sous prétexte que le logiciel est une nouveauté.
Par ailleurs, un logiciel présent sur un site de téléchargement reconnu ne doit pas être installé sans se poser de question.
Prenez le temps pour juger de la fiabilité du programme, une simple recherche sur un moteur de recherches suffit généralement.
En outre, des services en ligne proposent le scan de fichier sur de multiples antivirus ce qui donner une idée sur comme :
VirusTotal
Virscan

Voici une liste de quelques programmes installant des adwares :



D - Les rogues, les faux logiciels de sécurité

Le mot anglais rogue a pour signification escroc. Ce terme est aussi utilisé pour désigner un faux logiciel de sécurité. Il en existe plusieurs catégories: antiespiogiciel, antivirus... Le but de ces faux logiciels est de pousser l'utilisateur à acheter une licence payante:

Soit via des publicités sur des sites WEB qui redirigent vers les sites qui fabriquent ces rogues.

Soit en installant des infections sur votre ordinateur :

affichage de bulles d'alertes disant que votre ordinateur est infecté.
modification de votre fond d'écran en disant que votre ordinateur est infecté.
modification de la page de démarrage de votre ordinateur vers des sites affichant de fausses alertes de sécurité.

À noter que les alertes sont en général en langue anglaise.

Chaque alerte propose de télécharger un de ces rogues. Une fois le scan (totalement mensonger) de l'ordinateur effectué par le programme, ce dernier affiche qu'il faut acheter la version commerciale pour nettoyer l'ordinateur.
Le but est donc de faire peur et forcer la main, via des alertes incessantes, d'acheter la version commerciale de ces boîtes vides.

Voici un exemple de bulles d'alertes :



Le site Malekal.com propose une liste de rogues ici. Vous pouvez également consulter la crapthèque d'Assiste.
En anglais, Spyware Warrior publie aussi une liste de rogues.

Un réflexe simple à adopter, c'est d'effectuer une recherche via Google avec le nom du logiciel.

En effet, les résultats permettent de vous orienter en vous indiquant si le logiciel recherché est nuisible ou pas.

E - La navigation sur des sites à haut risque d'infections

Les failles de sécurités permettent d'infecter votre ordinateur automatiquement et à votre insu.
À l'heure actuelle, les failles sur les navigateurs WEB sont très exploitées, ces failles permettent via la consultation d'un site WEB malicieux d'infecter votre ordinateur de manière automatique. Le seul rempart si votre navigateur WEB est vulnérable reste votre antivirus, ces infections sont très souvent mises à jour afin de s'assurer que les antivirus ne puissent pas suivre la cadence.
Les chances d'infections si votre navigateur WEB est vulnérable restent très élevées.

Certains sites WEB sont hackés afin d'y déposer le code malicieux permettant l'infection, d'autres sites (notamment pornographiques) sont payés par les auteurs de malwares (ce sont des formes de sponsors) pour y ajouter le code malicieux.

Pour être infecté via un site WEB, il faut donc remplir les conditions suivantes :

avoir un navigateur WEB vulnérable (donc pas à jour).
surfer avec les droits administrateurs
consulter un site WEB avec du contenu malicieux
antivirus qui laisse passer l'infection.

Le projet honeynet.org a effectué une étude sur ce type d'infection, il en ressort le tableau suivant :


source: honeynet.org (Table 2 - Identified malicious URLs/ hosts by category)


Cette étude montre que les trois premiers sites WEB vecteurs de malwares exploitants des failles de sécurité ont un contenu pour adultes, warez (cracks, issus de liens de Spam, téléchargements illégaux, ).

Les habitudes de surfs sont alors très importantes, on comprend très bien qu'un internaute qui va sur des sites pour adultes ou qui télécharge des cracks a beaucoup plus de chances de se faire infecter qu'un internaute qui va sur des sites de musiques ou lire les actualités en ligne!

Les mauvaises habitudes de surf sont un vecteur important d'infection !

Il convient ensuite de maintenir son système à jour, éviter d'utiliser le compte administrateur, etc. Tout ceci est abordé plus longuement dans la seconde partie.

Plus d'informations sur les failles de sécurités :

Exploitation des failles Web : du problème à la solution
Exploits sur les sites WEB
Know Your Enemy: Malicious Web Servers

F - Les pièces jointes et les vers par messagerie instantanée

Comme beaucoup de gens, vous recevez peut-être plusieurs emails dont vous ne connaissez pas le destinataire qui vous incite à cliquer sur un lien ou à ouvrir une pièce jointe. La règle est plutôt simple : si vous ne connaissez pas le destinataire, supprimez le message. Même si le message paraît venir de Microsoft ou de votre meilleur ami, vous devez faire attention, car l'adresse peut très bien avoir été falsifiée ou votre meilleur ami peut être très bien infecté sans le savoir.



Ce qui est bien, c'est que la plupart des internautes ont compris qu'il ne fallait pas ouvrir des pièces jointes venant d'un inconnu. Malheureusement, la méthode d'infection a évolué et il n'est pas rare de voir des vers par messagerie instantanée (comme MSN). Ces vers utilisent une méthode plutôt ingénieuse en se propageant par le biais de vos propres contacts et en vous incitant à cliquer sur un lien ou à ouvrir une pièce jointe. Le mieux est encore de ne pas cliquer bêtement.



G - Les hoax et le phishing, attention à ne pas vous faire abuser

Nous sommes tous confrontés à des Hoax: Ce sont des canulars qui circulent sur le net et qui sont véhiculés par mails. Vos proches souhaitent vous faire partager une information qu'ils jugent importante alors qu'en fait, ce n'est qu'un leurre destiné à engorger le réseau Internet. Ce sont le plus souvent de fausses alertes de virus ou, ce qui est bien plus pervers, de fausses chaînes de solidarités.
Tout mail se terminant par des phrases du type « envoyez ce mail à tous vos contacts pour ... » demandant à propager l'information est certainement un hoax, vérifiez la véracité du contenu du mail.
Le site hoaxbuster.com mène une véritable lutte contre ces fausses informations. Vous pouvez utiliser leur formulaire de recherche pour y vérifier le "scoop" que vous venez de recevoir.

Depuis quelques années, les pirates du web s'attaquent à une nouvelle forme d'escroquerie en masse via le phishing: Ils spamment des milliers d'internautes avec des messages dans le but de leur voler des informations bancaires. Leur procédé est très astucieux: ils envoient un mail avec un lien vers un site qui ressemble "presque" parfaitement au portail de votre banque. "Presque" car l'adresse n'est pas la même et jamais une banque ne vous demanderait des informations confidentielles en ligne. L'internaute trop confiant enverra ainsi des informations bancaires à ces pirates et le résultat ne se fera pas attendre: les pirates n'ont plus qu'à se servir de ces informations pour ponctionner de l'argent sur son compte en banque.

La règle est donc simple: Ne jamais fournir d'informations confidentielles même si c'est votre banque qui en fait la demande. Les organismes bancaires connaissent suffisamment ces questions de sécurité bancaire pour ne pas faire ce genre de choses.


Voici deux captures de phishing provenant de nombre de banques françaises. Comme vous pouvez le constater, le mail semble réaliste, n'importe quel prétexte est utilisé pour vous demander des informations.



Pour en savoir plus: Phishing : les moyens de lutter

III) Conclusion

Internet est un média de plus en plus démocratisé, le nombre d'internautes grandissant, il s'avère être une mine d'or pour des groupes sans scrupules qui s'enrichissent sur le dos des internautes.
Les pièges et menaces sont maintenant omniprésents, si une bonne protection est recommandée, une attitude sensée fera la différence. Il conviendra d'éviter:

l'utilisation de cracks, il existe des logiciels libres qui évitent de prendre des risques et de se mettre dans l'illégalité en piratant.
le surf sur les sites pornographiques.
l'installation de tout logiciel/plug-in sans une recherche sur sa provenance et ses effets indésirables.
les logiciels proposés via des publicités contenues sur les sites WEB.
les logiciels dits gratuits (une recherche Google sur le nom du logiciel permet d'avoir des renseignements sur les effets indésirables).
l'exécution des fichiers reçus depuis MSN ou par email. Même si l'antivirus ne détecte rien.

Si vous avez un doute sur un fichier, VirusTotal permet de le scanner avec plusieurs antivirus.