Tom's Hardware : Discussion [Topic unique] Nouveau virus utilisant une faille de Windows : sasser
Publicité
Sujets relatifs
- Windows XP ne s'installe pas
- Ecran noir pour Windows Media Player
- Gros pb pour une r"paration windows
- PRB REINSTALL WINDOWS XP PRO
- nouveau tarif par morceau téléchargé
- nouveau virus?
- Problème multi-sessions windows XP
- Probleme: VIRUS a l'aide plz!
- probleme arret de windows XP
Offres partenaires
Actualités relatives
Un nouveau virus se propage rapidement - MAJ
Publié le 02 mai 2004Un nouveau virus internet est apparu vendredi soir et aurait déja contaminé des millions d'ordinateurs selon un expert finlandais de la société d'antivirus F-Secure. Nommé Sasser, ce virus a la particularité de se répandre seul, sans avoir besoiLire la suite
Alerte au virus Korgo
Publié le 01 juin 2004W32.Korgo est un nouveau ver qui exploite une faille de LSASS – la même qui fût utilisée par le virus Sasser il y a quelques semaines. Le ver utilise le port TCP 445 et permet de prendre le contrôle sans autorisation d’une machine. Toutes les versions de Lire la suite
Top 10 des virus pour le 1er semestre 2004
Publié le 29 juillet 2004Le site Internet Sophos vient de publier un rapport dans lequel il classe les différentes vers et virus informatique en fonction du nombre d’infections qu’ils ont réalisées. Durant les 6 premiers mois de l’année 2004, ce sont donc 4677 nouveaux virus qui Lire la suite
18 ans et responsable d'un virus sur deux en 2004
Publié le 09 décembre 2004Selon Sophos France, le jeune allemand de 18 ans, créateur des virus Sasser et des variantes du ver Netsky, Sven Jaschan, est responsable de plus de 50% des incidents viraux dans le monde en 2004.La firme de sécurité informatique a établi un Top 10 deLire la suite
Les derniers tests
HTC Touch Diamond 2 : le test
Publié le 03 juillet 2009Quasiment un an après la sortie du Touch Diamond, HTC lance une version améliorée d'un téléphone qui avait eu toutes les peines à convaincre le marché. Écran plus grand, APN de 5 Mpixels, entièrement tactile, surcouche logicielle bien Lire la suite
Guide : passer à Linux (Ubuntu)
Publié le 02 juillet 2009A défaut d’une version finale de Windows 7, ces dernières semaines ont vu comme chaque année la sortie de la nouvelle version d’Ubuntu, une réussite. Dans ce dossier, nous vous guidons à travers son installation et son exploitation par un "windowsien"...Lire la suite
Le comparatif des PC tout-en-un
Publié le 01 juillet 2009Apple se fait grignoter des parts de marché par le bas. MSI et Asus se lancent dans la course et cassent les prix. L’Asus Eee Top et MSI Wind Top AE1900 sont tous les deux proposés à moins de 600 Euros, soit deux fois moins cher que les produits proposés Lire la suite
Test : Nokia N97, un vrai clavier, du Wi-Fi, un grand écran tactile...
Publié le 29 juin 2009Caractéristiques Capteur photo 5 MégapixelsPoids 150 grammesDimensions 11,7 x 5,5 x 1,6 cmAutonomie en communication 5h20Autonomie en veille 400 heuresMémoire interne 32 G0Mémoire externe Micro SD (48 Go)Indice DAS -Nokia présente son N97 comme 'Lire la suite
Dans les albums
Tom's Hardware > Forum > Le monde de Windows > Drivers & OS > [Topic unique] Nouveau virus utilisant une faille de Windows : sasser
Tomshardware : 1,4 millions d'inscrits dans 6 pays différents répondent à toutes vos questions high-tech et informatique.
Pour obtenir de l'aide, inscrivez-vous gratuitement !
Attention un nouveau virus de la Famille des Blaster arrive, et ne se propage pas par fichiers mais dirrectement de PC vers PC...
Un correctif (hotfix) est disponible chez Microsoft, il faudrait l'installer rapidement si ce n'est pas fait. Pour se protéger de ce type d'attaques un pare-feu (firewall) est nécessaire ; un anti-virus ne sera pas particulièrement efficace, au mieux il pourra réparer les dégats la machine une fois infectée.
Microsoft Security Bulletin MS04-11 :
http://www.microsoft.com/technet/s [...] 4-011.mspx
Windows 2000 anglais :
http://download.microsoft.com/down [...] 86-ENU.EXE
Windows 2000 français :
http://download.microsoft.com/down [...] 86-FRA.EXE
Windows XP anglais :
http://download.microsoft.com/down [...] 86-ENU.EXE
Windows XP français :
http://download.microsoft.com/down [...] 86-FRA.EXE
Il serait ensuite judicieux de vérifier que votre machine est à jour en terme de sécurité, il existe un utilitaire gratuit et simple d'utilisation qui permet de vérifier la présence des hotfixes sur votre machine, Microsoft Baseline Security Analyzer 1.2 :
- MBSA Homepage
- Téléchargement MBSA 1.2 anglais
- Téléchargement MBSA 1.2 français
Addenum :
Pour ceux qui n'arrivent pas à télécharger le patch avant de rebooter.
Sous Windows XP :
- Menu Démarrer -> Exécuter -> Saisir "shutdown /a" (sans les guillemets) -> Bouton OK
Sous Windows 2000 :
- Télécharger shutdown.exe et l'enregistrer dans le répertoire d'installation de Windows.
- Menu Démarrer -> Exécuter -> Saisir "shutdown /a" (sans les guillemets) -> Bouton OK
Un astuce consisterait, une fois le compte à rebourd apparu, à modifier l'heure du système en enlevant quelques heures pour augmenter le délais nécessaire au téléchargement et à l'installation.
Attaques en cours :
Actuellement le vers Sasser semble de loin l'attaque la plus répendue, les symptomes sont les suivants :
- un processus nommé "avserve.exe", ainsi qu'un fichier avserve.exe dans le dossier d'installation de Windows. MàJ : Apparition d'une variante B ou l'exécutable s'appelle "avserve2.exe"
- plusieurs processus nommés "xxxxx_up.exe" ou xxxxx est un nombre aléatoire de 4 ou 5 chiffres, consommant énormément de ressources processeur
- la présence d'un fichier C:\WIN.LOG
- la présence de la clef HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\avserve.exe = %Windir%\avserve.exe
- effectue des connexions au port TCP 445, génère du trafic sur les ports TCP 5554 et 9996.
- affiche un message d'erreur similaire à ceux ci-dessous, tentant d'arrêter la machine :
Quelques variantes de Gaoboat / Agobot utilisent aussi cette faille :
- tente de désactiver l'anti-virus
- empeche les mises à jour de l'anti-virus
- installe une porte dérobée (backdoor) sur la machine
Que faire si mon anti-virus ne fonctionne plus ?
Le plus simple est d'utiliser un logiciel anti-virus en ligne, en voici quelques-uns :
- Symantec Security Check
- Trend Micro Scanning Housecall
- Panda Software ActiveScan
- BitDefender Free Online Virus Scan
- McAfee FreeScan
- RAV AntiVirus - Scan Online
- Kaspersky Labs Online Virus Scanner (permet uniquement l'envois d'un fichier suspecté d'être un virus)
Removal Tools pour éliminer Sasser automatiquement (02.05.2004 à 7h50) :
- McAfee AVERT Stinger
- Trend Micro Sysclean Package
- Symantec FxSasser.exe (W32.Sasser Removal Tool)
- Panda Software QuickRemover (enregistrement obligatoire)
Dernières mises à jour chez les éditeurs de logiciels AV (01.05.2004 à 19h00) :
- Symantec Security Response : W32.Sasser.Worm, W32.Gaobot.AFW, W32.Gaobot.AFJ, W32.Gaobot.AFC
- McAfee Security : W32/Sasser.worm, Exploit-MS04-011, W32/Gaobot.worm.ali
- Trend Micro : WORM_SASSER.A
- Sophos : W32/Sasser.worm
- Panda Software : Sasser.A & DSScan.A
- Antivir : Worm/Sasser.A
- Computer Associates : W32/Sasser.A & Microsoft Windows LSASS buffer overflow vulnerability
- F-Secure : Sasser
- RAV Antivirus : Win32/Sasser.worm
- Norman : W32/Sasser.A
- F-Prot : W32/Sasser.A
- Kaspersky : Worm.Win32.Sasser.a, Worm.Win32.Sasser.b (pages en Russe !)
- Avast : pas d'infos...
- Grisoft AVG : pas d'infos...
(source HFR)
Message édité par king_ping le 03-05-2004 à 00:31:59
Aux modos : il faudrait fermer tout les autres sujets et faire de cette page un topikunuk 
![[:le mec de sigeanie]](http://img.infos-du-net.com/forum/images/perso/le mec de sigeanie.gif "[:le mec de sigeanie]")
|Répondre à dju
j'allais le faire après avoir tout lu sur le forum 
Base de la thérapie d'un psychologue gobelin : si tu es petit et faible, attaque ton adversaire isolé loyalement, si possible à plusieurs et dans le dos
P.A.T.C.H. : Positr
Répondre à Patch
et faire comme ce qu'il y avait eu pour blaster, un encadré, un popup, n'importe quoi pour ceux qui rencontrent ce prob, et de les renvoyer ici 
sinon, perso j'ai eu aucun prob : merci la mise à jour automatique de norton, windows update et kerio
|Répondre à dju
ca c pas moi qui choisis
g Kerio activé en permanence + McAfee et WU à jour, g quand même mis le correctif au cas où, on ne sait jamais
Base de la thérapie d'un psychologue gobelin : si tu es petit et faible, attaque ton adversaire isolé loyalement, si possible à plusieurs et dans le dos
P.A.T.C.H. : Positr
Répondre à Patch
même un simple suffit a bloquer les ports en question ...445,5554 et 9996. 
Pour verifier aller dans demarrer/executer :cmd : netstat -an
Et verifier que ces ports n'apparaissent pas ...
Message édité par king_ping le 02-05-2004 à 11:16:20
------------------------------
![[:img]](http://img.infos-du-net.com/forum/images/perso/img.gif "[:img]")
Message posted by csflo ![[:un smiley qui claque]](http://img.infos-du-net.com/forum/images/perso/un smiley qui claque.gif "[:un smiley qui claque]")
![[:sucube]](http://img.infos-du-net.com/forum/images/perso/sucube.gif "[:sucube]")
Merci d'avoir lu ce post ![[:csflo]](http://img.infos-du-net.com/forum/images/perso/csflo.gif "[:csflo]")
Vous aimez les motos cross ? cliquez ici test
Répondre à csflo
Message posted by csflo Merci d'avoir lu ce post Vous aimez les motos cross ? cliquez ici testRépondre à csflo
| king_ping a écrit : même un simple suffit a bloquer les ports en question ...445,5554 et 9996. |
Oki, moi tout de façon seul le 80 et le 21 permete du traffic en sorti
TCP 0.0.0.0:445 0.0.0.0:0 LISTENING
![[:wam]](http://img.infos-du-net.com/forum/images/perso/wam.gif "[:wam]")
C normal le 445 est utilisé en temps normal pour le DNS, comme d'autre pour le DHCP 1026,1027,1029,1031,1032,cela ne veux pas dire que tu es infecté ... 
Message édité par king_ping le 02-05-2004 à 11:27:58
| king_ping a écrit : C normal le 445 est utilisé en temps normal pour le DNS, comme d'autre pour le DHCP 1026,1027,1029,1031,1032,cela ne veux pas dire que tu es infecté ... |
Oki merci
clair pareil
|Répondre à dju
le pseudo-firewall de windows xp, il sert à quelque chose dans ce cas ou pas ? 
|Répondre à dju
------------------------------
ne cliquez surtout pas ici
Base de la thérapie d'un psychologue gobelin : si tu es petit et faible, attaque ton adversaire isolé loyalement, si possible à plusieurs et dans le dos
P.A.T.C.H. : Positr
Répondre à Patch
Base de la thérapie d'un psychologue gobelin : si tu es petit et faible, attaque ton adversaire isolé loyalement, si possible à plusieurs et dans le dos
P.A.T.C.H. : Positr
Répondre à Patch
ok
|Répondre à dju
------------------------------
Terriblement Efficace dans la TPLJ | Vous aussi, soyez de Braves Patriotes ! |
Répondre à dju
|Répondre à dju
| orbitalcoil a écrit : difficile de bloquer tous les ports dans un firewall surtout dans za, dans kerio je ne sais pas si c'est possible non plus
|
C très facile dans KERIO mais fô bien penser à le mettre en dernier dans les priorités sinon tu bloques tout
Protocoles (Tous) / Direction (Les deux) / Adresses distantes (toutes) / Refuser
Répondre à freedownload
Non, je le remercie car il a été le 1er a réagir !
Merci au modo de HFR pour m' avoir re-bani ...Pour avoir oublié de le citer ...
C'est un bel exemple de fair-play ...
Cela va renforcer l'image de censure qu'exerce vos modo ...
C' est bien !
Message édité par king_ping le 02-05-2004 à 17:41:41
Ouais on est des gros méchant
Répondre à le-com21
Apres m'avoir bannit pour avoir dit que le gouvernement Bush censurait le rapport climatique, je suis banni car je n'ai pas cité mes sources depuis un autre Forum ...
Decidement j'ai l'impression d'être en Chine ou en Corée du Nord quand je vois ça ...
Ca me fait presque plaisir de voir qu'HFR est "indisponible..." ... 
Message édité par king_ping le 02-05-2004 à 20:01:32
![[:rofl]](http://img.infos-du-net.com/forum/images/perso/rofl.gif "[:rofl]")
France2
ils ont montré une société avec +sieurs 10zaines d'ordis (tous dans la même salle) qui se sont infectés en même temps à 19h20 hier, on voit l'efficacité de l'administrateur réseaux 
et maintenant, ce sont les passionnés d'informatique et les hackers qui font les virus
les pauvres hackers, on leur fout tous les maux de l'informatique sur le dos, alors qu'ils n'y sont pour pas grand chose...
Base de la thérapie d'un psychologue gobelin : si tu es petit et faible, attaque ton adversaire isolé loyalement, si possible à plusieurs et dans le dos
P.A.T.C.H. : Positr
Répondre à Patch
C'est clair que demain matin ça risque d'être folclo !
Mais normalement en entreprise y a moins de risque car les proxy ont des firewall asser dure a percer ...
Le pbl sera + pour les PME ...
Message édité par king_ping le 02-05-2004 à 20:39:36
Si le pare-feu de XP était sensé barrer la route de Sasser,.....ben on peut dire que ça sert à rien puisque Sasser est quand même bien passé chez moi et m'a bien emm......
Message édité par le 02-05-2004 à 21:01:34
| 0606 a écrit : Si le pare-feu de XP était sensé barrer la route de Sasser,.....ben on peut dire que ça sert à rien |
un firewall ça se configure coco 
Répondre à le-com21
| king_ping a écrit : C'est clair que demain matin ça risque d'être folclo ! |
et c'est là que le commercial revient avec son portable et le branche sur le reseau de l'entreprise......
Schéma qui c'est produit en aout 2003 et qui va recommencer lundi dans pas mal d'entreprise.
Répondre à le-com21
Un firwall soft ne vaudra jamais un hard ...
Enfin, c'est juste mon avis ...
Message édité par king_ping le 03-05-2004 à 00:32:24
Euh ce virus il fait juste un scan IP aleatoire non ?
donc dans ce cas je l'ai vu passer 1 fois sur mes firewall
Plutot decevant comme virus 
Répondre à Neoryuki
Tiens ca me rappelle que hier soir au JT de 20h de TF1 ils etaient en duplex avec les "laboratoires" de Symantec France
Et sans vouloir etre mechant, à voir la gueule des employés, on comprends mieux le manque d'efficacité de leurs softs ![[:matleflou]](http://img.infos-du-net.com/forum/images/perso/matleflou.gif "[:matleflou]")
Répondre à Neoryuki
| Neoryuki a écrit : Tiens ca me rappelle que hier soir au JT de 20h de TF1 ils etaient en duplex avec les "laboratoires" de Symantec France
|
tu les as déja eus au téléphone ?
perso, c'etait mémmorable... (y'avait le patron dans la meme piece que moi.. j'ai mis le haut parleur.. il etait plié de rire)
leur site n'etaint pas clair sur un point j'ai chérché a les joindre
on a été balancé de répondeur en répondeur pendant 30 min.. puis a force d'insister.. on est tombé sur quelqu'un...
on est tombé sur Mawie-tewese
qui nous a informé "qui non, elle ni s'occupe pas di ssa, jé souis la pour la permanance, pouw toutes les infos, il faut passer paw leu site"
je l'aurais pas vécu.. si on me le racontais.. je suis pas sur que j'y croirais .. 
![[:gambit:5]](http://img.infos-du-net.com/forum/images/perso/5/gambit.gif "[:gambit:5]")
Toys are cool ! Répondre à Gambit
| gambit a écrit : tu les as déja eus au téléphone ?
|
On appelle ca un call center externalisé
si je te disais que Computer Associates tu tombes soit au Canada soit en Inde, tu me crois ?
Ca se fait de plus en plus de sous traiter la partie teelphonie/hotline
Dernier exemple en date : Free, qui sous-traite sa hotline dans une warp zone située à proximité d'un trou noir
J'ai les cooordonnées exactes : ICI
Répondre à Neoryuki
| Neoryuki a écrit :
|
dans tes rêves
je ne clique plus sur un lien proposé par toi ou nbp
![[:edit]](http://img.infos-du-net.com/forum/images/perso/edit.gif "[:edit]")
surtout quand tu le presentes comme ça.. je t'ai connu, vachement plus subtil
Message édité par Gambit le 03-05-2004 à 11:55:46
Toys are cool ! Répondre à Gambit
| gambit a écrit : dans tes rêves |
Je tiens à signaler que je ne participe pas à ce jeu puéril
Si tu observe sur quoi pointe ce link, tu verras que c'est sur mon FTP
Répondre à Neoryuki
| Neoryuki a écrit : Je tiens à signaler que je ne participe pas à ce jeu puéril
|
ouais, c'est pas mieux, ce truc de martiens
Répondre à drouvre
bon.. pour cette fois ça va
Toys are cool ! Répondre à Gambit
Bon vu le faible taux de penetration de ce virus, je vais lui filer un coup de main en l'installant sur un de mes serveurs qui dispose d'une LS pour scanner un poil plus vite
Répondre à Neoryuki
Annonces Google