Dernière analyse du laboratoire de Kaspersky Lab sur de l'activité virale en mars 2011
Vyacheslav Zakorzhevsky
C’est un fait : les individus malintentionnés n'ont aucun scrupule et n'hésitent pas à exploiter la moindre tragédie dans leur intérêt. Le séisme et le tsunami au Japon et le décès d'Elizabeth Taylor n'auront pas été une exception.
De nombreux japonais ont perdu des êtres proches et le monde entier suit avec une certaine inquiétude le développement de la situation à la centrale nucléaire Fukushima 1 endommagée lors du séisme. Les auteurs de virus diffusent des liens malveillants vers ces sujets d'actualité, créent des pages Web malveillantes dont le contenu est lié d'une manière ou d'une autre à la tragédie qui se déroule au Japon et diffusent des messages « nigériens » qui invitent les destinataires à venir en aide aux victimes en transférant de l'argent sur le compte du destinataire.
Un de ces messages non sollicité contenait des liens vers ce qui était présenté comme les dernières infos en provenance du Japon. L'utilisateur qui cliquait sur ces liens devenait la victime d'une attaque par téléchargement à la dérobée organisée à l'aide de pack de codes d'exploitation. En cas de réussite de l'attaque, le programme Trojan-Downloader.Win32.CodecPack était téléchargé sur l'ordinateur de l'utilisateur. Chaque représentant de cette famille est associé à trois centres de commande qu'il contacte et d'où il reçoit une liste de fichiers malveillants à télécharger et à installer sur l'ordinateur de la victime. Et une des pages Web malveillantes que nous avons repérée proposait aux internautes des vidéos des événements du Japon. Mais au lieu de regarder une vidéo, l'utilisateur téléchargeait une porte dérobée.
C'est sur Twitter que l'on trouve les individus malintentionnés les plus rapides : les liens malveillants relatifs au décès d'Elizabeth Taylor sont apparus dès le lendemain de l'annonce de la mort de l'actrice.
Mars en chiffres
Voici le bilan de l'activité des logiciels de Kaspersky Lab sur les ordinateurs des utilisateurs :
241 151 171 attaques de réseau ont été déjouées ;
85 853 567 tentatives d'infection via des sites Web ont été bloquées ;
219 843 736 programmes malveillants ont été détectés et neutralisés (tentatives d'infection locale) ;
96 702 092 verdicts heuristiques ont été recensés.
Codes d'exploitation JAVA
Le nombre de codes d'exploitation Java est assez élevé : ils représentaient près de 14 % du nombre de codes d'exploitation découverts. Trois codes d'exploitation Java figurent dans le Top 20 des programmes malveillants sur Internet. Et deux d'entre eux, à savoir Exploit.Java.CVE-2010-0840.d (15e position) et Exploit.Java.CVE-2010-0840.c (19e) sont de nouveaux codes qui exploitent la vulnérabilité CVE-2010-0840 dans Java. Pour rappel, l'utilisation active de cette faille avait été mise en évidence le mois dernier
Selon les données statistiques du KSN (le réseau interne à Kaspersky lab), les créateurs du programme malveillant changent fréquemment les codes d'exploitation utilisés dans le cadre d'attaque par téléchargement à la dérobée afin d'éviter la détection. On peut le voir sur le graphique qui montre la dynamique de la détection des codes d'exploitation de la famille Exploit.Java.CVE-2010-0840.
Dynamique de la détection de la famille Exploit.Java.CVE-2010-0840
Les pics dans le graphique représentent les périodes de détection de codes malveillants utilisés dans le cadre d'attaques par téléchargement à la dérobée et les creux correspondent à l'apparition de nouvelles modifications du code d'exploitation.
Code d'exploitation d'une vulnérabilité dans Adobe Flash Player
Il est étonnant de voir la rapidité avec laquelle les auteurs de virus réagissent à l'annonce de la découverte de nouvelles vulnérabilités. Prenons par exemple le code d'exploitation d'une vulnérabilité dans Adobe Flash Player dont la découverte fut annoncée par Adobe le 14 mars. La vulnérabilité se trouve dans le fichier authplay.dll et appartient à la catégorie critique : son exploitation permet aux individus malintentionnés de prendre les commandes de l'ordinateur de la victime.
Dès le 15 mars, Kaspersky Lab détectait un code d'exploitation de cette vulnérabilité. Il se présente sous la forme d'un fichier Excel contenant un fichier SWF malveillant qui est détecté comme Trojan-Dropper.SWF.CVE-2011-0609.a.
Le 25 mars, nous avons détecté une autre version du code d'exploitation, à savoir une page HTML contenant un JavaScript avec un code shell et l'invocation d'un fichier Flash malveillant. Le code shell recevait les commandes après l'invocation du fichier SWF en exploitant une faille dans la sécurité. Les fichiers HTML et SWF malveillants sont détectés respectivement en tant que Exploit.JS.CVE-2011-0609 et Exploit.SWF.CVE-2011-0609.
Extrait de Exploit.JS.CVE-2011-0609.d
Cette histoire se termine bien : la vulnérabilité a été éliminée. La société Adobe a annoncé la suppression de la vulnérabilité le 22 mars. Bien entendu, la fin heureuse concerne uniquement les ordinateurs sur lesquels les utilisateurs ont réalisé la mise à jour à temps.
Pages HTML malveillantes : protection contre la détection
Le laboratoire de Kaspersky Lab signale souvent la détection de pages HTML que les individus malintentionnés utilisent pour diffuser des programmes malveillants ou pour organiser des escroqueries. Les auteurs de ces pages inventent sans cesse de nouvelles méthodes pour que les logiciels antivirus ne les découvrent pas.
Utilisation de la balise
