Dernière mise à jour le 22 décembre 2002

introduction  |  les vrais virus  |  les bobards  |  les chain-letters|  les pétitions  |  les spams

I. Les vrais virus
Pour se tenir au courant :

I.1 Les précautions de base

  • jetez Outlook Express, une saloperie Microsoft (tautologie ?) qui a des trous de sérité énormes. Il y a quantité de bons logiciels de messagerie, Eudora ou Mutt par exemple

  • mettez à jour vos antivirus tous les jours
    sur le serveur de Jussieu les dernières définitions
    http://www.ccr.jussieu.fr/ccr/telecharge/signatures/Default.htm

  • Les virus se propagent également en profitant du codage html des messages

  • ne lancez aucune application attachée à votre mail si vous n'en connaissez pas l'expéditeur

  • N'ouvrez aucun document reçu en attachement (texte, image, son) en double-cliquant sur son icône. Pour les fichiers de type texte, voir les précautions à prendre pour l'ouverture de fichiers Word d'origine inconnue

  • ne renvoyez pas les chain-letters

  • consultez plusieurs (car toutes n'ont pas les mêmes définitions) encyclopédies des virus pour savoir s'il s'agit d'un virus ou d'un bobard. Par exemple

I.2 Quelques virus récents

Les derniers à avoir frappé sont Klez, nimda , sircam , Navidad , VBS.LoveLetter (29 variantes), Kak, Melissa, Happy99.exe, Bubbleboy .

Warning : à chaque période de fêtes reviennent les virus qui se déguisent en cadeaux de Noël

On a connu Happy99.exe (un feu d'artifice), arrive maintenant Navidad

Ne venez pas vous plaindre d'être victime du ver Hybris si votre salacité est piquée par ce genre de mail

From: Hahaha <hahaha@sexyfun.net>
Subject: Blanche neige et ...les sexe nains

C'etait un jour avant son dix huitieme anniversaire. Les 7 nains, qui avaient
aide 'blanche neige' toutes ces annees apres qu'elle se soit enfuit de chez
sa belle mere, lui avaient promis une *grosse* surprise. A 5 heures comme
toujours, ils sont rentres du travail. Mais cette fois ils avaient un air
coquin...
au point de double-cliquer sans hésiter sur la pièce jointe (un nom du genre de sexynain.scr). Tant pis pour vous... Allez donc voir http://www.sexyfun.net/ (site d'info sur ce virus)

I.3 Les virus macros de Word (versions 6 et ultérieures)

Extrait d'un excellent (quoique déjà ancien) article de Sécurité Informatique n°18 (CNRS, février 98)

QUOTE

Cinq macro-virus occupent les premières places dans le palmarès des virus. Par ordre de fréquence de contamination :

  1. Cap : cinq fois plus d'incidents que le plus répandu des "virus-programmes" (AntiCmos).
  2. Laroux : cette famille sévit sur Excel5 à 7 (version Windows seulement).
  3. Concept : le premier du genre.
  4. Wazzu : cette famille a plus de cent variantes dans le monde. Dans sa version première, il modifiait les textes à l'ouverture d'un document : il déplaçait trois mots par tirage au sort (probabilité 0,2) et insérait "Wazzu" à des endroits aléatoires du texte. Ce macro-virus, représentant une page de code non encrypté, est facilement accessible par tous ceux qui ont reçu un document contaminé. Cela a donné des idées à certains d'où le nombre élevé de variantes.
  5. Npad : se diffuse actuellement très rapidement. La plupart de ses variantes se contentent d'afficher un texte à l'écran au bout d'un certain nombre de contaminations.
UNQUOTE

I.3.1 Texte Pasteur

From: Stephane Bortzmeyer <bortzmeyer@pasteur.fr> 
To: infosis@pasteur.fr
Subject: Conseils sur les versions de Microsoft Word 
Date: Wed, 24 Sep 97 09:22:40 +0200
Il semble que plusieurs problèmes liés aux dernières versions de Microsoft Word (et Excel) se développent :
En outre, ces dernières versions ont des consommation de ressources (mémoire, processeur, etc) nettement plus élevées. D'où les quelques conseils qui suivent, et un texte tout prêt à transmettre à vos correspondants s'ils vous envoient de tels fichiers. Si vos correspondants vous embêtent, vous pouvez leur transmettre ce petit texte, © Institut Pasteur mais de distribution libre :

Pourriez-vous avoir l'amabilité de ne pas m'envoyer des documents au format Microsoft Word tels que ceux que vous venez de m'adresser ? Tout le monde ne peut pas en effet les relire (autres logiciels, versions de Word plus anciennes). En outre, les versions de Word les plus récentes permettent aux documents d'être infestés par les virus "macros".
Sauf raison précise, merci d'envoyer plutôt :
  • du texte seul (option d'enregistrement "texte seul" de Word ou bien copier-coller depuis Word dans votre logiciel de courrier),

  • ou, si vous voulez préserver certains attributs comme le gras ou le souligné, du RTF (option d'enregistrement "RTF" de Word),

  • ou, en tout cas, au format d'une version de Word suffisamment ancienne pour que tout le monde puisse la lire.

Écrit par le Service d'Informatique Scientifique de l'Institut Pasteur

Annexe : les virus macros

Les "macros" ont été introduites récemment dans Microsoft Word ainsi que dans d'autres logiciels, comme Excel. Ce sont des petits programmes, attachés au document, et qui ont de nombreuses utilités pour automatiser des tâches répétitives. Mais la macro étant un programme, ce programme peut contenir un virus.
La diffusion des virus informatiques était limitée jusqu'à présent par le fait que peu d'utilisateurs échangent des programmes. Mais cela change avec les virus macros.

Les plus connus sont Concept, Laroux et Major.1644

Extrait de Atout Micro, un conseil que je n'ai pas testé :

Le meilleur moyen de se protéger de la plupart des virus de macros consiste à configurer le fichier NORMAL.DOT de Word pour qu'il ne puisse pas être modifié, autrement dit qu'il soit accessible en lecture seulement.
Sous Windows 95, vous vous rendez avec l'Explorateur dans le sous-répertoire WinWord de \MSOffice\, vous cliquez sur NORMAL.DOT avec le bouton droit de la souris. Dans le menu déroulant qui apparaît, vous cliquez sur Propriétés.
Dans la page de configuration du fichier, vous cochez la case Lecture seule en la cliquant puis vous cliquez Appliquer et OK.

Si vous voulez remercier l'oncle Stéphane de ses bons conseils : bortzmeyer@internatif.org

I.3.2 Texte Inrets

INRETS CIR
Auteurs : G. Le Blus et P-O. Flavigny
E-mail : leblus@inrets.fr, flavigny@inrets.fr
Date : 23/07/96
Rappel important à propos des virus dans les documents de Microsoft Word6

Comment peut-il y avoir un virus dans un document Word ?

Les versions actuelles de Word (6.0 et suivantes aussi bien sur les systèmes Apple Macintosh que MS-Windows 3.xx, 95 ou NT) incluent des possibilités de programmation qui ont très largement étendu les actions que l'on peut déclencher à partir des macro-instructions.
Ces macro-instructions peuvent être enregistrées à l'intérieur de tout document qui devient alors un "modèle", dans la terminologie de Word.
Les macro-instructions licites ont en général un nom en rapport avec leur service (par exemple fax, mail, ...) ; on les appelle par la suite de clicks : outils/macro/exécuter. Eventuellement on peut aussi les attacher à un raccourci-clavier ou à une icône de la barre d'outils.
Des macros-intructions peuvent s'installer "à la place" de certaines commandes de vos menus dont elles modifient le comportement (Fichier/Ouvrir, Ficher/Sauver ...). D'autre part Word exécute automatiquement, s'il les trouve dans un document, un certain nombre de macros au nom prédestiné (AutoOpen, AutoClose,...). Les virus Word utilisent une ou plusieurs de ces possibilités.
Les documents infectés peuvent être échangés en documents "attachés" au courrier électronique ou transportés par tout autre moyen (échange de disquette, ftp, fetch, transfert sur unix). Recevoir un courrier sous Eudora n'infecte pas la machine : c'est l'ouverture sous Word du document attaché qui déclenche l'infection. Elle peut par la suite se répandre plus ou moins rapidement..

Les méfaits

Il n'est pas possible de prédire les méfaits, mais il est à coup sûr suicidaire d'annoncer que tel ou tel virus est inoffensif. Il est vrai que certains des virus que nous avons rencontrés semblent s'être contentés de se reproduire, d'autres (mal programmés) bloquent le fonctionnement de Word. Il ne faut pour autant considérer que l'on peut vivre et travailler avec une machine infestée : par exemple un des virus attrapés détruit sur PC tous les fichiers .DOC après 20 sauvegardes !

Comment détecter la présence d'un virus ?

La première précaution est d'activer en permanence un anti-virus "à jour" en n'oubliant pas de bien choisir les réglages : il faut activer toutes les protections offertes, notamment examen de tous les fichiers et détection des virus inconnus. Si vous n'en disposez pas encore, voir plus bas "installation d'un anti-virus".
Plus spécifiquement pour Word de nouveaux virus apparaissent en permanence. Dans l'état actuel des moyens de protection, forcément décalés en retard, il convient donc d'adopter un comportement prudent.
Il FAUT vérifier périodiquement que de nouvelles macro-instructions ne s'ajoutent pas à votre configuration : lancez Word, créez un fichier par fichier/nouveau et consultez les macros disponibles par outils/macro, annulez pour continuer à travailler.
Sur Macintosh, quand vous présentez vos fichiers sous forme d'icônes, si une flèche orientée à droite apparaît au milieu de l'icône au lieu de la lettre W, elle indique que le fichier est un "modèle" et risque donc d'héberger un virus.
Plus généralement, toute "modification" du comportement de Word doit inquiéter : certains virus par exemple interdisent de sauver des fichiers ou font qu'une opération devient instantanée, ou ne fait plus bouger le disque dur comme avant !

Que faire quand on détecte l'infection ?

La première consigne est de ne plus exporter aucun fichier et de ne plus utiliser Word.
Il faut ensuite faire analyser tous les disques par un anti-virus à jour.
S'il reste des fichiers qui n'ont pas été détectés ou qui ont été signalés comme infectés mais que l'anti-virus n'a pas su corriger, votre premier devoir est de les transmettre à vos responsables micro pour qu'ils puissent les faire remonter chez les éditeurs d'anti-virus.
Enfin, une correction "manuelle" peut être tentée ; voici quelques consignes pour la mener à bien :
  1. Par précaution faites une copie du/des fichier(s) sur une disquette et transmettez-en un double aux responsables micro

  2. Lancez Word, créez un nouveau document, vérifiez qu'aucune macro-instruction n'est chargée (par outils/macro)..

  3. Utilisez la commande fichier/ouvrir pour choisir le fichier infecté et MAINTENEZ la touche majuscule enfoncée pendant que vous cliquez sur OK. Le document est alors chargé mais ses macros ne sont pas exécutées.

  4. Utilisez la commande outils/macro/organiser qui vous montre les macros contenues dans le document.

  5. Sélectionnez-les (faire apparaître leur nom en blanc sur fond noir) puis effacez-les.

  6. Enregistrez le document sous un autre nom.

  7. A ce stade le document n'est plus infecté mais apparaît toujours comme un modèle.

  8. Ouvrez le document sauvé en 6), sélectionnez tout, et copiez-le dans le Presse-papier (edition/selectionner tout, puis edition/copier)

  9. Ouvrez un nouveau document, collez-y le Presse-papier (edition/coller)

  10. Sauvegardez ce nouveau document.

Une seule solution : la rév^H^H^H^H^H^Hinstaller un anti-virus

Si vous ne l'avez pas encore fait, installez et activez l'un des anti-virus suivants : Voir le site de Symantec http://www.symantec.com/region/fr/avcenter/

La protection contre les virus n'est jamais définitive : veillez à avoir toujours la dernière version installée et active sur votre machine.
Procédez régulièrement à la mise a jour des définitions de virus (fonction Live Update du logiciel anti-virus, ou chargement à partir du site ouebbe de l'éditeur de logiciel).

Comment éviter la propagation de virus ?

Une attention toute particulière doit être portée aux machines qui accueillent des utilisateurs nomades (si respectables et gradés soient-ils).
Aucune machine ne devrait être accessible sans une protection raisonnable (mot de passe). Si vous ne savez comment la mettre en oeuvre, contactez les responsables micro.
Au delà de la stricte surveillance, voici quelques conseils de bon sens qui vous feront participer à la sécurité de tous :
  1. Lorsqu'il n'est pas nécessaire d'envoyer une exacte photocopie, contentez-vous de transmettre le fichier sauvé sous texte seul : chacun pourra le lire et vous ne propagerez pas Word.

  2. Word a prévu depuis longtemps un format de transport : Rich Text Format ou RTF. Ce format n'est pas susceptible de transporter les virus qui nous occupent ici. Les enrichissements usuels (titres, gras, italique, etc.) sont eux très fidèlement conservés.

  3. Indiquez, quand vous transmettez un fichier, sa taille exacte dans le message d'accompagnement : cette précaution sera très utile pour détecter une altération du fichier au cours du transport.

  4. N'ouvrez jamais un fichier "inconnu". Si vous devez le faire NE DOUBLE-CLIQUEZ JAMAIS SUR L'ICÔNE DU FICHIER : utilisez toujours l'ouverture par fichier/ouvrir en maintenant la touche majuscule enfoncée.

  5. Si vous avez un programme ou une application dont vous ne savez que faire ne l'essayez pas "pour voir".

  6. Si vous recevez un fichier compressé (par quelque outil que ce soit) ne le décompressez pas avant d'avoir vérifié les fichiers qu'il contient .
introduction  |  les vrais virus  |  les bobards  |  les chain-letters|  les pétitions  |  les spams