Votre boîte de réception est un champ de mines. Il ne s’agit pas seulement de spam et de newsletters ; c’est un système de distribution d’agents pathogènes numériques. Chevaux de Troie. Des vers. Virus. Ces attachements ne restent pas là. Ils attendent.
La plupart des logiciels malveillants transmis par courrier électronique ne sont pas de « vrais » virus au sens biologique du terme. Il ne peut pas se reproduire tout seul. Il a besoin de vous. Il a besoin de votre curseur pour se déplacer, de votre doigt pour cliquer et de votre autorisation pour s’exécuter. Mais c’est précisément cette interaction humaine qui les rend si dévastatrices pour les principaux systèmes de messagerie.
Un cheval de Troie se cache dans un emballage apparemment inoffensif. Pensez au cheval de bois de l’Iliade. La pièce jointe semble normale. Cela peut provenir d’un contact que vous connaissez ou d’un inconnu avec un objet intelligent. Le nom du fichier peut être trompeur. Vous l’ouvrez. Ça marche. Soudain, vos fichiers sont effacés, votre bureau est modifié et le malware se copie sur toutes les personnes figurant dans votre carnet d’adresses. C’est une réaction en chaîne. Et cela commence en un seul clic.
Les mécanismes des pièces jointes malveillantes
Pour comprendre la menace, vous devez voir comment ces programmes fonctionnent dans la nature. Symantec a documenté plusieurs exemples notoires qui illustrent l’éventail des dommages possibles.
Prenez Worm.ExploreZip. Ce n’est pas seulement une nuisance. C’est un ver doté d’une charge utile destructrice. Il cible Microsoft Outlook, Outlook Express et Exchange. Il n’attend pas que vous ouvriez un message spécifique. Il répond aux messages non lus dans votre boîte de réception et se propage vers l’extérieur. Il analyse les lecteurs mappés et les machines en réseau pour les installations Windows. Une fois qu’il a trouvé une cible, il se copie dans le répertoire Windows et modifie le fichier « WIN.INI » pour garantir son exécution au démarrage.
La charge utile est brutale. Il recherche les fichiers avec des extensions telles que « .h », « .c », « .cpp », « .asm », « .doc », « .ppt » et « .xls ». Cela les détruit. Sur votre disque dur. Sur les lecteurs mappés. Sur n’importe quelle machine réseau à laquelle il peut accéder. Il ne s’agit pas d’un événement ponctuel. Cela se produit à chaque fois que le ver s’exécute jusqu’à ce qu’il soit supprimé.
Vous pourriez le recevoir sous forme de pièce jointe nommée « zipped_files.exe ». Il se fait passer pour un fichier zip auto-extractible standard. Mais lorsque vous l’exécutez, il se copie dans votre répertoire système Windows sous le nom « Explore.exe » ou dans votre répertoire Windows sous le nom « _setup.exe ». Il modifie votre registre ou « WIN.INI » afin que « Explore.exe » se lance automatiquement lorsque vous démarrez Windows.
C’est ainsi que fonctionnent les virus de courrier électronique. Ils exploitent la confiance. Ils exploitent la commodité. Et ils exploitent le fait que vous vous attendez à ce que les pièces jointes soient sûres.
Quand vous n’avez même pas besoin de cliquer
Certains malwares sont plus agressifs. Il n’est pas nécessaire que vous détachiez et exécutiez un fichier. Il vous suffit d’ouvrir l’e-mail.
VBS.BubbleBoy en est un excellent exemple. Il fonctionne sous Windows 98 et Windows 2000. Il peut fonctionner sous Windows 95 si Windows Scripting Host est installé. Il cible les versions anglaise et espagnole du système d’exploitation. Cela ne fonctionne pas sous Windows NT.
La clé est Microsoft Outlook (ou Express) associé à Internet Explorer 5. Le ver exploite une faille de sécurité connue dans cette combinaison. Lorsque vous consultez l’e-mail, le ver insère un fichier de script appelé « UPDATE.HTA ». Vous n’êtes pas obligé de cliquer sur quoi que ce soit. Vous n’êtes pas obligé d’enregistrer une pièce jointe. Le simple fait de visualiser le message déclenche l’infection.
UPDATE.HTA est placé dans le dossier Program-StartUp du menu Démarrer. La routine d’infection ne s’exécute pas immédiatement. Il attend que vous redémarriez votre ordinateur. Une fois cela fait, le script utilise MS Outlook pour envoyer le ver à toutes les personnes figurant dans votre carnet d’adresses. Corriger la faille de sécurité dans Outlook/IE5 arrête la propagation. Mais combien d’utilisateurs utilisent encore des navigateurs et des clients obsolètes ?
Microsoft dispose d’informations détaillées sur ce ver. Mais lire ce sujet ne vous protégera pas. L’action sera.
Arrêter la propagation
Les définitions de virus sont inutiles si elles sont anciennes. Gardez votre logiciel antivirus à jour. Téléchargez les dernières signatures de virus auprès du fournisseur. Les logiciels antivirus ne peuvent pas détecter de nouveaux virus sans ces mises à jour.
Si vous utilisez Norton AntiVirus, assurez-vous qu’Auto-Protect est activé. Les versions actuelles vous alertent lorsque les fichiers de signature datent de plus de 30 jours. LiveUpdate de Norton peut automatiser ce processus. Mais l’automatisation ne fonctionne que si vous la laissez faire.
Si vous pensez que votre PC est infecté, si vous remarquez que votre courrier électronique envoie des messages à des personnes que vous n’avez pas contactées, agissez vite. Appelez ces gens. Dites-leur de ne pas ouvrir les messages. Dites-leur de ne pas ouvrir les pièces jointes. C’est le seul moyen efficace d’arrêter la propagation. Vous faites partie du protocole de confinement.
Ce que vous devez savoir sur les vers
Le terme « ver » est souvent utilisé de manière vague. Clarifions ce que cela signifie en matière de cybersécurité.
Un ver de partage de fichiers est un malware conçu pour se propager via les réseaux de partage de fichiers. Il se copie dans tous les dossiers partagés auxquels il peut accéder. Une fois infecté, il tente de se propager à d’autres ordinateurs du même réseau. Ces vers causent des dégâts importants car ils se déplacent rapidement sur de grands réseaux.
Un ver en ligne se propage automatiquement en envoyant des copies à d’autres ordinateurs du même réseau. Il n’a pas besoin d’un fichier hôte ni d’un utilisateur sur lequel cliquer. Il lui faut juste une connexion.
Un ver de cybersécurité est un malware capable de s’auto-répliquer et de causer des dommages. Il n’est pas nécessaire de s’attacher à un programme. Il est autonome.
Les vers peuvent-ils être envoyés par courrier électronique ? Oui. Certains vers se propagent via les pièces jointes des e-mails. D’autres se propagent via des liens dans des messages électroniques. Ils peuvent également se propager via des messages instantanés ou des publications sur les réseaux sociaux. Le vecteur change. L’intention reste la même.
Gardez votre logiciel à jour. Gardez vos définitions à jour. Et n’oubliez pas que votre boîte de réception n’est pas un environnement fiable. Chaque pièce jointe est un cheval de Troie potentiel. Chaque lien est un piège potentiel. La seule question est de savoir si vous avez mis à jour vos défenses à temps.
