Les virus informatiques sont un cauchemar logistique. Ils peuvent effacer votre disque dur. Ils peuvent obstruer le trafic réseau pendant des heures. Ils peuvent transformer votre machine innocente en zombie, se répliquer et envoyer des copies à tous les contacts de votre carnet d’adresses.
Si vous n’avez jamais vu une machine être victime, vous vous demandez peut-être de quoi il s’agit. L’inquiétude est valable. Consumer Reports a estimé que les virus informatiques ont contribué à 8,5 milliards de dollars de pertes pour les consommateurs rien qu’en 2008. Elles ne représentent qu’une part du gâteau des menaces en ligne, mais elles sont sans doute les plus connues.
La théorie avant les logiciels malveillants
Les virus informatiques existent depuis des décennies. Le concept est en fait antérieur à l’Internet moderne. En 1949, le scientifique John von Neumann a émis l’hypothèse que des programmes auto-réplicatifs étaient possibles. L’industrie informatique avait à peine dix ans. Quelqu’un avait déjà compris comment mettre une clé dans les engrenages.
Il a fallu encore quelques décennies aux programmeurs connus sous le nom de hackers pour les construire.
Les premiers programmes de type virus ciblaient les grands ordinateurs centraux. Mais l’ordinateur personnel a tout changé. Cela a porté la menace aux yeux du public. Fred Cohen, doctorant, a été le premier à décrire les programmes auto-réplicatifs conçus pour modifier les ordinateurs comme des « virus ». Le nom est resté.
Des disquettes aux chaînes de courrier électronique
Au début des années 1980, la propagation des virus dépendait du travail humain. Un pirate informatique enregistrerait le code sur une disquette. Ils distribueraient le disque. Vous le brancheriez. L’infection s’est installée.
La transmission des virus n’est devenue un réel problème que lorsque les modems sont devenus courants. Aujourd’hui, on imagine des virus informatiques se propager via Internet. Ils infectent les ordinateurs via des messages électroniques ou des liens Web corrompus. Ces versions numériques évoluent beaucoup plus rapidement que les premières versions physiques.
Nous allons examiner 10 des pires virus informatiques capables de paralyser un système. Commençons par le virus Melissa.
10 : Mélissa
David L. Smith n’a pas seulement écrit du code ; il a écrit un marqueur culturel pour l’aube de l’ère d’Internet. Au printemps 1999, il a conçu un macrovirus Microsoft Word qui allait devenir l’une des premières menaces numériques à véritablement captiver l’imagination du public. Smith l’a nommé Melissa, tirant le surnom d’une danseuse exotique qu’il a connue en Floride. Le choix était ironique, étant donné le comportement du virus, qui était bien moins une question d’attrait que de réplication agressive et automatisée.
Les mécanismes de l’infection étaient simples mais d’une efficacité dévastatrice. Le virus s’est déguisé dans un message électronique dont l’objet était “Voici le document que vous avez demandé, ne le montrez à personne d’autre”. Il a joué sur la curiosité et le secret, deux choses que les gens sont notoirement incapables de garder dans un cadre professionnel. Lorsqu’un destinataire ouvrait le document joint, la macro s’activait. Il n’est pas resté là. Il a récupéré le carnet d’adresses Outlook de la victime et a envoyé des copies de lui-même aux cinquante principaux contacts.
Le virus Melissa et la réponse du gouvernement
La propagation était exponentielle. En quelques jours, les administrateurs réseau étaient noyés dans le trafic. Le gouvernement fédéral des États-Unis en a pris note. Selon les déclarations faites par les responsables du FBI au Congrès, le virus Melissa a fait des ravages dans les réseaux gouvernementaux et privés. Le volume considérable d’e-mails infectés a entraîné l’enlisement des serveurs de messagerie. Certaines entreprises ont été contraintes d’abandonner complètement leurs programmes de messagerie électronique jusqu’à ce que la propagation puisse être contenue.
Smith a finalement été arrêté. Les conséquences juridiques ont été rapides et graves. Après un long procès, Smith a perdu son procès et a été condamné à 20 mois de prison. Le tribunal a également infligé à Smith une amende de 5 000 $ et lui a interdit d’accéder aux réseaux informatiques sans autorisation du tribunal. Même si Melissa n’a pas paralysé l’Internet mondial de manière permanente, cela a servi de sonnette d’alarme. Cela a prouvé que le code écrit pour la productivité au bureau pouvait être utilisé comme arme pour mettre à genoux l’infrastructure de l’entreprise.
Saveurs de virus
Pour comprendre pourquoi Melissa était si dangereuse, il faut regarder comment les logiciels malveillants sont classés. La plupart des gens utilisent le terme « virus » comme un fourre-tout, mais les distinctions techniques sont importantes pour la défense et la compréhension.
- Virus informatique : Il s’agit du terme général désignant les programmes qui modifient le fonctionnement d’un ordinateur, endommageant souvent des fichiers ou des systèmes. Un vrai virus nécessite un programme hôte pour fonctionner correctement. Melissa a utilisé un document Word comme hôte. Cela ne pouvait pas exister indépendamment.
- Ver : contrairement à un virus, un ver ne nécessite pas de programme hôte. Il s’agit d’une application autonome qui peut se répliquer et s’envoyer directement via les réseaux informatiques. Il est plus rapide, autonome et souvent plus difficile à arrêter car il n’a pas besoin d’un utilisateur pour ouvrir un fichier.
- Cheval de Troie : ces programmes prétendent faire une chose mais en font en réalité une autre. Ils peuvent ressembler à des logiciels ou à des jeux légitimes. Une fois installés, ils peuvent endommager le disque dur d’une victime ou créer une porte dérobée, permettant à un utilisateur distant d’accéder au système informatique de la victime.
Comprendre ces différences n’est pas seulement académique. Cela change la façon dont vous protégez vos données. Si vous savez qu’une menace est un ver, concentrez-vous sur les ports réseau et les pare-feu. S’il s’agit d’un cheval de Troie, vous vous concentrez sur la formation des utilisateurs et la vérification de la source.
Virus de la vieille école
Avant Melissa, il y avait d’autres infections précoces. Parmi les premiers virus à infecter les ordinateurs personnels, citons les virus Apple, qui ont attaqué les ordinateurs Apple II dans les années 1980. Il s’agissait moins de destruction massive que d’expérimentation, mais ils ont jeté les bases de tout ce qui a suivi. L’évolution de simples farces vers un code destructeur de réseau comme celui de Melissa a marqué un changement d’intention. Les acteurs malveillants ne se contentaient pas de se montrer ; ils testaient les limites de la connectivité.
9 : JE VOUS AIME
Le modèle établi par Melissa n’a pas disparu. Cela a évolué. Quelques années plus tard, une autre menace véhiculée par courrier électronique allait émerger, qui éclipserait Melissa en termes d’impact mondial. Il
Cela faisait exactement un an que le virus Melissa avait déferlé sur le paysage numérique. La prochaine menace majeure ne venait pas des suspects habituels. Il est originaire des Philippines.
Ce n’était pas un macrovirus comme Melissa. C’était un ver. Autonome. Auto-réplication. Il portait un nom qui allait devenir tristement célèbre : ILOVEYOU.
Le mécanisme de livraison était d’une simplicité trompeuse. Comme son prédécesseur, il voyageait par courrier électronique. La ligne d’objet était un crochet : “Lettre d’amour d’un admirateur secret”. La pièce jointe ? LETTRE- D’AMOUR-POUR-VOUS.TXT.vbs.
Cette extension .vbs était le signe révélateur. Il faisait référence à Visual Basic Scripting, le langage utilisé par le créateur pour construire le moteur de destruction.
McAfee a ensuite répertorié toute l’étendue des dégâts. Le ver ne s’est pas contenté de se copier. Il a enterré des copies dans divers dossiers du disque dur. Il a injecté de nouvelles entrées dans le registre Windows. Il a écrasé des types de fichiers spécifiques avec son propre code. Il s’est propagé via les clients IRC (Internet Relay Chat), et pas seulement par courrier électronique.
Et puis il y avait la charge utile.
Le ver a téléchargé un fichier nommé WIN-BUGSFIX.EXE. Il a exécuté le programme. Le nom impliquait un outil de réparation du système. En réalité, il s’agissait d’un voleur de titres de compétences. Il a récupéré les mots de passe et autres données sensibles, puis a envoyé le butin directement au pirate informatique.
Le créateur et le coût
Qui a construit ça ? La plupart des regards étaient tournés vers Onel de Guzman, un étudiant philippin.
Les autorités philippines ont enquêté sur lui pour vol. Le système juridique présentait cependant une lacune. À l’époque, les Philippines n’avaient pas de lois traitant spécifiquement de l’espionnage ou du sabotage informatique. Sans les lois appropriées auxquelles le condamner, les accusations ont été abandonnées.
De Guzman n’a jamais confirmé son rôle. Il ne l’a jamais nié non plus.
Le bilan financier était énorme. Les estimations évaluent les dégâts à 10 milliards de dollars à l’échelle mondiale. Cela reste l’une des cyberattaques les plus coûteuses de l’histoire.
La fausse menace : les canulars de virus
La fête de l’amour étant terminée, le monde numérique a été confronté à un autre type de bruit. Pas de malware. Pas des vers.
Canulars de virus.
Ce ne sont pas de vraies menaces. Ils ne se reproduisent pas. Ils ne corrompent pas les données. Il s’agit d’avertissements fabriqués de toutes pièces, destinés à paniquer les utilisateurs et les médias. Le but est l’attention. L’effet est la fatigue.
Considérez la dynamique du « garçon qui criait au loup ». Lorsque chaque e-mail prétend être un virus mortel et imparable, les gens commencent à ignorer les alertes. Finalement, lorsqu’une menace réelle survient, les signes avant-coureurs sont rejetés comme n’étant qu’un canular de plus.
Cela crée une couche de scepticisme que les pirates peuvent exploiter. Si vous ne pouvez pas distinguer ce qui est réel, vous êtes vulnérable à tout.
Le virus Klez
Le prochain chapitre de cette ère de panique numérique généralisée impliquait un virus dont le nom est resté : Klez.
Le virus Klez est arrivé fin 2001 et a marqué un changement dans la façon dont les menaces opèrent. Cela n’a pas seulement infecté ; il s’est propagé avec une sophistication qui manquait aux logiciels malveillants précédents. Des variations ont tourmenté les réseaux pendant des mois, établissant une nouvelle norme en matière de vitesse et de furtivité.
Le mécanisme de base était simple mais dévastateur. Le ver est entré par e-mail. Une fois à l’intérieur, il a répliqué et utilisé le carnet d’adresses de la victime pour envoyer des copies aux contacts. Mais ce n’était pas seulement une nuisance. Certaines versions regroupaient des charges utiles destructrices susceptibles de paralyser les systèmes. Cela mélangeait les comportements. Dans certains cas, il s’est comporté comme un virus traditionnel. Dans d’autres, il s’est comporté comme un ver ou un cheval de Troie.
L’aspect le plus dangereux ? Klez pourrait désactiver le logiciel antivirus. Il a même usurpé l’identité d’outils de suppression pour inciter les utilisateurs à désactiver leurs propres défenses.
L’art de l’usurpation d’identité
Les pirates ont rapidement affiné le code. Ils ont réalisé que le simple fait d’envoyer des e-mails ne suffisait pas. Ils devaient contourner le scepticisme humain.
Entrez dans l’usurpation d’identité.
Le virus a modifié le champ « De ». Il n’a pas seulement envoyé de lui-même. Il a extrait un nom aléatoire de la liste de contacts de la victime et a utilisé cette adresse. L’e-mail semble provenir d’un ami, d’un collègue ou d’une entité connue.
Cette tactique avait plusieurs objectifs. Bloquer l’expéditeur était inutile. La véritable source était cachée. Une victime ne pouvait pas simplement bloquer l’adresse de son client parce que l’adresse était fausse. Le spam pourrait rapidement encombrer une boîte de réception. Les destinataires n’avaient aucun moyen de retracer la véritable origine.
La reconnaissance a joué un rôle psychologique. Les gens sont plus susceptibles d’ouvrir les e-mails de contacts connus. Si le champ « De » affichait un nom de confiance, la garde du destinataire tombait. Ils ont cliqué. Le ver s’est propagé.
Se défendre contre le spread
La protection nécessite une stratégie. Vous avez besoin d’un logiciel antivirus. Vous devez le garder à jour. Les règles sont strictes. N’installez pas plusieurs suites. Les programmes qui se chevauchent interfèrent. Ils sont en conflit. Ils ralentissent votre système. Ils créent des vulnérabilités.
Plusieurs menaces majeures sont apparues en 2001. Le paysage était en train de changer.
Les outils courants de défense comprenaient :
-AvastAntivirus
-AVG Antivirus
– Kaspersky Anti-Virus
-McAfee VirusScan
– Norton AntiVirus
Garder l’un de ces éléments actif et à jour est la base de référence. Rien de plus. Rien de moins.
Au-delà de Klez
Le Web a évolué. Les menaces ont évolué plus rapidement.
7 : Code Rouge et Code Rouge II
La vague suivante a ciblé les serveurs. L’accent s’est déplacé des utilisateurs individuels vers l’infrastructure. Les implications étaient plus larges. Les dégâts étaient plus profonds.
L’été 2001 a apporté deux menaces distinctes : le Code Red original et sa suite, Code Red II. Les deux visaient la même faille. Plus précisément, ils ont exploité une vulnérabilité de débordement de tampon dans les systèmes Windows 2000 et Windows NT. Lorsque ces machines recevaient plus de données que leurs tampons ne pouvaient en gérer, la mémoire adjacente était écrasée. Le résultat fut un krach ou, pire encore, une prise de contrôle.
L’attaque de la Maison Blanche et la compromission du système
Le premier ver avait un programme clair. Il a lancé une attaque par déni de service distribué (DDoS) contre les serveurs Web de la Maison Blanche. Les ordinateurs infectés du monde entier ont simultanément envoyé une requête ping à la même cible. L’objectif était simple : surcharger les machines jusqu’à ce qu’elles ne répondent plus.
Code Red II était différent. Cela n’a pas seulement fait planter les systèmes. Cela a créé une porte dérobée dans le système d’exploitation. Cela a permis aux utilisateurs distants d’accéder et de contrôler la machine compromise. En termes techniques, il s’agit d’un compromis au niveau du système. Le propriétaire perd toute autorité sur son propre matériel.
Les implications sont graves. Un attaquant peut accéder à des informations personnelles ou utiliser l’ordinateur infecté pour commettre des crimes. La victime n’est pas seulement confrontée à un PC cassé. Ils risquent également d’être soupçonnés par la police pour des crimes qu’ils n’ont pas commis.
Windows NT contre Windows 2000
Toutes les machines n’ont pas souffert de la même manière. Les systèmes Windows NT étaient en effet vulnérables. Toutefois, l’impact a été moins extrême. Les serveurs Web exécutant Windows NT peuvent tomber en panne plus fréquemment que d’habitude. Mais c’est en grande partie l’étendue des dégâts. Comparés à la perte totale de contrôle subie par les utilisateurs de Windows 2000, les utilisateurs de NT s’en sont sortis relativement facilement.
Le dilemme des patchs
Microsoft a publié des correctifs pour corriger la faille de sécurité sous-jacente dans les deux systèmes d’exploitation. Une fois corrigés, les vers d’origine ne pouvaient plus infecter les nouvelles machines Windows 2000. Mais il y avait un piège. Le correctif n’a pas supprimé les virus existants. Les victimes devaient nettoyer elles-mêmes leurs systèmes.
Que faire en cas d’infection
Découvrir que votre ordinateur est infecté est stressant. La bonne réponse dépend du malware spécifique. De nombreux programmes antivirus peuvent supprimer les virus d’un système infecté. Mais si le virus a corrompu des fichiers ou des données, vous devez restaurer à partir de sauvegardes.
C’est pourquoi les sauvegardes régulières ne sont pas négociables. Pour les vers comme Code Red, un simple nettoyage ne suffit pas. Il est conseillé de reformater complètement le disque dur et de repartir à zéro. Certains vers permettent à d’autres logiciels malveillants de se charger sur votre ordinateur. Une analyse antivirus standard pourrait manquer ces menaces secondaires.
6 : Nimda
Le ver Nimda : vitesse et gravité
Si vous regardiez les journaux du serveur en 2001, Nimda vous a probablement pris au dépourvu. Le nom n’était pas aléatoire. Il s’agit de « admin » épelé à l’envers, une subtile fouille dans les privilèges système que le ver cherchait à exploiter. Selon Peter Tippett, alors directeur technique de TruSecure, Nimda a fait son apparition sur Internet et s’est hissé au sommet des attaques signalées en seulement 22 minutes. Ce n’est pas une faute de frappe. Vingt-deux minutes pour devenir le virus informatique qui se propage le plus rapidement de son époque.
La plupart des logiciels malveillants veulent vos données personnelles. Nimda voulait de la bande passante.
Ses principales cibles étaient les serveurs Internet. Même si un ordinateur personnel pouvait être infecté, le véritable objectif du ver était d’étouffer le trafic. Il a transformé les machines infectées en nœuds zombies, exécutant efficacement une attaque par déni de service distribué (DDoS) en grand volume. Le ver était une hydre à plusieurs têtes. Il se propage via les pièces jointes des e-mails, les serveurs Web vulnérables et les lecteurs réseau partagés. Cette approche multi-vecteurs signifiait qu’elle ne frappait pas seulement à une seule porte ; il a brisé toutes les fenêtres du bâtiment.
Une fois à l’intérieur, Nimda a creusé une porte dérobée dans le système d’exploitation. Le niveau d’accès accordé dépend entièrement de l’utilisateur qui l’a déclenché. Si un utilisateur standard doté de privilèges limités cliquait sur le mauvais fichier, l’attaquant obtenait un accès limité. Si un administrateur était connecté, l’attaquant prenait le volant. Contrôle total. Exécution à distance. Le ver a mangé les ressources du système jusqu’à ce que les systèmes réseau s’effondrent sous le poids.
Au-delà du PC : menaces portables
Tous les logiciels malveillants ne résident pas sur votre bureau. Certains ciblent les appareils que vous transportez dans votre poche ou votre sac.
Au milieu des années 2000, le paysage des menaces s’est orienté vers la portabilité. CommWarrior a ciblé les smartphones exécutant le système d’exploitation Symbian, se propageant via Bluetooth et MMS. Il ne s’est pas contenté de se copier ; il a enregistré les données utilisateur et supprimé les fichiers. Une autre menace Symbian, le virus Skulls, était plus visuelle que destructrice. Il a remplacé l’écran d’accueil du téléphone par une image de crânes, transformant un appareil de communication en un panneau d’affichage numérique d’horreur.
Les périphériques de stockage sont également devenus des vecteurs. RavMonE.exe a infecté les lecteurs MP3 iPod produits entre le 12 septembre 2006 et le 18 octobre 2006. Le virus s’est caché dans les fichiers musicaux, attendant de passer à un ordinateur lors de la synchronisation. Ce n’était pas théorique. Fox News a rapporté en mars 2008 que certains gadgets électroniques avaient quitté l’usine avec des virus préinstallés. Vous n’aviez pas besoin de télécharger quoi que ce soit. Il vous suffisait de brancher l’appareil sur votre machine et de le synchroniser.
La frontière entre vulnérabilité matérielle et vulnérabilité logicielle s’est estompée. Un gadget bon marché pourrait être un cheval de Troie.
SQL Slammer et la vague Sapphire
La prochaine grande vague de destruction a ciblé l’infrastructure de données. SQL Slammer, également connu sous le nom de Sapphire, ne reposait pas sur l’interaction de l’utilisateur. Il n’était pas nécessaire que vous cliquiez sur un e-mail ou que vous insériez un iPod compromis.
Il exploitait une vulnérabilité de débordement de tampon dans Microsoft SQL Server. Plus précisément, il ciblait les versions 7.0 et 2000 qui n’avaient pas appliqué les derniers correctifs de sécurité. Le ver était minuscule. Seulement 370 octets. Cette petite taille lui permettait de tenir dans un seul paquet UDP, ce qui le rendait incroyablement efficace en termes de propagation.
Une fois qu’il a trouvé un serveur vulnérable, il a analysé des adresses IP aléatoires par rafales. La vitesse était terrifiante. Le ver s’est propagé si rapidement qu’il a submergé l’infrastructure réseau avant même que de nombreux administrateurs puissent identifier la menace. Les grands réseaux se sont effondrés. Les ordinateurs des compagnies aériennes sont devenus éteints. Les guichets automatiques des banques ont cessé de traiter les transactions. Internet lui-même a ralenti à un rythme effréné.
SQL Slammer démontré
C’était fin janvier 2003. Internet semblait fragile. Un nouveau virus de serveur Web a ravagé le réseau, exploitant un manque fondamental de préparation. Les résultats furent immédiats et chaotiques. Le réseau ATM de Bank of America est devenu éteint. Le service d’urgence 911 de Seattle a connu des pannes importantes. Continental Airlines a immobilisé ses vols en raison d’une panne de ses systèmes électroniques de billetterie et d’enregistrement.
La cause ? SQL Slammer, également connu sous le nom de Sapphire.
L’estimation des dégâts dépassait le milliard de dollars. Ce chiffre est stupéfiant pour 2003. La véritable horreur était la rapidité de l’attaque. Quelques minutes après avoir atteint son premier serveur, le virus a doublé le nombre d’hôtes infectés toutes les quelques secondes. Au bout de quinze minutes, près de la moitié de l’infrastructure critique des serveurs Internet avait été compromise. C’était une course contre la montre à laquelle Internet a à peine survécu.
Pourquoi SQL Slammer a changé les paradigmes de sécurité
La leçon de Slammer ne concernait pas seulement la vulnérabilité. C’était une question de temps de réponse. Vous ne pouvez pas compter uniquement sur les derniers correctifs ou signatures antivirus. Les pirates recherchent des faiblesses inconnues – des failles zéro jour qui n’ont pas encore été divulguées. Même si l’application de correctifs reste essentielle, l’attaque Slammer a prouvé qu’un plan de reprise après sinistre est nécessaire. Vous devez survivre le moment avant l’arrivée du correctif.
Ce changement de mentalité a mis en évidence l’importance de la résilience plutôt que de la prévention pure. La vulnérabilité elle-même était moins importante que la rapidité avec laquelle elle se propageait.
Une question de timing : l’essor des logiciels malveillants déclenchés par le temps
Tous les virus ne frappent pas immédiatement. Certains sont programmés pour dormir. Ils attendent. Ils restent en sommeil sur la machine d’une victime jusqu’à ce qu’une date spécifique déclenche leur charge utile. Cette tactique a ajouté une couche de guerre psychologique aux cyberattaques. On ne savait jamais quand le temps allait s’écouler.
L’histoire offre un sombre catalogue de ces menaces temporelles :
- Le virus de Jérusalem : Activé tous les vendredis 13, corrompant les données du disque dur.
- Le virus Michelangelo : Déclenché le 6 mars 1992, jour de l’anniversaire de l’artiste italien (né le 6 mars 1475).
- Le virus de Tchernobyl : Lancé le 26 avril 1999, jour du 13e anniversaire de la catastrophe nucléaire.
- Le virus Nyxem : Fichiers supprimés des ordinateurs infectés le troisième de chaque mois.
Ces exemples montrent que les logiciels malveillants peuvent être patients. Cela peut attendre que vous baissiez votre garde. Le sentiment d’impuissance que cela crée est puissant. Vous êtes vulnérable. Vous êtes découragé.
Ce paysage émotionnel prépare le terrain pour la prochaine menace majeure. Un virus dont le nom résume parfaitement ces sentiments.
4 : Mon Destin
MyDoom, également connu sous le nom de Novarg, n’a pas seulement infecté des machines. Il a installé une porte dérobée. Cela a donné aux attaquants un accès persistant au système d’exploitation longtemps après l’infection initiale. La souche originale avait un calendrier brutal. Deux déclencheurs spécifiques ont dicté son comportement.
Le premier déclencheur a lancé une attaque par déni de service (DoS) contre les serveurs du groupe SCO le 1er février 2004. La deuxième commande a stoppé la propagation du ver le 12 février 2004. Même si la distribution s’est arrêtée, les portes dérobées sont restées ouvertes. Les victimes sont restées vulnérables au contrôle à distance.
L’attaque des moteurs de recherche
Plus tard en 2004, MyDoom a encore frappé. Cette fois, il ciblait les sociétés de moteurs de recherche. Le ver a analysé les disques durs locaux à la recherche d’adresses e-mail. Il a ensuite utilisé ces adresses pour remplir les requêtes de recherche. Il envoyait ces requêtes aux moteurs de recherche comme Google.
Le résultat fut le chaos. Des ordinateurs corrompus ont inondé Google de millions de requêtes de recherche automatisées. Le volume même du trafic a ralenti les services. Dans certains cas, cela a provoqué des crashs. Ce n’était pas un comportement typique d’un virus. Cela a transformé les appareils des utilisateurs en armes contre les infrastructures.
Furtivité et échelle
MyDoom s’est déplacé via les réseaux de courrier électronique et peer-to-peer. La société de sécurité MessageLabs a rapporté qu’un e-mail sur douze contenait le ver à son apogée. Le ver a usurpé les adresses des expéditeurs. Cela rendait presque impossible le suivi de l’origine. Cela reflétait la tactique du virus Klez. L’usurpation d’identité a créé de la confusion et ralenti les temps de réponse.
Virus bizarres et astuces inoffensives
Toutes les menaces ne détruisent pas les données. Certains virus rendent les ordinateurs bizarres. Le virus Ping-Pong a créé un graphique de balle rebondissante. Cela n’a pas fait de réels dégâts. Il s’agissait d’une nuisance visuelle et non d’une force destructrice.
De nombreux « virus » sont en réalité des programmes farfelus. Ils imitent les symptômes de l’infection mais ne se reproduisent pas. Ils peuvent geler l’écran ou afficher d’étranges pop-ups. Ce sont des applications inoffensives. Si vous soupçonnez une infection, laissez un logiciel antivirus s’en occuper. Ne présumez pas que tout comportement étrange est un virus.
La connexion Sasser et Netsky
Le chapitre suivant concerne deux menaces spécifiques. Ils partagent un créateur commun. Le ver Sasser et le virus Netsky sont issus du même pirate informatique. Leur impact a été distinct mais tout aussi important dans l’évolution des logiciels malveillants.
Les auteurs de virus restent généralement dans l’ombre. Ils élaborent leur code, le publient et disparaissent dans l’éther numérique. Mais parfois, la piste devient froide pour personne sauf pour les autorités. Les vers Sasser et Netsky sont la preuve qu’il n’est pas toujours possible de se cacher à la vue de tous. Les experts en sécurité ont retracé les deux à une seule source : un Allemand de 17 ans nommé Sven Jaschan.
Le code racontait l’histoire. Les vers ont agi différemment, bien sûr. Mais les empreintes digitales dans le code source étaient identiques. Même logique. Mêmes bizarreries. Mêmes mains.
La simplicité brutale du ver Sasser
Sasser ne s’est pas soucié de l’ingénierie sociale. Il n’était pas nécessaire que vous cliquiez sur un lien ou que vous ouvriez une pièce jointe étrange. Elle a trouvé ses victimes par la force.
Le ver exploitait une vulnérabilité de Microsoft Windows. Plus précisément, il ciblait le service LSASS. Une fois à l’intérieur, il s’est mis au travail. Il a analysé des adresses IP aléatoires, à la recherche d’autres machines vulnérables. Lorsqu’il en a trouvé un, il n’a pas envoyé d’e-mail. Il s’est connecté directement et a demandé au nouvel hôte de télécharger le ver.
Puis vint le tournant. Sasser a modifié le système d’exploitation de la victime. Il a désactivé la possibilité d’arrêter ou de redémarrer l’ordinateur via les canaux normaux. La seule façon d’arrêter le chaos était de réinitialiser la machine. Retirez la fiche. Il s’agissait d’une attaque par déni de service intégrée à la structure même du système d’exploitation infecté.
Le moteur anti-spam de Netsky
Netsky a joué un jeu différent. Il s’est déplacé via les réseaux de messagerie et Windows. Il a usurpé les adresses e-mail pour donner l’impression que les messages sont légitimes. La charge utile ? Une pièce jointe d’une taille exacte de 22 016 octets.
À mesure que Netsky se propageait, les réseaux étaient saturés. Les systèmes se sont effondrés sous le poids du trafic. Il a effectivement lancé une attaque par déni de service (DoS) distribué alors que les machines avaient du mal à gérer le déluge.
À son apogée, les chercheurs en sécurité de Sophos estimaient que Netsky et ses variantes représentaient 25 % de tous les virus informatiques présents sur Internet. Ce n’est pas seulement du bruit. C’est une inondation.
Le verdict
Jaschan faisait face à de graves accusations. Mais son âge a tout changé. Parce qu’il avait moins de 18 ans au moment de son arrestation, les tribunaux allemands ne l’ont pas jugé en tant qu’adulte. Il a évité la prison. Au lieu de cela, il a écopé d’un an et neuf mois de probation.
C’est une peine clémente pour les dégâts causés. Mais cela met en évidence une lacune dans la manière dont nous traitons la cybercriminalité juvénile. Le code était mature. Le criminel était un enfant.
Les Mac ne sont pas sûrs
Nous avons passé les dernières sections à parler de Windows. C’est la grande cible. Le système d’exploitation le plus courant. Mais supposer que les ordinateurs Macintosh sont immunisés est une erreur dangereuse.
Ce n’est pas le cas.
La section suivante révèle le premier virus ciblant spécifiquement les systèmes Mac. Ce n’était pas seulement un port. C’était une attaque unique.
2 : Saut-A/Oompa-A
Chapeaux noirs et chapeaux blancs
Le piratage n’est pas seulement une question de code. C’est une question d’intention.
Dans le monde de la technologie, nous empruntons à la fantaisie. Bonnes et mauvaises sorcières à Oz. De bons hackers et de mauvais hackers en réalité. Le terme désignant l’acteur malveillant est un chapeau noir.
Ce sont ces gens qui créent des virus. Ils trouvent des vulnérabilités non pas pour les corriger, mais pour les exploiter. Ils commettent des crimes. Ils compromettent les systèmes au profit du profit, du chaos ou de l’attention.
Certains d’entre eux assistent à des conférences. La conférence Black Hat. Défcon. Ils se réunissent pour discuter de leur métier. Ils racontent comment ils ont contourné la sécurité. Comment ils ont utilisé un exploit zero-day. Ils ne le cachent pas complètement. Ils portent leur identité comme un badge.
C’est un contraste frappant avec les chapeaux blancs. Le
“Le virus Leap-A ne cause pas beaucoup de dommages aux ordinateurs, mais il montre que même un ordinateur Mac peut devenir la proie de logiciels malveillants.”
Pendant des années, la sagesse dominante dans les cercles technologiques était que le jardin clos d’Apple était sûr. Justin Long dans ces célèbres publicités ne vendait pas seulement une esthétique cool ; il vendait l’idée de la sécurité par l’obscurité. Étant donné que les Mac détenaient une plus petite part du marché domestique que les PC, les pirates étaient moins incités à perdre du temps à créer des charges utiles pour eux. La logique était froidement efficace : pourquoi viser dix mille victimes quand on peut viser dix millions ? L’intégration verticale d’Apple – créant à la fois le matériel et le système d’exploitation – signifiait que le système d’exploitation restait relativement opaque au monde extérieur. Ce n’était pas une sécurité parfaite, mais c’était suffisant pour tenir à distance la plupart des logiciels malveillants.
Puis vint 2006.
Le virus Leap-A (également connu sous le nom d’Oompa-A) ne se souciait pas des parts de marché. Il a exploité iChat, l’application de messagerie instantanée, pour se propager. Il n’était pas nécessaire de pirater le noyau. Il vous suffisait de cliquer sur un fichier qui ressemblait à un JPEG inoffensif mais qui était en réalité un exécutable corrompu. Une fois à l’intérieur, il a analysé votre liste de contacts et s’est envoyé à vos amis. C’était compliqué. C’était ennuyeux. Mais cela a prouvé que si suffisamment de personnes utilisent des Mac, les pirates informatiques viendront.
Aujourd’hui, la conversation a changé. Nous sommes en première position sur la liste des menaces informatiques importantes, et il ne s’agit pas d’un cheval de Troie caché dans un téléchargement de film piraté. Il s’agit du Storm Worm, également connu sous le nom de Niur ou Vobfus.
Qu’est-ce que le ver tempête ?
Le Storm Worm est apparu début 2007, surfant sur une vague de panique suscitée par le bug de l’an 2000 et d’autres craintes technologiques très médiatisées. Il est arrivé par e-mail avec une ligne d’objet conçue pour déclencher une anxiété immédiate. Le contenu était vague, faisant souvent référence à des questions de sécurité ou à des scandales politiques, mais la pièce jointe était le véritable appât. Le nom du fichier aurait pu être « storm.exe » ou quelque chose de similaire, mais cliquer dessus a ouvert les vannes.
Ce n’était pas seulement un virus au sens traditionnel du terme. C’était un ver. Cela s’est propagé automatiquement. Il n’a pas attendu l’interaction de l’utilisateur après le clic initial. Il utilisait des réseaux peer-to-peer (P2P) pour se propager, ce qui signifie qu’il ne s’appuyait pas uniquement sur des serveurs de messagerie pour passer d’une machine à l’autre. Cela rendait incroyablement difficile de s’arrêter. Vous ne pouvez pas simplement bloquer une adresse IP ou patcher un serveur. Vous deviez traquer les nœuds infectés individuels.
Comment fonctionnait le ver tempête
Le Storm Worm était sophistiqué pour l’époque. Il a créé plusieurs copies de lui-même à différents endroits de votre disque dur, rendant la suppression presque impossible sans outils spécialisés. Il a ouvert des ports sur votre ordinateur, transformant votre machine en un robot, un soldat zombie dans une armée plus grande.
Cela nous amène à la question la plus courante que les utilisateurs se posent à propos de cette ère de malware : pourquoi le Storm Worm a-t-il été si dommageable s’il ne détruisait pas les fichiers ?
La réponse réside dans le botnet. Un botnet est un réseau d’ordinateurs compromis contrôlés par un pirate informatique. Le Storm Worm a transformé votre PC en un nœud de ce réseau. Les pirates pourraient alors utiliser votre machine pour envoyer des millions de spams, attaquer d’autres sites Web avec des attaques par déni de service distribué (DDoS) ou exploiter des cryptomonnaies (même si le minage de cryptomonnaies n’était pas aussi répandu à l’époque qu’aujourd’hui). Le dommage n’était pas causé à vos données. Les dommages ont porté sur votre bande passante, votre réputation et votre contribution à l’entreprise criminelle de quelqu’un d’autre.
Le changement dans les tactiques des logiciels malveillants
Le Storm Worm a marqué un tournant. Avant cela, les virus étaient souvent liés à la curiosité ou au vandalisme. Après cela, les logiciels malveillants se sont concentrés sur l’infrastructure. Il s’agissait de construire une machine pouvant être louée à des fins malveillantes. Le **ver de tempête
Il est arrivé fin 2006. Les chercheurs en sécurité l’ont alors repéré, mais le public l’a nommé plus tard. Le surnom vient de l’objet d’un e-mail : “230 morts alors que la tempête frappe l’Europe”. Les gens se souvenaient de la tragédie. Ils ont cliqué sur le lien. Ils ont attrapé le ver.
Les laboratoires antivirus avaient leurs propres noms. Symantec l’a appelé Peacomm. McAfee l’a appelé Nuwar. La confusion est compréhensible. Il existait déjà un W32.Storm.Worm de 2001. Celui-là est une bête complètement différente. Ne les mélangez pas.
La variante 2006 est un cheval de Troie. Son travail consiste à livrer une charge utile. Cette charge utile change. Parfois, c’est un enregistreur de frappe. Parfois, c’est autre chose. L’objectif est pourtant cohérent. Cela transforme votre machine en zombie.
Les zombies sont des robots. Ils sont assis là. Ils attendent les commandes. Un hacker dans une pièce sombre envoie un signal. Le robot répond. Des milliers de ces robots forment un réseau. C’est un botnet.
Ces botnets sont utiles pour le spam. Ils envoient des millions de courriers indésirables sur Internet. Le Storm Worm a aidé à construire cette infrastructure. Cela a fait grandir l’armée.
Comment est-il entré ? Fausses nouvelles. C’était ça le truc. Les créateurs de vers changeaient constamment de tactique. Ils ont surfé sur la vague de l’actualité.
Regardez les Jeux olympiques de Pékin en 2008. Une nouvelle version est apparue. Le sujet de l’e-mail disait : « Une nouvelle catastrophe meurtrière en Chine » ou « Le tremblement de terre le plus meurtrier de Chine ». C’était urgent. Cela semblait réel. Le lien promettait des séquences vidéo. Des reportages. Au lieu de cela, il a téléchargé le ver.
L’ampleur était énorme. En juillet 2007, Postini rapportait quelque chose de stupéfiant. Ils ont vu plus de 200 millions d’e-mails contenant des liens vers le ver. C’était juste leur système de détection. Cela a duré plusieurs jours. L’attaque était mondiale.
Est-ce que tout le monde a été infecté ? Non. Tous les clics ne conduisent pas à un téléchargement. Mais cela a suffi. Les principaux médias et blogs technologiques l’ont classée parmi les pires attaques de la décennie. C’était partout.
Est-ce difficile à retirer aujourd’hui ? En fait, non. Le Storm Worm n’est pas le malware le plus sophistiqué du marché. Si vous maintenez votre antivirus à jour, c’est gérable. La véritable défense est la prudence. Méfiez-vous des e-mails provenant d’expéditeurs inconnus. Survolez les liens. Vérifiez l’URL.
Il ne s’agit pas seulement de virus. Le terme « malware » couvre un domaine plus vaste. Les logiciels espions sont un type. Il vous surveille. Il enregistre les frappes au clavier. Il vole les mots de passe. Il reste en arrière-plan pendant que vous saisissez votre identifiant bancaire.
Les logiciels publicitaires sont une autre catégorie. Il affiche des publicités. Il accompagne des applications plus volumineuses telles que les navigateurs Web. Certaines versions sont inoffensives. D’autres creusent plus profondément. Ils donnent aux annonceurs accès à des données privées. Vos habitudes de navigation. Vos intérêts. Vendu au plus offrant.
En savoir plus sur la sécurité
Le paysage des menaces est en constante évolution. De nouvelles variantes apparaissent. Les anciens sont mis à jour. Le Storm Worm était une leçon d’ingénierie sociale. Cela prouve que la peur et la curiosité sont plus faciles à exploiter que les vulnérabilités techniques.
Vous vous souvenez du Storm Worm de 2001 ? C’est parti. Mais la tactique demeure. Les gros titres changent. Le danger est le même. Gardez votre logiciel à jour. Restez sceptique. Internet est vaste et tout ce qui ressemble à une actualité n’est pas en réalité une actualité.
