mars 2nd, 2010

Si parfois les avocats de Microsoft peuvent faire grincer des dents, ils peuvent aussi contribuer à pacifier le monde en ligne. La récente « opération b49 », longuement décrite sur le blog « officiel » de Microsoft, a été couronnée de succès après qu’aient été fermés un peu moins de 300 sites Internet membres actifs du botnet Waledac. Le bannissement de la longue liste des enregistrés Chinois figurant sur la plainte se serait traduit par une « diminution drastique du trafic provoqué par Waledac »… soit près de 1,5 milliard de spam par jour. Selon Microsoft, pour la seule période du 3 au 21 décembre de l’an passé, ce virus serait à l’origine de 651 millions d’emails de spam allant de l’offre de pilules bleues à la collection de fausses montres de marque, en passant par les « tuyaux boursiers » percés et autres offres d’emploi douteuses. Si ces chiffres peuvent sembler impressionnants, ils n’ont pas franchement fait baisser les statistiques mondiales du spam dans des proportions comparables à celles de l’affaire McColo. Dans le monde des botnets, Waledac n’est pas un géant, et sa décapitation, même permanente, ne représente pas une perte considérable dans les rangs du « côté obscur de la force ».

Ce succès est en outre terni par quelques ombres. Il reste dans la nature plusieurs milliers de machines zombifiées par le virus en question, machines que les gardiens de botnets concurrents vont très probablement chercher à récupérer. En outre, les lendemains de l’affaire McColo ont appris aux administrateurs de C&C à compartimenter leurs réseaux, à prévoir des canaux de contrôle secondaires, à envisager des infrastructures de remplacement prêtes à s’ébranler au moindre problème affectant les serveurs opérationnels. S’il est un monde où l’on sait parler « reprise d’activité après crash », c’est bien celui des blackhats.

Le premier faux « Security Essential » vient d’être découvert par les équipes sécurité de Microsoft. Outre le fait d’infecter la machine de la victime, ce Troyen baptisé Win32/Fakeinit bloque un nombre impressionnant de noms de domaines. Paradoxalement, il s’agit essentiellement de sites de services (moteurs de recherche, serveurs de streaming, journaux en ligne, hébergeurs de photos…) et non, comme l’on aurait pu s’y attendre, des Web d’éditeurs de logiciels de sécurité. L’audace des codeurs ayant commis ce faux va jusqu’à faire payer les victimes de ce prétendu programme de sécurité, prétextant que l’original Microsoft Security Essential n’était qu’une version de démonstration dont la durée d’utilisation était parvenue à expiration. Dès les premières vagues de scarewares, le logo Microsoft a abondamment été utilisé par les escrocs spécialistes du genre, mais jamais encore le nom de « Security Essential » n’avait été usurpé. Notons au passage que le communiqué de Microsoft débute par une liste impressionnante de noms et pseudonymes donnés à cette souche virale, débauche d’appellations d’origines non contrôlées qui illustrent bien cet attrait pour le sensationnalisme qu’éprouve la profession de chasseur de virus. Il est vrai qu’un équivalent d’immatriculation CVE, c’est moins évocateur, et ça fait moins trembler dans les chaumières et risquerait même d’aider le consommateur à mieux comprendre par quel mal son ordinateur est frappé.

Il avait créé le« Facebook de la fraude » peut-on lire dans les colonnes de la BBC. Il, c’est Renukanth Subramaniam, le fondateur de DarkMarket, place d’échange et forum essentiellement consacrés au trafic de crédences et identités bancaires. Infiltré par des agents du FBI, ce réseau d’origine Anglaise possédait des ramifications aux Etats-Unis, au Canada, en France, en Allemagne, en Turquie et en Russie, pays dans lesquels ont été effectuées plusieurs arrestations, indiquent les enquêteurs Britanniques. Le « webmestre », condamné depuis à 5 ans d’emprisonnement, orchestrait son site marchand depuis un cybercafé de la région de Londres avec l’un de ses complices spécialisé dans la fabrication de fausses cartes.