juillet 19th, 2010

Un communiqué de l’éditeur d’A.V. Biélorusse VirusBlockAda nous apprend l’existence d’un vecteur d’attaque particulièrement novateur et vicieux. L’infection se propagerait via des supports amovibles USB, sans utiliser la fonction Autorun (supprimée en grande partie depuis les récentes mises à jour de Windows).

Dans un premier temps,l’infection exploite une particularité de la gestion des fichiers portant l’extension .lnk (les icones de raccourci). Exploit qui a son tour installe deux pilotes « rootkit » chargés notamment de masquer toute présence du malware lors d’un browse des répertoires. Comble de la perversion, ces deux pilotes portent une signature légitime… usurpée au constructeur Realtek. Ce rootkit serait, aux dires des chercheurs, largement diffusé « dans la nature ».

L’exploit de type « auto exécution du lnk » se déclenche dès qu’un examen du répertoire est lancé, précise le communiqué, quelque soit le navigateur de fichier utilisé : Windows Explorer ou Total Commander (un clone de Norton Commander/Midnight Commander sous Windows). Il s’agit donc d’une caractéristique propre au noyau ou à l’interprète de commande, et non à Explorer ou l’un de ses composants. Génétiquement parlant, « l’exploit lnk » est très intéressant et peut éveiller quelques belles vocations virales si la méthode parvient à être connue.

Selon les dires du blog américain Recording Industry vs The People , le RIAA, l’association des producteurs de films et de musique industrielle, aurait déboursé près de 16 millions de dollars pour un « retour sur investissement » ne dépassant pas 391 000 dollars. Le RIAA a souvent été dénoncé pour ses pratiques frisant le racket et les poursuites abusives pour « téléchargement illégal » envers notamment des personnes âgées ne possédant pas le moindre ordinateur. Rappelons qu’en France, le coût d’opérations analogues est prélevé sur les deniers publics.