Ver informatique

Le peer-to-peer est une forme de réseau qui relie les ordinateurs du réseau sans serveur, c'est-à-dire qui établit une connexion directe entre les utilisateurs individuels. La plupart des réseaux de partage de fichiers sur Internet, tels que Kazaa, Morpheus ou les systèmes BitTorrent utilisent la technologie P2P. Un ver peut se propager de trois manières différentes dans un réseau de partage de fichiers :

• La première manière est que le ver se copie dans le dossier partagé à partir duquel les autres utilisateurs peuvent télécharger des fichiers. Pour ce type de ver, une dénomination correcte du fichier contenant le ver est importante, car plus d'utilisateurs téléchargent un fichier avec un nom intéressant qu'un fichier avec un nom généré de manière aléatoire. Ce type de distribution dans les réseaux de partage de fichiers est simple, mais pas très efficace, car les réseaux de partage de fichiers échangent généralement des fichiers plutôt volumineux et presque tous les programmes de partage de fichiers disposent désormais de filtres efficaces pour exclure certains formats de fichiers suspects.
• La deuxième méthode de propagation du ver utilise un protocole P2P pour proposer un fichier infecté comme résultat de recherche (un fichier .torrent par exemple) à d'autres utilisateurs du réseau P2P chaque fois qu'ils effectuent une recherche. L'utilisateur copie alors le ver sur son ordinateur et l'infecte à l'ouverture du fichier. Cette méthode de propagation est très efficace si la taille du fichier du ver est approximativement la même que celle du fichier recherché.
• La troisième méthode consiste pour le ver à attaquer une vulnérabilité chez ses voisins du réseau P2P. Cette méthode peut atteindre une vitesse de propagation très importante lorsqu'aucune action de l'utilisateur (comme le téléchargement d'un fichier et son lancement sur l'ordinateur) n'est requise. Le ver infecte alors ces systèmes de manière entièrement automatique. Une fois que le ver est également capable de visualiser une liste des voisins de chaque client infecté sur le réseau P2P, il peut les cibler. Cela permet au ver d'éviter d'être détecté car il n'a pas besoin d'effectuer un nombre excessif de connexions à d'autres systèmes sur Internet, ce qui est considéré comme un comportement anormal par les systèmes de protection. Un réseau P2P est basé sur le fait que chaque utilisateur établit de nombreuses connexions avec les autres participants, ce qui rend la détection du ver beaucoup plus difficile en fonction du trafic qu'il génère.

De nombreux vers utilisent les e-mails pour se propager, en envoyant soit le fichier exécutable contenant le ver, soit un lien hypertexte vers celui-ci. Les e-mails peuvent être envoyés soit via une prise de contrôle à distance de programmes de messagerie pré-installés, tels que Microsoft Outlook, soit par un sous-programme SMTP propre au ver. L'adresse électronique du destinataire se trouve souvent dans des carnets d'adresses préinstallés. Toutefois, d'autres fichiers sur les disques durs (tels que les fichiers Internet temporaires) peuvent également être utilisés par le ver, ou les adresses électroniques de sites Web spéciaux (tels que les livres d'or en ligne) peuvent être utilisées pour la distribution initiale. Des exemples notoires de cette méthode de propagation sont Loveletter (aussi connu sous le nom ILOVEYOU), qui s'est répandu de façon explosive par courrier électronique en mai 2000, ou Netsky.

Les programmes de messagerie instantanée tels que WhatsApp, ICQ, Windows Live Messenger ou Skype sont également vulnérables aux logiciels malveillants en raison de leur connexion à Internet. Un ver de ce type se propage en envoyant à un utilisateur un lien vers une page web contenant le ver. Si l'utilisateur clique sur le lien, le ver est alors installé et exécuté sur l'ordinateur de l'utilisateur, les applications de messagerie instantanée tendant à ne pas avoir d'analyseur HTML propre et à utiliser plutôt celui du navigateur par défaut de l'utilisateur. Une fois installé, le ver se propage en envoyant le lien à tous les contacts enregistrés dans l'ordinateur infecté.

Les dispositifs de stockage amovibles sont des supports de données échangeables pour les ordinateurs, tels que les clés USB. Ces vers se copient sur les supports de données de manière indépendante, afin de se propager d'un ordinateur à l'autre. Contrairement aux types de ver évoqués jusqu'à présent, celui-ci n'utilise pas de réseau pour se propager. Il peut profiter du démarrage automatique du support de données[16].

Les clients IRC sont des programmes qui permettent à n'importe quel utilisateur d'échanger des messages texte avec d'autres utilisateurs pratiquement en temps réel via Internet Relay Chat. La plupart des programmes IRC utilisent pour se connecter au serveur IRC un script spécial, qui est exécuté lorsque le programme est lancé. Ce script contient des commandes que le programme IRC exécute. Ces commandes comprennent la connexion à un canal, la rédaction de messages, mais aussi l'envoi de fichiers. Un ver IRC qui a infecté un ordinateur cherche des programmes IRC qu'il peut utiliser pour se propager : lorsqu'il trouve un tel programme, il modifie le script, qui est automatiquement chargé. La prochaine fois que le programme IRC sera lancé, le ver enverra automatiquement le script à tous les utilisateurs dans un salon de discussion. Si un utilisateur accepte le téléchargement et ouvre le fichier téléchargé, tout le processus est répété. Actuellement, il existe des vers IRC pour au moins cinq programmes IRC (mIRC, pIRCh, vIRC, dIRC et Xircon).

Les moyens techniques atteignent leurs limites lorsqu'il s'agit de se protéger contre une influence psychologique sur l'utilisateur (social engineering), par exemple par le biais d'un e-mail d'apparence légitime l'invitant à télécharger une pièce jointe infectée. Il est toutefois conseillé d'informer les utilisateurs des risques, à l'occasion par exemple de campagnes de lutte contre l'hameçonnage. L'éducation des utilisateurs rend plus difficile pour un expéditeur de ver de persuader l'utilisateur d'ouvrir un fichier compromis, comme une pièce jointe de courriel.

Il est conseillé de ne pas ouvrir de fichiers non sollicités provenant de pièces jointes à des courriels ou d'autres sources, ce même s'ils proviennent d'un expéditeur connu du destinataire. En effet, le fait que l'expéditeur soit connu ne constitue pas une garantie de sécurité :

• l'expéditeur peut avoir une adresse mail très proche (à un caractère près, parfois même s'appuyant sur la ressemblance entre certains caractères, : O / 0, I / l / 1, - / _, etc.), dans une tentative d'usurpation d'identité d'un expéditeur connu ;
• un attaquant peut avoir compromis l'adresse e-mail d'un expéditeur connu, par exemple en dérobant ses identifiants ;
• l'expéditeur connu peut lui-même être victime d'un ver qui se sert de sa boîte mail comme moyen de propagation.

Les fichiers peuvent être vérifiés au préalable pour voir s'ils contiennent des logiciels malveillants généralement connus (voir la section sur les scanners de virus ci-dessous).

Les fichiers destinés à une application spécifique (tels que les fichiers musicaux avec l'extension .mp3 ou les fichiers image .jpg et .jpeg), ne devraient pas être simplement consultés avec l'option "ouvrir", mais via l'option "ouvrir avec" du menu contextuel, en sélectionnant le programme correspondant. Cette mesure de précaution vise à éviter d'être induit en erreur par une double extension de fichier, qui exploite la dissimulation des extensions de fichier connues (activée par défaut sur les systèmes d'exploitation Microsoft après Windows 95) pour faire croire à l'utilisateur que le fichier infecté vacances.jpeg.exe, qui est en fait un exécutable, est simplement une photo au format JPEG puisqu'elle apparaît simplement comme vacances.jpeg à ses yeux.

En particulier, les documents Office (y compris les fichiers .doc / .docx, .xls / .xlsx, .ppt / .pptx et .rtf) provenant de sources externes ne devraient pas être ouverts avec le programme Office installé pour une simple consultation : en effet, cela fait inutilement courir le risque qu'une macro (un petit programme) stockée dans le document soit exécutée. Il est préférable d'utiliser une application qui peut afficher et imprimer un tel fichier sans offrir la possibilité d'exécuter une macro.

Un scan antivirus à pour objectif de détecter les virus, vers et chevaux de Troie notoires et de tenter de les bloquer ainsi que de les éliminer.

L'efficacité de la solution antivirale est maximale lorsque le logiciel malveillant est détecté par le scan antivirus avant que le fichier incriminé ne soit exécuté pour la première fois sur le système informatique qu'il protège. Il est donc conseillé de scanner tout nouveau fichier provenant d'une source externe (support amovible, page Web, pièce jointe d'e-mail) avec un logiciel antivirus mis à jour avant de l'exécuter ou de le lire.

Afin d'exclure d'autres voies d'infection, il est également recommandé d'effectuer un scan sur les fichiers issus d'un réseau partagé, dans le cas où une infection intermédiaire par l'un des autres systèmes ne peut être exclue.

Un antivirus, pour détecter les logiciels malveillants, utilise une méthode de recherche par « comparaison de signatures » : il analyse les fichiers qui lui sont soumis pour y rechercher des signatures virales connues. De fait, il ne peut pas détecter les logiciels malveillants qui ne lui sont pas (encore) connus, et un antivirus ne peut donc déterminer avec certitude qu'un fichier est exempt de tout virus, mais seulement des virus connus de lui. Dès lors, une « course » a lieu entre les programmeurs de vers, qui essaient de garder le ver aussi caché que possible ou de modifier une variante connue de telle sorte qu'elle ne soit plus détectée et le concepteur d'un logiciel antivirus, qui lui essaie de maintenir sa base de données de signatures à jour.

Le logiciel antivirus ayant par nature toujours un temps de retard sur les menaces, il contient également des composants qui surveillent les processus en cours d'utilisation dans le système informatique, afin de détecter les activités suspectes trahissant potentiellement des logiciels malveillants, même si ceux-ci ne sont pas connus du scan antivirus. Les méthodes de détection et la dissimulation des activités malicieuses des virus et vers sont donc l'objet d'une « course » similaire.

Un programme malveillant, dès lors qu'il commence à s'exécuter, peut désactiver le logiciel antivirus ou manipuler le système de telle sorte que les programmes malveillants ne soient plus détectés par le scanner de virus (voir rootkit).

• Logiciel malveillant
• Scanner de vulnérabilité
• Here you have
• Quine (informatique)

• Ver informatique - Comment ça marche
• RFC1135 - The helminthiasis of the Internet (en anglais)