URL: https://linuxfr.org/users/noobie/journaux/windows-terrain-de-jeu-des-virus Title: Windows : terrain de jeu des virus Authors: NoObIe Date: 2004年04月25日T18:01:48+02:00 Tags: Score: 0 Bah voilà, je viens juste de sortir d'un _fight_ téléphonique à distance de 2 heures avec un nouveau virus sur le Windows XP de mon oncle... Ben pour la première fois, un virus l'a presque emporté ! Explications : 1°) Mon oncle m'appelle à l'aide : sa machine ne démarre presque plus du tout, et elle met très très longtemps avant d'afficher quoi que ce soit. 2°) Après constatation d'usage, il s'avère qu'en effet, la machine, un PC Dell très récent (>3 GHz) met 5 minutes avant d'avoir l'écran de login de Windows, et 10 minutes de plus pour afficher le bureau une fois logué ! Un simple coup d'oeil au gestionnaire de tâches montre que quelques processus bouffent toutes les ressources systèmes, et en plus, des processus inhabituels : _asvc.exe_ entre autre. 3°) On supprime _asvc.exe_, je lui fait vérifier dans msconfig ce qui se lance au démarrage (et lui fait tout retirer), on installe l'antivirus McAfee, son antivirus Norton ayant été "désactivé" par le virus (?!? apparemment, je pense que le virus s'est auto-inscrit dans la liste des exclusions), on scanne et rien n'est trouvé. On reboot : **blam**, pareil ! 4°) Je lui fais faire un démarrage en mode sans échec, et là tout est nickel chrome. On en profite pour vérifier avec _msconfig_ ce qui se lance au démarrage : le virus s'est recopié de nouveau dans la liste ! On vérifie donc dans le _HKLM/Software/Microsoft/Windows/Current version/Run_ et on trouve tout plein de truc qui se lancent sans raison, le même virus qui s'instancie plusieurs fois en fait, sous des noms différents ! Comble du pas de bol, le virus a déjà remplacé _msconfig.exe_ par une variante vérolée ! Bilan des courses, en croyant dégager le virus du démarrage, à la fermeture de msconfig, on le réactivait ! Bref, 3 instances de virus supprimées plus tard, on part à la recherche des fichers vérolés sur les disque dur et on les supprime ou renomme en _.ex_ dans le cas de msconfig, puis on reboot. 5°) Redémarrage nickel, Windows se relance apparemment convenablement, on reconnecte à internet, Firewall activé, et au bout de 2 minutes, **PAF** la machine est bloquée ! Reboot sauvage : la machine est de nouveau infectée ! 6°) On reboot à nouveau, à nouveau je lui fait presser F8 pour obtenir la liste de démarrage Windows et pouvoir booter en _mode sans échec_, et là, rien n'y fait, impossible de ravoir ce menu ?!? 7°) Je lui fait booter sur une disquette saine, doté d'un readntfs, on édite le boot.ini et là, on découvre la ligne _bootkeys=0_ qui donc désactivait bien la touche F8 ! 8°) On reboot en mode sans échec, on revire tous les virus, et ça refonctionne, mais impossible de se connecter à internet, sans quoi ça remet ça, je pense que le virus scanne sa plage d'adresse IP (il a une IP fixe noos) et réinfecte en permanence toutes les machines connectées... Le pire, c'est que le firewall Windows XP est bien acité ! Bref, il doit aller chez un ami télécharger ZoneAlarm et le graver, mais je pense qu'avec ZoneAlarm ça devrait être bon. Toujours est-il que sans autre moyen de booter, ce virus aurait pu complètement bloquer n'importe quel utilisateur/administrateur. Sinon, ça commence à me gaver de jouer le technicien Microsoft gratuitement, surtout les week ends où il fait si beau, alors je crois que je vais imprimer une jolie facture et l'envoyer à Microsoft France (2 heures aujourd'hui pour mon oncle, autant pour mon frère il y a 2 ou 3 mois... ça fait 1/2 journée à facturer tout ça), je vais bien rigoler, et j'espère bien recevoir une rémunération, que ce soit en espèces ou en licences ! ;o)