Un nouveau ver expédié via MSN Messenger ou par mail vient d’être découvert. De type mass-mailing, le petit nom de ce charmant asticot est Chod.B. Il ne se propage « que » sur Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003 et Windows XP.
Afin de piéger au mieux la victime, il adopte comme adresse d’expéditeur securityresponse (at) symantec.com, security (at) microsoft.com ou security (at) trendmicro.com. Il se retrouve en outre accompagné d’un fichier nommé netsky_removal.exe, removal_tool.exe, message.pif ou message.scr. Evidemment, le « bénéfice » de ce logiciel sur votre machine est pour le moins très faible : il installe une porte dérobée, permet à une personne distante de commanditer une attaque par déni de service, il tente de chaparder les mots de passe sur AOl instant Messenger, GAIM, ICQ Lite 4.C et 2003, Miranda, MSN Messenger, trillan, Yahoo Messenger. Il modifie en outre le fichier Hosts pour éviter de judicieux accès sur les sites des éditeurs d’antivirus. Enfin, il se transmets à tous les contacts MSN trouvés sur la machine infectée avec comme message :
- check out what I just found on some stupid website
- dude check this out, it's awesome! :D
- haha you have to see this, I almost couldn't believe it! :O
- holy shit you have to see this...
- I just found this on a CD... you won't believe it!
(...)
Notons qu'il affiche cette fenêtre sur l'écran de la victime :
Cerise pourrie sur le gâteau, il désactive firewalls et autres logiciels de sécurité installés sur la machine (hijackthis, KAVPersonal50, microsoft antispyware, Symantec NetDriver Monitor, Zone Labs Client, etc.)...
SOURCE
