Détecter les faux virus
Note d'information numéro : IN02-001
11 janvier 2002
Objet
Ces dernières semaines, le BPIEPC a reçu plusieurs rapports de faux virus. Il s'agit d' « alertes » concernant des virus qui n'existent pas et qui n'ont d'autre objet que d'alarmer les gens et de les amener de façon trompeuse à transmettre du pourriel (SPAM). Récemment, certains de ces faux étaient conçus de manière à amener les utilisateurs par la ruse à corrompre leur propre système en suivant une procédure détaillée censée purifier leur système et y éliminer le virus.
Il existe de nombreux cas de faux virus, chacun pouvant présenter de multiples variantes, mais la plupart partagent toutefois certaines des caractéristiques suivantes :
- le courriel est rédigé de façon alarmiste;
- il s'agit d'un virus très destructif à l'ouverture ou réglé pour se déclencher à une date ultérieure;
- les vendeurs de programmes anti-virus ne sont pas au courant de son existence ou sont incapables de l'arrêter;
- un société importante ou bien connue confirme l'existence du virus.
Parfois, le faux virus semble comporter un brin de vérité. Il arrive que des auteurs de virus créent des virus authentiques qui reprennent des caractéristiques de faux virus. Dans la même veine, de faux virus peuvent être présentés délibérément de façon à se confondre avec un virus authentique.
Un exemple de faux virus qui présente ces caractéristiques est le SULFNBK. Ce faux virus circule depuis avril 2001, avec de nombreuses variantes dans plusieurs langues dont le portugais, l'anglais, le français, le hollandais, le danois, l'espagnol, l'allemand et l'italien. SULFNBK a été signalé bien des fois au BPIEPC au cours du mois dernier. Ce message trompeur amène le lecteur à effectuer la recherche d'un dossier appelé sulfnbk.exe. Si l'on retrouve ce dossier, c'est que le système est prétendument infecté par un virus destructif que le lecteur est invité à éliminer sur-le-champ. En réalité, sulfnbk.exe est un utilitaire authentique de Windows, qui sert à afficher des noms de fichiers longs. Une fois le fichier supprimé, les noms de fichiers longs seront affichés selon leur indicatif DOS de huit caractères. La présence de sulfnbk.exe dans un système ne veut pas dire qu'il est infecté, mais plutôt que, comme pour tout autre fichier du système, il y a possibilité d'infection ou de compromission du fichier en présence d'un virus authentique. Par exemple, il existe une variante du virus Magistr, qui se propage au moyen d'une pièce jointe appelée sulfnbk.exe. Or, selon les directives concernant le faux virus, le fichier sera supprimé qu'il soit infecté ou pas. Les programmes de détection de virus contenant des fichiers signature à jour sont en mesure de détecter cette variante de Magistr.
Un exemple du faux SULFNBK signalé récemment au BPIEPC est le suivant (seules des variantes en version anglaise ont été signalées) :
Subject: VIRUS ALERT
ATTENTION:
There is a virus going around that is transmitted automatically via addressbooks. Because I have your address you might have the virus as it was sent to me by someone in my address book. The virus is not detected by McAfee or Norton, and it lies dormant for 14 days then it closes down your entire system!
The attached letter is a simple yet effective method of finding and deleting the virus before it can do you any harm. Please act PROMPTLY.
- Go to START the to FIND OR SEARCH (depending on your computer)
- In the search for files or folders type in: sulfnbk.exe this is the virus.
- In the look in make sure you're searching Drive C.
- Hit search button (or find)
- If this file shows up (it's an ugly blackish icon that will have the name sulfnbk.exe. DO NOT OPEN IT
- Right click on the file - go down to delete and left click.
- It will ask you if you want to send it to the recycle bin, say yes.
- Go to your desktop (where all your icons are) and double click on the recycle bin.
- Right click on sulfnbk.exe and delete again or empty the bin.
If you find it, send this email to all in your address book, because that's how it's transferred.
Pour des exemples dans d'autres langues, ainsi que pour de plus amples détails au sujet du faux SULFNBK, visiter :
Symantec.com
http://vil.nai.com
Note aux lecteurs
Le Centre canadien de réponse aux incidents cybernétiques (CCRIC) constitue le point de convergence au Canada pour les avertissements et l'analyse concernant les menaces et les vulnérabilités cybernétiques, ainsi que pour la coordination de la réponse aux incidents. Le CCRIC est chargé d'assurer la résilience de l'infrastructure essentielle nationale en surveillant les menaces et en coordonnant la réponse du gouvernement fédéral aux incidents de cybersécurité d'intérêt national. Le CCRIC, qui travaille conjointement avec le Centre des opérations du gouvernement (COG) de Sécurité publique Canada, constitue un élément clé de l'approche « tous risques » du gouvernement en regard de la gestion des urgences et de la sécurité nationale.
Pour obtenir des renseignements généraux, veuillez communiquer avec la division des Affaires publiques de Sécurité publique Canada:
Téléphone: 613-944-4875 ou 1-800-830-3118
Télécopieur: 613-998-9589
Courriel: communications@ps-sp.gc.ca