1 Activité en cours
1.1 Ports observés
Le tableau 3 et la figure 1 montrent les rejets pour les ports sous surveillance que nous avons constatés sur deux dispositifs de filtrage, entre le 29 décembre 2005 et le 05 janvier 2006.
1.1.1 Activité sur le port 106/tcp
Nous avons reçu encore de nombreuses remontées concernant le port 106/tcp qui est largement sondé. Les adresses IP à l'origine de ce trafic semblent peu nombreuses.
Recommandation :
Nous vous conseillons de filtrer le port 106/tcp si vous ne l'utilisez pas et nous vous demandons de nous informer si vous aviez un service en écoute sur ce port.
2 Codes malveillants
2.1 CME-24
Un code malveillant connu sous la référence CME-24 (Common Malware Enumeration) et portant différents noms selon les éditeurs d'antivirus (Kama Sutra, BlackWorm, Blackmal, MyWife, Nyxem, ...) se propage depuis plusieurs jours par les vecteurs classiques : message électronique comportant un fichier attaché et partage de fichiers. Ce code malveillant est conçu pour détruire sur les machines infectées les fichiers ayant pour extension .doc, .xls, .mdb, .mde, .ppt, .pps, .zip, .rar, .pdf, .psd et .dmp. Cette destruction est prévue pour le 03 de chaque mois (attention donc au 03 février prochain).
Les codes malveillants analysés par les éditeurs d'antivirus ajoutent la clé de registre suivante :
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
ScanRegistry = "scanregw.exe /scan"
et ajoutent les fichiers suivants :
%Root%\Temp.htt%System%\scanregw.exe%System%\Update.exe%System%\Winzip.exe%System%\WINZIP_TMP.EXE%Windows%\Rundll16.exe%Windows%\WINZIP_TMP.EXE
Les machines infectées sont censées incrémenter un compteur situé sur un serveur web (webstats.web.rcn.net).
Des informations complémentaires concernant ce code malveillant sont accessibles depuis le lien suivant :
http://cme.mitre.org/data/list.html#24
Recommandation :
Il est conseillé de filtrer le trafic HTTP à destination de la page webstats.web.rcn.net/cgi-bin/Count.cgi et d'examiner les machines à l'origine de cette activité puisque ceci peut être la conséquence d'une infection par ce code malveillant. La plupart des antivirus reconnaissent aujourd'hui ce code malveillant. Toutefois, il est tout à fait possible que de nouvelles versions de ce code malveillant se propagent prochainement sur l'Internet, avec une activité caractéristique différente.
2.2 Expéditeur usurpant une adresse d'un ministère
Un code malveillant se propage par messagerie électronique avec un nom d'expéditeur usurpant le nom de domaine d'un ministère. Le ministère en question n'est en rien responsable de l'envoi de ce message.
Le code malveillant est un fichier avec une extension .scr dans une archive .zip. L'infection se caractérise par des connexions POP3 vers le serveur mail.tut.by.
Recommandation :
Il est conseillé de filtrer le trafic POP3 (port 110/tcp) à destination du serveur mail.tut.by, et d'analyser toute machine qui aurait été à l'origine d'un tel trafic.
2.3 Enseignements
Ces deux codes malveillants ne sont pas nouveaux par leur mode de propagation : il s'agit, dans les deux cas, d'inciter un utilisateur à exécuter une pièce jointe. Il ne s'agit donc pas de problèmes techniques, mais de problèmes humains : il est important de sensibiliser les utilisateurs sur les dangers de la messagerie. Les informations concernant l'expéditeur des messages ne constituent pas une donnée fiable. Le CERTA a publié un mémento sur les virus, disponible à l'adresse suivante :
http://www.certa.ssi.gouv.fr/site/CERTA-2005-MEM-001.pdf
