Objet: Propagation importante du virus « W32.Myparty@mm »

Résumé

Le ver Win32 ayant pour nom « W32.Myparty@mm » ou encore « W32/Myparty@mm » se propage actuellement à grande vitesse par un mél dont sujet est « new photo from my party! ».

Description

Le mél envoyé a comme pièce jointe l'un des deux fichiers suivants :

• www.myparty.yahoo.com ;
• www.photos.yahoo.com.

Certaines personnes ont été trompées en pensant que la pièce jointe était un lien vers un site web.

Quand la pièce jointe est exécutée, le ver envoie une copie de lui-même à toutes les entrées du carnet d'adresses de Windows en utilisant un moteur SMTP intégré et place une copie du fichier dans c: sur windows NT/2K, XP, ou sur le répertoire Recycled sur windows 9x/ ME, dans un fichier ayant pour nom regctrl.exe.

Pour les versions US le ver place également une copie du cheval de troie Troj/Msstake-A dans le répertoire de démarrage de l'utilisateur. Le cheval de troie est présent dans un fichier nommé msstask.exe qui permet l'ouverture d'une porte dérobée sur la machine compromise.

De plus, le ver envoie un mél à l'adresse napster@gala.net et lance le navigateur sur le site WEB suivant : http://www.disney.com.

Solution de prévention

Suivre les recommandations de la note CERTA-2000-INF-002 concernant les pièces jointes :

• mettre à jour son antivirus ;
• ne pas exécuter les pièces jointes sans vérification de leur bien-fondé. En particulier le fait de recevoir une pièce jointe d'une personne connue n'est pas une garantie de l'inocuité de l'attachement.

Solution

Après avoir déconnecté la machine infectée du réseau, mettez à jour votre antivirus et vérifiez votre système,

vous pouvez également vérifier qu'il n'existe pas de processus msstask.exe dans la barre des tâches, dans le cas contraire il est nécessaire d'arrêter ce processus et d'enlever le fichier msstask.exe qui se trouve dans votre répertoire de démarrage (il est nécessaire de redémarrer la machine en mode DOS pour supprimer ce fichier).