Risques
- Contournement de la politique de sécurité
- Contournement du système de filtrage de l'antivirus
Systèmes affectés
- ArcaBit ArcaVir
- Avast! Antivirus
- AVG AVG Anti-Virus
- Cat Computer Services Quick Heal Antivirus
- Clam Anti-Virus ClamAV
- Computer Associates eTrust EZ Antivirus
- Computer Associates Vet Antivirus
- Dr.Web
- Eset Software NOD32 Antivirus
- F-Secure Anti-Virus
- Fortinet Antivirus
- H+BEDV AntiVir
- Hacksoft TheHacker
- Ikarus
- Kaspersky Labs (tous produits)
- McAfee VirusScan
- Norman Virus Control
- Panda ActiveScan
- Panda Antivirus
- Softwin BitDefender
- Sophos Anti-Virus
- Symantec Norton Antivirus
- Ukrainian Antiviral Center Ukrainian National Antivirus
- VirusBlokAda VBA32
Résumé
Une vulnérabilité dans le traitement des archives affecte la quasi-totalité des antivirus du marché. Ainsi, les antivirus ne peuvent repérer un virus inséré dans une archive malicieusement construite.
Description
La plupart des antivirus du marché sont vulnérables à un contournement de politique de sécurité.
En effet, il est possible grâce à un fichier archive malicieusement construit, de passer outre le système de filtrage de l'antivirus. Ainsi, un virus contenu dans ce fichier archive sera acheminé vers son destinataire sans traitement préalable par une passerelle antivirus.
Une fois arrivé sur le poste utilisateur, le fichier virus contenu dans l'archive doit être extrait puis exécuté par l'utilisateur pour corrompre la machine.
Contournement provisoire
Tant que le virus n'est pas extrait de l'archive sur le poste client cible, aucun code malveillant n'est exécuté. Il convient donc de respecter les règles de comportement élémentaires d'utilisation de la messagerie, rappelés ci-dessous :
- mettre à jour son antivirus ;
- ne pas ouvrir les mails à caractère douteux ;
- ne jamais ouvrir les fichiers archives en cas de doute sur leur provenance ;
- vérifier systématiquement le contenu extrait des archives ;
- Dans le cadre de la défense en profondeur, privilégier systématiquement l'emploi d'un antivirus sur la passerelle de messagerie associé à un antivirus différent sur les postes de travail.
Solution
Aucune solution n'a été communiquée pour l'instant par les éditeurs d'antivirus.
Documentation
- Bulletin de Security Focus : http://www.securityfocus.com/bid/15046
- Mémento du CERTA sur les virus : CERTA-2005-MEM-001 http://www.certa.ssi.gouv.fr/site/CERTA-2005-MEM-001.pdf
