Les moyens de propagation des malwares sont des fichiers piégés sur les réseaux P2P, des cracks, des fichiers sur les sites pornographiques, ou des sites piégés exploitant des failles de sécurité sur les logiciels installés sur votre ordinateur, voir Les Exploits sur les sites WEB piégés.
L'infection s'installe à partir d'un dropper, c'est un fichier contenant l'infection et qui "drop" l'infection sur le système, tout est mis en oeuvre dans ce fichier pour cacher l'infection afin que celle-ci ne soit pas détectée par les antivirus (fichier packé/crypté souvent de plusieurs manières etc..).
En pratique, voici un lien qui montre comment une infection s'installe sur un système à travers une faille de navigateur, sans intervention de l'utilisateur, par simple visite d'un site WEB piégé : les dangers des cracks.
Si l'antivirus détecte le dropper, c'est gagné car le fichier sera bloqué avant que l'infection ne soit installée sur le système.
Si l'antivirus ne le détecte pas, c'est fini pour vous car :
- l'infection est installée sur le système et en règle générale, l'antivirus ne parvient pas à supprimer l'infection (si déjà, il arrive à détecter la totalité de l'infection), votre seul réflexe dans ces cas là, est de scanner votre ordinateur avec toute une panoplie de logiciels afin de supprimer la/les infection(s), le résultat n'est souvent pas très satisfaisant.
- à l'heure d'aujourd'hui, les infections installent quasi systématiquement des rootkits. Pour résumer, un rootkit est un programme qui est capable de se cacher dans le système de l'utilisateur (impossible de le voir dans le gestionnaire de tâches, sur le disque etc..), mais aussi des autres programmes, les antivirus y compris. Pour détecter ces rootkits, il faut un scanner rootkit et encore, il n'est pas dit que celui-ci détecte le rootkit, en effet plusieurs techniques de rootkits existent (quelques rootkits rootkit Pe386, Gromozon/LinkOptimizer, Trojan/DNS et le plus courant Magic.Control.
Voir Le danger et fonctionnement des rootkits
La détection du dropper est très importante puisque c'est la base de l'infection, si le dropper est détecté, aucune infection ne sera installée sur le système.
Détecté, le dropper fait appel à plusieurs technologies différentes puisque les auteurs de malwares utilisent eux aussi diverses méthodes pour dissimuler l'infection dans ce fichier, les antivirus ne sont pas à égalité de ce côté là, la base de données de définition de virus joue bien un rôle très important, si le dropper y est référérencé c'est gagné !
Les auteurs de malwares font donc en sorte que ce dropper ne soit pas détecté afin que l'infection s'installe... Des milliers et des milliers de mises à jour de malwares par famille voit le jour chaque jour afin d'assurer un certains taux d'infection.
Voici comment les antivirus détectent globalement une infection :
- Soit par la détection signature, c'est à dire une suite d'octets contenue dans le fichier infectieux permettant de dire que le fichier appartient à telle ou telle infection. D'où la course à l'ajout de signature dans la base de données des antivirus et les mises à jour régulières de la définition virale de votre antivirus.
- Soit par la détection générique, code spécifique à une famille de malwares Vundo, Bagle, Zlob etc.
- Si le malware est inconnu, l'antivirus peut dire ou non si le fichier est d'origine malware, grâce à la détection heuristique. En scannant le fichier, l'antivirus peut déterminer de par la structure du fichier si celui-ci peut être infectieux ou non. Cette détection peut générer des faux positifs, c'est à dire que l'antivirus va indiquer un fichier sain comme dangereux, l'utilisateur devra donc faire le bon choix.
Il est facile de passer à travers la détection de signature, ce que font les auteurs de malwares chaque jour (ou chaque heure), il est cependant plus difficile de passer à travers la détection générique car cela demande une plus grande modification du code.
Tous les antivirus n'ont pas la même efficacité au niveau des détections génériques puisqu'il faut avoir coder ces détections génériques pour chaque famille différentes de malwares (et il y en a!) et les maintenir à jour lorsque les auteurs de malwares modifient le code pour passer à travers.
Les antivirus qui ont le plus de détections génériques ont aussi moins de travail en ce qui concerne l'ajout de détection par signature puisque la détection générique s'en charge. Je vous cache pas que certains antivirus ne tentent même pas ou pouvent mettre plusieurs jours pour ajouter une détection signature.
Mais c'est parfois difficile, un exemple avec l'infection Slenfbot qui se propage par MSN et disques amovibles dont vous trouverez les scans dans la partie Vers/Virus MSN et arnaques sur MSN (ce sont les sujest avec Worm.Win32.AutoRun.xxx).
Chaque jour une nouvelle variante voyait le jour pour passer à travers la détection de signatures ajoutés par les antivirus (je vous cache pas qu'il y en a peu..), au bout de quelques jours, certains antivirus ajoutent des détections générique... seulement dès que le taux était trops "haut" pour les auteurs de malwares, ces derniers modifiaient le code pour passer à travers ces détections génériques et retomber à un taux de détection faible.
Et on recommence la boucle.
Cela permet garantit de détection faible pour infecter de nouveaux PC, exemple :
viewtopic.php?f=57&t=12506
viewtopic.php?f=57&t=12629
viewtopic.php?f=57&t=14057
Il faut donc bien comprendre et voir l'antivirus comme un assitant à la sécurité de votre ordinateur et NON comme la solution unique - Encore une fois la sécurité de votre PC c'est vous qui l'a faite et non un quelconque programme
Vous trouverez ci-dessous, les résultats du scan avec le nombre de fichiers scannés, certes on peut se dire que sur une centaine de scans, cela ne reflète pas forcément la réalité, vous pouvez alors vous rendre sur ce lien http://www.av-comparatives.org/seiten/comparatives.html afin de visualiser des comparatifs avec un nombre plus conséquent de malwares (attention, le premier est de 2004, il faut scroller vers le bas, pour voir les scans les plus récents).
Pour terminer sur la méthodologie de scan, je dirai que les fichiers récupérés sur ce scan sont des fichiers issus d'infections recueillies sur les forums de sécurité :
- Ce sont des fichiers issus d'infections récentes, les infections récentes sont les plus dangereuses car elles sont souvent mal détectées par les antivirus puisque cela nécessite que l'éditeur ait eu vent de l'infection et surtout l'ait ajoutée dans la base de données.
- Cela donne un aperçu des infections les plus répandues à un instant T dont les internautes sont les victimes. Certains sont listés dans la partie Remontées d'infection : fichiers infectieux, liens infectieux etc.
Notez aussi que vous avez, lors de chaque scan, la date de scan, vous pourrez constater que ce sont des fichiers récupérés dans le mois.
Je tenterai d'ajouter des scans régulièrement, si possible une fois par semaine.
Pour mieux comprendre les infections, reportez-vous à l'article : Pourquoi je me fais infecter?
Liens externes sur le même sujet :
- La vérité sur les antivirus : http://lejournaldunjournaliste.blogspot ... virus.html
Autre référence de détections utilisants VirusTotal, le SRI : http://mtc.sri.com/live_data/av_rankings/
Avast fait légèrement mieux que Microsoft...ptdr 
je sais pas trop....
News
Site map
SitemapIndex
RSS Feed