Nos confrères de iNetSky nous ont informĂ© de la propagation d’un nouveau virus sur les serveurs MSN. PrĂ©sentation
Ce virus a comme nom de code nakedmodel18.com et est dĂ©tectĂ© par les antivirus comme le virus W32/IRCBot.AAL. Il se propage sur Messenger via un lien dans les conversations avec vos contacts. Ce lien pointera vers le site www.very-naked.com (aujourd’hui dĂ©sactivĂ©). Bien que le site Internet proposant le virus en tĂ©lĂ©chargement est Ă©tĂ© dĂ©sactivĂ©, certaines personnes peuvent encore recevoir des messages de leur contacts leur indiquant le lien Ă tĂ©lĂ©charger. Des variantes de ce virus existent sous diffĂ©rents noms : AgentDWA etc… Votre antivirus pourra le dĂ©tecter comme le virus : BackDoor.Ircbot.CRQ (AVG)
Trojan.Win32.Agent.dwa (Kaspersky)
Backdoor:Win32/IRCbot.gen!F (Microsoft)
Win32/IRCBot.ACH (NOD32)
Caractéristiques
Win32/IRCBot.AAL est un virus qui se propage via le logiciel de messagerie instantanée Microsoft MSN Messenger. Il se présente sous la forme d’un message contenant un lien vers un site Internet lié en apparence à MSN. Si le destinataire clique que ce lien, il est invité à télécharger et installer un fichier nakedmodel18.com qui est le virus. Ce fichier msn.com n’est pas un raccourci Windows mais un fichier exécutable. S’il est ouvert, le virus se copie sur le disque dur, modifie ensuite la base de registres pour s’exécuter automatiquement à chaque démarrage de l’ordinateur, s’envoie régulièrement à tous les contacts MSN puis ouvre une porte dérobée, se mettant en attente d’instructions en provenance d’un canal IRC permettant la prise de contrôle à distance de l’ordinateur. Si vous recevez des messages semblables, c’est parce que l’ordinateur d’au moins un de vos correspondants est infecté : afin de stopper IRCBot.AAL, contactez la personne indiquée comme étant l’expéditrice des messages par Messenger ou par courriel pour l’informer que son ordinateur envoie des virus et suggérez-lui de contacter l’ensemble de ses contacts MSN pour les prévenir de ne pas ouvrir les fichiers nakedmodel18.com ou sinon de désinfecter leur ordinateur. Voic les messages que la personne infectée enverra à ses contacts, en plusieurs langues
you naked ?? :-O www.very-naked.com/?= \n mon_adresse@hotmail.com Cet e-mail est protégé contre les robots collecteurs de mails, votre navigateur doit accepter le Javascript pour le voir
Emoticon con il tuo volto:-O http://www.very-naked.com/?= \n mon_adresse@hotmail.com Cet e-mail est protégé contre les robots collecteurs de mails, votre navigateur doit accepter le Javascript pour le voir
http://naked4friends.com/?= \n mon_adresse@hotmail.com Cet e-mail est protégé contre les robots collecteurs de mails, votre navigateur doit accepter le Javascript pour le voir
http://members.lycos.nl/nakedgirl/?= \n mon_adresse@hotmail.com Cet e-mail est protégé contre les robots collecteurs de mails, votre navigateur doit accepter le Javascript pour le voir
http://www.family-naked.com/?= \n mon_adresse@hotmail.com Cet e-mail est protégé contre les robots collecteurs de mails, votre navigateur doit accepter le Javascript pour le voir
Des variantes du virus existent sous un autre nom. Un lien est toujours envoyé vous invitant
à télécharger un fichier se terminant par .com
Ce lien présent dans les conversations lançait (le site www.very-naked.com étant désactivé) le téléchargement du virus :
Lors de son exĂ©cution, ce virus se propageait sur l’ordinateur de la victime et scrutait son carnet d’adresse MSN pour envoyer le lien Ă tous ses contacts. SymptĂ´mes
Vous avez téléchargé un fichier douteux se nommant nakedmodel18.com via le site (désactivé)
Connexion interrompue, lenteur inhabituelle du PC
Vos contacts MSN reçoivent des messages leur envoyant un lien douteur
Eradication du Virus
Les personnes possédant encore ce virus pourront faire un scan avec leur antivirus préféré qui devrait normalement le détecter. Elles pourront aussi utiliser le désinfecteur LiveKill : Télécharger le désinfecteur LiveKill pour Vista
Télécharger le désinfecteur LiveKill pour XP
Vous pouvez Ă©galement utiliser cet antivirus en ligne gratuit qui scannera le contenu de votre ordinateur.
Eradication manuelle
Si ces antivirus n’ont toujours pas dĂ©tectĂ© et Ă©radiquĂ© le virus, voici la manipulation Ă effectuer :
Ouvrez le menu DĂ©marrer puis cliquez sur “Executer” et tapez dans la fenĂŞtre s’affichant :
msconfigpuis validez.
Dans la fenĂŞtre s’ouvrant, choisissez l’onglet “DĂ©marrer” et recherchez la ligne contenant le mot services.exe et dĂ©cochez la case correspondant Ă cette ligne.
Validez par OK, puis redémarrez votre ordinateur.
Ouvrez le Poste de Travail puis activez les fichiers cachĂ©s en allant dans le menu “Outils”, “Options des dossiers…”. Dans la fenĂŞtre qui s’affiche, choisissez l’onglet “Affichage” puis cochez la case “Afficher les fichiers et dossiers cachĂ©s”.
Rendez-vous dans le dossier :
Sous Windows Vista : C:\Users\VotreNomUtilisateur\AppData\Local\TempSous Windows XP : C:\Documents and Settings\VotreNomUtilisateur\Local Settings\Temp\services.exe
Faites un clic droit sur le fichier services.exe puis “Supprimer”. Allez sur votre Bureau et videz la Corbeille.
Le virus a été supprimé !
De MSNCREATIVE.NET
L’application ne nĂ©cessite aucune installation et peut donc ĂŞtre exĂ©cutĂ©e depuis une clĂ© USB, ce qui est utile pour dĂ©panner le PC d’un proche. Le logiciel est d’origine espagnole mais l’interface est proposĂ©e en plusieurs langues dont le français. Le fonctionnement est très simple : un bouton lance une analyse et un deuxième bouton permet de supprimer es fichiers dĂ©tectĂ©s. Il est Ă©galement possible de dĂ©bloquer Internet Explorer et d’autoriser divers composants comme le gestionnaire de tâches ou le panneau de configuration pendant l’analyse, ainsi que de gĂ©nĂ©rer un rapport.
