W32.Mimail.J@mm

En raison du nombre décroissant de virus soumis, Symantec Security Response a réévalué cette menace qui passe au Niveau 2 à partir du 6 janvier 2004. W32.Mimail.J@mm est un ver d'envoi en masse de courrier qui tente de dérober des informations personnelles. Le ver affiche une série de formulaires invitant l'utilisateur à saisir les détails de sa carte de crédit. (Voir les copies d'écrans dans la section Détails techniques.) Ces informations sont enregistrées puis transférées par la suite à certaines adresses électroniques. Ce ver est similaire à W32.Mimail.I@mm. Le courrier électronique présente les caractéristiques suivantes : De : Do_Not_Reply@paypal.com Objet : IMPORTANT  <chaîne aléatoire de caractères> Pièce jointe : InfoUpdate.exe -ou- www.paypal.com.pif Remarque : Les définitions de virus datées du 17.11.03 rév. 21 (20031117.021) ou supérieures sont requises pour détecter cette menace. Symantec Security Response a créé un outil de suppression pour nettoyer toutes les infections de W32.Mimail.J@mm.

Egalement appelé :	W32/Mimail.j@MM [McAfee], WORM_MIMAIL.J [Trend], Win32.Mimail.J [Computer Associates], W32/Mimail-J [Sophos], I-Worm.Mimail.j [Kaspersky]
Variantes :	W32.Mimail.I@mm
Type :	Ver
Etendue de l’infection :	13 856 octets
Systèmes affectés :	Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP
Systèmes non affectés :	DOS, Linux, Macintosh, OS/2, UNIX, Windows 3.x

Définitions de virus (LiveUpdate™ Weekly) 17/11/2003 Définitions de virus (Intelligent Updater) 17/11/2003

Wild Nombre d’infections : Plus de 1000 Nombres de sites : Plus de 10 Répartition géographique : Moyen Endiguement de la menace : Facile Suppression : Modéré

Métrique de la menace Wild : Faible Dommages : Moyen Distribution : Elevé

Dommages

• Elément déclencheur : ne s'applique pas
• Charge utile : ne s'applique pas
  • Envoie du courrier électronique à grande échelle : S'expédie en masse aux adresses trouvées dans le cache de l'explorateur IE
  • Supprime les fichiers : ne s'applique pas
  • Modifie les fichiers : ne s'applique pas
  • Dégrade les performances : ne s'applique pas
  • Provoque l’instabilité du système : ne s'applique pas
  • Divulgue des informations confidentielles : Tente de dérober des informations personnelles
  • Compromet les paramètres de sécurité : ne s'applique pas

Distribution

• Objet du courrier électronique : Important %s
• Nom de la pièce jointe : InfoUpdate.exe ou www.paypal.com.pif
• Taille de la pièce jointe : 13 856 octets
• Date de la pièce jointe : ne s'applique pas
• Ports : ne s'applique pas
• Lecteurs partagés : ne s'applique pas
• Cible de l’infection : ne s'applique pas

Lorsque W32.Mimail.J@mm s'exécute, il agit ainsi :

1. Il se copie comme %Windir%\svchost32.exe et %Windir%\ee98af.tmp.
   

   ---

   Remarque : %Windir% est une variable. Le ver détermine l'emplacement du dossier d'installation de Windows (C:\Windows ou C:\Winnt par défaut) et se copie à cet emplacement.

   ---

2. Il ajoute la valeur :
   
   "SvcHost32"="%Windir%\svchost32.exe"
   
   à la clé de registre :
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
   
   de façon à ce que le ver s'exécute lorsque vous démarrez Windows.
   
3. Il affiche le fichier .hta, illustré ici :
   
   
   

   ---

   Remarques :
   • Il ne s'agit pas de pages web mais d'un fichier créé par le ver (C:\pp.hta).
   • Utilisez la combinaison de touches Ctrl+F4 pour fermer cette fenêtre car celle-ci ne dispose pas de bouton Fermer.

     ---

4. Un second fichier .hta apparaît, une fois que le formulaire a été renseigné et que l'utilisateur a cliqué sur le bouton Suivant :
   
   
5. Le ver sauvegarde ensuite les informations renseignées dans ce formulaire dans le fichier C:\ppinfo.sys et affiche un troisième fichier .hta :
   
   
6. Le ver vérifie la présence du fichier "ppinfo.sys," qui indique que le formulaire fictif PayPal a été renseigné.
   
7. Le ver recherche une connexion Internet active en essayant de résoudre le nom d'hôte www.akamai.com. S'il y parvient, le ver tente d'envoyer ces informations à certaines adresses électroniques prédéfinies.
   
8. Le ver recherche des adresses électroniques dans les fichiers Internet en cache, sauf pour ceux dont l'extension est :
   
   • .com
   • .wav
   • .cab
   • .pdf
   • .rar
   • .zip
   • .tif
   • .psd
   • .ocx
   • .vxd
   • .mp3
   • .mpg
   • .avi
   • .dll
   • .exe
   • .gi
   • .jpg
   • .bmp
     
9. Il sauvegarde toutes les adresses électroniques trouvées dans le fichier %Windir%\el388.tmp.
   
10. Le ver se connecte à un serveur SMTP et envoie du courrier électronique aux adresses qu'il s'est procurées.
    
11. Le courrier électronique présente les caractéristiques suivantes :

Symantec Security Response invite utilisateurs et administrateurs à adopter les mesures de base les plus efficaces en matière de sécurité :

• Eteignez et supprimez tous les services inutiles. Par défaut, de nombreux systèmes d’exploitation installent des services auxiliaires qui ne sont pas primordiaux, tels qu’un client FTP, telnet, et un serveur Web. Ces services sont la porte ouverte aux attaques. S’ils sont supprimés, les attaques ont moins de chances de parvenir et vous avez moins de services à entretenir au moyen de correctifs.
• Si une attaque multiple exploite un ou plusieurs services réseau, désactivez ou bloquez l’accès à ces services jusqu’à ce qu’un correctif soit appliqué.
• Maintenez toujours le niveau de vos correctifs à jour, en particulier sur les ordinateurs qui hébergent des services publics et qui sont accessibles via un firewall, tels que HTTP, FTP, messagerie, et services DNS.
• Appliquez une stratégie un mot de passe. Sur les ordinateurs compromis, il est plus difficile de violer les fichiers de mots de passe si ceux-ci sont complexes. Ceci vous permet d’éviter ou de limiter les dommages potentiels encourus par un ordinateur compromis.
• Configurez votre serveur de messagerie afin de bloquer ou de supprimer les e-mails qui contiennent des annexes couramment utilisées pour propager des virus, comme par exemple les fichiers .vbs, .bat, .exe, .pif et .scr.
• Isolez rapidement les ordinateurs infectés afin d’éviter de compromettre d’avantage votre organisation. Effectuez une analyse complète et restaurez les ordinateurs utilisant des médias approuvés.
• Exhortez les employés à n’ouvrir que les pièces jointes attendues. Aussi, n’exécutez aucun logiciel téléchargé depuis Internet qui n’a pas subi de recherche de virus. Le simple fait de visiter un site Internet compromis peut provoquer une infection si certaines vulnérabilités du navigateur ne sont pas corrigées.

1. Désactivez l'option de restauration du système (Windows Me/XP)
2. Actualisez les définitions de virus.
3. Effectuez l'une des opérations suivantes :
   • Windows 95/98/Me : Redémarrez l’ordinateur en mode sans échec.
   • Windows Me/2000/XP : Terminez le processus malveillant.
4. Exécutez une analyse complète du système et éliminez tous les fichiers détectés comme W32.Mimail.J@mm.
5. Supprimez la valeur ajoutée au registre.
6. Supprimez les fichiers non malveillants déposés par W32.Mimail.J@mm.

• Comment désactiver ou activer la restauration automatique de Windows Me
• Comment désactiver ou activer la restauration automatique de Windows XP

• La méthode la plus simple pour obtenir les dernières définitions de virus est d'exécuter LiveUpdate : Celles-ci sont publiées chaque semaine sur les serveurs LiveUpdate (en principe tous les mercredis) sauf en cas d'attaque virale critique. Pour savoir si des définitions de LiveUpdate sont disponibles pour cette menace, reportez-vous à la ligne Définitions de virus (LiveUpdate) de l'encadré Protection de cet article.
• L'autre consiste à télécharger les définitions de virus en utilisant Intelligent Updater. Les définitions de virus d'Intelligent Updater sont publiées les jours ouvrés aux Etats-Unis (du lundi au vendredi). Elles doivent être téléchargées sur le site Web de Symantec Security Response puis installées manuellement. Pour savoir si des définitions d'Intelligent Updater sont disponibles pour cette menace, reportez-vous à la ligne Définitions de virus (Intelligent Updater) de l'encadré Protection de cet article.
  
  Les définitions de virus d'Intelligent Updater sont disponibles : Pour des instructions détaillées, consultez le document intitulé Comment mettre à jour les définitions de virus en utilisant l'Intelligent Updater.

• Windows 95/98/Me
  Arrêtez l'ordinateur puis éteignez-le. Attendez au moins 30 secondes puis redémarrez l'ordinateur en mode sans échec. Pour des instructions détaillées, consultez le document Comment démarrer l'ordinateur en mode sans échec.
  
• Windows NT/2000/XP
  Pour terminer le processus malveillant :
  1. Appuyez sur Ctrl+Alt+Suppr une seule fois.
  2. Cliquez sur Gestionnaire des tâches.
  3. Cliquez sur l'onglet Processus.
  4. Cliquez deux fois sur l'en-tête de colonne Nom de l'image pour trier les processus par ordre alphabétique.
  5. Faites défiler la liste pour trouver svchost32.exe.
  6. Si vous trouvez le fichier, sélectionnez-le puis cliquez sur le bouton Terminer le processus.
  7. Quittez le Gestionnaire des tâches.
     
     

1. Démarrez votre programme anti-virus Symantec et assurez-vous que ce dernier a été configuré pour analyser tous les fichiers.
   • Pour les produits grand public Norton AntiVirus : Lisez le document Comment configurer Norton AntiVirus afin qu'il analyse tous les fichiers.
   • Pour les produits anti-virus Enterprise Symantec : Lisez le document Comment vérifier qu'un produit antivirus Corporate Edition de Symantec est configuré de façon à analyser tous les fichiers.
2. Exécutez une analyse complète du système.
3. Si un fichier est détecté comme infecté par W32.Mimail.J@mm, cliquez sur Supprimer.

1. Cliquez sur Démarrer > Exécuter. (La boîte de dialogue Exécuter apparaît.)
2. Tapez regedit
   
   Puis cliquez sur OK. (L’Editeur du Registre apparaît.)
   
3. Accédez à la clé suivante :
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   
4. Dans le volet de droite, supprimez la valeur :
   
   "SvcHost32"="%Windir%\svchost32.exe"
   
5. Quittez l’Editeur du Registre.

• %Windir%\zp3891.tmp
• %Windir%\ee98af.tmp
• %Windir%\el388.tmp
• C:\ppinfo.sys
• C:\pp.hta
• C:\pp.gif

Historique :

• 6 janvier 2004 : Réévalué du Niveau 3 au Niveau 2 suite au nombre décroissant de virus soumis.
• 18 novembre 2003 : Mise à jour du formatage et ajout d'informations sur les alias.
  
  

Article rédigé par : Maryl Magee