![]() |
Il existe plusieurs variations du virus Kak. Les fichiers semblent êtres les mêmes mais les symptômes diffèrent légèrement. J'espère donc que la méthode ci-dessous pour virer le Kak 'marchera' aussi.
Pour commencer, il faut regarder du côté de votre autoexec.bat. Soit vous supprimez les deux lignes après @echo off, soit vous supprimez complètement l'autoexec.bat et vous renommez le fichier ae.kak en autoexec.bat. En fait le ae.kak est une copie de votre autoexec.bat avant l'infection. Supprimez aussi l'autoexec.ago ainsi que toute autre copie de l'autoexec où les deux lignes suspectes apparaissent (lignes suspectes = celles ne figurant pas dans la version que vous aviez pris soin de copier sur une disquette de secours lors de la première installation de votre machine !...)
Le SET TMZ=GMT0 n'est pas inquiétant, il ne fait qu'indiquer (à qui ??? ça c'est un mystère) la zone horaire dans laquelle vous vous trouvez, en l'occurrence celle de Greenwitch {un commentaires sur l'orthographe ? :-) }
Maintenant, il faut supprimer les fichiers suivants :
C:\WINDOWS\MENU DEMARRER\PROGRAMMES\DEMARRAGE\KAK.HTA
C:\WINDOWS\SYSTEM\D18BF360.HTA
C:\WINDOWS\KAK.HTM
C:\WINDOWS\KAK.REG ;;si il est présent ce qui n'est
pas sûr
Videz la corbeille !!!
On arrive ensuite à la phase la plus délicate si vous n'avez pas l'habitude de vous balader dans la base de registres.
Allez dans le menu démarrer, faites exécuter
et tapez regedit.
En descendant l'arborescence des clés, allez dans la rubrique suivante
:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Currentversion\Run
Dans la partie droite de la fenêtre, vous devez voir une valeur appelée
"cAg0u". Il faut la supprimer.
Si votre virus n'est pas le Kak d'origine mais une variation, il est
possible que cette valeur soit différente. Dans ce cas, il vous faudra
voir d'autres documentations mentionnées plus bas afin d'identifier
celle qui paraît suspect.
Systray et Explorer sont deux choses qui se trouvent là
légitimement. Vous pouvez sans doute identifier d'autres éléments
d'après leur nom ou leur chemin d'accès.
Une fois que vous avez repéré la valeur cAg0u ou son remplaçant, il faut le supprimer (un clic droit dessus vous ouvre le menu contextuel).
Il ne reste plus qu'à changer votre signature dans Outlook. Supprimez l'ancienne ; et recréez une nouvelle. [Vous n'aviez pas de signature automatique ? Il vous faut tout de même vérifier et en créer une ; vide si vous voulez. Comment faire ? Envoyez-moi un courriel si besoin est ...]
Voila, vous pouvez (devez) redémarrer l'ordinateur et ne devez plus avoir de soucis.
Petites précisions quand même :
- pendant toutes ces opérations, veillez bien à ne pas avoir
Outlook ouvert.
- le virus vient bien d'un mail sans attachement. Il s'agit d'un message
au format html (voir page sur les courriels) qui contient un script VBScript qui n'est
pas affiché mais qui s'exécute automatiquement lorsque vous
ouvrez le message.
Conclusion, si à l'avenir vous ouvrez à nouveau le message
qui contenait le virus, vous le chopez encore.
- Netscape est immunisé conter ce virus :-)
- Il existe un patch édité par Microsoft contre ce genre de
bestioles
Pour les infos (sélectionner, copier,
coller ; voir ici ou là) :
http://www.microsoft.com/technet/security/bulletin/ms99-032.asp
Pour télécharger le patch :
http://www.microsoft.com/msdownload/iebuild/scriptlet/en/125795_INTL.htm
Voir aussi :
http://lafraternite.gameloft.fr/trucs/virus.html
Identité : WORM_BADTRANS.B
Risque : moyen
Potentiel destructif : aucun
Mais quand même ennuyeux parce qu'on a pas que ça à faire...
Pour savoir comment l'éradiquer :
http://www.antivirus.com/vinfo/virusencyclo/default5.asp?VName=WORM_BADTRANS.B
[si ce lien à copier/coller ne fonctionne plus, se rendre sur
le Site de Trend lié ici]
C'est en anglais et, en plus c'est sympa, il faut aller dans la base de
registres {voir "explications" ci-dessus}. A vous de voir comment
vous travaillez : vous passez 10 minutes en ligne ou vous copiez/collez
la marche à suivre dans le Bloc-notes.
[A ce sujet, Symantec - voir
ici - offre de scanner votre disque dur en ligne ; ça prend,
au minimum, 20 minutes]
Le problème avec ce virus c'est qu'il s'exécute automatiquement
sans qu'il y ait besoin d'ouvrir le fichier joint (comme Kak).
Le message reçu n'a pas d'objet, il faudrait le supprimer avant qu'il
ne s'exécute ... [Je signale ce genre de mail ici]
Il se propage au hasard dans les adresses de mails du logiciel Internet Explorer (particulièrement Outlook). 'Impossible' de savoir qui vous l'a envoyé.
Merci à Alain A. & Mathieu S., sources de ce "topo".
Des patchs pour la protection du "fragile" logiciel Outlook
express sur le site de microsoft sont aussi recommandés :
http://www.microsoft.com/windows/ie/downloads/recommended/ie55sp2/default.asp
Le virus " Magister". Il resterait latent pendant 48
h à un mois, selon les sources retrouvées, puis il pille votre
carnet d'e-mail, envoie des messages incohérents avec des objets
tout aussi incohérents et le tout avec votre signature.
L'élément polluant : la pièce jointe, un point BAT
(ces charmants petits utilitaires que nous faisions
au temps béni de DOS). Vous pouvez l'éradiquer
avec NORTON 5 et sa mise à jour de janvier 2002 (ceci
n'est pas une pub).
Conseil connexe : laissez en permanence les antivrus sur votre ordinateur
même si ce dernier rame un peu plus.
Merci à Gérard & Michelle B., sources de ce "tuyau".
Le premier virus Flash est né. (Pas
de danger que vous l'attrapiez en visitant la NSC qui 'renie' les effets
"Flash")...
Le premier virus s'attaquant au format Flash (de Macromedia) vient d'être
découvert par l'éditeur d'antivirus Sophos.
Baptisé SWF/LFM-926, le virus ne semble pas bien dangereux. L'agent
infectieux ne s'attaquerait qu'aux fichiers au format .SWF installés
sur le disque dur des utilisateurs. Ce virus vise les webmasters qui exploitent
Shockwave pour animer leur site". Les utilisateurs visitant un site
web infecté seront à leur tour victimes s'ils téléchargent
un fichier Flash et l'ouvrent localement. Les bannières publicitaires,
nombreuses à exploiter le format Flash, sont les plus susceptibles
d'être touchées par le virus.
Ce n'est pas le premier exemple du genre ; celui d'une fausse alerte. Autant en parler. Ca commence par un courriel de ce genre (entre [], mes commentaires) :
"On a reçu un avertissement d'un virus qui n'est pas détecté
par les programmes Mcafee et Norton Anitvirus. Il est transmit par le carnet
d'adresses automatiquement, si vous envoyer les e-mails ou non.
[PROPAGANDE DE CONCURRENTS ?]
Il faut donc aller à:
1. démarrer et puis rechercher
2. Fichiers ou dossiers, puis inscrivez le nom: jdbgmgr.exe
3. dans la case Chercher, il faut choisir C:\
4. démarrer la recherche
5. le logo du virus c'est un petit ours [EXACT; mignon,
NON ?!]
6. marquer (sélectionner) et supprimer
7. Vider la corbeille
[DEMARCHE BONNE MAIS BIEN TROP SIMPLE CONTRE UN VERITABLE
VIRUS, VOIR KAK...]
Si vous avez trouvé ce virus, il faudrait avertir TOUTES les personnes
dans votre carnet d'adresses pour qu'ils recherchent le virus aussi".
[LE BUT CLASSIQUE de ces alertes : ENCOMBRER LE MAIL
ET LE WEB]
L'avis de Hoaxbuster
: Le faux virus "jdbgmgr.exe"
En circulation depuis Avril 2002 : Inutile de vous lancer à la recherche
du fichier caché et de l'éradiquer sans pitié puisqu'il
s'agit d'un utilitaire Windows permettant de débuguer des programmes
rédigés en Java.
Un virus nommé Chet exploite le drame du 11
septembre 2001. Un courriel envoyé par main@world.com, titré
"All people !!" avec une pièce jointe "11september.exe".
Le type même d'e-mail que n'ouvrent pas les signataires de ces pages,
comme il est précisé ici ; Chet,
à deux lettres près (S et i), porte bien son nom.
> Date: Thu, 3 Oct 2002 18:21:35 +0200 (added by postmaster@wanadoo.fr)
Ce Postmaster figurent étrangement dans une
majorité de Spam et de tentatives d'infection que nous recevons.
Aucun de nous (Gilliath, Gérald, Olivier) n'avons de compte à
Wanadoo. Ce "mec" est-il sans cesse mentionné en vertu
du monopole de France Télécom ?
> From: Olivier Schmidt-Chevalier
> <olivier.sc@libertysurf.fr>
> Reply-To: Olivier Schmidt-Chevalier
> <olivier.sc@libertysurf.fr>
> Subject: Re: Je fait du piano
La personne existe bel et bien ; mais tout comme pour
Wanadoo, elle n'a aucun compte à Libertysurf (devenu Tiscali). Par
contre : le titre du courriel est réel ; et ça ...
Analyse service courrier Yahoo :
Et/eh oui : les courriers suspects - trouvés
par IMP -, sont
de suite détruits sans être lus ; ou, envoyés dans une
autre boîte aux lettres pour vérification. Navré, c.....d
!
Cette pièce jointe contient un virus
susceptible d'infecter votre ordinateur. Elle ne peut pas être nettoyée.
Nous vous recommandons expressément de ne pas la télécharger.
Fichier : Carnet Type : audio/x-midi
Résultat : Virus W32.Bugbear@mm trouvé.
Le Fichier n'a PAS été nettoyé.
Nous vous mettons les détails car TREND parle d'un autre fichier attaché pour ce même virus dont parle aussi SYMANTEC et dont vous trouverez une proposition afin de vous en débarrasser chez PENDA SECURITY.
http://www.trendmicro.fr/outbreak.htm
http://www.pandasecurity.com/
Voir aussi :
http://solutions.journaldunet.com/0210/021004_bugbear.shtml
Combien de fois faudra-t-il le répéter ? ;-)
![]() |
"Free online scanner" qui prend bien 45 minutes si vous scannez (recommandé) tout votre ordinateur. Efficace ! Voir aussi. |
![]() |
![]() |