Swen.A est un virus qui se propage par email,
IRC, KaZaA et via les dossiers partagés. Il se présente
sous la forme d'un message dont le titre et le nom du fichier
joint sont aléatoires, en se faisant passer pour un correctif
de sécurité de l'éditeur Microsoft. Si
le fichier joint est exécuté, le virus tente de
désactiver les antivirus et firewalls personnels les
plus courants, s'envoie à tous les correspondants présents
dans le carnet d'adresses Windows et se copie sous divers noms
aguicheurs dans le répertoire partagé via KaZaA.
|
PREVENTION :
Les utilisateurs concernés doivent mettre
à jour leur antivirus. En cas de doute, les utilisateurs
d'Internet Explorer 5.01 et 5.5 doivent aussi mettre
à jour leur navigateur via le site
de Microsoft ou le service WindowsUpdate
afin de corriger la faille parfois exploitée
par le virus pour s'exécuter automatiquement.
DESINFECTION :
Avant de commencer la désinfection, il est impératif
de s'assurer avoir appliqué les mesures préventives
ci-dessus afin d'empêcher toute réinfection
de l'ordinateur par le virus. Les utilisateurs ne disposant
pas d'un antivirus peuvent utiliser gratuitement l'utilitaire
de désinfection FixSwen pour rechercher et
éliminer le virus.
|
TYPE :
Ver
SYSTEME(S) CONCERNE(S) :
Windows 95
Windows 98
Windows Me
Windows NT
Windows 2000
Windows XP
Windows 2003
ALIAS :
Swen (F-Secure)
I-Worm.Swen (Kaspersky)
W32/Swen@mm (McAfee)
W32/Gibe-F (Sophos)
W32.Swen.A@mm (Symantec)
Worm.Automat.AHB (Symantec DIS)
WORM_SWEN.A (Trend Micro)
TAILLE :
106.496 octets
DECOUVERTE :
18/09/2003
DESCRIPTION DETAILLEE :
Swen.A est un virus qui se propage par email, IRC, KaZaA
et via les dossiers partagés. Il se présente
sous la forme d'un message dont le titre et le nom du fichier
joint sont aléatoires, en se faisant passer pour un
correctif de sécurité Microsoft grâce
à une charte graphique imitant celle de l'éditeur
ou pour un message d'erreur en réponse à un
courrier mal adressé :
Quelques noms d'expéditeur possibles :
- MS Program Security Section
- MS Technical Assistance
- MS Inet Email System
- Microsoft Corporation Program Security Division
- Microsoft Corporation Technical Bulletin
- Net Email Delibvery System
- Network Message Service
- Internet Storage System
- Internet Mail Service
- Administrator
- "" (vide)
Quelques titres de message possibles :
- Microsoft Critical Patch
- New Microsoft Patch
- New Internet Critical Upgrade
- Current Internet Security Update
- Annoucement
- Returned Response
- Error Report
- failure annoucement
- Bug Letter
- Failure Message
- Mail User Unknown
- Undelivered Message : Returned To Mailer
- Net Update
- Abort Notice
- Last Microsoft Upgrade
- "" (vide)
La pièce jointe possède un nom aléatoire
et une extension en .EXE ou .ZIP :
- Install8.exe
- Q591362.exe
- INSTALL897.exe
- Patch42.exe
- q645617.exe
- Patck.exe
- Update418.exe
Le virus s'exécute automatiquement à l'ouverture
du message ou lors de son affichage dans la fenêtre
de prévisualisation d'Outlook, si l'application n'est
pas à jour dans ses correcifs. Si le fichier joint
est exécuté, Swen.A simule l'installation d'un
correctif en ouvrant une boîte de dialogue "This
wil install Microsoft Security Update. Do you wish to continue?",
mais quelle que soit la réponse le virus infecte l'ordinateur.
S'il a déjà contaminé l'ordinateur concerné,
une fenêtre affiche alors "This update does not
need to be installed on this system". Swen.A tente ensuite
de désactiver les antivirus et firewalls personnels
les plus courants, s'envoie à tous les correspondants
présents dans le carnet d'adresses Windows ainsi qu'aux
adresses trouvées dans les fichiers .EML, .DBX, .MBX,
.ASP et .HT*, et se copie sous divers noms aguicheurs dans
le répertoire partagé via KaZaA, dont notamment
:
- SIRCAM CLEANER.EXE
- WINZIP UPLOAD.EXE
- YAHOO HACKER.EXE
- HALLUCINOGENIC SCREENSAVER.EXE.
Si le logiciel mIRC est installé, le virus modifie
le fichier Script.ini pour s'envoyer automatiquement aux autres
utilisateurs lors d'un chat. Enfin, le Swen.A tente de se
propager via les partages réseau en se copiant dans
le dossier Démarrage des machines distantes.
INFORMATIONS COMPLEMENTAIRES :
-> Abonnement
gratuit à la lettre Secuser Alerte pour être prévenu
de l'apparition des nouveaux hoax et virus
-> Messages
trompeurs envoyés par Swen.A indexés par Hoaxkiller.fr
-> FAQ
: des dizaines de messages infectés envahissent ma boîte aux
lettres. Mon ordinateur est-il contaminé? Comment arrêter
ça?
-> FAQ
: une alerte m'indique qu'un virus a été trouvé dans un message
que j'ai envoyé. Mon ordinateur est-il infecté?
-> FAQ : comment
désinfecter le répertoire C:\RESTORE?
-> FAQ
: que faire dans le cas d'un fichier "uncleanable"
(non nettoyable)?
-> FAQ
: comment supprimer un fichier en cours d'utilisation?
-> FAQ
: qu'est-ce que le partage de fichiers et comment y mettre
fin?
-> Dossier
Secuser.com sur les virus
|
