L'année 2002 a vu se confirmer l'existence d'une nouvelle cybermenace : le viroax. Comme un virus, il peut supprimer des fichiers et se transmettre à tous vos contacts. Comme un hoax, il ne nécessite aucune connaissance en programmation et utilise la crédulité de l'internaute pour arriver à ses fins. Les canulars du Net étaient jusqu'à présent appelés "virus du pauvre" quelque peu abusivement. Avec les viroax, cette expression prend désormais tout son sens.

Qu'est-ce qu'un viroax?

Un viroax - contraction de "virus et "hoax" - est un simple courrier électronique qui sous un faux prétexte tente de persuader l'internaute d'exécuter une action dangereuse pour l'intégrité ou la sécurité de son système, puis de l'inciter à avertir tous ses contacts pour leur recommander de faire de même.

Généralement, il s'agit de supprimer un fichier sain (utilitaire du système d'exploitation, composant d'une application connue, etc.) au motif qu'il serait en réalité un virus. Les internautes convaincus de la menace exécutent alors à la lettre la procédure préconisée, puis font suivre une copie du message à leurs correspondants en pensant leur rendre service.

Un peu d'histoire

L'histoire du viroax commence comme un gag : celui du virus belge, encore appelé virus sur l'honneur. Ce message humoristique circule toujours aujourd'hui, sous forme de texte ou d'image :

Le véritable premier viroax est apparu en avril 2001 au Brésil et visait le fichier Sulfnbk.exe. Traduit dans des langues aussi variées que l'anglais, le danois, le français, le chinois ou l'indonésien, il a connu depuis une propagation mondiale. Voici la première version intégrale française que nous ayons reçue, datée du 31 mai 2001 :

Les circonstances de l'apparition du message originel ne sont pas clairement établies, aussi n'est-il pas certain qu'il ait été diffusé avec l'intention de nuire. En effet, à cette même époque le virus Magistr.A se propageait déjà sous divers noms de fichiers joints dont Sulfnbk.exe, donc une personne de bonne foi mais mal informée aurait pu faire un amalgame.

Fonctionnement d'un viroax

Le viroax est un message bien construit, en apparence solidement argumenté mais qui mélange en fait mensonges et vérités dans un langage pseudo-technique. Sa crédibilité ne fait ainsi aucun doute aux yeux d'un internaute non averti ou pressé, d'autant que ce message est transmis par un ami, un collègue ou un client, donc a priori une personne de confiance.

Les viroax exploitent un levier psychologique simple et bien connu : créer une peur, puis apporter immédiatement le remède, afin de favoriser le passage à l'acte. Sauf que la peur n'a aucune raison d'être, et que le remède consiste à exécuter une action hostile à l'intégrité du système.

Afin de mieux comprendre les mécanismes de fonctionnement d'un viroax, voici ci-dessous le découpage commenté d'une autre version du viroax Sulfnbk.exe, conçue cette fois délibérément dans l'intention de nuire :

Envoyé par un proche, sans fichier joint et semblant rédigé spécialement à son attention, le message a tout pour mettre en confiance le destinataire.

En fait, il s'agit simplement de la copie d'un message que son ami ou collègue a lui-même reçu d'un autre de ses correspondants. Tout juste peut-il contenir une mention amicale ajoutée avant de transférer le message, ce qui renforcera néanmoins encore un peu plus sa crédibilité.

L'auteur du viroax veut évidemment toucher un maximum de monde. Le concept du "virus indétectable", un classique chez les canulars, permet d'inquiéter et d'impliquer y compris les possesseurs d'antivirus.

La présence des noms d'éditeurs d'antivirus renommés participe indirectement à crédibiliser l'existence du faux virus, et leur prétendue impuissance face à cette menace n'en rend la situation que plus dramatique.

Dans la réalité, les éditeurs d'antivirus sont le plus souvent capables de mettre au point un antidote en quelques minutes à quelques heures après la découverte d'un nouveau virus. Le danger pour l'utilisateur est donc plutôt de ne pas mettre à jour régulièrement son antivirus.

La propagation des virus de mail via le carnet d'adresses est un phénomène réel et maintenant bien connu. Il sert ici d'argument pour justifier que le destinataire doit avoir été contaminé, mais le point principal est passé sous silence : le fichier présent sur le disque est-il réellement contaminé ou non?

Seul un antivirus permettrait de le savoir, et probablement de réparer le fichier si vraiment il était infecté. Supprimer un fichier sans vérification est donc la dernière des choses à faire, d'autant qu'en cas de nécessité il existe des antivirus gratuits.

Après avoir eu peur, l'internaute a besoin d'être rassuré. Voilà qu'on lui propose une solution, en plus facile à appliquer : de quoi capter toute son attention, même si certains auront encore quelques doutes.

Afin de mettre encore un peu plus la pression et emporter définitivement la décision de l'internaute, rien de tel que la technique de la date limite rapprochée associée à un péril extrême. Cependant, pour maximiser le caractère incitatif tout en s'assurant que le viroax puisse continuer à circuler indéfiniment, il n'est pas spécifié une date précise mais une durée en jours.

Cet argument devrait faire douter l'internaute, car si le fichier incriminé est réellement un virus et qu'il est présent sur le disque depuis plus de 14 jours, l'ordinateur aurait déjà dû cesser de fonctionner. Par ailleurs, il n'est pas rare de recevoir plusieurs viroax ciblant le même fichier mais comportant une durée de sommeil différente. Cependant, conditionnés par les propos précédents, beaucoup ne prêteront pas attention à ces "détails".

Pour s'assurer une nouvelle fois de toucher un maximum de monde, la procédure permettant de supprimer le fichier est largement détaillée, et l'internaute est incité à transférer le message à tous ses correspondants.

Cette incitation à faire suivre devrait elle aussi faire douter l'internaute, car elle est la signature de tous les hoax circulant sur Internet. Tout message se terminant ainsi doit être considéré comme hautement suspect.

Autre contradiction notable : la mention "ATTENTION : NE PAS OUVRIR!!!". L'internaute pensera que c'est pour le préserver du virus, alors que pourtant quelques lignes au-dessous il lui est indiqué que le virus n'est pas actif.

Reste que l'effacement du fichier conservé dans la corbeille prive l'utilisateur du moyen de restaurer facilement le fichier inopportunément supprimé. Le message n'a dès lors plus rien d'un canular.

La redondance avec le début du paragraphe précédent laisse penser que l'une des deux phrases a probablement été copiée/collée depuis un autre hoax, dans le but d'inciter encore une fois l'internaute à propager le viroax à tous ses contacts. Convaincus d'avoir supprimé un vrai virus, beaucoup le feront, d'où une réaction en chaîne.

Une menace grandissante mais facilement évitable

Si l'on peut avoir des doutes quant au but réel du tout premier message concernant Sulfnbk.exe, celui-ci a été suivi de multiples variantes sans ambiguïté quant à leur intention malveillante. Par ailleurs, d'autres fichiers ont été la cible de viroax : Cleanmgr.exe, immédiatement après Sulfnbk.exe, puis plus récemment Setdebug.exe et Jdbgmgr.exe.

Le viroax est en effet une menace facile à mettre en oeuvre : un copier/coller et quelques secondes suffisent à en créer un nouveau. Ci-dessous ont été mises en gras les parties du viroax ciblant Jdbgmgr.exe identiques ou très semblables à celles des viroax visant Sulfnbk.exe :

Cette facilité de fabrication, le "succès" de ce genre de messages auprès d'une grande partie des internautes et la nature même du viroax qui rend difficile toute sanction, devraient conduire au développement de cette menace, d'autant qu'elle prend à contre-pied les règles établies.

En effet, de la même manière que la recommandation qui voulait avant 1999 que pour se protéger des virus "il suffisait de ne pas ouvrir les messages envoyés par des inconnus" a eu un effet pervers lors de l'apparition des virus de mail s'envoyant automatiquement à tout le carnet d'adresses, le fait que les hoax aient jusque-là été considérés comme de gentils canulars permet aux plus destructeurs d'entre eux de se répandre d'autant plus facilement.

Comment se protéger des viroax?

En entreprise, les administrateurs peuvent bloquer les messages contenant le nom du fichier visé par un viroax via un firewall ou tout dispositif de filtrage par mots-clés. Cette procédure à l'avantage d'être simple et radicale, mais elle peut être contournée et conduit au blocage de courriers utiles, comme par exemple nos newsletters Secuser News ou Secuser Alerte.

Dans la mesure du possible, le mieux reste l'information des utilisateurs, d'autant qu'une fois que les mécanismes d'un viroax ont été démontés il devient évident de les identifier et donc de ne plus se laisser piéger. Quatre conseils simples permettent ainsi d'en finir avec les viroax :

• ne pas faire confiance a priori à l'expéditeur d'un message. N'importe qui peut être abusé par une fausse alerte, qu'il soit chef d'entreprise, secrétaire ou ministre. Le nom, la fonction ou l'entreprise de l'expéditeur n'est pas une garantie en soit. Le cas s'est même déjà produit d'un commercial chez un célèbre éditeur d'antivirus ayant transféré à ses revendeurs une alerte qui était en réalité un canular ;
• ne jamais transférer un message douteux. La quasi totalité des alertes qui circulent sur le Net sont des canulars : le doute profitera donc toujours à l'auteur du viroax, mais c'est votre responsabilité (morale) et votre crédibilité qui seront engagées si vous poussez un ami ou un client à effacer des fichiers sains ou si vous diffusez de fausses informations. Il faut systématiquement valider une alerte auprès d'une source sûre avant de la faire suivre à ses connaissances ;
• supprimer un fichier infecté est le plus souvent inutile. En cas de doute sur un fichier, analysez-le avec un antivirus à jour. S'il est infecté, l'antivirus pourra probablement le réparer. Dans le cas contraire, il vous suggérera de le supprimer, mais cette suppression ne doit intervenir qu'en dernier recours. Le fichier concerné est probablement nécessaire au bon fonctionnement de votre ordinateur ou d'une application ;
• rester informé de l'apparition des nouveaux virus et viroax. Secuser.com propose ce service gratuitement sur son site, par abonnement gratuit à la lettre hebdomadaire Secuser News ou encore en temps réel via la liste Secuser Alerte. Etre prévenu de l'apparition des principaux nouveaux virus et viroax permet de savoir au plus tôt comment bien réagir.

Cette prévention anti-viroax est d'ailleurs une excellente occasion pour sensibiliser les utilisateurs à l'existence des hoax, ces messages concernant de faux virus, de fausses disparitions d'enfants, de fausses bonnes astuces, etc. qui polluent régulièrement les boîtes aux lettres.

LIENS UTILES :

- Dossier Secuser.com : virus, généralités et protection
- Antivirus gratuit en ligne pour vérifier si un fichier est réellement infecté
- Liste des principaux faux virus (hoax) circulant sur Internet

E.J.