Sécurité - Selon des experts en sécurité, le virus sommeille dans plusieurs millions de systèmes Windows. Certains affirment que Sober-Z serait programmé pour un envoi massif de spams de propagande nazie le 5 janvier 2006.

La dernière variante du virus Sober, baptisée Sober-Z, est programmée pour lancer une offensive de spams le 5 janvier 2006, affirment les chercheurs de la société de sécurité américaine iDefense, qui ont analysé son code en profondeur.

«L'attaque pourrait avoir un impact non négligeable sur le trafic internet, comme les serveurs de messagerie», estime iDefense. Ce que confirme l'éditeur de solution de sécurité Sophos.

«Nous avons constaté dans le code de Sober-Z, la programmation d'un téléchargement de code prévue pour janvier prochain depuis notamment des FAI allemands», confie à ZDNet.fr,  Michel Lanaspèze, directeur marketing et communication, de Sophos France. «Nous estimons qu'il y a un risque que les machines infectées servent de base pour la diffusion de spams nationalistes allemands, comme ce fut le cas de Sober-N.»

Les experts d'iDefense relèvent, pour leur part, que le 5 janvier 2006 correspond au 87e anniversaire de la création du Parti ouvrier allemand qui sera transformé, en février 1920, en parti national socialiste par Hitler. Ils en déduisent également que le code qui sera téléchargé à cette date pourrait permettre la diffusion de courriers non sollicités à caractère propagandiste.

Ils estiment que cette trentième variante de Sober depuis octobre 2003, a déjà réussi à infecter «plusieurs millions de systèmes dans le monde» en prélude à l'attaque de janvier prochain. Il serait ainsi en mesure de diffuser «plusieurs centaines de millions» de spams.

Un message en provenance du FBI ou de la CIA

Sober-Z cible exclusivement les PC équipés de Windows. Son mode de propagation est classique puisqu'il arrive sur le système sous la forme d'un e-mail au contenu variable, rédigé en allemand pour des adresses allemandes ou en anglais pour les autres. 

Il se fait notamment passer pour un message provenant d'un enquêteur du FBI ou de la CIA, et accuse le destinataire de visiter des sites web illégaux afin de l'inciter à exécuter la pièce jointe. Le virus est bien entendu caché dans cette pièce attachée: un fichier compressé, baptisé notamment "reg_pass.zip" ou "reg_pass-data.zip". En l'ouvrant, l'utilisateur active le virus.

Sober-Z modifie alors la base de registre pour se lancer à chaque démarrage et chercher des adresses électroniques présentes sur le système afin de "s'auto-envoyer", grâce à son propre moteur SMTP (Simple Mail Transfer Protocol). Il ouvre aussi des portes dérobées pour pouvoir télécharger du code à distance.

Les éditeurs de logiciels antivirus ne fournissent pas de procédure d'éradication manuelle de ce virus, mais rappellent que leurs produits protègent de cette menace depuis le 22 novembre. Il suffit donc de mettre à jour son outil et de lancer une analyse pour détecter éventuellement sa présence et s'en débarrasser.

Selon Sophos, les virus Zafi-D et Netsky-P restent en tête des propagations sur l'année 2005 avec respectivement 16,7% et 15,7% des infections détectées dans le monde. Mais ils sont suivis par Sober-Z, avec 6% des infections, alors que ce virus n'est apparu que fin novembre. Le mois dernier, les attaques de Sober-Z représentaient «au maximum de sa diffusion jusqu'à un courriel sur treize en circulation», indique l'éditeur.

Retrouvez les antivirus testés par ZDNet.fr et les versions à télécharger sur notre logithèque

Source: http://www.zdnet.fr/actualites/informatique/0,39040745,39293879,00.htm