Virus

Virus

Un virus est un petit programme informatique situé dans le corps d'un autre, qui, lorsqu'on l'exécute, se charge en mémoire et exécute les instructions que son auteur a programmé. La définition d'un virus pourrait être la suivante :
« Tout programme d'ordinateur capable d'infecter un autre programme
d'ordinateur en le modifiant de façon à ce qu'il puisse à son tour se reproduire. »

Le véritable nom donné aux virus est CPA soit Code Auto-Propageable, mais par analogie avec le domaine médical, le nom de "virus" leur a été donné.

Les virus résidents (appelés TSR en anglais pour Terminate and stay resident) se chargent dans la mémoire vive de l'ordinateur afin d'infecter les fichiers exécutables lancés par l'utilisateur. Les virus non résidants infectent les programmes présents sur le disque dur dès leur exécution.

Le champ d'application des virus va de la simple balle de ping-pong qui traverse l'écran au virus destructeur de données, ce dernier étant la forme de virus la plus dangereuse. Ainsi, étant donné qu'il existe une vaste gamme de virus ayant des actions aussi diverses que variées, les virus ne sont pas classés selon leurs dégâts mais selon leur mode de propagation et d'infection.

On distingue ainsi différents types de virus :

• Les vers sont des virus capables de se propager à travers un réseau
  
• Les chevaux de Troie (troyens) sont des virus permettant de créer une faille dans un système (généralement pour permettre à son concepteur de s'introduire dans le système infecté afin d'en prendre le contrôle)
  
• Les bombes logiques sont des virus capables de se déclencher suite à un événement particulier (date système, activation distante, ...)
  

Depuis quelques années un autre phénomène est apparu, il s'agit des canulars (en anglais hoax), c'est-à-dire des annonces reçues par mail (par exemple l'annonce de l'apparition d'un nouveau virus destructeur ou bien la possibilité de gagner un téléphone portable gratuitement) accompagnées d'une note précisant de faire suivre la nouvelle à tous ses proches. Ce procédé a pour but l'engorgement des réseaux ainsi que la désinformation. [url=][/url]

Antivirus



Un antivirus est un programme capable de détecter la présence de virus sur un ordinateur et, dans la mesure du possible, de désinfecter ce dernier. On parle ainsi d'éradication de virus pour désigner la procédure de nettoyage de l'ordinateur.

Il existe plusieurs méthodes d'éradication :

• La suppression du code correspondant au virus dans le fichier infecté ;
  
• La suppression du fichier infecté ;
  
• La mise en quarantaine du fichier infecté, consistant à le déplacer dans un emplacement où il ne pourra pas être exécuté.
  

[url=][/url]
Détection des virus



Les virus se reproduisent en infectant des « applications hôtes », c'est-à-dire en copiant une portion de code exécutable au sein d'un programme existant. Or, afin de ne pas avoir un fonctionnement chaotique, les virus sont programmés pour ne pas infecter plusieurs fois un même fichier. Ils intègrent ainsi dans l'application infectée une suite d'octets leur permettant de vérifier si le programme a préalablement été infecté : il s'agit de la signature virale.

Les antivirus s'appuient ainsi sur cette signature propre à chaque virus pour les détecter. Il s'agit de la méthode de recherche de signature (scanning), la plus ancienne méthode utilisée par les antivirus.
Cette méthode n'est fiable que si l'antivirus possède une base virale à jour, c'est-à-dire comportant les signatures de tous les virus connus. Toutefois cette méthode ne permet pas la détection des virus n'ayant pas encore été répertoriés par les éditeurs d'antivirus. De plus, les programmeurs de virus les ont désormais dotés de capacités de camouflage, de manière à rendre leur signature difficile à détecter, voire indétectable : il s'agit de "virus polymorphes".

Certains antivirus utilisent un contrôleur d'intégrité pour vérifier si les fichiers ont été modifiés. Ainsi le contrôleur d'intégrité construit une base de données contenant des informations sur les fichiers exécutables du système (date de modification, taille et éventuellement une somme de contrôle). Ainsi, lorsqu'un fichier exécutable change de caractéristiques, l'antivirus prévient l'utilisateur de la machine.

La méthode heuristique consiste à analyser le comportement des applications afin de détecter une activité proche de celle d'un virus connu. Ce type d'antivirus peut ainsi détecter des virus même lorsque la base antivirale n'a pas été mise à jour. En contrepartie, ils sont susceptibles de déclencher de fausses alertes. [url=][/url]
Types de virus

[url=][/url]

Les virus mutants



En réalité, la plupart des virus sont des clones, ou plus exactement des «virus mutants», c'est-à-dire des virus ayant été réécrits par d'autres utilisateurs afin d'en modifier leur comportement ou leur signature. Le fait qu'il existe plusieurs versions (on parle de variantes) d'un même virus le rend d'autant plus difficile à repérer dans la mesure où les éditeurs d'antivirus doivent ajouter ces nouvelles signatures à leurs bases de données. [url=][/url]

Les virus polymorphes



Dans la mesure où les antivirus détectent notamment les virus grâce à leur signature (la succession de bits qui les identifie), certains créateurs de virus ont pensé à leur donner la possibilité de modifier automatiquement leur apparence, tel un caméléon, en dotant les virus de fonction de chiffrement et de déchiffrement de leur signature, de façon à ce que seuls ces virus soient capables de reconnaître leur propre signature. Ce type de virus est appelé «virus polymorphe» (mot provenant du grec signifiant «qui peut prendre plusieurs formes»). [url=][/url]
Les rétrovirus

On appelle « rétrovirus » ou « virus flibustier » (en anglais bounty hunter) un virus ayant la capacité de modifier les signatures des antivirus afin de les rendre inopérants. [url=][/url]

Les virus de secteur d'amorçage

On appelle « virus de secteur d'amorçage » (ou virus de boot), un virus capable d'infecter le secteur de démarrage d'un disque dur (MBR, soit master boot record), c'est-à-dire un secteur du disque copié dans la mémoire au démarrage de l'ordinateur, puis exécuté afin d'amorcer le démarrage du système d'exploitation. [url=][/url]

Les virus trans-applicatifs (virus macros)



Avec la multiplication des programmes utilisant des macros, Microsoft a mis au point un langage de script commun pouvant être inséré dans la plupart des documents pouvant contenir des macros, il s'agit de VBScript, un sous-ensemble de Visual Basic. Ces virus arrivent actuellement à infecter les macros des documents Microsoft Office, c'est-à-dire qu'un tel virus peut être situé à l'intérieur d'un banal document Word ou Excel, et exécuter une portion de code à l'ouverture de celui-ci lui permettant d'une part de se propager dans les fichiers, mais aussi d'accéder au système d'exploitation (généralement Windows).

Or, de plus en plus d'applications supportent Visual Basic, ces virus peuvent donc être imaginables sur de nombreuses autres applications supportant le VBScript.
Le début du troisième millénaire a été marqué par l'apparition à grande fréquence de scripts Visual Basic diffusés par mail en fichier attaché (repérables grâce à leur extension .VBS) avec un titre de mail poussant à ouvrir le cadeau empoisonné. Celui-ci a la possibilité, lorsqu'il est ouvert sur un client de messagerie Microsoft, d'accéder à l'ensemble du carnet d'adresse et de s'autodiffuser par le réseau. Ce type de virus est appelé ver (ou worm en anglais).

Principes de base


Principes de fonctionnement

Généralités
Mécanisme de réplication
Ce mécanisme permet au virus de se répliquer.
Il y a plusieurs méthodes pour y arriver :

* soit en infectant davantage de fichiers
* soit en utilisant un service réseau pour infecter d'autres ordinateurs

Charge utile

La charge utile est le coeur même du virus, c'est elle qui contient sa capacité de nuisance réelle. Elle peut être l'une de celles-ci :
* Affichage d'un message,
* Altérations mineures de fichiers,
* Destruction du contenu d'un disque dur,
* Détérioration lente du contenu des fichiers avec ou sans possibilité de restauration,
* Vol ou diffusion d'informations confidentielles.
Déclencheur
Le déclencheur peut être réglé pour
* Une action immédiate
* Une action ponctuelle (un jour particulier)
* Une action répétitive (à chaque démarrage du système, pour un anniveraire)
Mécanisme de protection
Compression

La compression est faite pour limiter la taille du code du virus, pour offrir un plus petit motif pour les anti-virus et pour ne pas attirer l'attention par des pertes de taille de disque.
Polymorphisme
Le polymorphisme permet de limiter la reconnaissance du code par les scanners anti-virus.
Furtivité

Il s'agit ici de rendre plus difficile la détection par l'anti-virus en détournant tous les appels au disque.
Multiples phases

C'est une méthode exotique de création de virus qui consiste à le faire passer par plusieurs mode d'infection. Le virus peut agir comme un virus macro puis comme un virus résident infectant les fichiers par des macros...

Scanner

C'est la méthode la plus ancienne et aujourd'hui encore la plus utilisée.
Cette méthode présente l'avantage de détecter un virus avant qu'il ne s'exécute sur une machine.
Son principe est de rechercher sur le disque dur toute chaine de caractères identifiée comme appartenant à un virus. Cependant comme chaque virus a sa propre signature, il faut, pour le détecter avec un scanner que le concepteur de l'anti-virus ait déjà été confronté au virus en question et l'ait intégré à une base de données.
Un scanner n'est donc pas en mesure de détecter les nouveaux virus ou (les virus polymorphes lien vers autre P) (car ceux-ci changent de signature à chaque réplication.)
Dans les années 80, seuls quelques virus existaient, et l'écriture d'un scanner était une chose relativement simple.
Actuellement, avec plusieurs milliers de virus et l'apparition quotidienne de nouveaux modèles, la mise à jour d'un scanner n'est pas évidente car elle représente une somme de travail considérable, et même, quasi-impossible à réaliser.
C'est pourquoi les concepteurs d'anti-virus proposent des mises à jour de la base de donnée tous les jours sur leur site WEB, c'est le seul moyen pour le scanneur de détecter les nouveaux virus.
En général, un scanner contient des champs associés à chaque chaîne de recherche qui lui indiquent où rechercher une chaîne particulière. Cette sélectivité permet de réduire la charge de travail et de rendre plus rapide sa recherche.
Certains possèdent également différents modes de recherche qui orientent celle-ci en fonction de ce que l'utilisateur souhaite. Ils peuvent alors s'intéresser uniquement aux exécutables ou vérifier l'ensemble des fichiers.

Moniteurs de comportement

Les moniteurs de comportement observent l'ordinateur à la recherche de toute activité de type virale et alertent l'utilisateur. En général, un moniteur de comportement est un programme résidant en mémoire que l'utilisateur charge au démarrage du système (AUTOEXEC.BAT) et qui reste actif en arrière-plan en surveillant tout comportement inhabituel.

Ces "comportements inhabituels" concernent :

* les tentatives d'ouverture de fichiers COM/EXE en lecture/écriture ;
* les tentatives d'écriture sur les secteurs de partition et de boot ;
* les tentatives de mise en résidant.

Pour répèrer ces tentatives, les anti-virus détournent les principales interruptions de l'ordinateur et les remplacent par l'adresse de leur code.
Les interruptions détournées sont l'int 13H (disque dur), l'int 21H (DOS). Ainsi dès qu'un virus tente d'écrire sur le secteur de Boot, c'est l'anti-virus qui est d'abord appelé, et qui peut ainsi prévenir l'utilisateur qu'un virus tente de modifier le secteur de Boot.
L'anti-virus peut alors éliminer le virus de la mémoire, enregistrer une partie de son code dans la base de donnée et lancer un scanning pour repérér la/les souche(s) sur le disque disque dur et les détruire.

Contrôleurs d'intégrité

Un contrôleur d'intégrité va construire un fichier contenant les noms de tous les fichiers présents sur le disque auxquels sont associées quelques caractéristiques. Ceci peut simplement être la taille, la date et l'heure de dernière modification ou encore un checksum (somme de contrôle).
Par un checksum ou un code de redondance cyclique (CRC), le contrôleur pourra détecter si une altération s'est produite et alertera l'utilisateur afin que ce dernier puisse prendre des mesures.
Le problème de cette méthode est qu'il peut y avoir des milliers de virus sur une machine, l'utilisateur n'en sera informé que lorsque le virus s'exécutera ou modifiera un fichier.
Les scanners restent actuellement la méthode la plus populaire car elle donne une indication claire et précise sur la situation, et répond aux attentes d'un utilisateur novice en lui indiquant la conduite à tenir : "le fichier 'FICHIER.COM' est infecté par le virus 'TRUC'. Voulez-vous l'effacer ?"
Les anti-virus à base de moniteurs de comportements ont en général moins de succès et sont souvent critiqués par des non-techniciens. En effet les messages du genre : "Tentative d'ouverture en lecture/écriture du fichier 'FICHIER.EXE'. (A)rrêter ou (P)oursuivre ?" peuvent laisser perplexe.
De même, les contrôleurs d'intégrités non pas plus de succès avec des messages comme : "Attention ! Le fichier 'FICHIER.COM' a été modifié !". Un utilisateur novice ne saura certainement pas comment réagir à un tel message.
Pourtant, un scanner idéal est une impossibilité mathématique. En effet, on peut prouver mathématiquement qu'il est impossible de concevoir un scanner parfait qui serait en mesure de déterminer systématiquement s'il y a ou non, un virus présent dans un programme.
Pour ceux qui ont certaines notions de logiques mathématiques, ce problème est identique au problème d'arrêt pour une machine de Turing.
Un scanner réel manque donc de détecter certains virus ou bien de signaler des programmes comme dangereux, quitte à émettre une alarme faussement positive. Ce sont les limitations inhérentes à tout scanner.

Analyseurs spectrals

Tout code généré automatiquement est supposé contenir des signes révélateurs qui pourront être détectés par un algorithme reconnaissant ces modèles.

Une façon très simple d'analyser du code en employant cette technique consiste à rechercher les instructions atypiques générées par un virus polymorphe, mais qui ne sont pas utilisées par des programmes ordinaires.
Ainsi les moteurs de mutations DAME ou TPE génèrent régulièrement des accès mémoire au niveau des limites de segments. Ce n'est pas une programmation très élégante, et la plupart des programmes conventionnels s'en abstiennent.
Techniquement, on peut parler du spectre des instructions machines présentes dans un programme.
Il faut imaginer un espace abstrait dans lequel toutes les instructions possibles et tous les états possibles d'un processeur soient représentés par un point ou un groupe de points.
Il existe un nombre fini de ces points qui peuvent être numérotés. Un programme peut donc être représenté par une série de points ou de nombres.
L'analyse spectrale concerne l'étude de la fréquence d'apparition et des interrelations liées à ces nombres.
Ainsi, le nombre associé à un accès mémoire généré par un moteur de mutation, correspond à un nombre qui ne peut être généré par aucun compilateur normal.
Tout programme générant du code machine, que ce soit un compilateur C, un assembleur ou un virus polymorphe, va n'exploiter qu'une partie de l'ensemble des points de cette espace.
Un compilateur C peut ne jamais utiliser telle instruction. De même un assembleur, pourtant très souple, n'utilisera qu'un jeu restreint d'instructions.
Si on étudie alors l'intégralité des différents jeux de codes machines générés par tous les programmes à même de produire du code machine, on trouve des zones de concordance.
On peut alors écrire un programme qui effectue une analyse spectrale du code machine présent à l'intérieur des programmes pour déterminer les sous-ensembles d'appartenance s'ils existent.
On peut alors déterminer l'origine de ces programmes, savoir que le code a été assemblé par tel assembleur, tel compilateur C ou tel virus polymorphe.
Une autre technique utilisée en analyse spectrale consiste simplement à analyser un bloc de code et à observer si la fréquence des instructions présentes correspond à du code machine normal.
La forme la plus rustique d'une telle analyse consiste à prendre en compte les octets pour décider s'il s'agit réellement de code. Un code chiffré présente un spectre différent d'un code en clair.
En prolongeant cette idée un peu plus loin, si on diagnostique la présence d'une routine de cryptage, on peut utiliser la boucle de décryptage pour décrypter le code et ensuite le réexaminer pour s'assurer qu'il s'agit effectivement de code machine.

Analyseurs heuristiques

L'analyse heuristique concerne la recherche de code correspondant à des fonctions virales.
Elle est différente, dans son principe, d'un moniteur de comportement qui surveille les programmes ayant une action de type viral.
L'analyse heuristique est passive. Elle considère le code comme une simple donnée et n'autorise jamais son exécution.
Un analyseur de ce type va donc rechercher du code dont l'action est suspecte ou malveillante s'il vient à être exécuté.
L'analyse heuristique permet, par exemple, pour les virus polymorphes , de chercher une routine de déchiffrement. En effet une routine de déchiffrement consiste à parcourir le code pour ensuite la modifier.
Ainsi lors de l'analyse heuristique, l'anti-virus essaie de rechercher, non pas des séquences fixes d'instructions spécifiques au virus, mais un type d'instruction présent sous quelque forme que ce soit.
Pour en revenir à notre exemple de virus polymorphes, l'anti-virus cherche une suite d'instructions de lecture suivie d'une suite d'instructions d'écritures.
Cette méthode est donc un peu plus intelligente que les autres, car elle vise à analyser les fonctions et instructions les plus souvent présentes et que l'on retrouve dans la majorité des virus.
Cette méthode permet ainsi, contrairement au scanning, de détecter des nouveaux virus dont la signature n'a pas été ajoutée à la base de données.
L'analyse heuristique peut se réaliser conjointement avec l'analyse spectrale de sorte que si la première indique l'absence de virus, les paramètres issus de l'autre peuvent néanmoins permettre d'émettre un avertissement.