Le retour de l'autorun! Enfin, presque...
Researchers have discovered a sophisticated new strain of malicious software that piggybacks on USB storage devices and leverages what appears to be a previously unknown security vulnerability in the way Microsoft Windows processes shortcut files.
VirusBlokAda, an anti-virus company based in Belarus, said that on June 17 its specialists found two new malware samples that were capable of infecting a fully-patched Windows 7 system if a user were to view the contents of an infected USB drive with a common file manager such as Windows Explorer.
USB-borne malware is extremely common, and most malware that propagates via USB and other removable drives traditionally has taken advantage of the Windows Autorun or Autoplay feature. But according to VirusBlokAda, this strain of malware leverages a vulnerability in the method Windows uses for handling shortcut files.
Shortcut files — or those ending in the “.lnk” extension — are Windows files that link (hence the “lnk” extension) easy-to-recognize icons to specific executable programs, and are typically placed on the user’s Desktop or Start Menu. Ideally, a shortcut doesn’t do anything until a user clicks on its icon. But VirusBlokAda found that these malicious shortcut files are capable of executing automatically if they are written to a USB drive that is later accessed by Windows Explorer.
“So you just have to open infected USB storage device using [Windows] Explorer or any other file manager which can display icons (for i.e. Total Commander) to infect your Operating System and allow execution of the malware,” wrote Sergey Ulasen, an anti-virus expert with the company, in an advisory published this month.
Ulasen said the malware installs two drivers: “mrxnet.sys” and “mrxcls.sys.” These so-called “rootkit” files are used to hide the malware itself so that it remains invisible on the USB storage device. Interestingly, Ulasen notes that both driver files are signed with the digital signature of Realtek Semiconductor Corp., a legitimate hi-tech company.
Ulasen said he reached out to Microsoft and to Realtek but got a response from neither. Jerry Bryant, group manager of response communications at Microsoft, told KrebsOnSecurity.com Wednesday that “Microsoft is investigating new public claims of malware propagating via USB storage devices. When we have completed our investigations we will take appropriate action to protect users and the Internet ecosystem.”
If this truly is a new vulnerability in Windows, it could soon become a popular method for spreading malware. But for now, this threat seems fairly targeted: Independent security researcher Frank Boldewin said he had an opportunity to dissect the malware samples, and observed that they appeared to be looking for Siemens WinCC SCADA systems, or machines responsible for controlling the operations of large, distributed systems, such as manufacturing and power plants.
“Looks like this malware was made for espionage,” Boldewin said.
Src here!
"J'aime" ce genre de nouvelles. je me souviens parfaitement de la volonté de Microsoft d'oter la fonctionnalité de l'autorun (.inf) de ses OS (à partir de Vista).
En effet, pour un quelconque système de stockage (C:\, D:\, lecteur amovible, carte SD, CDROM...) il est possible d'y placer un jolie fichier texte autorun.inf contenant quelques brèves instructions pour par exemple lancer un exécutable dès l'ouverture du support, ou placer un icône représentatif du support (dans poste de travail par exemple).
Sympathique à première vue! Mais une magnifique brèche pour déployer des vers et backdoor. Suite à la suppression de l'activation de cette fonctionnalité par défaut dans les nouveaux Windows, les pirates ont réussi à partir du simple shortcut (icône) à faire un RCE et donc exécuter du code arbitraire sur la machine. Et BIM! On est reparti pour un tour!
Vis-à-vis des autoruns, je tiens tout de même à vous donner quelques petits conseils, notamment pour ceux usant encore de Windows XP, ou ceux qui trimballent encore des clés USB souvent ou occasionnellement connectée à Windows XP.
J'ai remarqué il y a 1-2 mois un très jolie vers dynamique et polymorphe qui passe au travers d'un grand nombre d'antivirus. Celui-ci se propage par le biais des supports amovibles et autorun. Ainsi il n'est pas effectif sur Vista, 7 ou server 2008, mais il tourne parfaitement sur les versions antérieures.
Pour le déceller? Un processus bizarre était apparu dans mon taskman, des ports bizarres étaient visibles via un "netstat -na" bref, ça m'a mis la puce à l'oreille.
Pour s'en débarrasser, la c'est la galère. Car à chaque lancement, il se redéploi. Commencez par afficher tous les fichiers systèmes et archives qui se trouvent à la racine de tous vos lecteurs (ce sont des fichiers invisibles à l'utilisateur, même lorsque que "afficher les fichiers cachés" est activé).
Démarrer / Exécuter / "cmd.exe"
Allez à la racine de chacun de vos lecteurs, puis supprimez tous les attributs des fichiers s'y trouvant (inoffensif) :
- Code: Tout sélectionner
C:\blabla\>c:
C:\>attrib -s -h -r -a *
C:\>d:
D:\>attrib -s -h -r -a *
D:\>e:
E:\>attrib -s -h -r -a *
[...]
La commande "attrib" permet de gérer les attributs optionnels des fichiers, notamment les fichiers cachés "h", systèmes "s", les archives "a" et la lecture seule "r". En précédant ces lettres d'un "-" on enlève l'attribut. Pour le remettre, remplacer par "+".
Ensuite, supprimez tous les fichiers autorun.inf se trouvant à toutes les racines (faites de même pour toutes vos clés USB).
Redémarrez votre système (puisqu'il n'y a plus aucun autorun.inf, le ver ne devrait plus se lancer) (un coup d'msconfig, de mode sans echec ou de killage de processus douteux est à envisager aussi
).Puis une fois redémarrez, supprimer tout ce qui vous semble louche à la racine de vos lecteur (genre des exécutables douteux), ainsi que tout le contenu du répertoire temporaires (les vers se mettent aussi en copie ici régulièrement) accéssible via:
Démarrer / Exécuter / "%tmp%"
Voila, bonne journée!
) :
