ViruStory : 25 ans de virus informatiques

Publié le 14 août 2011 par conscience-eburnie

En 25 ans, les virus informatiques sont passés du stade de gags potaches au rang d’armes de destruction massive. Chronologie d’une contagion galopante.2011 et voici poindre les 25 ans des premiers virus sur PC. Alors que l’on en dénombrait seulement 18 en 1989, leur nombre n’a cessé de croître. Si l’éditeur d’anti-virus Dr Salomon’s en recensait déjà 17745 en 1989, ils ont été nombreux, depuis, à se succéder, avec plus ou moins de voracité, passant du défi au délit.

1986

Brain : Voici le premier virus PC. Non destructif, Brain s’en prenait… aux disquettes 5 pouces ¼. Pour l’anecdote, ses auteurs (pakistanais) avaient laissé leurs coordonnées à l’intérieur…

1987

Stoned : Encore un précurseur, fruit du « travail » d’étudiants de l’Université de Wellington, en Australie. En allumant un PC infecté, il y avait une chance sur huit pour que s’affiche le message « Your PC is stoned » à l’écran. Mignon…

2 novembre 1988

Morris Worm : Un des premiers vers ayant circulé sur Internet pour profiter des ressources machines des ordinateurs infectés, mais aussi, selon son créateur, pour évaluer la taille du Réseau. La disquette contenant son code source est désormais exposée au Musée des Sciences de Boston.

1989

Datacrime : Entraînait des pertes de données

Eté 1990

Form : Originaire de Suisse, ce virus à la propagation très rapide entraînait notamment sur les ordinateurs infectés des sons particuliers lors de la frappe des touches du clavier tous… les 18 de chaque mois.

Avril 1991

Michelangelo : Ce virus néo-zélandais devait engendrer la destruction des données des PC contaminés avec effet retard au 6 mars 1992. Finalement, les dégâts furent mineurs.

1991

Benjamin : Les anciens utilisateurs du réseau peer-to-peer Kazaa se souviennent forcément de w32.fillhdd.a, plus connu sous le nom de w32.benjamin, un ver qui se propageait en jouant les caméléons : sur Kazaa, il prenait le nom de fichiers musicaux MP3, de films ou de jeux vidéo.

20 janvier 1999

Happy99 : Connu comme le premier virus email (également surnommé « Ska »), ce virus affichait le message « Happy New Year 1999 » sur l’écran des machines infectées. Non néfaste, il se propageait par le carnet d’adresses.

1998

Le virus Tchernobyl ou CIH est connu pour avoir été un des plus destructeurs. Il détruisait l'ensemble des informations du système attaqué et parfois il rendait la machine quasiment inutilisable. Il a sévi de 1998 à 2002.

Ce virus doit son nom à son mécanisme de déclenchement : le virus envoie sa charge le 26 avril, date anniversaire de l'explosion de la centrale nucléaire de Tchernobyl qui eut lieu le 26 avril 1986.

Le nom initial du virus, CIH, constitue les initiales de son créateur présumé, le taïwanais Chen Ing-Hau (陳盈豪). À cette époque (1998), il était étudiant au Taiwan's Tatung Institute of Technology à Taipei

2 juin 1997 : apparition du virus à Taïwan.
Juin 1997 : détection par la société F-Secure et intégration rapide dans son logiciel antivirus. Lors du même mois, les variantes 1.2, 1.3 et 1.4 apparaissent.
Juillet 1997 : une version infectée de Windows 98 circule sur l'Internet.
Août 1997 : l'éditeur du jeu Wing Commander propose une version de démo infectée sur son site.
26 avril 1998 : la version 1.4 déclenche sa charge pour la première fois. La presse commence à couvrir l'évènement.
Septembre 1998 : le virus apparaît dans une mise à jour de firmware du lecteur CD-R400 de la société Yamaha. Parallèlement, deux magazines européens diffusent des CD-ROMs contaminés.
Octobre 1998 : une version du jeu SiN d'Activision est compromise.
Mars 1999 : les ordinateurs PC Aptiva sont prélivrés avec le virus.
23 avril 1999 : Libération publie l'article « Tchernobyl, virus programmé pour tuer le 26/04/99² ».
Lundi 26 avril 1999 : déclenchement du virus (version 1.2) ; plusieurs dizaines de milliers de machines sont touchées, notamment en Asie et en Europe.
Mardi 27 avril 1999 : Libération publie un nouvel article, « Les Frappes chirurgicales de Tchernobyl³ ».
29 avril 1999 : l'auteur du virus est arrêté par les autorités taïwanaises. Celui-ci présente des excuses publiques. Aucune plainte n'ayant été déposée, l'individu est relâché sur le champ.
26 avril 2000 : nouveau déclenchement de moins grande envergure (version 1.2), touchant surtout l'Asie.
Septembre 2000 : Chen Ing-Hau est arrêté, une nouvelle fois, par les autorités taïwanaises. Aucune source ne vient confirmer la suite de son histoire.
2001 : une variante du virus I Love You présentée comme une photo de Jennifer Lopez contient en réalité une variante de CIH.

Les années suivantes, l'absence de source indique que le virus n'a probablement plus fait de dégâts majeurs. Il est désormais arrêté par la quasi-totalité des logiciels antivirus

Mécanisme de contamination[modifier]

CIH se propage uniquement sur les systèmes d'exploitation Microsoft Windows 95, Windows 98 et Windows ME.

CIH est un virus résident, c'est-à-dire que lorsque le programme infecté est exécuté, le virus est chargé en mémoire et y reste afin de pouvoir contaminer l'ensemble des fichiers exécutables de la machine (dont l'extension est .exe).

Déclenchement

La variante principale du virus est prévue pour se déclencher le 26 avril 1999, d'autres variantes sont déclenchées tous les 26 du mois.

Charge

La version originale du virus écrase avec des données aléatoires le premier mégaoctet de chaque disque dur (le MBR), de la machine. Il tente d'effacer le BIOS de la machine. Cette dernière action ne fonctionne pas systématiquement, car les cavaliers éventuellement présents sur la carte mère peuvent interdire l'accès au BIOS en écriture.

Ceci a pour conséquence le blocage des données sur le disque dur celui-ci étant rendu illisible par le système (leur récupération, quoique possible, s'avère très complexe pour un non initié). En cas d'effacement du BIOS, le remplacement ou la re-programmation de l'EEPROM contenant le BIOS, est inévitable. Les opérations de remplacement ou de re-programmation étant très complexes et coûteuses, il est la plupart du temps aussi rentable de remplacer simplement la carte mère de l'ordinateur.

1999

Ben Laden : Arrivant par courrier électronique avec une pièce jointe nommée « Osama Bin Laden Captured » ou « Oussama Pendu », ce virus a surtout été rencontré aux USA et en Israël.

26 mars 1999

Melissa : Inspiré du nom d’une strip-teaseuse. Une fois ouverte, une pièce jointe envoyait le virus aux 50 premières adresses du carnet Outlook de l’ordinateur infecté.
Intel et Microsoft durent stopper leurs serveurs pour en ralentir la propagation. Une fois installé, Mélissa déclenchait un macro-virus destiné à Office 2000 et Office 97. Son auteur, David Smith (31 ans), fut identifié, arrêté le 1er avril 1999 et condamné à 20 mois de prison et à une amende de 400 000 dollars.

4 mai 2000

I Love You : également appelé Loveletter, ce ver originaire des Philippines se répandait par des e-mails dont l’objet était « I Love You ». Pour l’installer, il suffisait de cliquer sur la pièce jointe LOVE-LETTER-FOR-YOU.TXT.vbs. Sa contagion fut très rapide, tant auprès des particuliers que des entreprises. Ainsi, 350 000 ordinateurs avaient-ils été infectés 10 minutes seulement après sa mise en orbite.
I Love You modifiait la base de registre de Windows pour s’exécuter au démarrage du PC. Il installait un cheval de Troie voleur de mots de passe. Son auteur, un étudiant, militait pour un accès gratuit des pays pauvres à Internet. I Love You reste l’un des plus importants virus qu’Internet ait enfanté.

11 février 2001

Anna Kournikova : Originaire de Hollande ce ver se répandait grâce à un courriel contenant le message « Hi, check this ! », laissant croire que le fichier attaché était une photo de la tennis woman. Il s’emparait ensuite du carnet d’adresses de l’ordinateur et s’auto-envoyait aux contacts Outlook de la machine.

Juillet 2001

Sircam : Attaquait les PC fonctionnant sous Word 95, 98 et Me avec fichier joint « Hi ! How are you ». Ce virus copiait le carnet d’adresses pour envoyer des documents.

2001

Nimda : Profitait d’une faille de Windows pour infecter les ordinateurs par simple navigation sur Internet. Il engendra 590 millions de dollars de pertes pour les entreprises.

Août 2003

Blaster (alias Lovsan) : Ce virus obligeait les ordinateurs tournant sous Windows 2000/XP à redémarrer après un certain délai. Accessoirement, il envoyait des messages à Bill Gates…

2003

Fizzer : Connu comme le premier virus écrit pour rapporter de l’argent à ses concepteurs, Fizzer contraignait les ordinateurs contaminés à envoyer des spams.

26 janvier 2004

MyDoom : Ce virus russe se propageait via le réseau peer-to-peer Kazaa, encore lui, et par emails. En une semaine, un million d’utilisateurs furent infectés. Son activité se stoppait automatiquement le 12 février 2004. Historiquement, c’est le ver qui s’est propagé le plus rapidement. 2004, c’est aussi l’année de Cabir, le premier ver visant les téléphones portables…

2004

Netsky : Ce virus visait à envoyer massivement des courriers électroniques. Originalité, il désactivait les anti-virus des ordinateurs avant de s’installer et se propageait par leur carnet d’adresses. Intelligent, il supprimait aussi ses rivaux de l’époque (MyDoom, Bagle et Mimail) sur les ordinateurs qu’il contaminait.

7 janvier 2008

Mebroot : De triste mémoire, ce cheval de Troie était capable de dérober des informations personnelles, comme les mots de passe des comptes bancaires.

Novembre 2008

Conficker : Une fois installé, ce ver devait permettre l’installation d’autres logiciels malveillants. Pour se protéger, il empêchait les Windows Updates et autres mises à jour antivirales. 9 millions d’ordinateurs avaient été infectés deux mois après son lancement, selon l’éditeur F.Secure.

Juin 2010

Stuxnet : Inaugurant l’ère du cyber-sabotage et sans doute développé par un pays (Israël, l’Amérique ?), Stuxnet devait contrarier l’Iran dans sa volonté d’enrichir son uranium. Les centrifugeuses d’Ahmadinejad s’en souviennent.

Juillet 2011

TDL4 : Le botnet « le plus dangereux de l’histoire », selon Kaspersky Labs, débarque. Prétendu « indestructible », par l’éditeur (qui propose un patch pour l’éradiquer, tiens tiens…), ce logiciel malveillant de type bootkit génère des bannières publicitaires. Il fonctionne notamment sur les systèmes 64bits, pourtant réputés comme imperméables.