Assistance, dépannage, et services en informatique

Ce virus lancé le 4 mai 2000 au petit matin, ou plutôt ce ver, pose un danger conséquent aux utilisateurs de Visual Basic Script pour Windows.

En clair, ce sont:
- les utilisateurs de Windows 98
- les utilisateurs qui ont installé par défaut IE 5.x
- les utilisateurs qui ont installé WSH spécifiquement
- et probablement les utilisateurs de Windows 2000.
Qui sont susceptible d'être touchés par ce virus.

Le ver se répand seulement sur les machines infectées, où sont installés Outlook 98 ou Outlook 2000. Par contre, il endommage ou détruit des fichiers même si Outlook n'est pas utilisé.

Le ver est reçu par une connexion e-mail ou par l'intermédiaire d'un canal lRC (mIRC32 par exemple). Si l'utilisateur n'ouvre pas le fichier joint (double-clic), le ver ne s'exécutera pas, et ne fera aucun dommage.

S'il est reçu par l'intermédiaire d'un e-mail, l'objet: du message est "ILOVEYOU" et le corps du message indique:

"kindly check the attached LOVELETTER coming from me."

Le nom du fichier joint est LOVE-LETTER-FOR-YOU.TXT.vbs (qui, si le système est configuré pour ne pas montrer les extensions des fichiers, ressemblera un simple fichier TXT pour l'utilisateur).

S'il est reçu par l'intermédiaire d'un canal IRC, il réside dans un fichier nommé LOVE-LETTER-FOR-YOU.HTM.

Une fois exécuté, le ver tire des copies de lui-même sous les noms MSKernel32.vbs et LOVE-LETTER-FOR-YOU.TXT.vbs dans le répertoire de \Windows\System, ainsi que sous le nom de Win32DLL.vbs dans le répertoire \Windows. Puis, il modifie la base de registre, de sorte que les fichiers Win32DLL.vbs et MSKernel32.vbs soient exécutés, à chaque démarrage de Windows.

Ensuite, le ver modifie la base de registre, changeant la page de démarrage d'Internet Explorer, de sorte que quand l'IE démarre, il télécharge un fichier nommé WIN-BUGSFIX.exe (ainsi que Winfat32.exe) de l'un des 4 sites possibles sur http://www.skyinet.net (aléatoirement choisi) et la base de registre est à nouveau modifiée, de sorte que ce fichier soit exécuté au prochain démarrage de Windows.

Le ver créée ensuite une version HTML de lui-même, dans un fichier nommé LOVE-LETTER-FOR-YOU.HTM dans le répertoire \Windows\System.

Ensuite, le ver démarre une copie d'Outlook en arrière plan (seulement avec les versions Outlook 98 ou 2000 - mais pas avec les versions d'Outlook 97 ou d'Outlook Express). Il examine tous les carnets d'adresses d'Outlook et, si un carnet d'adresses d'Outlook contient plus d'adresses que le carnet d'adresses de Windows, le ver s'envoie lui-même à toutes les adresses du carnet d'adresses d'Outlook (le ver ne s'envoie pas lui-même aux adresses du carnet d'adresses de Windows).

Pour terminer, le ver examine tous les répertoires situés sur les disques-dur et ceux du réseau. Si un fichier a une des extensions suivantes: VBS, VBE, JS, JSE, CSS, WSH, SCT, HTA, MP2, MP3, JPG ou JPEG (BAT, INI, WAV, MID, COM, GIF et BMP pour certaines variantes) le ver écrase le fichier avec une copie de lui-même. Si l'extension n'était pas VBS ou VBE, le ver ajoute l'extension VBS au nom du fichier - de sorte que, par exemple, PICTURE.JPG devienne PICTURE.JPG.VBS. Au cas où un fichier MP2 ou MP3 était repéré et écrasé, le ver place également l'attribut du fichier à ReadOnly (lecture seule).

Si, durant cette recherche, un quelconque des fichiers suivants est trouvé:
mirc32.exe, mlink32.exe, mirc.ini, script.ini, mirc.hlp, le ver place dans le répertoire un fichier nommé SCRIPT.INI qui débute par les commentaires suivants:

Ce fichier essaye d'envoyer le fichier LOVE-LETTER-FOR-YOU.HTM à partir du répertoire \Windows\System par l'intermédiaire de la commande /DCC d'IRC, à tous les utilisateurs rejoignant le canal d'IRC sur lequel l'utilisateur infecté se trouve.

Le ver ajoute ou modifie les clés de la base de registre suivantes:

Le fichier WIN-BUGSFIX.exe est un "Backdoor" (cheval de troie) créée aux Phillippines qui rassemble les mots de passe cachés du réseau Windows et les envoie à l'adresse suivante: MAILME@SUPER.NET.PH lorsque l'utilisateur infecté se relie à Internet.

• Enfin, la meilleur façon de se protéger étant de mettre à jour son antivirus, voici toutes les adresses où trouver les dernières versions de ces logiciels, ainsi que leurs mises à jour.

Après avoir exploité les macros d'Office avec Melissa, les développeurs de virus emploient cette fois le Visual Basic Script, un langage de script pour Windows. Ce dernier possède des points d'entrée dans certaines applications, notamment celles de Microsoft.

Le mode de propagation de "I LOVE YOU" devrait faire réfléchir l'éditeur de Windows: sans la fonction de support du VBS intégrée à Outlook Express, le ver ne se serait pas propagé. Une fonction qui de plus, n'est pas indispensable pour une utilisation courante et usuelle d'Internet.