Le virus Winevar menace le Réseau

Détecté le 23 novembre 2002, le virus-ver Winevar semble intensifier sa propagation, ce qui est d’autant plus gênant que son action est plutôt destructrice. Winevar a en effet les capacités de désactiver certaines fonctions des logiciels antivirus et firewalls (par destruction des fichiers contenus dans les répertoires « antivirus », « cillin », « nlab », « vacc »…) avant d’installer et d’exécuter le virus W32.FunLove.4099. Avant cela, le ver aura changé les noms d’utilisateur et d’organisation enregistrés dans la base de registres de Windows. Winevar peut aller jusqu’à supprimer tous les fichiers du disque dur local. Il affecte toutes les versions 32 bits de Windows.

Egalement intitulé Win32/Winevar.A, I-Worm.Winevar, W32/Korvar, W32/Winevar@mm, W32.HLLW.Winevar, Winevar arrive par e-mail avec « AVAR (Association of Anti-Virus Asia Researcher) » en sujet et trois pièces jointes de la forme « Win(caractères variables).Txt (12.6 KB) Music_1.htm », « Win(caractères variables).Gif (120 Bytes) Music_2.ceo » et « Win(caractères variables).pif ». Il exploite une faille d’Outlook qui permet l’exécution de code contenu dans une page Web à partir de son affichage dans la fenêtre de visualisation.

Un bogue dans le virus

Son mode de propagation est simple : il s’envoie à toutes les adresses e-mail trouvées dans les pages Web stockées sur le disque et dans les fichiers .dbx du carnet d’adresses d’Outlook Express. Cependant, selon l’éditeur Trend Micro, son degré de propagation est jugé moyen. Et pour cause, un bogue affecterait le ver qui empêcherait son exécution à partir de la fenêtre de visualisation du client courrier. Mais rien ne dit que ce bogue ne sera pas rapidement corrigé et qu’une nouvelle version ne fera pas son apparition rapidement.

La plupart des éditeurs ont mis leurs antivirus à jour et proposent également des patches indépendants pour éradiquer l’intrus. Mise à jour extrêmement recommandée, donc.