Popureb : le rootkit qui oblige à réinstaller Windows

Les « patch Tuesdays » se succèdent mais parfois, Microsoft est prêt à le reconnaître, cela ne suffit pas explique Silicon.fr.

La dernière alerte lancée aux Etats-Unis ce lundi 27 juin s’appelle « Popureb » : ce malware est une infection « rootkit » qui se propage comme un redoutable Cheval de Troie.

Il s’enferre si profondément dans Windows qu’il pourrait bien conduire les utilisateurs à une réinstallation complète de l’OS.

Sa référence exacte : Trojan:Win32/Popureb.E.

La source est un certain Chun Feng, ingénieur du MMPC, qui n’est autre que le très officiel Microsoft Malware Protection Center, lequel vient de lâcher l’information sur le blog officiel de l’équipe.

Ce malware écrase, ni plus ni moins, l’enregistrement du boot (ou MBR, master boot record), le fameux secteur 0 du disque dur, où est stocké le code de lancement du système d’exploitation, une fois que le « BIOS a été lancé et fait son check-in« .

Ce type particulier de rootkit est appelé « bootkit » puisqu’il prend le contrôle du système dès son démarrage.

De ce fait, confirme Computerworld, ce ver cheval de Troie ne peut pas être détecté, ni par les anti-virus ni les autres systèmes de sécurité -semble-t-il, puisque non visible par l’OS.

« Si votre système est infecté avec ce Trojan:Win32/Popureb.E, nous vous recommandons de rétablir le MBR et d’utiliser ensuite le CD de restauration pour restaurer votre système à un état antérieur à l’infection« , déclare Chun Feng.

Selon ses explications, Popureb détecte les opérations d’écriture visant le MBR – opération conçues justement pour en assurer le nettoyage ainsi que d’autres secteurs du disque pouvant contenir du code susceptible d’attaquer le système.

Ensuite le malware échange l’opération d’écriture par une opération de lecture. Alors même que l’opération semble avoir été effective, la nouvelle donnée n’est, en fait, pas enregistrée sur le disque. Donc, le nettoyage n’aura pas fonctionné.

Pour réparer votre système, il vous faudra d’abord lancer une console de récupération (System Recovery Console) depuis le CD de Windows ou un CD de restauration, car la partition de sauvegarde de Windows semble compromise.

Il faut ensuite lancer la commande « fixmbr » (sans guillemets).

Il faudra enfin totalement réinstaller le système.

Voici les liens vers les instructions pour trouver cette console de récupération :