[ wHo-et-Be ] Trucs et Astuces > Virus

QUOI FAIRE en REGLE GENERALE :

- Avoir un ANTIVIRUS ACTIVE et A JOUR (mise à jour 1 x par jour)

- Avoir un SYSTEME A JOUR (windowsupdate 1 x par semaine)

- SURFER INTELLIGEMMENT (NE PAS OUVRIR les fichiers attachés des mails, NE PAS INSTALLER les BARRES que l'on vous propose (à part Google/Yahoo), NE PAS INSTALLER de logiciels avec pub intégrée, ...)

29/8/2000. Ce virus utilise une faille de sécurité de Outlook Express 5 pour s'attacher à tous les mails envoyés au format HTML. Il est écrit en Javascript et attaque les version Anglaises et Françaises de Windows 95/98.
Attention, il suffit de le prévisualiser pour qu'il s'active !

Symptomes :
Le premier jour du mois et passé 17 heures, le message çi-dessus apparait et Windows reboote. Il se peut aussi que vous ayez message avec comme titre "Driver Memory Error" lors du démarrage de Windows.

Ce qu'il fait :
Une fois qu'il s'est exécuté, le virus crée un fichier KAK.HTM dans votre dossier c:\windows et un fichier temporaire avec une extension .HTA dans votre c:\windows\system. Il crée également un KAK.HTA dans votre groupe de démarrage.
Ensuite, il ajoute les lignes suivantes dans votre AUTOEXEC.BAT et renomme le fichier original en AE.KAK :
@echo off C:\Windows\STARTM~1\Prograunms\StartUp\kak.hta del C:\Windows\STARTM~1\Programs\StartUp\kak.hta
Ensuite, le virus va faire quelques modifs dans votre base de registres :
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows \Currentversion\Run\cAg0u
Ce "cAg0u" pointe vers le fichier temporaire .HTA qui a été mis dans votre \windows\system un peu plus haut pour qu'il s'éxécute au prochain démarrage.
Il ajoute ensuite l'entrée suivante dans la base de registres.
HKEY_CURRENT_USER\Identities\Software\Microsoft\Outlook Express\5.0\signatures\Default Signature
La signature par défaut pointe vers le fichier KAK.HTM qui se trouve dans votre c:\windows\. Chaque mail envoyé après l'infection inclus ce KAK.HTM dans le fond de votre mail au format HTML ... ce qui envoie le virus à vos destinataires.

Comment s'en débarrasser ?
Attention, n'essayez pas de faire ces manips si vous ne maitrisez pas la manipulation des fichiers.
Avant de faire le ménage, supprimez vos mails qui ont le virus, sinon il va se réinstaller dès la prochaine prévisualisation...
Si vous êtes infecté, ne redémarrez pas votre micro tant que ce n'est pas fini, sinon, il va réinstaller au prochain démarrage...
Supprimez les lignes suivantes de votre C:\AUTOEXEC.BAT : @echo off C:\Windows\STARTM~1\Programs\StartUp\kak.hta del C:\Windows\STARTM~1\Programs\StartUp\kak.hta ou supprimez votre autoexec.bat et renommez le AE.KAK en AUTOEXEC.BAT
Supprimez : - le fichier KAK.HTA de votre groupe de démarrage, - le fichier C:\WINDOWS\KAK.HTA - le fichier .hta qui est dans c:\windows\system. (Il a généralement un nom du genre 74F03760.hta. Mais comme le nom temporaire n'est jamais le même, supprimez tous les .hta qui sont dans c:\windows\system, ça ne devrait pas faire de mal.) Si vous ne voyez pas les .hta, changez vos propriétés d'affichage : Outils> Options des dossiers> Affichage> Afficher tous les fichiers> OK
En utilisant REGEDIT, supprimez : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows \Currentversion\Run\cAg0u HKEY_CURRENT_USER\Identities\Software\Microsoft\Outlook Express\5.0\signatures\Default Signature Il vous suffira ensuite d'ouvrir Outlook, d'aller dans Outils> Options> Signatures> OK pour réactiver la signature par défaut.
Téléchargez et installez le patch de sécurité de Microsoft pour ne pas être réinfecté ! Lors du prochain mail infecté, vous aurez alors un message d'alerte comme celui-ci. OUF!
ENVOYEZ vos mails au format TEXTE BRUT, sans les fioritures du HTML. C'est vrai que c'est moins beau, mais au moins, vous êtes tranquille !

Kagou-Anti-Kro$oft	2
il traîne encore, alors si vous tombez dessus, voici quelques infos qui pourront vous servir !


			visites