Glossaire
A
Ajouts sensibles à la base Dr.Web – ils sont envoyés quotidiennement voire plusieurs fois par jour.
Alias. Différentes entreprises antivirus établissent, comme règle, de nommer différemment chaque virus issu des mêmes processus de formation. Dans la plupart des cas, le nom principal des virus (par exemple Klez, Badtrands, Nimda) est identique et est présent avec le virus quelque soit le nom que les éditeurs d’antivirus lui ont donné. En général, seuls les préfixes et suffixes de ces noms diffèrent. Leurs règles d’utilisation peuvent être différentes. Selon la classification des virus de Doctor Web, Ltd, les versions d’un seul et même virus sont dénombrées en commençant depuis 1. Symantec utilise dans son cas les lettres capitales de l’alphabet Anglais.
Antivirus – Un programme capable de rechercher, diagnostiquer (détecter les fichiers infectés et les types de virus), prévenir et désinfecter (supprimer un virus et restaurer les fichiers endommagés) un fichier infecté. Lors de la recherche et du diagnostic, un programme antivirus détecte les fichiers infectés et le type de virus. Les mesures préventives aident à prévenir l’infection. Dans le processus de désinfection, le virus est supprimé et les fichiers endommagés restaurés.
Applet – Une classe de langage Java embarquée dans un document créé en HTML se présentant sous la forme d’un module exécutable. L’applet est téléchargé depuis un serveur sur l’ordinateur de l’utilisateur en tant que fichier attaché. Ils sont utilisés, par exemple, pour entretenir un dialogue interactif avec les utilisateurs des pages web.
Archive – Fichier issus de la compression par un outil d’archivage (WinZIP, WinRar)
B
Backdoor - Programme permettant à un système autorisé d’accéder ou de recevoir des fonctionnalités spécifiques. Les back-doors sont souvent utilisées pour compromettre les paramètres de sécurité système. Elles n’infectent pas les fichiers mais modifient les clés de registre.
Background – une tache exécutée par un système de façon imperceptible pour l’utilisateur. Ce type de taches revêt un faible niveau de priorité. Certains programmes malicieux agissent en tâche de fond, ce qui rend ses actions invisibles en mode utilisateur.
BEC (Business E-mail Compromises), également appelées CEO fraud, Whaling, fraudes au président.
Ce type d’escroquerie consiste à se faire passer pour un dirigeant d’entreprise ou un cadre d’une entreprise partenaire afin d’extorquer de l’argent aux services financiers de l’entreprise visée, ou de voler des informations confidentielles. Dans ce type d’arnaque, la notion d’urgence est souvent utilisée afin de déstabiliser le personnel visé et d’obtenir le virement d’une somme d’argent sur un compte. Ces fraudes font partie du panel de méthodes employées par les cybercriminels utilisant l’ingénierie sociale.
Fichiers Batch – fichiers exécutables contenant des instructions à destination du système d’exploitation. Ils disposent généralement de l’extension .bat et sont développés sous forme de fichier texte, chaque ligne étant une commande pour le système d’exploitation. Ils sont exécutés par un processeur de commande.
Base de données virales de Dr.Web – Elle contient des informations sur des fragments de codes viraux (signatures) connues des programmes antivirus. Elle stocke également les données nécessaires à la restauration (désinfection) des dommages causés par les objets malicieux.
Bug – Tout incident résultant d’une erreur de programmation qu’elle soit syntaxique ou sémantique.
C
Cheval de Troie – programme contenant un module caché afin de permettre l’exécution d’actions sur un ordinateur sans l’autorisation préalable de l’utilisateur. Cette action peut être non destructrice mais également causer des dommages significatifs à un système.
Dans le cas du Trojan, le pirate place de façon erronée l’un des programme actifs, teste ses fonctions ou en imite les performances, génère différentes actions malicieuses, supprime des fichiers, des répertoires, formate les disques, envoie les mots de passes ou d’autres informations confidentielles depuis l’ordinateur.
Les Trojan sont très rependus du fait de leur aspect BBS. Certain chevaux de Troie contiennent des mécanismes de mise à jour de leurs composants via Internet. VOIR MODIFICATIONS AU-DESSUS.
Clé de Registre – Un enregistrement du registre, un identifiant unique d’une information stockée dans le registre.
D
Daemon – Il s’agit d’un programme offrant des fonctionnalités de service et agissant sans demande explicite de l’utilisateur et parfois même à l’insu de ce dernier.
Destructivité – La stratégie d’un virus et des ses actions malicieuses, souvent invisible pour l’utilisateur, a pour but d’endommager le fonctionnement de l’OS et souvent d’aboutir à un crash complet, conditions sous lesquelles un virus se révèle ainsi que son algorithme de fonctionnement dans le système.
Disquette vierge – Disquette " saine " est une disquette de démarrage protégée en écriture dont l'utilisateur est certain qu'il n'y ait pas de virus
Dropper – convoyeur de fichier qui installe un virus sur un système. Cette technique est parfois utilisée par les auteurs de virus pour empêcher un virus d’être détecté par les antivirus.
Dommage – Après avoir été touché par un virus, un ordinateur peut effectuer les actions malicieuses suivantes !
- Refus d’effectuer certaines fonctionnalités pendant que le système est actif
- Erreurs et dysfonctionnements, prise en main du système dès son redémarrage
- Réalisation de tâches non prévues par le programme
- Destruction de fichiers, de disque (formatage, suppression)
- Affichage à l’écran de faux messages
- Création d’effets vidéo et/ou sonores (chute de lettres, mélodies personnalisées, etc.)
- Blocage des accès aux ressources système (l’accroissement des fichiers contaminés entraine un ralentissement de l’ordinateur)
Ce qu’il faut retenir est que moins une infection est visible, plus grand est le danger de dommage incurable pour le disque dur.
Date et heure d’ajout à la base de données virales Dr.Web – Représente la date et l’heure d’un ajout à la base de données virales Dr.Web dans laquelle la correspondance entre un virus donné et son moyen de neutralisation (effacement, désinfection, etc.) sont intégrés. A partir du moment où un virus est ajouté à la base de données virales, l’antivirus peut le détecter et le neutraliser.
Cela ne signifie pas que les virus non ajoutés à la base de données virales ne peuvent être détectés par l’antivirus. Très souvent, lors de l’apparition d’un nouveau virus, celui-ci est détecté par l’analyseur heuristique avant même d’être traité par le laboratoire antivirus Doctor Web.
E
F
FAT (File Allocation Table) Table d’allocation des fichiers – est une table créée pour l’allocation dynamique d’un disque dur où le groupe est une unité de mémoire allouée.
Fichiers exécutable – Un fichier prêt à être utilisé par le système d’exploitation. Par exemple, sous MS DOS, les fichiers exécutables ont l’extension .exe, .com et .bat
Les fichiers avec l’extension .exe et /com sont des programmes
Les fichiers avec l’extension .bat sont des fichiers batch
Fichier masqué – Un fichier qui, selon les règles de sécurité, n’est pas affiché dans la liste de répertoires et qui est spécialement marqué.
Fichier système – Un fichier contenant l’un des modules du système d’exploitation ou un ensemble de données utilisées par ce même système.
Format de fichiers cibles
.bat – fichiers batch
.bin – fichiers binaires
.com – fichiers de commande, une sorte d’exécutable ne pouvant excéder 64kb
.dll – fichier de bibliothèque de liens dynamiques
.elf – fichier exécutable sous Linux/Unix
.exe – fichier exécutable
.ini – fichier de configuration
.sys – fichier système
Format des pièces jointes infectées
G
Guard – un programme résident en mémoire et contrôlant des sections du système d’exploitation potentiellement ouvertes à l’infection par des virus. Il entre en action lors de l’intrusion d’un virus. Le Guard détecte et bloque les tentatives de corruption des fichiers. Ce faisant, il détecte également le programme, potentiellement infecté, qui essaie de réaliser des actions suspectes. SpIDer Guard Antivirus est profondément intégré au scanner antivirus Dr.Web. Les programmes suspects peuvent être contrôlés de façon approfondie lors de leur passage en utilisant l’ensemble de la base de données virales et son propre algorithme de scan. De plus, les fichiers dont l’infection est certaine peuvent être immédiatement désinfectés.
H
Heuristique – Méthode d’analyse des fichiers et secteurs de démarrage visant à détecter les versions encore inconnues de virus. Lors de l’analyse heuristique, une vérification du code exécutable de l’objet examiné est acheminée et une tentative de détection de la présence d’une caractéristique fonctionnelle virale est réalisée.
Si l’analyse heuristique trouve un code suspect, un message établissant la possibilité d’une infection de l’objet par un virus inconnu est affiché à l’utilisateur. Il établit également le type de catégorie auquel le code peut appartenir. Dr.Web détecte les catégories suivantes d’objets suspects via son analyseur heuristique. .com, .exe, win.exe, tsr, macro, boot, crypt, script, batch, irc, worm.
Si le scanner Dr.Web ou le SpIDer Guard est en fonctionnement et affiche un état de possible infection, nous vous recommandons d’envoyer cet élément suspect au support technique Doctor Web, Ltd via le formulaire spécifique prévu à cet effet.
Hoax – un message email non vérolé écrit de façon volontairement neutre. Il fait état d’une nouvelle menace virale. La majorité des HOAX possède une ou plusieurs des caractéristiques suivantes :
Le nom du virus auquel l’HOAX fait référence n’observe aucune règle de nomination des virus, commune à tous les éditeurs d’antivirus.
L’utilisateur se voit demandé de trouver un fichier dans le répertoire Windows et d’effacer celui-ci.
Il lui est également demandé d’informer ses amis et ses contacts de cette menace.
De telles mystifications ne sont pas sans danger. L’envoi en masse de tels messages sans intérêt accroit le trafic email et fait perdre du temps à l’utilisateur. VOIR MODIFICATIONS PLUS HAUT.
HTML (Hyper Text Markup Language) –langage standardisé utilisé sur Internet pour la création et la publication de documents composés de texte, dessins, vidéos et sons et de liens hypertexte utilisés pour la recherche d’information.
I
J
JavaScript – un langage de programmation à base de script développé par Netscape Communications Corporation. Il est compatible avec le langage de programmation JAVA et est utilisé pour la création de scripts placés dans des pages Web.
K
L
Logic bomb – une sorte de cheval de Troie. C’est un module de programme caché embarqué dans un programme développé précédemment et largement utilisé. Ce type de module reste sans danger jusqu’à ce que certaines conditions soient remplies et l’activent. (par exemple un changement dans un fichier ou l’arrivée d’une date spécifique). Les Logic Bomb sont généralement utilisées lors des sabotages d’ordinateurs.
Logiciel malveillant, LM (en anglais malicious software) — tout programme installé sur les ordinateurs ou périphériques sans autorisation de l'utilisateur ou bien exécutant des actions notoirement malveillantes ainsi que des actions différentes de celles décrites dans la documentation.
LOLBINs/LOLScripts/LOLLibs (Living Off The Land Binaries/Scripts/Libraries) — listes des fichiers légitimes (fichiers exécutables, scripts, bibliothèques) qui n'ont pas de fonctions malveillantes. Ces fichiers sont présents par défaut dans les systèmes attaqués et peuvent être utilisés par les criminels pour des actions malveillantes.
M
Mail bomb – Message email de taille démesurée ou grand nombre de messages (plusieurs milliers) envoyés à un utilisateur et pouvant aboutir à un crash système.
N
O
P
Patch – correctif : il s’agit d’une séquence d’instruction se substituant au code d’un programme existant et ajoutée par les développeurs pour contourner un dysfonctionnement existant. Parfois, il sert à ajouter fonctionnalité à une version programme existante avant le lancement d’une nouvelle version.
Plug-in – un programme auxiliaire permettant l’ajout de fonctions additionnelles dans un programme principal. Il peut être téléchargé avec l’application et devenir visible comme option dans un menu. Par exemple, un programme de traduction de l’anglais dans Word pour Windows.
Polymorphisme – C’est une technologie avec l’aide de laquelle un virus change son code viral et par laquelle les copies de ce même virus deviennent différentes et ne coïncident plus avec l’original.
Port – Elément d’un processeur central ou de la mémoire principale de l’ordinateur utilisé par d’autres outils pour le transfert de données.
Protocole – Un ensemble de règles déterminant les algorithmes d’interactions entre les outils, programmes et données de traitement système.
Protocole POP (Post Office Protocol) – protocole Internet d’accès dynamique à un serveur de boîte aux lettres depuis un poste de travail.
Protocole SMTP (Simple Mail Transfer Protocol) –protocole Internet d’accès dynamique à une boîte aux lettre d’un poste depuis un serveur.
Q
Qu’est ce qui est le plus important en matière d’antivirus ? Sa capacité à vous protéger des virus. Cette protection est sécurisée, avant tout, par l’ajout d’entrées virales (signatures) aux bases afin de permettre la détection des virus. Mais la quantité de signatures intégrées aux bases ne représente en rien la capacité d’un programme à détecter des virus.
La base virale de chaque programme antivirus a sa propre structure. Tous les virus ne sont pas uniques. Il existe des familles de virus présentant des similarités. Certains virus sont élaborés à partir de programmes spécifiques de construction de virus. Ceux-ci sont très semblables. Certains développeur de programmes antivirus nomment chacun de ces virus par une entrée (signature) spécifique, ce qui accroit la taille de leur base de données virales. La base Dr.Web est constituée différemment. Une seule entrée peut permettre de détecter plusieurs centaines voire des milliers de virus similaires. Si cette base parait petite en comparaison d’autres programmes antivirus, elle permet de détecter de façon très performante les virus non encore répertoriés par les bases de données mais créés sur la base de virus existants.
Quels sont les avantages d’une base de données virales compacte
- Préservation de l’espace sur les disques durs
- Préservation des ressources mémoires de l’ordinateur
- Préservation de la bande passante Internet lors du téléchargement des mises à jour
- Permet d’installer rapidement les bases de données virales
- Permet un traitement rapide de l’information lors de l’analyse virale
- Favorise la détection de virus créés à partir de souches virales existantes et modifiées
R
Registre – une base de données hiérarchique dans laquelle un système d’exploitation stocke toutes les informations système, noms, configurations système, différents paramètres, des informations sur les programmes installés, etc. Les valeurs du registre peuvent être modifiées par un utilisateur dans un Editeur de Registre Windows.
Program.RemoteBot – détection des applications conçues pour gérer à distance des appareils
Android. Les programmes de cette famille sont potentiellement dangereux
car ils peuvent être utilisés à des fins d'espionnage, ils sont capables
de surveiller les utilisateurs s'ils ont été installés sans autorisation
des propriétaires d'appareils.
Ces applications sont capables d'effectuer les actions suivantes:
- intercepter et envoyer des SMS
- surveiller et effectuer des appels téléphoniques
- recevoir le contenu des notifications de l'OS et d'autres programmes
- faire des vidéos
- faire des photos
- écouter de l'environnement via le microphone de l'appareil
- surveiller les coordonnées gps de l'appareil
- exécuter différentes commandes
S
Scanner Antivirus. Un programme capable de détecter un code viral dans un fichier infecté par un virus. Il procède avec l’aide d’une base de données virales connue du programme antivirus ou d’une structure de code reconnue comme virale. Les scanners à la demande (par exemple sur requête utilisateur) contrôlent certains objets (disques, répertoires, fichiers ainsi que la mémoire et les secteurs de démarrage) de façon à détecter la présence d’une signature virale.
Script – Un type spécifique de code programme écrit comme une règle en langage interprétable (non compilée) et contenant des instructions de commande.
Shareware – Logiciel mis à disposition pour évaluation gratuite. Si, après la période d’évaluation, l’utilisateur ne souhaite pas utiliser le logiciel, il doit le supprimer de son ordinateur. L’utilisation non autorisée de logiciel, sans rétribution financière à l’auteur de ce dernier, est considérée comme du piratage.
Signature / Code Viral – Un système de symboles et règles uniformes utilisé pour exprimer une information sous forme de données. Il présente une séquence de symboles et bytes qui sont spécifiques à chaque virus et chaque copie de ceux-ci, et qui à cause de cela, peuvent être détectés dans un virus défini. Les scanners antivirus utilisent les codes viraux pour la détection des virus. Les virus polymorphes n’ont pas de signature. VOIR MODIFICATIONS PLUS HAUT.
T
Taille de Boot virus. « Boot Virus head Size » : représente la taille du corps d’un virus placé en secteur de démarrage (boot) d’une disquette ou MBR (Master Boot Record), dans l’espace libre d’une disquette ou sur un Disque Dur (de tels secteurs sont désignés comme secteurs en erreur).
Taille des fichiers viraux – Taille d’un code viral en bytes qui est présent dans chaque fichier infecté par un virus.
Time Bomb – une sorte de Logic Bomb où un module spécifique est activé à un instant précis.
Types de virus – Selon le type d’objet infecté, tous les programmes viraux peuvent être classifiés selon les types suivants :
Virus de fichier – Virus infectant les fichiers binaires (fichiers exécutables, fichiers dll). De tels fichiers ont souvent l’extension .exe, .com, .dll, .sys. Ils peuvent également infecter les fichiers disposant des extensions .drc, .bin, .ovl et .ovy
Ces virus, embarqués dans un fichier système, sont activés et propagés au lancement du programme infecté
Virus de Boot – Virus infectant les secteurs de démarrage des disquettes, disques durs (y compris MBR)
Macrovirus – Virus infectant les fichiers document utilisés par les applications Microsoft Office et autres programmes utilisant des commandes macros (généralement écrits en Visual Basic)
Un des facteurs favorables du déploiement de tels virus est que la plupart des composants de MS Office contiennent des programmes embarqués (macros) écrits en langage de programmation totalement fonctionnel, et dans MS Word, ces macros sont automatiquement lancées quand vous ouvrez, fermez, sauvegardez ou créez un document.
De plus, le célèbre fichier normal.dot embarque également des macros pouvant être automatiquement lancées quand vous ouvrez n’importe quel document. La possibilité de copier les macros d’un document à l’autre en utilisant une simple clé de l’environnement MS Word est idéale pour l’existence des macrovirus tels que W97M.thus. VOIR MODIFICATIONS.
U
V
Variante – Une version modifiée d’un virus existant. L’altération d’un code viral peut être introduite par l’auteur du virus comme par une tierce personne.
VBScript – Langage de programmation de scripts développé par Microsoft. Il représente un langage Visual Basic élaboré pour la création de scripts embarqués dans les pages Web. Il est supporté par le navigateur MS Internet Explorer.
Virus – Il existe des programmes ou des fragments de code qui après avoir infecté un système, peuvent produire différentes actions à l’insu ou contre l’avis de l’utilisateur. Ils peuvent créer ou supprimer des objets, modifier des fichiers de données ou de programmes, s’auto propager dans les disques locaux, les réseaux d’ordinateurs ou via Internet. Les modifications des fichiers de programmes, de données ou des secteurs de démarrage sont effectuées de telle sorte qu’ils deviennent eux même porteurs du code et exécutent à leur tour d’actions d’infections. Il existe différents types de virus en fonction du type d’objet infecté. VOIR MODIFICATIONS.
Virus Anti-antivirus (Retrovirus) – un programme viral qui attaque le programme antivirus.
Virus Antivirus – Un programme viral qui attaque d’autres programmes viraux.
Virus chiffrés – Ce sont des virus qui chiffrent leur code viral afin de rendre leur désassemblage et leur détection dans un fichier, un secteur ou en mémoire plus difficile. Chacun d’eux et chacune de leurs variantes contient seulement un ensemble commun de caractères, une procédure de déchiffrement qui peut être considérée comme signature du virus.
Dans le cas d’infection, il se chiffre automatiquement et chaque copie utilise une procédure de chiffrement différente à chaque fois. De cette façon, le virus essaye d’éviter sa détection par les programmes antiviraux.
Virus – Companion – il appartient au virus. Ce type de virus exploite des particularités du DOS permettant de faire fonctionner à des niveaux de priorités différents des fichiers de programmes ayants le même nom mais des extensions différentes. Par priorité, il faut comprendre un signe attribué à une tâche, un programme ou une opération et déterminant leur séquence d’exécution par l’ordinateur. La plupart de ces virus créent un fichier .COM qui traite les priorités supérieures aux fichiers .EXE avec le même nom. Si vous lancez un fichier indiquant juste son nom (sans mentionner l’extension), un fichier .COM sera lancé. De tels virus peuvent demeurer résidents et masquer les fichiers doubles.
Virus furtif – Programme viral entreprenant différentes étapes spécifiques afin de masquer son activité et cacher sa présence dans les objets infectés. Les virus furtifs rendent difficiles :
- la détection virale en mémoire opérationnelle
- la reconnaissance et le désassemblage du virus
- la détection du virus dans un programme infecté ou sur un secteur de démarrage
Virus MtE – C’est une sorte de virus polymorphe créé à l’aide d’un MtE (Mutant Engine). Ce type de moteur utilise un algorithme spécial, chargé du chiffrement et du déchiffrement et un moteur de déchiffrement qui est joint à tout code viral. Ce déchiffreur est toujours différent et ne dispose pas d’un seul byte constant.
Virus Polymorphes – ou Virus avec déchiffreur auto modifiés (tel que per N.Bzrukov). Ce sont des virus qui, de façon complémentaire au code de chiffrement viral, utilisent un algorithme de déchiffrement spécifique pour s’auto modifier à chaque nouvelle copie. Le déchiffreur n’est pas commun, il est unique et propre à chaque copie de virus.
Virus résident en mémoire – un virus constamment présent en mémoire et écrit, comme une règle, en Assembleur ou Langage C. De tels virus peuvent causer une infection significative et déjouer efficacement bon nombre d’antivirus. Généralement, ils sont de petite taille. Ils restent toujours en alerte afin d’agir selon ce que leur auteur à prévu dès que le système est actif, lors d’un redémarrage ou lors de l’extinction. Ils sont activés et effectuent leur tâche quand, par exemple, certaines conditions sont réunies. Tous les Boot Virus sont résidents en mémoire.
Virus Script – Virus écrit en Visual Basic, Basic Script, Java Script ou JScript. Ils arrivent généralement sur les ordinateurs des utilisateurs sous la forme d’un message email contenant des pièces jointes avec des fichiers script. Les programmes écrits en Visual Basic et Java Script peuvent venir sous forme de fichiers séparés ou être embarqués dans des documents HTML. Dans ces deux cas, ils seront interprétés par les navigateurs depuis un serveur ou un disque local.
Visual Basic – Langage de programmation de haut niveau développé par Microsoft Corporation.
W
« Wild » - Un environnement. L’expression « a virus « in the wild » » signifie qu’un tel virus a causé l’infection d’ordinateurs ou de sites hors du cadre d’un laboratoire antivirus. La liste de « Wild virus » établie par Joe Wells contient les virus les plus fréquemment rencontrés sur les ordinateurs du monde entier.
Worms – Vers – un programme parasite capable de s’auto propager. Il peut déployer des copies de lui-même mais n’affecte pas les autres programmes. Il est propagé par email (souvent sous la forme d’une pièce jointe) et envoie massivement ses propres copies à d’autres ordinateurs.
X
Y
Z
Zoo-virus – Un virus existant uniquement au sein des laboratoires antivirus, dans le cadre de recherches virales. Il ne se rencontre pas dans l’environnement « Wild ».
