Attention ! !!
Le site themexp.org est à éviter impérativement.
En effet, ce site pourtant connu pour sa bibliothèque de thèmes visuels balance à l´insu de l´internaute qui y navigue des spywares malicieux par l´intermédiaire de scripts probablement logés dans le code des pages. Ceci se produit si par malheur, le niveau de sécurité d´IE est fixé à " bas" ( c´est-à-dire téléchargement des ActiveX non signés sans demander). Ces spywares s´installent dans les chemins suivants :
C:\Program Files\Common files\updater\wupdater.exe
C:\Program Files\VBouncer\BundleOuter.EXE
C:\Program Files\Web_Rebates\WebRebates0.exe
C:\Windows\System32\msbb.exe
C:\Windows\Temp\bundle.exe
C:\Windows\Temp\djtopr1150.exe
L´origine : un malware bien connu de TrendMicro et Symantec, SAHAgent.
Inutile de dire que tous ces exécutables, une fois initiés par une archive *.cab et un contrôle ActiveX téléchargés à l´insu sur le site, créent une entrée dans la BDR pour se lancer au démarrage ( en tant que programmes et non en tant que services) et aspirent à sortir du PC, essentiellement par le port TCP 80 ( http).
Cette pratique est stupéfiante pour un site qui existe pourtant depuis plusieurs années. S´agit-il d´une politique volontaire de la part de l´administrateur ou bien le site est-il infecté à son insu ? Un détail : Il y a 3 mois, ce site avait déjà commencé par chercher à demander l´autorisation de l´utilisateur à installer un plugin pour le moins douteux.
En tout cas, je ne peux m´empêcher que de conseiller à chacun de transmettre l´information le plus largement possible autour de lui, car il s´agit d´un problème de sécurité critique et une affaire de santé informatique publique.
Merci de votre attention.
PS : quelques liens intéressants :
http://www.chip.de/forum/thread.html?bwthreadid=567738&bwpage=2&bwsortorder=ascending
http://www.securityspace.com/smysecure/catid.html?id=12000
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=ADW_SAHAGENT.A&VSect=T