A l´heure de la rédaction de cette alerte, le ver W32/Blaster-A ( aussi connu comme: W32/Lovsan.worm, W32.Blaster.Worm, WORM_MSBLAST.A) se diffuse rapidement. Nous encourageons fortement les administrateurs réseau à suivre les conseils suivants pour limiter la propagation du ver:
Téléchagez et déployez le patch de Microsoft MS03-026
Le ver exploite une faille de sécurité pour laquelle un correctif existe. Pour plus d´informations sur la faille de sécurité et le téléchargement du correctif, consultez la page suivante. Nous conseillons aux administrateurs de déployer le correctif sur les systèmes connectés aux réseaux internes et à l´Internet, en s´occupant en priorité des systèmes proxy/passerelles.
Renommez tftp.exe
Le ver utilise tftp.exe, un programme natif de Windows. Si ce programme existe sur votre réseau et s´il n´est pas nécessaire à la bonne marche de vos opérations, renommez le fichier en utilisant par example un nom comme tftp-exe.old. Nous conseillons de ne pas détruire ce fichier, que des programmes légitimes pourront avoir besoin d´utiliser dans le futur.
Bloquez le trafic sur certains ports de votre pare-feu
Les administrateur devraient bloquer le trafic entrant sur les ports suivants:
tcp/69 ( utilisé par TFTP)
tcp/135 ( utilisé par les accès distants RPC)
tcp/4444 ( utilisé par ce ver pour se connecter)
Ceci devrait être fait en premier lieu sur votre pare-feu Internet, mais également sur tout autre pare-feu donnant accès à des réseaux externes non sécurisés.
Eradication manuelle du ver
Pour éradiquer le ver manuellement, suivez les étapes ci-dessous:
Assurez-vous d´avoir installé le correctif Microsoft MS03-026 et d´avoir appliqué les conseils précédents.
Ouvrez le Gestionnaire de tâches en appuyant simultanément sur les touches CTRL+ALT+DELETE et en sélectionnant le Gestionnaire de tâches, puis l´onglet Processus.
Localisez le processus msblast.exe dans la liste des processus en cours, et sélectionnez-le en cliquant une fois dessus avec la souris.
Cliquez sur le bouton Terminer le processus situé dans le coin inférieur droit de la fenêtre du Gestionnaire de tâches.
Fermez le Gestionnaire de tâches en sélectionnant Fichier, puis Quitter le Gestionnaire de tâches.
En plus d´arrêter le processus, il vous faut également faire une modification dans la Table des Registres Windows. Avant de faire cette modification, il vous faut comprendre les implications de toute édition de la Table des Registres en lisant la section suivante, en particulier les parties 2.1 à 2.3 qui concernent les sauvegardes de backup. Si vous n´êtes pas certains de la manière de procéder, contactez votre administrateur réseau avant de faire tout changement. Une édition incorrecte de la Table des Registres de Windows peut entrainer l´arrêt de votre système.
Ouvrez l´Editeur de Registres en sélectionnant Démarrez, puis Exécuter, en entrant la commande regedit puis en cliquant sur OK.
Dans la partie droite de l´éditeur, localisez la branche:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Sélectionnez-la en cliquant dessus une fois avec la souris.
Dans la partie droite de la fenêtre, localisez l´entrée: windows auto update = msblast.exe.
Sélectionnez cette entrée en cliquant dessus une fois, puis en appuyant sur la touche Suppression ( ou Delete) de votre clavier. Confirmez cette action.
Fermez l´Editeur de Registres en sélectionnant Registre, puis Quitter.
Il vous faut alors redémarrer votre système, et répéter la suite d´actions ci-dessus pour vous assurer que toutes les traces du ver ont bien été effacées de votre système.
Eradication automatique du ver
Ce ver peut être éradiqué automatiquement de votre système avec l´utilitaire RESOLVE.
Téléchargez le programme compressé auto-extractible RESOLVE W32/Blaster-A et exécutez-le. Son contenu s´extraiera alors automatiquement dans C:\SOPHTEMP.
Ouvrez une fenêtre d´exécution de commande en cliquant sur Démarrer et Exécuter, puis en entrant cmd avant de confirmer en cliquant sur OK ( sous Windows 95/98/Me PCs, sélectionnez Démarrer et Exécuter, puis en entrant command avant de confirmer en cliquant sur OK).
Ensuite, entrez la commande suivante:
c:\sophtemp\resolve.exe -df=blastera.dat -noc
et appuyer sur la touche Entrée.
Le processus ci-dessus retirera le fichier infecté de la mémoire, nettoiera la table des registres, et retirera le fichier infecté de votre système.
Informations techniques non essentielles
Le processus TFTP utilise le port 69 par défaut. Bloquer l´accès à ce port empèchera toute requête TFTP sortante. Comme les paquets RPC ( Remote Procedure Calls) se connectent normalement sur le port 135, bloquer l´accès à ce port empêchera les machines infectées de se connecter. Les machines infectées par le ver essaieront de se connecter au port 4444, puis d´envoyer une commande pour initialiser le transfert de msblast.exe et l´exécuter. Bloquer l´accès à ce port empêchera une machine infectée de se connecter à une machine vulnérable.
