Virus - structure

Virus - Structure : Un virus est un programme comportant : charge active, dispositif de réplication, condition de déclenchement, condition de furtivité, condition de polymorphisme, condition de protection (contre les antivirus, etc.), composant d'autopropagation si c'est un ver.

cr  01.04.2012      r+  21.08.2020      r-  20.04.2024      Pierre Pinard.         (Alertes et avis de sécurité au jour le jour)

De manière très schématique, un virus est un programme devant comporter, au minimum :

• Les moyens de réplication, sinon ce n'est pas un virus, c'est une malveillance.

• Une charge active ou charge utile (l'effet du virus sur l'organisme infecté).

On trouvera le plus souvent, deux autres composants :

• Une ou des conditions de déclenchement de la charge active (dite alors bombe logique).

• Des outils de furtivité.

Virus (structure d'un virus)

Partie du virus qui choisi ses cibles (les programmes en .exe ou les fichiers système ou les macros etc.) et s'implante dans ou avec ses cibles par les méthodes de réplications choisies.

C'est l'action que le virus applique au corps infecté. Elle n'est pas forcément malicieuse.

Le virus a intérêt à ne pas se déclencher dès le premier jour où il est lâché dans la nature sinon il sera détecté rapidement par ses ennemis, les antivirus. Il va donc attendre, généralement un laps de temps, afin de croire et espérer en sa plus grande diffusion avant d'activer sa charge utile. Les conditions sont donc souvent « à partir de telle date » ou « si on tente de me détruire », etc. On appelle aussi cela une « bombe logique ».

Une condition « sur ordre venu de l'extérieur » n'est pas possible car cela entraînerait l'ouverture d'une backdoor pour rester à l'écoute ce qui ferait découvrir la virus par un pare-feu.

Le virus va tenter de se camoufler en se rendant invisible (Hook des APIs de Windows) ou en tuant ses ennemis (les antivirus), ou en changeant à chaque réplication de manière à rendre la détection par signature (clones singuliers) impossible, etc.

Dans le cas des vers (worms) ceux-ci embarquent, en plus, un composant de propagation puisqu'ils assurent eux-mêmes leur propagation au lieu d'attendre (et espérer) que l'hôte infecté soit propagé par l'humain. Il s'agit généralement d'un outil de pillage du carnet d'adresse et envoie (serveur SMTP) à toutes ces adresses sous forme d'un e-mail piégé.

Ce composant comporte plusieurs outils dont des sondes (de failles...), des outils de collecte d'informations, des outils d'attaque (scan de ports, scan d'adresses IPs...) et de propagation...