VTchromizer : VirusTotal 1 fichier avant téléchargement

Depuis des années, depuis nos toutes premières pages de sécurité informatique, qui ont commencé en 1997, Assiste (qui ne s'appelait pas Assiste à l'époque) vous recommande de ne jamais ouvrir (exécuter, lire...) un fichier avant de l'avoir fait analyser par votre antivirus.

En 2004 apparaît publiquement le tout premier service d'agrégation de scanners antivirus, appelé VirusTotal. Il est développé par Julio Canto, au sein d'une société espagnole de sécurité informatique, Hispasec (Hispasec Sistemas). Aujourd'hui, c'est environ 60 antivirus qui sont mis en œuvre simultanément.

Rapidement, nous vous recommandons de soumettre vos fichiers téléchargés à ce service d'analyses multiantivirus avant de les ouvrir, quelle que soit la nature de ces fichiers, exécutables ou non (liste de types de fichiers potentiellement dangereux, dont il faut se méfier et qui doivent toujours être analysés).

L'intérêt des services multiantivirus est double :

• Pour l'internaute
  Possibilité de faire analyser, gratuitement, un fichier par une collection d'antivirus, dont les plus grands, simultanément et instantanément.
  
• Pour les éditeurs d'antivirus
  Réception systématique des fichiers dans lesquels ils n'auraient rien détecté alors que des confrères (et néanmoins concurrents) y auraient trouvé quelque chose. C'est une source inespérée, et la plus efficace possible, de remontée de fichiers suspects (échantillons de virus). Le principe relève du Crowdsourcing.

Mais, jusque là, et dans tous les cas, il était nécessaire de :

1. Télécharger d'abord le fichier, depuis le site de téléchargement (l'éditeur du logiciel) vers votre ordinateur.
2. Se rendre sur le site de VirusTotal et désigner, dans son ordinateur, le fichier à analyser
3. Envoyer (uploader) le fichier sur les ordinateurs de VirusTotal.

Cela faisait beaucoup de temps perdu et d'utilisation inutile de la bande passante de la connexion Internet si, finalement, le fichier était piégé et vous n'en aviez donc pas besoin.

Puis, VirusTotal a introduit la possibilité, non plus de seulement désigner, dans l'ordinateur de l'utilisateur, le fichier à analyser, mais de le désigner par son URL de téléchargement sur le WEB, donc de l'analyser depuis le serveur de celui qui le propose en téléchargement, avant de le télécharger.

C'est mieux, mais ceci nécessite encore de copier le lien, d'aller sur le site de VirusTotal, de coller le lien et de lancer la demande d'analyse.

Des outils autour de VirusTotal sont alors apparus :

1. VTZilla (gratuit).
   Un module additionnel à Firefox et uniquement à Firefox qui modifie la boîte de téléchargement de Firefox. Génial - obligatoire.
   Notons que la boîte de téléchargement de Firefox, très intelligemment, ne permet jamais d'exécuter directement, ou d'ouvrir immédiatement un fichier, mais uniquement de le télécharger.
   
2. VTexplorer (gratuit).
   Dans le même esprit que VTZilla, mais pour Internet Explorer.
3. VTchromizer (gratuit).
   Dans le même esprit que VTZilla, mais pour Google Chrome.
4. VTHashCheck (gratuit).
   Addition aux menus contextuels de l'Explorateur Windows. Génial - obligatoire.

Pour des raisons assez obscures et profondément suspectes, Internet Explorer et Google Chrome :

• Empêchent la modification de la boîte de dialogue de téléchargement
• Permettent l'exécution immédiate d'une application que l'on souhaite télécharger (ou l'ouverture immédiate d'un fichier), sans passer par la phase de téléchargement qui permet une phase intermédiaire d'analyse.

Google, qui s'est approprié Chrome et a racheté le service VirusTotal le 07 septembre 2012, n'a toujours pas développé les APIs nécessaires aux ajustements des boîtes de dialogue, dont celle de téléchargement (vérifié le 22.11.2014, soit plus de deux ans après le rachat de VirusTotal).

Vous êtes dans votre navigateur (Google Chrome). Vous vous apprètez à cliquer sur un lien vers une page Web ou sur un lien de téléchargement. Au lieu de cliquer comme d'habitude, faites un clic droit et, dans la fenêtre contextuelle qui s'ouvre, choisissez " Send URL to VirusTotal ".

L'URL n'a pas besoin d'être un lien HTML. Elle peut être du simple texte sélectionné.

Une nouvelle fenêtre s'ouvre avec les résultats d'analyses de VirusTotal.

VTexplorer ajoute sa propre icône à la barre supérieure de Google Chrome. En cliquant sur son icône, vous lancez l'analyse par VirusTotal du site Web affiché dans la fenêtre de Google Chrome. Comme précédemment, une nouvelle fenêtre s'ouvre avec le rapport de VirusTotal.

• Limites de VirusTotal :
  VirusTotal étant un vaste ensemble de services gratuits en ligne, il y a une limite à la taille des fichiers qui peuvent être envoyés à l'analyse : maximum de 64 MO sans disposer d'une clé API de VirusTotal (128 MO si on est identifié chez VirusTotal et que l'on dispose d'une clé API, gratuite et délivrée immédiatement ici). Donc il n'y a pas, dans la base de données de VirusTotal, de résultat d'analyse de fichiers de plus de 128 MO (un service de même nature, MetaDefender Cloud, a une limite à 140 MO).

  • Nota :
    Les cybercriminels, sachant cette limite, écrivent des malveillances gonflées juste au dessus de 140 MO pour empêcher l'utilisation des redoutables services VirusTotal et MetaDefender Cloud.

• Clé de l'API VirusTotal (VirusTotal API Key) :
  Lorsque VirusTotal n'a pas encore analysé un contenu (il ne le connait pas, il n'y a pas de résultat d'analyse dans sa base de données), VT Hash Check permet de lancer l'envoie (l'upload) du fichier sur le serveur de VirusTotal pour analyse. Cette fonction de VT Hash Check utilise une API de VirusTotal pour laquelle vous devez, préalablement, disposer d'une clé d'accès (gratuite). Pour obtenir cette clé, il suffit d'aller sur le site de VirusTotal et de rejoindre la communauté VirusTotal (s'enregistrer et créer un compte) puis, sur leur site, de se connecter sous ce compte. Cliquez alors sur votre identifiant et une page s'ouvre affichant, entre autre, votre clé API (à conserver strictement confidentielle). Il faudra la donner à VT Hash Check.

• Limite anti-DDoS (Denial of Service) :
  Vous ne pouvez pas lancer plus de 4 consultations de la base de données de VirusTotal à la minute. Cette limite peut être supprimée pour certains utilisateurs, sur demande à l'équipe de VirusTotal.

Les cybercriminels qui tentent d'implanter une malveillance connaissent les applications Web comme VirusTotal et savent les tromper.

1. Il suffit de bourrer la malveillance de caractères inutiles pour dépasser la taille limite acceptable (64 MO chez VirusTotal, 140 MO chez Metascan).
2. Sachant également que, si un outil d'analyse, au panel de VirusTotal ou Metascan, etc. détecte quelque chose, le fichier est envoyé automatiquement aux laboratoires de tous les autres outils du panel, les cybercriminels ont leurs propres panels (voir le paragraphe « Service multi-antivirus pour développeurs de virus »), payant, mais où le fichier n'est jamais diffusé. Cela leur permet de peaufiner leur invisibilité jusqu'à ce que les résultats d'analyses donnent des résultats apparents "propres".
3. Utilisation de downloaders (logiciels téléchargeurs). Dans ces cas là, lorsque l'on utilise le service VirusTotal (ou n'importe quels autres services multi-antivirus en ligne, ou n'importe quel antivirus installé dans son ordinateur, ou lorsque l'on utilise VTZilla), c'est le downloader qui est analysé. Le lien sur lequel vous cliquez est, en réalité, celui d'un downloader (un logiciel téléchargeur). Lui est toujours " propre ". Il en est ainsi de tous les sites qui ne permettent pas de télécharger directement le fichier convoité.
   

   Une fois votre vigilance endormie, vous croyez lancer l'exécution du programme « propre » que vous croyez venir de faire analyser et de télécharger. En réalité vous activez le downloader (téléchargeur) :

   1. Le downloader (téléchargeur) lance enfin le téléchargement du fichier convoité.
   2. Le downloader (téléchargeur) va éventuellement lancer l'installation du fichier téléchargé, s'il s'agit d'un programme, de manière à vous empêcher d'analyser le téléchargement AVANT son ouverture / exécution.
   3. Le downloader (téléchargeur) va parfois télécharger et installer, silencieusement (à l'insu de l'utilisateur), d'autres choses non sollicitées, dont vous n'avez absolument pas besoin et absolument pas la maîtrise. Des choses agaçantes et violant la vie privée, comme des logiciels publicitaires (adwares), et/ou des choses beaucoup plus dommageables et cybercriminelles (zombification de l'ordinateur, spyware, keylogger, virus, malwares, logiciels non désirés (PUP, LPI, qui vont vous harceler pour être achetés, comme la longue litanie des crapwares et scarewares (faux logiciels de sécurité, faux logiciels d'accélération de l'ordinateur, dramatiques logiciels de nettoyages du Registre Windows, etc. ...).
      
      Ce qui reste étonnant et chagrin, depuis des années, est que, dans l'agrégation VirusTotal, comme dans les autres services multi-antivirus en ligne, plusieurs outils fonctionnent en sandboxing et devraient donc exécuter le downloader (téléchargeur) et voir quel est (quels sont) le/les fichiers téléchargés par le downloader (téléchargeur). Ces fichiers sont généralement "hardcodés" (les URL vers les téléchargements sont figées dans le code du downloader) et même un chiffrement (cryptage) du code doit être, à un moment donné, traduit en un simple lien de type HTTP, HTTPS ou FTP vers une ressource. VirusTotal devrait donner la liste de ces appels à des ressources externes, les analyser également et alerter l'utilisateur.
      

Les cybercriminels qui tentent d'implanter une malveillance connaissent les applications Web comme VirusTotal et savent les tromper.

1. Il suffit de bourrer la malveillance de caractères inutiles pour dépasser la taille limite acceptable (64 MO chez VirusTotal, 140 MO chez Metascan).
2. Sachant également que, si un outil d'analyse, au panel de VirusTotal ou Metascan, etc. détecte quelque chose, le fichier est envoyé automatiquement aux laboratoires de tous les autres outils du panel, les cybercriminels ont leurs propres panels (voir le paragraphe « Service multi-antivirus pour développeurs de virus »), payant, mais où le fichier n'est jamais diffusé. Cela leur permet de peaufiner leur invisibilité jusqu'à ce que les résultats d'analyses donnent des résultats apparents "propres".
3. Utilisation de downloaders (logiciels téléchargeurs). Dans ces cas là, lorsque l'on utilise le service VirusTotal (ou n'importe quels autres services multi-antivirus en ligne, ou n'importe quel antivirus installé dans son ordinateur, ou lorsque l'on utilise VTZilla), c'est le downloader qui est analysé. Le lien sur lequel vous cliquez est, en réalité, celui d'un downloader (un logiciel téléchargeur). Lui est toujours " propre ". Il en est ainsi de tous les sites qui ne permettent pas de télécharger directement le fichier convoité.
   

   Une fois votre vigilance endormie, vous croyez lancer l'exécution du programme « propre » que vous croyez venir de faire analyser et de télécharger. En réalité vous activez le downloader (téléchargeur) :

   1. Le downloader (téléchargeur) lance enfin le téléchargement du fichier convoité.
   2. Le downloader (téléchargeur) va éventuellement lancer l'installation du fichier téléchargé, s'il s'agit d'un programme, de manière à vous empêcher d'analyser le téléchargement AVANT son ouverture / exécution.
   3. Le downloader (téléchargeur) va parfois télécharger et installer, silencieusement (à l'insu de l'utilisateur), d'autres choses non sollicitées, dont vous n'avez absolument pas besoin et absolument pas la maîtrise. Des choses agaçantes et violant la vie privée, comme des logiciels publicitaires (adwares), et/ou des choses beaucoup plus dommageables et cybercriminelles (zombification de l'ordinateur, spyware, keylogger, virus, malwares, logiciels non désirés (PUP, LPI, qui vont vous harceler pour être achetés, comme la longue litanie des crapwares et scarewares (faux logiciels de sécurité, faux logiciels d'accélération de l'ordinateur, dramatiques logiciels de nettoyages du Registre Windows, etc. ...).
      
      Ce qui reste étonnant et chagrin, depuis des années, est que, dans l'agrégation VirusTotal, comme dans les autres services multi-antivirus en ligne, plusieurs outils fonctionnent en sandboxing et devraient donc exécuter le downloader (téléchargeur) et voir quel est (quels sont) le/les fichiers téléchargés par le downloader (téléchargeur). Ces fichiers sont généralement "hardcodés" (les URL vers les téléchargements sont figées dans le code du downloader) et même un chiffrement (cryptage) du code doit être, à un moment donné, traduit en un simple lien de type HTTP, HTTPS ou FTP vers une ressource. VirusTotal devrait donner la liste de ces appels à des ressources externes, les analyser également et alerter l'utilisateur.
      

1. Utiliser le navigateur Firefox.
   
2. Avoir installé, préalablement, le module additionnel VTZilla qui va permettre de scanner le site de téléchargement et le fichier à télécharger avant de démarrer le téléchargement.
   
3. Cliquer sur le lien ou le bouton devant lancer le téléchargement du fichier convoité.
   
4. Si VTZilla a été installé, cliquez sur le bouton "Scan with VirusTotal".
   
   
   
   VTZilla
   
   
   
   1. VTZilla commence par solliciter l'analyse de l'URL de la page et retourne l'avis des intervenants du service VirusTotal (les sociétés éditrices d'antivirus). Regarder l'analyse du site de téléchargement par VirusTotal. Le site peut être considéré comme de confiance ou suspect. Exemple :
      
      
      
   2. Cliquer ensuite sur le lien de demande d'analyse du fichier à télécharger qui vient d'apparaître sur la page de résultat de l'analyse du site (Si VirusTotal dit n'avoir pas trouvé de fichier à télécharger, c'est que le site camoufle son lien de téléchargement - poursuivre au point 5 ci-dessous).
      
      
      
      VTZilla - Fichier à analyser identifié
      
   
   
5. Si le fichier est contaminé, selon VirusTotal, abandonner le téléchargement.
   Si le fichier est "propre" selon VirusTotal, ou s'il n'a pu être analysé, télécharger le fichier (ne pas l'ouvrir immédiatement - ne pas l'exécuter - simplement le télécharger).
   
6. Une fois téléchargé, se rendre sur un ou deux des services gratuits en ligne d'analyse multi-antivirus. Plus de 40 antivirus, réglés en mode paranoïaque, et totalement à jour, analysent simultanément le fichier.
   
7. Une fois le fichier analysé et "propre" (sans virus), couper la connexion Internet (couper la WiFi et retirer le câble Ethernet).
   
8. Lancer l'exécution du programme téléchargé. Si celui-ci tente de se connecter à l'Internet, il ne s'agit pas du fichier convoité, mais d'un programme de téléchargement intermédiaire, un Téléchargeur (Downloader). C'est lui qui a été analysé par les 40 antivirus et qui est apparu "propre". Maintenant, dans un second temps, le Téléchargeur (Downloader) cherche à télécharger un autre fichier. Il va l'installer immédiatement. Vous n'aurez pas le temps de voir ce fichier, ni de le faire analyser. Une fois installé, le Téléchargeur (Downloader) détruira automatiquement et immédiatement le fichier qu'il aura téléchargé. Le parasite éventuel, polymorphe, a de fortes chances de passer au travers de vos couches de protection puisque le Téléchargeur (Downloader) est devenu une tâche " de confiance ", et / ou les modifications de vos réglages (Hijack du démarrage de votre ordinateur et / ou de votre navigateur, etc. ...) sont installés et / ou une analyse (espionnage) de votre machine et de son contenu est effectuée et est remontée vers le site que vous consultez, etc. ...
   
   

   Des philanthropes âpres aux gains

   Les sites de téléchargement ne sont pas des philanthropes. Ce sont des sites cherchant à gagner de l'argent facilement, sur votre dos et sur le dos des développeurs (de logiciels, de musiques, de vidéos, etc. ...). Ce sont des sites de monétisation.

   • Vous croyez que le téléchargement est gratuit, mais non ! Vous êtes leur produit !
   • Vous croyez que leur service est gratuit, mais non ! Vous êtes leur service !

   Pour se faire de l'argent, les sites de téléchargement ont deux moyens essentiels (outre la publicité dont sont couvertes les pages de leurs sites Internet) :

   • Utiliser un téléchargeur (un downloader) piégé (trapped downloader) au lieu de vous permettre de télécharger directement ce que vous recherchez.
   • Utiliser un installeur piégé (trapped installer).

   Ils agissent dans trois domaines principaux leur rapportant de l'argent :

   • La publicité (implantation d'adwares, implantation de mécanismes de publicité intrusive, etc. ...)
   • Des modifications persistantes dans votre ordinateur (Hijack, espionnage (barres d'outils), surveillance, etc.)
   • Vous conduire à tester / utiliser des logiciels non sollicités (Bundleware, PUPs, Scarewares, etc.)

   Ce qu'ils font :

   • Vous délivrer de la publicité durant votre téléchargement en utilisant un downloader comportant un adware. Chaque publicité affichée et, surtout, cliquée, leur rapporte de l'argent.
   • Vous surveiller, vous traquer, vous espionner en continu, 24/24 365/365, afin de vous profiler en temps réel, entre autres pour prévoir, en permanence, vos envies et besoins afin de vous délivrer les bonnes publicités, celles à propos de ce à quoi vous vous intéressez. Il faut, pour cela, vous connaître mieux que vous ne vous connaissez vous-même, mieux que votre mère ne vous connaît.
   • Vous délivrer de la publicité après votre téléchargement en implantant un adware persistant, impossible à éradiquer de manière simple par l'utilisateur.
     • L'adware peut être celui du site de téléchargement et chaque publicité affichée et, surtout, cliquée, leur rapporte de l'argent.
     • L'adware peut être celui d'un tiers (une régie publicitaire agressive...) et chaque implantation réussie de l'adware leur rapporte de l'argent (la régie paye le site de téléchargement).
   • Modifier votre réglage d'un moteur de recherche préféré au profit d'un autre moteur de recherche, souvent un moteur de recherche menteur. Cette modification persistante, appelée Hijack, est impossible à éradiquer de manière simple par l'utilisateur. Chaque modification réussie de votre moteur de recherche leur rapporte de l'argent.
   • Modifier la page de démarrage de vos navigateurs Web au profit d'un autre site. Cette modification persistante, appelée Hijack, est impossible à éradiquer de manière simple par l'utilisateur. Chaque modification réussie de votre page de démarrage leur rapporte de l'argent.
   • Implanter une barre d'outils (absolument toutes les barres d'outils sont malveillantes. Elles servent à modifier les résultats de recherche au profit de leurs auteurs (faire mentir les moteurs traditionnels) et à espionner tous vos centres d'intérêt, faits et gestes (pudiquement appelé Tracking)). Chaque implantation réussie de la barre d'outils leur rapporte de l'argent.
   • Implanter des logiciels qui n'ont rien à voir avec ce que vous cherchez à télécharger, des PUPs, afin de vous conduire à les tester et les acheter. Chaque PUP dont l'implantation est réussie leur rapporte de l'argent. Chaque PUP dont vous passeriez commande (un ordre d'achat) leur rapporte aussi de l'argent.

   Les downloaders comme les installeurs sont du code qui s'exécute dans votre ordinateur. S'ils peuvent faire tout ce qui est décrit ci-dessus, ils peuvent faire n'importe quoi d'autre. Le pire est qu'ils le font à votre demande ! Et, de temps en temps, c'est tout autre chose qui est implanté à votre insu, comme des spywares, des backdoors, des outils de tracking, de zombification ou n'importe quoi de malveillant.

   Les downloaders comme les installeurs communiquent avec un serveur, par la force des choses. De l'information remonte vers les serveurs, sans que l'internaute n'en soit informé, sans qu'il sache quelles informations sont volées, collectées et envoyées, et sans qu'il puisse s'y opposer.

   Un downloader, comme un installeur, camoufle totalement à l'utilisateur les actions exécutées durant la phase de téléchargement et installation.

   Les sites suivants, au moins, utilisent à plus ou moins grande échelle des téléchargeurs piégés (trapped downloader) et malveillants (en outre, transformés en adwares), et/ou des installeurs piégés (trapped installer) et malveillants (en outre, transformés également en adwares). Ces sites utilisent les bundle, repack, sponsoring, etc. et nous obligent à utiliser des downloader inutiles transformés en outre, en adwares, pour se faire de l'argent, beaucoup d'argent, peu importe ce que cela induit dans les ordinateurs de leurs visiteurs. Le fait qu'ils couvrent leurs sites de sceaux de confiance farfelus, inexistants, invérifiables, etc. les rend encore plus douteux. Ces sites (et tous ceux de même nature) ne doivent jamais être utilisés. Il faut toujours rechercher un téléchargement depuis le site de son auteur et uniquement depuis le site de son auteur. Personne n'a besoin des sites de téléchargement, auxquels nous n'avons rien demandé, et qui nous le font payer (au prétexte de la " monétisation de leur service ". Ils sont payés par les éditeurs de malveillances, de barres d'outils, de hijackers (usurpateurs de vos réglages), de moteurs de recherches trompeurs ou menteurs, de logiciels inconnus et inutiles, de PUPs, etc. ... chaque fois qu'ils arrivent à vous convaincre d'en installer un ! ) :

   • 01Net
     
   • Telecharger.com
     
   • C|Net (CNET)
     
   • Download.com
     
   • BrotherSoft
     
   • Softonic
     
   • Soft32
     
   • Softpicks
     
   • Softpicks.fr
     
   • Tuto4PC
     
   • Tucows
     
   • Software Informer
     
   • FileHorse
     
   • Snapfiles
     
   • Filehippo(Le plus propre de cette liste)
     
   • Softpedia
     
   • Winstally
     
   • Etc. ...
     

   L'utilisation d'un Téléchargeur (Downloader) piégé est très proche, dans l'esprit, de l'utilisation d'un installeur piégé (Repack). Les sites de téléchargement ne se privent d'ailleurs pas d'utiliser les deux, Téléchargeur (Downloader) piégé puis Installeur piégé (Repack).

   
   Circuit normal de la distribution de logiciels, sans sponsor ni repack
   
   
   Circuit biaisé de la distribution de logiciels, avec repack de l'installeur et qui peut être précédé, sur un site de téléchargement, d'une autre malveillance, le Downloader.
   

   En 2011 / 2012, suite essentiellement au scandale du C|Net (Download.com), les internautes ont fait pression sur les éditeurs. Les éditeurs, comme s'ils n'étaient pas informés, ont alors brassé de l'air et se sont offusqués, à grands coups d'articles cherchant à se dédouaner et se blanchir, de l'usage, par les grands sites de téléchargement qu'ils utilisent, non seulement d'un Téléchargeur (Downloader), sans prévenir leurs utilisateurs, mais, également, de la modification de leurs logiciels par l'usage d'un installeur autre que le leur (technique du Repacking), à leur insu, truffé d'adwares, de barres d'outils (toolbar), de Hijackers, d'inscriptions de Moteurs de recherches menteurs, etc. ...

   Résultat des courses : les grands sites de téléchargement font un bras d'honneur aux internautes et aux éditeurs de logiciels ! Ils continuent à utiliser un Téléchargeur (Downloader), sous leurs gros boutons " Télécharger ", bien visible et sur lequel tout le monde se précipite. Quelques-uns ont simplement ajouté, très discrètement, très petit, quasiment invisible et sans explication sur sa présence, un lien appelé " Lien direct " ou " Direct Download Link ", etc. ... qui ne veux rien dire à personne et disparaît petit à petit, jusqu'au prochain gros scandale.

Certains liens de téléchargement ne pointent pas vers le fichier à télécharger mais vers une page qui, elle même, va lancer le téléchargement tandis que de la publicité ou d'autres choses sont affichées. Le fait de cliquer sur " Scan with VirusTotal " va alors analyser la page du site, dans une fonction de VirusTotal similaire aux outils de " Web e confiance ". Le résultat n'a rien à voir avec l'analyse du fichier en lui-même. Un lien, sur la page de résultat de VirusTotal, permet de poursuivre vers l'analyse du fichier à télécharger.

VTZilla

Dans un premier temps, VTZilla rapporte ce que pensent une trentaine d'éditeurs de solution de sécurité du site d'où provient le téléchargement envisagé. Est-ce un site de confiance (quelle est sa Web-Réputation) ?

VTZilla en trois clics au lieu de deux

VTZilla - VirusTotal - Résultat de l'analyse