Bagle - de chiki a moe

Re,

Merci et prends ton temps Cédric, y a pas le feu au lac :-) !

Qu'est-ce que tu en conclus, satisfaisant ou pas pour toi ?
Toujours des oublis ?
Quoi qu'il en soit, je vais continuer de voir de mon côté ce qui a pu clocher...
Pour les icônes, j'en ai retrouvé une quinzaine, je dois en avoir d'autres mais comme j'ai pas eu le temps de tout fouiller et que je suis bordélique :-) ... je te ferais passer les autres dès que je les aurais retrouvées !
Enjoy !


Gen, en fait la réparation des exe n'est pas envisagée pour le moment, signaler les exe corrompu c'est déjà pas mal et une bonne chose pour cibler ce qu'il faut réinstaller, là au moins le risque est de 0 concernant la fiabilité des fichiers :-)

comment il peut reactiver des antivirus corrompus ?
Jetes un oeil au post 88 et dis moi si tu capte le principe ou pas.
Regardes ici aussi pour comprendre un peu la structure d'un exe et surtout du PE header car c'est dans cette partie que bagle modifie un bit bien précis.
http://assembly.ifrance.com/pehader.htm
Théoriquement il est possible après certaines vérifs de base de "réintégrer" la valeur d'origine du bit modifié pour rendre à nouveau le fichier opérationnel...
Pour ma part les tests réalisés en ce sens on tous été positifs, maintenant je n'en ai pas fait sur un très grand nombre de progs non plus pour pouvoir te garantir qu'il n'y ait aucun risque d'erreur....

@++

Salut Cédric, Gen

Personnellement je trouve aussi que ça va dans le bon sens, néanmoins il faudra encore pas mal de tests pour savoir si la fiabilité est au rendez-vous.
J'ai vu notamment qu'il y avait encore un problème avec la suppression de certains fichiers donc je vais changer de méthode et au pire laisser le *.cmd s'en occuper si ça perdure.
Mais bon dans l'ensemble je pense qu'on s'en tire pas mal avec l'infection et ses conséquences :-)

Pour fyk , j ai beaucoup d idées et j ai besoin de prendre différents contacts etc ...
C'est à dire ?... Pour l'hébergement ?

J ai une grosse envie de te faire parvenir le sujet sur lequel je bosse , mais c est pas suffisamment abouti pour l instant .
C'est toi qui voit Cédric, en tout cas n'hésites pas si tu en as toujours envie ou alors quand tu le penseras abouti.

Gen,
Tu te rapproche ! :-)
En fait tu fais l'amalgamme entre un fichier corrompu et un fichier "écrasé" par Bagle.
Un fichier corrompu n'est pas un fichier "infecté" par Bagle, mais qui a été modifié par Bagle afin d'empécher son exécution.
Le but du jeu étant d'empêcher l'exécution d'un *.exe afin de le neutraliser, mais sans l'infecter ou le remplacer.

Imagine que tu ailles faire le plein de ta voiture comme d'hab à la station du coin et que tu t'aperçoives que le nom des carburants ainsi que les codes couleurs aient été enlevés des pompes !
Impossible de savoir ce que tu vas mettre dans ton réservoir sans çà, donc logiquement tu t'abstiens pour pas abimer ta voiture et tu t'en vas.
En fait lorsque Bagle modifie un fichier qui pourrait lui être "génant", il oblige le système à réagir de la même façon que toi fasse aux pompes sans étiquettes ni couleurs :-)
Dans le FILE_HEADER (la station service) du fichier, il y a une section qu'on appelle IMAGE_FILE_MACHINE (la pompe) et cette section permet au système de savoir si l'application est compatible avec ton type de processeur.
Donc pour chaque type d'architecture de processeur il existe une liste de valeurs (type de carburant) bien définies et connues par le système pour pouvoir comparer.
Ce que bagle fait, c'est modifier la valeur d'origine IMAGE_FILE_MACHINE pour faire croire au système que l'exe a été codé pour tourner sur un type de processeur qui lui est inconnu, donc le système réagit à cette anomalie en bloquant l'exécution du code du fichier et renvois le fameux message "n'est une application win32 valide".
Ensuite, tu as très bien compris le principe pour réparer le fichier, en remettant la valeur d'origine le fichier et à nouveau autorisé à être exécuté puisque cette fois le système pourra clairement identifier sa compatibilité.
En réparant, il faut juste faire attention de ne pas remettre sur la pompe l'étiquette "98" à la place de "Gasoil" et normalement l'exe refonctionne comme avant :-)

@++

Salut Cédric,

Bah si jamais tu as besoin de screenshots (concernant XP) pour illustrer tes pages html, n'hésites pas à me demander ce qu'il te faut, ce sera avec plaisir.
L'idée est sympa puis utile surtout, ne serait-ce que pour proposer une procédure d'utilisation à jour par rapport aux évolutions de l'outil.

Sinon je viens de revoir fyks et la procédure de suppression, chez moi ça tourne comme il faut mais avant de crier victoire je préfère attendre tes remarques et donc de voir ce que ça donnera sous vista :-)
D'après toi, est-ce qu'on peut dire que c'est ok pour les zips sous vista ou c'est toujours un coup oui un coup non ?

Quoiqu'il en soit...Passe une bonne soirée !

@++

Re,

Cool, alors reste plus qu'à voir ce que ça va donner en live !.
Pour ma part j'attendrais d'avoir quelques retours pour voir s'il y a des points à améliorer et lesquels.
Après quoi, si l'exe s'avère être stable et fiable, je crois bien que la boucle Bagle ne sera pas loin d'être bouclée.

Bonne fin de soirée Cédric et bonne continuation pour tes projets.:-)

@++

Salut DeNisCoOl, salut à tous

Lol...Beau pléonasme effectivement, j'aurais surement du me la boucler sur ce coup :-)

Merci pour l'encouragement... Et bonne continuation.
++

Bonsoir Lyonnais,

Processeur 64 avec OS 64 ou Processeur 64 avec OS 32 ?

Je suppose que si tu formules la question de cette façon, c'est que tu as déjà une petite idée de la réponse, du moins pour le premier cas :-)
Ce qui nous amène logiquement à "Faut t'il que le tool filtre les OS 64 bits en l'état actuel du code de FYK" ?
La réponse est (pour ma part) oui.

@++

Salut à tous,

Cédric, pas de soucis pour ton absence, de plus je vais l'être pas mal moi aussi ces prochaines semaines...
Effectivement la 720 à l'air de se comporter honnorablement, mais pour ma part j'attend encore de voir quelques logs avant d'être un peu plus fixé sur les éventuels "petits ennuis" rencontrés.
Par contre, comme le soulignaient gen-hackman et Colombo :-) il y a parfois un soucis de double détection dans les %appdata%, surement que tu as du le remarquer, et ce, depuis la recherche des fichiers infectieux sur toutes les sessions, il me semble...
A voir...

Sinon gen, pour le lien, il semble pour une raison indéterminée, que combo n'ait pas supprimé le dossier drivers après l'avoir vidé son contenu, en tout cas il n'apparait pas clairement dans le rapport.
Si une 04 avait recrée le dossier drivers, il se serait accompagné automatiquement de la clé HKCU\Software\Bisoft qui va de pair et ça n'est pas le cas si j'en crois FYK passé juste après.
De plus, le rapport combofix dans son listing des 04, ne mentionne aucun fichier dont la taille pourrait correspondre avec une copie de winupgro qui gravite généralement autour des ~800 ko, ce qui laisse à penser et sous réserve bien sur du résultat d'un scan AV de confirmation, que les 04 actuelles sont clean.
Par contre Elibagla semble avoir été aussi utilisé et il est fort possible qu'il se soit occupé de la 04, probablement GoogleToolbarNotifier.exe dont l'entrée registre est détecté orpheline par combo : HKCU-Run-swg - d:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
A suivre en tout cas :-) et merci pour la remontée Gen !

Cédric, dans la soirée, je te ferais surement parvenir un prog à tester pour la réparation du PEHM des exe, un peu comme celui que je t'avais déjà fait passer il y a quelque temps, mais dans une version beaucoup plus aboutie...
Il fonctionne en faisant un glisser/déposer du rapport fyk option 2 sur l'icone de l'exe ou d'un fichier script nommé PEH.txt contenant la liste des exe à réparer, c'est au choix.
Après les vérifs d'usage et si le fichier peut être réparé, une copie de celui-ci est d'abord faite dans le dossier d'origine sous la forme toto.exe.REN, puis la tentative de réparation s'exécute avec le résultat mentionné dans un fichier rapport qui s'ouvrira en fin de scan.
C'est juste pour le fun, pas pour diffuser...

Bonne soirée et ...Fais pas trop chauffer la CB, lol :-)

@++

Salut Cédric,

Merci pour le lien, effectivement c'est pas encore çà pour les zip...
Je viens de revoir fyks et j'ai apporté quelques modifs en conséquence.
Cette fois je fais un essai avec izarce, ce sera peut-être plus facile pour extraire et traiter les infos.
Tu trouveras la maj (à tester avant de mettre en ligne) ici, ainsi que RepairPEHM.exe.
Lol, en fait la bébette n'est pas très différente en apparence de celle que tu avais pu tester, c'est surtout au niveau du code que ça se passe ou je me sert cette fois de imagehlp.dll qui facilite et fiabilise la détection et la réparation des exe.
Tu me diras ce que tu en pense !

Bon tests et bon courage pour la création des pages web :-)
@++