La version 1.4 de Skype est sortie le 10 octobre. Ceci n'a pas échappé à certains concepteurs de programmes malveillants. En effet des mails proposant la mise à jour de ce programme de téléphonie sur IP bien connu commencent à circuler, mais la pièce jointe est un cheval de Troie.

Cela vous intéressera aussi

Si l'on tente d'ouvrir cette pièce jointe une fenêtrefenêtre avec un message "Installation error" ou "The file could not be opened" s'affiche. C'est un leurre pour faire croire que rien ne s'est passé. En fait le cheval de Troiecheval de Troie s'est bien installé dans le répertoire du système sous le nom remote.exe, et a modifié la base de registre. Il s'agirait d'une variante d'un malwaremalware bien connu : IRCbot.

À partir de ce moment les catastrophes vont commencer à pleuvoir : blocage de l'accès à Windows Update, blocage des partages réseau, tentative de connexion à un serveurserveur IRC, probablement pour transférer des informations relatives à l'ordinateurordinateur infecté. Le ver installe une porte dérobéeporte dérobée sur le port 5652, ce qui peut permettre à un pirate de prendre le contrôle de l'ordinateur. Bien entendu il tente de s'envoyer en massemasse vers d'autres adresses de mail en utilisant son propre serveur SMTPSMTP, mais il s'installe aussi sous des noms attrayants (allant de Harry Potter à Britney Spears and Eminem porn, en passant par Adobe Photoshop ou Acrobat Reader... il y en a pour tous les goûts) dans des répertoires partagés en P2PP2P de façon à pièger les adeptes du téléchargement.

En fait le sujet du message peut faire clairement référence à SkypeSkype :

  • Share Skype.
  • What is Skype?
  • Skype for Windows 1.4 - Have you got the new Skype?

...

ou être très différent :

  • Your Account is Suspended.
  • *DETECTED* Online User Violation.
  • Your Account is Suspended For Security Reasons.
  • Warning Message: Your services near to be closed.
  • Important Notification!

...

En conclusion, ne vous fiez jamais à des mails, même s'il semble s'agir de mails de publicité pour un produit connu : aucun éditeur ne vous proposera une mise à jour sous forme de pièce attachée. Et méfiez-vous de ce que vous téléchargez !

L'alerte a été donnée par Message Labs, un spécialiste de la protection du courrier électronique. Symantec le classe comme ver sous le nom [email protected] (alias W32/Fanbot-H Sophos, WORM_FANBOT.A Trend Micro).