Introduction
L'analyste antivirus principal de Norman, Snorre Fagerland, a rédigé récemment un article consacré à la nuisance W32/Induc.A dans le cadre de notre blog. Il s’agit d’un virus infectant le langage de programmation Delphi. Le résultat est que les applications créées avec un environnement Delphi infecté sont elles-mêmes infectées. Comme nous allons le voir, les applications sont intéressantes.
Les infections reportées
Norman a récemment reçu plusieurs rapports concernant des fichiers infectés par la nuisance Induc.A.
Delphi est un langage de programmation très populaire, et on peut présumer que de nombreuses applications produites avec cet outil, qu’elles soient faites sur mesure ou commerciales, sont employées. Lorsqu’une entreprise reçoit une application de l’un de ses fournisseurs ou achète un programme informatique à un partenaire à qui elle fait confiance, le seuil d’alerte vis à vis de la sécurité est souvent plus bas que lors de la réception d’un programme envoyé dans un message non sollicité ou téléchargé depuis Internet.
Dans ce cas particulier, le danger est évident.
Une observation intéressante et inquiétante
L’un des effets les plus intrigants de cette nuisance particulière est lié à ce que l’on appelle les « fausses positives », sujet que nous avons déjà abordé dans des articles sur la sécurité ; reportez-vous, par exemple, à l’article A security issue? Oops - not! du début de cette année.
Plusieurs de nos clients nous ont envoyé des fichiers réellement infectés par Induc.A en nous indiquant qu’il s’agissait de fausses positives. Cela renforce le point énoncé ci-dessus : la sécurité des programmes émanant de « sources dignes de confiance » n’est, a priori, pas mise en cause. Si une application de sécurité indique que ce programme est infecté, c’est elle qui est présumée douteuse.
Cette présomption est elle-même très problématique ; pour les distributeurs de produits de sécurité, il est vraiment paradoxal que les fausses positives soient devenues si courantes que même les fichiers infectés sont reportés comme tels.
Ce n’est qu’un début
Heureusement, Induc.A n’est pas une nuisance dangereuse car elle ne contient aucune charge.
Cependant, étant donné la « réussite » dont a fait preuve cette nuisance en matière de capacités de diffusion et de succès des infections, on peut s’attendre à ce que d’autres auteurs de malware emploient les mêmes techniques. Les nuisances qui utiliseront le même vecteur de diffusion pourraient être bien plus dangereuses.
