Lumières sur la sécurité

mercredi 19 octobre 2016

Si vous avez déjà vu les résultats de tests comparatifs d’antivirus, vous avez probablement remarqué que le nombre d'objets analysés peut varier considérablement en fonction des produits testés. Parfois, ces chiffres sont nettement plus élevés que le nombre de fichiers dans une collection analysée. La raison est assez prosaïque.

L'antivirus représente (entre autres) un extracteur qui permet de défragmenter tout objet, même s'il est corrompu et ne peut pas être traité par tout autre outil d'archivage.

Voici, par exemple, deux paragraphes relatant les exigences relatives à l'antivirus dans un appel d'offres :

Et il existe d’autres formats !

Mais même une analyse antivirus standard peut révéler des surprises liées au nombre d'objets scannés. Prenons pour exemple un fichier de taille nulle:

Demandons à l'antivirus de l'analyser.

S’est-il produit un miracle ? Pourquoi 9 objets ont-ils été scannés ? Compteur incorrect ? En fait, tout est normal : l'antivirus analyse tout simplement les fichiers et dossiers en profondeur, ce qui est invisible pour les utilisateurs.

Dans les œuvres de fiction, on pourrait voir décrit un portefeuille ou un sac magiques dans lesquels vous pouvez mettre différentes choses sans que la taille ni le poids du portefeuille ou du sac ne changent. Les fichiers et répertoires du système de fichiers NTFS utilisé dans les systèmes d'exploitation Microsoft Windows ressemblent à ces "portefeuilles magiques".

Tout le monde sait que le fichier comporte des attributs, un droit de lecture et d'écriture.

Mais il est possible de désigner d'autres attributs qui ne sont pas visibles par les utilisateurs lorsqu'ils travaillent avec les gestionnaires de fichiers ordinaires.

Par exemple, il est possible d'écrire un fichier dans un autre fichier de taille nulle.

Prenons le virus de test eicar (par exemple, depuis la page http://www.eicar.org/85-0-Download.html). Ce programme (EICAR — European Institute for Computer Anti-Virus Research) a été spécialement conçu pour que l'utilisateur puisse voir sans aucun risque comment l'antivirus installé l'alerte sur la détection d’un virus.

Mais n'oubliez pas de désactiver la protection antivirus avant le téléchargement de ce fichier de test, sinon vous verrez quelque chose comme ceci :

Passons dans la la ligne de commande et copions le virus de test dans un fichier.

Ouvrons le gestionnaire de fichiers pour nous assurer que la taille du fichier n'a pas changé :

Demandons de scanner le fichier:

Ainsi, vous pouvez cacher un objet important à l'utilisateur.