Aide technique / Sécurité sur Internet
Chevaux de Troie

Définition
Le cheval de Troie, aussi connu sous le nom anglais de Trojan Horse ou simplement trojan, est une des méthodes les plus courantes d'intrusion dans un système. Un cheval de Troie est un programme d'apparence anodine ouvrant une brèche de sécurité à des fins malicieuses ( 1 ). L'appellation fait référence aux habitants de l'antique ville de Troie qui, selon la légende, virent leurs assiégeants abandonner le champ de bataille en y laissant un grand cheval de bois. D'apparence inoffensive, ce trophée fut imprudemment introduit derrière les murs de la ville, ce qui allait causer leur perte. Des soldats ennemis s'étaient en effet cachés à l'intérieur du cheval. Ils attendirent la nuit pour sortir et ouvrir les portes de la cité à leurs compatriotes qui mirent la ville à feu et à sang.

La méthode d'action du cheval de Troie moderne n'a pas beaucoup changé. Il se présente caché dans un autre programme sous de fausses représentations. Il peut se dissimuler dans de petits programmes d'animation graphique, simplement amusants ou plus souvent pornographiques. Le programme dans lequel il se dissimule est accepté sciemment et souvent envoyé de bonne foi par les internautes ignorant les dangers qu'il contient. C'est là surtout qu'il diffère du virus, dont la capacité à se reproduire par lui-même lui permet de se transmettre sans aucune intervention humaine directe.

Potentiel nuisible
Les dommages causés par un cheval de Troie peuvent avoir des conséquences très sérieuses. Il peut donner l'entier contrôle de votre système à de parfaits inconnus agissant sous le couvert de l'anonymat. Par exemple, le contenu de votre système pourrait être totalement supprimé. De façon plus insidieuse, vos données personnelles ou d'affaires et certains mots de passe mémorisés sur votre ordinateur pourraient être découverts et dans certains cas modifiés. Sans que vous ne vous doutiez de rien, un cheval de Troie peut permettre à un pirate informatique d'utiliser votre connexion Internet sous votre identité pour commettre des délits criminels dont l'enquête remontera jusqu'à vous.

Mesures préventives
Les mesures de prudence à mettre en application pour se protéger des chevaux de Troie sont les mêmes que celles pour les virus et les vers informatiques. Un peu plus d'attention doit seulement être accordée aux programmes d'apparence anodine et d'utilité discutable, particulièrement ceux à caractère pornographique.

Après s'être assuré de la mise à jour régulière et de l'utilisation adéquate de son logiciel anti-virus, la première règle à suivre pour se protéger contre les virus, les vers informatiques et les chevaux de Troie est de ne jamais exécuter des programmes ni d'ouvrir des fichiers contenant des macros, des scripts ou autres types d'instructions exécutables sur son ordinateur si la source n'est pas entièrement sûre. Sont généralement considérés comme sûrs les entreprises, les organisations et les sites établis, reconnus et ayant une réputation à préserver. Les serveurs pornographiques ou offrant des logiciels piratés ou d'autres contenus illégaux sont à éviter. N'y acceptez pas de programmes ou autres fichiers contenant des instructions pouvant s'exécuter sur votre système.

La seconde règle de prudence est de ne pas ouvrir les messages de courriel qui proviennent de sources inconnues, qui semblent suspects ou dont l'objet ou la langue ne vous semblent pas correspondre avec une source connue. Dans votre logiciel de courriel, et en particulier dans Microsoft Outlook Express (menu Affichage / Disposition), il importe aussi de garder fermé le volet de visualisation et de régler la sécurité au maximum. Le volet de visualisation est une fenêtre permettant de voir le contenu du message sélectionné en même temps que la liste des messages reçus. Si ce panneau reste ouvert, un script malicieux caché dans un message peut démarrer automatiquement dès que le message est sélectionné, même si ce n'est que pour le détruire.

N'acceptez pas non plus de programmes ou autres fichiers contenant des instructions exécutables sur l'>IRC, sur ICQ ou sur d'autres types de causeries en ligne (clavardage), même s'ils viennent d'un ami. À ce sujet, supposons que vous correspondiez avec un ami en qui vous avez toute confiance. Il connaît lui-même un ami qui connaît un autre ami et ainsi de suite. Pouvez-vous accorder votre confiance à l'ami de l'ami de l'ami de l'ami de votre ami ? Même si vous n'aviez aucun doute sur les bonnes intentions de toutes ces personnes, la réponse à la question devrait être NON parce que vous ne connaissez pas leur degré d'exposition au risque, ni les mesures de prudence qu'ils appliquent.

Des précautions identiques doivent s'appliquer aux disquettes et aux disques compacts (cédéroms) de confection personnelle, c'est-à-dire copiés par un utilisateur plutôt que pré-enregistrés par un fabricant. À moins de connaître leur utilité, d'être sûr de leur provenance et de pouvoir vous fier aux mesures de prévention mises en application par l'expéditeur, n'acceptez pas de tels disques et détruisez les fichiers programmes qu'ils contiennent ou qui sont joints aux messages de courriel. Dans tous les cas, si vous devez vous en servir, scrutez-les d'abord avec la dernière mise à jour de votre logiciel anti-virus.

Quant à l'exploitation de serveurs Web ou autres types de partage des ressources, elle doit être évitée le plus possible. Dans tous les cas, un logiciel ou autre dispositif de coupe-feu (firewall) protégé par un mot de passe sécuritaire devrait au moins être utilisé pour prévenir les intrusions dans votre système.

Logiciels de protection
Bien qu'ils diffèrent des virus par leur mode de propagation, les chevaux de Troie sont maintenant détectés par la plupart des logiciels anti-virus. Certains logiciels sont toutefois spécialisés uniquement dans la protection contre les chevaux de Troie.

Bien qu'étant d'une grande utilité, ces outils ne sont souvent que des mesures de réparation, après coup. Rien ne saurait remplacer la prudence élémentaire qui permet de prévenir le mal avant qu'il ne s'installe ou même qu'il ne frappe.

Voici quelques liens utiles qui offrent des ressources pour se protéger, pour vérifier l'intégrité de son système, le désinfecter au besoin ou simplement se familiariser avec la question du cheval de Troie :

McAfee Anti-Virus
Norton AntiVirus
Agnitum Tauscan
Back Orifice help page
Trojan Horse Attacks on IRC
Trojan horses: Back Orifice & Netbus

Back Orifice
Back Orifice est sans doute le cheval de Troie qui a fait le plus parler de lui. Présenté comme une application client/serveur pour l'administration à distance par un groupe se donnant le nom de Cult of the Dead Cow, il s'agit en fait d'un programme très dangereux. Il permet aux pirates qui l'exploitent de faire à distance, et dans l'anonymat, tout ce que vous pouvez faire vous-même au clavier de votre ordinateur.

Back Orifice ouvre des ports de communication qui peuvent être connus de la plupart des pirates, permettant ainsi à quiconque sachant comment s'y prendre d'entrer dans votre système. Il est également possible de spécifier les ports de communication et d'en protéger l'accès par un nom d'utilisateur et un mot de passe. Le pirate se réserve ainsi l'exploitation illicite de votre système sans que vous ne soyez même conscient de sa présence.

Back Orifice ne s'installe sur, et ne s'attaque qu'aux systèmes Windows. Il modifie l'entrée suivante dans la base de registre : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices  La présence, dans le répertoire c:\windows\system, d'un fichier de type .exe apparemment sans nom est un autre signe d'infection par Back Orifice.

Une version fonctionnant sous (et permettant d'attaquer) Windows NT a été mise en circulation sous l'appellation Back Orifice 2000 (BO2K). Le Microsoft Security Advisor a émis un bulletin à ce sujet : How to Determine if Back Orifice 2000 Is Installed On Your System.

NetBus et autres
NetBus est un autre cheval de Troie très répandu. Tout comme Back Orifice, il s'installe insidieusement sur votre ordinateur pour ouvrir des portes d'entrées à qui veut bien les exploiter. Selon les versions, NetBus modifie la clé HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run  dans la base de registre de Windows, ou bien il crée la clé suivante : HKEY_CURRENT_USER\NetBus Server

Une des caractéristiques de NetBus est de permettre à un pirate d'ouvrir et fermer la porte de votre lecteur de cédérom à distance. Si vous constatez un tel comportement erratique sans raison apparente, il vaudrait mieux faire une vérification de votre système.

Parmi les autres chevaux de Troie fréquemment rencontrés, il y a winhelper.exe, dmsetup.exe et ses multiples variantes ainsi que MSchv32.exe. Pour de plus amples information à ce sujet consultez la page Trojan Horse Attacks on IRC du site IRChelp.org.

Les énumérations données ici ou ailleurs sur Internet ne peuvent jamais être exhaustives. De nouveaux programmes peuvent en effet apparaître en tout temps. Il convient aussi de noter que si les exemples les plus fréquemment rencontrés concernent les systèmes Microsoft Windows, d'autres systèmes d'exploitation tels que Unix ou Macintosh ne sont pas à l'abri de ce de menace.

En résumé :

• Le cheval de Troie est un programme d'apparence bénigne dans lequel se cache un autre programme dangereux. Méfiez-vous particulièrement des programmes d'apparence anodine et d'utilité discutable, particulièrement ceux à caractère pornographique.
• N'exécutez pas de programmes ni n'ouvrez aucun fichier contenant des macros, des scripts ou autres types d'instructions exécutables sur votre ordinateur s'ils ne proviennet pas d'une source entièrement sûre (i.e. entreprises, organisations ou sites établis, reconnus et ayant une réputation à préserver).
• N'ouvrez pas les messages de courriel qui proviennent de sources inconnues, qui semblent suspects ou dont l'objet ou la langue ne vous semblent pas correspondre avec une source connue.
• Dans votre logiciel de courriel, et en particulier dans Microsoft Outlook Express (menu Affichage / Disposition), gardez fermé le volet de visualisation et de réglez la sécurité au maximum.
• N'acceptez pas de fichiers provenant d'un autre usager par courriel ou via les causeries et le clavardage (chat) tels que IRC ou ICQ, même s'ils viennent d'un ami. Si vous le faites, scrutez ces fichiers avec la dernière mise à jour de votre logiciel anti-virus.
• N'acceptez pas de disquettes ou de disques compacts de confection personnelle (copiés par un utilisateur plutôt que pré-enregistrés par un fabricant) sans les vérifier avec la dernière mise à jour de votre logiciel anti-virus.
• Ne retransmettez pas d'alertes au virus sans en vérifier la véracité dans un centre anti-virus reconnu.