[ACTU] PREVX le rêve ???

Un nouveau ver informatique apparaît sur Internet. Si vous ne comptez que sur votre logiciel antivirus pour vous protéger contre l'infection, votre PC sera vulnérable jusqu'au moment où vous recevrez la mise à jour qui permet à votre application de reconnaître la nouvelle menace. Dans le cas des vers informatiques à propagation rapide, ce laps de temps permet parfois la contamination de nombreux internautes, même s'ils disposent de logiciels de sécurité informatique. La même chose peut se produire avec les logiciels espions.

Ce phénomène est expliqué par la nature même du fonctionnement de la plupart de ces logiciels. Afin de pouvoir détecter un nouveau virus, ver informatique, cheval de Troie ou logiciel espion, les applications ont besoin d'une mise à jour des signatures, des caractéristiques qui permettent aux programmes de reconnaître et de bloquer les nouvelles menaces après que l'éditeur ait pu examiner un exemplaire des bestioles en «laboratoire».

Par analogie, c'est un peu comme un service de police qui a besoin d'une photo ou de la description d'un criminel avant de pouvoir l'identifier et l'arrêter. D'autres logiciels de sécurité informatique s'attardent plutôt aux comportements des modules en mémoire afin de prévenir les contaminations. Pour reprendre l'analogie précédente, les policiers adopteraient alors une attitude plus préventive et arrêteraient les personnes dont les actes suggèrent qu'ils sont sur le point de commettre des infractions contre la loi.

Vendredi, l'entreprise britannique Prevx lançait la version finale de son logiciel Prevx Home, un programme gratuit et «préventif» qui serait en mesure de bloquer virus, espions et pirates sans pour cela avoir besoin de mise à jour particulière.

Intrigué par cette offre inhabituelle, BRANCHEZ-VOUS.com a téléchargé et installé ce logiciel afin d'en faire l'essai. Pour cela, nous avons notamment isolé un PC d'Internet avant de tenter de l'infecter délibérément avec des variantes du ver informatique Netsky, toute autre mesure de protection ayant été temporairement désactivée. Et Prevx Home a réussi à empêcher l'infection du PC.

questions au directeur général de Prevx, Nick Ray :

Votre logiciel Prevx serait en mesure de détecter les nouvelles menaces d'Internet sans avoir besoin de mises à jour. Pouvez-vous nous expliquer en quelques mots la façon dont il fonctionne?

Prevx fonctionne en détectant les comportements d'attaques sur un système. Même s'il existe des milliers de types d'attaques et que des nouvelles apparaissent chaque jour, elles présentent toutefois des comportements similaires. Voici quelques exemples:

1) Toutes les attaques massives de vers informatiques (Sasser, Blaster, Code Red, etc.) exploitaient un dépassement de mémoire tampon (buffer overflow) afin de permettre l'exécution des attaques sur les PC. Prevx Home détecte et empêche les attaques par dépassement de mémoire tampon.

2) Beaucoup d'infections par des virus, des logiciels espions et d'autres programmes nuisibles installent des fichiers exécutables malicieux dans certains dossiers, notamment C:\Windows\System32. Prevx Home détecte et bloque les tentatives d'écriture de programmes exécutables dans ces dossiers [N.D.L.R.: sensibles].

3) Les auteurs de virus, vers informatiques et chevaux de Troie veulent généralement s'assurer que leurs créations continuent d'être exécutées après un redémarrage du système. Il existe plusieurs façons de parvenir à ces fins, par exemple l'insertion d'une clé «Run» dans la base de registre et la modification du fichier «autoexec.bat». Prevx Home détecte et bloque ces tentatives de lancement au démarrage.

Il ne s'agit que de quelques exemples des choses qui peuvent être accomplies par Prevx.

Prevx a-t-il été capable de détecter, sans mise à jour particulière, des vers informatiques tels que Sasser et les nombreuses variantes de Bagle et Netsky?

Oui.

D'autres éditeurs de logiciels prétendent que leurs produits peuvent bloquer les nouveaux vers informatiques sans avoir besoin d'une mise à jour des signatures. Que pensez-vous de ces logiciels? Prevx fonctionne-t-il de la même façon?

Ces éditeurs se contentent de détecter les vers informatiques qui se propagent par courriel (Mydoom, Netsky, etc.) en décelant les tentatives d'expédition massive de messages vers les contacts du client de courrier électronique. Prevx Home propose une protection beaucoup plus large, y compris les vers informatiques qui ne se diffusent pas par courriel mais plutôt en infectant directement les systèmes connectés à Internet (Sasser, Blaster, Slammer, Code Red, Nimda, Welchia, etc.).

Considérez-vous Prevx comme un logiciel qui peut remplacer les antivirus et les pare-feu conventionnels ou comme un complément à ces logiciels de sécurité informatique?

Vous ne pouvez jamais être trop protégé. La plupart des utilisateurs de Prevx Home possèdent déjà un antivirus et un coupe-feu, et Prevx fonctionne harmonieusement avec ces logiciels. Nous voyons plutôt Prevx Home comme étant sur «la dernière ligne de défense»; si une menace réussi à s'infiltrer à travers votre pare-feu et que votre logiciel antivirus est incapable de la bloquer, seul Prevx pourra éventuellement la stopper. De nos jours, la plus grande menace qui pèse sur les internautes provient des nouvelles exploitations contre lesquelles ils n'ont aucune protection.

On sait déjà que les technologies antivirus basées sur les signatures sont vulnérables aux nouvelles attaques. Pensez-vous que les éditeurs de logiciels de sécurité informatique seront éventuellement forcés d'adopter des technologies plus préventives afin d'améliorer leurs produits?

Oui, tout à fait. Les logiciels antivirus nous ont été très utiles dans le passé mais quand de nouvelles menaces peuvent contaminer des centaines de milliers d'ordinateurs en quelques minutes et qu'il faut plusieurs heures avant d'obtenir une mise à jour des signatures [N.D.L.R.: capable de les détecter], les antivirus deviennent alors de moins en moins efficaces.

Les créateurs de virus savent qu'ils disposent d'un laps de temps limité pendant lequel le nouveau virus se propagera rapidement avant qu'il ne soit bloqué par la mise à jour des signatures. En conséquence, ils adaptent les attaques existantes pour qu'elles puissent éviter la détection, [N.D.L.R.: ce qui donne lieu à une suite de variantes telles que] Netsky.A, B, C, etc.

À votre avis, pourquoi les plus grands éditeurs de logiciels antivirus n'intègrent-ils pas des technologies plus préventives dans leurs produits?

Ils n'ont pas trouvé le moyen d'intégrer une technologie de prévention des intrusions adaptée aux particuliers comme nous le faisons avec Prevx. De plus, ils ne veulent pas se priver des abonnements annuels pour les mises à jour des signatures qu'ils facturent à leurs clients.

Prevx a-t-il été testé par une étude indépendante?

Pas encore car nous venons tout juste de sortir de la phase de test. Il a cependant été éprouvé par des dizaines de milliers de testeurs bêta.

Votre logiciel Prevx Home est-il vraiment gratuit? Y a-t-il une attrape?

Il est vraiment gratuit. Il n'y a absolument aucune attrape.

Le 3 septembre la société anglaise Prevx a annoncé la disponibilité de Prevx Home, un antivirus générique gratuit ne nécessitant pas de mise à jour fréquente parce qu'il ne repose pas sur une base de signatures virales.

L'immense majorité des antivirus reposent en effet sur le principe des signatures, c'est-à-dire d'une chaîne d'octets contenue dans le virus et caractéristique de celui-ci. La détection du virus se fonde sur la reconnaissance de cette chaîne dans le fichier exploré. L'inconvénient est que ces antivirus ne peuvent pas détecter un nouveau virus, tant que sa signature n'a pas été incorporée dans sa base de donnée. Tout repose donc sur la rapidité de réaction de l'éditeur, et la fréquence des mises à jour par l'utilisateur. Il y a donc une période, d'au moins quelques heures, pendant laquelle les ordinateurs sont à la merci d'un nouveau virus ou ver, ce qui peut présenter un risque non négligeable dans le cas d'un programme malveillant se propageant rapidement.

Pour répondre partiellement à ce problème divers antivirus incorporent, en plus de la reconnaissance de signature, des mécanismes de reconnaissance heuristiques fondés sur des structures de programme ou comportements qui ne sont normalement présents que dans des programmes malveillants. Il n'y a que quelques très rares antivirus fondés uniquement sur ce principe. En France on parle beaucoup de Viguard, produit par la société Tegam, qui se targue de détecter 100% des virus anciens ou nouveaux. Cette affirmation a fait l'objet de commentaires très divers et souvent critiques, mais nous laisserons à chacun la responsabilité de ses dires dans cette polémique agrémentée de chausse-trappe juridique.

La société Prevx semble plus modeste car, si elle affirme pouvoir détecter des virus nouveaux, donc inconnus, le directeur général de Prevx, Nick Ray a déclaré à notre confrère Branchez-vous.com :
« Vous ne pouvez jamais être trop protégé. La plupart des utilisateurs de Prevx Home possèdent déjà un antivirus et un coupe-feu, et Prevx fonctionne harmonieusement avec ces logiciels. Nous voyons plutôt Prevx Home comme étant sur «la dernière ligne de défense»; si une menace réussi à s'infiltrer à travers votre pare-feu et que votre logiciel antivirus est incapable de la bloquer, seul Prevx pourra éventuellement la stopper. De nos jours, la plus grande menace qui pèse sur les internautes provient des nouvelles exploitations contre lesquelles ils n'ont aucune protection. »

Prevx ne se borne pas à lutter contre les vers ou virus, mais il peut aussi protéger contre les spywares, adwares, chevaux de Troie...

Parmi les caractéristiques techniques on constate que Prevx détecte tout changement dans la base de registre (ce que fait également le résident de Spybot Search & Destroy) et demande si on autorise ou si on refuse la modification. Il surveille aussi toute tentative d'installation d'un fichier dans le répertoire Windows ou system32. Enfin, et c'est très intéressant, il bloquerait la plupart des tentatives d'exploitation d'un buffer overflow, méthode classique d'attaque par de nombreux programmes malveillants.

De tels antivirus ne nécessitent-ils pas de mises à jour, comme c'est souvent affirmé ? En fait on n'est jamais à l'abri de la mise en oeuvre d'une nouvelle méthode d'attaque, à laquelle personne n'aurait pensé auparavant. Certes on n'a pas la contrainte de la mise à jour fréquente de la base de signatures (une mise à jour quotidienne est conseillée, mais un antivirus comme KAV en propose toutes les 3 heures !). Dans le cas d’un antivirus générique la découverte de nouvelles méthodes d'infection nécessite alors la mise à jour du moteur de recherche, ce qui est vérifié aussi bien pour Viguard que pour Prevx, mais cette opération est nettement moins fréquente que celle d’une base de signatures.

En conclusion il semble que ce programme gratuit, utilisé en complément d'un antivirus classique, puisse se révéler utile si vous utilisez Windows 2000 ou XP (il n'existe pas de version pour Windows 95, 98 ou Me). Reste à évaluer sa stabilité et sa compatibilité avec les programmes que vous hébergez sur votre ordinateur.

Source: www.futura-sciences.com