Blup!

Des messages exploitent une faille d'Internet Explorer pour infecter les internautes

Une faille d'Internet Explorer serait actuellement exploitée par des polluposteurs pour installer une porte dérobée chez les internautes qui décident de se désabonner de leurs listes d'envoi.

Depuis hier, des polluposteurs auraient largement diffusé des messages non sollicités contenant un lien suspect (click here to remove) pour se désabonner de leurs listes d'envoi. Cette pratique en apparence louable, et exigée par la loi américaine Can-Spam, cache toutefois un piège car les internautes qui cliquent sur le lien en question chargent une page Web exploitant une faille d'Internet Explorer pour télécharger et installer une porte dérobée. Selon F-Secure, celle-ci pourrait ensuite être utilisée pour transformer les PC en machines à expédier du pourriel.

La faille du «glisser-déposer» (drag and drop) d'Internet Explorer, découverte le 19 août dernier, n'a pas encore été corrigée par Microsoft; elle serait ainsi utilisée pour télécharger et installer, à l'insu des internautes, le module Agent.ce, une porte dérobée contenue dans le fichier «windows-update32.exe».

Le lien contenu dans les pourriels serait également utilisé pour confirmer la validité des adresses de courriel, ce qui permet d'augmenter leur valeur lors de la revente à d'autres polluposteurs.

Vu sur Branchez-vous. Alors bien sûr ensuite on lit des choses comme Quand le web prend un coup de vieux (Courrier International) avec quelques passages croustillants :

Alors que 80 % du trafic actuel du courrier électronique est encombré par les spams, et que les virus et les vers prolifèrent sur la Toile, l’enjeu de la rénovation de l'architecture du web est de parvenir à construire un réseau plus accessible et plus sécurisé".

Ont-ils seulement réalisé qu'un réseau ne se gère pas seulement côté hardware mais qu'il est bien plus vulnérable aux mauvaises conceptions côté software ? La pollution du traffic par le spam ne serait pas si intense si IE et OE ne l'accueillaient pas à bras ouverts.

Bien entendu, niveau soft, il est toujours recommandé de se tourner vers un navigateur alternatif. A lui seul, Firefox a mis le feu ces derniers jours et SpreadFirefox affichera certainement un score approchant les 2 millions de téléchargements en 10 jours. Espérons que l'engouement sera toujours le même lors de la sortie de la version 1.0 finale.

Que les partisans soient désormais rassurés : ils n'ont pas prêché dans le vide. Mais il reste du travail - Thunderbird a un peu été mis de côté -, même si les statistiques de certains sites sont prometteuses comme le signale Tristan Nitot. L'inertie est acquise et le premier avantage aujourd'hui sera une meilleure prise en compte des navigateurs alternatifs par les sites généralistes qui exigeaient jusqu'à présent un accès via Internet Explorer.

Au passage, Jesse Ruderman a publié un graphique intéressant qui montre l'évolution du nombre de bugs à corriger et de bugs corrigés avant la sortie de la version finale de Firefox. Les courbes se rapprochent, ça se réchauffe.

Cet article a été publié le vendredi 24 septembre 2004 à 17:35 et est classé dans Webdesign. Vous pouvez en suivre les commentaires par le biais du flux RSS 2.0. Vous pouvez laisser un commentaire, ou faire un trackback depuis votre propre site.