Alerte Happy99.exe

Je suppose que vous avez tous déjà entendu parlé de virus informatiques ?.. En effet ces petits programmes ont le don de nous énerver et surtout d'abimer nos jolie PC tous neufs en formattant par exemple nos unités de lecture ou bien en donnant accès à notre ordinateur à n'importe qui par le réseau ! Et le problème est qu'aucun anti-virus ne peut prévénir contre toutes ces saloperies car il s'en programme des nouveaux tous les jours (on estime qu'il en "naît" environ 10 par jour). Il éxiste de nombreux types de virus :

- un des classiques est le cheval de Troie qui "se cache" dans un autre programme ou un fichier discret. Un jeu par exemple peut cacher un cheval de Troie. Il attend simplement d'être executé pour opérer. Et une fois le virus lancé il se copie à certains endroit du disque dur (par exemple dans Démarrage) et ajoute des référence dans win.ini ou la base de registre pour pouvoir se lancer à chaque lancement de l'ordinateur. Si vous êtes connecté et que votre "agresseur" aussi, il pourra, à partir de votre adresse IP, pénétrer dans votre ordinateur avec la possibilité de détruire des fichiers par exemple.

- les virus worm qui se copient sur les réseaux ou tout simplement en divers endroit de votre disque dur... il sont donc assez dur à supprimer de façon manuel (c'est-à-dire sans anti-virus). Le virus Happy99 est un des worms récents les plus connus car il est réelement éfficace bien que je ne sâche pas quel type de dommage il cause sur un ordinateur.

vous avez sans doute croisé sur différents forums de discussion ("newsgroups") des messages contenant le fichier Happy99.exe. Celui-ci est un virus, aussi pour être certain d'éradiquer l'intru, voici les instructions idoines :
Procédure rapide préconisée par Marc DANIEL (http://www.ifrance.com/autoreproinf) :

"HAPPY" se charge en mèmoire au démarrage de l'ordi et y reste jusqu'au prochain arrêt physique. Ce qui implique que la DLL est utilisée par WINDOWS et ne peut être détruite comme cela.

Les principes d'éradication consistent à :

1° - Supprimer l'entrée HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce dans la Base de Registre;

2° - Arrêter et relancer en mode DOS;

3° - Détruire le fichier WSOCKxx.DLL (XX=95 ou 32) suivant l'OS ainsi que les fichiers SKA.*

4° - Renommer le fichier WSOCKxx.SKA en *.DLL là, HAPPY99 est réellement détruit. A la condition qu'il ne figure pas sur le HD et soit réexécuté ensuite."

Procédure Détaillée pour les débutants :

1 . Recherchez et supprimez les fichiers suivants (dans une session Windows) :

ska.exe
ska.dll

Veuillez les supprimer de la corbeille aussi.

2 . Supprimez la clé de registre :
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce

3. Puis veuillez ensuite appliquer la solution vous concernant ci-dessous, suivant la version de Windows que vous possédez :

Si vous être sous Windows98 :

- Redémarrez votre ordinateur en mode DOS (au lancement de votre machine, appuyez sur la touche CTRL);

- Allez dans le dossier Windows\System et recherchez le fichier Wsock32.DLL : détruisez-le;

- Toujours dans ce même dossier, renommezle fichier Wsock32.ska enWsock32.dll;

- Relancez votre machine.

Si vous être sous Windows95 :

- Redémarrez votre ordinateur en mode DOS (au lancement de votre machine, appuyez sur la touche CTRL);

- Allez dans le dossier Windows\System et recherchez le fichier Wsock95.DLL : détruisez-le;

- Toujours dans ce même dossier, renommezle fichier Wsock32.skaenWsock95.dll;

- Relancez votre machine.

Par ailleurs, pour les possesseurs de Windows 95, il ne serait pas superflu de mettre à jour votre version de Winsock. Pour ce faire, veuillez suivre le lien suivant qui vous emmène vers un serveur Microsoft, afin de télécharger et d'installer la version 2 de Winsock :Winsock2

DESCRIPTION DE HAPPY.EXE

Vous recevez un message avec un fichier attaché nommé Happy99.exe.
Si vous lancez cet exécutable (ce qu'il ne faut jamais faire, mais nous manquons tous de vigilance un jour ou l'autre), il lance une animation représentant un feu d'artifice. Pendant ce temps-là, le programme en installe un autre, ska.exe lequel ne sera exécuté qu'au redémarrage de la machine par la clef qu'il aura préalablement écrite dans la Base de Registre (HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce).

Au redémarrage de la machine, ce programme est pleinement opérationnel :
- il a modifié WSOCK32.DLL;
- il a créé SKA.DLL
- un fichier "liste.SKA" sera créé au fur et à mesure de vos envois par e-mail ou sur les News. Dans ce fichier figure la liste de vos destinataires-victimes depuis le redémarrage de la machine.

Ce programme intercepte la fonction d'envoi de messages intégrée à la DLL WSOCK32.DLL (ou Wsock95.dll sous Windows 95) lors de connexions sur le port 25 et le port 119 (respectivement, fonction e-mail et news). L'effet est que à chaque fois que vous envoyez un message que ce soit un e-mail à un amis ou bien sur un serveur de news, le virus en envoi un deuxième avec le fichier happy99.exe en accompagnement. Il faut quand même reconnaitre que l'idée est vraiment bien trouvée ! (D'ailleur si quelqu'un pouvait me donner des renseignement sur la façon de trafiquer WSOCK32.DLL ou n'importe quelle DLL ce serait bien sypa :)

A chacun de vos envois, un double part aussitôt quelques instants après, sans aucun texte écrit mais affublé du fameux happy99.exe en pièce jointe. Si vos destinataires sont des amis avec lesquels vous faites beaucoup de correspondance et de transfert de fichiers, ils seront naturellement les premières victimes parce que peu enclins à se méfier.

NB : Des essais d'Happy99 sous Windows NT4 montrent que HAPPY99 est inoffensif sous cet OS.

Dernier point : n'engueulez pas ceux qui vous envoient des e-mail ou postent des messages sur les forums qui sont infestés par HAPPY99. Il s'agit bien toujours de pauvres victimes qui ne réalisent pas toujours ce qui leur arrive. J'ai moi même été infesté par une amie de mon frère qui ne savez pas qu'elle envoyait le virus !

Un grand merci à Warlock et Franco666 du channel #wxz-potes qui m'ont permis de me débarasser du virus et d'écrire cette page :)