Symantec Security Response a découvert le 26 mai 2004 le premier virus 64bits : W64.Rugrat.3344 Un tout petit bout de code d'environ 3,344 bytes qui fonctionne différement aux autre virus puisqu'il s'attaque à tous les fchiers exécutables portables (Portable Executable files) 64 bits dans le répertoire ou il se situe et ainsi que dans ses sous-répertoire. Au tant dire qu'en racine du disque, il peut faire mal.

PROPAGATION

Écrit en langage assembleur Intel IA64, il ne peut pas fonctinner sur les autres plates formes que Windows 64-bit (IA64), sauf si, d'après Symantec, une personne utilisant windows 32bits émule un 64bits, il serait potentiellement contagieux.

Etant donné le peu de personne utilisant actuellement Windows 64-bit (IA64), la propagation est très réduite. Ce virus est plus considéré comme une démonstartion technologique qu'un sale coup !

Afin de limiter la propagation, il est conseiller de fermer tous les ports sortant du type serveur Web, FTP, Telnet... Ainsi que d'interdire l'envois de mail avec piece jointe.

FONCTIONNEMENT

Pour son fonctionnement, il utilise les librairies et fontions suivantes :

-* NTDLL.DLL
-** LdrGetDllHandle()
-** RtlAddVectoredExceptionHandler()
-** RtlRemoveVectoredExceptionHandler()

-* SFC_OS.DLL
-** System File Checker (SFC)

-* KERNEL32
-** CreateFileMappingA()
-** CreateFileW()
-** CloseHandle()
-** FindFirstFileW()
-** FindNextFileW
-** FindClose()
-** GetFullPathNameW()
-** GetTickCount()
-** GlobalAlloc()
-** GlobalFree()
-** LoadLibraryA()
-** MapViewOfFile()
-** SetCurrentDirectoryW()
-** SetFileAttributesW()
-** SetFileTime()
-** UnmapViewOfFile()

Comment le détruire ?

A l'heure actuelle, il vous suffit de faire une mise à jour de votre antivirus (Symantec ou McAfee) et de lancer un scan de votre disque.

LIENS

Voici les liens pour le lire le descriptif sur le site des antivirus :

- [Symantec : W64.Rugrat.3344->http://securityresponse.symantec.com/avcenter/venc/data/w64.rugrat.3344.html]
- [Mcafee: W64/Rugrat->http://us.mcafee.com/virusInfo/default.asp?id=description&virus_k=125990]