Observatoire d'impact MyDoom (W32/MyDoom.A@MM)

Le CLUSIF a lancé le 9 février 2004 auprès de ses membres son second "observatoire d'impact". Tout comme l'an passé (janvier 2003) avec W32/Lirva@MM, l'association espère ainsi mieux appréhender les conséquences d'une attaque virale en France et en faire bénéficier l'ensemble des acteurs de la profession.

Pour cette enquête, le choix s'est porté sur le virus W32/Mydoom.A@MM qui a semblé avoir fortement circulé dans les entreprises de l'hexagone dès le début de l'alerte virale émise le 26 janvier 2004.
Environ 300 entreprises, membres du CLUSIF, ont reçu le questionnaire. Elles avaient une semaine pour nous répondre. Nous avons reçu 35 réponses principalement en provenance d'utilisateurs. Seules 4 réponses émanaient d'offreurs en sécurité ou spécialistes virus.

Le virus a été rencontré dans 97 % des cas (34 cas contre 1). Circulant principalement au travers de la messagerie électronique, il a généralement été bloqué. Le nombre de courriels interceptés est fréquemment connu. Il montre l'importance du phénomène et se décline selon le tableau suivant.

Le virus s'est propagé au sein de l'entreprise dans 6 cas seulement. Il a alors impacté entre 2 et 300 machines. N'ayant pas de module destructeur l'infection a été maîtrisée sans effet secondaire notable. Neuf entreprises nous ont, malgré tout, signalé des dommages. Il s'agissait généralement d'un ralentissement des échanges de mail allant parfois jusqu'au blocage (plusieurs heures) ou à l'isolement de la messagerie (2 heures). Une entreprise nous a signalé un problème d'atteinte à son image de marque.

Beaucoup d'entreprises se sont plaintes du nombre important de messages d'alerte erronés en provenance des anti-virus de sociétés extérieures. Ce phénomène lié à la technique d'usurpation d'adresse n'est pas nouveau. Il a été cependant particulièrement visible à cette occasion. Rappelons qu'ayant collecté des adresses électroniques sur le poste infecté, le virus utilisait celles-ci comme émetteurs apparents. Configuré pour alerter l'expéditeur, l'anti-virus interceptant le message redirigeait alors l'alarme vers cette fausse adresse.

14 entreprises ont estimé leurs pertes financières. Dans la majorité des cas, ces entreprises estiment l'impact financier comme nul (dans 7 cas) ou faible (dans 5 cas). L'une d'entre elles explique ce fait en indiquant que le coût interne fait partie intégrante de nos politiques de sécurité. D'autres comparent ce type de dépense à une campagne de traitement de messages non sollicités. Seules deux entreprises nous ont indiqué un chiffre relativement important ; pour l'une, 20 jours homme, pour l'autre 20.000 Euros.

Sur les 34 entreprises qui ont vu le virus, 16 sont à même de nous préciser le jour et l'heure de la première alerte. Pour 15 d'entre elles, celle ci a lieu avant le 27 janvier 16 heures (dernière heure transmise pour l'enquête, soit moins de 24 heures après le début de l'alerte). Rappelons que selon l'entreprise américaine Messagelabs, le virus a été repéré pour la première fois le 26 janvier 2003 vers 19h (c.à.d 18h GMT).

Si l'on ajoute à ces précédentes données les entreprises ne nous ayant communiqué que le jour de la première alerte, on obtient le tableau suivant :

31 entreprises sur 35 on su nous indiquer le degré de mise à jour de leur anti-virus. Dans 77% des cas l'anti-virus détectait et éradiquait le virus. Dans certains cas seul l'anti-virus de la passerelle de messagerie était à jour ; celui du poste de travail a dû être remis à niveau. C'est ainsi que 48% nous indiquent avoir cependant dû effectuer une mise à jour.

Le tableau ci-dessous met en perspective les résultats de nos 2 enquêtes. Il montre cependant que Mydoom.A a plus fortement perturbé les entreprises que Lirva.A :

En conclusion

• A la lecture des remarques que quelques personnes nous ont transmises, il apparaît qu'elles considèrent Mydoom.A comme la plus forte infection qu'elles aient subie.
• Alors que l'anti-virus du poste de travail a parfois dû subir une mise à jour d'urgence, les anti-virus situés sur les passerelles de messagerie semblent avoir convenablement joué leur rôle. Les processus de mise à jour automatique et de filtrage des extensions suspectes ont, dans l'ensemble, correctement fonctionné.
• Le virus a certainement été la cause majeure de l'engorgement des messageries et de la perte de disponibilité par surcharge du trafic réseau. L'impact financier en terme de coût direct semble malgré tout proche de zéro.
• Il faut enfin remarquer, phénomène nouveau et en pleine croissance, le surcroît de trafic engendré par les anti-virus eux-même qui, mal configurés, retournaient vers de nombreux correspondants des messages d'alerte par ailleurs inexacts.

François Paget
Observatoire Virus
CLUSIF
francois.paget@clusif.asso.fr