A chaque Patch Tuesday mensuel opéré par Microsoft, MSRT est remis au goût du jour. Outil anti-malware gratuit, Malicious Software Removal Tool a fait son apparition en janvier 2005 sous Windows afin d'aider et guider l'utilisateur dans l'éradication de programmes malveillants du type virus, spyware, cheval de Troie... Reste que MSRT est généralement assez discret et silencieux, ce qui plutôt que de s'en satisfaire et d'y voir le signe d'une bonne santé de sa machine Windows, amène à se poser des questions sur l'efficacité de ce petit utilitaire. Pourtant, MSRT a bel et bien de l'efficacité à revendre comme en témoigne le dernier Patch Tuesday de novembre.

Suite à sa dernière mise à jour, Microsoft annonce que MSRT a détecté la présence d'un faux antivirus sur près d'un million de machines dont plus de la moitié localisées aux USA et un peu moins d'une cinquantaine de milliers en France. Micro Antivirus 2009, MS Antivirus, Spyware Preventer, Vista Antivirus 2008, Advanced Antivirus, System Antivirus 2008, Ultimate Antivirus 2008, Windows Antivirus, XPert Antivirus, Power Antivirus ou encore Ultra Antivirus 2009, toutes ces fausses solutions de sécurité étaient relatives à un même malware : W32/FakeSecSen.

Des variantes avec une interface graphique propre mais un même procédé, celui de la peur, affichant de fausses alertes à destination de l'utilisateur pour le prévenir de la prétendue infection virale de son ordinateur et l'enjoindre à débourser quelques deniers afin que ces alertes cessent. De quoi récupérer également au passage des informations confidentielles utiles aux cybercriminels.


Petite pique à la concurrence
MSRT a donc fait son travail de nettoyage et Microsoft ne manque pas de s'en féliciter, laissant sous-entendre que d'autres solutions anti-malware n'ont pas été capables de le faire correctement. Alors que l'installation de FakeSecSen implique sur la machine la présence d'un fichier .exe, de deux fichiers .dat, d'un fichier .cpl (panneau de configuration), d'un raccourci sur le bureau et parfois d'un fichier de désinstallation, pour MSRT seulement 20 % des machines infectées hébergeaient encore le fichier exécutable (80 % avaient donc les stigmates de l'infection sans l'exécutable).

Microsoft émet ainsi plusieurs hypothèses allant d'un nettoyage manuel opéré par l'utilisateur avec pour seule cible le fichier .exe, l'échec de l'installation de FakeSecSen ou plus polémique, une désinfection non optimale de la part de produits ou utilitaires antivirus tiers.
Source : Ars Technica