Des utilisateurs de ce produit discutent entre-eux à propos de la présence de RemoveIT Pro dans la crapthèque. Ils m'inscrivent dans la liste de diffusion de leur fil de discussion afin que je puisse suivre les débats. Ils demandent des explications à l'éditeur qui me demande de retirer son produit de cette liste.
Voici ma réponse ainsi que le petit mot inséré dans le fil de discussion
Cordialement
Bonjour à tous,
J'ai bien reçu les posts de votre fil de discussion. Merci de m’y avoir inscrit.
J'ai procédé à une analyse approfondie de la version "Free" de ce logiciel (fonctionnement - comportement).
Je souhaitais ajouter ma réponse ici mais le document est un peu long et susceptible de retouches
(en plus de sa mise en page qu'il m'aurait fallu refaire ici). Je l'ai donc mis sur notre forum à
RemoveIT Pro - Un "Remover" like !!!
viewtopic.php?p=106604#106604
La consultation est libre
Une intervention anonyme peut se faire en utilisant le login "Test" sans mot de passe (mais ce n'est pas courtois)
Pour l'instant le produit renforce sa position dans la crapthèque.
Merci de le critiquer et/ou d'apporter d'autres éléments constructifs.
Je n'ai pas reçu la demande de Damjan Irgolic InCode Solutions (probablement à cause de mon anti-spam à
test de Turing auquel Damjan Irgolic n'a pas réagit).
Cordialement
Pierre Pinard
Assiste.com
To Damjan Irgolic
Hello,
I regret to bring to your attention that, in the current state of my analysis of RemoveIT Pro,
this one does not comprise any criterion justifying its exit of "La Crapthèque".
Worse: the thorough analysis that I was brought to lead makes it possible to declare that
this product does not have at all its place among the security tools for computers and privacy on the Internet.
Thank you to inform me on the operation of "High-level protection technology (HLP)" Sincerely
Sincerely
Pierre Pinard
Assiste.com
Analyse de RemoveIT Pro
Pierre a écrit:Bonjour à tous,
J'ai bien reçu les posts de votre fil de discussion. Merci de m’y avoir inscrit.
Comme vous avez pu le constater, je signale ce produit au vu du travail de Eric, chercheur en sécurité, MVPS et consultant chez Sunbelt (CounterSpy).
Ce produit figurait dans « The Spyware Warrior List of Rogue/Suspect Anti-Spyware Products & Web Sites - Eric L. Howes". »
http://www.spywarewarrior.com/rogue_anti-spyware.htm
Eric a dé-listé ce produit mais je l'ai laissé dans la crapthèque.
http://assiste.com.free.fr/p/craptheque ... t_pro.html
Je fais régulièrement des analyses des codes des logiciels par le service VirusTotal et DrWEB signalait encore RemoveIT Pro, le 10 avril 2007, en "downloader.trojan".
Suite à votre alerte, j’ai :
- ré-analysé le code du .zip de RemoveIT Pro téléchargé anciennement (version free) ainsi que le même téléchargé aujourd'hui. Plus rien n’est trouvé.
- analysé le code décompressé de l'exécutable de RemoveIT Pro, après son installation : 2 scanners (Fortinet et Sunbelt) le trouve suspect (mais ce n’est pas une preuve : la suspicion VIPRE de SunBelt n’apparaît que sur le service VirusTotal et n’existe pas dans le produit commercial CounterSpy – elle permet à Sunbelt d’ « accrocher » un code pour faire une analyse approfondie).
- téléchargé et analysé le code zippé de la version « entreprise » : un outil, DrWEB, le signale en downloader.trojan (insuffisant pour trancher et probable faux positif).
- Sous un compte administrateur et sous XP Pro SP2 totalement à jour :
- J’ai procédé à une installation sous surveillance de Total Uninstall et n’ai rien remarqué d'anormal dans son déploiement.
- J’ai procédé à un update de la base de signatures sous surveillance de Total Uninstall et n’ai rien remarqué (J'ai procédé ainsi, en deux étapes avec deux logs de surveillance distincts car une alerte sur le Net signalait le dépôt d'un virus par RemoveIT Pro non pas lors de son installation mais lors de sa première mise à jour - démenti depuis).
- J’ai procédé à une analyse d’un système avec RemoveIT Pro et n’ai rien remarqué.
A la seule vue de ces résultats j'aurais pu dé-lister RemoveIT Pro mais je me suis attaché à observer son comportement :
Comportement de RemoveIT Pro:
Ce n’est pas un scanner de fichiers comme tous les scanners « traditionnels » - il ne calcule pas la signature (hash MD5 ou hash SHA1, par exemple) des fichiers pour la comparer à une base de signatures
Ce n’est pas un scanner d’emplacements privilégiés (l’archétype et initiateur de cette technique étant Spybot S&D)
Lorsque l’on observe la zone en bas à gauche de sa fenêtre, on voit défiler des noms de fichiers comme :
- Bkzecslk
Unique référence sur tout le Web : http://www.incodesolutions.com/threats/ ... slkexe.php
- &0123456789
Uniques références sur tout le Web :
http://www.incodesolutions.com/threats/ ... 789exe.php
http://www.incodesolutions.com/threats/ ... 789exe.php
http://www.incodesolutions.com/threats/ ... 789exe.php
http://www.incodesolutions.com/threats/ ... 789exe.php
http://www.incodesolutions.com/threats/ ... 789exe.php
http://www.incodesolutions.com/threats/ ... 789exe.php
http://www.incodesolutions.com/threats/ ... 789exe.php
http://www.incodesolutions.com/threats/ ... 789exe.php
- Hpxdfjax
Deux références sur tout le Web
http://www.incodesolutions.com/threats/ ... jaxdll.php
et celle de Prex
http://spywaredlls.prevx.com/RRGGJC3992 ... E.DLL.html
- etc. …
RemoveIT Pro cherche la présence de noms de fichiers à certains endroits.
La base de pseudo " signatures " de RemoveIT Pro est massivement constituée de noms de fichiers aléatoires tels que nous les évoquons dans la base de référence mondiale à http://assiste.com.free.fr/p/pacman/pac ... oires.html
Je procède donc, sous un compte admin et sous un XP Pro SP2 totalement à jour à la manipulation simple suivante :
- Création des fichiers vides suivants en utilisant le bloc-notes de Windows
c:\bkzecslk.exe
c:\Program Files\antivirus-golden\&0123456789.exe
c:\windows\system32\hpxdfjax.dll
- Lancement de l’analyse par RemoveIT Pro version Free (base de signatures à jour)
L’analyse découvre 3 parasites !
Le scanner propose alors de faire une analyse de tous les fichiers
J'accepte et demande l'analyse de ma partition contenant un échantillon de parasites
RemoveIT Pro ressort les 3 "parasites ci-dessus" et ne voit strictement rien d'autre.
Je ne corrige pas et je recommence alors une analyse sous un compte limité
Il ne trouve plus que 2 parasites (quid du troisième ? Il ne voit plus &0123456789 qui se trouve dans un sous-répertoire de " Program Files" or ce répertoire n'est pas interdit de consultation par un compte limité !)
Par contre il me trouve un nouveau parasite dans les répertoires temporaires du compte limité.
Je fais donc immédiatement analyser ce fichier par le service VirusTotal et personne ne voit rien (Il s'agit donc d'un faux positif).
Je poursuis par l'analyse complète de tous les fichiers. Il ne voit toujours rien de ma collection de parasites, affiche toujours les 2 fichiers vides et le faux positif mais compte désormais 4 (quatre) dangereux fichiers (?).
L'analyse est évidemment ultra rapide puisque rien n'est analysé - seuls des noms des fichiers sont comparés, et encore... on ne sait pas comment puisque je fait la manipulation suivante :
J'ai, dans mon ordinateur, un autre disque système monté actuellement en disque secondaire. Je crée les mêmes fichiers avec les mêmes hiérarchies et lance l'analyse dessus. Incroyable mais rien n'est vu !
Conclusions
Ce produit (version Free) fait une analyse par enveloppe (par contenant) et non par contenu ! Nous avons déjà dénoncé avec force ce comportement irresponsable, scandaleux, primaire (et je mâche mes mots pour ne pas exprimer le fond de ma pensée). Il faut impérativement interdire ce type de comportement et il faut totalement interdire, tout particulièrement, RemoveIT Pro qui me rappelle furieusement « Le Remover » dont notre analyse avait lancé tant de débats : voir http://assiste.com.free.fr/p/craptheque/remover.html
Comment fonctionne RemoveIT Pro :
Dans la première phase il cherche la présence de noms de fichiers qu'il à en "base de signatures" à des emplacements où ils ont été vus.
Dans la seconde phase il fait l'inverse : il lit les noms des fichiers et les cherche dans sa base de signatures.
C'est tout ! Il n'y a aucune analyse !En forme de gag
Pour se constituer une base de signatures impressionnante, on peut lui suggérer d'écrire une petite boucle génératrice de noms aléatoires avec toutes les combinaisons possibles des lettres, chiffres et signes spéciaux, retirer de cette liste tous les noms légitimes (connus de lui), et déclarer tout le reste en parasites ! C'est à peu près cet esprit infantile qui anime RemoveIT Pro.
C’est un bricolage d’un amateurisme le plus complet et c’est un danger pour les systèmes !
Regarder les pages d'ajouts de signatures dans RemoveIT Pro, par exemple http://www.incodesolutions.com/virl11.php
On y trouve des centaines de noms aléatoires ! Une hérésie !
Par exemple, voici quelques uns des noms de fichiers introduits le 24 décembre 2006 - combien sont totalement inconnus de la scène sécuritaire et de tout l'Internet ? Tous ! Ils ne sont connus que de RemoveIT (et pour 6 d'entre eux, sont donnés en exemple par PrevX ! Pourquoi ? Parce qu'un nom de fichier généré aléatoirement lors de son installation NE PEUT PAS ETRE CONNU D'AVANCE ! Soit il a déjà été utilisé et ne sert plus à rien car il n'y a quasiment aucune chance pour qu'il réapparaisse une seconde fois (c'est pour cela que les criminels du Net font des générateurs de noms aléatoires !) soit il est en gestation dans un algorithme d'un parasite et la seule manière de jouer au devin serait d'inscrire en signature toutes les combinaisons possibles utilisées par l'algorithme soit, pour un nom de fichier simple et court de 8 caractères utilisant uniquement les lettres et les chiffres (sans signes spéciaux), un nombre de combinaisons égal à 36 puissance 8 (36^8 soit 2.821.109.907.456 noms de fichiers possibles !).
Recherches Google
zqeenlkr.exe - 1 occurrence(s) sur tout Google !
zqbtletr.exe - 1 occurrence(s) sur tout Google !
zjtbreln.exe - 1 occurrence(s) sur tout Google !
zernlcnz.exe - 1 occurrence(s) sur tout Google !
xtztnert.exe - 1 occurrence(s) sur tout Google !
xrnelsxs.exe - 1 occurrence(s) sur tout Google !
xlxektlr.exe - 1 occurrence(s) sur tout Google !
xjjhlbqn.exe - 1 occurrence(s) sur tout Google !
xhzenqnj.exe - 1 occurrence(s) sur tout Google !
xblkenwj.exe - 1 occurrence(s) sur tout Google !
wtnkhhkh.exe - 1 occurrence(s) sur tout Google !
wrzbccjj.exe - 1 occurrence(s) sur tout Google !
wklnlclx.exe - 1 occurrence(s) sur tout Google !
whjtrhtz.exe - 2 occurrence(s) sur tout Google !
weebjtst.exe - 1 occurrence(s) sur tout Google !
vzlejkjs.exe - 1 occurrence(s) sur tout Google !
vwxrtsjj.exe - 1 occurrence(s) sur tout Google !
vskrsbet.exe - 1 occurrence(s) sur tout Google !
vlvsrwqn.exe - 1 occurrence(s) sur tout Google !
vhzvjwjh.exe - 1 occurrence(s) sur tout Google !
vbtxtxhj.exe - 1 occurrence(s) sur tout Google !
tzkbnljl.exe - 1 occurrence(s) sur tout Google !
txncjzjs.exe - 1 occurrence(s) sur tout Google !
tszwslkc.exe - 1 occurrence(s) sur tout Google !
tsnknrbt.exe - 1 occurrence(s) sur tout Google !
tsllknjl.exe - 1 occurrence(s) sur tout Google !
trzxbljk.exe - 1 occurrence(s) sur tout Google !
trscelkn.exe - 1 occurrence(s) sur tout Google !
trqtbbtn.exe - 1 occurrence(s) sur tout Google !
trjrkshn.exe - 1 occurrence(s) sur tout Google !
tqtnrbzt.exe - 1 occurrence(s) sur tout Google !
tlncslrk.exe - 1 occurrence(s) sur tout Google !
tkcknstb.exe - 1 occurrence(s) sur tout Google !
tjxbwjhk.exe - 1 occurrence(s) sur tout Google !
tjsbvskl.exe - 1 occurrence(s) sur tout Google !
thhkqqcz.exe - 1 occurrence(s) sur tout Google !
teswhnxv.exe - 1 occurrence(s) sur tout Google !
teqknsbv.exe - 1 occurrence(s) sur tout Google !
tbvezswl.exe - 1 occurrence(s) sur tout Google !
tbrejntt.exe - 1 occurrence(s) sur tout Google !
tbkhrwtk.exe - 1 occurrence(s) sur tout Google !
sxhqvlbl.exe - 1 occurrence(s) sur tout Google !
sxcnjbsj.exe - 1 occurrence(s) sur tout Google !
ssntejkt.exe - 1 occurrence(s) sur tout Google !
sslwbbne.exe - 1 occurrence(s) sur tout Google !
ssblhheq.exe - 1 occurrence(s) sur tout Google !
sqnxhnrr.exe - 2 occurrence(s) sur tout Google !
sqjwkrbj.exe - 1 occurrence(s) sur tout Google !
rvkbrkrn.exe - 1 occurrence(s) sur tout Google !
qlzeslns.exe - 1 occurrence(s) sur tout Google !
obhasb.exe - 1 occurrence(s) sur tout Google !
nztbkvbv.exe - 1 occurrence(s) sur tout Google !
lvtqexbz.exe - 1 occurrence(s) sur tout Google !
lnxkrwcx.exe - 1 occurrence(s) sur tout Google !
leeeczne.exe - 1 occurrence(s) sur tout Google !
klxvsjsj.exe - 1 occurrence(s) sur tout Google !
khvxnbcw.exe - 1 occurrence(s) sur tout Google !
khkekcnh.exe - 1 occurrence(s) sur tout Google !
jjxrntsb.exe - 1 occurrence(s) sur tout Google !
hlbtbjbs.exe - 2 occurrence(s) sur tout Google !
erbjwxjs.exe - 1 occurrence(s) sur tout Google !
bnlekerc.exe - 1 occurrence(s) sur tout Google !
bktzejjb.exe - 1 occurrence(s) sur tout Google !
bkrvbsks.exe - 1 occurrence(s) sur tout Google !
bewwnrrc.exe - 1 occurrence(s) sur tout Google !
belsrlnh.exe - 1 occurrence(s) sur tout Google !
behrnthe.exe - 1 occurrence(s) sur tout Google !
bebwtben.exe - 1 occurrence(s) sur tout Google !
bebkejzl.exe - 1 occurrence(s) sur tout Google !
bceqwcsw.exe - 2 occurrence(s) sur tout Google !
bbwlvvxt.exe - 1 occurrence(s) sur tout Google !
bbwkswvx.exe - 1 occurrence(s) sur tout Google !
bbthszks.exe - 2 occurrence(s) sur tout Google !
bbstlnhn.exe - 1 occurrence(s) sur tout Google !
bbslntkr.exe - 1 occurrence(s) sur tout Google !
bbsjtejb.exe - 2 occurrence(s) sur tout Google !
bbsbzkzx.exe - 1 occurrence(s) sur tout Google !
Ces noms peuvent tout aussi bien être des faux, des inventions pures et simples ! Rien ne permettrait de le confirmer ou de l'infirmer.
Incidemment on remarquera que RemoveIT Pro ne sait même pas de quel parasite il peut bien s’agir lorsqu’il propose de détruire un fichier. On est en plein univers des suppositions ! Par exemple, &0123456789.exe est donné pour être le parasite sys32.&0123456789.exe qui est un parasite imaginaire.
Dans sa base de signatures, le principe même d'incertitude est affiché : le fichier &0123456789 pourrait être (d'après lui mais cela n'a jamais été vérifié sur le Net) un composant de :
virusrescue
ou
virus-bursters
ou
pesttrap
ou
pcodec
ou
intcodec
ou
elitecode
etc. ...
En fait, il ne sait pas du tout ce que c'est et s'en fiche - il lance une alerte, c'est tout : "dangereux virus ou vers" sans plus. Il n'en sait rien strictement et lance une supposition que c'est dangereux et qu'il faut l'effacer parce que un jour, le parasite "on ne sait pas quoi" a fait comme ça ! Il ne sait même pas de quel type de parasites il parle et, en l'occurrence, pour &0123456789, pas de chance car les noms de parasites probables que l'on peut déduire à la lecture des noms des sous-répertoires ne sont ceux d'aucun vers ni virus mais de crapwares (appelés PUP par certains - Potentialy Unwanted Program) !
Lorsque l'on recherche un nom de fichier sur le site de RemoveIT Pro, ce dernier ne donne que, laconiquement et invariablement, la même réponse : "c’est un parasite connu de nous" ! C’est tout – on n’en saura jamais plus !
Le nom que RemoveIT Pro donne aux "parasites" est win32 ou sys32 etc. … suivi du nom du fichier ! Il y a gros à parier que son auteur n’y connaît absolument rien en parasites ni en convention de nommage et aligne des noms de fichiers aléatoires (qui, par essence, ne servent à rien puisqu’ils sont aléatoires) trouvés en écumant les bases de Prevx, Symantec etc. …, sites qui donnent quelques exemples de noms aléatoires (pour de vrais parasites) qui ont de fortes chances de ne plus jamais se re-présenter à nouveau.
Quand bien même les fichiers détruits sans analyse seraient ceux de parasites, je rappelle avec force que lors de la découverte d'un parasite, la conduite a tenir n'est que marginalement l'éradication du parasite ! Il faut se renseigner sur ce parasite pour savoir ce qui s'est passé en amont et imaginer ce qui va se passer en aval (qu'est-ce qui a été compromis, quelle faille a été utilisée qu'il convient de rechercher et corriger sinon cela va recommencer, quelles sont les conséquences de la compromission en matière de sécurité comme en matière de données compromises (risque industriel, commercial, juridique etc. ...). Lire impérativement :
Réactions face à la découverte d'un parasite
http://assiste.com.free.fr/p/abc/a/reac ... asite.html
RemoveIT Pro est incapable, par conception même, de donner le moindre nom de parasite - il est donc impossible d'agir : on efface des fichiers aveuglément et c'est tout ! C'est d'une imbécilité crasse !
Donc RemoveIT, toutes versions, est une dangerosité (et probablement une escroquerie pour la version payante que je n'ai pas testée) et sa position dans la crapthèque est renforcée.
La fiche RemoveIT Pro, dans la crapthèque, reprendra cette analyse ainsi qu’une lecture attentive des clauses EULA et Terms (conditions générales de vente), lecture qui, à elle toute seule, justifie l'introduction de ce produit dans la crapthèque.
Je vous convie à l'usage gratuit de RogueRemover pour éradiquer réellement les supputations "au petit bonheur la chance" de RemoveIT Pro.
http://assiste.com.free.fr/p/logitheque ... mover.html
L'auteur de RemoveIT Pro peut me contacter pour infirmer / démentir / corriger mon analyse et infléchir mon jugement et je ne manquerais pas d'y être attentif.
Cordialement
Pierre Pinard
Assiste.com
