DWS (Destroy Windows Spying)

[Asuba]

Ça c'est de la réponse !

Merci.

[sarla]

Bonsoir,
Je galère sur les MàJ de W7 depuis 2 jours, et de sujet de recherche en sujet de recherche pour digérer " Security ... Quality Rollup... windows 7... Serveur 2008 R2 " atterri ici, chez vous à la recherche d'un log dont je me demandais s'il n'était pas devenu un mythe... J'ai jamais vu une telle variété de version et d'appellations de téléchargeable pour un seul et même log !En+ par exemple, Majorgeeks déclare le log compatible avec XP...

Editeur : WZT sur http://dws.wzor.net/ => " Impossible de se connecter au serveur à l’adresse dws.wzor.net. "

Sujet anxiogène : list host chez forum.pcastuces.com... liste de site espions sur majorgeeks.com ...déploiement tutoril sur assiste.com et zébulon...

et des questions comme pourquoi "mettre la visionneuse de photo Windows par défaut" et, pour éviter des éradications définitivement malencontreuses car irrécupérables, s'il suffit de faire des points de restaurations... comment les conserver de façon irrévocable ?

[pierre]

Bonjour, Sarla

Pour l'instant, je conserve le lien qui ne fonctionne pas vers DWS, car il y a un doute quant aux nouvelles versions et ses clones.
La dernière version serait la 2.2.2.2 mais, après analyse, et bien qu'elle ressorte propre sur VirusTotal (1 seule détection que l'on pourrait prendre pour un faux positif), elle embarque ceci :
https://www.virustotal.com/fr/file/2b53 ... /analysis/

A suivre.

Essaye de poser une seule question à la fois. Ouvre autant de fils de discussion (1 seul sujet à la fois) que de questions.

Mise à jour de Windows 7 : je cherche un article (logiciel) que j'ai écrit il y a environ 2 ans sur un utilitaire alternatif à Windows Update. Je me demande où il est passé (sur l'hébergement comme dans les codes source du sit, sur ma machine de dev et dans les sauvegardes).

A suivre également.

Hosts
Que cherches-tu ? A avoir la liste hosts la plus longue du monde.
Mon hosts est, actuellement, vide (2 ou trois trucs qui sont passés au travers de mes outils). Entre les filtres temps réel :

• De ma suite de sécurité (Kaspersky en ce qui me concerne)
• De mon antimalware (Malwarebytes en ce qui me concerne)
• De Ghostery
• De Decentraeyes
• De AdBlock Plus
• De Privacy Badger
• De Qwant
• Du filtre antiphishing/antimalware natif du navigateur
• Que sais-je encore, que j'ai oublié...
• Ma navigation vers des sites à priori utiles et jamais dangereux
• Mes doutes qui sont traités à coups d'analyses de confiance et d'analyses de malveillance avec des VirusTotal et autres.

Je suis calme, au calme, et sans angoisse.

Cordialement.

[sarla]

Bonjour,

Mise à jour de Windows 7 : je cherche un article (logiciel) que j'ai écrit il y a environ 2 ans sur un utilitaire alternatif à Windows Update. Je me demande où il est passé (sur l'hébergement comme dans les codes source du sit, sur ma machine de dev et dans les sauvegardes).

Si ça peut t'aider, au départ j'ai cherché sur le web avec le mots "blacklister+kb". Comme toujours ça c'est élargi et j'ai fini par trouver au moins un script (copié plusieurs fois ou des variantes ?) mais comme je suis incapable de les lire ou de les évaluer... mais ils existent.
Une chose sur laquelle je n'ai pas encore confiance venant de chez Microsoft : leur nouveau catalogue. Pour un seul KB ils offrent de 1 à 3 offres ! Mais comment distinguer celui qui convient ? Déjà que l'installation d'un KB "normal", sain, peut mal se passer, installer successivement tous les KB présent et les sélectionner d'après leurs seul message d'erreur...

Que cherches-tu ? A avoir la liste hosts la plus longue du monde.

Non, à survivre. Pour Noël prochain peut-être, j'aurai la suite,

De ma suite de sécurité (Kaspersky en ce qui me concerne)

pour l'instant j'ai le free...

Je me souviens comme d'hier d'un KB proposé le matin... dénoncé comme nuisible l'après-midi par Microsoft lui-même

Je ne connais pas la moitié des outils ou ad-on que tu utilises mais je ne suis pas contre de faire la connaissance des

Que sais-je encore, que j'ai oublié...

.
Si ça peut m'éviter de trainer lamentablement sur les forums le carnet de notes à la main...

[21PhilC1]

Bonjour,

J'ai un sérieux problème avec ce logiciel. Quand je tente de le télécharger (même depuis Assiste.com ou autre). En effet, une extension de Malwarbyte sur mon navugateur me déconseil de télécharger programme - ou c'est d'ouvrir le lien qui lance le téléchargement.

De même qu'un scan avec Virus Total fait ce jour indique deux alertes (contrairement à un lien donné précédement).

Pour le fichier DWS.exe
https://www.virustotal.com/fr/file/2f50 ... /analysis/

Qu'en pensez-vous? Ca fait quand même deux raisons de s'en méfier, non?

EDIT: Je précise que j'ai téléchargé le logiciel et l'ai soumis seulement après à Virus Total. Donc, le scan de VT se focalise sur l'exécutable et non sur la page internet.

Pour le fichier DWS_Lite.exe
https://www.virustotal.com/fr/file/0f99 ... /analysis/

D'ailleurs, c'est quoi la différence entre DWS.exe et DWS_Lite.exe, à part un potentiel virus en moins?

[pierre]

Bonjour, 21PhilC1,

La version "Lite" est la version 1.6.722.0.

1.6 Build 722 Support Windows Redstone
- VS 2015 code style
+ add new spying tasks
+ add auto-update
+ add new spying hosts

1.6 Build 717 rollup
- Add Persian Language
- Fix Some things

Curieusement, lorsque je la lance, j'ai un avertissement de mise à jour vers une nouvelle version, la 1.0.2.0

C'est un produit normalement open-source, mais sur Github, la version est en 1.0.1.0

Mais Nummer (l'auteur de DWS), a créé une nouvelle entrée sur Github, en 2018, avec le même nom, et portant sur la version 2.2.2.2 (je pense que c'est à ce moment-là que les versions 1 s'appellent/deviennent, désormais, des versions "lite").

Donc on utilise la version 2.2.2.2 que 2 antivirus du panel de VirusTotal détectent.
Comment fonctionne VirusTotal ?
Dès qu'un seul antivirus détecte quelque chose dans un objet analysé, la totalité des autres antivirus (actuellement 65 antivirus) reçoit cet échantillon pour vérifier pourquoi ils ne le détectent pas.
La version 2.2.2.2 de DWS a été analysée pour la première fois par VirusTotal le 04 03 2018 18:14:14 UTC (il y a 1 an, 1 mois)
Depuis, cet échantillon a été analysé des milliers de fois et aucun autre antivirus n'y trouve rien à redire depuis le temps.
Donc je me fiche complètement de ces 2 détections.

Malwarebytes.
En tant que membre de la team experts de Malwarebytes, je dispose d'une version complète, sous licence à vie, qui est, bien entendu, active en temps réel et, en plus, effectue une analyse à la demande toutes les 24 heures.
Toutes les versions de DWS sont présentes sur mon disque, y compris en versions compressées et décompressées lorsqu'il s'agit d'archives multi-fichiers, et Malwarebytes n'y trouve jamais rien à redire.

Je ne sais pas ce que cherche l'add-on Malwarebytes (le code de DWS ou le site d'origine ?).

Télécharger la version 2.2.2.2
DWS 2.2.2.2









Les sites de Nummer (dws.wzor.net et nullptr.space pour ceux que je connais) peuvent être mal vus par Microsoft. Ce serait alors le filtre du Web d'origine Microsoft (SmartScreen) qui entrerait en action (pas les autres filtres), donc vous navigueriez sous Internet Explorer ou Edge, non ?

À la lecture de cet article (https://www.computerworld.com/article/2 ... -mole.html), je serais même porté à lire avec attention et crédit son contenu (dans le genre "les ennemis de mes ennemis sont mes amis).

Cordialement,

[21PhilC1]

Bonjour Pierre,

Merci pour les explications à propos des versions de DWS mais aussi à propose de Virus Total.

Pour l'extension mentionnée, il s'agit de celle-ci (ici pour Firefox). C'est encore à l'état de Beta.

https://addons.mozilla.org/fr/firefox/a ... warebytes/

Je n'utilise ni Internet Explorer ni Edge (dont je ne sais même pas à quoi ressemble ce dernier). J'utilise Firefox et Vivaldi et c'est bien l'addon Malwarebytes qui s'alerte sur les deux navigateurs. Peut-être est-ce en raison du fait qu'il ne soit encore qu'en béta?

Voici une capture du message de l'addon. Je ne sais pas trop ce qu'il cible. Il indique (non inclus dans la capture): "Ce site Web est soupçonné d'être compromis ou d'héberger une menace potentielle à la vie privée ou à la sécurité."

[pierre]

Re,

C'est en allant sur quel site qu'apparaît cette alerte ?

Recherches dans la blackliste de Malwarebytes (la blackliste "hphosts")
Le temps de réponse actuel est effroyablement long (5 à 10 minutes)

dws.wzor.net n'y est pas
wzor.net n'y est pas
nullptr.space n'y est pas
github.com n'y est pas
github-production-release-asset-2e65be.s3.amazonaws.com n'y est pas

Note :
Dans les réglages (Settings) du plug-in Malwarebytes, si vous souhaitez soutenir Assiste, il faut ajouter assiste.com dans la liste blanche (Allow list) pour la publicité (Add).
Mais, malgré tout, la publicité reste bloquée sur Assiste qui va droit dans le mur.

Comme c'est une version expérimentale pour l'instant, on peut attendre un peu avant de l'installer (actuellement, elle est en anglais uniquement, mais semble stable - version 1.0.42 actuellement).
La demande d'autorisations, à l'installation, est toujours affolante (accès à toutes les données, tous les onglets, stockage illimité dans l'appareil, etc.)
Refusez la télémétrie (qui est d'ailleurs décochée par défaut).

J'ai mis à jour la page DWS - Destroy Windows Spying (Windows 7, 8.1, 10) et j'ai mis la version 2.2.2.2 en téléchargement directement depuis notre hébergement. J'ai viré la 1.6.722.0.

À suivre...

[21PhilC1]

Ça faisait cela depuis n'importe quel site pointant sur le fichier. Même depuis Assiste.com. On pouvait naviguer sans problème sur le site, mais le message s'affichait quand on cliquait sur les liens. J'avais aussi testé sur Comment ça Marche, qui affichait le message. Il en allait de même sur GutHub.

Par ailleurs, j'avais passé un scan avec le logiciel Malwarebytes, avec les logiciels "incriminés" (les fichiers d'installation) présents sur l'ordinateur. Mais celui-ci n'a rien trouvé.

Je parle au passé, parce que je viens d'appuyer le bouton de téléchargement de la version 2.2.2.2, nouvellement disponible sur Assiste. Le téléchargement s'est lancé sans problème; aucun message ne s'est affiché. Idem pour Comment ça Marche et pour GitHub.

J'imagine qu'il s'agissait d'un faux-positif. Le problème semble avoir été résolu.

[Koulkrith]

Bonsoir,

Je réveille un vieux post pour préciser une chose à propos de l'analyse VirusTotal.

Le fichier HOSTS est utilisé par windows pour résoudre des noms de domaine (associer le fameux http://www.quelquechosedesimple.fr/com/net... à une adresse IP format 218.199.243.1). Inversement, il peut être utilisé pour bloquer des noms de domaines / adresses IP.

En substance, avant de contacter un serveur DNS, windows regarde dans ce fichier pour voir si oui ou non l'adresse est répertoriée et contacte dans ce cas le serveur web / ou ne le contacte pas si celle-ci est bloquée. Ceci est fait en direct et évite les perte de temps (et d'énergie) liées aux communications avec un serveur tiers.
modèle des communications avec HOSTS "vierge" :
Ordinateur - DNS - Ordinateur - Serveur WEB

modèle des communications avec HOSTS "édité" :
Ordinateur - Serveur WEB

Ordinateur - et rien puisque le site est bloqué

On gagne un peu de réactivité, on limite l'utilisation de données en supprimant un maillon de la chaîne et/ou on permet à un parc de machines définies d'accéder à un serveur web en interne (sans acheter de nom de domaine entre autre) Les cas d'utilisation ne manquent pas.

Le simple fait que DWS modifie le fichier HOSTS est donc un comportement à risque du programme car ce fichier peut potentiellement modifier la manière dont l'ordinateur navigue sur internet (et associer des URL tout à fait légitimes à des adresses IP qui ne le sont pas du tout).

Jiangmin et Trapemine le labellisent comme fichier à risque pour cette raison.

Dans tous les cas, ce seul comportement du programme n'est pas un élément suffisant pour signaler que DWS est "nuisible" mais "potentiellement nuisible".

Les autres antivirus analysent probablement en plus du comportement les sites vers lesquels le traffic est bloqué. Ne se voyant pas et ne voyant pas la concurrence (et ne détectant rien d'autre que des lignes de blocage), ils n'émettent pas d'alerte.

Vu que le programme est PRECISEMENT utilisé entre autres pour bloquer certaines adresses IP de Microsoft, l'édition du fichier HOSTS est un comportement tout à fait normal.

De plus, la liste des sites ciblés est visible dans le fichier lui-même :
C:\Windows\system32\drivers\etc\hosts

Dans le cas de DWS l'adresse IP qui débute chaque ligne devrait toujours être égale à 0.0.0.0

Si vous voyez une autre IP ET (j'insiste bien sur ce point) qu'il ne s'agit pas d'un pc fourni par votre entreprise ET que vous n'avez jamais modifié le fichier hosts par vous-même, alors il y a probablement eu une modification malveillante.