TL; DR
Un .avifichier est une vidéo, et est donc pas exécutable, de sorte que le système d'exploitation peut / ne sera pas exécuter le fichier. En tant que tel, il ne peut pas être un virus à part entière, mais il peut en effet contenir un virus.
Histoire
Dans le passé, seuls les fichiers exécutables (c'est-à-dire «exécutables») étaient des virus. Plus tard, les vers Internet ont commencé à utiliser l'ingénierie sociale pour inciter les gens à exécuter des virus. Une astuce répandue consisterait à renommer un fichier exécutable afin d’y inclure d’autres extensions, .aviou .jpgpour inciter l’utilisateur à penser qu’il s’agit d’un fichier multimédia et à l’exécuter. Par exemple, un client de messagerie peut uniquement afficher la première douzaine de caractères de pièces jointes. Ainsi, en attribuant une fausse extension à un fichier, puis en le complétant avec des espaces "FunnyAnimals.avi .exe", l'utilisateur voit ce qui ressemble à une vidéo et l'exécute, puis est infecté.
Ce n’était pas seulement de l’ingénierie sociale (en trompant l’utilisateur), mais aussi un exploit précoce . Il a exploité l'affichage limité des noms de fichiers des clients de messagerie pour réussir son tour.
Technique
Plus tard, des exploits plus avancés sont venus. Les auteurs de logiciels malveillants désassembleraient un programme pour examiner son code source et rechercheraient certaines parties présentant une mauvaise gestion des données et des erreurs qu’elles pourraient exploiter. Ces instructions prennent souvent la forme d'une sorte de saisie de l'utilisateur. Par exemple, une boîte de dialogue de connexion sur un système d'exploitation ou un site Web peut ne pas effectuer de vérification des erreurs ou de validation des données, et suppose donc / attend de l'utilisateur qu'il entre uniquement les données appropriées. Si vous saisissez ensuite des données inattendues (ou dans le cas de la plupart des exploits, trop de données), l’entrée se retrouvera en dehors de la mémoire qui a été affectée pour contenir les données. Normalement, les données utilisateur ne doivent être contenues que dans une variable, mais en exploitant une vérification des erreurs et une gestion de la mémoire médiocres, il est possible de les placer dans une partie de la mémoire pouvant être exécutée. Une méthode courante et bien connue est labuffer-overflow qui met plus de données dans la variable qu'il ne peut en contenir, écrasant ainsi d'autres parties de la mémoire. En créant astucieusement l'entrée, il est possible de provoquer un dépassement du code (instructions), puis de transférer le contrôle sur ce code. À ce stade, le ciel est généralement la limite quant à ce qui peut être fait une fois que le malware a le contrôle.
Les fichiers multimédias sont les mêmes. Ils peuvent être conçus pour contenir un peu de code machine et exploiter le lecteur multimédia pour que le code machine finisse par s'exécuter. Par exemple, il peut être possible de mettre trop de données dans les méta-données du fichier multimédia de sorte que, lorsque le lecteur essaie d'ouvrir le fichier et de le lire, il déborde des variables et entraîne l'exécution de code. Même les données réelles pourraient théoriquement être conçues pour exploiter le programme.
Ce qui est pire avec les fichiers multimédias, c'est que, contrairement à un identifiant clairement mauvais, même aux non-initiés (par exemple, username: johndoe234AUI%#639u36906-q1236^<>3;'k7y637y63^L:l,763p,l7p,37po[33p[o7@#^@^089*(^#)360as][.;][.][.>{"{"#:6326^)un fichier multimédia peut être créé de manière à ce qu'il contienne réellement un support légitime, légitime, qui ne soit même pas corrompu et qui semble donc totalement légitime. La stéganographie (littéralement «écriture dissimulée») est généralement utilisée pour dissimuler des données dans d'autres données, mais il s'agit essentiellement de la même chose, car le malware serait dissimulé dans ce qui ressemble à un média légitime.
Alors oui, les fichiers multimédias (et même n'importe quel fichier) peuvent contenir un virus en exploitant les vulnérabilités du programme qui ouvre / affiche le fichier. Le problème est que vous n'avez souvent même pas besoin d'ouvrir ou d'afficher le fichier à infecter. La plupart des types de fichiers peuvent être prévisualisés ou leurs métadonnées doivent être lues sans les ouvrir à dessein. Par exemple, il suffit de sélectionner un fichier multimédia dans l'Explorateur Windows pour lire automatiquement les métadonnées (dimensions, longueur, etc.) du fichier. Cela pourrait potentiellement constituer un vecteur d'attaque si un auteur de programme malveillant découvrait une vulnérabilité dans la fonction aperçu / métadonnées de l'explorateur et créait un fichier multimédia qui l'exploitait.
Heureusement, les exploits sont fragiles. Ils n'affectent généralement qu'un ou plusieurs lecteurs multimédias, contrairement à tous les lecteurs. Même dans ce cas, leur fonctionnement ne fonctionne pas pour différentes versions du même programme (c'est pourquoi les systèmes d'exploitation publient des mises à jour pour corriger les vulnérabilités). Pour cette raison, les auteurs de programmes malveillants ne passent généralement que leur temps à casser des systèmes / programmes largement utilisés ou de grande valeur (Windows, systèmes bancaires, etc.), ce qui est d'autant plus vrai que le piratage a gagné en popularité auprès des criminels. essayer d’obtenir de l’argent et ce n’est plus seulement le domaine des nerds qui essaient d’obtenir la gloire.
Application
Si votre fichier vidéo est infecté, il ne vous infectera probablement que si vous utilisez le ou les lecteurs multimédias pour lesquels il est spécifiquement conçu. Si ce n'est pas le cas, alors il peut se bloquer, ne pas s'ouvrir, jouer avec la corruption ou même très bien (ce qui est le pire des cas, car il est alors signalé comme étant correct et se propage à d'autres personnes susceptibles d'être infectées).
Les programmes anti-programmes malveillants utilisent généralement des signatures et / ou des méthodes heuristiques pour détecter les programmes malveillants. Les signatures recherchent des modèles d'octets dans les fichiers qui correspondent généralement aux instructions de virus connus. Le problème est qu’en raison des virus polymorphes qui peuvent changer chaque fois qu’ils se reproduisent, les signatures deviennent moins efficaces. Les heuristiques observent des comportements tels que l'édition de fichiers spécifiques ou la lecture de données spécifiques. Celles-ci ne s'appliquent généralement que lorsque le logiciel malveillant est déjà en cours d'exécution, car l'analyse statique (examiner le code sans l'exécuter) peut s'avérer extrêmement complexe grâce aux techniques d'obscurcissement et d'évasion des logiciels malveillants.
Dans les deux cas, les programmes anti-malware peuvent et doivent signaler des faux positifs.
Conclusion
De toute évidence, l’étape la plus importante en matière de sécurité informatique consiste à récupérer vos fichiers à partir de sources fiables. Si le torrent que vous utilisez est de quelque part vous avez confiance, alors sans doute il devrait être correct. Sinon, vous voudrez peut-être y réfléchir à deux fois (d'autant plus qu'il existe des groupes anti-piratage qui libèrent volontairement des torrents contenant des faux ou même des logiciels malveillants).