aluria spyware eliminator

Aluria Spyware Eliminator - ASE est un assez bon programme un peu méconnu et ne figurant pas ou peu dans les tableaux comparatifs. Il bénéficie d'une belle finition, est moyennement rapide mais consomme beaucoup de ressources.

Comportement curatif (scanner en temps différé):

C'est un anti-spywares et anti-adwares auquel nous devrions porter un peu plus d'attention. Il se comporte également en anti-hijackers et en anti-dialers. Il exécute également des fonctions anti-traces (effacement de l'historique).
L'espion Gator bénéficie d'un traitement particulier car son éradication risque de rendre inutilisable son hôte.

Comportement préventif:

Dans son comportement anti-ActiveX il bloque les contrôles ActiveX connus pour être ceux de spywares, à la manière de SpywareStopper, de SpywareBlaster, et de SpyBot Search and Destroy, par la technique du Kill Bit. Malheureusement sa base de CLSID (les identificateur uniques de contrôles ActiveX) n'en contient que très très peu.

Les contrôles ActiveX et le Kill-Bit.

La vaccination, purement préventive, contre les contrôles ActiveX hostiles connus, utilise un "drapeau" de la base de registres de Windows, appelé le "Kill-Bit" (ou "Bit d'arrêt" en Français), pour les taguer. Ceci est décrit dans la base de connaissances de Microsoft : article 240797 disponible en français de la "KB" (Knowledge Base - Base de connaissances) à http://support.microsoft.com/kb/240797/fr.

Des utilitaires se chargent de cela. Ces utilitaires Anti-ActiveX ne doivent absolument pas être confondus avec un quelconque scanner recherchant et éliminant des parasites préalablement installées. Le scan anti-trojans (et donc anti-ActiveX) doit être exécuté, séparément, avec la fonction scanner d'un anti trojan classique. Dans la vaccination il s'agit d'un travail en amont afin, simplement, de les empêcher de s'installer. Les contrôles ActiveX ainsi bloqués sont de toutes natures et, souvent, de plusieurs natures simultanément:

Par la même occasion ce sont de très nombreuses pop-up publicitaires, servant de pourvoyeurs de spywares, qui sont bloquées. Les contrôles ActiveX licites ne sont pas affectés. Vous pouvez exécuter Internet Explorer en confiance avec la technologie ActiveX activée. Internet Explorer ne chargera jamais, n'exécutera jamais et ne vous demandera même jamais l'autorisation d'installer un contrôle ActiveX hostile (dans la limite de ceux connus par l'utilitaire), tous les autres (ce qui inclut les contrôles ActiveX hostiles pas encore connus) fonctionnant normalement.

Lorsqu'une page piégée essaiera d'installer un composant présent dans cette liste, elle échouera.
Lorsqu'une page essaiera d'exploiter un composant présent dans cette liste, même si celui-ci était préalablement réellement installé dans votre machine, elle échouera également.

Les contrôles ActiveX sont identifiés au moyen d'un identificateur unique, de type GUID (Global Unique IDentifier), appelé Class identifier - CLSID. Le fonctionnement des utilitaires de vaccination consiste à installer dans la base de registre de Windows tous les CLSID hostiles connus (dans la clé HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility). La technique de blocage utilisée est celle du "kill bit" telle que décrite par Microsoft dans son article KB240797, bloquant ainsi toute tentative d'installation ultérieure. Une fois cela fait, il n'est d'aucune utilité de laisser l'utilitaire tourner. Il ne prend donc aucune place en mémoire et ne consomme aucun temps de calcul. La méthode est totalement statique. Il suffit d'exécuter une mise à jour, périodiquement. Accessoirement, la technique du Kill Bit peut empêcher l'exécution de certains contrôles ActiveX hostiles qui se seraient installés préalablement, en désactivant leurs CLSIDs, mais il faudra les éliminer physiquement de votre ordinateur avec la fonction scanner d'un anti trojan classique. Cette technique de la vaccination (kill bit) est applicable dans :

IE 4.0 for Windows NT 4.0
IE 4.01 for Windows 98 SP 1
IE 4.01 for Windows 98 SP 2
IE 4.01 for Windows NT 4.0 SP 1
IE 4.01 for Windows NT 4.0 SP 2
IE 5.0 for Windows 98
IE 5.0 for Windows 98 Second Edition
IE 5.0 for Windows NT 4.0
IE 5.01 for Windows 2000 SP 1
IE 5.01 for Windows 2000 SP 2
IE 5.01 for Windows 98 Second Edition SP 1
IE 5.01 for Windows 98 Second Edition SP 2
IE 5.01 for Windows 98 SP 1
IE 5.01 for Windows 98 SP 2
IE 5.01 for Windows NT 4.0 SP 1
IE 5.01 for Windows NT 4.0 SP 2
IE 5.5 for Windows 2000 SP 1
IE 5.5 for Windows 2000 SP 2
IE 5.5 for Windows 98 Second Edition SP 1
IE 5.5 for Windows 98 Second Edition SP 2
IE 5.5 for Windows 98 SP 1
IE 5.5 for Windows 98 SP 2
IE 5.5 for Windows Millennium Edition SP 1
IE 5.5 for Windows Millennium Edition SP 2
IE 5.5 for Windows NT 4.0 SP 1
IE 5.5 for Windows NT 4.0 SP 2
IE 6 for Windows 2000
IE 6 for Windows 98
IE 6 for Windows 98 Second Edition
IE 6 for Windows Millennium Edition
IE 6 for Windows NT 4.0
IE 6 for Windows XP
IE 6 for Windows XP 64-Bit Edition

Lors d'un test comparatif du 15.12.2003, les produits utilisant cette technique préventive comportaient, dans leur base:

SpywareStopper, 808 CLSID d'ActiveX hostiles (+ de très nombreuses autres fonctions)
SpywareBlaster, 776 CLSID d'ActiveX hostiles (+ les cookies à spywares)
SpyBot Search and Destroy, 506 CLSID d'ActiveX hostiles (détecte la présence de SpywareBlaster et conseille de l'utiliser)
RegBlock, 335 CLSID d'ActiveX hostiles
Aluria Spyware Eliminator, 206 CLSID d'ActiveX hostiles
ImmunizeNow!, pas comparé

Lors d'un test comparatif du 27.01.2004, après mise à jour et exécution de SpywareBlaster (qui ajoute plusieurs nouvelles CLSID) puis de SpyBot Search and Destroy (qui n'ajoute rien), exécution de SpywareStopper. Ce dernier trouve encore à ajouter 62 nouvelles CLSID dont plusieurs CoolWebSearch, Gator, IeToolBar, IGetNet, Keen Value, NewDotNet, PrecisionPop, Rank, Roings, S-A-C, SearchBar, Tx4.

Malgré la gratuité des second, troisième et sixième produits de la liste ci-dessus, le premier, SpywareStopper, confirme son très net avantage. Nous recommandons l'acquisition de SpywareStopper qui se révèle un cran au dessus des autres. Quant aux 2 autres produits comparés, RegBlock et Aluria Spyware Eliminator, dans le domaine de la protection par Kill-Bit, ils sont inexistants.

Comporte une liste de sites (environ 6.000 en décembre 03) introduits dans la zone de restriction d'IE à la manière de IE-SPYADS. Malheureusement toutes les listes hosts au même moment tournent autour de 14.000 noms de domaines à 40.000 noms de domaine. En sus, cette méthode rend son travail totalement dépendant d'Internet Explorer tandis que hosts est indépendant et s'applique à tous les navigateurs présents et à venir.
Comporte environ 200 intervalles d'adresses IP à bloquer.
Désactive le "Service d'affichage des messages" ce qui permet d'éviter les "Messenger Spam".

Bel interface à la Mac X mais qui détonne complètement dans un environnement Windows. Fenêtre non redimensionnable. Pas d'ascenseur vertical dans la liste des 6.000 sites en zone de restriction !

Sa base de signatures comporte 10.912 objets (principaux et dérivés) en décembre 03.

Il est déclaré dédié IE et ne reconnait ni Netscape ni Opéra ni Mozilla ce qui est curieux car le scanner et, par essence, indépendant du navigateur. Quant au blocage des contrôles ActiveX, même si cela reste une technologie propriétaire Microsoft, des solution commerciales existent pour utiliser ActiveX dans Netscape et des solutions ActiveX open-source pour Mozilla sont disponibles.

Aluria Spyware Eliminator - ASE existe en 2 versions : l'une ne comporte que le scanner en temps différé et est gratuite, l'autre comporte tous les modules et est payante.

Nota : lors d'un scan "full scan" du 15.12.03, avec la version gratuite, le scanner ASE a découvert un script lié à Alexa que personne n'avait jamais vu mais n'a vu strictement aucun des parasites de type Backdoor, Spywares et RATs de ma collection (24 parasites le jour du test dont une version bien connue de "Socket de Troie").