C-Dilla
Pierre Pinard^© (18.12.2003 - révision 2)


Généralités

• Nom
  C-Dilla
  
  
• Autres noms
  SafeCast est son véritable nom.
  CDilla est souvent utilisé, à tort.
  Les noms des fichiers de C-Dilla peuvent être utilisés: c2c.16 · c2c.dll · c2cdel.16 · c2cdel.exe · cd.txt · cdac01aa.dll · cdac01ba.dll · cdains16.dll · cdains32.dll · cdaint2f.vxd · cdaint2f.vx_ · cdalms.exe · cdant.sy_ · cdaw31x.38_ · cdawin95.vxd · cdawin95.vx_ · cdilla05.dll · cdilla10.exe · cdilla13.dll · cdilla32.dll · cdilla40.dll · cdilla51.dll · cdilla52.dll · cdilla64.exe · cdremove.exe · cdset32.exe · cdset32.reg · cdsetup.exe · cdunin16.exe · c_dilla3_27.txt · davidreadmec_dilla_install_report.txt
  
  
• Description Résumée
  Attention - l'éradication de C-Dilla rend le programme qu'il protège inaccessible et, dans certains cas cités sur divers forums, rend le démarrage de l'ordinateur incertain.
  
  Procédé de protection anti-copie de logiciels (Copyright) exploité par Macrovision et utilisé par de nombreux logiciels.
  
  Selon des rapports circulant sur Internet, C-Dilla surveille votre utilisation de votre ordinateur et votre utilisation d'Internet et aurait donc, également, un comportement de spyware, hors du cadre de sa fonction de protection contre les copies. Cela est en partie déduit d'une déclaration de C-Dilla selon laquelle il surveillerait les copies faites sur Internet (utilisation des réseaux de P2P comme FastTrack avec KaZaA) ce qui a permis de penser qu'il surveillait tout le trafic Internet et rapportait l'information à un serveur. On notera, tout de même, qu'une telle activité, si elle était avérée, se bloque avec un simple firewall.
  Ceci est contredit ici
  
  mais est affirmé ici et réaffirmé là.
  
  
  Le programme "protégé" n'informe pas l'utilisateur, lors de son installation, de l'installation concomitante de C-Dilla et l'installe sans que l'utilisateur n'en ait conscience.
  Ceci est expliqué ici
  
  Lorsque le programme "protégé" est désinstallé, C-Dilla subsiste, continuant à vous surveiller. C-Dilla doit être désinstallé séparément du programme "protégé".
  Ceci est commenté ici
  
  On trouve de nombreux messages alarmants dans divers forums déclarant que C-Dilla modifie le MBR (Master Boot Record - secteurs 0 et 1 du disque de démarrage d'un ordinateur). Rappelons que cette zone ne devrait contenir que le lanceur du système ou le choix du système de démarrage (la partition de démarrage) en cas de multi-boot. Cette zone, qui est partiellement inutilisée, ne doit pas être accédée par rien ni personne et, si votre protection antivirus au niveau du BIOS est correctement positionnée, une alerte aurait surgi.
  Dans les faits, c'est tout le cylindre 0 des disques durs qui n'est pas utilisé et le MBR utilisant les 2 premiers secteurs de ce cylindre sur la face 0 uniquement du disque (qui est en réalité un empilement de plusieurs disques utilisés sur leurs 2 faces) ce sont 62 secteurs complets qui ne sont pas utilisés. Ils le sont ! Avec des procédures acrobatiques non supportées par Windows et normalement non documentées, mises en oeuvre par exemple par les "compresseurs de disques" comme DriveSpace ou DoubleDisk. C-Dilla utilise une procédure d'installation acrobatique pour inscrire une clé dans le secteur 33 du cylindre 0 risquant ainsi de ruiner totalement un disque et l'intégralité des données qui y sont stockées sans aucune possibilité de récupération et bloquant ainsi le démarrage même d'un ordinateur. (Pour mémoire, lorsque je travaillais en bas niveau (ne me poser aucune question, j'ai totalement perdu la main depuis) il existait des tables d'allocation de ces espaces "inutilisés" que les éditeurs de logiciels "spéciaux" se communiquaient entre eux et il existait des conventions courtoises entre eux, chacun se réservant les quelques octets dont il avait besoin et aucun autre ne venant lui marcher sur les pieds).
  Ceci est contredit ici mais est démontré ici.
  
  C'est pourquoi des utilitaires anti-spywares, comme Spybot Search & Destroy, détectent et permettent l'éradication de C-Dilla. Rappel - SpyBot conserve (uniquement depuis sa version 1.1 Release 4 et suivantes) une sauvegarde de tout ce qu'il fait et vous pouvez défaire (ré-implanter) l'éradication de C-Dilla (SpyBot > Sauvegardes).
  
  C-Dilla était passé quasi inaperçu jusqu'à ce que des utilitaires anti-spyware comme SpyBot (largement diffusé dans le monde du gratuit) se mettent à l'éradiquer ce qui pose divers problèmes surgissant partout dans le monde. Cette protection est utilisée, par exemple, avec l'Encyclopeadia Universalis ou avec le logiciel de création 3DStudio Max.
  
  Au lancement d'un logiciel protégé par C-Dilla, celui-ci cherche à se connecter sur le Net pour raconter on ne sait quoi à on ne sait qui. Interdire à C-Dilla tout accès au Net dans votre firewall.
  
  PestPatrol a publié une procédure de détection et d'éradication le 1er décembre 2003 et l'a incorporée dans sa base de signatures puis l'a retirée le 17 décembre, déclarant ne pas trouver suffisemment de substance dans les rumeurs se propageant actuellement sur Internet. Ainsi PestPatrol ne détecte plus C-Dilla.
  
  
• Variantes
  .
  
  

Ce qu'il fait

Publicité	Violation de la vie privée	Introduit une faille de sécurité	Introduit une instabilité du système
Non	Non	Non	Oui

• Publicité :
  Non
  
  
• Violation de la vie privée :
  Non
  
  
• Introduit une faille de sécurité :
  Non
  
  
• Introduit une instabilité du système :
  Oui - Risque de perte intégrale du disque système dès l'installation en modifiant intempestivement le secteur 33 du cylindre 0 du disque système. La désinstallation n'y changera plus rien.
  
  

Editeur
Initialement http://www.c-dilla.com/
Cette adresse renvoi désormais vers http://www.macrovision.com/products/cdsecure/downloads.shtml

C-Dilla, Ltd. était le nom d'une compagnie qui a été acquise par Macrovision en 1999. Certaines technologies de Macrovision SafeCast® (voir ci-dessous) sont dérivées de produits précédents de C-Dilla, et certains répertoires et fichiers employés par des applications sous contrôle de licence par des versions plus anciennes de SafeCast ont toujours "C-Dilla" dans leurs noms. Notez que "C-Dilla" n'est le nom d'aucun produit, application logicielle ou technologie.

SafeCast est une technologie de contrôle de licence pour logiciels qui peut être intégrée dans une grande variété de produits logiciels. Quand un produit logiciel particulier a la technologie SafeCast incorporée, ceci permet aux utilisateurs "autorisés" de l'utiliser (ou de l'utiliser partiellement selon certaines dispositions), alors que les utilisateurs "non autorisés" ne pourront l'utiliser.

L'éditeur du logiciel définit les règles d'autorisation et SafeCast est très flexible à cet égard. Par exemple, "autorisé" peut signifier:
- l'utilisateur a payé le logiciel (par exemple par l'intermédiaire d'une transaction en ligne sécurisée).
- l'utilisateur a correctement maintenu un abonnement au logiciel.
- l'utilisateur est en évaluation libre durant une période d'essai.
- l'utilisateur a "activé" le logiciel (par exemple en fournissant un numéro de série valide).


Autres produits du même éditeur
.

Méthode de distribution
.

Détection
.

Informations techniques
.

Eradication

• Manuelle
  Vous devez connaître et maîtriser les actions manuelles suivantes
  • Tuer un processus actif
    
  • Retirer une entrée de la liste de démarrage
    
  • Détruire des fichiers
    
  • Détruire des répertoires
    
  • Détruire des clés de registre
    
  • Détruire une entrée dans une clé de registre
    
  • Désenregistrer des DLLs
    
    

Cette procédure est donnée pour mémoire. Détruire C-Dilla empêche le fonctionnement de tous les programmes protégés par cette technologie. Détruire C-Dilla ne permet pas du tout, bien entendu, de faire des copies pirates et nous réprouvons formellement cette pratique.

Tuer des processus
Avec le gestionnaire de tâches (Alt-Ctrl-Del) tuer les processus suivants s'ils sont actifs

systemroot+\cdilla10.exe
systemroot+\cdilla64.exec2cdel.exe
cdalms.exe
cdilla64.exe
cdremove.exe
cdset32.exe
cdsetup.exe
cdunin16.exe

Désenregistrer des dll
Désenregistrer les dll suivantes en utilisant Regsvr32 puis redémarrer votre ordinateur

systemroot+\cdilla05.dll
systemroot+\cdilla13.dll
systemroot+\cdilla32.dll
systemroot+\cdilla40.dllc2c.dll
cdac01aa.dll
cdac01ba.dll
cdains16.dll
cdains32.dll
cdilla40.dll
cdilla51.dll
cdilla52.dll

Nettoyer le registre
Détruire les clés de registre suivantes, si elles existent, avec RegEdit

HKEY_LOCAL_MACHINE\software\c-dilla
HKEY_LOCAL_MACHINE\software\classes\c-dilla
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\uninstall\lms

Détruire des fichiers
Détruire les fichiers suivants s'ils existent en utilisant l'explorateur de Windows

systemroot+\cdilla05.dll
systemroot+\cdilla10.exe
systemroot+\cdilla13.dll
systemroot+\cdilla32.dll
systemroot+\cdilla40.dll
systemroot+\cdilla64.exec2c.16
c2c.dll
c2cdel.16
c2cdel.exe
cd.txt
cdac01aa.dll
cdac01ba.dll
cdains16.dll
cdains32.dll
cdaint2f.vxd
cdaint2f.vx_
cdalms.exe
cdant.sy_
cdaw31x.38_
cdawin95.vxd
cdawin95.vx_
cdilla51.dll
cdilla52.dll
cdilla64.exe
cdremove.exe
cdset32.exe
cdset32.reg
cdsetup.exe
cdunin16.exe
c_dilla3_27.txt
davidreadmec_dilla_install_report.txt
toujours exécuter l'intégralité de "La Manip" après cette désinfection.

• Automatique avec son propre uninstal
  Il est signalé la présence de C-Dilla dans Ajout/Suppression de programmes sous le nom de "SafeCast Shared Components" (versions récentes de SafeCast ou version anciennes mises à jour sur Internet lors d'une activation - les activations par téléphone ne permettent pas d'obtenir le désinstallateur).
  toujours exécuter l'intégralité de "La Manip" après cette désinfection.
  
  
• Automatique avec un outil
  Spybot Search and Destroy
  toujours exécuter l'intégralité de "La Manip" après cette désinfection.
  
  
• Conséquences de l'éradication
  Tous les programmes protégés par C-Dilla ne pourront plus du tout être lancés.
  
  

Suggestion de serveurs à ajouter à hosts
Hosts - Qu'est-ce que c'est?
.

Suggestion d'IPs de serveurs à bloquer
Par exemple en utilisant PeerGuardian.
.

Cookies à éradiquer utilisés par ce parasite
.

Liens, sources et ressources
Pour rédiger cette fiche, les sites suivants ont été consultés
http://www.privacyandspying.com/privacy-c_dilla.html
http://www.c-dilla.com/
http://www.extremetech.com/article2/0,3973,830101,00.asp
http://www.macrovision.com/products/safecast/safecast_cdilla_faq.shtml
http://www.privacyandspying.com/privacy-c_dilla.html
http://www.macrovision.com/
PestPatrol C-Dilla version du 1er décembre 2003
PestPatrol C-Dilla version du 17 décembre 2003
TurboTax 1ère analyse par ExtrèmeTech
TurboTax 2nd analyse par ExtrèmeTech
http://www.pcmag.com/article2/0,4149,933439,00.asp
Spybot Search and Destroy

Le Bug d'Encyclopeadia Universalis


sss

Porter plainte
Portez plainte iciO.C.L.C.T.I.C
MINISTERE DE L'INTERIEUR
Direction Centrale de la Police Judiciaire
Sous-Direction des Affaires Economiques et Financières
8, rue de Penthièvre
75008 PARIS
Tel : 01.49.27.49.27
Télécopie : 01.40.97.88.59
oclctic@interieur.gouv.fr

Retour d'information (FeedBack)
S'il y a la moindre chose nouvelle ou à ajouter ou à corriger sur cette page, merci d'utiliser le petit formulaire de feedback ci-dessous.

Rédigé en écoutant Ecoute