[RESOLU] KIS 2010 m'alerte d'une infection Trojan.Script.Ifram

[nanotek]

Bonsoir,

 

En quittant le forum Sosordi (déconnexion) j'ai eu ce message :

l'URL demandé ne peut être affiché.

L'objet sollicité à l'adresse URL http://www.sosordi.net/membre/logout.html contient un message.

L'objet est infecté par HEUR:Trojan.Script.Iframer

date de création du message : 26/10/2009 14.03.55

 

puis à 21 h 15, lorsque j'ai repris le clavier, un 2ème message :

E:\...Mozilla Firefox 3\firefox.exe(PID:644):chargement de l'objet http://.../analyse.php?id=40&726313075, contenant virus HEUR:Trojan.Script.Iframer. Interdit

 

Et enfin, lorsque j'ai quitté le clavier, le dernier mot ci-dessus ("interdit") a été remplacé, par "détecté"

 

Selon vous, suis-je infecté, et si oui, comment me débarrasser de ce trojan ?

Je ne sais vraiment pas quoi faire, et je serais très soulagé que l'un ou l'une d'entre vous veuille bien me tenir la main.

Modifié le 1 novembre 2009 par nanotek

[Apollo]

Bonsoir,

 

Regarde l'interface de KIS, au-dessus, si tu vois "aucune menace active", tu n'es pas infecté.

 

Je suis allé sur sos ordi et KIS 2009 m'a envoyé "36" alertes du même genre.

Faux-positifs sans doute; j'ai signalé ce phénomène à newvirus@kaspersky.com , et tu peux en faire autant, en mettant le rapport (journaux/antivirus/exporter/enregistrer en texte) en pièce jointe, l'url exacte du site sos ordi et une capture d'écran quand l'alerte se présente à l'écran. (ajoute-la en pièce jointe également.

 

 

Plus ils auront de remontées et plus vite ils chercheront d'où peut provenir ce FP si c'en est un et le régler.

 

@ ++

[nanotek]

Bonsoir Apollo

Je n'ai pu ouvrir Firefox qu'en mode sans échec.

Je fais immédiatement ce que tu me suggères, et je polarde les solutions proposées.

Regarde l'interface de KIS, au-dessus, si tu vois "aucune menace active", tu n'es pas infecté.

Mon interface principale (ouverture de KIS 2010 version xx463) ne me dit que "Anti-Spam entraînement requis"

C'est dans "Rapport" et onglet "menaces détectés" + choix "menaces actives" que j'ai l'info.

A priori je ne suis pas infecté.

Je ne manquerai pas de te tenir au courant pour la suite.

Encore merci pour ta speed-réponse

Modifié le 26 octobre 2009 par nanotek

[Apollo]

Je vais te montrer mon rapport mais sache que tant que kasper te dit interdit, c'est qu'il a stoppé net soit une tentative d'infection, soit un faux-positif.

 

Désactive le bidule entraînement pour les spams, ça ne sert à rien, tu sais quand-même reconnaître un email louche toi-même, non?

 

Il y a une version plus récente de KIS 2010 (voir le forum K dans ma signature) mais je te déconseille de l'installer pour le moment car j'ai rencontré quelques problèmes avec.

 

Date : Futur   (événements : 46)	
Antivirus Internet   (événements : 46)	
26/10/2009 22:11:46	http://audience.netavenir.com/analyse.php?id=40&395038814	Internet Explorer	Interdit: HEUR:Trojan.Script.Iframer		
26/10/2009 22:11:46	http://audience.netavenir.com/analyse.php?id=40&395038814	Internet Explorer	Détectés: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:50	http://audience.netavenir.com/analyse.php?id=40&593292158	Internet Explorer	Interdit: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:50	http://audience.netavenir.com/analyse.php?id=40&593292158	Internet Explorer	Détectés: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:42	http://audience.netavenir.com/analyse.php?id=40&149929824	Internet Explorer	Interdit: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:42	http://audience.netavenir.com/analyse.php?id=40&149929824	Internet Explorer	Détectés: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:41	http://www.sosordi.net/pub_texte.html	Internet Explorer	Erreur de traitement: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:41	http://www.sosordi.net/pub_texte.html//pub_texte	Internet Explorer	Interdit: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:41	http://www.sosordi.net/pub_texte.html//pub_texte	Internet Explorer	Détectés: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:40	http://www.vodeclic.com/parcourir/video_du_jour_sosordi	Internet Explorer	Interdit: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:40	http://www.vodeclic.com/parcourir/video_du_jour_sosordi	Internet Explorer	Détectés: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:40	http://pub.sosordi.net/adframe.php?n=a5e00ebe&what=zone:1	Internet Explorer	Erreur de traitement: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:40	http://pub.sosordi.net/adview.php?what=zone:6&n=af46edde	Internet Explorer	Interdit: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:40	http://pub.sosordi.net/adframe.php?n=a5e00ebe&what=zone:1//adframe	Internet Explorer	Interdit: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:40	http://pub.sosordi.net/adview.php?what=zone:6&n=af46edde	Internet Explorer	Détectés: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:40	http://pub.sosordi.net/adframe.php?n=a5e00ebe&what=zone:1//adframe	Internet Explorer	Détectés: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:39	http://www.sosordi.net/__utm.js	Internet Explorer	Erreur de traitement: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:38	http://www.sosordi.net/__utm.js//__utm	Internet Explorer	Interdit: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:38	http://www.sosordi.net/__utm.js//__utm	Internet Explorer	Détectés: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:38	http://www.sosordi.net/js/checkForms.js	Internet Explorer	Erreur de traitement: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:38	http://www.sosordi.net/css/style.css	Internet Explorer	Erreur de traitement: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:38	http://www.sosordi.net/js/checkForms.js//checkForms	Internet Explorer	Interdit: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:38	http://www.sosordi.net/css/style.css//style	Internet Explorer	Interdit: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:38	http://www.sosordi.net/js/checkForms.js//checkForms	Internet Explorer	Détectés: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:38	http://www.sosordi.net/css/style.css//style	Internet Explorer	Détectés: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:38	http://www.sosordi.net/js/tools.js	Internet Explorer	Erreur de traitement: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:38	http://www.sosordi.net/js/tools.js//tools	Internet Explorer	Interdit: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:38	http://www.sosordi.net/js/tools.js//tools	Internet Explorer	Détectés: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:37	http://www.sosordi.net/	Internet Explorer	Erreur de traitement: HEUR:Trojan.Script.Iframer		
26/10/2009 22:10:37	http://www.sosordi.net///www.sosordi	Internet Explorer	Interdit: HEUR:Trojan.Script.Iframer

 

Je ne me fais aucun souci pour ces alertes, je connais bien K que j'utilise depuis 4 ou 5 ans.

 

@++

[nanotek]

Bonjour Apollo,

1 - J'ai mis à jour les bases virales KIS 2010

2 - J'ai complété mon fichier HOSTS avec une liste de nouvelles adresses vicieuses.

3 - J'ai purgé mes rapports et stockages dans KIS.

4 - J'ai refait les analyses KIS (après redémarrage)

Tout semble être rentré dans l'ordre, à part le fait que MBAM ne s'ouvre plus, à la place j'ai une "erreur code 707 (0,0)".

Je dois le réinstaller à chaque fois que je veux faire un scan. C'est un peu énervant...

Attendons quelques jours...

------------------------------------------------------------------------------------------------------------

Ne pouvant plus accéder au réseau par Firefox ou IE7, je suis passé par le mode sans échec avec accès au réseau.

Et là, j'ai pu ouvrir Firefox.

------------------------------------------------------------------------------------------------------------

En ce qui concerne l'interface principale de KIS, j'ai bien désactivé l'anti-spam, mais le bandeau et le "cataphote" passent au jaune et il s'affiche " La sécurité est menacée, certains composants de la protection sont désactivés".

Je corrige, et la mention sur l'anti-spam réapparaît. J'aimerais avoir "aucune menace active"...

Comment fait-on ?

Encore merci pour ton intervention qui a dédramatisé un peu les choses...

Modifié le 27 octobre 2009 par nanotek

[Apollo]

Bonjour,

 

Je me suis sans doute mal exprimé, il ne faut pas suspendre l'antispam, je voulais dire l'entrainement, mais cela se réglera tout seul lorsque tu auras cliqué sur les boutons courrier normal ou indésirable et l'entrainement disparaitra de l'interface tout seul au bout d'un certain temps.

 

J'ai lu ta demande et ce qu'on t'a fait faire sur sos ordi.

Si tu fais un rapport GSI il te sera dit que MBAM est incompatible avec KIS mais je doute que sans son résident, MBAM gêne d'une façon quelconque.

 

Tu peux aussi, si tu ne connais, aller sur le forum Kaspersky pour de plus amples renseignements. (lien dans ma signature).

 

Bonne journée.

[nanotek]

Bonsoir Apollo,

Si tu fais un rapport GSI il te sera dit que MBAM est incompatible avec KIS mais je doute que sans son résident, MBAM gêne d'une façon quelconque

En effet, je n'ai pas de résident (version gratuite de MBAM)

Mais lorsque j'installe MBAM, j'ai droit à une alerte de KIS, qui me dit que MBAM tente d'installer

un pilote caché : Mbam.sys dans C:\WINDOWS\system32\drivers.

J'autorise cependant MBAM à continuer de s'installer, sinon je reviens au point zéro...

 

J'ai mis Malwarebytes.org en "site de confiance", mais il semblerait que le message "error code 707" vienne du fait que les mises à jour des bases (venant donc du réseau) soient contrariées et donc corrompues.

Dois-je faire quelque chose avec mon pare feu ?

 

Je n'ai eu aucun problème jusqu'ici avec MBAM. Was passiert ?

Si tu as une idée, je prends...

[Apollo]

Bonsoir,

 

J'autorise cependant MBAM à continuer de s'installer, sinon je reviens au point zéro...

C'est bien ce qu'il faut faire sinon tout est bloqué du côté de MBAM.

 

Pour les mises à jour, j'ignore quel peut être le problème; j'installe MBAM de temps en temps car je n'en ai pas souvent besoin, mais je n'ai jamais rencontré un tel souci de mises à jour.

 

Essaie un peu pour voir, de faire une mise à jour manuelle:

Uniquement en cas de problème de mise à jour:

 

Télécharger mises à jour MBAM

 

Si Kaspersky a mis des choses en quarantaine à cause des faux-positifs, rétablis ces objets.

Le labo m'a dit aujourd'hui que cela serait corrigé dans les prochaines mises à jour puisqu'ils ont admis le faux-positif; je viens de recevoir l'email.

 

@++

[nanotek]

Bonsoir Apollo,

Merci pour ta réponse, mais n'ayant pas ton background en informatique, je vais prendre la liberté de te demander des précisions, pour être bien sûr d'avoir tout capté.

j'installe MBAM de temps en temps

Est-ce que tu veux dire qu'il est déjà installé, et que tu actionnes MBAM de temps en temps (après mise à jour des bases) ou alors... ?

Ma question n'est pas neuneu, car moi, je suis obligé de le désinstaller puis de l'installer à nouveau pour pouvoir m'en servir car je ne peux pas l'ouvrir une 2ème fois après le 1er scan ("erreur code 707" etc...)

Essaie un peu pour voir, de faire une mise à jour manuelle:

Que veux tu dire par là ? mbam pèse 3,87 Mo et mbam rules pèse 3,37 Mo. (Je viens de le télécharger)

Que fait mbam rules ? Est-ce qu'il fait seulement la mise à jour des bases ou autre chose ? Est-ce que je n'ai qu'à cliquer dessus et suivre la procédure ?

Si Kaspersky a mis des choses en quarantaine à cause des faux-positifs, rétablis ces objets.

KIS ne m'a encore jamais rien mis en quarantaine, mais si cela arrivait, comment fait-on pour "rétablir ces objets" ?

Merci pour ta patience...

Good night

Modifié le 27 octobre 2009 par nanotek

[Apollo]

Re,

 

Est-ce que tu veux dire qu'il est déjà installé, et que tu l'actionnes de temps en temps (après mise à jour des bases) ou alors... ?

 

Non, je le désinstalle lorsque j'ai fait quelques tests d'analyses; je considère en effet qu'il fait double -emploi vu que KIS est aussi un antimalware.

 

Je viens de le réinstaller à l'instant et je n'ai recontré aucun problème, ni d'install, ni de mise à jour.

 

Que fait mbam rules ? Est-ce qu'il fait seulement la mise à jour des bases ou autre chose

 

Il fait les mises à jour des bases, pas forcément les plus récentes mais cela sert surtout pour ceux qui doivent passer par une clé usb pour installer ce programme et le mettre plus ou moins à jour; cela permet de faire une première analyse hors net.

 

Kaspersky ne m'a jamais rien mis en quarantaine, mais si cela arrivait, comment fait-on pour "rétablir ces objets" ?

 

Il suffit de cliquer sur quarantaine et puis de faire un clic droit sur l'objet à restaurer puis un simple clic sur "restaurer" dans le menu déroulant.

 

Mais généralement, lors des mises à jour, la quarantaine est analysée à chaque fois et si besoin est, le logiciel rétablit de lui-même les fichiers qu'il vient de désinfecter ou qui ont été placés là à tort (lors d'un faux-positif par exemple)

 

Bonne nuit.

Modifié le 27 octobre 2009 par Apollo