Antivir et Heuristic/Exploit.HTML

cristobal61 · le 15 juin 2006

Manifestement, mon post initial est passé à la trappe au cours des problèmes techniques ayant affecté le forum ces 2 derniers jours... je le renouvelle donc.

Depuis la mise à jour quotidienne de mon antivirus (Antivir, maj du 13/06 vers le fichier 6.35.00.24 pour être précis), je reçois très fréquemment des avertissements m'indiquant qu'un élément contenant du code suspect a été détecté, et me demandant notamment quelle conduite tenir vis-à-vis de celui-ci (suppression, mise en quarantaine, ignorer, etc... pour l'instant je mets en quarantaine, je commence donc à avoir une belle collection).

Le malware supputé est "HEURISTIC/Exploit.HTML".

La détection de ce malware intervient en général au moment de l'ouverture d'une page internet par internet explorer (et notamment ma page d'accueil http://fr.sports.yahoo.com/). Le fichier abritant le malware est le plus souvent fadwithlandingspot[1].js (le problème s'est également produit avec d'autres fichiers de type ".htm").

Ce fichier fadwithlandingspot[1].js, comme les autres fichiers .htm ayant soulevé le problème, sont contenus dans le répertoire Local Settings\Temporary Internet Files\Content.IE5\xxxxxxxx (xxxxxxx étant variable selon les alertes).

La suppression des fichiers temporaires par l'outil Nettoyage de disque de windows comme par CCleaner n'a pas permis d'éradiquer le résultat (je constate au passage que ces opérations ne suppriment pas le contenu intégral du dossier content.IE5... je ne me suis pas risqué à effectuer cette opération manuellement).

La base de virus d'Antivir n'a aucune information à fournir au sujet de ce malware, et une recherche dans Google n'a pas été plus concluante.

Une nouvelle mise à jour de l'antivirus a eu lieu hier 14/06 (virus definition file 6.35.00.32) : le malware est toujours détecté, toujours dans le fichier fadwithlandingspot[1].js... il est désigné à présent par "HEUR.Exploit.HTML".

Quelqu'un peut-il me renseigner sur cet objet ? et éventuellement sur une conduite à tenir pour m'en débarasser ?

Merci par avance à qui pourra m'éclairer.

tornado · le 15 juin 2006

Bonjour cristobal61 et bienvenue sur le forum sécurité de zébulon,

On va sûrement devoir supprimer les fichiers infectieux à la main (en mode sans échec, ça ne devrait pas poser problème). CCleaner utilisé en mode normal est impuissant, comme tu l'as toi même remarqué.

Concernant le malware détecté pas Antivir, il existe une multitude de variantes différentes, c'est assez "flou" pour déterminer l'infection précisément.

En attendant, et étant donné que ton système est visiblement infecté, il te faut appliquer la procédure de pré-nettoyage => http://forum.zebulon.fr/index.php?showtopic=83986

Le rapport Hijackthis qui en ressort pourra sûrement nous aider

A+

Modifié le 15 juin 2006 par tornado

cristobal61 · le 15 juin 2006

Depuis le temps que j'envisageais de soumettre mon pc à cette procédure, en voici l'occasion. Je pense effectivement que l'opération ne sera pas superflue, y a un peu de ménage à faire...

Une question cependant, antivir étant déjà mon antivirus résident et habituel, est-il pertinent d'utiliser ce même antivirus dans le cadre de ce pré-nettoyage ?

Je précise, ayant omis de le signaler dans mon post initial, que j'ai scanné mon système avec Antivir suite à la survenue de ces alertes (mais pas en mode sans échec cependant), sans que rien de notable n'ait été détecté concernant les raisons qui m'amènent ici...

D'autre part, ad-aware et spybot, que j'utilise à l'occasion, sont-ils susceptibles de résoudre ce probème ? j'avoue que je me suis un peu précipité vers vos bons soins, sans penser à utiliser ces deux utilitaires au préalable.

De toutes façons, ne l'ayant jamais pratiqué, un nettoyage complet ne sera pas superflu.

Merci pour la rapidité de ta 1ère réponse.

A+

Modifié le 15 juin 2006 par cristobal61

tornado · le 15 juin 2006

Re,

Une question cependant, antivir étant déjà mon antivirus résident et habituel, est-il pertinent d'utiliser ce même antivirus dans le cadre de ce pré-nettoyage ?

Je ne pense pas qu'utitiser Antivir sera inutile, car en mode sans échec, il pourra sûrement supprimer des "bestioles" qu'il ne parvenait pas à éradiquer en mode normal (c'est dû au fait que Windows démarre le minimum de processus en mode sans échec ; or un grand nombre de malware correspond souvent à un processus démarré en mode normal, ce qui empêche leur suppression)

D'autre part, ad-aware et spybot, que j'utilise à l'occasion, sont-ils susceptibles de résoudre ce probème ? j'avoue que je me suis un peu précipité vers vos bons soins, sans penser à utiliser ces deux utilitaires au préalable.

Pas tout le temps, mais ils parviennent souvent à compléter le boulot de l'antivirus.

On va attendre le rapport Hijackthis pour voir à quelle(s) infection(s) précise on a affaire (certaines nécessitent des outils spéciaux, et Spybot ou Adaware ne peuvent rien y faire)

A+

Modifié le 15 juin 2006 par tornado

cristobal61 · le 15 juin 2006

Voilà, j'ai appliqué la procédure.

Résultats du scan Antivir : rien n'a été détecté, pas de pb de ce côté là a priori...

AntiVir PersonalEdition Classic

Report file date: jeudi 15 juin 2006 16:28

Scanning for 408372 virus strains and unwanted programs.

Licensed to: AntiVir PersonalEdition Classic

Serial number: 0000149996-WURGE-0001

Platform: Windows XP

Windows version: (Service Pack 2) [5.1.2600]

Username: Christophe

Computer name: CHRISTOPHE-V

Version informations:

AVSCAN.EXE : 7.0.0.42 557096 27/01/2006 18:33:26

AVSCAN.DLL : 7.0.0.42 53288 27/01/2006 18:33:26

LUKE.DLL : 7.0.0.42 118824 27/01/2006 18:33:26

LUKERES.DLL : 7.0.0.42 25640 27/01/2006 18:33:26

ANTIVIR0.VDF : 6.35.0.1 7371264 27/01/2006 18:33:26

ANTIVIR1.VDF : 6.35.0.5 2048 27/01/2006 18:33:26

ANTIVIR2.VDF : 6.35.0.7 113664 27/01/2006 18:33:26

ANTIVIR3.VDF : 6.35.0.32 64000 27/01/2006 18:33:26

AVEWIN32.DLL : 7.1.0.13 1536512 27/01/2006 18:33:26

AVPREF.DLL : 7.0.0.1 49192 27/01/2006 18:33:26

AVREP.DLL : 6.35.0.2 659496 27/01/2006 18:33:26

AVRPBASE.DLL : 7.0.0.0 2162728 06/05/2006 08:24:02

AVPACK32.DLL : 7.1.0.1 335912 27/01/2006 18:33:26

AVREG.DLL : 6.31.0.90 27688 27/01/2006 18:33:26

NETNT.DLL : 6.32.0.0 6696 27/01/2006 18:33:26

NETNW.DLL : 6.32.0.0 9768 27/01/2006 18:33:26

RCIMAGE.DLL : 7.0.0.71 1642536 27/01/2006 18:33:28

RCTEXT.DLL : 7.0.0.75 77864 27/01/2006 18:33:28

Configuration settings for the scan:

Jobname: '%s'.................: Local Drives

Configuration file............: C:\Program Files\AntiVir PersonalEdition Classic\alldrives.avp

Boot sectors..................: C,A,D

Scan memory...................: 1

Process scan..................: 1

Scan all files................: 1

Scan archives.................: 1

Recursion depth...............: 20

Smart extensions..............: 1

Skipped archive types.........: 1000,1001,1002,1003,1004,

Macro heuristic...............: 1

File heuristic................: 3

Primary action................: 8

Secondary action..............: 0

Start of the scan: jeudi 15 juin 2006 16:28

The scan over running processes will be started

14 Processes was scanned

Start scanning boot sectors:

Boot sector 'C:\'

[NOTE] No virus was found!

Boot sector 'A:\'

[NOTE] In the drive 'A:\' no data medium is inserted!

Starting to scan the registry.

The registry was scanned ( 31 files ).

Starting the file scan:

C:\pagefile.sys