Trojan ScrInject.B non supprimé par ESET [résolu]

[Clinquart]

Bonjour,

Je ne sais pas si le sujet spécifique a été traité dans une précédente discussion, si oui je veux bien que vous me renvoyiez dessus, mais je pense avoir déjà fait (sans succès) les manips courantes.

J'ai lancé des antimalwares suitre à des notifications de sécurité de à répétition de Windows il y a 2 ou 3 jours (je n'avais que très peu de réseau et donc peu de moyens pour désinfecter là où j'étais et n'ai donc pu commencer à m'en occuper qu'hier).

L'infection a été détectée par ESET, avec quelques autres que le programme a réussi à nettoyer et mettre en quarantaine.

ESET n'est pas parvenu à supprimer ce trojan, ni en mode normal ni en mode sans échec.

Malwarebytes et RogueKiller, pour leur part, ne détectent pas le trojan.

Je suis sur Windows 11, à jour.

Voici le rapport et les chemins d'accès révélés par ESET :
28/04/2024 08:29:57
Fichiers analysés: 863146
Fichiers détectés: 4
Fichiers nettoyés: 0
Temps d'analyse total 02:39:09
État de l'analyse: Terminé
C:\Users\rclin\AppData\Roaming\Thunderbird\Profiles\cpzutktr.default-release\Mail\Local Folders\Georges & co.sbd\IMMOBILIER.sbd\Argenteuil HS HTML/ScrInject.B trojan unable to clean
C:\Users\rclin\AppData\Roaming\Thunderbird\Profiles\ehcjoqcs.default-release\Mail\Local Folders\IMMOBILIER.sbd\Argenteuill HS HTML/ScrInject.B trojan unable to clean
D:\BACKUP\Thunderbird\Profiles\cpzutktr.default-release\Mail\Local Folders\Georges & co.sbd\IMMOBILIER.sbd\Argenteuil HS HTML/ScrInject.B trojan unable to clean
D:\BACKUP\Thunderbird\Profiles\ehcjoqcs.default-release\Mail\Local Folders\IMMOBILIER.sbd\Argenteuill HS HTML/ScrInject.B trojan unable to clean


A noter que le sous-dossier de Thunderbird "Argenteuil HS" dans lequel se trouve le trojan pourrait être supprimé (manuellement) sans problème car c'est un dossier d'archives peu important pour moi, mais j'imagine bien que ce n'est pas si simple...

Merci d'avance pour votre aide.

Bon dimanche.

Régis

[Parisien_entraide]

Bonjour

Malekal ou Angélique s'occuperont de ton cas mais pour cela

La procédure de Malekal
__________________
Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST,
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :
* FRST.txt
* Shortcut. ----> Ne pas oublier de cocher la case qui figure sur l'écran d'accueil
* Additionnal.txt

Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

(Les liens bleus mènent à des tutoriels explicatifs pas à pas, clic dessus pour avoir les instructions plus précises à suivre).

[Clinquart]

Merci beaucoup, je vais faire cela !

[Clinquart]

Les rapports générés :

https://pjjoint.malekal.com/files.php?i ... 3e11c10h13

https://pjjoint.malekal.com/files.php?i ... 0z12i13w13

https://pjjoint.malekal.com/files.php?i ... 13f86z8w15

[angelique]

Salut

apparemment c'est une pièce jointe dans ton Thunderbird dans ton dossier IMMOBILIER\Argenteuil

A noter que le sous-dossier de Thunderbird "Argenteuil HS" dans lequel se trouve le trojan pourrait être supprimé (manuellement) sans problème car c'est un dossier d'archives peu important pour moi, mais j'imagine bien que ce n'est pas si simple...

Si, c'est aussi simple ;)

Y'a une configuration dans Thunderbird:

Outils puis sur Options. Cliquez sur l'icône Confidentialité. Ouvrez ensuite l'onglet Antivirus. Cochez alors la case Permettre aux logiciels antivirus de mettre individuellement en quarantaine les messages entrant.

sinon les rapports paraissent corrects.

[Clinquart]

Merci beaucoup, Angélique ! Ouf !

Y a-t-il un moyen de savoir quel est le mail ou quels sont les mails contenant le trojan, ou faut-il forcément que je supprime tout le dossier(je préférerais le conserver, mais il n'est pas indispensable non plus, comme je l'expliquais plus haut).

Question subsidiaire : est-ce que ce trojan a pu être actif (exécuté...) et donc est-ce que je dois changer tous mes mots de passe (soit plusieurs centaines, gérés par un gestionnaires de mots de passe crypté, mais à supposer que mon mot de passe maître ait été capté par un keylogger... :-( ) ?

[Clinquart]

Autre chose : il n'y a pas de menu "Options" dans les Outils Thunderbird mais j'ai trouvé la section confidentialité dans les Paramètres.
La case "Permettre aux logiciels antivirus de mettre individuellement en quarantaine les messages entrants" était déjà cochée (visiblement, cela n'a pas fonctionné pour mon trojan...).

[angelique]

Je ne saurais te dire le quel mail.

HTML/ScrInject est une détection générique des pages HTML contenant des scripts masqués ou des tags iframe qui lancent automatiquement le téléchargement de malwares

Donc un lien Web dans un mail

[Clinquart]

OK, je vais supprimer tout le doss, merci.

Quid de ma question sur le risque de corruption des mots de passe ? Merci de votre réponse, cela m'inquiète.

Et enfin, pour essayer d'éradiquer le trojan, j'ai télécharge et installé, en plus de Windows Defender qui était déjà sur le PC, Malwarebytes, ESET et RogueKiller, tous en versions gratuites ou d'essai.

Or, j'imagine qu'il y a des risques de conflits.

Est-ce que je dois tous les désinstaller ou non ? Si je ne dois en garder qu'un, en plus ou en remplacement (je veux bien votre avis de spécialiste sur cette question) de Windows Defender, lequel ou lesquels devrais-je garder ? Même en version payante. Pour moi, l'essentiel c'est d'être bien protégé...

[angelique]

Laisse juste Windows defender.

Les rapports sont corrects, pas d'infections actives.

La détection ESET peut aussi être un faux positif.

uppression de FRST

Pour supprimer automatiquement tous les fichiers/dossiers créés par FRST et l'outil lui-même, renommez FRST/FRST64.exe en uninstall.exe et exécutez-le. La procédure nécessite un redémarrage

[Clinquart]

Merci beaucoup.
Bonne fin de journée.

[Clinquart]

Don envoyé.

[angelique]

Reçu mais ce n'était pas necéssaire

[Parisien_entraide]

Petit conseil ; Dans ton navigateur colle Ublock origin

Dans ce lien cela parle de firefox, mais il existe le meme programme pour Chrome/chromium (même si moins efficace) avec tous les tutos du site
viewtopic.php?p=527443/

Ensuite pour une protection plus globale sur les scripts ; Hardentools
viewtopic.php?t=60030 (pour certains points détail)
et le tuto du site
https://www.malekal.com/hardentools-securiser-windows/

[Clinquart]

Reçu mais ce n'était pas necéssaire

Pas nécessaire mais bien naturel.