Fichier Infecté Par Trojan.downloader.gadja.a Impossible À Traiter

En faisant une analyse antivirale comme chaque jour BitDefender a trouvé hier un fichier in1.tmp comme étant infecté par Trojan.Downloader.Gadja.A

Or impossible de le supprimer ou de le désinfecter. Tout ce que je peux faire c'est le placer en quarantaine mais apparement il reste dans à son emplacement étant donné qu'à chaque analyse il le redétecte et que je ne peux à chaque fois que la placer en quarantaine.

Si je cherche à l'effacer manuellement un message me dit que c'est impossible et j'ai un message d'alerte de BitDefender me disant qu'il l'a bloqué. De même avec un utilitaire de nettoyage (ClearProg ici).

Quelqu'un a une idée, s'il vous plait ?

Nous vous invitons à suivre le guide disponible au lien ci-dessous :

http://supportep.fr/4/BD-2009-GreenV3.pdf

/!\ Attention : procéder à une désinfection comporte toujours un risque (minime mais bien présent), aussi, nous vous conseillons de procéder à des sauvegardes de vos documents si vous l'estimez nécessaire avant de suivre nos recommandations.

Ceci effectué, installez puis exécutez pour finaliser l'outil Microsoft disponible à ce lien :

http://www.microsoft.com/downloads/details...b3-75b8eb148356

Ensuite, exécutez de même l'outil Anti-Downadup disponible à ce lien qui fera une rapide analyse complémentaire (dans une fenêtre noire) :

ftp://ftp.editions-profil.fr/support/Remo...ti-Downadup.exe

/!\ : NE PASSEZ PAS A LA SUITE SANS AVOIR REALISE LES POINTS CI-DESSUS SINON LES RAPPORTS SERONT INCOMPLETS.

*********************************************************

> Si les codes malveillants semblaient toujours se manifester malgré les manipulations données dans ce guide, veuillez nous fournir :

>> Vos rapports runscanner :

Pour ceci, exécuter le logiciel disponible au lien ci-dessous :

ftp://ftp.editions-profil.fr/support/runscanner1-6.exe

- Une fenêtre s'ouvrira dans laquelle il faudra cocher la case "Beginner mode" puis cliquer sur "Ok".

- Il vous faudra ensuite sur la prochaine fenêtre cocher en supplément la case "Save a binary .run file (optional)" et cliquer en bas sur "Start full computer scan".

- Deux écrans s'afficheront l'un après l'autre vous proposant l'enregistrement de deux fichiers qu'il faudra ensuite nous faire parvenir en pièces jointes.

>> Votre rapport Logs-BD.tar :

Pour obtenir cet élément exécutez le fichier disponible au lien ci-dessous :

ftp://ftp.editions-profil.fr/support/Logs-BD.exe

Ceci générera sur votre bureau le fichier "Logs-BD" qu'il faudra joindre à l'email de réponse.

A noter que je pense savoir quel site m'a refilé ce problème.

Il s'agirait du site album.fr (le réseau de librairies).

Un ami sous Mac m'a signalé qu'en essayant d'y aller un message de Safari lui a déconseillé du fait de la présence de Code Malveillant.

M'y étant connecté au moment où j'ai eu le premier message de blocage je suppose que c'est sans doute lié.

Effectivement, par contre il faudrait lancer Combofix en mode sans echec,

Faites un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe

Cordialement,

-Max-

Merci de votre réponse.

J'ai fait comme indiqué et je joins le fichier obtenu après exécution de Combofix en mode sans échec avec le glisser/déposer du fichier CFScript.

A noter que BitDefender m'a indiqué que le fichier in1.tmp infecté était toujours là et qu'il l'avait (une nouvelle fois) bloqué.

Re,

J'ai refait le patch à appliquer sur combofix, par contre il faut vraiment le faire en mode sans échec sinon cela ne fonctionnera pas.

Les rapports indiquent que les manipulations faites sont en mode normal, pour démarrer en mode sans échec,

http://www.malekal.com/modesansechec.php

Cordialement,

-Max-

En fait Combofix redémarrait en cours de route. Cette fois je l'ai forcé à le faire en mode sans échec jusqu'à la fin de l'analyse.

Je joins le fichier obtenu mais je vous signale le fichier in1.tmp infecté demeure présent.

Il faudrait le supprimé manuellement, et lancer une analyse approfondie de Bitdefender avec suppression.

Cordialement

-Max-

J'ai déjà essayé de le faire aussi bien sous XP classique qu'en Mode Sans Echec. Il est marqué Suppression Impossible car le fichier est soit protégé sous utilisé actuellement.

De même avec BitDefender la désinfection et la suppression ne marchent pas (il y a marqué échec de ...) et je ne peux que le mettre en quarantaine (mais il reste présent au même endroit).

Par contre il y a désormais marqué in2.tmp comme nom du fichier infecté (et plus in1.tmp).

Il se situe où sur la machine?

Au même endroit, dans C:\Documents and Settings\Florent\Local Settings\temp

je vous ai fait un petit ****** combofix a effectuer en mode sans échec:

Je viens de faire comme vous m'avez indiqué (je joins d'ailleurs le rapport de Combofix).

Par contre un fichier infecté est toujours présent dans C:\Documents and Settings\Florent\Local Settings\temp (et que je ne peux que placer en quarantaine) et s'appelle une nouvelle fois in1.tmp

J'ai l'impression d'être dans Un jour sans fin ...

Est'il possible de prendre le contrôle à distance de la machine?

Apparement oui.

Je suis allé dans les Propriétés du Poste de Travail et dans l'onglet A Distance Autorisez l'envoi d'invitations d'assistance à distance à partir de cet ordinateur est coché. De même dans le menu qui apparait en cliquant sur Avancées.

Vous souhaitez opérer ainsi ? Je ne l'ai jamais encore fait (et ne sait donc pas vraiment comment faire).

Et executez a chaque fois, autorisez toutes les alertes par oui ou ok.

Cordialement,

-Max-

Après avoir redémarré mon ordinateur j'ai lancé une analyse Spybot puis une de BitDefender Approfondie.

Une fois cette dernière terminé il m'a indiqué avoir trouvé deux fichiers infectés. Il s'agit de ces deux :

C:\System Volume Information\_restore{188E40F0-ED0E-4229-A9C6-C6CA03F40F1B}\RP2\A0000793.old

C:\Qoobox\Quarantine\C\Documents and Settings\Florent\Local Settings\temp\in1.tmp.vir

BitDefender m'a indiqué qu'il étaient contaminés par Trojan.Gadja.Injected et qu'il les a supprimés.

A noter que le fichier in1.temp (que j'efface désormais à chaque démarrage) a été indiqué comme bloqué du fait de la présence de Trojan.Gadja.Injected.A (alors qu'au début de mes problèmes il était indiqué comme contaminé par Trojan.Downloader.Gadja.A).

EDIT : Et après redémarrage après toutes ces analyses in1.temp est toujours présent (et contaminé par Trojan.Gadja.Injected.A) avant que je l'efface.

Qu'a donnez l'analyse avec le live CD bitdefender?

Cordialement,

Max

Bonjour,

J'ai eu la même chose sur mon PC. En fait ce virus (chez moi nommé trojan.gadja.injected.a) renomme le fichier USERINIT.EXE de votre dossier \system32 en stu2.exe (ou peut-être un autre nom).

J'ai vu que la date de mon userinit.exe était trop récente pour être honnête. J'ai donc fait une recherche de tous les userinit.exe que j'avais dans \windows et sous dossiers. J'en ai trouvé un notamment dans le dossier du service pack et il n'avait pas la même taille (26 Ko contr 17 pour l'intrus).

Je l'ai comparé en mode binaire (avec araxis merge) à stu2.exe et les deux fichiers (mon userinit.exe original et stu2.exe) étaient exactement les mêmes. J'ai donc renommé le userinit.exe de 17 ko en .OLD et renommé le stu2.exe en userinit.exe.

Après quelques prières de circonstances et deux ou trois chèvres sacrifiées (après un bon backup!!!), j'ai eu le courage de rebooter mon PC et la joie de constater que je n'avais plus aucun fichier temporaires vérolés et non supprimables par BitDefender.

Si ça marche pour vous également, c'est un grand plaisir !

Bonne journée !

Dan