1) Présentation importante :

Après une expérience que le-marocain.net a vécu directement avec ce virus malveillant, et qui a causé de sérieux dégâts, le-marocain.net s’est vu dans l’obligation de créer cet article/tutoriel pour expliquer en détail toute la démarche de désinfection qui as été utilisé

cet article est destiné a des webmasters, ou des personnes qui ont une connaissance technique dans le web (un minimum) : notamment pour le langages html et JavaScript , utilisation d’un éditeur html, et un client FTP

Cet article va être utile dans le cas où vous n’avez pas une copie de sauvegarde de votre site identique à celle en ligne, mais si par contre vous avez une copie du site qui n’est pas infecter et où il n’ ya pas de grand décalage entre le site en ligne et sa copie, le problème ne se pose plus , il suffit de supprimer tous le contenu infecté en ligne et d’charger la copie intacte vers le serveur,

(malheureusement c’était pas notre cas, il y a avait un grand décalage en terme de modification, entre le version en ligne, et la copie de sauvegarde) .

Bien sur avant l’écriture de cet article on a fait une recherche sur le net sur une solution de désinfection du virus seine et sans perdre de fichier ( mais on n’ a pas trouver grand-chose) , car en a fait une analyse avec notre antivirus et malheureusement en plus de supprimer le virus il supprime tous les fichier infecté , sinon ils les met en quarantaine , d’où la manœuvre qu’on va expliquer plus en bas )

2) observant l’ennemie :

D’après notre observation à l’issus de l’incident on a pu remarquer que HEUR:Trojan-Downloader.Script.Generic est un virus qui s’attaque à des pages html et js et spécialement a des page qui port les noms index.php ou index.html et tous les fichier JavaScript (*.js) qui y sont liés, le virus ajoute à la fin du code source de ces fichiers un bout de code en javascript : qui ressemble à ça :

Et c’est un antivirus qui va vous faire savoir que le site que vous essayer d’ouvrir est infecté avec le dit virus , dans notre cas on a eu ce message de Kasperskay à l’ouverture du site infecté :

( normalement tous les autre antivirus connu et mise à jour vont détecter le virus ) Sinon , sans antivirus , il sera difficile de le remarquer

3) neutralisant l’ennemie :

Après avoir eu connaissance de notre ennemie (HEUR:Trojan-Downloader.Script.Generic), on va pouvoir le neutraliser comme suite :

NB : dans cet tutoriel on a utiliser les logiciel suivant :

• KASPERSKAY : comme antivirus,
• ADOBE Dreamweaver : comme éditeur web ,
• et FIleZilla comme : client FTP

A) Récupérer votre site web en local à l’aide d’un client FTP :

B ) Ouvrer le dossier du site décompressé à l’aide de votre editeur web :

On cliquant sur « site dreamweaver » vous aller avoir un assistant qui vous aide à créer un dossier de site web pour le dossier en question, pour faciliter sa gestion en totalité pour les recherche des bouts de code sur tous le site à la fois :

En suivant l’assistant vous aller définir le dossier infecté comme site web dreamweaver

C) faite une analyse à l’aide de votre antivirus du dossier décompressé :

et si l’antivirus vous demande de supprimer ou mettre en quarantaine un fichier sous peine qu’il n’ pas pu le désinfecter, refuser ou cliquer sur ignoré et coché la case pour tous les cas similaire , car le but de cette analyse et d’avoir la liste des fichiers infecter pour une désinfection manuelle . Faite un imprime écran de cette liste :

D) désactiver votre antivirus : (pour qu’il ne surprime pas les fichiers infecté à leur ouverture) :

E) Repérer le code malveillant :

F) faite un CTRL + F , pour faire une recharche de ce code sur tous le site en cours :

• Rechercher dans = Site local en cours entier ( notre site en question bien sûr )
• Rechercher = Code source
• Rechercher (la 2eme)= ( le bout de code qu’on a sélectionné avant)
• Remplacer = (doit être vide )

G) Réactiver votre antivirus

4) Prévention pour l’avenir

• Penser a modifier votre mot de passe ftp régulièrement, car il se peut qu’une personne a pu récupérer votre compte et insérer ce virus, si ce n’est pas vous même qu’il a fait involontairement,
• tachez d’avoir une copie non infecté de votre site en locale qui sera identique à celle en ligne pour éviter tout cette manœuvre qu’on a vu ensemble la prochaine fois
• faite des mises à jour et des analyses avec votre antivirus régulièrement
• soyez plus prudent la prochaine fois ;)