Virus sur Thunderbird impossible à éliminer avec Kaspersky !

[Alphonse Rastibonne]

Bonjour !

Voilà, j'ai un problème avec Thunderbird.
J'ai des virus qui se sont implantés dans Thunderbird, il y a 36 objets exactement. Il y a quelques mois ils n'étaient que 20 seulement.
Cela fait peut-être un an que ça traîne désormais. Kaspersky, mon antivirus, les détecte bien et dans Thunderbird mais n'arrive pas à les éliminer. Le logiciel se met à tourner, une petite fenêtre s'ouvre en bas à droite et s'affiche constamment.
« Cheval de Troie », et aussi « objet dangereux ».

J'avais donc contacté Kaspersky, et ils m'ont demandé de suivre une procédure. Mais c'est une usine à gaz, je n'ai pas forcément tous les outils pour faire ce qu'ils me demandent (comme des Capture vidéo), et ils me demandent de cliquer et d'aller dans certains paramètres que je ne vois pas mais en vrai que je crois ne pas exister. On ne doit pas avoir le même logiciel ! Pourtant je ne suis pas totalement bigleux.

J'ai donc présenté mon problème à un ami geeck dans le logiciel libre, rien. Je suis allé voir deux professionnels, et ils n'ont rien pu faire non plus (mis à part réinstaller Windows (j'aimerais être sur Linux mais je suis obligé d'utiliser la commande vocale Dragon NaturallySpeaking… uniquement sur Windows…), mais comme je veux conserver mes données on est retourné au problème de départ : Kaspersky a détecté à nouveau les mêmes virus dans mon fichier Thunderbird !).
Je ne peux pas me résoudre à supprimer mes données anciennes, j'ai plein de courriels que j'aimerais consulter quand j'en aurai le besoin.
Par contre, je suis un peu inquiet car depuis quelque temps mes anciens courriels s'affichent en blanc quand je tente de les ouvrir : est-ce lié à ces virus ? Je sais pas. comme je faisais souvent des copies de disques durs en disques durs pour ne pas perdre mes données, c'est peut-être ça aussi.

Je vais en parallèle relancer Kaspersky pour une procédure longue et fastidieuse.
Il faut que j'élimine ces grosses bêtes qui m'empêchent de bien bosser : tant que je ne les ai pas j'évite les copies différentes sur les disques durs pour éviter me dit-on, la multiplication de ces virus. Donc mes données sont en péril car elles ne sont pas toujours en double.

Bref, en ce moment c'est le chaos, et j'aurais bien besoin d'un génie de Thunderbird pour me sortir de ce pétrin.

Merci à lui - ou à la communauté - par avance !

ps : Il y a indiqué exactement sur cette petite fenêtre :

« Sélectionnez la façon de traiter un programme malveillant ».
Détecté : HEUR Trojan.Win32. Generic
Emplacement : C etc.
Impossible de désinfecter l'objet détecté.
« Ignorer »
O Appliquer à tous les objets de ce type

[Jean-Claude]

Bonjour.

Emplacement : C etc.

Tu masques précisément ce qui est le plus important.
Qu'y a-t-il exactement derrière cet "etc"? On devrait y trouver le nom du dossier impacté.

A+

[Alphonse Rastibonne]

Tu masques précisément ce qui est le plus important.
Qu'y a-t-il exactement derrière cet "etc"? On devrait y trouver le nom du dossier impacté.

Merci.
J'ai fait une capture d'écran mais je ne sais pas comment l'intégrer à ce message dans ce forum.
J'ai recopié au moins une ligne :
C:\Users\Bastien\AppData\Roaming\Thunderbird\Profiles\dlmbjjhi.default\Mail\ssl.ovh.net\Inbox//[From<collectionse.mail@freightquote.com>][Date21jan2021 15:56:51][Subj Message has been disinfected :[SPAM] New Invoice(s) for C351557]/1_Total New Invoices-Thursday January 21_2021.xlsm

Évidemment, je n'ai pas réussi à trouver ce fichier directement en cherchant dans Windows.
Il a été trouvé par le SAV de ma petite ville, mais malgré ça impossible de supprimer ce fichier.
On m'a aussi dit que ça pouvait venir de Kaspersky qui détecte quelque chose qui n'est pas un virus au final (!).

[Jean-Claude]

Bonjour,

Selon le message d'erreur, il s'agit d'un message provenant de
Collectionse.mail@freightquote.com, datant du 21 janvier 2021.
Apparemment, il a déjà été désinfecté, et ne présente donc plus de risque.
Y a-t-il une pièce jointe .xlsm dans ce message ?

Ce message est dans le dossier "courrier entrant" ( inbox) de ton compte OVH.
Dans Thunderbird, tous les mails sont regroupés, selon le dossier, dans un seul fichier, ici donc "inbox". Tu ne trouveras donc, normalement, jamais un fichier isolé, correspondant à ce seul message.
Il est possible de configurer sa messagerie Thunderbird, de manière à ce que pour chaque message, il n’y ait qu'un seul fichier .eml. Mais c'est une autre histoire.

Pour info
Pour insérer une copie d'écran dans le forum, dépose ta copie d'écran sur un serveur public, ouvert à tous, H24, comme https://www.zupimages.net/ .
Après validation, le site te retournera un lien "BBCode (forum)" vers l'image qu'il suffira de copier ici dans le forum.

A+

[lool_lauris]

Salut,

Pour insérer une copie d'écran dans le forum, dépose ta copie d'écran sur un serveur public, ouvert à tous, H24, comme https://www.zupimages.net/ .
Après validation, le site te retournera un lien "BBCode (forum)" vers l'image qu'il suffira de copier ici dans le forum.

Attention avec zupimages, ce truc impose l'installation d'une extension (enfin presque, il faut attendre une 15zaine de secondes pour ignorer le message imposant l'installation du truc... c'est long 15 secondes).
Il me semble qu'il est préférable d'utiliser un autre hébergeur qui n'impose rien, celui-ci par exemple https://fr.imgbb.com/ mais il y en a d'autres.

viewtopic.php?p=965280#p965280
viewtopic.php?p=967229#p967229

[Alphonse Rastibonne]

Bonjour Jean-Claude !

Merci.
Le problème, c'est que je n'ai jamais réussi à trouver ce message (en reprenant cette adresse courriel et en faisant une recherche dans le moteur de Thunderbird). A priori les réparateurs de ma ville ont réussi à le trouver, mais ils n'arrivaient pas à le supprimer. Donc je peux pas vous dire si il existe une pièce jointe .xlsm.
Il n'existe pas sur le Web mail, et je n'ai pas de compte OVH (@mailoo.org et neutralite.org sont les noms de domaine que j'utilise… mais il est vrai que j'ai eu un ancien compte avec OVH, que j'ai supprimé depuis belle lurette… peut-être une piste).

D'accord, merci pour la formation concernant les fichiers isolés.

@lool_lauris : merci beaucoup !

Voici les captures d'écran de ce que me dit Kaspersky :
https://ibb.co/rKP7Xm4Z
https://ibb.co/mV9qyt0N
https://ibb.co/Rk8p8pKn
https://ibb.co/m54xNB87
https://ibb.co/hJCSm3yM

merci ! Si je ne donne pas de réponse la semaine prochainesi je serais loin des écrans pendant cinq jours…
Merci beaucoup pour votre aide en tout cas.

[Alphonse Rastibonne]

ps : est-ce que vous pensez qu'au vu de la faible dangerosité (?) de ces virus, je peux continuer à copier les données d'un disque dur à un autre, sur un NASS etc. sans me préoccuper de ce que détecte Kaspersky ? Merci beaucoup

[lool_lauris]

Et pourquoi ne supprimerais-tu pas les messages incriminés avant toutes copies ?

[Jean-Claude]

je n'ai pas de compte OVH (@mailoo.org et neutralite.org sont les noms de domaine que j'utilise… mais il est vrai que j'ai eu un ancien compte avec OVH, que j'ai supprimé depuis belle lurette… peut-être une piste).

Pourtant le chemin vers inbox indique celui d'un compte POP OVH.
C:\Users\Bastien\AppData\Roaming\Thunderbird\Profiles\dlmbjjhi.default\Mail\ssl.ovh.net\Inbox
S'il s'agit d'un ancien compte que tu as supprimé dans Thunderbird, le répertoire dédié à ce compte ne l’a manifestement pas été, et Kapersky a analysé ce vieil inbox.
Vérifie l'existence de ce répertoire dans le profil, et supprime-le.
Dans tes copies d'écran, la majorité des cas détectés concerne ce compte OVH.

Un cas concerne ton compte mailoo.org, et un autre ton compte net-c.mail.

ps : est-ce que vous pensez qu'au vu de la faible dangerosité (?) de ces virus, je peux continuer à copier les données d'un disque dur à un autre, sur un NASS etc. sans me préoccuper de ce que détecte Kaspersky ? Merci beaucoup

Les deux cas concernant mailoo.org et net-c.com sont des messages des années 2015.
Peux-tu les retrouver dans ces deux comptes et les supprimer ?
Tu as sans doute fait de multiples copies depuis lors.
Un virus réside normalement dans les pièces jointes. Tant que tu n’ouvres pas ces pièces jointes, il n’y a pas de risques. De plus ton antivirus devrait empêcher leur ouverture.

PS
Pour aller dans le profil de Thunderbird : menu > Aide > informations de dépannage > dans le volet bleu, à la rubrique "Dossier du profil", clique sur le bouton "Ouvrir le dossier correspondant" > tu te retrouveras dans le profil avec l'explorateur de Windows > Ferme Thunderbird, mais laisse l'explorateur ouvert. Descends dans le sous-répertoire "mail". Tu devrais y retrouver le répertoire ssl.ovh.net dédié à ton ex-compte OVH.


A+

[Alphonse Rastibonne]

Merci beaucoup pour vos retours !
Je vais regarder ça bientôt. Pour l'instant j'ai une semaine où je n'utilise pas mon téléphone et mon PC, je reviendrai vers vous une fois que j'aurais fait ce que vous me préconisez.
Bonne semaine !

[Alphonse Rastibonne]

Bonjour !

J'ai pris le temps de regarder problème.

@lool_lauris : parce que je n'arrive pas à retrouver les messages incriminés quand je fais une simple recherche avec Thunderbird !

@Jean-Claude :
Oui effectivement, j'avais à l'époque un compte POP OVH. J'ai tout supprimé. Et les fichiers et les dossiers. Et depuis le profil de Thunderbird, et aussi sur la sauvegarde que j'ai en plus (a priori j'arrive à tout supprimé, que ce soient les dossiers ou les fichiers, j'ai fait une recherche avec Windows « OVH », et j'ai supprimé carrément tous les fichiers qui portaient dans leur nom « OVH », rien à faire il reste toujours une relique (dans le dossier de profil mais pas celui en copie sur mon bureau) d'un dossier : ssl0.ovh-1.net, mais qui paraît « vide »).

Alors, je suis retombé à 15 erreurs, mais il ne me semble pas être à nouveau débarrassé des virus du début malgré ces modifications. Bizarre donc !

Donc j'ai recherché celui sur @mailoo :
qwer@mcfJaoNzLyn.com
et je l'ai trouvé ! Mais impossible de le supprimer depuis Thunderbird. Évidemment quand j'essaie de l'ouvrir (car je suis curieux je veux voir cette fameuse pièce jointe…), le message est blanc (comme tous les autres qui sont anciens). Blocage de Kaspersky ou bien virus qui crée des dégâts ou bien problèmes de copie à force d'en faire ?
Je ne l'ai pas fait pour les autres, car j'imagine que je vais avoir le même problème.

Mince alors, je crains d'être dans une impasse…

[Jean-Claude]

Bonjour,

Ce compte Mailo est-il en pop ou en imap ?
Un message vide peut être le résultat d' un index ( en-tête du message) corrompu, c-à-d un index qui pointe vers des messages qui n’existent plus.
Dans un premier temps, vois ce que donne une réinitialisation de l'index du dossier concerné. Pour cela, clique droit sur le dossier concerné > propriétés > réparer le dossier.

A+

[Alphonse Rastibonne]

Bonjour Jean-Claude,

Merci encore pour les explications.

ce compte est en POP. J'aurais bien aimé qu'il soit en IMAP… je l'avais mis en POP à l'époque car je voulais que les courriels soient sur mon PC, et donc avoir des doublons, et ne jamais les perdre.

Bon, j'ai donc réparé le dossier des courriers entrants comme vous me l'aviez indiqué. Les courriels vides n'existent plus (et ils formaient la majorité des courriels reçus… a priori…). Malheur ! « L'opération s'est très bien déroulée. - Et comment se porte le patient ? - Il est décédé ! »
Je pense qu'il fallait attendre un peu pour que les logiciels Kaspersky et Thunderbird repèrent la nouveauté, maintenant il n'y a que deux virus détectés. Voici :
https://ibb.co/B5JHd2N8

Cette fois-ci, après avoir recherché l'adresse courriel qui est indiquée par Kaspersky et que j'avais repris dans un message précédent (qui est la même, c'est aussi la même date, on dirait que le même problème est détecté deux fois), je ne la retrouve plus dans Thunderbird.
Peut-être qu'elle vient de ma copie de sauvegarde ? Donc j'ai regardé, mais a priori les sauvegardes fonctionnent par paquets, je ne peux pas chercher courriel après courriel. Ce n'est comme dans un fichier classique où je pourrais rechercher message par message par exemple. Donc cela voudrait dire qu'il faudrait que je supprime le inbox de pop.mailo de la copie de sauvegarde ?

Mais si cela fonctionne par « paquets » (je n'ai pas le nom exact !), alors je ne pourrais pas simplement faire un couper/coller dans le dossier actuel de Thunderbird pour que je retrouve tous les messages qui ont pu être sauvegardés dans ce dossier de sauvegarde ? J'imagine que ça ne doit pas être si simple…

merci encore !

[Jean-Claude]

Bonjour,

Si "réparer le dossier" n’a pas donné les résultats escomptés, tu peux effectuer une opération similaire pour forcer la réinitialisation des index.
L'adresse des deux cas concernés est donnée dans les messages d'erreur. Il ne s'agit pas de ta sauvegarde, mais des répertoires dédiés à tes comptes Mailoo et Net-c, dans le profil courant.
Pour cela, va dans le profil de Thunderbird ( j'ai indiqué le chemin dans une réponse ci-dessus), fermeThunderbird, mais pas l'explorateur,
descends ensuite dans le répertoire "mail", ensuite dans le répertoire " pop.mailoo.org",
dans ce répertoire supprime le fichier index du dossier "courrier entrant", soit inbox.msf.
Remonte ensuite d'un niveau dans l'explorateur de Windows,
et descends dans le répertoire "mail.net-c.com",
supprime-y le fichier inbox.msf.
Redémarre Thunderbird, les deux fichiers index seront reconstruits automatiquement par Thunderbird.

A+
,

[Alphonse Rastibonne]

Bonjour Jean-Claude,

Merci encore pour l'explication.

Si, « réparer le dossier » avait permis justement de supprimer un paquet de virus (ou vus comme tels par Kaspersky…). Il en reste seulement deux. C'est déjà un bon dégrossissement !

Alors, j'ai fait ce que vous m'avez dit, mais a priori ça n'a rien donné.

Dans le dossier « courrier entrant », on ne voit pas directement qu'il y a un fichier inbox.msf (il y a juste des fichiers qui portent le nom des dossiers dans mon courrier entrant que j'avais créés).
Par contre, quand je fais une recherche dans ce dossier en écrivant « inbox.msf », alors là j'ai trouvé des fichiers. Du coup j'ai supprimé tous ces fichiers. Malgré ça, rien de nouveau.
(Je viens de redémarrer mon PC pour voir, puisque la dernière fois c'est en redémarrant le PC que j'ai vu qu'il y avait beaucoup de virus qui avaient disparu. Malgré ça, rien encore)

Bonne fin de semaine et merci