Supprimer Backdoor:ASP/Webshell.G!MSR : guide complet

Qu'est-ce que Backdoor:ASP/Webshell.G!MSR ?

Backdoor:ASP/Webshell.G!MSR est le nom d'une détection utilisée par Microsoft pour identifier un fichier associé à la famille des webshells ASP. Microsoft référence cette détection parmi les menaces de type Backdoor:ASP/Webshell et indique une date de mise à jour de la détection au 12 mars 2020.

Le terme Backdoor signifie porte dérobée. Dans le contexte d'un webshell, cette porte dérobée prend généralement la forme d'un fichier exécuté par un serveur Web et pouvant donner à un attaquant une capacité d'action à distance.

Le terme ASP fait référence à une technologie Web côté serveur utilisée notamment dans des environnements Microsoft. Un fichier ASP légitime n'est donc évidemment pas dangereux par nature. C'est son contenu, son emplacement, son origine et son utilisation qui permettent de déterminer s'il est légitime ou malveillant.

Microsoft indique que Microsoft Defender Antivirus détecte et supprime les menaces de la famille Backdoor:ASP/Webshell. Les informations techniques disponibles sur les variantes de webshell montrent qu'elles peuvent être utilisées pour maintenir un accès à distance à un environnement compromis.

Qu'est-ce qu'un webshell ASP ?

Un webshell est un programme ou un fichier placé sur un serveur Web afin de fournir une interface permettant à un attaquant d'interagir avec la machine à travers le serveur.

Dans le cas d'un webshell ASP, le fichier est généralement écrit ou intégré dans du code pouvant être interprété par un serveur compatible avec ASP. Une fois installé sur un serveur vulnérable ou compromis, ce fichier peut devenir un moyen de contrôle à distance.

Pourquoi les webshells sont-ils dangereux ?

Un webshell peut notamment servir à :

• exécuter des commandes à distance ;
• consulter ou modifier certains fichiers accessibles au compte du serveur Web ;
• déposer d'autres fichiers malveillants ;
• maintenir un accès après une première intrusion ;
• récupérer des informations accessibles depuis l'environnement compromis ;
• préparer d'autres actions malveillantes.

Les possibilités réelles dépendent cependant des droits accordés au compte utilisé par le serveur Web, de la configuration du système, des protections présentes et de la manière dont l'attaquant a obtenu l'accès initial.

Les webshells sont particulièrement préoccupants sur les serveurs exposés à Internet. Une vulnérabilité dans une application Web, une mauvaise configuration ou des identifiants compromis peuvent permettre à un attaquant de déposer un fichier qui sera ensuite exécuté par le serveur.

Pour mieux comprendre les vulnérabilités qui peuvent exposer un ordinateur ou un serveur, consultez également notre guide consacré aux vulnérabilités logicielles.

Pourquoi Microsoft Defender détecte cette menace ?

Microsoft Defender peut détecter un fichier parce que son contenu ou son comportement correspond à une signature ou à des caractéristiques associées à un webshell connu.

La détection Backdoor:ASP/Webshell.G!MSR ne doit donc pas être interprétée comme le nom d'un programme classique que l'utilisateur aurait installé. Il s'agit d'une identification antivirus destinée à signaler un fichier considéré comme malveillant.

Microsoft indique pour cette détection un niveau d'alerte severe. Cette classification explique pourquoi une alerte de ce type mérite une vérification sérieuse, particulièrement lorsque le fichier est situé dans un répertoire Web, sur un serveur ou dans un environnement professionnel.

Une détection ne donne pas toujours toute l'histoire

L'antivirus peut identifier le fichier malveillant, mais cela ne permet pas nécessairement de déterminer à lui seul :

• comment le fichier est arrivé sur la machine ;
• quelle vulnérabilité a éventuellement été exploitée ;
• si un compte a été compromis ;
• si d'autres fichiers ont été ajoutés ;
• si des paramètres ont été modifiés ;
• si l'attaquant a pu accéder à d'autres ressources.

C'est pourquoi une suppression réussie doit être suivie d'une vérification de l'environnement.

Où peut se trouver le fichier détecté ?

L'emplacement indiqué par Microsoft Defender est l'une des informations les plus importantes de l'alerte.

Un fichier détecté sous un répertoire Web, un dossier d'application ou un emplacement lié à IIS peut orienter vers une compromission d'un serveur ou d'une application. À l'inverse, un fichier retrouvé dans un dossier temporaire ou téléchargé depuis Internet peut correspondre à un autre scénario.

Cette information permet de distinguer plus facilement un problème limité à un fichier téléchargé d'une situation concernant un véritable serveur Web.

Si vous pensez que votre ordinateur présente également d'autres signes inhabituels, notre guide Comment vérifier facilement si mon PC a un virus peut servir de point de départ pour effectuer les contrôles complémentaires.

Quels sont les signes d'une compromission ?

Un webshell peut être discret. Il ne provoque donc pas nécessairement les symptômes classiques associés à un virus Windows.

Sur un serveur Web, certains indices doivent néanmoins attirer l'attention :

• apparition de fichiers ASP ou ASPX inconnus ;
• modification inattendue de fichiers du site ;
• nouvelles requêtes inhabituelles dans les journaux Web ;
• augmentation inexpliquée de certaines requêtes HTTP ;
• création ou modification inattendue de comptes ;
• modifications de configuration du serveur ;
• activité inhabituelle d'un compte de service ;
• fichiers récemment modifiés sans intervention connue de l'administrateur.

Sur un PC personnel, les signes peuvent être beaucoup moins spécifiques. Une alerte de Microsoft Defender, des fichiers inconnus ou des comportements inhabituels doivent surtout conduire à effectuer une analyse complète plutôt qu'à attribuer automatiquement chaque problème au webshell.

Que faire si la détection apparaît sur un PC Windows ?

Si Microsoft Defender signale Backdoor:ASP/Webshell.G!MSR sur votre ordinateur personnel, commencez par éviter toute manipulation inutile du fichier détecté.

1. Ne lancez pas le fichier détecté

Ne tentez pas d'ouvrir le fichier, de le modifier ou de le déplacer manuellement avant d'avoir relevé son emplacement et le résultat de la détection.

2. Laissez Microsoft Defender appliquer son action

Si Microsoft Defender propose de mettre le fichier en quarantaine ou de le supprimer, utilisez l'action recommandée par l'antivirus.

3. Redémarrez Windows si cela est demandé

Certaines opérations de nettoyage nécessitent un redémarrage afin de terminer la suppression ou de libérer un fichier utilisé par un processus.

4. Effectuez ensuite une analyse complète

Une analyse complète permet de rechercher d'autres fichiers malveillants présents sur le système.

Pour une procédure de désinfection plus générale, vous pouvez également consulter notre guide Désinfecter un PC Windows gratuitement et facilement.

Supprimer Backdoor:ASP/Webshell.G!MSR avec Microsoft Defender

Microsoft Defender Antivirus est intégré à Windows et constitue l'un des premiers outils à utiliser lorsqu'une telle détection apparaît sur un PC Windows.

Étape 1 : ouvrir Sécurité Windows

1. Ouvrez le menu Démarrer.
2. Recherchez Sécurité Windows.
3. Ouvrez l'application.
4. Cliquez sur Protection contre les virus et menaces.

Étape 2 : consulter l'historique de protection

Ouvrez Historique de protection afin de retrouver l'alerte correspondant à Backdoor:ASP/Webshell.G!MSR.

Vérifiez le nom de la menace et le chemin du fichier avant toute manipulation.

Étape 3 : vérifier que la menace a été traitée

Selon la situation, Microsoft Defender peut indiquer que la menace a été mise en quarantaine, supprimée ou qu'une action supplémentaire est nécessaire.

Étape 4 : mettre à jour les définitions de sécurité

Avant de lancer une nouvelle analyse, vérifiez que Microsoft Defender dispose des dernières mises à jour de sécurité disponibles.

Étape 5 : lancer une analyse complète

Depuis Protection contre les virus et menaces, choisissez les options d'analyse puis lancez une analyse complète.

Si Windows propose une analyse Microsoft Defender hors ligne et que la menace persiste malgré les analyses classiques, cette option peut également être envisagée.

Effectuer une analyse antivirus complémentaire

Lorsqu'une détection de type backdoor apparaît, une seconde analyse peut être utile pour rechercher d'éventuels fichiers associés ou d'autres menaces.

Il ne faut cependant pas installer simultanément plusieurs antivirus disposant d'une protection en temps réel. Pour une analyse complémentaire, privilégiez un outil à la demande et suivez ses instructions.

Malwarebytes

Une analyse avec Malwarebytes peut constituer un contrôle complémentaire après l'analyse de Microsoft Defender. Vous pouvez retrouver notre page consacrée au téléchargement de Malwarebytes Anti-Malware.

Dr.Web CureIt!

Dr.Web CureIt! peut également être utilisé comme outil d'analyse complémentaire à la demande. Notre guide présente son fonctionnement et les précautions à prendre avant l'analyse : Dr.Web CureIt! gratuit : analyser et désinfecter son PC.

ESET Online Scanner

Un autre contrôle à la demande peut être réalisé avec ESET Online Scanner.

Que faire si le fichier se trouve sur un serveur Web ?

La situation est différente si la détection se trouve dans le répertoire d'un site Web, d'une application ASP ou d'un serveur IIS.

Dans ce cas, supprimer uniquement le fichier détecté peut être insuffisant. Il faut chercher à comprendre comment il a été placé sur le serveur et vérifier si d'autres fichiers ont été ajoutés ou modifiés.

1. Isoler le serveur si nécessaire

Si le serveur est actuellement compromis ou si une activité malveillante est encore observée, l'administrateur doit envisager les mesures d'isolement adaptées à son environnement afin de limiter les actions de l'attaquant.

2. Conserver les éléments utiles à l'analyse

Avant toute suppression importante de fichiers ou réinstallation du serveur, conservez si possible les journaux nécessaires à l'analyse : journaux IIS, événements Windows, fichiers récemment modifiés et informations liées aux comptes.

3. Identifier les fichiers modifiés

Recherchez les fichiers Web récemment créés ou modifiés et comparez-les avec une version saine du site ou de l'application.

4. Vérifier les comptes

Contrôlez les comptes administrateurs, les comptes de service et les comptes utilisés pour publier ou modifier le site.

5. Vérifier les logiciels exposés à Internet

Un serveur Web doit être maintenu à jour. Les applications publiques, composants, frameworks et extensions doivent être contrôlés afin d'identifier une éventuelle vulnérabilité exploitée.

Pour approfondir la protection d'un site Web, consultez également notre guide Comment sécuriser son blog ou site Web contre le piratage.

Rechercher la cause de la compromission

La suppression du fichier malveillant traite la conséquence. Pour éviter que la situation se reproduise, il faut également rechercher le point d'entrée initial.

Les causes possibles

• application Web vulnérable ;
• composant ou extension obsolète ;
• identifiant compromis ;
• mot de passe réutilisé ou insuffisamment protégé ;
• mauvaise configuration du serveur ;
• fonction d'importation ou d'envoi de fichiers mal sécurisée ;
• logiciel serveur non corrigé ;
• compromission préalable d'un compte disposant de droits suffisants.

Il est impossible de déterminer la cause exacte uniquement à partir du nom Backdoor:ASP/Webshell.G!MSR. Il faut examiner les journaux et le contexte de la machine.

Pourquoi les journaux sont importants

Les journaux Web peuvent permettre de rechercher les requêtes inhabituelles précédant l'apparition du fichier. Ils peuvent également aider à déterminer le moment approximatif de la compromission.

Lorsque cela est possible, comparez la date de création ou de modification du fichier détecté avec les événements enregistrés par le serveur.

Changer les identifiants après une compromission

Si un serveur ou un compte d'administration a réellement été compromis, les mots de passe concernés doivent être renouvelés depuis un environnement considéré comme sain.

Les identifiants de comptes administrateurs, FTP, SFTP, panneau d'administration, CMS, hébergement et bases de données doivent être examinés selon l'architecture utilisée.

Vérifications après la suppression

Une fois Backdoor:ASP/Webshell.G!MSR supprimé, prenez quelques minutes pour vérifier que le système fonctionne normalement et qu'aucune autre menace n'est détectée.

Si votre PC continue à présenter des comportements inhabituels après le nettoyage, notre guide PC bizarre : 20 vérifications à faire pour trouver la cause peut vous aider à poursuivre le diagnostic.

Comment éviter une nouvelle compromission ?

La prévention d'un webshell repose principalement sur la sécurisation du serveur, des applications Web et des comptes qui peuvent modifier les fichiers du site.

Maintenir les logiciels à jour

Les mises à jour de sécurité corrigent des vulnérabilités susceptibles d'être exploitées par des attaquants. Windows, IIS, les applications Web, CMS, bibliothèques et extensions doivent être maintenus dans une version supportée.

Pour les conseils généraux concernant les mises à jour, consultez notre guide Sécurité PC : comment maintenir vos logiciels à jour ?.

Réduire les privilèges

Un compte utilisé par une application Web ne devrait disposer que des droits nécessaires à son fonctionnement. La limitation des privilèges peut réduire l'impact d'une compromission.

Protéger les comptes administrateurs

Utilisez des mots de passe uniques et robustes, activez l'authentification multifacteur lorsqu'elle est disponible et limitez l'utilisation des comptes administrateurs.

Surveiller les fichiers Web

La surveillance de l'intégrité des fichiers peut aider à détecter l'apparition ou la modification inattendue de fichiers dans les répertoires Web.

Protéger le serveur exposé à Internet

Un serveur accessible depuis Internet doit être protégé avec plusieurs couches de sécurité : mises à jour, filtrage réseau, limitation des accès, comptes correctement sécurisés, journalisation et surveillance.

Notre guide sur le pare-feu Windows 10 et 11 présente les principes de protection réseau à connaître sur Windows.

Effectuer des sauvegardes régulières

Des sauvegardes saines et régulièrement testées permettent de restaurer un site ou un système après une compromission importante. Elles doivent idéalement être protégées contre une modification ou une suppression par un compte compromis.

FAQ : Backdoor:ASP/Webshell.G!MSR

Backdoor:ASP/Webshell.G!MSR est-il un virus ?

Il s'agit plus précisément d'une détection de type backdoor associée à un webshell ASP. Le terme « virus » est souvent utilisé de manière générale pour parler d'un malware, mais techniquement un webshell constitue une catégorie différente d'un virus informatique classique.

Que signifie ASP dans Backdoor:ASP/Webshell.G!MSR ?

ASP désigne une technologie de développement Web côté serveur utilisée dans certains environnements Microsoft. Le nom de la détection indique donc que Microsoft associe la menace à un webshell utilisant cette technologie.

Microsoft Defender peut-il supprimer Backdoor:ASP/Webshell.G!MSR ?

Oui. Microsoft indique que Microsoft Defender Antivirus détecte et supprime les menaces de cette famille. Après la suppression, une analyse complète reste recommandée afin de rechercher d'éventuels éléments résiduels.

Est-ce forcément mon PC qui est infecté ?

Pas nécessairement. Le contexte dépend notamment de l'emplacement du fichier. Une détection dans un répertoire de serveur Web n'a pas la même signification qu'un fichier trouvé dans un dossier temporaire sur un PC personnel.

Dois-je supprimer manuellement le fichier ASP ?

Il est préférable de ne pas le supprimer manuellement avant d'avoir identifié son rôle. Sur un serveur Web, certains fichiers ASP peuvent être légitimes et nécessaires au fonctionnement du site. Utilisez d'abord les informations de Microsoft Defender et vérifiez le fichier dans son contexte.

Un webshell peut-il permettre à un pirate de contrôler un serveur ?

Oui. Le principe même d'un webshell est de fournir une capacité d'interaction à distance avec le serveur. Les possibilités exactes dépendent toutefois des privilèges du compte utilisé par le serveur Web et de la configuration de l'environnement.

Pourquoi faut-il rechercher d'autres fichiers après la suppression ?

Une compromission peut ne pas se limiter au fichier détecté. Un attaquant peut avoir modifié plusieurs fichiers ou utilisé un autre mécanisme de persistance. Une analyse complémentaire permet donc de rechercher d'autres éléments suspects.

Que faire si la détection revient après redémarrage ?

Si Backdoor:ASP/Webshell.G!MSR réapparaît, ne vous contentez pas de supprimer plusieurs fois le même fichier. Notez son emplacement, effectuez une analyse complète et recherchez la cause de sa recréation. Sur un serveur Web, contrôlez en priorité les applications, comptes, journaux et fichiers récemment modifiés.

Faut-il changer ses mots de passe ?

Si la détection concerne un serveur ou un environnement dans lequel un compte privilégié pourrait avoir été compromis, le renouvellement des identifiants concernés constitue une mesure importante. Les nouveaux mots de passe doivent être uniques et définis depuis un environnement considéré comme sain.

Un antivirus suffit-il pour sécuriser un serveur Web ?

Non. Un antivirus constitue une couche de protection, mais la sécurité d'un serveur Web repose également sur les mises à jour, la configuration, les contrôles d'accès, la limitation des privilèges, la surveillance des journaux, la protection des applications et des sauvegardes.

Comment savoir si mon PC est encore infecté ?

Commencez par consulter l'historique de protection de Microsoft Defender, mettez les définitions de sécurité à jour et réalisez une analyse complète. Une seconde analyse à la demande peut également être utilisée comme contrôle complémentaire.

Backdoor:ASP/Webshell.G!MSR peut-il ralentir Windows ?

Une détection de ce type ne permet pas à elle seule d'attribuer une lenteur de Windows à la menace. Le comportement dépend du fichier concerné et de l'environnement. Une analyse complète est nécessaire avant de tirer une conclusion.

Que faire si le webshell est découvert sur mon site Internet ?

Il faut traiter la situation comme une possible compromission du serveur : identifier les fichiers touchés, conserver les journaux utiles, rechercher la cause initiale, vérifier les comptes, corriger les vulnérabilités et restaurer des fichiers sains lorsque cela est nécessaire.

Conclusion : supprimer Backdoor:ASP/Webshell.G!MSR et sécuriser l'environnement

Backdoor:ASP/Webshell.G!MSR correspond à une détection liée à un webshell ASP. Cette menace mérite une attention particulière car un webshell peut servir de moyen d'accès à distance lorsqu'il est installé sur un serveur compromis.

Sur un PC Windows personnel, la première étape consiste à laisser Microsoft Defender traiter la détection, puis à effectuer une analyse complète et éventuellement une analyse complémentaire.

Sur un serveur Web, la démarche doit aller plus loin : la suppression du fichier détecté ne suffit pas nécessairement. Il faut rechercher la cause de la compromission, contrôler les fichiers récemment modifiés, examiner les comptes et les journaux, corriger les vulnérabilités et renforcer la sécurité du serveur.

Une bonne protection repose donc sur plusieurs couches : logiciels à jour, comptes correctement protégés, privilèges limités, surveillance, sauvegardes et outils de sécurité correctement configurés.

Articles recommandés