Cheval de Troie résistantFermé

Question

Bonjour,

AVG version gratuite me détecte le cheval de Troie Sheur2.BKNJ
me le place en quarantaine il semble présent à plusieurs endroits
masi ne parvient pas à l'anéantir pour de bon...

Merci pour votre aide

Utilisateur anonyme · Accepted Answer

Hello ,

Olivier , pourquoi demandes tu Navilog sur ce sujet , j aimerai apprendre ...

AzOniic · Answer

bah si ton antivirus  ne peut rien faire achete une license d'un logiciel antiviruse payant et il va te le suprime ou tu peut peut etre trouver un antivirus specialiser des cheval de troie et peut etre qui peut lui le suprimer ^^ aller di moi si ta encore un probleme

olivier114 · Answer

supprime ta quarantaine puis fais ceci:
    [list]
    [*] Télécharge [url=https://www.androidworld.fr/][u]Malwarebytes[/u][/url]

    [*] Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement.

    [*] Fais la mise à jour du logiciel (elle se fait normalement à l'installation)

    [*] Lance une analyse complète en cliquant sur "Exécuter un examen complet"

    [*] Sélectionnes les disques que tu veux analyser et cliques sur "Lancer l'examen"

    [*] L'analyse peut durer un bon moment.....

    [*] Une fois l'analyse terminée, cliques sur "OK" puis sur "Afficher les résultats"

    [*] Vérifies que tout est bien coché et cliques sur "Supprimer la sélection" => et ensuite sur "OK"

    [*] Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum
    [/list]
    * Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Faites le en cliquant sur "oui" à la question posée

Utilisateur anonyme · Answer

Salut Olivier ,

Il serait préférable avant de demander MBAM , de demander un rapport HJT ou mieux RSIT ou ZHP .

++

^^Marie^^ · Answer

Bonjour

AVANT de faire MBAM (qui doit être utilisé en fin de désinfection)

Fais ce qui suit - stp


> Télécharge random's system information tool (RSIT) : http://images.malwareremoval.com/random/RSIT.exe 
- Enregistre le programme sur ton bureau. 

- Double clique sur RSIT.exe 

- A l'écran "Disclaimer" choisis "1 months" dans le menu déroulant puis clique sur <continue>. 

- Si HiJackThis n'est pas détecté sur ton PC, RSIT le téléchargera ; accepte alors la licence. 

- Une fois le scanne terminé tu obtiendras un rapport log.txt. Poste le sur le forum. 

NB : Il se peut que tu obtiennes un second rapport nommé info.txt. Dans ce cas poste le aussi.

+++++

olivier114 · Answer

dsl je sais qu'il faut utiliser mbam en fin de desinfection mais je pense que mbam pourait supprimer ce cheval de troie

Utilisateur anonyme · Answer

Mieux vaut 2 Marie que une :)

WIND77 · Answer

Merci bcp pour vos réponses j'ai un log à vous envoyer amis ne sais pas comment m'y prendre??
Merci

WIND77 · Answer

Voici le log obtenu à partir de Malwarebytes,



Type de recherche: Examen complet (C:\|)
Eléments examinés: 159556
Temps écoulé: 19 minute(s), 19 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 1
Clé(s) du Registre infectée(s): 3
Valeur(s) du Registre infectée(s): 4
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 11

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
C:\WINDOWS\system32\calc.dll (Trojan.Agent) -> No action taken.

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\UpdateNf (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\AlerterALG (Trojan.Downloader) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\AntivirusPro_2010 (Rogue.AntiVirusPro2010) -> No action taken.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\calc (Trojan.Agent) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\mserv (Trojan.FakeAlert) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\svchost (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\calc (Trojan.Agent) -> No action taken.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\WINDOWS\system32\calc.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\config\systemprofile\Application Data\seres.exe (Trojan.FakeAlert) -> No action taken.
C:\WINDOWS\system32\config\systemprofile\Application Data\svcst.exe (Trojan.FakeAlert) -> No action taken.
C:\Documents and Settings\Propriétaire\Bureau\Speed-Downloading_setup.exe (Adware.NaviPromo) -> No action taken.
C:\WINDOWS\Temp\popka.exe (Trojan.FakeAlert) -> No action taken.
C:\Documents and Settings\All Users\Application Data\ukax.reg (Rogue.AntiVirusPro) -> No action taken.
C:\Documents and Settings\Propriétaire\Menu Démarrer\Programmes\Démarrage\scandisk.lnk (Trojan.Downloader) -> No action taken.
C:\WINDOWS\system32\config\Systemprofile\Application Data\olypuqyny.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32aidmg.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\Temp
srbgxod.bak (Trojan.Agent) -> No action taken.
C:\Documents and Settings\Propriétaire\Local Settings\Temp
srbgxod.bak (Trojan.Agent) -> No action taken.

WIND77 · Answer

J'ai eu peur du lien donné par Marie mon pc m'indique une version
non sécurisée.. merci de m'aider avec le log posté plus haut.

olivier114 · Answer

[list]
    [*] Télécharge sur le bureau [url=http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe][u]Navilog1[/u][/url] 

    [*] Si ton antivirus s'affole , le désactiver

    [*] sous vista : Clic-droit sur le raccourci Navilog1 présent sur le bureau et choisis "Exécuter en tant qu'administrateur"

    [*] sous XP : double-clic dessus pour le lancer

    [*] taper F

    [*] Appuyer sur une touche jusqu' arriver aux options

    [*] Choisir [b]Recherche/Désinfection automatique[/b] ( = taper 1 )

    [*] un rapport : fixnavi.txt  dans ==> C :

    [*] le copier et le coller dans la réponse
    [/list]

Trying2 · Answer

Hi,

I've given up the fight.

http://www.commentcamarche.net/forum/affich-14824141-c-windows-system32-win-exe
https://forums.commentcamarche.net/forum/affich-14824184-c-windows-system32-win-exe

WIND77 · Answer

Voici ce ke tu m'as demandé Olivier

Fix Navipromo version 4.0.3 commencé le 20/10/2009 14:43:25,81

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!

Outil exécuté depuis C:\Program Files
avilog1

Mise à jour le 18.10.2009 à 10h00 par IL-MAFIOSO

Microsoft Windows XP Édition familiale ( v5.1.2600 ) Service Pack 3
X86-based PC ( Multiprocessor Free : AMD Athlon(tm) 7750 Dual-Core Processor )
BIOS : BIOS Date: 01/02/09 08:41:14 Ver: 03.04
USER : Propriétaire ( Administrator )
BOOT : Normal boot

Antivirus : avast! antivirus 4.8.1356 [VPS 091019-0] 4.8.1356 (Activated)


C:\ (Local Disk) - NTFS - Total:465 Go (Free:443 Go)
D:\ (CD or DVD)
E:\ (USB)


Recherche executée en mode normal 


[b]Aucune Infection Navipromo/Egdaccess trouvée/b



*** Scan terminé 20/10/2009 14:44:01,50 ***

olivier114 · Answer

une procédure plus "simple" est maintenant disponible : Magic.Control / egdaccess
http://www.malekal.com/Adware.Magic_Control.html
    * Téléchargez Brute Force Uninstaller (de Merijn).
http://www.merijn.org/files/bfu.zip
      Créez un nouveau dossier directement sur le C:\ et nomme-le BFU. Pour cela :
          o Ouvrez le poste de travail
          o Double-clicquez sur le disque C
          o Menu Fichier en haut puis Nouveau et enfin nouveau dossier
          o Tapez BFU dans le nom du nouveau dossier
    * Décompressez le fichier téléchargé dans ce nouveau dossier (C:\BFU)
    * FAIS UN CLIC-DROIT ICI(http://metallica.geekstogo.com/EGDACCESS.bfu) et choisissez "Enregistrer la cible sous..." 
    * Téléchargez EGDACCESS.bfu (de Metallica). Sauvegardez dans le dossier créé (C:\BFU).
 
          o **Note : si vous utilisez Internet Explorer ; lors de la sauvegarde, assurez-vous que le champs "Type :" affiche "Tous les fichiers". 
          o Vous avez maintenant deux fichiers dans le dossier C:\BFU : EGDACCESS.bfu et BFU.exe (très important).
    * Téléchargez le fichier navipromo.reg
http://www.malekal.com/download/telecharger.com/navipromo.reg
    * Désactivez tout guard (ewido guard, microsoft antispyware guard, spybot guard etc... ) ou programmes succeptibles d'empécher l'écriture dans la base de registre.
    * Double-cliquez sur navipromo.reg et acceptez la fusion des données.
    * Téléchargez et installez Malwarebyte's Anti-Malware anti-malware recommandé 
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
    * Téléchargez et scannez votre ordinateur avec F-Secure BlackLight(https://www.f-secure.com/en ; ce dernier va trouver des fichiers se terminant par .dat et _nav.dat dans votre dossier system32 de Windows, notez les noms de ces fichiers.
    * Démarrez Windows en mode sans échec : voir ici
https://www.malekal.com/demarrer-windows-mode-sans-echec/
    * Démarrez le "Brute Force Uninstaller" en double-cliquant BFU.exe (du dossier C:\BFU)
    * Cliquez sur le petit dossier jaune, à la droite de la boîte Scriptline to execute, et double-cliquez sur :
          o EGDACCESS.bfu
          o Dans la boîte "Scriptline to execute", vous devez maintenant voir ceci : C:\BFU\EGDACCESS.bfu
          o Cliquez sur le bouton Execute et laissez-le faire son travail.
          o Attendez que Complete script exécution apparaîsse et clique sur OK.
            Clique Exit pour fermer le programme BFU.
    * Scannez votre ordinateur en mode sans échec avec ewido
    * Vérifiez à la fin du scan que les fichiers suivants ont bien été supprimés sinon supprimez les manuellement :
          o C:\WINDOWS\system32\msclock32.dll
          o C:\WINDOWS\system32\msplock32.dll
          o C:\WINDOWS\system32\__delete_on_reboot__msclock32.dll
          o C:\WINDOWS\system32\EGCOMLIB_1035.dll (les chiffres peuvent changer)
          o C:\WINDOWS\system32\EGCOMSERVICE_1042.dll (les chiffres peuvent changer)
          o C:\WINDOWS\system32\EGDACCESS_1042.dll (les chiffres peuvent changer)
          o C:\Program Files\MailSkinner (généralement présent)
    * IMPORTANT : Supprimez les fichiers .dat trouvés par F-Secure BlackLight (Tutorial F-Secure BlackLight) lors du scan s'ils sont encore présents.
    * Redémarrez en mode normal
    * Je vous conseil aussi de scanner votre ordinateur avec un antivirus à jour, si vous êtes infecté, il y a des chances que vous n'en aillez pas, utilisez alors un antivirus en ligne : 
          o Scan par Panda
    * Nettoyez votre base de registre à l'aide de l'utilitaire regcleaner
    * Nettoyez les fichiers temporaires/caches etc.. avec CCleaner
    * Si vous rencontrez toujours des problèmes, générez un log à l'aide HijackThis - mode d'emploi et venez le poster sur le forum du site

Redémarrez votre ordinateur en mode normal, si le spyware est encore là, rescannez votre ordinateur avec SpyBot et Ad-Aware.

Consulter le forum malware-complaints et créez votre message selon votre type d'infection, plus vous serez nombreux, plus nous aurons de poids pour faire réagir les autorités face aux malwares !

Cela prend 5 minutes!

olivier114 · Answer

brute force je le fais pour Adware.NaviPromo

olivier114 · Answer

oui mais il est efficace contre Adware.NaviPromo

Trying2 · Answer

Comme le problème n'avance pas et si  Olivier114 peut y trouver quelques pistes:

Wind77, Télécharge GenProc de Jean-chretien1 et Narco!4 

Double-clique sur GenProc.exe et poste le contenu du rapport qui s'ouvre.

Toutes les indications pour agir convenablement se trouvent ici.

olivier114 · Answer

ah ouais pas penser a genproc

WIND77 · Answer

Marie,

je voudrais bien ton avis alors sur quoi faire????


Merci

WIND77 · Answer

Je craque j'ai essayé GenProc....
d'apres le rapport je dois intsaller divers programmes
Ccleaner c ok
Toolbar j'y arrive pas
ComboFix j'y arrive aps non plus
je peux pas désactiver AVG!!!

donc impossible d'aller plus loin

et y'a pas des trucs plus simples pour les nuls en ordi????????

^^Marie^^ · Answer

Copie colle le rapport GenPRoc dans la discussion

Cheval de Troie résistant

21 réponses

Discussions similaires

Newsletters