virus trojan-spy Résolu/Fermé

Question

Bonjour,
ce matin, j'ai eu un message virus de mon antivirus.
J'ai lancé un scan  via antimalwarebites, j'ai nettoyé le disque. Depuis,impossible de me connecter (ou avec beaucoup de mal), impossible de lancer mon antivirus (firewall d'orange).
Merci de m'aider, débutante

dadoun · Answer

rebonjour,
complément, j'ai essayer de lancer Hijack, mais impossible, impossible également de télécharger des fichiers ou des logiciels gratuits.
Merci d'avance pour votre aide

crapoulou · Answer

Salut,
antimalwarebites
Serait-il possible d'avoir le rapport stp ?
(Onglet Rapport).

******

Tu payes l'antivirus F-Secure ?

crapoulou · Answer

Version de la base de données: 1089 
Tu ne l'as pas mis à jour depuis un bail !!! au moins quelques années !!!

*********

Pour ce qui est de F-Secure, il n'est pas top mais bon.

Mets à jour Malwarebytes' Anti Malware et refais une analyse complète du système.

crapoulou · Answer

Chez moi :
Version de la base de données: 3731

Vérifie que tu ais ça dans l'onglet "Mise à jour" avant de lancer une longue analyse.

*****

Mets en quarantaine et passe à MBAM.

crapoulou · Answer

Fais ceci :
Ouvre Malwarebytes' Anti Malware (que j'appelle désormais MBAM pour raison de facilité).
Onglet "Mise à jour" ==> clique sur "Recherche de mises à jour"

A cet endroit tu dois trouver ceci :

Version de la base de données: 3731 

Une fois que c'est bon, tu refais un examen complet de la machine :
> Onglet Recherche > Coche "Examen complet" et Rechercher.

Comme tu l'as fait pour le précédent.

crapoulou · Answer

Avant de réinstaller : si tu ouvres MBAM, cela fonctionne ?

crapoulou · Answer

Ok.
Fais la mise à jour manuellement :
https://www.commentcamarche.net/faq/9016-mettre-a-jour-son-antivirus-anti-malware-sans-connexion-internet#malwarebytes-anti-malware

crapoulou · Answer

Bon alors là essaye la réinstallation de MBAM : désinstaller et réinstaller.

crapoulou · Answer

Vérifie manuellement la présence ou l'absence de ce fichier :
C:\WINDOWS\system32\rundll32.exe 

S'il est absent, il te le faut absolument.
As-tu le CD système ?

crapoulou · Answer

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:22:26, on 20/02/2010
Platform: Unknown Windows (WinNT 6.01.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16385)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\VMware\VMware Tools\VMwareTray.exe
C:\Program Files\VMware\VMware Tools\VMwareUser.exe
C:\Windows\system32	askhost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\Windows\system32\SearchFilterHost.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O4 - HKLM\..\Run: [VMware Tools] "C:\Program Files\VMware\VMware Tools\VMwareTray.exe"
O4 - HKLM\..\Run: [VMware User Process] "C:\Program Files\VMware\VMware Tools\VMwareUser.exe"
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETWORK SERVICE')
O10 - Unknown file in Winsock LSP: c:\program files\vmware\vmware tools\vsock sdk\bin\win32\vsocklib.dll
O10 - Unknown file in Winsock LSP: c:\program files\vmware\vmware tools\vsock sdk\bin\win32\vsocklib.dll
O13 - Gopher Prefix:
O23 - Service: TP AutoConnect Service (TPAutoConnSvc) - ThinPrint AG - C:\Program Files\VMware\VMware Tools\TPAutoConnSvc.exe
O23 - Service: TP VC Gateway Service (TPVCGateway) - ThinPrint GmbH - C:\Program Files\VMware\VMware Tools\TPVCGateway.exe
O23 - Service: VMware Tools Service (VMTools) - VMware, Inc. - C:\Program Files\VMware\VMware Tools\vmtoolsd.exe
O23 - Service: VMware Upgrade Helper (VMUpgradeHelper) - VMware, Inc. - C:\Program Files\VMware\VMware Tools\VMUpgradeHelper.exe
End of file - 2978 bytes

crapoulou · Answer

Erreur dans le copier-coller... Désolé. ***** Pour établir un diagnostic plus en profondeur de ton PC : Télécharge Random’s System Information Tool (RSIT) de random/random et enregistre l’exécutable sur le Bureau. = = = = >>> En cliquant ici <<< = = = = * Double clique sur RSIT.exe pour le lancer. * Une première fenêtre s’ouvre, clique alors sur Continue (Disclaimer). * Si la dernière version de HijackThis n’est pas détectée sur ton PC, RSIT le téléchargera et te demandera d’accepter la licence. * Lorsque l’analyse sera terminée, deux fichiers texte s’ouvriront (probablement avec le bloc-notes). * Poste le contenu de log.txt.

crapoulou · Answer

Alors, quelques infections bien présentes : Vu que MBAM a quelques soucis : Supprime manuellement ces fichiers : C:\WINDOWS asks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job C:\WINDOWS asks\{66BA574B-1E11-49b8-909C-8CC9E0E8E015}.job C:\WINDOWS\system32\sshnas21.dll C:\Documents and Settings\Compaq_Propriétaire\Local Settings\Application Data\av.exe C:\WINDOWS\msa.exe Les deux derniers devraient être absents mais vérifie. ******** Tu es infecté par un ver qui se propage dans ton ordinateur par support amovibles (clé USB, disquettes, appareils photos numériques, disques durs externes, …) Télécharge et installe UsbFix de C_XX & El desaparecido : = = = = >>> En cliquant ici <<< = = = = Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d’avoir été infectés sans les ouvrir ! * Double clique sur le raccourci UsbFix présent sur ton bureau. * Choisis l’option 1 (Recherche) * Laisse travailler l’outil. * Ensuite poste l’intégralité du rapport UsbFix.txt qui apparaîtra. Notes : - Le rapport UsbFix.txt est sauvegardé a la racine du disque. (C:\UsbFix.txt) (CTRL+A Pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller sur le forum). - "Process.exe", une composante de l’outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s’agit pas d’un virus, mais d’un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d’où l’alerte émise par ces antivirus.

crapoulou · Answer

C:\Documents and Settings\Compaq_propriétaire\Local Settings\Application Data\av.oxe 
Supprime le.

******

A demain alors, bonne nuit.
(Je serai là en fin de journée - début de soirée).
Tu m'en diras plus sur 'Impossible d'ouvrir USBFix'.

crapoulou · Answer

F-secure ne peut pas le supprimer ?
Essaye en mode sans échec.

crapoulou · Answer

Mets en quarantaine.
USBFix s'appelle bien USBFix.exe ?

crapoulou · Answer

Rebomme le en Usbfix.exe

crapoulou · Answer

On va faire autrement : Télécharge Malwarebytes’ Anti-Malware = = = = >>> En cliquant ici <<< = = = = - Enregistre le sur le bureau - Double-clique sur le fichier téléchargé pour lancer le processus d’installation - Lorsqu’il te le sera demandé, mets à jour Malwarebytes anti malware - Si le pare-feu demande l’autorisation de se connecter pour malwarebytes, acceptes - Une fois la mise à jour terminée, ferme Malwarebytes - Double-clique sur l’icône de malwarebytes pour le relancer - Dans l’onglet, Recherche, probablement ouvert par défaut, - Sélectionne Exécuter un examen complet - Clique sur Rechercher - Le scan démarre - A la fin de l’analyse, un message s’affiche : L’examen s’est terminé normalement. Cliquez sur ‘Afficher les résultats’ pour afficher tous les objets trouvés. - Clique sur Ok pour poursuivre. - Si des malwares ont été détectés, cliques sur Afficher les résultats - Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. - Malwarebytes va ouvrir le bloc-notes et y copier le rapport d’analyse. - Rends toi dans l’onglet rapport/log - Tu clique dessus pour l’afficher une fois affiché - Tu clique sur édition en haut du bloc notes, et puis sur sélectionner tout - Tu reclique sur édition et puis sur copier et tu reviens sur le forum et dans ta réponse - Tu clique droit dans le cadre de la réponse et coller Si tu as besoin d’aide regarde ce tutorial ICI

crapoulou · Answer

Sur quel fichier survient cette alerte ?

crapoulou · Answer

MBAM n'étais pas à jour.
Recommence l'analyse stp (scan complet).

crapoulou · Answer

Arf, toujours pas à jour.

Fais les mises à jour comme ça :
https://www.commentcamarche.net/faq/9016-mettre-a-jour-son-antivirus-anti-malware-sans-connexion-internet#malwarebytes-anti-malware

Quelle versios as-tu a^rès cette manip' ?

crapoulou · Answer

Ok.
A plus tard.

crapoulou · Answer

Très bien.
Comme quoi ça sert les MAJ ;-).
On va passer à la fin de la désinfection.

*********

C'est ceci qui devait coincer USBFix :

HKEY_CLASSES_ROOT\.exe\(default) (Hijacked.exeFile) -> Bad: (secfile) Good: (exefile) -> Quarantined and deleted successfully. 

Il devrait passer maintenant non ?

crapoulou · Answer

1) 
Nettoyage avec UsbFix :

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d’avoir été infectés sans les ouvrir !

*Double clique sur le raccourci UsbFix présent sur ton bureau.
* Choisis l’option 2 (Suppression)
* Ton bureau disparaîtra et le PC redémarrera.
* Au redémarrage, UsbFix scannera ton PC. Laisse travailler l’outil.
* Ensuite poste l’intégralité du rapport UsbFix.txt qui apparaitra avec le bureau.

Note :
Le rapport UsbFix.txt est sauvegardé a la racine du disque. (C:\UsbFix.txt)

********

2) Poste un nouveau rapport RSIT stp pour faire le point.
3) Comment va le PC ?

crapoulou · Answer

pour l'instant, mon PC est comme avant tout ce bazar ...
C'est-à-dire ?
Aucune amélioration remarquée ?

crapoulou · Answer

Etrange qu'il revienne ce fichier temporaire !

*******

Supprime le.
Supprime manuellement ce fihcier :
C:\WINDOWS\is-M491U.exe

********

Je vois que tu as un logiciel d’échange de fichiers via le P2P (peer-to-peer). Je ne sais pas si tu crack des logiciels et cela ne me regarde pas mais je te conseille de lire ce qui suit quelque soit l’utilisation que tu fasses avec ce logiciel.
En plus d’être illégaux, les cracks sont souvent bourrés d’infection (Bagle, rogues par exemple)  et certaines très coriaces (Virut, Mabezat par exemple).
Voici le lien d’une vidéo montrant les effets d’une infection Bagle :
https://www.youtube.com/watch?v=nqLoz4XCY60
Je te conseille de lire cet article concernant le danger des cracks (merci à Malekal) :
http://forum.malekal.com/ftopic893.php

*******

On passe ensuite à la fin de la désinfection et l'optimisation.

Quel est le souci avec les icônes ?

crapoulou · Answer

Ok, à demain.

*****

2) quel est le nom de ce logiciel, je suis vraiment débutante et cracker des logiciels, c'est vraiment trop compliqué à mes yeux... 
emule et Shareaza
Cracker, c'est télécharger des jeux illégalement.

********

C'est normal, ce sont les plus récemment utilisés qui se mettent là.

********

Lance Hijackthis.
Il se situe ici :
C:\Program Files\Trend Micro\HijackThis\Compaq_Propriétaire.exe

Clique sur "Do a system scan only".
Coche ces lignes :
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O4 - HKLM\..\Run: [Reminder] "C:\Windows\Creator\Remind_XP.exe"
O4 - HKCU\..\Run: [swg] "C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKLM\..\Run: [Personal Security Center Monitor] C:\WINDOWS\system32\isc_ui.exe
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O9 - Extra button: Orange - {1462651F-F4BA-4C76-A001-C4284D0FE16E} - https://www.orange.fr/portail (file missing) (HKCU)
O22 - SharedTaskScheduler: IPC Configuration Utility - IPC Configuration Utility - (no file)
Clique ensuite sur fix checked.
Ferme Hijackthis.

*******

Poste ensuite un nouveau rapport RSIT pour vérification.

Bonne nuit.
A demain.

crapoulou · Answer

Fais moi une capture d'écran de ces icônes stp. https://www.commentcamarche.net/faq/398-comment-faire-une-capture-d-ecran Ton rapport ne présente plus d'infection. Pour supprimer toutes les traces des logiciels qui ont servi à traiter les infections spécifiques : Télécharge Toolscleaner sur ton Bureau = = = =>>> En cliquant ici <<<= = = = * Double-clique sur ToolsCleaner2.exe et laisse le travailler * Clique sur Recherche et laisse le scan se terminer. * Clique sur Suppression pour finaliser. * Tu peux, si tu le souhaites, te servir des Options facultatives. * Clique sur Quitter, pour que le rapport puisse se créer. * Le rapport (TCleaner.txt) se trouve à la racine de votre disque dur (C:\)...colle le dans ta réponse. ********************* Tu peux garder Malwarebytes anti malware en tant qu’anti malware, il est très efficace. (Même s’il ne résout pas tous les problèmes, bien entendu … !) Par contre, il n’a pas de scan résident en mode gratuit ! Il faut donc pour l’utiliser le lancer, faire les mises à jour et faire un scan complet après. ********************* * Télécharge Ccleaner Slim : = = = = >>> En cliquant ici <<< = = = = * Installe le. * Choisis l’onglet Nettoyeur Quitte ton navigateur Internet avant de le lancer, décoche la dernière case (Avancé si elle est cochée) puis clique sur "lancer le nettoyage" quand il aura terminé le scan cliques en bas à droite sur "lancer le nettoyage" et accepte par oui. Attention, il risque de vider ta corbeille : si tu veux récupérer des fichiers effacés par erreur, mieux vaut le faire maintenant. * Choisis l’onglet Registre - Clique sur Chercher des erreurs - Une fois la recherche terminée, clic sur Réparer les erreurs sélectionnées (par défaut, tout est sélectionné, laisse comme ça) - Au message Voulez-vous sauvegarder les changements faits dans le registre, réponds Oui et enregistre le fichier au format « .reg » en le nommant par la date par exemple en le mettant sur le bureau. Puis continue. - A la fenêtre qui s’ouvre ensuite, clique sur Corriger toutes les erreurs sélectionnées puis OK - Recommence jusqu’à ce qu’aucune erreur n’apparaisse (ou une seule récurrente). - Ferme Ccleaner. * Tutoriel en images ICI si besoin. Note : La sauvegarde utilisée permet de remettre tel que la base était avant la manipulation au cas où il y aurait des soucis mais cela ne m’est jamais arrivé ! Il vaut mieux prendre des précautions, c’est tout. ;-)

crapoulou · Answer

Ok.
Ce Virus, toujours dans les fichiers temporaires ?
Tu navigues sur un site à risque ?!

crapoulou · Answer

Soit il fume, soit ... je sais pas, lol
Fais une analyse complète du système avec F-Secure.
Tu as fait Ccleaner ?

crapoulou · Answer

j'ai mis Packed.Win32.Krap.an en quarantaine (il se trouve dans C:\Volume Information\restore) 
Ah ok, il est dans la restauration : c'est normal !

Pour WooBrowser, regarde ici :
https://forums.commentcamarche.net/forum/affich-1424143-woobrowser

crapoulou · Answer

A ton service.
Supprime Toolscleaner et C:\TCleaner.txt.

*******

Désactive et réactive ta restauration système afin de la purger.
Démarrer > clic droit sur Poste de travail, Propriétés, onglet Restauration du système > Désactiver la restauration du système, puis Appliquer et ok, ok.
(N’oublie pas la manipulation inverse pour la réactiver immédiatement).

*******

Bonne continuation également.

Virus trojan-spy

31 réponses

Discussions similaires