Securyty tool

Résolu
rexxx83 Messages postés 91 Date d'inscription   Statut Membre Dernière intervention   -  
dédétraqué Messages postés 4384 Date d'inscription   Statut Contributeur sécurité Dernière intervention   -
Bonjour,
Je suis sur l'ordi a ma conjointe, mon laptop est completement gelé..un virus security tool..cheval de troie.. Je ne sais pas quoi faire??

Merci
A voir également:

68 réponses

Précédent
Réponse 41 / 68
dédétraqué Messages postés 4384 Date d'inscription   Statut Contributeur sécurité Dernière intervention   286
 
Salut rexxx83


Bah, pas pressé moi, j'écoute King Kong à la télé -;) lol
0
Réponse 42 / 68
rexxx83 Messages postés 91 Date d'inscription   Statut Membre Dernière intervention  
 
hahahaha ok moi aussi!!! LOL
0
Réponse 43 / 68
rexxx83 Messages postés 91 Date d'inscription   Statut Membre Dernière intervention  
 
ESETSmartInstaller@High as CAB hook log:
OnlineScanner.ocx - registred OK
# version=7
# iexplore.exe=7.00.6000.16705 (vista_gdr.080618-1506)
# OnlineScanner.ocx=1.0.0.6211
# api_version=3.0.2
# EOSSerial=5fa5eebb31c18542918ceceea356aa75
# end=finished
# remove_checked=true
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2010-02-28 02:00:45
# local_time=2010-02-27 09:00:45 (-0500, Est)
# country="Canada"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=512 16777215 100 0 50517095 50517095 0 0
# compatibility_mode=768 16777215 100 0 51582141 51582141 0 0
# compatibility_mode=1024 16777215 100 0 2489993 2489993 0 0
# compatibility_mode=8192 67108863 100 0 0 0 0 0
# scanned=82196
# found=20
# cleaned=20
# scan_time=6395
C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy\Recovery\ZangoShoppingReport6.zip Win32/Bagle.gen.zip worm (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\Documents and Settings\Francis\Application Data\Malwarebytes\Malwarebytes' Anti-Malware\Quarantine\QUAR1.26271 Win32/Adware.Virtumonde.NEO application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\Qoobox\Quarantine\C\WINDOWS\ieocx.dll.vir Win32/Adware.WinPCDefender application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\Qoobox\Quarantine\C\WINDOWS\system32\dmtpmejh.ini.vir Win32/Adware.Virtumonde.NEO application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\Qoobox\Quarantine\C\WINDOWS\system32\dwjnygff.ini.vir Win32/Adware.Virtumonde.NEO application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\Qoobox\Quarantine\C\WINDOWS\system32\eybugipj.ini.vir Win32/Adware.Virtumonde.NEO application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\Qoobox\Quarantine\C\WINDOWS\system32\mxcrhuod.ini.vir Win32/Adware.Virtumonde.NEO application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\Qoobox\Quarantine\C\WINDOWS\system32\omdlgxgb.ini.vir Win32/Adware.Virtumonde.NEO application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\Qoobox\Quarantine\C\WINDOWS\system32\OpAJQXyb.ini.vir Win32/Adware.Virtumonde.NEO application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\Qoobox\Quarantine\C\WINDOWS\system32\OpAJQXyb.ini2.vir Win32/Adware.Virtumonde.NEO application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\Qoobox\Quarantine\C\WINDOWS\system32\otgpeoxi.ini.vir Win32/Adware.Virtumonde.NEO application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\Qoobox\Quarantine\C\WINDOWS\system32\qnnpnsqt.ini.vir Win32/Adware.Virtumonde.NEO application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\Qoobox\Quarantine\C\WINDOWS\system32\sglthoxq.ini.vir Win32/Adware.Virtumonde.NEO application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\System Volume Information\_restore{C14530EC-6AED-4165-8F80-14C3D76BADF1}\RP716\A0186774.exe a variant of Win32/Kryptik.CPD trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\System Volume Information\_restore{C14530EC-6AED-4165-8F80-14C3D76BADF1}\RP716\A0186775.exe a variant of Win32/Injector.AXX trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\System Volume Information\_restore{C14530EC-6AED-4165-8F80-14C3D76BADF1}\RP720\A0189053.exe a variant of Win32/Kryptik.CNW trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\_OTM\MovedFiles\02252010_230944\C_DOCUME~1\Francis\LOCALS~1\Temp\Xrx.exe a variant of Win32/Kryptik.CQV trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\_OTM\MovedFiles\02252010_230944\C_WINDOWS\msa.exe a variant of Win32/Kryptik.CRB trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\_OTM\MovedFiles\02252010_230944\C_WINDOWS\system32\sshnas21.dll a variant of Win32/Kryptik.CRB trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
C:\_OTM\MovedFiles\02252010_230944\C_WINDOWS\Temp\_ex-08.exe Win32/Kryptik.CRM.Gen trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C
0
Réponse 44 / 68
dédétraqué Messages postés 4384 Date d'inscription   Statut Contributeur sécurité Dernière intervention   286
 
Salut rexxx83


Cela est bon, as-tu d'autre souci?


@++ :)
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 45 / 68
rexxx83 Messages postés 91 Date d'inscription   Statut Membre Dernière intervention  
 
est ce que le probleme semble résolu??
0
Réponse 46 / 68
dédétraqué Messages postés 4384 Date d'inscription   Statut Contributeur sécurité Dernière intervention   286
 
Salut rexxx83


Rien de détecté, simplement la quarantaine des outils utilisé pour la désinfection, résolu pour moi mais c'est toi qui est devant le PC, vois-tu d'autre souci?


@++ :)
0
Réponse 47 / 68
rexxx83 Messages postés 91 Date d'inscription   Statut Membre Dernière intervention  
 
Quand je vais sur google par exemple..fais une recherche.. la page s'ouvre sur mes ma recherche.. quand je clieque sur le lien.. je n'arrive pas sur mon lien.. je suis redirigé vers d'autre chose.. d'autre site de publicité..
0
Réponse 48 / 68
dédétraqué Messages postés 4384 Date d'inscription   Statut Contributeur sécurité Dernière intervention   286
 
Salut rexxx83


Voilà le genre de problème que je ne peut voir :D

Télécharge Gmer et enregistre-le sur ton bureau.
http://www2.gmer.net/download.php

- Déconnecte toi d'internet si possible et ferme tous les programmes, puis lance l'outil.
- Clique sur le bouton "Scan" sur la droite.

- Lorsque le scan est terminé, clic sur "Copy".
- Ouvre le bloc-note et clic sur le Menu Edition / Coller
- Le rapport doit alors apparaître.

- Enregistre le fichier sur ton bureau et copie/colle le contenu ici.


@++ :)
0
Réponse 49 / 68
rexxx83 Messages postés 91 Date d'inscription   Statut Membre Dernière intervention  
 
MER 1.0.15.15281 - http://www.gmer.net
Rootkit quick scan 2010-02-27 21:45:56
Windows 5.1.2600 Service Pack 3
Running: yx17ge54.exe; Driver: C:\DOCUME~1\Francis\LOCALS~1\Temp\pxliyfog.sys


---- Devices - GMER 1.0.15 ----

Device -> \Driver\iaStor \Device\Harddisk0\DR0 89CF0A9A

---- Files - GMER 1.0.15 ----

File C:\WINDOWS\system32\drivers\iaStor.sys suspicious modification

---- EOF - GMER 1.0.15 ----
0
Réponse 50 / 68
dédétraqué Messages postés 4384 Date d'inscription   Statut Contributeur sécurité Dernière intervention   286
 
Salut rexxx83


Faire un scan de ce fichier iaStor.sys ici :

https://www.virustotal.com/gui/


Clique sur Parcourir et copie/colle ceci :
C:\WINDOWS\system32\drivers\iaStor.sys
Après tu clique sur Envoyer le fichier et attendre le résultat de l’analyse.

Si il te dit que le fichier a déjà été analysé, sélectionne le bouton :
Reanalyse le fichier maintenant et attendre le résultat de l'analyse, poste le résultat au complet.

Poste le résultat au complet

Aide : http://bibou0007.com/scans-en-ligne-f75/tutorial-sur-virustotal-t190.htm


-----


On va voir si on trouve un fichier de remplacement si ce fichier est infecté :

Télécharge SystemLook sur ton Bureau :
http://jpshortstuff.247fixes.com/SystemLook.exe

- Faire un clic droit sur SystemLook.exe pour le lancer et choisi "Exécuter en tant qu'administrateur".

- Copie le contenu en gras ci-dessous et colle-le dans la zone texte de SystemLook :

:filefind
iaStor.sys

- Clique sur le bouton Look pour démarrer l'examen.
- A la fin, le Bloc-notes s'ouvre avec le résultat de l'analyse. Copie-colle le rapport dans ta prochaine réponse.


@++ :)
0
Réponse 51 / 68
rexxx83 Messages postés 91 Date d'inscription   Statut Membre Dernière intervention  
 
Fichier iaStor.sys reçu le 2010.02.28 03:00:02 (UTC)
Situation actuelle: en cours de chargement ... mis en file d'attente en attente en cours d'analyse terminé NON TROUVE ARRETE


Résultat: 0/42 (0%)
en train de charger les informations du serveur...
Votre fichier est dans la file d'attente, en position: ___.
L'heure estimée de démarrage est entre ___ et ___ .
Ne fermez pas la fenêtre avant la fin de l'analyse.
L'analyseur qui traitait votre fichier est actuellement stoppé, nous allons attendre quelques secondes pour tenter de récupérer vos résultats.
Si vous attendez depuis plus de cinq minutes, vous devez renvoyer votre fichier.
Votre fichier est, en ce moment, en cours d'analyse par VirusTotal,
les résultats seront affichés au fur et à mesure de leur génération.
Formaté Impression des résultats
Votre fichier a expiré ou n'existe pas.
Le service est en ce moment, stoppé, votre fichier attend d'être analysé (position : ) depuis une durée indéfinie.

Vous pouvez attendre une réponse du Web (re-chargement automatique) ou taper votre e-mail dans le formulaire ci-dessous et cliquer "Demande" pour que le système vous envoie une notification quand l'analyse sera terminée.
Email:


Antivirus Version Dernière mise à jour Résultat
a-squared 4.5.0.50 2010.02.27 -
AhnLab-V3 5.0.0.2 2010.02.27 -
AntiVir 8.2.1.176 2010.02.26 -
Antiy-AVL 2.0.3.7 2010.02.26 -
Authentium 5.2.0.5 2010.02.27 -
Avast 4.8.1351.0 2010.02.27 -
Avast5 5.0.332.0 2010.02.28 -
AVG 9.0.0.730 2010.02.27 -
BitDefender 7.2 2010.02.28 -
CAT-QuickHeal 10.00 2010.02.27 -
ClamAV 0.96.0.0-git 2010.02.28 -
Comodo 4087 2010.02.27 -
DrWeb 5.0.1.12222 2010.02.28 -
eSafe 7.0.17.0 2010.02.25 -
eTrust-Vet 35.2.7331 2010.02.26 -
F-Prot 4.5.1.85 2010.02.27 -
F-Secure 9.0.15370.0 2010.02.27 -
Fortinet 4.0.14.0 2010.02.27 -
GData 19 2010.02.28 -
Ikarus T3.1.1.80.0 2010.02.27 -
Jiangmin 13.0.900 2010.02.27 -
K7AntiVirus 7.10.984 2010.02.26 -
Kaspersky 7.0.0.125 2010.02.28 -
McAfee 5905 2010.02.27 -
McAfee+Artemis 5905 2010.02.27 -
McAfee-GW-Edition 6.8.5 2010.02.28 -
Microsoft 1.5502 2010.02.27 -
NOD32 4901 2010.02.27 -
Norman 6.04.08 2010.02.27 -
nProtect 2009.1.8.0 2010.02.27 -
Panda 10.0.2.2 2010.02.27 -
PCTools 7.0.3.5 2010.02.28 -
Prevx 3.0 2010.02.28 -
Rising 22.36.06.01 2010.02.28 -
Sophos 4.50.0 2010.02.28 -
Sunbelt 5702 2010.02.27 -
Symantec 20091.2.0.41 2010.02.28 -
TheHacker 6.5.1.7.214 2010.02.28 -
TrendMicro 9.120.0.1004 2010.02.27 -
VBA32 3.12.12.2 2010.02.26 -
ViRobot 2010.2.27.2206 2010.02.27 -
VirusBuster 5.0.27.0 2010.02.27 -
Information additionnelle
File size: 305176 bytes
MD5...: 2358c53f30cb9dcd1d3843c4e2f299b2
SHA1..: fa19676a1ff9712cb03ef32c0c3d42308700d8bb
SHA256: c3e5f2d60133b10dea52af11e192dfdc4160611f5f0a86ed66138db91532ca4a
ssdeep: 6144:1Mq0uXXatU/AUlKRHP7lq7jvlYeRcXExP:DatU4U0787jv3R1

PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0xc3005
timedatestamp.....: 0x4696b24a (Thu Jul 12 22:59:22 2007)
machinetype.......: 0x14c (I386)

( 6 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x438d6 0x43a00 6.47 3f53bf82754019af1628f21115998bd7
.rdata 0x45000 0xb5c 0xc00 5.59 26a1c3efe45e5638c8fe2071c5638ade
.data 0x46000 0x7c6e0 0x1000 4.80 e79837951a43c4ac27e20a547ff263e9
INIT 0xc3000 0xd36 0xe00 5.51 205bf2d106478ff5fce90209207a6dd3
.rsrc 0xc4000 0x458 0x600 2.60 f02cd0abe9a41626cf4f34af4b1af8ca
.reloc 0xc5000 0x1f8a 0x2000 5.54 5aaad750f379cdd27ec75eb714b06d28

( 2 imports )
> ntoskrnl.exe: ZwClose, ZwQueryValueKey, DbgPrint, ZwOpenKey, InterlockedPopEntrySList, IofCompleteRequest, KeSetEvent, PoSetPowerState, _aullshr, IoFreeWorkItem, IoUnregisterPlugPlayNotification, ObfDereferenceObject, KeWaitForSingleObject, IofCallDriver, IoBuildDeviceIoControlRequest, KeInitializeEvent, memcpy, IoGetDeviceObjectPointer, IoQueueWorkItem, IoAllocateWorkItem, IoRegisterPlugPlayNotification, KeClearEvent, WRITE_REGISTER_ULONG, READ_REGISTER_ULONG, ObReferenceObjectByHandle, MmGetPhysicalAddress, KeCancelTimer, KeSetTimerEx, KeInitializeTimerEx, memmove, KeDelayExecutionThread, _aulldiv, strncpy, strncmp, _purecall, sprintf, _allmul, InterlockedPushEntrySList, RtlCompareMemory, IoInvalidateDeviceRelations, KeSetTimer, ExSystemTimeToLocalTime, KeQuerySystemTime, MmUnmapIoSpace, MmMapIoSpace, RtlWriteRegistryValue, ZwCreateKey, swprintf, KeLeaveCriticalRegion, KeEnterCriticalRegion, MmMapLockedPagesSpecifyCache, ExDeleteNPagedLookasideList, KeBugCheck, PsTerminateSystemThread, KeWaitForMultipleObjects, KeSetPriorityThread, PsCreateSystemThread, ExInitializeNPagedLookasideList, memset, _aulldvrm, PoRequestPowerIrp, PoStartNextPowerIrp, PoCallDriver, IoReleaseRemoveLockEx, IoAcquireRemoveLockEx, IoFreeIrp, IoAllocateIrp, IoGetAttachedDeviceReference, _alldiv, IoDeleteSymbolicLink, IoAttachDeviceToDeviceStack, IoCreateSymbolicLink, IoInitializeRemoveLockEx, IoCreateDevice, RtlUnicodeStringToInteger, wcsncpy, wcsstr, IoDeleteDevice, IoDetachDevice, _wcsupr, IoGetDeviceProperty, ZwCreateDirectoryObject, KeInitializeDpc, KeInitializeTimer, ExRegisterCallback, ExCreateCallback, IoConnectInterrupt, IoReportResourceForDetection, ExUnregisterCallback, IoDisconnectInterrupt, IoReleaseRemoveLockAndWaitEx, IoGetConfigurationInformation, KeRemoveQueueDpc, KeQueryTimeIncrement, KeTickCount, IoFreeMdl, MmProbeAndLockPages, IoAllocateMdl, strncat, RtlAnsiStringToUnicodeString, RtlInitAnsiString, ObfReferenceObject, PoRegisterDeviceForIdleDetection, IoInvalidateDeviceState, IoWriteErrorLogEntry, IoAllocateErrorLogEntry, IoGetDmaAdapter, strstr, RtlCreateRegistryKey, RtlCopyUnicodeString, KeInsertQueueDpc, KefAcquireSpinLockAtDpcLevel, KefReleaseSpinLockFromDpcLevel, IoRequestDeviceEject, KeBugCheckEx, RtlUnwind, RtlInitUnicodeString, ExAllocatePoolWithTag, RtlAppendUnicodeToString, RtlAppendUnicodeStringToString, RtlQueryRegistryValues, _aullrem, ExFreePoolWithTag
> HAL.dll: KfAcquireSpinLock, KfReleaseSpinLock, ExAcquireFastMutex, ExReleaseFastMutex, KeStallExecutionProcessor, KeGetCurrentIrql

( 0 exports )

RDS...: NSRL Reference Data Set
-
pdfid.: -
trid..: Win32 Executable Generic (68.0%)
Generic Win/DOS Executable (15.9%)
DOS Executable Generic (15.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
sigcheck:
publisher....: Intel Corporation
copyright....: Copyright(C) Intel Corporation 1994-2007
product......: Intel Matrix Storage Manager driver
description..: Intel Matrix Storage Manager driver - ia32
original name: iaStor.sys
internal name: iaStor.sys
file version.: 7.6.0.1011
comments.....: -ia32
signers......: Intel Corporation
VeriSign Class 3 Code Signing 2004 CA
Class 3 Public Primary Certification Authority
signing date.: 12:35 AM 7/13/2007
verified.....: -



ATTENTION: VirusTotal est un service gratuit offert par Hispasec Sistemas. Il n'y a aucune garantie quant à la disponibilité et la continuité de ce service. Bien que le taux de détection permis par l'utilisation de multiples moteurs antivirus soit bien supérieur à celui offert par seulement un produit, ces résultats NE garantissent PAS qu'un fichier est sans danger. Il n'y a actuellement aucune solution qui offre un taux d'efficacité de 100% pour la détection des virus et malwares.
0
Réponse 52 / 68
rexxx83 Messages postés 91 Date d'inscription   Statut Membre Dernière intervention  
 
ystemLook v1.0 by jpshortstuff (11.01.10)
Log created at 22:03 on 27/02/2010 by Francis (Administrator - Elevation successful)

No Context: filefind

No Context: iaStor.sys

-=End Of File=-
0
Réponse 53 / 68
dédétraqué Messages postés 4384 Date d'inscription   Statut Contributeur sécurité Dernière intervention   286
 
Salut


Télécharge combofix.exe (de sUBs) sur le bureau :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
http://www.geekstogo.com/forum/files/file/197-combofix-by-subs/

Important Désactive ton Antivirus, antispyware et Pare feu avant le scan avec Combofix :
https://forum.pcastuces.com/default.asp
https://www.bleepingcomputer.com/forums/t/114351/how-to-temporarily-disable-your-anti-virus-firewall-and-anti-malware-programs/

==> Sauvegarde ton travail et ferme toutes les fenêtres actives, il peut y avoir un redémarrage du PC. Ne lance aucun programme tant que Combofix n’est pas fini. <==

Double clique sur combofix.exe, clique sur OUI et valide par Entrée

Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

NOTE : Le rapport se trouve également ici : C:\Combofix.txt

Combofix est détecté par certains antivirus comme une infection, ne pas en tenir compte, il s'agit d'un faux positif, continue la procédure


@++ :)
0
Réponse 54 / 68
rexxx83 Messages postés 91 Date d'inscription   Statut Membre Dernière intervention  
 
Je ne suis pas capable de te le poster????
0
Réponse 55 / 68
dédétraqué Messages postés 4384 Date d'inscription   Statut Contributeur sécurité Dernière intervention   286
 
Salut rexxx83


Utilise cjoint.com pour poster en lien ton rapport :
https://www.cjoint.com/

- Clique sur Parcourir pour aller chercher le rapport
- Clique sur Ouvrir ensuite sur Créer le lien Cjoint

- Fais un copier/coller du lien qui est devant Le lien a été créé: dans ta prochaine réponse.


@++ :)
0
Réponse 56 / 68
rexxx83 Messages postés 91 Date d'inscription   Statut Membre Dernière intervention  
 
https://www.cjoint.com/?cCfmUJE8B8
0
Réponse 57 / 68
dédétraqué Messages postés 4384 Date d'inscription   Statut Contributeur sécurité Dernière intervention   286
 
Salut rexxx83


Cela est bon, le fichier a été détecté et restauré par Combofix :
Une copie infectée de c:\windows\system32\drivers\iaStor.sys a été trouvée et désinfectée


Tout de même inquiétant que les Antivirus en lignes n'ont encore rien vus.... :(

As-tu encore des redirections?


@++ :)
0
Réponse 58 / 68
rexxx83 Messages postés 91 Date d'inscription   Statut Membre Dernière intervention  
 
Merci beaucoup beaucoup pour ton temps.

Passe une excellente journée!!!
0
Réponse 59 / 68
dédétraqué Messages postés 4384 Date d'inscription   Statut Contributeur sécurité Dernière intervention   286
 
Salut rexxx83


OK, mais tu n'as pas répondu, as-tu encore des redirections avec Google?


@++ :)
0
Réponse 60 / 68
rexxx83 Messages postés 91 Date d'inscription   Statut Membre Dernière intervention  
 
Il ne semble plus y en avoir!!
0