BankerFox.A et win32/Nuqel.E Résolu

Question

Bonjour, 
un virus m'a infecté
BankerFox.A et win32/Nuqel.E ?
Avira ne fonctionne plus net je ne peux pas effectuer Hijackthis.
pouvez vous m'aider. merci


Configuration: Windows Vista / Firefox 3.6.3

Smart91 · Answer

Bonjour,

Essaie de faire ceci:

Télécharge ZHPDiag sur ton bureau 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 

Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions.
 
/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau. 
-  Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer. (/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix)
-  Clique sur la loupe pour lancer l'analyse. 
-  Laisse l'outil travailler, il peut être assez long. 
-  Ferme ZHPDiag en fin d'analyse. 
-  Pour transmettre le rapport clique sur ce lien : http://www.cijoint.fr/ 
-  Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag). 
-  Sélectionne le fichier ZHPDiag.txt. 
-  Clique sur "Cliquez ici pour déposer le fichier". 
-  Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt est ajouté dans la page. 
-  Copie ce lien dans ta réponse.

Smart

muralhao · Answer

Merci Smart
voilà le lien. http://www.cijoint.fr/cjlink.php?file=cj201005/cijiSPzItx.txt
á demain.

Smart91 · Answer

OK /!\ Utilisateurs de Vista et Windows 7 : Ne pas oublier de désactiver l'UAC juste le temps de désinfection de ton pc, il sera à réactiver plus tard : Pour Vista : https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac Pour Windows 7: https://www.androidworld.fr/ - Télécharge Malwarebytes - Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement. - Fais la mise à jour du logiciel, c'est très important (elle se fait normalement à l'installation) - Lance une analyse complète en cliquant sur "Exécuter un examen complet" - Sélectionne les disques que tu veux analyser et clique sur "Lancer l'examen" - L'analyse peut durer un bon moment..... - Une fois l'analyse terminée, clique sur "OK" puis sur "Afficher les résultats" - Vérifie que tout est bien coché et clique sur "Supprimer la sélection" => et ensuite sur "OK" - Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum * Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Fais le en cliquant sur "oui" à la question posée Smart

muralhao · Answer

salut Smart  
voilà le rapport  
Malwarebytes' Anti-Malware 1.46  
www.malwarebytes.org  

Version de la base de données: 4147  

Windows 6.0.6002 Service Pack 2  
Internet Explorer 8.0.6001.18904  

27/05/2010 13:52:00  
mbam-log-2010-05-27 (13-52-00).txt  

Type d'examen: Examen complet (C:\|)  
Elément(s) analysé(s): 247865  
Temps écoulé: 1 heure(s), 10 minute(s), 59 seconde(s)  

Processus mémoire infecté(s): 0  
Module(s) mémoire infecté(s): 0  
Clé(s) du Registre infectée(s): 5  
Valeur(s) du Registre infectée(s): 6  
Elément(s) de données du Registre infecté(s): 2  
Dossier(s) infecté(s): 0  
Fichier(s) infecté(s): 11  

Processus mémoire infecté(s):  
(Aucun élément nuisible détecté)  

Module(s) mémoire infecté(s):  
(Aucun élément nuisible détecté)  

Clé(s) du Registre infectée(s):  
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\cbssreg (Trojan.Agent) -> Delete on reboot.  
HKEY_CURRENT_USER\Software\avsoft (Trojan.Fraudpack) -> Quarantined and deleted successfully.  
HKEY_CURRENT_USER\Software\avsuite (Rogue.AntivirusSuite) -> Quarantined and deleted successfully.  
HKEY_LOCAL_MACHINE\SOFTWARE\avsoft (Trojan.Fraudpack) -> Quarantined and deleted successfully.  
HKEY_LOCAL_MACHINE\SOFTWARE\avsuite (Rogue.AntivirusSuite) -> Quarantined and deleted successfully.  

Valeur(s) du Registre infectée(s):  
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\winid (Malware.Trace) -> Quarantined and deleted successfully.  
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer
ofolderoptions (Hijack.FolderOptions) -> Delete on reboot.  
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\alrigwyw (Rogue.AntivirusSuite.Gen) -> Quarantined and deleted successfully.  
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\cbssreg (Trojan.Agent) -> Quarantined and deleted successfully.  
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\hsfg9w8gujsokgahi8gysgnsdgefshyjy (Trojan.Downloader) -> Quarantined and deleted successfully.  
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\mcexecwin (Trojan.Agent) -> Delete on reboot.  

Elément(s) de données du Registre infecté(s):  
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions (Hijack.FolderOptions) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.  
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools (Hijack.Regedit) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.  

Dossier(s) infecté(s):  
(Aucun élément nuisible détecté)  

Fichier(s) infecté(s):  
C:\Users\Messias\AppData\Local\Temp
maxeocwrs.exe (Rootkit.Dropper) -> Quarantined and deleted successfully.  
C:\Windows\System32\drivers\obhrsji.sys (Rootkit.Agent) -> Quarantined and deleted successfully.  
C:\Users\Public\Documents\Settings\cbss.dll (Trojan.Agent) -> Delete on reboot.  
C:\Users\Messias\AppData\Local\Temp\jisfije9fjoiee.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.  
C:\Users\Messias\AppData\Local\Temp\setup.exe (Trojan.Chifrax) -> Quarantined and deleted successfully.  
C:\Users\Messias\AppData\Local\Temp\svchost.exe (Trojan.Agent) -> Quarantined and deleted successfully.  
C:\Users\Messias\AppData\Local\Temp\winlogon.exe (Trojan.Agent) -> Quarantined and deleted successfully.  
C:\Users\Messias\AppData\Local\udvutshlg\vukhkxktssd.exe (Rogue.AntivirusSuite.Gen) -> Delete on reboot.  
C:\Users\Messias\AppData\Local\Temp\qlvoilw.exe (Trojan.Agent) -> Quarantined and deleted successfully.  
C:\Users\Messias\AppData\Local\Temp\avp.exe (Trojan.Downloader) -> Delete on reboot.  
C:\Users\Messias\AppData\Local\Temp	vzfp.dll (Trojan.Agent) -> Delete on reboot.  

dois-je refaire MalewareBytes pour verifier ?  
il semble qu'avira ne puisse toujours pas actualiser. dois-je faire un nouveau download (oups telechargement ) ?  je peux t'envoyer le rapport Avira.
merci. 
P.S je dois reactiver l'UAC ?

Smart91 · Answer

ReLance MBAM, vide la quarantaine et redémarre le PC.
Ensuite:

- Télécharge The Avenger par Swandog46 sur ton Bureau: 
http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/ 

- Click sur Avenger.zip pour ouvrir le fichier 
- Extraire avenger.exe sur ton bureau 
- Lance The Avenger en cliquant sur son icône du bureau. 
- Copie tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C): 


--------------------------------------------------------------------------------------

Drivers to disable: 
obhrsji

Drivers to delete: 
obhrsji

Files to delete: 
C:\Users\Messias\AppData\Local\Temp
maxeocwrs.exe
C:\Windows\System32\drivers\obhrsji.sys

-------------------------------------------------------------------------------------


- Colle ce texte (Ctrl+V) dans le cadre :Input script here 
-  Appuie sur Execute 
- Le PC va redémarrer 
- Colle le rapport qui va apparaître dans ta réponse

Smart

muralhao · Answer

Merci Smart
voici le rapport

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows Vista

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Driver "obhrsji" disabled successfully.
Driver "obhrsji" deleted successfully.

Error:  file "C:\Users\Messias\AppData\Local\Temp
maxeocwrs.exe" not found!
Deletion of file "C:\Users\Messias\AppData\Local\Temp
maxeocwrs.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

File "C:\Windows\System32\drivers\obhrsji.sys" deleted successfully.

Completed script processing.

*******************

Finished!  Terminate.

Smart91 · Answer

Refais un scan ZHPDiag et poste le rapport

Smart

muralhao · Answer

Smart
le rapport ne veut pas être envoyé . ici le lien
http://www.cijoint.fr/cjlink.php?file=cj201005/cijxLdl8f0.txt

merci

Muralhao

Smart91 · Answer

OK. Comment se comporte ton PC.
 
Désinstalle spyware doctor. Il ne sert à rien.
Vérifie bien la mise à jour de Antivir.
Et mets à jour la console Java
Télécharge JavaRa.zip de Paul McLain et Fred de Vries. 

http://raproducts.org/click/click.php?id=1 

- Décompresse le fichier sur le Bureau (Clic droit > Extraire tout). 
- Double-clique sur le répertoire JavaRa. 
- Puis double-clique sur le fichier JavaRa.exe (le exe peut ne pas s'afficher). 
- Choisis Français puis clique sur Select. 
- Clique sur Recherche de mises à jour. 
- Sélectionne Mettre à jour via jucheck.exe puis clique sur Rechercher. 
- Autorise le processus à se connecter s'il le demande, clique sur Installer et suis les instructions d'installation qui prennent quelques minutes. 
- L'installation est terminée, reviens à l'écran de JavaRa et clique sur Effacer les anciennes versions. 
- Clique sur Oui pour confirmer. Laisse travailler et clique ensuite sur OK, puis une deuxième fois sur OK. 
- Un rapport va s'ouvrir. Poste-le dans ta prochaine réponse. 
- Ferme l'application. 

Note : le rapport se trouve aussi dans C:\ sous le nom JavaRa.log. 

Tu dois aussi mettre à jour tous tes autres programmes pour combler des failles de sécurité... Vérifie les mises disponibles à l'aide de ce petit programme (choisis la version sans installation) : https://www.commentcamarche.net/faq/9908-filehippo-app-manager-vos-logiciels-sont-ils-a-jour
et lis ceci: Pourquoi tenir ses programmes a jour 

Ensuite si tout est OK pour toi, on procèdera à la désinstallation des outils que je t'ai faits installer.

Smart

muralhao · Answer

Salut Smart
et moi qui croyait que ça serait facile.
impossible d'actualiser Java. Il me dit que ma connection active ne marche pas et je ne trouve rien dans Panneau de configuration/options Internet/connexion.
j'ai fait une actualisation manuelle de Avira car l'automatique ne marche toujours pas.
merci encore
Muralhao

Smart91 · Answer

Peux-tu être plus explicite. je n'ai pas compris. Tu n'as plus de connexion Internet ?

Tu ne peux pas télécharger JavaRa etc....

Smart

muralhao · Answer

J'ai telechargé JavaRa mais quand je le lance la mise à jour /recherche par jucheck.exe il me dit que les paramêtres de la connection internet ne permettent pas de continuer. Il me dit de verifier les paramêtres et les informations de proxy dans options Internet/connexion

Smart91 · Answer

Va dans les options de Internet Explorer > Onglet Connexion > Clique sur paramètres réseau > Vérifie que toutes les cases soient décochées sinon fais le.

Smart

muralhao · Answer

Ok ça marche.
fais le télechargement de java.
j'ai effacé les anciennes version mais pas de javaRa.log nulle part. ni qui s'ouvre ni dans la racine ni avec rceherche.

Mais Avira s'actualise automatiquement. ouf. Merci

Smart91 · Answer

Va dans Ajout et suppression de programmes et vérifie qu'il n'y a qu'une seule version de java, cela doit être celle-ci Java 6 update 20

Ensuite si tout est OK, on procèdera à la désinstallations des outils et quelques conseils de prévention

Smart

muralhao · Answer

Salut Smart
désolé de pas avoir répondu rapidement...
un peu de mal á m'organiser. ;)
Il y a aussi une version java 6 uptade 6 qui s'en va pas avec JavaRa
merci

Smart91 · Answer

Est-ce que tu l'as supprimé avec Ajout/suppressions de programmes. Sinon fais le

Smart

muralhao · Answer

merci
c'est fait

Smart91 · Answer

OK on a presque terminé.

1. Désinstallation des outils
Lance ZHPFix (pour ça, fais un clic-droit dessus et choisis « Exécuter en temps qu'administrateur »)
- clique sur le « A » rouge (Nettoyeur de Tools) 
- clique sur « Nettoyer » 
Tutoriel pour t'aider 

2. Télécharge et installe CCleaner (N'installe pas la Yahoo Toolbar) : 
Avec ce logiciel on va supprimer les fichiers temporaires et inutiles sur ton PC. Ce n'est pas un logiciel qui supprime les infections
- Lance-le. Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc.... 
- Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage. 
- Ensuite, choisis Registre, puis Chercher des erreurs. Une fois terminé, répare toutes les erreurs (Sauvegarde la base de registre). 

3. Il est nécessaire de désactiver puis réactiver la restauration système pour la purger. 

Quelques conseils de Prévention

- Réactive l'UAC si ce n'est pas déjà fait. 

- Conserve MBAM. Il te servira à scanner les fichiers douteux en complément de l'antivirus et scanne le disque dur régulièrement. 

- Par rapport au P2P : http://www.libellules.ch/... 

- Voici un dossier complet sur le prévention et protection, il est absolument à lire (avec Adobe Reader ou Foxit Reader) : 
Prévention et Protection

Sois plus vigilant(e) sur Internet à l'avenir

Voilà pour moi c'est terminé. Si tu as des questions n'hésite pas

Smart

muralhao · Answer

Smart, je suis désolé de devoir t'écrire autre chose qu'un grand merci. 
car je vois bien combien je te dois pour ta patience et tes explications...
mais voilà quand je veux desactiver la restauration du systéme, je ne vois pas l'onglet "protection du système" les autres ( nom de l'ordinateur, materiel, ...)oui . donc je peux pas desactiver pour purger.

donc tu croyais en avoir fini avec moi mais pas encore tout à fait. enfin j'espère ;)
merci

Smart91 · Answer

Va dans le panneau de configuration > Outils d'administration > Services et vérifie que le "service de restauration systeme" est démarré en automatique.
Sinon fais le.

Il se peut, comme tu es sous vista, que le nom du service soit différent. Je ne me souviens pas du nom et je n'ai pas de PC Vista sous la main

Smart

muralhao · Answer

Bonsoir Smart,
Pas de "service de restauration système" dans le dossier Service.
Est-ce que c'est "moteur de sauvegarde en mode bloc"
merci

Smart91 · Answer

Le souci c'est que je ne me souviens plus du nom utilisé sous Vista. Regarde sous "Service Protection du système" ou alors "protection du système"
je vais chercher de mon côté

Smart

muralhao · Answer

j'ai pas trouvé mais je vais continuer mes recherches..
merci

Smart91 · Answer

Regarde si le service "sauvegarde Windows" est démarré en automatique. Sinon fais le. Redémarre le PC et vérifie que tu vois l'onglet " Protection du système"

Smart

muralhao · Answer

Un super Merci pour tout, ta patience, tes conseils, ton efficacicité.
amicalement 
:)

Smart91 · Answer

Heureux de t'avoir aidé. Et tes remerciements me touchent. 

Smart 
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

BankerFox.A et win32/Nuqel.E - Page 2

Discussions similaires

Newsletters