Besion d aide pour un trojan
Résolu
Bonjour,
je viens vous voir car mon pc est infecté par un trojan
il s appelle trojan downloader :win32/breddab.aa
donc quand j allume le pc le matin les sites ou je vais d' habitude il sont deja ouvert meme sans les mots de passe et il y a des fenetres bizarre qui apparaissent pourriez vous m aider.
svp
je viens vous voir car mon pc est infecté par un trojan
il s appelle trojan downloader :win32/breddab.aa
donc quand j allume le pc le matin les sites ou je vais d' habitude il sont deja ouvert meme sans les mots de passe et il y a des fenetres bizarre qui apparaissent pourriez vous m aider.
svp
9 réponses
-
Contributeur sécuritéHé bien voilà. On a presque terminé
Comment se comporte ton PC
Télécharge Hijackthis , Lance le et fais un do scan Only
Ensuite tu coches les lignes suivantes:
---------------------------------------------------------------------
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe
------------------------------------------------------------------------------
Ensuite tu cliques fix checked
1. Désinstallation des outils
Télécharge Toolscleaner sur ton Bureau:
- Double-clique sur ToolsCleaner2.exe et laisse le travailler
- Clique sur Recherche et laisse le scan se terminer.
- Clique sur Suppression pour finaliser.
- Tu peux, si tu le souhaites, te servir des Options facultatives.
- Clique sur Quitter, pour que le rapport puisse se créer.
- Le rapport (TCleaner.txt) se trouve à la racine du disque dur (C:\)...colle le dans ta prochaine réponse.
2. Télécharge et installe CCleaner (N'installe pas la Yahoo Toolbar) :
Avec ce logiciel on va supprimer les fichiers temporaires et inutiles sur ton PC. Ce n'est pas un logiciel qui supprime les infections.
- Lance-le. Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc....
- Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage.
- Ensuite, choisis Registre, puis Chercher des erreurs. Une fois terminé, répare toutes les erreurs (Sauvegarde la base de registre).
3. Il est nécessaire de désactiver puis réactiver la restauration système pour la purger.
Quelques conseils de Prévention
- Réactive l'UAC si ce n'est pas déjà fait.
- Conserve MBAM. Il te servira à scanner les fichiers douteux en complément de l'antivirus et scanne le disque dur régulièrement.
- Par rapport au P2P : http://www.libellules.ch/...
- Voici un dossier complet sur le prévention et protection, il est absolument à lire (avec Adobe Reader ou Foxit Reader) :
Prévention et Protection
Sois plus vigilant(e) sur Internet à l'avenir
Voilà si tu as des questions n'hésite pas
Smart
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)-
bonjour voici le rapport
[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]
--> Recherche:
C:\UsbFix: trouvé !
C:\Program Files\ZHPDiag: trouvé !
C:\Program Files\Trend Micro\HijackThis: trouvé !
C:\ProgramData\Microsoft\Windows\Start Menu\Programmes\HijackThis: trouvé !
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\HijackThis: trouvé !
C:\Users\All Users\Microsoft\Windows\Start Menu\Programmes\HijackThis: trouvé !
C:\Users\All Users\Microsoft\Windows\Start Menu\Programs\HijackThis: trouvé !
---------------------------------
--> Suppression:
C:\UsbFix: supprimé !
C:\Program Files\ZHPDiag: supprimé !
C:\Program Files\Trend Micro\HijackThis: supprimé !
C:\ProgramData\Microsoft\Windows\Start Menu\Programmes\HijackThis: supprimé !
-
-
Contributeur sécuritéC'est bon. Fais la suite
Pour moi c'est terminé, si tu as des questions n'hésite pas, sinon tu peux mettre en résolu le post.
Smart -
Contributeur sécuritéHeureux de t'avoir aidé
Smart -
Contributeur sécuritéBonjour,
On va analyser ton PC
Télécharge ZHPDiag sur ton bureau
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions.
/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »
N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.
- Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer.
(/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix)
- Clique sur la loupe pour lancer l'analyse.
- Laisse l'outil travailler, il peut être assez long.
- Ferme ZHPDiag en fin d'analyse.
- Pour transmettre le rapport clique sur ce lien : http://www.cijoint.fr/
- Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
- Sélectionne le fichier ZHPDiag.txt.
- Clique sur "Cliquez ici pour déposer le fichier".
- Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt est ajouté dans la page.
- Copie ce lien dans ta réponse.
Smart -
Contributeur sécurité/!\ Utilisateurs de Vista et Windows 7 : Ne pas oublier de désactiver l'UAC juste le temps de désinfection de ton pc, il sera à réactiver plus tard :
Pour Vista : https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac
Pour Windows 7: https://www.androidworld.fr/
- Télécharge Malwarebytes
- Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement.
- Fais la mise à jour du logiciel, c'est très important (elle se fait normalement à l'installation)
- Lance une analyse complète en cliquant sur "Exécuter un examen complet"
- Sélectionne les disques que tu veux analyser et clique sur "Lancer l'examen"
- L'analyse peut durer un bon moment.....
- Une fois l'analyse terminée, clique sur "OK" puis sur "Afficher les résultats"
- Vérifie que tout est bien coché et clique sur "Supprimer la sélection" => et ensuite sur "OK"
- Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum</list>
* Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Fais le en cliquant sur "oui" à la question posée
Smart-
voici le rapport
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org
Version de la base de données: 4161
Windows 6.1.7600
Internet Explorer 8.0.7600.16385
01/06/2010 16:44:56
mbam-log-2010-06-01 (16-44-56).txt
Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 183947
Temps écoulé: 24 minute(s), 43 seconde(s)
Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 4
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0
Processus mémoire infecté(s):
(Aucun élément nuisible détecté)
Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)
Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Handle (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\WEK9EMDHI9 (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\XML (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\YVIBBBHA8C (Trojan.Agent) -> Quarantined and deleted successfully.
Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)
Dossier(s) infecté(s):
(Aucun élément nuisible détecté)
Fichier(s) infecté(s):
(Aucun élément nuisible détecté)
-
-
Contributeur sécuritéOK. MBAM a détecté et mis en quarantaine des clés de registre infectées
Relance MBAM et vide la quarantaine.
Il se peut que tu aise une incfection par dsique amovibles (USB)
On va s'en assurer:
- Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore le et désactive le temporairement.
- Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
- Double clique sur le raccourci UsbFix sur ton Bureau, l'installation se fera automatiquement
-Clique sur "Recherche"
- Laisse travailler l'outil
- A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)
Smart-
voila le rapport et merci de prendre du temps pour m'aider
############################## | UsbFix 7.002 |
Utilisateur: Propriétaire (Administrateur) # PROPRIÉTAIRE-PC [System manufacturer System Product Name]
Mis à jour le 31/05/10 par El Desaparecido & C_XX
Lancé à 17:16:03 | 01/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com
CPU: Pentium(R) Dual-Core CPU E5300 @ 2.60GHz
CPU 2: Pentium(R) Dual-Core CPU E5300 @ 2.60GHz
Microsoft Windows 7 Édition Familiale Premium (6.1.7600 32-Bit) #
Internet Explorer 8.0.7600.16385
Pare-feu Windows: Activé
RAM -> 2047 Mo
C:\ (%systemdrive%) -> Disque fixe # 146 Go (115 Go libre(s) - 79%) [] # NTFS
D:\ -> Disque fixe # 152 Go (131 Go libre(s) - 87%) [Données] # NTFS
E:\ -> CD-ROM
F:\ -> Disque fixe # 149 Go (84 Go libre(s) - 56%) [Disque USB] # NTFS
G:\ -> Disque amovible # 980 Mo (923 Mo libre(s) - 94%) [USB_XP_710] # FAT
################## | Éléments infectieux |
Présent! C:\Users\PROPRI~1\AppData\Local\Temp\a.dat
Présent! C:\$Recycle.Bin\S-1-5-20
Présent! C:\$Recycle.Bin\S-1-5-21-1359989250-705658987-3760529135-1000
Présent! D:\$Recycle.Bin\S-1-5-20
Présent! D:\$Recycle.Bin\S-1-5-21-1359989250-705658987-3760529135-1000
################## | Registre |
################## | Mountpoints2 |
HKCU\.\.\.\.\Explorer\MountPoints2\{8c62127e-1750-11df-856a-806e6f6e6963}
Shell\AutoRun\Command = E:\Bin\Assetup.exe
################## | Vaccin |
(!) Cet ordinateur n'est pas vacciné!
################## | E.O.F |
-
-
Contributeur sécuritéHé bien. On a bien fait
On va faire le nettoyage et la vaccination:
- Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
- Double clique sur le raccourci UsbFix sur ton Bureau
- Clique sur "Suppression"
- Laisse travailler l'outil
- Ton Bureau va disparaitre puis l'ordinateur va redémarrer : c'est normal
- A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)
/!\UsbFix te proposera d'envoyer un dossier compressé à cette adresse. Ce dossier a été créé par UsbFix sur ton Bureau. Merci de l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches. Une fois sur le site, il faut sélectionner "UsbFix" dans le menu déroulant. Merci d'avance pour ta contribution !
Lis également ces deux dossiers sur les infections par clés ou disques USB:
Infections par disques amovibles
Infections par disques amovibles 2
Smart-
############################## | UsbFix 7.002 |
Utilisateur: Propriétaire (Administrateur) # PROPRIÉTAIRE-PC [System manufacturer System Product Name]
Mis à jour le 31/05/10 par El Desaparecido & C_XX
Lancé à 17:31:08 | 01/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com
CPU: Pentium(R) Dual-Core CPU E5300 @ 2.60GHz
CPU 2: Pentium(R) Dual-Core CPU E5300 @ 2.60GHz
Microsoft Windows 7 Édition Familiale Premium (6.1.7600 32-Bit) #
Internet Explorer 8.0.7600.16385
Pare-feu Windows: Activé
RAM -> 2047 Mo
C:\ (%systemdrive%) -> Disque fixe # 146 Go (115 Go libre(s) - 79%) [] # NTFS
D:\ -> Disque fixe # 152 Go (131 Go libre(s) - 87%) [Données] # NTFS
E:\ -> CD-ROM
F:\ -> Disque fixe # 149 Go (84 Go libre(s) - 56%) [Disque USB] # NTFS
G:\ -> Disque amovible # 980 Mo (923 Mo libre(s) - 94%) [USB_XP_710] # FAT
################## | Éléments infectieux |
Supprimé! C:\Users\PROPRI~1\AppData\Local\Temp\a.dat
Supprimé! C:\$Recycle.Bin\S-1-5-20
Supprimé! C:\$Recycle.Bin\S-1-5-21-1359989250-705658987-3760529135-1000
Supprimé! D:\$Recycle.Bin\S-1-5-20
Supprimé! D:\$Recycle.Bin\S-1-5-21-1359989250-705658987-3760529135-1000
Supprimé! F:\$Recycle.Bin\S-1-5-21-1359989250-705658987-3760529135-1000
Supprimé! F:\Recycler\S-1-5-21-1606980848-746137067-839522115-1003
Supprimé! F:\Recycler\S-1-5-21-299502267-261478967-682003330-1003
Supprimé! F:\Recycler\S-1-5-21-3456977745-2359458084-2521788024-1003
Supprimé! F:\Recycler\S-1-5-21-4190270386-1090319643-972904231-1003
Supprimé! F:\Recycler\S-1-5-21-4233252474-1067315894-2660921558-1003
Supprimé! F:\Recycler\S-1-5-21-725345543-706699826-1343024091-1004
################## | Registre |
################## | Mountpoints2 |
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{8c62127e-1750-11df-856a-806e6f6e6963}
################## | Listing |
[01/06/2010 - 17:35:00 | SHD ] C:\$Recycle.Bin
[10/06/2009 - 23:42:20 | A | 24] C:\autoexec.bat
[01/03/2010 - 19:59:58 | D ] C:\Brother
[10/06/2009 - 23:42:20 | A | 10] C:\config.sys
[14/07/2009 - 06:53:55 | SHD ] C:\Documents and Settings
[21/03/2010 - 20:16:10 | D ] C:\download
[01/06/2010 - 16:08:59 | ASH | 1609965568] C:\hiberfil.sys
[11/02/2010 - 16:14:00 | D ] C:\Intel
[24/02/2010 - 11:03:34 | RASH | 0] C:\IO.SYS
[24/02/2010 - 11:03:34 | RASH | 0] C:\MSDOS.SYS
[11/02/2010 - 16:28:52 | D ] C:\NVIDIA
[01/06/2010 - 16:09:19 | ASH | 2146623488] C:\pagefile.sys
[14/07/2009 - 04:37:05 | D ] C:\PerfLogs
[01/06/2010 - 16:13:07 | RD ] C:\Program Files
[01/06/2010 - 16:13:07 | HD ] C:\ProgramData
[11/02/2010 - 16:11:02 | SHD ] C:\Recovery
[11/02/2010 - 16:15:56 | A | 1855] C:\RHDSetup.log
[01/06/2010 - 15:43:19 | SHD ] C:\System Volume Information
[01/06/2010 - 17:31:34 | D ] C:\Usbfix
[01/06/2010 - 17:35:02 | A | 2831] C:\UsbFix.txt
[13/02/2010 - 15:00:10 | RD ] C:\Users
[02/04/2010 - 15:53:35 | D ] C:\Windows
[01/06/2010 - 17:35:00 | D ] D:\$RECYCLE.BIN
[05/03/2010 - 14:47:57 | D ] D:\Config.Msi
[08/03/2010 - 16:00:42 | D ] D:\Dossier utilisateur
[18/02/2010 - 15:19:08 | D ] D:\MSOCache
[29/02/2004 - 17:44:34 | N | 52576] D:\orange.bmp
[20/03/2010 - 19:45:44 | D ] D:\pvcrwork
[08/03/2010 - 10:08:41 | D ] D:\System Volume Information
[09/03/2010 - 08:34:05 | N | 18944] D:\vente bouaye.xls
[03/03/2010 - 08:36:06 | D ] D:\WindowsImageBackup
[01/06/2010 - 17:35:00 | SHD ] F:\$RECYCLE.BIN
[27/03/2010 - 14:07:40 | A | 4192102400] F:\20100327120050.mpg
[17/03/2010 - 08:18:40 | D ] F:\9aae48c71cff2323e67fc6
[17/03/2010 - 08:21:42 | D ] F:\divers
[29/03/2010 - 21:37:19 | D ] F:\DivX
[29/03/2010 - 20:48:27 | D ] F:\DivX Movies
[29/03/2010 - 20:20:26 | A | 733702144] F:\Dora L'exploratrice - Suivez La Carte.avi
[17/03/2010 - 08:18:21 | RD ] F:\dossier beau parents
[17/03/2010 - 08:22:36 | D ] F:\film et logiciel pour
[25/03/2010 - 13:17:33 | D ] F:\jeux wii
[25/09/2009 - 13:44:34 | D ] F:\livre maman
[09/03/2010 - 18:25:43 | D ] F:\my works
[03/03/2010 - 16:57:48 | D ] F:\nounou
[17/03/2010 - 11:16:36 | D ] F:\photo
[17/03/2010 - 08:15:00 | D ] F:\photo vente
[01/06/2010 - 17:34:57 | SHD ] F:\RECYCLER
[09/03/2010 - 16:10:46 | SHD ] F:\System Volume Information
[25/02/2010 - 17:14:08 | ASH | 51200] F:\Thumbs.db
[09/03/2010 - 08:34:05 | A | 18944] F:\vente bouaye.xls
[24/05/2010 - 20:17:28 | A | 11368973] G:\wg311v3_3_1_setup.zip
[03/03/2008 - 12:27:16 | A | 15484083] G:\wg311v3_3_1_setup.exe
[24/05/2010 - 21:05:40 | A | 13937560] G:\wg311v3_v5.0.0.5_setup.zip
[19/04/2010 - 06:41:06 | A | 18184803] G:\wg311v3_v5.0.0.5_setup.exe
################## | Vaccin |
C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
F:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
G:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
################## | E.O.F | -
-
-
Contributeur sécuritéPeu importe pour le moment.
Peux-tu refaire un rapport ZHPDiag, pour vérifier si il reste encore des infections
Smart
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera) -
Contributeur sécuritéEncore quelques traces
Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert)
Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
Copie/colle les lignes suivantes et place les dans ZHPFix :
----------------------------------------------------------
O53 - SMSR:HKLM\...\startupreg\ALLUpdate [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\OpenSubtitlesPlayer\ALLUpdate.exe
O53 - SMSR:HKLM\...\startupreg\YVIBBBHA8C [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Users\PROPRI~1\AppData\Local\Temp\Wwd.exe
----------------------------------------------------------
- Clique sur « Tous », puis sur « Nettoyer »
- Copie/colle la totalité du rapport dans ta prochaine réponse
Et ensuite tu refais un rapport ZHPDiag
Cela te fait deux rapports à poster
Smart-
voici le premier rapport
ZHPFix v1.12.3103 by Nicolas Coolman - Rapport de suppression du 01/06/2010 21:23:13
Fichier d'export Registre : C:\ZHPExportRegistry-01-06-2010-21-23-13.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr
Processus mémoire :
(Néant)
Module mémoire :
(Néant)
Clé du Registre :
O53 - SMSR:HKLM\...\startupreg\ALLUpdate [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\OpenSubtitlesPlayer\ALLUpdate.exe => Clé supprimée avec succès
O53 - SMSR:HKLM\...\startupreg\YVIBBBHA8C [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Users\PROPRI~1\AppData\Local\Temp\Wwd.exe => Clé supprimée avec succès
Valeur du Registre :
(Néant)
Elément de données du Registre :
(Néant)
Préférences navigateur :
(Néant)
Dossier :
(Néant)
Fichier :
c:\program files\opensubtitlesplayer\allupdate.exe => Fichier absent
c:\users\propri~1\appdata\local\temp\wwd.exe => Fichier absent
Logiciel :
(Néant)
Script Registre :
(Néant)
Master Boot Record :
(Néant)
Autre :
(Néant)
Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 2
Valeur du Registre : 0
Elément de données du Registre : 0
Dossier : 0
Fichier : 2
Logiciel : 0
Master Boot Record : 0
Préférences navigateur : 0
Autre : 0
End of the scan -
-
