Chevaux de troie dropper.agent... au secours!Résolu/Fermé

Question

Bonjour,
mon avg a détecté des chevaux de troie du type dropper.agent.vda et dropper.agent.vdg depuis quelques jours et aujourd'hui mon ordi fait des choses bizarres (souris qui ne répond pas, curseur qui se déplace tout seul dans la barre de saisie...). Aidez-moi svp tous les gens qui s'y connaissent dans mon entourage sont partis en vacances !!! Mille mercis par avance...



Configuration: Windows XP / Firefox 3.6.6

Xplode · Answer

Bonjour,

[x] Suis la procédure jusqu'au bout. Même si le PC semble aller mieux, ce n'est pas pour autant qu'il est totalement désinfecté !

[x] Si tu as des difficultés pour effectuer une procédure ou bien une simple question, n'hésite pas à me demander.

-+-+-+-+-> ZHPDiag <-+-+-+-+-


[x] Nous allons effectuer un diagnostic de ton ordinateur, pour ce faire, télécharge ZHPDiag ( de Nicolas Coolman ).

[x] Exécute l'installateur -> /!\ Coche la case " créer une icône sur le bureau " /!\ 

[x] Lance le en double cliquant sur l'icône ZHPDiag qui se trouve sur ton bureau ( Sous Vista/Seven : Clic droit sur l'icône -> " Exécuter en tant qu'administrateur " )

[x] Clique sur l'icône en forme de loupe en haut à gauche ( Lancer le diagnostic ).

[x] Une fois l'analyse terminée, clique sur l'icône en forme de disquette bleue puis sauvegarde le fichier sur ton bureau.

[x] Rend toi sur cjoint puis clique sur " Parcourir ".

[x] Sélectionne le fichier ZHPDiag.txt présent sur ton bureau, puis clique sur " Ouvrir ".

[x] Clique ensuite sur " Créer le lien cjoint " puis copie/colle dans ta prochaine réponse le lien créé.

Xplode · Answer

-+-+-+-+-> USBFix <-+-+-+-+-


Note : Ton PC est victime d'une infection par médias amovibles. Tu trouveras plus d'informations sur cette infection ici.

[x] Télécharge USBfix ( d'El desaparecido et C_XX ) sur ton bureau.

[x] Si ton anvirus affiche une alerte, ignore le et désactive le momentanément.

[x] Branche tout tes médias amovibles à ton PC ( Clé USB, disque dur externe, carte SD etc.. ) sans les ouvrir.

[x] Exécute USBfix sur ton bureau puis clique sur " Suppression ".

[x] Patiente pendant le scan. Un rapport s'ouvrira, copie/colle son contenu dans ton prohain message.

Notes : Le rapport est également sauvegardé à la racine du disque dur ( généralement C:\ )

Un tutoriel en images est disponible ici.

Xplode · Answer

Je l'ai bien reçu.

-+-+-+-+-> Virustotal <-+-+-+-+-


[x] Rends toi sur ce site puis cliques sur " Choisissez un fichier ".

[x] Sélectionne ce fichier : C:\Program Files\Internet Explorer\csrss.exe puis cliques sur " Ouvrir ". Patiente pendant l'envoi.

[x] Si il est indiqué que le fichier a déjà été analysé, clique sur " Réanalyser ".

[x] Copie/Colle le rapport affiché à l'écran dans ta prochaine réponse.

Xplode · Answer

Ca l'est :)

-+-+-+-+-> Malwarebytes' Anti-Malware <-+-+-+-+-


[x] Télécharge Malwarebytes' Anti-malware sur ton bureau.

[x] Installe le en laissant les options par défaut ( Cocher seulement " Créer une icône sur le bureau " )

[x] A la fin de l'installation, MBAM se mettra à jour automatiquement puis s'exécutera.

[x] Une fois lancé, clique sur " Exécuter un examen complet " puis sur " Rechercher "

[x] Sélectionne tout tes disques locaux et amovibles

[x] Patiente pendant toute la durée du scan, puis clique sur " Ok " une fois l'analyse effectuée.

[x] Clique ensuite sur " Afficher les résultats " puis sur " Supprimer la sélection ". Valide ensuite par " Ok ".

[x] MBAM ouvrira un rapport, copie/colle son contenu dans ta prochaine réponse.

[x] Tu peux ensuite vider la quarantaine de MBAM.

[x] Note : MBAM t'invitera peut être à redémarrer ton PC, fais le. Le rapport se trouve dans la partie " Rapports/Logs " de MBAM.

[x] Si tu as des soucis, un tutoriel est disponible à cette adresse.

Xplode · Answer

Ok, malwarebytes' l'a dégommé.

Refais moi un rapport ZHPDiag maintenant s'il te plait.

Xplode · Answer

-+-+-+-+-> ZHPFix <-+-+-+-+-


/!\ Utilisateurs de vista/7 , cette manipulation est à effectuer en tant qu'administrateur ( Clic droit -> [Exécuter en tant qu'administrateur] ) /!\

[x] Lance ZHPFix ( sur ton bureau ) puis clique sur le H bleu " Coller les lignes helper ".

[x] Copie/Colle le texte en gras ci-dessous dans l'encadré blanc puis clique sur [Ok]


O4 - HKCU\..\RunOnce: [Music System] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Internet Explorer\csrss.exe   
O4 - HKCU\..\Run: [Music System] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Internet Explorer\csrss.exe  
[MD5.15415D3E32E6E763F63CC7538CB2B27C] - (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Internet Explorer\csrss.exe   [205824]
O44 - LFC:[MD5.9E605DEBE6B8D230B86DAFA869605B8E] - 05/07/2010 - 20:57:18 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\UsbFix_Upload_Me_CHARLESHUBERT.zip   [7652]
R3 - URLSearchHook: Microsoft Url Search Hook - {EF99BD32-C1FB-11D2-892F-0090271D4F88} . (.Pas de propriétaire - Pas de description.) (No version) -- (.not file.)  
O44 - LFC:[MD5.312B8436DCDFEAABCEFD1C25838220CB] - 05/07/2010 - 20:57:43 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\UsbFix.txt   [11965]  
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified


[x] Clique maintenant sur [Tous] , puis sur [Nettoyer]

[x] Copie/Colle le contenu du rapport à l'écran dans ton prochain message.

[x] Note : le rapport se trouve également sous C:\Program Files\ZHPDiag\ZHPFixReport.txt

Xplode · Answer

Refais un nouveau ZHPDiag s'il te plait.

Xplode · Answer

Ok, l'infection revient. Elle doit sûrement être chargée par un driver.. on va sortir l'artillerie lourde.

-+-+-+-+-> ComboFix <-+-+-+- 


[x] Télécharge ComboFix ( de sUBs ) à cette adresse. 

/!\ Ferme toutes les fenêtres de programme ouvertes /!\ 

/!\ Désactive temporairement toutes les protections résidentes ( Antivirus, Pare-Feu, AntiSpyware ) /!\ 

[x] Double clique sur " Combofix.exe " 

[x] Suis les indications qui sont données à l'écran, à un moment tu auras un message te demandant d'installer la console de récupération, fais le.

[x] Pendant le scan, ne touche à rien ( souris, clavier ) 

[x] Tu seras peut être invité à redémarrer ton PC. A la fin du scan, combofix ouvrira un rapport, copie/colle le dans ta prochaine réponse.

Note : Si jamais il ne s'ouvrait pas, il se trouve sous C:\Combofix.txt

Xplode · Answer

-+-+-+-+-> CFScript <-+-+-+-+- 

/!\ Attention : Cette procédure n'est valable que pour lisapou /!\ 

[x] Copie le texte en gras ci dessous : 

 
Killall:: 

File:: 

c:\program files\Internet Explorer\csrss.exe 
c:\documents and settings	iti\Menu D'marrer\Programmes\D'marrage\   
Music System.exe  

Registry:: 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
"Music System"=- 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 
"Music System"=- 

Mbr:: 
 

[x] Ouvre le bloc-note puis colle le texte ci dessus dedans. 

[x] Enregistre ce fichier sur ton bureau ( appelle le CFScript.txt ). 

[x] Fais un glisser/déposer de ce fichier sur combofix.exe comme expliqué ici. 

[x] Combofix va se lancer, patiente le temps du scan. 

/!\ Ne fais rien pendant le scan ( clavier/souris ) /!\ 

[x] Poste le contenu du rapport qui s'ouvrira dans ta prochaine réponse. 
Xplode - Contributeur sécurité.

Xplode · Answer

-+-+-+-+-> ZHPFix <-+-+-+-+-


/!\ Utilisateurs de vista/7 , cette manipulation est à effectuer en tant qu'administrateur ( Clic droit -> [Exécuter en tant qu'administrateur] ) /!\

[x] Lance ZHPFix ( sur ton bureau ) puis clique sur le H bleu " Coller les lignes helper ".

[x] Copie/Colle le texte en gras ci-dessous dans l'encadré blanc puis clique sur [Ok]


O4 - HKCU\..\RunOnce: [Music System] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Internet Explorer\csrss.exe
O4 - HKCU\..\Run: [Music System] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Internet Explorer\csrss.exe
[MD5.15415D3E32E6E763F63CC7538CB2B27C] - (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Internet Explorer\csrss.exe [205824] 
MBRFix


[x] Clique maintenant sur [Tous] , puis sur [Nettoyer]

[x] Copie/Colle le contenu du rapport à l'écran dans ton prochain message.

[x] Note : le rapport se trouve également sous C:\Program Files\ZHPDiag\ZHPFixReport.txt

Xplode · Answer

Ok bien, fais maintenant ceci :

-+-+-+-+-> SystemLook <-+-+-+-+-


[x] Télécharge SystemLook ( de jpshortstuff ) sur ton bureau.

[x] Lance le, puis copie/colle le texte ci-dessous dans l'encadré blanc :


:dir

c:\program files\Internet Explorer

:process

csrss.exe


[x] Clique sur " Look " puis copie/colle le contenu du rapport obtenu dans ta prochaine réponse.

Xplode · Answer

Bien, 

Affiche les fichiers cachés puis fais ceci :

-+-+-+-+-> Virustotal <-+-+-+-+- 


[x] Rends toi sur ce site puis cliques sur " Choisissez un fichier ". 

[x] Sélectionne ce fichier : c:\program files\Internet Explorer\hid.exe  puis cliques sur " Ouvrir ". Patiente pendant l'envoi. 

[x] Si il est indiqué que le fichier a déjà été analysé, clique sur " Réanalyser ". 

[x] Copie/Colle le rapport affiché à l'écran dans ta prochaine réponse. 
Xplode - Contributeur sécurité.

Xplode · Answer

Ok, il est accompagné par ce charmant dogs.exe :)

-+-+-+-+-> OtMoveIt <-+-+-+-+-


[x] Télécharge OtMoveIt sur ton bureau.

[x] Lance le , puis copie/colle le texte ci dessous dans l'encadré " Paste instructions for items to be moved ".


:files

c:\program files\Internet Explorer\dogs.exe
c:\program files\Internet Explorer\hid.exe
c:\program files\Internet Explorer\csrss.exe

:commands

[emptytemp]



[x] Clique maintenant sur " MoveIt! "

[x] Copie/Colle le contenu du rapport qui s'ouvrira dans ton prochain message.

Note : Le rapport est également sauvegardé sous C:\_OTM\MovedFiles

Xplode · Answer

Ok bonne nouvelle on en a viré un :)

-+-+-+-+-> SystemLook <-+-+-+-+-


[x] Télécharge SystemLook ( de jpshortstuff ) sur ton bureau.

[x] Lance le, puis copie/colle le texte ci-dessous dans l'encadré blanc :


:dir

c:\program files\Internet Explorer


[x] Clique sur " Look " puis copie/colle le contenu du rapport obtenu dans ta prochaine réponse.

Puis refais également un rapport ZHPDiag s'il te plait.

Xplode · Answer

Oula non pas bonne nouvelle. L'infection se recharge à chaque démarrage.

-+-+-+-+-> GMER <-+-+-+-+-


[x] Rends toi sur cette page puis clique sur " Download EXE " pour télécharger GMER ( renommé ).

[x] Lance le, GMER va scanner ton PC automatiquement.

[x] Laisse GMER travailler.

[x] A la fin du scan, si des lignes rouges sont trouvées, fais clic droit dessus puis :

 - Delete service
 - Delete files
 - Kill process

[x] Clique ensuite sur "save" , sauvegarde le rapport puis copie/colle son contenu dans ton prochain message.

Xplode · Answer

Petite erreur de ma part, refais systemlook avec ceci :

:dir

c:\program files\Internet Explorer /md5

:filefind

*music system*
csrss.exe
dogs.exe
hid.exe

:regfind

music system
csrss.exe
dogs.exe
hid.exe

Xplode · Answer

-+-+-+-+-> OtMoveIt <-+-+-+-+-


[x] Télécharge OtMoveIt sur ton bureau.

[x] Lance le , puis copie/colle le texte ci dessous dans l'encadré " Paste instructions for items to be moved ".



:reg

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"Music System"=-

[HKEY_USERS\S-1-5-21-854245398-583907252-725345543-1005\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"Music System"=-


:files

C:\Documents and Settings	iti\Menu Démarrer\Programmes\Démarrage\Music System.exe
C:\Program Files\Internet Explorer\csrss.exe
C:\Program Files\Internet Explorer\dogs.exe
C:\Program Files\Internet Explorer\hid.exe

:commands

[emptytemp]



[x] Clique maintenant sur " MoveIt! "

[x] Copie/Colle le contenu du rapport qui s'ouvrira dans ton prochain message.

Note : Le rapport est également sauvegardé sous C:\_OTM\MovedFiles

Xplode · Answer

On va passer par combofix.

-+-+-+-+-> CFScript <-+-+-+-+-

/!\ Attention : Cette procédure n'est valable que pour lisapou /!\

[x] Copie le texte en gras ci dessous :


Killall::

File::

C:\Documents and Settings	iti\Menu Démarrer\Programmes\Démarrage\Music System.exe
C:\Program Files\Internet Explorer\csrss.exe
C:\Program Files\Internet Explorer\dogs.exe
C:\Program Files\Internet Explorer\hid.exe

Registry::

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"Music System"=-

[HKEY_USERS\S-1-5-21-854245398-583907252-725345543-1005\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"Music System"=-

Dirlook::

C:\Program Files\Internet Explorer


[x] Ouvre le bloc-note puis colle le texte ci dessus dedans.

[x] Enregistre ce fichier sur ton bureau ( appelle le CFScript.txt ).

[x] Fais un glisser/déposer de ce fichier sur combofix.exe comme expliqué ici.

[x] Combofix va se lancer, patiente le temps du scan.

/!\ Ne fais rien pendant le scan ( clavier/souris ) /!\

[x] Poste le contenu du rapport qui s'ouvrira dans ta prochaine réponse.

Xplode · Answer

Pas d'inquiétude, c'est normal. Peux tu me refaire un ZHPDiag stp?

Xplode · Answer

Bonne nouvelle, on l'a éliminé ;)

On va faire un peu de ménage puis on terminera :

-+-+-+-+-> ZHPFix <-+-+-+-+-


/!\ Utilisateurs de vista/7 , cette manipulation est à effectuer en tant qu'administrateur ( Clic droit -> [Exécuter en tant qu'administrateur] ) /!\

[x] Lance ZHPFix ( sur ton bureau ) puis clique sur le H bleu " Coller les lignes helper ".

[x] Copie/Colle le texte en gras ci-dessous dans l'encadré blanc puis clique sur [Ok]


[HKCU\Software\YUANSOFT]
O44 - LFC:[MD5.9E605DEBE6B8D230B86DAFA869605B8E] - 05/07/2010 - 20:57:18 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\UsbFix_Upload_Me_CHARLESHUBERT.zip   [7652]
O64 - Services: CurCS - (.not file.) - axlyypob (axlyypob)  .(.Pas de propriétaire - Pas de description.) - LEGACY_AXLYYPOB
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified  
O44 - LFC:[MD5.312B8436DCDFEAABCEFD1C25838220CB] - 05/07/2010 - 20:57:43 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\UsbFix.txt   [11965] 



[x] Clique maintenant sur [Tous] , puis sur [Nettoyer]

[x] Copie/Colle le contenu du rapport à l'écran dans ton prochain message.

[x] Note : le rapport se trouve également sous C:\Program Files\ZHPDiag\ZHPFixReport.txt

Xplode · Answer

Ok impec ! On termine : -+-+-+-+-> Mise à jour du PC <-+-+-+-+- [x] Il est important d'avoir les dernières mises à jour sur ton PC. En effet, celles ci corrigent des failles de sécurité qui peuvent parfois être exploitée par un programme malveillant. 1ère étape : Java [o] Télécharge JavaRa puis décompresse le sur ton bureau. [o] Ouvre le dossier JavaRa puis exécute JavaRa.exe. [o] Clique sur "Search For Updates". [o] Sélectionne "Update Using jucheck.exe" puis clique sur "Search". [o] Autorise le processus à se connecter s'il te le demande, clique sur "install" et suis la procédure d'installation. [o] Une fois l'installation terminée, revient à l'écran de JavaRa et clique sur "Remove Older Versions". [o] Clique sur " Oui " pour confirmer. Laisse l'outil travailler, puis clique sur " Ok " et une nouvelle fois sur " Ok ". [o] Un rapport s'ouvrira, copie/colle son contenu dans ton prochain message. 2ème étape : Adobe Reader [x] Si tu utilises adobe reader, il est important qu'il soit à jour. [x] Si il n'est pas à jour, certains programmes malveillants peuvent exploiter différentes failles et infecter ton PC ( Voir https://forum.malekal.com/viewtopic.php?t=13629&start= ici] ) [x] Pour vérifier qu'adobe reader est à jour, lance le puis clique sur [Aide] -> [Rechercher les mises à jour] 3ème étape : Mise à jour des logiciels [o] Il est également important de garder tes logiciels à jour. Pour ce faire, il existe un petit utilitaire, Update Checker. [o] Télécharge le [o] Un tutoriel pour son utilisation est disponible ici. -+-+-+-+-> Vacciner les supports amovibles <-+-+-+-+- [x] Si nous n'avons pas utilisé USBfix lors de la procédure, tu peux vacciner tes supports amovibles pour éviter qu'ils ne s'infectent. [x] Télécharge USBfix puis lance le. [x] Note : Si ton anvirus émet une alerte, désactive le momentanément ( il s'agit d'un faux positif ) [x] Branche tout tes médias amovibles ( Clé USB, Disque dur externe, carte SD ) puis sélectionne l'option [Vacciner]. [x] Appuie sur [Ok] au message de confirmation. -+-+-+-+-> Toolscleaner <-+-+-+-+- [x] Télécharge ToolsCleaner ( d'A.Rothstein & Dj Quiou ) sur ton bureau. /!\ Utilisateurs de vista/seven , faites un clic droit sur l'icône de toolscleaner puis " Exécuter en tant qu'administrateur " /!\ [x] Lance le puis clique sur [Recherche] [x] Patiente pendant le scan puis clique sur [Suppression] [x] Clique maintenant sur [Quitter] ( pas sur la croix rouge ) pour afficher le rapport. [x] Copie/Colle le contenu du rapport dans ta prochaine réponse. Note : Le rapport se trouve également sous C:\TCleaner.txt Note : Il se peut que le logiciel affiche la mention "Ne répond pas" car il consomme beaucoup de ressources. Il faut patienter quelques minutes. [x] Un tutoriel est disponible ici. -+-+-+-+-> Optimisation <-+-+-+-+- 1ère étape : Suppression des fichiers inutiles [o] Télécharge CCleaner [o] Installe le, puis lance le. [o] Va dans l'onglet "Options" puis " Avancé " et décoche " Effacer uniquement les fichiers[...] ". [o] Cliques sur l'onglet " Nettoyeur " puis cliques sur [Analyser] . A la fin de l'analyse, clique sur [Nettoyer]. [o] Rends toi à l'onglet " Registre " puis cliques sur [Chercher les erreurs]. Cliques ensuite sur [Corriger les erreurs séléctionnées. [o] Accepte la sauvegarde puis enregistre la dans tes documents ( tu pourras la supprimer si aucun problème n'apparaît après la suppression ) [o] Cliques ensuite sur [Corriger toutes les erreurs sélectionnées] puis sur [Fermer] [o] Tu peux renouveller ces opérations tous les jours. 2ème étape : Défragmentation [x] Au fur et à mesure que tu installes des logiciels, copies des fichiers etc.. le disque dur se fragmente et les accès en lecture/écriture sont plus longs. [o] Télécharge Defraggler. [o] Un tutoriel pour son utilisation est disponible ici. 3ème étape : Vérification des disques [x] Ouvre l'explorateur, puis fais un clique droit sur ta partition principale ( généralement C:\ ) [x] Clique sur [Propriété] puis sur l'onglet [Outils] [x] Clique sur [Vérifier maintenant] puis coche les deux cases présentes. [x] Clique sur [Démarrer] ( Tu devras éventuellement redémarrer ton PC et le scan du disque s'effectuera au prochain démarrage ) 4ème étape : Désactivation des programmes au démarrage [x] Clique sur [Démarrer] puis [Exécuter]. [x] Tape msconfig et valide par [ok]. [x] A l'onglet [Démarrage] , décoche tout les éléments sauf ceux se rapportant à ton antivirus / pare-feu. [x] Clique sur [Appliquer] puis [ok] et redémarre ton PC. -+-+-+-+-> Purger la restauration système <-+-+-+-+- [x] La restauration système est un endroit que windows utilise pour créer des sauvegardes. En cas de soucis, tu peux utiliser ces sauvegardes pour revenir à un état antérieur au problème. [x] Après une désinfection, il faut purger la restauration système pour supprimer toutes traces de malwares y résidant. [x] Tutoriels : - Windows XP - Windows Vista - Windows 7 -+-+-+-+-> UAC ( Uniquement pour Vista/Seven ) <-+-+-+-+- [x] Si tu as désactivé l'UAC, il est important de la réactiver. -> Pourquoi garder l'UAC activée? -+-+-+-+-> Liens utiles <-+-+-+-+- - Les dangers du P2P - La sécurité de son PC, c'est quoi? - Sécuriser son ordinateur - Pourquoi maintenir son navigateur à jour? - Les toolbars c'est pas obligatoire

Chevaux de troie dropper.agent... au secours!

21 réponses

Discussions similaires

Newsletters