Trojan-spy Keylogger Fermé

Question

Bonjour; 

Hier ayant récupérer mon ordinateur chez un amis, j'ai pu constater que mon ordinateur était coloniser de petit trojan "keylogger".

J'ai donc lancer Bitdefender mais qui disait avoir pu le supprimer mais par de la 10min plus tard m'informer qu'il avait bloqué une application risquée "ADM.exe"de type trojan ...

Je suis là dans ce début de matinée pour que vous puissiez m'aider si cela semble être possible, car même Kaspersky ne trouve pas ce fameux fichier pour qu'il puisse l'en deleate ...


Je vous en prie de bien vouloir m'aider car je reprend le boulot bientôt et j'ai toujours pas de solution pour m'en défaire de cet chose. Et si quelqu'un pouvait me dire comment cet choses aurait pu arriver sur mon ordi et bien qu'il me le dise.

Merci !

Configuration: Windows Vista / Firefox 3.6.8

moment de grace · Answer

bonjour

Télécharge ZHPDiag ( de Nicolas coolman ). 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 


(outil de diagnostic)

 Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )
 
Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista ) 

Clique sur la loupe en haut à gauche, puis laisse l'outil scanner. 

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau. 

Rend toi sur Cjoint : http://www.cijoint.fr/ 

Clique sur "Parcourir " dans la partie " Joindre un fichier[...] " 

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau 

Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message

-bada- · Answer

Bonjours;  

Merci de vous en chargez ... 

http://www.cijoint.fr/cjlink.php?file=cj201008/cijOf2rrsb.txt

moment de grace · Answer

ok

on va jouer ainsi

1)

* Télécharge Defogger 
http://www.jpshortstuff.247fixes.com/Defogger.exe

 => lance le
* Une fenêtre apparait clique sur Disable
* Redémarre le PC si demandé

ensuite

Copie  tout le texte présent en gras ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )

MBRfix

Puis Lance ZHPFix depuis le raccourci du bureau .

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".

Copie/Colle le rapport à l'écran dans ton prochain message 

le rapport se trouve dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport 

......................

2)

Téléchargez USBFIX de El Desaparecido, C_xx

http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe
ou
https://www.ionos.fr/?affiliate_id=77097

/!\ Utilisateur de vista et windows 7 :
ne pas oublier de désactiver Le contrôle des comptes utilisateurs 
https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac 

/!\ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir 

Double clic sur le raccourci UsbFix présent sur le bureau . 

 Choisir l'option suppression
(d'autres options disponibles, voir le tutoriel). 
 Laissez travailler l'outil.
Le menu démarrer et les icônes vont disparaître.. c'est normal. 

Si un message te demande de redémarrer l'ordinateur fais le ... 

 Au redémarrage, le fix se relance... laisses l'opération s'effectuer. 

Le bloc note s'ouvre avec un rapport, envoies le dans la prochaine réponse

 
* Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt ) 

( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller ) 

* Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 


* Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html


UsbFix peut te demander d'uploader un dossier compressé à cette adresse : https://www.ionos.fr/?affiliate_id=77097 

 Il est enregistré sur ton bureau. 

Merci de l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches. 

...........................

3)

Copie  tout le texte présent en gras ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )

[HKCU\Software\AppDataLow\HavingFunOnline]     
[HKCU\Software\AppDataLow\Toolbar]     
[HKLM\Software\GamesBarSetup]     
O43 - CFD:Common File Directory ----D- C:\Program Files\Ask.com     
O43 - CFD:Common File Directory ----D- C:\Program Files\ProsperaSoftware_WhenUSave_Installer    


Puis Lance ZHPFix depuis le raccourci du bureau .

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".

Copie/Colle le rapport à l'écran dans ton prochain message 

le rapport se trouve dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport 

................................

4)


DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

Télécharge ici :List_Kill'em et enregistre le sur ton bureau

http://sd-4.archive-host.com/membres/up/829108531491024/Mes_Tools/List_Killem_Install.exe

ou

http://www.archive-host.com

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

 Executer List_Kill'em

une fois terminée , clic sur "terminer" et le programme se lancera seul

choisis l'option Search

 laisse travailler l'outil

il se peut qu'une boite de dialogue s'ouvre , dans ce cas clique sur "ok" ou "Agree"

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal ,c'est une recherche supplementaire de fichiers cachés , le programme n'est pas bloqué.

 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

NE LE POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

 Clique sur Parcourir et cherche le fichier ci-dessus.

 Clique sur Ouvrir.

 Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt

est ajouté dans la page.

 Copie ce lien dans ta réponse.

 Fais de même avec more.txt qui se trouve sur ton bureau

-bada- · Answer

Désolé, mais je comprend pas quelque chose ...

Dans le 1) faut copier quoi en faite ?

Désolé, mais bon =/

moment de grace · Answer

MBRfix

-bada- · Answer

Rapport de ZHPFix v1.12.3138 par Nicolas Coolman, Update du 25/08/2010
Fichier d'export Registre : 
Run by Administrateur at 26/08/2010 09:52:01
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Master Boot Record ==========
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll ataport.SYS pciide.sys PCIIDEX.SYS atapi.sys tcpip.sys NETIO.SYS 
kernel: MBR read successfully
user & kernel MBR OK 
 



========== Récapitulatif ==========
1 :Master Boot Record


End of the scan



Si c'est bien cela ?

-bada- · Answer

2)

############################## | UsbFix 7.021 | [Suppression]

Utilisateur: Administrateur (Administrateur) # Sébastien [Acer Aspire 7520]
Mis à jour le 20/08/10 par El Desaparecido / C_XX
Lancé à 09:55:28 | 26/08/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: AMD Turion(tm) 64 X2 Mobile Technology TL-58
CPU 2: AMD Turion(tm) 64 X2 Mobile Technology TL-58
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 32-Bit) # Service Pack 2
Internet Explorer 8.0.6001.18943

Pare-feu Windows: Désactivé /!\
RAM -> 1790 Mo 
C:\ (%systemdrive%) -> Disque fixe # 288 Go (240 Go libre(s) - 83%) [Sébastien] # NTFS
D:\ -> Disque fixe # 149 Go (102 Go libre(s) - 68%) [Multimédia] # NTFS
I:\ -> Disque amovible # 4 Go (4 Go libre(s) - 100%) [AUTRES] # FAT32

################## | Éléments infectieux |

Supprimé! C:\Windows\system32\autorun.inf

################## | Registre |


################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{3d1d99d9-7695-11de-bebd-001c26e3a45b}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{4d2b8ff5-fc26-11dd-9bfc-001c26e3a45b}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{734d75fe-426d-11df-8cd7-001c26e3a45b}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{7b61fea4-da2a-11dd-abb1-001b38520f31}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{8d66f297-5993-11de-ae1e-001b38520f31}

################## | Listing |

[26/08/2010 - 09:59:38 | SHD ] 	C:\$RECYCLE.BIN
[26/07/2007 - 06:25:10 | A | 3380] 	C:\-20070726.log
[26/08/2010 - 04:13:06 | A | 161479] 	C:\aaw7boot.log
[05/12/2007 - 13:49:27 | D ] 	C:\Acer
[26/08/2010 - 07:20:43 | D ] 	C:\Adm
[27/04/2009 - 19:23:52 | A | 127] 	C:\autoexec.bat
[26/08/2010 - 05:21:15 | A | 8337] 	C:\bdlog.txt
[26/07/2007 - 13:54:40 | D ] 	C:\Book
[09/06/2009 - 09:13:32 | SHD ] 	C:\Boot
[11/04/2009 - 10:36:36 | RASH | 333257] 	C:\bootmgr
[26/07/2007 - 13:56:05 | RAS | 8192] 	C:\BOOTSECT.BAK
[19/09/2006 - 01:43:37 | A | 10] 	C:\config.sys
[02/11/2006 - 17:02:03 | SHD ] 	C:\Documents and Settings
[08/02/2009 - 00:34:48 | D ] 	C:\Driver Backup 2-8-2009-01530
[04/07/2010 - 02:45:17 | D ] 	C:\Driver Download
[26/07/2007 - 13:54:42 | D ] 	C:\DRV
[27/02/2009 - 21:36:53 | A | 48] 	C:\error.log
[25/05/2008 - 06:15:54 | A | 518] 	C:\ez_log.htm
[08/02/2010 - 22:44:25 | SHD ] 	C:\found.000
[21/08/2010 - 11:29:11 | SHD ] 	C:\found.001
[24/04/2010 - 21:36:37 | A | 2516] 	C:\FT_Splash.img
[11/03/2008 - 02:11:03 | D ] 	C:\HiTRUSTDrive
[31/12/2008 - 21:24:59 | RASH | 0] 	C:\IO.SYS
[27/04/2009 - 19:23:35 | D ] 	C:\Language
[02/07/2009 - 07:38:14 | A | 91] 	C:\MCEDS.log
[02/07/2009 - 07:36:41 | A | 91] 	C:\MDisc.log
[02/07/2009 - 07:37:11 | A | 91] 	C:\MDR.log
[01/07/2009 - 20:29:35 | A | 35778] 	C:\MP4debug.log
[31/12/2008 - 21:24:59 | RASH | 0] 	C:\MSDOS.SYS
[26/07/2007 - 06:36:21 | RHD ] 	C:\MSOCache
[26/07/2007 - 06:13:49 | D ] 	C:\MyWorks
[08/02/2009 - 00:12:51 | D ] 	C:\NVIDIA
[26/08/2010 - 09:36:56 | ASH | 2191724544] 	C:\pagefile.sys
[02/05/2009 - 23:04:00 | D ] 	C:\PerfLogs
[02/07/2009 - 07:37:53 | A | 91] 	C:\PMovie.log
[02/07/2009 - 07:37:34 | A | 437] 	C:\PowerDV.log
[26/08/2010 - 08:59:51 | RD ] 	C:\Program Files
[26/08/2010 - 05:26:24 | HD ] 	C:\ProgramData
[04/07/2010 - 00:32:29 | AD ] 	C:\Realtek
[26/07/2007 - 05:25:04 | A | 420] 	C:\RHDSetup.log
[02/07/2009 - 07:38:10 | A | 90] 	C:\SDMA.log
[27/02/2009 - 21:35:29 | A | 159] 	C:\Setup.log
[14/01/2009 - 05:37:44 | AH | 268] 	C:\sqmdata00.sqm
[14/01/2009 - 05:37:44 | AH | 244] 	C:\sqmnoopt00.sqm
[26/08/2010 - 06:53:02 | SHD ] 	C:\System Volume Information
[27/04/2009 - 19:23:43 | H | 27] 	C:\TraFgFr.Tra
[26/08/2010 - 09:59:38 | D ] 	C:\UsbFix
[26/08/2010 - 09:55:28 | A | 3758] 	C:\UsbFix.txt
[05/07/2010 - 20:44:22 | RD ] 	C:\Users
[26/07/2007 - 06:31:53 | A | 1690850] 	C:\vcredist_x86.log
[08/10/2009 - 20:36:20 | A | 231424] 	C:\WhiteCap_JMC.dll
[26/08/2010 - 09:19:38 | D ] 	C:\Windows
[26/08/2010 - 09:59:38 | SHD ] 	D:\$RECYCLE.BIN
[31/10/2009 - 19:03:04 | D ] 	D:\chez pas
[01/11/2009 - 11:22:18 | HD ] 	D:\erData
[17/08/2010 - 22:26:19 | D ] 	D:\Perso
[05/02/2010 - 11:29:59 | SHD ] 	D:\System Volume Information
[27/07/2010 - 17:41:22 | A | 332464] 	D:\VirtualDJ Local Database v6.xml

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
I:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_LORDINOUNET.zip
https://www.ionos.fr/?affiliate_id=77097
Merci de votre contribution.

################## | E.O.F |



3)   

Rapport de ZHPFix v1.12.3138 par Nicolas Coolman, Update du 25/08/2010
Fichier d'export Registre : C:\ZHPExportRegistry-26-08-2010-10-06-11.txt
Run by Administrateur at 26/08/2010 10:06:11
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé(s) du Registre ==========
HKCU\Software\AppDataLow\HavingFunOnline  => Clé absente
HKCU\Software\AppDataLow\Toolbar  => Clé absente
HKLM\Software\GamesBarSetup  => Clé absente

========== Dossier(s) ==========
C:\Program Files\Ask.com  => Dossier absent
C:\Program Files\ProsperaSoftware_WhenUSave_Installer  => Supprimé et mis en quarantaine


========== Récapitulatif ==========
3 : Clé(s) du Registre
2 : Dossier(s)


End of the scan


Je refait le 4, vue qu'il sait passer une erreur ... Mais ce ci dit, il prend beaucoup de temps. Et a ton avis, comment mon ordi à choper ce salle truc ? Et d'abord, c'est quoi ?

moment de grace · Answer

pour le 4)

désactives tes protections et clic droit "executer en tant que

comment mon ordi à choper ce salle truc 

pour l'heure on note une infection par support usb , presence de lociciel indesirables et surtout pc pas à jour

autant de vecteurs d'infection

moment de grace · Answer

moi non

mais ceux qui font ces outils oui

1)

Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau. 
mais cette fois-ci : 

choisis l'option CLEAN
ton PC va redemarrer, 

laisse travailler l'outil. 

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau , 

colle le contenu dans ta reponse

......................

2)

 Téléchargez MalwareByte's Anti-Malware (que tu pourras garder)

https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/

 . Enregistres le sur le bureau
. Double cliques sur le fichier téléchargé pour lancer le processus d'installation. 
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, accepte
. Une fois la mise à jour terminé
. Rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen complet (examen assez long). Cliques sur Rechercher
. Le scan démarre. 
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés. 
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, clique sur  Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. 
. Rends toi dans l'onglet rapport/log 
. Tu cliques dessus pour l'afficher, une fois affiché
. Tu cliques sur edition en haut du boc notes, et puis sur sélectionner tous 
. Tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller 


Si tu as besoin d'aide regarde ces tutoriels : 
 Aide: https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
 http://www.infos-du-net.com/forum/278396-11-tuto-malwarebytes-anti-malware-mbam

-bada- · Answer

Alors, désolé du retard ... mais le modem ma lâcher ...

1)

¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.1.0.0 ¤¤¤¤¤¤¤¤¤¤ 
 
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes ------- Memory(Ko)

C:\Windows\System32\smss.exe ----576 Ko
C:\Windows\system32\csrss.exe ----4772 Ko
C:\Windows\system32\wininit.exe ----3092 Ko
C:\Windows\system32\csrss.exe ----6804 Ko
C:\Windows\system32\services.exe ----5772 Ko
C:\Windows\system32\lsass.exe ----1636 Ko
C:\Windows\system32\lsm.exe ----2996 Ko
C:\Windows\system32\winlogon.exe ----4160 Ko
C:\Windows\system32\svchost.exe ----5452 Ko
C:\Windows\system32
vvsvc.exe ----2664 Ko
C:\Windows\system32\svchost.exe ----6472 Ko
C:\Windows\System32\svchost.exe ----20772 Ko
C:\Windows\System32\svchost.exe ----9792 Ko
C:\Windows\System32\svchost.exe ----69952 Ko
C:\Windows\system32\svchost.exe ----21860 Ko
C:\Windows\system32\svchost.exe ----3452 Ko
C:\Windows\system32\SLsvc.exe ----3744 Ko
C:\Windows\system32\svchost.exe ----10616 Ko
C:\Windows\system32undll32.exe ----4888 Ko
C:\Windows\system32\svchost.exe ----11400 Ko
C:\Windows\system32\Dwm.exe ----60996 Ko
C:\Windows\Explorer.EXE ----44756 Ko
C:\Windows\System32\spoolsv.exe ----7400 Ko
C:\Windows\system32\svchost.exe ----8916 Ko
C:\Windows\system32	askeng.exe ----5324 Ko
C:\Windows\system32	askeng.exe ----10352 Ko
C:\Acer\Empowering Technology\eDataSecurity\eDSLoader.exe ----6376 Ko
C:\Program Files\Launch Manager\LManager.exe ----7276 Ko
C:\Program Files\DivX\DivX Update\DivXUpdate.exe ----11528 Ko
C:\Acer\Empowering Technology\eAudio\eAudio.exe ----6212 Ko
C:\Windows\System32\svchost.exe ----8744 Ko
C:\Acer\ALaunch\ALaunchSvc.exe ----4544 Ko
C:\Windows\System32undll32.exe ----5600 Ko
C:\Windows\ehome\ehtray.exe ----1748 Ko
C:\Program Files\Windows Media Player\wmpnscfg.exe ----6180 Ko
C:\Program Files\WIDCOMM\Bluetooth Software\BTTray.exe ----6380 Ko
C:\Windows\ehome\ehmsas.exe ----5892 Ko
C:\Windows\system32\svchost.exe ----2788 Ko
C:\Acer\Empowering Technology\eDataSecurity\eDSService.exe ----3464 Ko
C:\Acer\Empowering Technology\eLock\Service\eLockServ.exe ----5552 Ko
C:\Acer\Empowering Technology\eNet\eNet Service.exe ----5020 Ko
C:\PROGRA~1\COMMON~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe ----2208 Ko
C:\Windows\system32\svchost.exe ----5884 Ko
C:\Program Files\Common Files\LightScribe\LSSrvc.exe ----2756 Ko
C:\Acer\Mobility Center\MobilityService.exe ----4376 Ko
C:\Windows\System32\svchost.exe ----2496 Ko
C:\Windows\System32\svchost.exe ----2356 Ko
C:\Windows\system32\svchost.exe ----3956 Ko
C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe ----6696 Ko
C:\Windows\system32\svchost.exe ----4692 Ko
C:\Windows\System32\svchost.exe ----1672 Ko
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE ----7044 Ko
C:\Acer\Empowering Technology\ePower\ePowerSvc.exe ----5772 Ko
C:\Windows\system32\SearchIndexer.exe ----11568 Ko
C:\Windows\system32\DRIVERS\xaudio.exe ----1976 Ko
C:\Acer\Empowering Technology\eRecovery\eRecoveryService.exe ----5744 Ko
C:\Acer\Empowering Technology\eSettings\Service\capuserv.exe ----4400 Ko
C:\Windows\system32\wbem\wmiprvse.exe ----4824 Ko
C:\Windows\system32\wbem\wmiprvse.exe ----6320 Ko
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin32
SvcAppFlt.exe ----4924 Ko
C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin32
SvcIp.exe ----5728 Ko
C:\Windows\system32\wbem\unsecapp.exe ----3416 Ko
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe ----2236 Ko
C:\Windows\system32\WUDFHost.exe ----3764 Ko
C:\Program Files\Windows Media Player\wmpnetwk.exe ----17308 Ko
C:\Windows\System32\mobsync.exe ----7972 Ko
C:\Windows\System32\alg.exe ----4152 Ko
C:\Windows\system32\conime.exe ----5932 Ko
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2011\klwtblfs.exe ----7528 Ko
C:\Windows\system32\cmd.exe ----2640 Ko
C:\Program Files\List_Kill'em\ERUNT.EXE ----8880 Ko
C:\Program Files\List_Kill'em\pv.exe ----5908 Ko
 
¤¤¤¤¤¤¤¤¤¤ Files/folders : 

Quarantined & Deleted !! : C:\Adm 
Quarantined & Deleted !! : C:\ProgramData\bdinstall.bin 
Quarantined & Deleted !! : C:\ProgramData\hpe847E.dll 
Quarantined & Deleted !! : C:\ProgramData\hpzinstall.log 
Quarantined & Deleted !! : C:\ProgramData
vModes.001 
Quarantined & Deleted !! : C:\ProgramData
vModes.dat 
Quarantined & Deleted !! : C:\Windows\Fonts\GRGAREF.TTF 
 
Quarantined & Deleted !! : C:\Windows\system32\AbaleZip.dll 
Quarantined & Deleted !! : C:\Windows\System32\ACER.exe 
Quarantined & Deleted !! : C:\Windows\System32naph.dll 
Quarantined & Deleted !! : C:\Windows\Temp\kls26EA.tmp 
Quarantined & Deleted !! : C:\Windows\Temp\kls613C.tmp 
Quarantined & Deleted !! : C:\Windows\Temp\PRAD1A.tmp 
Quarantined & Deleted !! : C:\Users\Administrateur\AppData\Local\d3d9caps.dat 
Quarantined & Deleted !! : C:\Users\Administrateur\AppData\Local\fusioncache.dat 
Quarantined & Deleted !! : C:\Users\Administrateur\AppData\Local\GDIPFONTCACHEV1.DAT 
 
¤¤¤¤¤¤¤¤¤¤ Hosts ¤¤¤¤¤¤¤¤¤¤


¤¤¤¤¤¤¤¤¤¤ Registry ¤¤¤¤¤¤¤¤¤¤

Deleted : HKLM\Software\Microsoft\Windows\CurrentVersion\Run : S32sys_net29  
Deleted : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser : {D4027C7F-154A-4066-A1AD-4243D8127440}  
Deleted : "HKCU\software\microsoft\internet explorer\searchscopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}"  
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File execution Options\Arrakis3.exe"  
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File execution Options\bdagent.exe"  
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File execution Options\bdreinit.exe"  
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File execution Options\bdsubwiz.exe"  
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File execution Options\bdwizreg.exe"  
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File execution Options\seccenter.exe"  
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File execution Options\uiscan.exe"  
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File execution Options\vsserv.exe"  
Deleted : HKCR\CLSID\{248dd896-bb45-11cf-9abc-0080c7e7b78d}  
Deleted : HKCR\CLSID\{248dd897-bb45-11cf-9abc-0080c7e7b78d}  
Deleted : HKCR\Interface\{248dd892-bb45-11cf-9abc-0080c7e7b78d}  
Deleted : HKCR\Interface\{248dd893-bb45-11cf-9abc-0080c7e7b78d}  
Deleted : HKCR\TypeLib\{248dd890-bb45-11cf-9abc-0080c7e7b78d}  
Deleted : HKLM\Software\Conduit  

¤¤¤¤¤¤¤¤¤¤ Internet Explorer ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page	=         	https://www.msn.com/fr-fr/?ocid=iehp
Local Page	=         	C:\WINDOWS\system32\blank.htm
Default_Search_URL	=         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
Default_Page_URL	=         	https://www.msn.com/fr-fr/?ocid=iehp
Search Page	=         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page	=         	https://www.google.com/?gws_rd=ssl
Local Page	=         	C:\WINDOWS\system32\blank.htm
Search Page	=         	http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

¤¤¤¤¤¤¤¤¤¤ Security Center ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center] 
 
¤¤¤¤¤¤¤¤¤¤ Services ¤¤¤¤¤¤¤¤¤¤


¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
Disk Cleaned
anti-ver blaster : OK 
Prefetch cleaned 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ 

FEATURE_BROWSER_EMULATION | svchost : 
====================================
 

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll ataport.SYS pciide.sys PCIIDEX.SYS atapi.sys 
kernel: MBR read successfully
user & kernel MBR OK 
 
 
 
 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
 



2)


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4483

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18943

26/08/2010 17:35:53
mbam-log-2010-08-26 (17-35-53).txt

Type d'examen: Examen complet (C:\|D:\|I:\|)
Elément(s) analysé(s): 290489
Temps écoulé: 1 heure(s), 5 minute(s), 40 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

moment de grace · Answer

ok

comment va le pc

fais moi un nouveau rapport zhp et poste le lien stp

et fais tourner bitdefender voit ce qu'il en pense

-bada- · Answer

Alors voici le rapport zhp :  http://www.cijoint.fr/cjlink.php?file=cj201008/cij2BQ5ZCK.txt


Pour ce qui dit, bitdefender ... euh il est hors service depuis que je l'ai désinstaller (logique è_é) mais j'ai lancer un scan avec kaspersky et je te dirais ça par la suite :)

moment de grace · Answer

ok

si le pc va bien ce que tu me diras, nous finaliserons apres le scan

-bada- · Answer

Alors, le pc réagit pas si mal que ça ... 

Mais j'ai remarqué qu'il est devenu encore plus lent et surtout qu'il a encore retrouver des cheval de troie dans des zones "inconnu". J'ai pu en supprimer 2 sur 3, mais le 3eme est du genre coriace : 

trojan-spy.win32.delf.iay  

Source : C:\kill'em\quarantine\adm.kill'em\hw.dll

Moi ce que je propose, c'est qu'on en reste là pour aujourd'hui. Demain, je m'occuperais de transférer mes dossiers sur mon 2ème disque dur et je reformaterais le tout ensuite pour prend la nouvel marge de window c'est à dire seven.

Vous en pensez ? C'est pas que sa me lasse ou même m'énerve. Au contraire, sa me passionne énormément de régler ce genre de petit casse tête grâce à votre aide :)

moment de grace · Answer

bonjour 

c'est bien la quarantaine de killem de détecté 

tu parlais plus haut de formatage...pas justifié au point de vue infection 

j'ai remarqué qu'il est devenu encore plus lent 

est ce toujours d'actualité 

1) 

refais un nouveau rapport zhpdiag et poste le lien 

............... 

2) 

/!\ Il faut impérativement désactiver tous tes logiciels de protection pour utiliser ce programme/!\  


? Télécharge : Gmer (by Przemyslaw Gmerek)  

http://www.gmer.net/ 



? Dezippe gmer ,cliques sur l'onglet rootkit,lances le scan,des lignes rouges vont apparaitre.  

? Les lignes rouges indiquent la presence d'un rootkit.Postes moi le rapport gmer (cliques sur copy,puis vas dans demarrer ,puis ouvres le bloc note,vas dans edition et cliques sur coller,le rapport gmer va apparaitre,postes moi le)  


CONTRIBUTEUR SECURITE 

Désinfection = diagnostic + traitement + finalisation 
"Restez" jusqu'au bout...merci

-bada- · Answer

Rapport zhpdiag :

http://www.cijoint.fr/cjlink.php?file=cj201008/cijUm7uTFV.txt


Par contre pour "Gmer" il n'y a pas de ligne rouge qui apparaisse et le 2eme soucis c'est qu'il veut pas se poster ...

moment de grace · Answer

peux tu refaire usbfix en mode sans echec
option suppression
et poster le rapport

https://www.micro-astuce.com/depannage/demarrer-mode-sans-echec.php

Trojan-spy Keylogger

17 réponses

Discussions similaires