Infection par Bamital

Question

Bonjour, 

Depuis maintenant une semaine, je vois mes pages web être redirigées ainsi qu'à chaque boot deux alertes successives d'Avira Antivir m'informant de la présence de TR/Spy.1037824.7 qui serait un trojan émanant (entre autre) d'explorer.exe.

Après beaucoup de recherche (...), je crois avoir identifié le virus (si je ne m'abuse) Bamital qui serait apparemment très trèèèèès dangereux...

J'ai besoin d'aide pour le supprimer définitivement car apparemment il est plutôt vicieux et s'implanterait un peu partout pour n'être que difficilement éradiqué.

(https://www.eset.com/?lng=en

Ayant découvert cela il y a seulement quelques minutes, je vous avoue ma crainte d'être keyloggué etc...

J'ai fais divers scans avec Malwarebytes, RegCleaner, CCleaner, Spybot, Ad Aware, Emisoft, Spyware terminator, ainsi que mon antivirus Avira Antivir, sans, disons résultat concluant vu que mes pages sont toujours redirigées.

J'ai déjà changé une fois mon explorer.exe apparemment infecté par un autre, sans pour autant noter de différence majeure, je crois. Il est conseillé dans http://lanceyien.info/Forum/index.php?topic=1139.0 de remplacer outre explorer.exe winlogon.exe mais je souhaiterais déloger le malicieux de la base de registre... Dites moi quoi faire s'il vous plaît..

Note : j'ai un windows XP original sous SP3 je crois.

gen-hackman · Answer

salut :

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 Coche les 2 cases Lop et Purity

&#9654 Coche la case devant tous les utilisateurs

&#9654 règle age du fichier sur "60 jours"

&#9654 dans la moitié gauche , mets tout sur "tous"

ne modifie pas ceci : 

"fichiers créés" et "fichiers Modifiés" 

&#9654Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

&#9654 Copie ce lien dans ta réponse.

&#9654&#9654 Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

Molecule · Answer

Bonsoir,  
voici le rapport OTL :  

http://www.cijoint.fr/cjlink.php?file=cj201009/cijcmhW8nH.txt  


[u]J'ai donc coché tous les utilisateurs, mis 60 jours, et coché Lop & Purity mais impossible de trouver de fichier Extra.txt dans tous l'ordinateur. Dois-je rescanner ?[/u] 

Autant pour moi, je n'avais pas mis Tous.. Croyant ne pas avoir vu de faire cette action :) 
Deux secondes.

Edit : http://www.cijoint.fr/cjlink.php?file=cj201009/cijNYUknFh.txt
Voici le Extra.txt

gen-hackman · Answer

F:\WINDOWS\explorer(1).exe

=> poubelle

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

&#9654 Télécharge ici :List_Kill'em

 et enregistre le sur ton bureau 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

&#9830 Executer List_Kill'em

une fois terminée , clic sur "terminer" et le programme se lancera seul

Il commencera par telecharger et installer ses mises à jour , puis te donnera son menu

choisis l'option Search

&#9654 laisse travailler l'outil

il se peut qu'une boite de dialogue s'ouvre , dans ce cas clique sur "ok" ou "Agree"

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal ,c'est une recherche supplementaire de fichiers cachés , le programme n'est pas bloqué.

&#9654 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM 

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/ 

&#9654 Clique sur Parcourir et cherche le fichier C:\List'em.txt 

&#9654 Clique sur Ouvrir. 

&#9654 Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt 

est ajouté dans la page. 

&#9654 Copie ce lien dans ta réponse. 

&#9654 Fais de même avec more.txt qui se trouve sur ton bureau

Molecule · Answer

A propos du explorer.exe(1), c'est une copie volontaire car "saine", ou en tout cas non-modifiée à mon avis à ce jour..

C'est assez génant d'afficher une partie du contenu de son pc comme ça.. Enfin c'est pour une bonne raison et puis ça va.

Ca fait 5 minutes qu'il est bloqué à 10%, est-ce normal?

gen-hackman · Answer

oui t inquiete il va demarrer d'un coup

Ashikabi · Answer

Suite à un blue screen of the death il y a 2 minutes, je relance le logiciel qui est... sacrément long... Et je vais me coucher.

P.S : je suis Molecule (j'ai crée un compte).

gen-hackman · Answer

poste C:\List'em.txt

gen-hackman · Answer

bien winlogon.exe à l'air infecté

/!\ ATTENTION SUIVRE A LA LETTRE CES INDICATIONS/!\

__________________________________________________________
>Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.<
>>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<<
=====================================================

▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur

Telecharge ici : Combofix

Avant d'utiliser ComboFix :

Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement :

▶ Télécharge Defogger (de jpshortstuff) sur ton Bureau

▶ Lance le

Une fenêtre apparait : clique sur "Disable"

▶ Fais redémarrer l'ordinateur si l'outil te le demande

Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable"

________________________________________________________
>> referme les fenêtres de tous les programmes en cours.
>> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix,
>>la protection en temps réel de ton Antivirus et de tes Antispywares,
>>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.
°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur combofix renommé

▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!!

▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

▶▶ Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

gen-hackman · Answer

fais le clean avec list_kill'em puis retente ensuite

poste les rapports

Ashikabi · Answer

Bonsoir, après 4h30 de scan en gros (.......), voici le résultat (et suite à un reboot, l'alerte d'Avira est tjrs présente au démarrage de la session.

http://www.cijoint.fr/cjlink.php?file=cj201009/cijx7RwoNq.txt

gen-hackman · Answer

ok retente combofix renommé

Ashikabi · Answer

Echec ... Il ne lance tjrs pas la recherche d'infection ou je ne sais pas quoi... Ca me désespère..
Au fait tu as lu quoi dans mon dernier fichier .txt d'intéressant ? J'aimerais bien m'informer en plus d'être gentillement aidé, histoire d'être utile après

gen-hackman · Answer

Télécharge MBRCheck sur ton Bureau.

    * Désactive tes programmes de sécurité avant de lancer le scan. (antispyware/antivirus)
    * Double clique sur le fichier pour lancer le programme. (Note: Si tu utilises Vista/7, fais un clic droit sur le fichier puis choisir Exécuter en tant qu'administrateur).
    * Une fenêtre va s'ouvrir sur ton Bureau: Patiente une dizaine de secondes pour permettre à l'outil de compléter l'analyse.
    * Si un code de démarrage inconnu est détecté, des options s'afficheront
    * Si c'est le cas, appuie alors sur la touche N puis [Entrée] deux fois.
    * Si rien de particulier n'est détecté, presse juste sur la touche [Entrée]
    * Un fichier texte nommé MBRCheck_mois/jour/année/_heure.minutes.secondes devrait apparaitre sur ton Bureau.
    * Poste stp son contenu dans ton prochain message.

Ashikabi · Answer

Coucou, alors voilà ce que tu m'as demandé:


http://www.cijoint.fr/cjlink.php?file=cj201009/cijmR3grUk.txt

J'espère que ça va t'aider

gen-hackman · Answer

refais un scan OTL stp

Ashikabi · Answer

Hey ho !

Le scan OTL : http://www.cijoint.fr/cjlink.php?file=cj201009/cijsmqJ7iN.txt

et ici l'Extra : http://www.cijoint.fr/cjlink.php?file=cj201009/cijZQ75wDl.txt

voilou

gen-hackman · Answer

&#9654 Télécharge ici : USBFIX sur ton bureau 



/!\ Désactive provisoirement et seulement le temps de l'utilisation d'USBFIX, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur l'icône Usbfix située sur ton Bureau.
Sur la page, clique sur le bouton :

&#9654 choisi l option Suppression

&#9654 UsbFix scannera ton pc , laisse travailler l outil.

&#9654 Ensuite post le rapport UsbFix.txt qui apparaitra avec le bureau .

&#9654 Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Ashikabi · Answer

Bonjour, 

Voilà le UsbFix.txt : http://www.cijoint.fr/cjlink.php?file=cj201009/cijy42kExs.txt

Tu as une idée de la suite des évènements ? Ca t'éclaire ces scans ? =/

gen-hackman · Answer

oui on fracasse de la bestiole :)


Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.



&#9654 Télécharge ici :

Malwarebytes  

ou  :

Malwarebytes

&#9654 Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

(NB : Si tu as un message d'erreur t'indiquant qu'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : COMCTL32.OCX

&#9654 Potasses le Tuto pour te familiariser avec le prg :


( cela dit, il est très simple d'utilisation ).

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

&#9654 Lance Malwarebyte's .

Fais un examen dit "Complet" .

&#9654 Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
&#9654 à la fin tu cliques sur "résultat" .
&#9654 Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

&#9654 Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


&#9654 Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

Ashikabi · Answer

Bonsoir, voilà le rapport du scan :

http://www.cijoint.fr/cjlink.php?file=cj201009/cijZRMES1V.txt

J'espère que ça va t'éclairer, il a trouvé 4 fichiers infectés, mais je crois deux fois les mêmes, enfin, j'ai tout supprimé et j'ai reboot comme demandé.

Bonne soirée !

gen-hackman · Answer

comment va le pc ?

Ashikabi · Answer

L'état du PC est similaire à celui qu'il avait au début malheureusement...

Toujours des redirections, toujours des annonces au lancement de l'explorer.exe


http://www.cijoint.fr/cjlink.php?file=cj201009/cijFlBhflz.zip

Ci-joint les alertes que je viens de recevoir...

gen-hackman · Answer

salut

ouvre l'explorateur Windows, cherche F:\WINDOWS\ServicePackFiles\i386\explorer.exe  

clic droit et Copier

mets toi dans C:\ et clic droit et Coller.

Clix droit sur le nouveau fichier et Renommer.

Tu l'appelles truc1.bak

fais une copie de ce truc1.bak que tu renommes truc2.bak

Tu ignores l'alerte.

tu te retrouves avec deux fois le meme fichier dans C:\ :

truc1.bak
truc2.bak

===

1. Télécharge The Avenger par Swandog46 sur le Bureau

http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/

Clique sur Avenger.zip pour ouvrir le fichier
Extraire avenger.exe sur le bureau

2. Copier tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C):

Files to move:
c:	ruc1.bak | F:\WINDOWS\system32\dllcache\explorer.exe
c:	ruc2.bak | F:\WINDOWS\explorer.exe 

IMPORTANT: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.

Ferme toutes les applications et ton navigateur

3. Maintenant, lance The Avenger en cliquant sur son icône du bureau.

Vérifie que la case devant "Automatically disable any rootkits found" n'est pas cochée.


Cclique sur l'icone de droite (en rose et bleu). Le texte va se copier dans la fenêtre.

Clique sur Execute

4. The Avenger va automatiquement faire ce qui suit:


Il va Re-démarrer le système.
Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, ceci est NORMAL.
Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt
The Avenger aura également sauvegardé tous les fichiers, etc., que tu lui as demandé de supprimer, les aura compactés (zipped) et tranféré l'archive zip ici C:\avenger\backup.zip.

5. Pour finir copier/coller le contenu du ficher c:\avenger.txt dans ta réponse

Ashikabi · Answer

Yo, alors je t'explique :

J'ai fais tout comme tu as dis, et j'ai lancé. Il a reboot, et ensuite dans le rapport j'ai lu qu'il avait échoué à copié les deux fichier car il fallait qu'ils soient dans la même partition du disque. J'ai donc jugé utile de les déplacer à F:	ruc1.bak et l'autre au même endroit (truc2.bak).

J'ai ensuite activé Avenger et il a reboot.
Arrivé après l'ouverture de session il m'a fait un écran bleu et je n'ai pas pu lire ce qui était écrit mais il a reboot direct. J'ai eu assez peur qu'il ne puisse plus me laisser accéder au bureau ou à quoi que se soit après l'ouverture de session mais tout se passe maintenant bien (après un reboot suite au blue screen).

Voici le deuxième avenger.txt, qui diffère uniquement en ce qu'il a réussi à remplacer truc1.bak et pas truc2...

http://www.cijoint.fr/cjlink.php?file=cj201009/cijeon6Idt.txt

J'espère ne pas avoir rendu le problème pire qu'avant.. En tout cas, des pages s'ouvrent toujours aléatoirement après une recherche google et un clic sur un résultat (j'ai dû m'y reprendre à 5 fois pour avoir le forum... chiant) et j'ai eu droit cette à 1 seule annonce par Avira et pas 2 voire 3 comme d'habitude. Cette alerte concernait uniquement explorer.exe et pas ddl/explorer.exe (ou un truc comme ça..

Bon après midi et merci de ton suivi acharné :)

gen-hackman · Answer

relance un scan avec Combofix

Ashikabi · Answer

Combofix refuse toujours d'aller plus loin que "cela peut durer en général 10 min et jusqu'à plus de 20 min pour les ordinateurs très infectés".

En gros, il ne se lance pas, et ce même après une demie heure d'attente

gen-hackman · Answer

tu as un deuxieme pc à coté ?

Ashikabi · Answer

J'ai moyen d'en avoir un autre oui, que dois-je faire?

gen-hackman · Answer

ca serait pratique , du fait de pouvoir suivre en temps reel les manips qu'on ferait

Ashikabi · Answer

Y'a pas moyen qu'on discute par messagerie ou autre ? ça serait plus simple. Donc, que dois-je faire avec le second ordi ?

gen-hackman · Answer

te connecter à internet pour pouvoir faire les manips sur le malade

Ashikabi · Answer

bah explique.. ?

gen-hackman · Answer

ah quand tu as dit j'ai moyen d'en avoir un autre je pensais pas si vite j ai pas eu le temps de reflechir lol ^^

Ashikabi · Answer

ah.. Mais alors quelle serait l'utilité d'un autre ordi?

gen-hackman · Answer

ok as-tu un graveur sur le pc fonctionnel ?
as-tu un lecteur cd sur le pc malade ?
as-tu un cd pour graver ?
saurais-tu booter sur le cd à partir du bios du pc malade ?

Ashikabi · Answer

j'ai le matériel mais pas le savoir pour boot sur le bios.

gen-hackman · Answer

quand tu demarres le pc , au nom du fabricant de la carte mère tu fais F2 et normalement tu tombes sur une page bleue ecriture blanches (deel ou supp. pour les vieux pc )

jusque là c'est bon ?

Ashikabi · Answer

bah ouais no problemo f2 c'est dans mes cordes :)

Donnes moi toute la procédure et je l'appliquerai dès que possible !

gen-hackman · Answer

ok tu dois avoir un menu qui s'apelle "boot sequence" ou un truc comme ca 

tu le regles pour que le cd demarre en premier et tu confirmes avec F10

mais auparavant , telecharge cette image iso :

elle te servira toujours au cas où pour rentrer des commandes sans demarrer ton windows qui se trouve dans ton  pc , c'est une maniere d'y avoir accès par un autre biais , c'est un disque de reparation contenant les outils de windows 7

http://sd-4.archive-host.com/membres/up/829108531491024/Mes_Tools/cdr_w7.iso de 144 Mo

avec ton pc sain et grave la avec un logiciel pour "graver une image" ou un cd image" par exemple :

https://www.clubic.com/telecharger-fiche18424-cdburnerxp.html

ensuite une fois l image gravée tu bootes dessus comme precedement expliqué

Ashikabi · Answer

Hello,

J'ai donc gravé l'image en question sur un CD bateau. J'ai ensuite fais en sorte que mon ordi boot sur le CD, malheureusement, après que tout se soit bien lancé et tout et tout, le programme de récupération n'a pas su détecter mon Windows XP, il n'a détecté que Vista. Le fait est que j'ai ré-installé de manière un peu exotique mon ordi la dernière fois (PC portable) car Vista ne me plaisait pas et j'avais un XP inside (dans les paramètres d'usine). J'ai néanmoins les CD de Vista et XP, je crois, donc si je devais en utiliser un, ça serait l'affaire d'une recherche dans mes affaires...

Que faire puisque cette piste n'est pas concluante... ?

Je suis de plus en plus dépité, ça semble insoluble =/

gen-hackman · Answer

non

tu avais la possibilité de choisir "utiliser les outils" puis faire next

Ashikabi · Answer

Non, vraiment, je ne vois pas pourquoi j'aurais raté ça. Il a directement lancé le programme de recherche de mon OS pour la récupération, et je n'avais comme choix que vista ou rien..

gen-hackman · Answer

oui mais au niveau de cette fenetre , (c'est vrai que c'est assez discret) tu peux choisir d utiliser les outils du systeme de reparation,puis en cliquant "next" tu tombes sur une autre fenetre avec plusieurs choix

Ashikabi · Answer

Est-il possible de tenter autre chose ?

J'ai par ailleurs fais un scan avec SuperAntiSpyware et il a supprimé quelques trucs.

Voici le rapport :
http://www.cijoint.fr/cjlink.php?file=cj201009/cijBJnmwS7.txt

Je suis conscient qu'il a supprimé ton programme et que ça ne présentait normalement pas de menace, mais il a aussi fait d'autres choses pour lesquelles je voudrais ton avis (ou votre avis si quelqu'un se sent de travailler en concert avec  gen-hackman bien que les cas ne soient normalement traités que par une personne...).

Bonne soirée

gen-hackman · Answer

je t'ai ecrit en MP , regarde l'enveloppe en haut de l'ecran

Ashikabi · Answer

et j'ai fais ce que je devais faire :)
j'étais absent, pardon

Infection par Bamital

46 réponses

Votre réponse

Discussions similaires

Newsletters