Intrusion

Question

Bonjour, 

Bonjour, j'ai des anomalies sur mon pc, je crois que j'ai des intrusions. J'ai fait un scna avec malewarebyte et il a supprimé deux trojans. mais j'aimerais être sur qu'il n'y à rien d'autres. Pourriez vous m'aider.

d'avance merci.



Configuration: Windows 7 / Internet Explorer 8.0

sherred · Answer

SALUT  on va regarder ca ensemble  ;)
* Télécharge ZHPDiag (de Nicolas Coolman).  https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin. 
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic ») 
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette 
Rend toi sur Cijoint  http://www.cijoint.fr/
 et indique l'emplacement du rapport à l'aide du bouton "Parcourir..." Ensuite Clique sur "Cliquez ici pour déposer le fichier" 
Un lien sera généré, copie et colle-le dans ta prochaine réponse.

seb2546 · Answer

Bonjour,

Merci de votre réponse.

j'eu cru avoir posté ma réponse mais apparemment pas.

 jai dû m'inscrire pour poster le lien,
Voici le rapport:

http://www.cijoint.fr/cjlink.php?file=cj201103/cijGy6yCnt.txt 

Merci de votre aide.

sherred · Answer

tu peu supprimer Spybot - Search & Destroy qui est totalement depassé

Télécharge UsbFix (de Chiquitine29) sur ton bureau 
http://www.teamxscript.org/usbfixTelechargement.html

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d avoir été infectés sans les ouvrir 

--> Double clic sur UsbFix 

clic sur le bouton Recherche


et  ne touche plus a rien pendant le scan

Une fois l'analyse terminée, un rapport de scan  est proposé... appuie sur une touche pour ouvrir ce rapport.
 copier/coller ce rapport  dans ta prochaine réponse
Note : le rapport UsbFix.txt est sauvegardé à la racine du disque

seb2546 · Answer

Voici le rapport:

############################## | UsbFix 7.041 | [Recherche]

Utilisateur: Sébastien (Administrateur) # SÉBASTIEN-PC [Packard Bell imedia S1800]
Mis à jour le 24/02/2011 par TeamXscript
Lancé à 13:22:51 | 11/03/2011
Site Web: http://www.teamxscript.org
Un fichier non reconnu ? : http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU: Pentium(R) Dual-Core CPU E5500 @ 2.80GHz
CPU 2: Pentium(R) Dual-Core CPU E5500 @ 2.80GHz
Microsoft Windows 7 Édition Familiale Premium  (6.1.7600 64-Bit) # 
Internet Explorer 8.0.7600.16385

Pare-feu Windows: Activé
RAM -> 4095 Mo 
C:\ (%systemdrive%) -> Disque fixe # 455 Go (313 Go libre(s) - 69%) [Packard Bell] # NTFS
D:\ -> Disque fixe # 455 Go (455 Go libre(s) - 100%) [DATA] # NTFS
E:\ -> CD-ROM
J:\ -> Disque fixe # 298 Go (167 Go libre(s) - 56%) [USB] # FAT32
K:\ -> Disque amovible # 1000 Mo (827 Mo libre(s) - 83%) [] # FAT

################## | Éléments infectieux |



################## | Registre |

Présent! HKLM\software\microsoft\windows nt\currentversion\winlogon|Taskman

################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\{18643c4f-029f-11e0-9393-90fba689d212}
Shell\AutoRun\Command = J:\autorun.exe
Shell\directx\Command = J:\DirectX9\dxsetup.exe
Shell\setup\Command = J:\install.exe


################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |


Jai retiré spybot que me conseillez vous de mettre à la place.

J'aime bien comprendre ce qui se passe pour à l'avenir etre plus prudent ou peut etre pouvoir m'en sortir tout seu, pourriez vous  un peu m'éclairer.

dans le premier listing il y a t'il des choses supectes ou des dangers avéré?

Dans le premier listing j'ai repérer des processus sans propriétaire est ce des malware ou des intrusions?
Nottament un printer card monitor lié à mon imprimante est ce unprocessus de pishing?
Merci beaucoup de votre aide.

sherred · Answer

ok   alors voila
dans le premier listing
O51 - MPSK:{18643c4f-029f-11e0-9393-90fba689d212}\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- J:\autorun.exe (.not file.)    
=> soit c'est  Microsoft Windows NT et là pas de probleme
soit une  Infection USB
dans le second on retrouve 
Shell\AutoRun\Command = J:\autorun.exe

donc dans le doute on peu vacciner

mais en +
Présent! HKLM\software\microsoft\windows nt\currentversion\winlogon|Taskman

et là c'est , tres certainement
un Trojan 


donc
relance usbfix
et cette fois fait l'option suppression

--> Le pc va redémarer 

-->Après redémarrage poste le rapport UsbFix.txt 

Note : le rapport UsbFix.txt est sauvegardé à la racine du disque 
Note : Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tape explorer.exe et valide!

seb2546 · Answer

Le pc n'a pas redémarré,...


############################## | UsbFix 7.041 | [Suppression]

Utilisateur: Sébastien (Administrateur) # SÉBASTIEN-PC [Packard Bell imedia S1800]
Mis à jour le 24/02/2011 par TeamXscript
Lancé à 19:23:54 | 11/03/2011
Site Web: http://www.teamxscript.org
Un fichier non reconnu ? : http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU: Pentium(R) Dual-Core CPU E5500 @ 2.80GHz
CPU 2: Pentium(R) Dual-Core CPU E5500 @ 2.80GHz
Microsoft Windows 7 Édition Familiale Premium  (6.1.7600 64-Bit) # 
Internet Explorer 8.0.7600.16385

Pare-feu Windows: Activé
RAM -> 4095 Mo 
C:\ (%systemdrive%) -> Disque fixe # 455 Go (311 Go libre(s) - 68%) [Packard Bell] # NTFS
D:\ -> Disque fixe # 455 Go (455 Go libre(s) - 100%) [DATA] # NTFS
E:\ -> CD-ROM
J:\ -> Disque fixe # 298 Go (167 Go libre(s) - 56%) [USB] # FAT32

################## | Éléments infectieux |


Supprimé! C:\$RECYCLE.BIN\S-1-5-21-1183876708-1509983002-2320167935-1000
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-1183876708-1509983002-2320167935-1006
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-1183876708-1509983002-2320167935-500
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-683344812-4203101292-3275412930-500
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-1183876708-1509983002-2320167935-1000
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-1183876708-1509983002-2320167935-1006
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-1183876708-1509983002-2320167935-500

################## | Registre |

Supprimé! HKLM\software\microsoft\windows nt\currentversion\winlogon|Taskman

################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{18643c4f-029f-11e0-9393-90fba689d212}

################## | Listing |

[11/03/2011 - 19:26:06 | SHD ] 	C:\$Recycle.Bin
[09/03/2011 - 10:04:49 | N | 55292] 	C:\bdlog.txt
[22/05/2010 - 14:11:29 | D ] 	C:\book
[15/03/2010 - 14:29:40 | N | 8192] 	C:\BOOTSECT.BAK
[28/02/2011 - 09:25:54 | N | 16480] 	C:\bootsqm.dat
[14/07/2009 - 06:08:56 | SHD ] 	C:\Documents and Settings
[08/12/2010 - 20:15:11 | D ] 	C:\drivers
[02/01/2011 - 17:48:00 | D ] 	C:\Gestan
[11/03/2011 - 17:18:48 | ASH | 3220627456] 	C:\hiberfil.sys
[08/12/2010 - 10:34:49 | N | 408] 	C:\InstallHelper.log
[15/03/2010 - 13:35:37 | D ] 	C:\Intel
[08/12/2010 - 14:39:57 | D ] 	C:\Metaboli
[07/12/2010 - 16:29:46 | D ] 	C:\OEM
[11/03/2011 - 17:18:52 | ASH | 4294172672] 	C:\pagefile.sys
[14/07/2009 - 04:20:08 | D ] 	C:\PerfLogs
[11/03/2011 - 10:58:06 | N | 512] 	C:\PhysicalDisk0_MBR.bin
[06/02/2011 - 21:41:29 | D ] 	C:\Program Files
[11/03/2011 - 10:51:12 | D ] 	C:\Program Files (x86)
[11/03/2011 - 12:19:52 | HD ] 	C:\ProgramData
[07/12/2010 - 16:28:25 | SHD ] 	C:\Recovery
[22/05/2010 - 14:07:17 | N | 2188] 	C:\RHDSetup.log
[10/03/2011 - 01:33:29 | SHD ] 	C:\System Volume Information
[11/03/2011 - 19:26:09 | D ] 	C:\UsbFix
[11/03/2011 - 19:23:55 | A | 2842] 	C:\UsbFix.txt
[18/05/2010 - 09:59:22 | N | 112460] 	C:\user.js
[16/02/2011 - 18:33:27 | D ] 	C:\Users
[10/03/2011 - 10:00:27 | D ] 	C:\Windows
[11/03/2011 - 19:26:06 | SHD ] 	D:\$RECYCLE.BIN
[09/12/2010 - 01:36:13 | D ] 	D:\1122e8eb46c120c1dc59
[07/11/2007 - 08:00:40 | N | 17734] 	D:\eula.1028.txt
[07/11/2007 - 08:00:40 | N | 17734] 	D:\eula.1031.txt
[07/11/2007 - 08:00:40 | N | 10134] 	D:\eula.1033.txt
[07/11/2007 - 08:00:40 | N | 17734] 	D:\eula.1036.txt
[07/11/2007 - 08:00:40 | N | 17734] 	D:\eula.1040.txt
[07/11/2007 - 08:00:40 | N | 118] 	D:\eula.1041.txt
[07/11/2007 - 08:00:40 | N | 17734] 	D:\eula.1042.txt
[07/11/2007 - 08:00:40 | N | 17734] 	D:\eula.2052.txt
[07/11/2007 - 08:00:40 | N | 17734] 	D:\eula.3082.txt
[07/11/2007 - 08:00:40 | N | 1110] 	D:\globdata.ini
[07/11/2007 - 08:44:20 | N | 855040] 	D:\install.exe
[07/11/2007 - 08:00:40 | N | 843] 	D:\install.ini
[07/11/2007 - 08:44:20 | N | 75280] 	D:\install.res.1028.dll
[07/11/2007 - 08:44:20 | N | 95248] 	D:\install.res.1031.dll
[07/11/2007 - 08:44:20 | N | 90128] 	D:\install.res.1033.dll
[07/11/2007 - 08:44:20 | N | 96272] 	D:\install.res.1036.dll
[07/11/2007 - 08:44:20 | N | 94224] 	D:\install.res.1040.dll
[07/11/2007 - 08:44:20 | N | 80400] 	D:\install.res.1041.dll
[07/11/2007 - 08:44:20 | N | 78864] 	D:\install.res.1042.dll
[07/11/2007 - 08:44:20 | N | 74768] 	D:\install.res.2052.dll
[07/11/2007 - 08:44:20 | N | 95248] 	D:\install.res.3082.dll
[06/02/2011 - 21:24:43 | SHD ] 	D:\System Volume Information
[07/11/2007 - 08:00:40 | N | 5686] 	D:\vcredist.bmp
[07/11/2007 - 08:50:40 | N | 1927956] 	D:\VC_RED.cab
[07/11/2007 - 08:53:12 | N | 242176] 	D:\VC_RED.MSI
[15/11/2009 - 15:39:28 | R | 842] 	E:\DEMARRAGE.html
[30/08/2010 - 23:53:17 | D ] 	E:\cdrmin
[13/10/2009 - 11:43:44 | RH | 83668] 	E:\intro1.jpg
[13/10/2009 - 11:43:34 | RH | 65128] 	E:\intro2.jpg
[15/11/2009 - 15:40:53 | RH | 48271] 	E:\intro3.jpg
[12/06/2008 - 16:55:18 | D ] 	J:\.Trashes
[12/06/2008 - 16:55:18 | N | 4096] 	J:\._.Trashes
[12/06/2008 - 17:29:30 | N | 6148] 	J:\.DS_Store
[30/09/2008 - 17:29:44 | SHD ] 	J:\System Volume Information
[30/09/2008 - 17:29:44 | D ] 	J:\vidéo
[01/10/2008 - 00:18:50 | D ] 	J:\Recycled
[02/10/2008 - 23:48:44 | SHD ] 	J:\$RECYCLE.BIN
[07/10/2008 - 23:21:26 | D ] 	J:\Musique
[21/10/2008 - 00:50:00 | D ] 	J:\images
[07/04/2009 - 11:14:10 | D ] 	J:\Paroles de penseurs et philosophes
[31/07/2009 - 14:35:48 | D ] 	J:\$AVG8.VAULT$
[01/08/2009 - 12:26:18 | D ] 	J:\Nouveau dossier
[28/01/2011 - 09:29:34 | D ] 	J:\vente

################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
D:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
J:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)

################## | E.O.F |


Pour le taskman, hier après que malewarebyte aie retiré les deux trojan, ce processus à voulu ajouter une valeur, spybot m'en a averti et je ne l'ai pas autorisé. Juste après le pc à redémarrer tout seul je suppose que c'est ce processus puisse se réinstaller au redémarrage. Je ne sais pas si l'info peut vous servir.

Et donc comme antiespion qu'est ce que je peux utiliser qui soit efficace?

sherred · Answer

moi j'utilise https://download.cnet.com/3001-8022_4-10967594.html?spi=99c3af11a763f9448935b28d87a02cda&part=dl-6271865 

dans le menu/option   interface utilisateur   en bas  
tu trouvera la traduction francaise   

sinon tu peu mettre en plus
https://www.google.com


Quand les bornes sont franchies, il n'y a plus de limite   
Ce que j'ai écrit, je l'ai écrit

seb2546 · Answer

Merci et sinon tu crois que mon ordi est clean maintenant?

sherred · Answer

ToolsCleaner, merci A.Rothstein & Dj Quiou, 
https://www.commentcamarche.net/telecharger/securite/22061-toolscleaner/
ou
> http://pc-system.fr/
qui va désinstaller les outils que l'on a utilisés
qui peuvent être dangereux pour ton PC

puis pour finir le nettoyage

télécharge Malwarebyte's ici  
http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.46.exe 
ou ici 
https://www.clubic.com/telecharger-fiche215092-malwarebytes-anti-malware.html 
le programme va se mettre automatiquement a jour.  

Une fois a jour, le programme va se lancer; click sur l'onglet paramètre, et coche la case : "Arrêter internet explorer pendant la suppression".  

Click maintenant sur l'onglet recherche et coche la case : "executer un examen rapide".  

Puis click sur "rechercher".  

Laisse le scanner le pc...  

Si des éléments on été trouvés > click sur supprimer la sélection.  

si il t'es demandé de redémarrer > click sur "yes".  

A la fin un rapport va s'ouvrir; sauvegarde le de manière a le retrouver en vu de le poster sur le forum.  

Copie et colle le rapport stp.  

PS : les rapport sont aussi rangé dans l onglet rapport/log 

Quand les bornes sont franchies, il n'y a plus de limite 
Ce que j'ai écrit, je l'ai écrit

seb2546 · Answer

bonjour,

voici le rapport,

cela à l'air bon:

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6013

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

13/03/2011 18:21:56
mbam-log-2011-03-13 (18-21-56).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 354019
Temps écoulé: 42 minute(s), 32 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Merci.

Intrusion

10 réponses

Votre réponse

Discussions similaires

Newsletters