Problème infection virus introuvable
Résolu
dfn
-
Malekal_morte- Messages postés 178136 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention -
Malekal_morte- Messages postés 178136 Date d'inscription Statut Modérateur, Contributeur sécurité Dernière intervention -
Bonjour,
Depuis le début du mois, je suis infecté par un virus dont j'arrive pas à me défaire. Mon ordinateur rame comme pas possible dès que je suis sur internet (par moments, même le Ctrl+Alt+Suppr ne peut pas se lancer) et mes recherches sur google sont redirigées (surtout avec les mots clé virus, infection, etc). Hors connexion, ça semble aller mieux.
Pour refaire une chronologie, je suis allé sur www.zesea.com/ et j'ai subi une attaque massive. Antivir m'affichant :
"Dans le fichier 'C:\Windows\Temp\ktavwa\setup.exe'
un virus ou un programme indésirable 'TR/Dropper.Gen' [trojan] a été détecté.
Action exécutée : Refuser l'accès"
et ceci, 7-8 fois.
A ce moment, pas de ralentissement particulier, mais certaines recherches google étaient redirigées sur genre ebay ou une vidéo d'alizé cornet (??!!?????)
Le 02/08, situé dans mes temp, PSW.Fareit.A.49 était bloqué.
Là, je fais une recherche complète avec Antivir : RAS, pas un fichier infecté, mais le scénario continue !!
Le 05/08, TR/Crypt.XPACK.Gen' [trojan] est trouvé dans une .dll, impossible de la virer, erreur dans la bibliothèque ARK. Il ne me trouve rien de bien particulier sauf troyens dans vista7Slic, USBFix et un programme de mon appareil photo.
Le 07/08, nouveau message sur la même dll, cette fois-ci, infection confinée.
Le 11/08, JS/Conig.JU' [virus] est détecté dans des TIF et bloqué.
Le 15/08, un scanner avec Antivir ne donne rien. Ni Malware Bytes.
Le 16/08, JS/Redirector.QB [virus] est lui aussi détecté et bloqué dans mes TIF.
Le 17/08, c'est au tour de 'EXP/2010-1423.O' [exploit].
Le 20/08, EXP/CVE-2010-4452.B' [exploit] dans le Temp.
Le 21/08, JS/Redirector.QB' [virus] dans les TIF. Tous les trois bloqués.
A côté d'Antivir, Malware fighter n'a rien trouvé sauf Lfaviu.dll mais avant l'infection massive.
Voilà pour le scénario.
Il y aurait-il quelqu'un qui puisse m'aiguiller, parce que là, je ne vois pas trop ce que je pourrais faire...
Sinon, j'ai fait des scans avec OTL et HijackThis mais j'attends pour les logs.
Merci.
Cordialement
Depuis le début du mois, je suis infecté par un virus dont j'arrive pas à me défaire. Mon ordinateur rame comme pas possible dès que je suis sur internet (par moments, même le Ctrl+Alt+Suppr ne peut pas se lancer) et mes recherches sur google sont redirigées (surtout avec les mots clé virus, infection, etc). Hors connexion, ça semble aller mieux.
Pour refaire une chronologie, je suis allé sur www.zesea.com/ et j'ai subi une attaque massive. Antivir m'affichant :
"Dans le fichier 'C:\Windows\Temp\ktavwa\setup.exe'
un virus ou un programme indésirable 'TR/Dropper.Gen' [trojan] a été détecté.
Action exécutée : Refuser l'accès"
et ceci, 7-8 fois.
A ce moment, pas de ralentissement particulier, mais certaines recherches google étaient redirigées sur genre ebay ou une vidéo d'alizé cornet (??!!?????)
Le 02/08, situé dans mes temp, PSW.Fareit.A.49 était bloqué.
Là, je fais une recherche complète avec Antivir : RAS, pas un fichier infecté, mais le scénario continue !!
Le 05/08, TR/Crypt.XPACK.Gen' [trojan] est trouvé dans une .dll, impossible de la virer, erreur dans la bibliothèque ARK. Il ne me trouve rien de bien particulier sauf troyens dans vista7Slic, USBFix et un programme de mon appareil photo.
Le 07/08, nouveau message sur la même dll, cette fois-ci, infection confinée.
Le 11/08, JS/Conig.JU' [virus] est détecté dans des TIF et bloqué.
Le 15/08, un scanner avec Antivir ne donne rien. Ni Malware Bytes.
Le 16/08, JS/Redirector.QB [virus] est lui aussi détecté et bloqué dans mes TIF.
Le 17/08, c'est au tour de 'EXP/2010-1423.O' [exploit].
Le 20/08, EXP/CVE-2010-4452.B' [exploit] dans le Temp.
Le 21/08, JS/Redirector.QB' [virus] dans les TIF. Tous les trois bloqués.
A côté d'Antivir, Malware fighter n'a rien trouvé sauf Lfaviu.dll mais avant l'infection massive.
Voilà pour le scénario.
Il y aurait-il quelqu'un qui puisse m'aiguiller, parce que là, je ne vois pas trop ce que je pourrais faire...
Sinon, j'ai fait des scans avec OTL et HijackThis mais j'attends pour les logs.
Merci.
Cordialement
16 réponses
-
Salut,
Bienvenue.
Voici la procédure à suivre.
Prière de lire attentivement les instructions pour les suivre correctement surtout en respectant l'ordre des étapes et attendre d'avoir fini chaque étape pour passer à la suivante.
Bien poster les rapports comme demandés afin de pouvoir les analyser.
Les étapes de la procédure doivent être suivies l'une après l'autre et pas à faire en même temps.
Tu es infecté par Alureon/TDSS.
ETAPE 1 :
Passe un coup de TDSSKiller : https://forum.malekal.com/viewtopic.php?t=28637&start=
Poste le rapport ici.
ETAPE 2 :
Télécharge et installe Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Mets le à jour, fais un scan rapide, supprime tout et poste le rapport ici.
!!! Malwarebyte doit être à jour avant de faire le scan !!!
Supprime bien ce qui est détecté : bouton supprimer sélection.
ETAPE 3 :
Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/
* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)
* Lance OTL
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
CREATERESTOREPOINT
nslookup www.google.fr /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
* Clique sur le bouton Analyse.
* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt), donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message.
-
Bonjour,
Merci pour votre réponse rapide.
TDSSKiller n'a rien trouvé (j'ai lancé depuis une autre session plus légère à démarrer).
Le rapport est ici : http://www.cijoint.fr/cjlink.php?file=cj201108/cijKRfdUDs.txt
Pour Malware Bytes : http://www.cijoint.fr/cjlink.php?file=cj201108/cijH5hT94L.txt
Merci
Cordialement -
Plutôt étonnant que TDSSKiller n'aie rien trouvé.
Tu as des redirections lors des recherches Google ?
Comment se comporte le PC ?
-
Si je tape Virus, ou problème ordinateur sur google, quand je clique sur un lien, je me fais rediriger. J'ai essayé à l'instant, j'ai du faire 3 fois la recherche "Virus" sur google pour que le lien wikipedia s'ouvre correctement (je me suis fait 2 fois rediriger par un 60315.xml (ou un truc comme ça) et par 78.140.154.132 ) par contre, si je mets "Chips" ou un mot bidon, j'ai l'impression que la recherche est moins fréquemment déviée.
Autres symptômes : ordinateur trèèès lent, et un peu de mal à installer certains programmes (rien ne se lance). J'ai voulu réinstaller Framework tout à l'heure, il a mis 15 min pour se lancer, et l'installation n'a pas abouti.
A ce propos, j'ai contrôlé ma version, je suis en 4.0.30319 alors qu'OTL a du me mettre au moins 1000 messages d'erreur version... -
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question -
c'est normal que ça rame :
1,75 Gb Total Physical Memory | 0,79 Gb Available Physical Memory | 45,21% Memory free [Attention - Mémoire libre insuffisante - désinstaller les programmes inutiles]
Désinstalle Malware Fighter.
Désinstalle toutes ces barres d'outils...
Les barres d'outils sont là pour t'affilier à un service (moteur de recherche de Yahoo! ou Google), ça rajoute des fonctionnalités mais en général les navigateurs les ont par défaut.
De plus, elles enregistrent les sites que tu visites pour les transmettre (tracking) à faire de la publicité ciblée, c'est pas super niveau protection de la vie privée.
Plusieurs toolbars ralentissent le PC et peuvent faire planter les navigateurs WEB.
Au final, il est pas conseillé d'en utiliser.
Les toolbars c'est pas obligatoire!
O2 - BHO: (AskBar BHO) - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Program Files\AskBarDis\bar\bin\askBar.dll (Ask.com)
O2 - BHO: (Conduit Engine ) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.)
O2 - BHO: (Softonic_France Toolbar) - {4daac69c-cba7-45e2-9bc8-1044483d3352} - C:\Program Files\Softonic_France\tbSoft.dll (Conduit Ltd.)
O2 - BHO: (Vuze Remote Toolbar) - {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Program Files\Vuze_Remote\prxtbVuz0.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Foxit Toolbar) - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Program Files\AskBarDis\bar\bin\askBar.dll (Ask.com)
O3 - HKLM\..\Toolbar: (Conduit Engine ) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Vuze Remote Toolbar) - {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Program Files\Vuze_Remote\prxtbVuz0.dll (Conduit Ltd.)
O3 - HKU\.DEFAULT\..\Toolbar\WebBrowser: (Foxit Toolbar) - {3041D03E-FD4B-44E0-B742-2D9B88305F98} - C:\Program Files\AskBarDis\bar\bin\askBar.dll (Ask.com)
O3 - HKU\.DEFAULT\..\Toolbar\WebBrowser: (Vuze Remote Toolbar) - {BA14329E-9550-4989-B3F2-9732E92D17CC} - C:\Program Files\Vuze_Remote\prxtbVuz0.dll (Conduit Ltd.)
O3 - HKU\S-1-5-18\..\Toolbar\WebBrowser: (Foxit Toolbar) - {3041D03E-FD4B-44E0-B742-2D9B88305F98} - C:\Program Files\AskBarDis\bar\bin\askBar.dll (Ask.com)
O3 - HKU\S-1-5-18\..\Toolbar\WebBrowser: (Vuze Remote Toolbar) - {BA14329E-9550-4989-B3F2-9732E92D17CC} - C:\Program Files\Vuze_Remote\prxtbVuz0.dll (Conduit Ltd.)
~~
Tu as encore des détections de ce type ?
"Dans le fichier 'C:\Windows\Temp\ktavwa\setup.exe'
un virus ou un programme indésirable 'TR/Dropper.Gen' [trojan] a été détecté.
~~
Télécharge GMER à partir de ce lien : http://www.gmer.net#files - clic sur « Download EXE » et télécharge le fichier sur ton bureau.
Voir le tutorial GMER, ça peut peut-être t'aider : https://www.malekal.com/tutorial-gmer/
Désactive tes logiciels de protection (antivirus, antispyware etc) et ferme tous les programmes ouverts.
Double-clic sur le fichier GMER téléchargé.
[b]IMPORTANT:/b Si une alerte de ton antivirus apparaît pour le fichier gmer.sys ou gmer.exe, laisse le s'executer.
Clic sur l'onglet « rootkit »
Décoche Registry et Files.
Clic sur Scan
Lorsque le scan est terminé, clic sur « Copy »
Ouvre le bloc-note et clic sur le Menu Edition / Coller
Le rapport doit alors apparaître.
Enregistre le fichier sur ton bureau et copie/colle le contenu ici.
Yes, no, maybe
I don't know
Can you repeat the question?
You're not the boss of me now -
Merci pour ta réponse
Oui, je les désactive tout le temps sans les avoir désinstallées, demain je m'y occupe. OK, le nombre de logiciels peut expliquer un ralentissement, mais là, c'est vraiment critique, et je n'en ai pas rajouté depuis un moment.
En ce moment par exemple, j'ai voulu désinstaller la toolbar de Conduit par le gestionnaire des programmes, ça fait 5min, j'attends toujours...
Autre chose, hier, il me semble que j'avais 6Go de libres sur C:\, tout à l'heure j'avais 4.5Go et maintenant 5.5Go (??)
Sinon, je n'ai plus de détections.
Demain matin, je lance gmer...
Merci
Bonne soirée/nuit -
Re
Impossible de désinstaller ConduitEngine hier soir, ce matin, idem avec la Vuze.
J'ai lancé Gmer, le rapport est ici : http://www.cijoint.fr/cjlink.php?file=cj201108/cijRkKUYNz.txt
Merci
Cordialement -
Désinstalle IObit Malware Fighter.
Sauvegarde tes documents importants.
Désactive les logiciels de protection (Antivirus, Antispywares) ensuite :
Télécharge Combofix sUBs : http://download.bleepingcomputer.com/sUBs/ComboFix.exe et sauvegarde le sur ton bureau et pas ailleurs!
Double-clic sur combofix, accepte la licence d'utilisation et laisse toi guider.
Eventuellement, installe la console de récupération comme cela est conseillé
Attends que combofix ait terminé, un rapport sera créé. Poste le rapport.
Si le rapport ne passe pas, envoie le sur ce site : http://pjjoint.malekal.com/
et donne le lien ici :)
Tu as le tutorial sur ce lien pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix
PS : si Combofix ne se lance pas, renomme le fichier Combofix et retente.
Si pas mieux, tente en mode sans échec sans prise en charge du réseau : Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.
-
OK,
je lance ça à midi.
Par contre, est-ce que les docs peuvent être sur une partition ou ils doivent être sur un disque externe ?
Merci -
Voilà
J'ai redémarré en mode sans échec, lancé COmbofix (qui m'a averti qu'Antivir était lancé, mais pas de présence dans ma barre des taches ni rien... ??)
J'ai scanné, voici le log :
http://pjjoint.malekal.com/files.php?id=y8r5o14e6q12x13c11w14b6s12v8p8r6w7m137j6g10s12f9
J'ai redémarré juste après, à peine lancé je subissait une attaque répétée
Dans le fichier 'C:\Windows\temp\vlwprk\setup.exe'
un virus ou un programme indésirable 'TR/Crypt.EPACK.Gen2' [trojan] a été détecté.
Action exécutée : Refuser l'accès
Dans le fichier 'C:\Windows\temp\rpwliw\setup.exe'
un virus ou un programme indésirable 'TR/Crypt.EPACK.Gen2' [trojan] a été détecté.
Action exécutée : Déplacer le fichier en quarantaine
Mes recherches sont toujours déviées...
Que faire ?? ...
Merci
Cordialement -
Le rapport Combofix est vide.
Test un des deux voir ce qu'il dit :
Symantec TDSS fix : https://forum.malekal.com/viewtopic.php?t=33630&start=
awsmbr : https://forum.malekal.com/viewtopic.php?t=31619&start=
-
Après reboot, Symantec m'a indiqué que ma MBR était infectée. Puis réparé...
et maintenant ? :)
le rapport d'aswMBR : http://pjjoint.malekal.com/files.php?id=s10e6l10b9c10g8p13y10s8s10s1515q6r13v8f5z10f8t14d15
Merci -
tu regardes si tu as encore des détections de setup.exe qui arrive
et si tu es encore redirigé sur Google.
-
OK
Pour le moment rien à signaler, ça a l'air d'aller
Merci beaucoup pour le dépannage, ça fait plaisir ;)
Cordialement -
Le 17/08, c'est au tour de 'EXP/2010-1423.O' [exploit].
Le 20/08, EXP/CVE-2010-4452.B' [exploit] dans le Temp.
infection par exploit sur site web : https://forum.malekal.com/viewtopic.php?t=3563&start=
Donc tu as des programmes pas à jour qui permettent l'infection de ton PC.
Adobe Reader/Java sont peut-être pas à jour et contiennent des vulnérabilités qui peuvent mettre l'infection de ton PC.
Lire explications : https://forum.malekal.com/viewtopic.php?t=13629&start=
Maintiens tes logiciels à jour c'est important, utilise ce programme : /faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite
Absolument à faire.
Fais plus attention à l'avenir....
Les antivirus ne font pas tout en ce qui concerne la sécurité de ta machine (mettre à jour ses logiciels etc etc)
La meilleur protection reste de connaître les infections pour pouvoir les éviter et avoir de bonne habitude.
Donc faut se documenter.
Si tu utilises Avast! ou AVG - regle le pour détecter les LPIs - voir : https://www.malekal.com/adwares-pup-protection/
Un peu de lecture pour éviter les infections :
- connaitre et éviter les infections : https://www.malekal.com/fichiers/projetantimalwares/ProjetAntiMalware-courte.pdf
- sécuriser son PC : http://forum.malekal.com/comment-securiser-son-ordinateur.html
- lire : http://www.commentcamarche.net/faq/27128-malwares-quels-enjeux-version-synthese
Ce qu'il ne faut pas faire :
Je télécharge n'importe quoi - je m'infecte - evite les programmes par publicités ou sur les liens commerciaux des moteurs de recherche - ce sont des arnaques ::
Les PUPs/LPIs : https://www.malekal.com/adwares-pup-protection/
Exemple de ce qu'il ne faut pas faire :
https://forums.commentcamarche.net/forum/affich-19719198-onglets-pub-intempestifs#14
https://forums.commentcamarche.net/forum/affich-18347759-le-nouveau-avast-sonne-trop-souvent#9
Je télécharge depuis n'importe où - je m'infecte : https://forums.commentcamarche.net/forum/affich-19916973-clickpotato-vlc-virus#6
Recommandations sur la sécurité : https://forums.commentcamarche.net/forum/affich-18680013-windows-7-et-antispyware#1
Fonctionnement de quelques catégories de malwares :
https://forums.commentcamarche.net/forum/affich-17725521-virus-programme-troyen
https://forums.commentcamarche.net/forum/affich-17746390-concernant-la-propagation-des-virus
Si tu as des questions sur le fonctionement des malwares.
N'hésite pas.
-
Rebonjour,
Merci pour la lecture ;)
J'ai fait les mises à jour comme tu me l'as conseillé, mais depuis je raaaaame...
Je me demande si je me suis pas recapté un truc.
J'ai eu ce message :
Le fichier 'C:\Windows\System32\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\33\7639e6e1-63f34f59'
contenait un virus ou un programme indésirable 'JAVA/Exdoer.FI' [virus].
Action(s) exécutée(s) :
Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4b7bc281.qua' !
4 fois hier. Mais c'est depuis la mise à jour de tous mes programmes (depuis les sites officiels) que je rame de plus en plus.
MBAM n'a rien trouvé, Antivir non plus.
Le rapport gmer me semble ne rien avoir :
http://pjjoint.malekal.com/files.php?id=m14v6y8q12q7y8b6l11b9c14g7e13y14d10k11u9w10f9z5k8
Le rapport OTL :
http://pjjoint.malekal.com/files.php?id=e5z11h7h7q6l13c8l7p9t6u5b6m15h6k8g12n5z6x10q6
Le rapport aswMBR m'as mis un avertissement :
http://pjjoint.malekal.com/files.php?id=x10f11n9w7k5n5m15v10b7s15e11d13g15n514x7u9p9r5y14
Merci pour tes réponses
Cordialement
