Infecté par un cheval de troie tr/obfuscate

Question

Bonjour, 
voila depuis hier antivir me signal la présence d'un cheval de troi du nom de : tr/obfuscated SZ.3
Si quelq'un peut me guider pour en venir a bout, merci d'avance


Configuration: windows vista
Firefox
antivir
zone alarm

kalimusic · Answer

Bonjour,

Dans quel fichier ?
Tu as le rapport de scan où la détection apparait ?
Poste ce rapport stp.

A +

liguec1 · Answer

voila ou se trouve le fichier : Dans le fichier 'C:\Users\pere noel\AppData\Local\Temp\setup4033442768.exe'
un virus ou un programme indésirable 'TR/Obfuscate.SZ.3' [trojan] a été détecté.
Action exécutée : Refuser l'accès

kalimusic · Answer

ok,

Démarrer > et dans Rechercher
Copie/colle %temp% puis valide par [Entrée]
Supprime le contenu du dossier temporaire.

A +

liguec1 · Answer

alors voila j'ai supprimé le contenu

kalimusic · Answer

Refait un scan avec Antivir, cela devrait être rentré dans l'ordre.

D'autres soucis ?

A +

liguec1 · Answer

euh excuse moi mais ayant par le passé pas mal participé sur ce forum pour aider les gens, j'ai jamais vu un virus ou troyan se supprimé en faisant clique droit supprimé. je n'est pas encore refait de scan mais je pense que la réponse sera négative : il y reste encore des trace je pense. c'est ce qu'est entrain de mon confirmé malwarebytes

kalimusic · Answer

Tu as des symptômes ?
Poste le rapport de Malwarebytes, une fois le scan terminé.

A +

liguec1 · Answer

voici le rapport :
Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 7841

Windows 6.0.6001 Service Pack 1 (Safe Mode)
Internet Explorer 8.0.6001.19088

01/10/2011 19:29:19
mbam-log-2011-10-01 (19-29-19).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 298465
Temps écoulé: 53 minute(s), 50 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 22

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AMService (Spyware.Passwords.XGen) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Windows\Temp\ltihpu\setup.exe (Spyware.Passwords.XGen) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\2F0.tmp (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup1091227088.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup1516685648.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup1657482608.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup1680705168.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup1831734576.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup2308475216.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup250297296.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup3186403568.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup3506977488.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup3927969328.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup4033442768.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup4196634928.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup4209574480.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup453058736.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup506136464.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup562533744.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup659881680.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup71244304.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup719702448.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\pere noel\AppData\Local\Temp\setup951977264.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.

kalimusic · Answer

ah oui, quand même ^^

Nous allons utiliser cet outil de diagnostic afin d'identifier les problèmes.

Télécharge OTL  (de OldTimer) sur ton Bureau. 

 Ferme toutes tes applications en cours 

&#x25CF;  Lance OTL.exe  
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF;  L'interface principale s'ouvre : 
&#x25CF;  Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal 
&#x25CF;  Laisse tous les autres paramètres par défaut 
&#x25CF;  Dans la partie du bas "Personnalisation", copie/colle la liste en citation : 

netsvcs 
/md5start
volsnap.*
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
/md5stop
%temp%\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%APPDATA%\*.
%SYSTEMDRIVE%\*.exe 
%systemroot%\*. /mp /s 
%systemroot%\system32\*.dll /lockedfiles 
%systemroot%\Tasks\*.job /lockedfiles 
%systemroot%\system32\drivers\*.sys /lockedfiles 
%systemroot%\assembly	mp\*.* /s
hklm\system\CurrentControlSet\Control\Session Manager\SubSystems /s 
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
SAVEMBR:0 
CREATERESTOREPOINT 
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.   
&#x25CF;  2 rapports vont s'ouvrir au format bloc-note : 
OTL.txt (qui sera affiché) ainsi que Extras.txt (réduit dans la barre des tâches)  
&#x25CF;  Ne les poste pas sur le forum, ils seraient trop long  
&#x25CF;  Héberge les sur un des sites suivants :
https://www.cjoint.com/
http://www.cijoint.fr/
http://pjjoint.malekal.com/
https://textup.fr/ 
&#x25CF;  Tu obtiendras 2 liens que tu me donneras dans ton prochain message. 

A +

liguec1 · Answer

alors voila les rapport 
	https://www.cjoint.com/?3JbwsQSQfKt

https://www.cjoint.com/?3JbwtSeTq4a 

	https://www.cjoint.com/?3JbwvCuhmQi

kalimusic · Answer

liguec1,

1. Vide le cache de Java comme indiqué ici : https://java.com/fr/download/help/plugin_cache.html

2. Relance OTL
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; L'interface principale s'ouvre :
&#x25CF; Dans la partie du bas "Personnalisation", copie/colle l'intégralité du fichier hébergé > ici <
&#x25CF; Clique sur le bouton Correction.
&#x25CF; Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.   
&#x25CF; Accepte en cliquant sur OK. 
&#x25CF; Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.   

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles (Vérifie la date si besoin : jjmmaaaa_xxxxxxxx.log) 

3. Télécharge Dr Web CureIt sur ton Bureau.
Fait un scan en suivant ce tutoriel => http://www.bibou0007.com/t3659-tutorial-dr-web-cureit 

4. Héberge les 2 rapports et donne moi les liens

A +

kalimusic · Answer

Bonjour, 

un soucis pour faire les procédures demandées ?

A +

liguec1 · Answer

salut, j' y travail encore dessus (pas toujours eu le temps), hier soir après le scan complet de dr web, antivir criait encore toutes les minutes, mais la aujourd'hui après redémarrage y a rien mais je t'en redis mieux demain.

Merci d'avance

kalimusic · Answer

ok,

J'attends les 2 rapports.

A demain

liguec1 · Answer

salut me revoila; j'ai pas eu beaucoup de temps pour faire les scan donc désolé.

j'ai fait un scan avec docteurweb mais je ne trouve pas le rapport, ou se trouve t-il.

et mauvaise nouvelle antivir detecte toujours des trojans.

kalimusic · Answer

Bonjour,

As tu au préalable vidé le cache Java ?
As tu fait la correction OTL ? Si oui, le rapport ?
Pour DrWeb, c'est à toi de créer et sauvegarder le rapport de scan.

A +

liguec1 · Answer

alors oui j'ai vidé le cache java

voici le rapport otl : 	https://www.cjoint.com/?0JhtGxEtdvz 

pas moyen de trouver le rapport a la fin j'ai choisi sauvegarder le rapport mais il ma pas demander de chemin de destination. la je suis arrivé a allé dans le dossier ou il met les fichier en quarantaine et un fichier cureit.log mais c'est pas le bon.

De même en quarantaine il m'a mis OTL.

ca m'enbete de refaire le scan avec octeur web car ca dure 7h tout de meme

kalimusic · Answer

ok,

Non inutile de refaire DrWeb. On va refaire un diagnotic avec OTL pour voir ce qui s'est passé depuis 4 jours.

1. Télécharge OTL  (de OldTimer) sur ton Bureau. 

 Ferme toutes tes applications en cours 

&#x25CF;  Lance OTL.exe  
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF;  L'interface principale s'ouvre : 
&#x25CF;  Dans la section Rapport en haut à droite de la fenêtre,  coche Rapport minimal 
&#x25CF; Coche "Tous" dans le groupe "Registre: approfondi". 
&#x25CF;  Laisse tous les autres paramètres par défaut 
&#x25CF;  Dans la partie du bas "Personnalisation", copie/colle la liste en citation : 

netsvcs 
drivers32 
/md5start
volsnap.*
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
/md5stop
%temp%\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%APPDATA%\*.
%SYSTEMDRIVE%\*.exe 
%systemroot%\*. /mp /s 
%systemroot%\system32\*.dll /lockedfiles 
%systemroot%\Tasks\*.job /lockedfiles 
%systemroot%\system32\drivers\*.sys /lockedfiles 
C:\windows\assembly	mp\*.* /s
hklm\system\CurrentControlSet\Control\Session Manager\SubSystems /s 
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
SAVEMBR:0 
CREATERESTOREPOINT 
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.   
&#x25CF;  2 rapports vont s'ouvrir au format bloc-note : 
OTL.txt (qui sera affiché) ainsi que Extras.txt (réduit dans la barre des tâches)

2. Si tu as le scan de ANTIVIR montrant les détections récentes, je le veux bien.

A +

liguec1 · Answer

salut alors voila un rapport otl https://www.cjoint.com/?0JikqS9iDW6  
par contre dans recherche approfondi j'ai cliqué sur tous mais des que je lance l'analyse il repasse sur aucun. 

et aussi il m'a pas ouvert de rapport extras meme dans la barre de tache j'ai essayé une deuxieme fois et pareil un seul rapport OTL

et voici un rapport antivir : https://www.cjoint.com/?0JikAKzpkL4

kalimusic · Answer

Bonjour,

Désinstalle Spybot S&D, logiciel obsolète et qui risque de gêner la désinfection : 
  
1. Désactive le module Tea Timer  
2. Dé-vaccine  
3. Désinstalle  

Je prépare la suite.

A +

kalimusic · Answer

re,

Le rapport d'antivir date du 1er octobre.

1. Relance OTL
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; L'interface principale s'ouvre :
&#x25CF; Dans la partie du bas "Personnalisation", copie/colle la liste en citation :

:OTL
DRV - (DwProt) --  File not found
[2011/10/02 12:18:05 | 000,000,000 | ---D | C] -- C:\Users\pere noel\AppData\Roaming\Poydp 
[2011/10/02 12:18:05 | 000,000,000 | ---D | C] -- C:\Users\pere noel\AppData\Roaming\Kyt 
[2011/10/01 19:21:34 | 000,003,988 | ---- | M] () -- C:\Windows\System32	mp.reg     

:Files
ipconfig /flushdns /c

:Commands 
[emptyflash]
[emptytemp]
&#x25CF; Clique sur le bouton Correction.
&#x25CF; Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.   
&#x25CF; Accepte en cliquant sur OK. 
&#x25CF; Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.   
&#x25CF; Copie/colle le dans ton prochain message.   

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles (Vérifie la date si besoin : jjmmaaaa_xxxxxxxx.log)  

2. Met à jour Malwabytes et fait un scan complet

3. Fait un nouveau scan avec Antivir

4. Poste les 3 liens des rapports

A +

Infecté par un cheval de troie tr/obfuscate

21 réponses

Votre réponse

Discussions similaires

Newsletters