Infection par un keylogger Résolu/Fermé

Question

Bonjour, 



Configuration: Windows XP / Firefox 3.6.23

Je me permets de vous écrire car je suis presque certain d'etre infecté par un keylogger. Pourriez vous m'indiquer la procédure à suivre pour m'en débarraser svp?
J'ai l'impression que la suppression de ce genre de "virus" se fait au cas par cas selon les rapports postés par la personnes infectée.

Bien cordialement

kalimusic · Answer

Bonjour et Bienvenue sur CCM 

Qu'est ce qui te fait croire que tu as un keylogger ?

Nous allons utiliser cet outil de diagnostic :

Télécharge OTL  (de OldTimer) sur ton Bureau. 

 Ferme toutes tes applications en cours 

&#x25CF;  Lance OTL.exe  
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF;  L'interface principale s'ouvre : 
&#x25CF;  Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal 
&#x25CF;  Coche la case également Tous les utilisateurs
&#x25CF;  Laisse tous les autres paramètres par défaut 
&#x25CF;  Dans la partie du bas "Personnalisation", copie/colle la liste en citation : 

netsvcs 
/md5start
volsnap.*
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
/md5stop
%temp%\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%APPDATA%\*.
%SYSTEMDRIVE%\*.exe 
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
hklm\software\Policies\Microsoft\Windows\WindowsUpdate\AU
hklm\software\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install|LastSuccessTime /rs
SAVEMBR:0 
CREATERESTOREPOINT 
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.   
&#x25CF;  2 rapports vont s'ouvrir au format bloc-note : 
OTL.txt (qui sera affiché) ainsi que Extras.txt (réduit dans la barre des tâches)  
&#x25CF;  Ne les poste pas sur le forum, ils seraient trop long  
&#x25CF;  Héberge les sur un des sites suivants :
https://www.cjoint.com/
http://www.cijoint.fr/
http://pjjoint.malekal.com/
https://textup.fr/ 
&#x25CF;  Tu obtiendras 2 liens que tu me donneras dans ton prochain message. 

A +

baptkeylogger · Answer

Bonsoir,

Tout d'abord un grand merci pour cette réponse aussi rapide. Les éléments qui me font penser qu'un keylogger est présent sont:

- ^^ impossible de n'en faire qu'un seul et en consultant divers forums, il semblerait que ce soit une des caractéristiques

- Ensuite, j'ai une fenêtre Windows qui m'indique une erreur avec rundll32 et ce très souvent (toutes les 5 minutes) et me dit qu'ils ont bloqué l'accès.

Qu'en penses tu?
Je m'occupe tout de suite de ce que tu m'as demandé

kalimusic · Answer

Je pensais plutôt à des vols de mdp 

J'attends les rapports.

A +

baptkeylogger · Answer

VOici mes scans:

- http://www.cijoint.fr/cjlink.php?file=cj201110/cijYosPcMX.txt 

- http://www.cijoint.fr/cjlink.php?file=cj201110/cijR8Oncon.txt

kalimusic · Answer

re,

Windows pas à jour, navigateurs pas à jour = les infections se régalent :)

&#x25CF;  La plupart des infections nécessitent plusieurs outils et manipulations pour les supprimer complètement. Même si les symptômes disparaissent rapidement, il est préférable de terminer la procédure.
&#x25CF;  N'utilise pas d'outil de désinfection de ta propre initiative, ne pas suivre également d'autres conseils afin de ne pas interférer sur la procédure en cours.
&#x25CF;  Prends le temps de lire ce qui est demandé, ne te lance pas dans une manipulation que tu n'as pas compris. 
&#x25CF;  Héberge les rapports des outils sur http://www.cijoint.fr/ ou https://www.cjoint.com/ ou http://pjjoint.malekal.com/ ou https://textup.fr/
&#x25CF;  Je t'aide bénévolement, merci d'en tenir compte :)

 == == == == == == == == == == == == == == == == == == == == == ==

Désinstalle Spybot S&D, logiciel obsolète et qui risque de gêner la désinfection : 
  
&#x25CF; Désactive le module Tea Timer  
&#x25CF; Dé-vaccine  
&#x25CF; Désinstalle  

 == == == == == == == == == == == == == == == == == == == == == ==

1. Désinstalle si possible :

pdfforge Toolbar v4.6     
SearchSettings
2. Télécharge AdwCleaner ( d'Xplode ) sur ton bureau. 
&#x25CF; Lance  AdwCleaner
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; clique sur Recherche  
&#x25CF; Patiente le temps du scan, le rapport doit s'ouvrir spontanément à la fin. 
&#x25CF; Clique sur Quitter 

Le rapport est sauvegardé à la racine du disque C:\AdwCleaner[R1].txt 

3. Héberge le rapport et donne moi le lien

A +

baptkeylogger · Answer

j'ai supprimé pdfforge par contre je ne trouve pas l'autre.

J'ai bien pris connaissance de tout ce que tu m'as dis et je te remercie infiniment de me porter secours et ce de manière non lucrative. Je respecterai l'ensemble de tes conseils :d

Voici le lien:

http://www.cijoint.fr/cjlink.php?file=cj201110/cijmon3kvX.txt

kalimusic · Answer

re,

1.  Relance AdwCleaner 

&#x25CF; Clique sur Suppression 
&#x25CF; Patiente le temps du scan, le rapport doit s'ouvrir spontanément à la fin. 
&#x25CF; Clique sur Quitter 

Le rapport est sauvegardé à la racine du disque C:\AdwCleaner[S1].txt 

2. Relance OTL

&#x25CF; L'interface principale s'ouvre :
&#x25CF; Dans la partie du bas "Personnalisation", copie/colle la liste en citation :

:OTL
SRV - (Application Updater) -- C:\Program Files\Application Updater\ApplicationUpdater.exe (Spigot, Inc.)     
IE - HKU\S-1-5-21-1645522239-796845957-839522115-1004\..\URLSearchHook: {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Program Files\pdfforge Toolbar\IE\4.6\pdfforgeToolbarIE.dll (Spigot, Inc.)     
FF - prefs.js..extensions.enabledItems: {CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA}:6.0.23     
FF - prefs.js..extensions.enabledItems: {D9ADB0A8-7BFB-498D-9880-EE78A81CCFA0}:1.0     
FF - prefs.js..extensions.enabledItems: pdfforge@mybrowserbar.com:4.6 
FF - prefs.js..extensions.enabledItems: wtxpcom@mybrowserbar.com:4.6 
[2011/08/11 12:26:14 | 000,000,000 | ---D | M] (QuestBrowse) -- C:\Program Files\Mozilla Firefox\extensions\{D9ADB0A8-7BFB-498D-9880-EE78A81CCFA0}     
[2011/09/18 11:59:43 | 000,000,000 | ---D | M] (Widgi Toolbar Platform) -- C:\PROGRAM FILES\FICHIERS COMMUNS\SPIGOT\WTXPCOM     
[2011/09/18 11:59:44 | 000,000,000 | ---D | M] (pdfforge Toolbar) -- C:\PROGRAM FILES\PDFFORGE TOOLBAR\FF     
O2 - BHO: (Spybot-S&D IE Protection) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll (Safer Networking Limited)     
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.     
O2 - BHO: (pdfforge Toolbar) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Program Files\pdfforge Toolbar\IE\4.6\pdfforgeToolbarIE.dll (Spigot, Inc.)     
O3 - HKLM\..\Toolbar: (pdfforge Toolbar) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - C:\Program Files\pdfforge Toolbar\IE\4.6\pdfforgeToolbarIE.dll (Spigot, Inc.)     
O4 - HKLM\..\Run: [SearchSettings] C:\Program Files\Fichiers communs\Spigot\Search Settings\SearchSettings.exe (Spigot, Inc.)     
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe" File not found     
O4 - HKU\S-1-5-21-1645522239-796845957-839522115-1004\..\Run: [{0AA08AA0-BBE7-AD7F-CA32-8453D3EBA741}] "C:\Documents and Settings\user\Application Data\Olmo\dyot.exe" File not found
O4 - HKU\S-1-5-21-1645522239-796845957-839522115-1004\..\Run: [RegistryBooster] "C:\Program Files\Uniblue\RegistryBooster\launcher.exe" delay 20000  File not found     
O4 - HKU\S-1-5-21-1645522239-796845957-839522115-1004\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe (Safer Networking Limited)     
O9 - Extra 'Tools' menuitem : Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll (Safer Networking Limited)     
[2011/10/09 21:20:26 | 000,000,000 | ---D | C] -- C:\Documents and Settings\user\Application Data\Uniblue 
[2011/10/09 21:20:15 | 000,000,000 | -H-D | C] -- C:\Documents and Settings\All Users\Application Data\~0 
[2011/10/09 21:16:40 | 000,000,000 | ---D | C] -- C:\Program Files\Flyos     
[2011/10/09 21:06:06 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users\Menu Démarrer\Programmes\Spybot - Search & Destroy     
[2011/10/09 21:06:03 | 000,000,000 | ---D | C] -- C:\Program Files\Spybot - Search & Destroy     
[2011/10/09 21:06:03 | 000,000,000 | ---D | C] -- C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy     
[2011/09/18 11:59:50 | 000,000,000 | ---D | C] -- C:\Documents and Settings\user\Application Data\Search Settings     
[2011/09/18 11:59:43 | 000,000,000 | ---D | C] -- C:\Program Files\pdfforge Toolbar     
[2011/09/18 11:59:43 | 000,000,000 | ---D | C] -- C:\Program Files\Application Updater     
[4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] 
[1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] 

:Files
ipconfig /flushdns /c
C:\Program Files\Application Updater     
C:\Program Files\Uniblue

:Commands 
[resethosts]
[emptyflash]
[emptytemp]
&#x25CF; Clique sur le bouton Correction.
&#x25CF; Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.   
&#x25CF; Accepte en cliquant sur OK. 
&#x25CF; Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.   
 
Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles (Vérifie la date si besoin : jjmmaaaa_xxxxxxxx.log) 

3. Héberge les rapports et donne moi les liens.

A +

baptkeylogger · Answer

VOila:

http://www.cijoint.fr/cjlink.php?file=cj201110/cijLwdyZ3B.txt

https://www.cjoint.com/?0JjxDsX9vjh

kalimusic · Answer

C'est encore moi :) 

Tu as passé 3 fois adwcleaner en suppression, le rapport ne montre plus rien ;) 

Par contre tu as bien eu un keylogger sur ton système qui se cachait sous ce dossier C:\Program Files\Flyos  
Je te suggère de changer tous tes mots de passe si tu n'avais pas encore fait.     

1. Met à jour Malwarebytes et effectue un scan complet. 

2. Relance OTL  

&#x25CF;  Dans la partie du bas "Personnalisation", copie/colle : 

C:\Documents and Settings\user\Application Data\Asaxh\*.* /s
&#x25CF;   Clique sur le bouton Analyse rapide, patiente pendant le balayage du système. 
&#x25CF;   Après le balayage, un nouveau rapport  OTL.txt va s'ouvrir au format bloc-note  

3. Héberge les rapports et donne moi les liens.  

4. Dis moi comment de comporte le pc maintenant. 

A demain 
«La raison et la logique ne peuvent rien contre l'entêtement et la sottise.»

baptkeylogger · Answer

je crois que j'ai assuré le coup c'est pour ça que je l'ai fait 3 fois ;)
Celui la est le premier :d

	https://www.cjoint.com/?AJjxS3EIvEk

COmment sais tu alors que s'en était un? est il supprimé?
je te fais les autres scans et je change mes mots de passe tout de suite :d

En tout cas merci beaucoup pour cette efficacité hors du commun :d

baptkeylogger · Answer

alors voila le rapport qui émane de Malwarebytes:

	https://www.cjoint.com/?AJkbsyaOqZM

Comme tu peux le constater il a détecté plusieurs choses... est ce que je dois les supprimer ou non?

voici le rapport OTL:

http://www.cijoint.fr/cjlink.php?file=cj201110/cijuKtr7is.txt


J'attends ta réponse. sur ce bonne nuit à toi et merci encore ;)

kalimusic · Answer

Bonjour,

Nickel pour adwcleaner ;)

C:\Program Files\Flyos => https://www.symantec.com?md5=51fbf3bd783710cf51cd11aaf36e3592
Mais le dossier était vide quand je l'ai fixé.

Relance Malwarebytes et supprime tout.
(il y a des restes d'adwares dans les clés de registre et des points de restauration infectés, on les purgera ensuite complètement pour nettoyer proprement)

1. Relance AdwCleaner et clique sur Désinstaller

2. Supprime manuellement ce dossier en gras :

C:\Documents and Settings\user\Application Data\Asaxh
3. Télécharge Security Check (by screen317 ) sur ton Bureau.

&#x25CF;  Double-clic sur l'icône SecurityCheck.exe 
&#x25CF;  Continue en appuyant sur une touche et patiente pendant l'analyse
&#x25CF;  Le rapport checkup.txt doit s'ouvrir spontanément à la fin du scan. 
&#x25CF;  Copie/colle le rapport dans ton prochain message. 

A +

baptkeylogger · Answer

Bonjour,

Tout d'abord voilà le rapport de Malwarebytes, j'ai ensuite tout supprimé comme tu me l'as dit.

http://www.cijoint.fr/cjlink.php?file=cj201110/cijpVkj28w.txt

Ensuite, je n'ai pas réussi à trouver le dossier que tu voulais que je supprime manuellement. Dois je en conclure qu'il a été supprimé?

Enfin, voici le rapport checkup

http://www.cijoint.fr/cjlink.php?file=cj201110/cij3Rgvps4.txt

Merci :d et à tout à l'heure

kalimusic · Answer

Bonjour,

ok pour Malwarebytes.

Pour le dossier, normalement il est vide, je vais le supprimer.

1. Lance OTL
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
&#x25CF; Dans la partie du bas "Personnalisation", copie/colle:

:OTL
:files
c:\documents and settings\user\mes documents\baba\application data\EoRezo
C:\Documents and Settings\user\Application Data\Asaxh
:commands
[clearallrestorepoints]
&#x25CF; Clique sur le bouton Correction. 

2. Relance OTL en tant qu'administrateur  
&#x25CF; Clique sur le bouton Purge outils
&#x25CF; Clique ensuite sur OK dans la boite de dialogue qui t'invite à redémarrer le système.

4.  Désinstalle les versions obsolètes de Java :  Java(TM) 6 Update 23  

5. Mise à jour de Windows et de IE

https://support.microsoft.com/en-us/windows/windows-xp-support-has-ended-47b944b8-f4d3-82f2-9acc-21c79ee6ef5e

https://support.microsoft.com/en-us/office/internet-explorer-help-23360e49-9cd3-4dda-ba52-705336cc0de2?ui=en-US&rs=en-001&ad=US

6. Mises à jour de logiciels pouvant présenter des failles de sécurité.

&#x25CF; Télécharge et installe JRE 6 Update 27 

&#x25CF; Télécharge et installe Adobe Flash Player 11.0.1.152

!! l'installation de Google Chrome est facultative pour les logiciels Adobe !! 

&#x25CF; Télécharge et installe Firefox 7.0.1

 == == == == == == == == == == == == == == == == == == == == == ==

A +

baptkeylogger · Answer

Alors voilà:

Le rapport de Malwarebytes

https://www.cjoint.com/?AJkpOK3hWhd

J'ai supprimé java 6, j'ai mis à jour IE et windows

J'ai installe JRE 6, adobe, et firefox 7.0.1

Que faut il que je fasse?

a+

kalimusic · Answer

Nickel, on a fini.

 == == == == == == == == == == == == == == == == == == == == == ==

les choses simples qui font la différence

&#x25CF; Maintenir Windows à jour

&#x25CF; Maintenir les logiciels à jour avec Secunia OSI (merci australien)
Ou en utilisant leur logiciel Secunia Personal Software Inspector
Ou celui-ci :  Update Checker

&#x25CF;  Ne pas surfer en droits administrateurs

&#x25CF; Ne pas installer n'importe quel logiciel sur son PC (surtout via des liens publicitaires), toujours se renseigner avant. Les télécharger dans la mesure du possible sur le site de l'éditeur. Éviter d'installer les diverses barres d'outils ou de recherches, etc....proposées lors de l'installation. 

&#x25CF; Bannir les sites à risques (pornographiques, etc...) et les comportements à risques (P2P, cracks, warez....)

&#x25CF; Ne pas cliquer aveuglement sur des liens contenus dans les e-mails, les messageries instantanées, les réseaux sociaux, etc ...même si l'expéditeur est connu et à plus forte raison s'il est inconnu ou suspect.

&#x25CF; Utiliser un navigateur alternatif et le sécuriser (par exemple Firefox avec des modules complémentaires comme AdBlock, Noscript, WOT, etc...) 

 == == == == == == == == == == == == == == == == == == == == == ==

 La sécurité de son PC, c'est quoi ? (par Malekal)    

 == == == == == == == == == == == == == == == == == == == == == ==
 
Bonne continuation

baptkeylogger · Answer

Un grand merci à toi pour la résolution de mon problème aussi rapidement.

Je vais suivre tes conseils afin d'éviter à l'avenir de genre de mésaventure.

Bonne continuation à toi aussi et encore merci.

Infection par un keylogger

17 réponses

Discussions similaires