cheval de troie TR/Cycbot.DK.1 Résolu/Fermé

Question

Bonjour, 
depuis quelques jours maintenant, mon anti-virus Avira me détecte deux formes de virus :
- cheval de troie TR/Cycbot.DK.1
- et un programme backdoor : BDS/Gbot.qatk (celui est détecté lorsque je lance Mozilla)

Que dois-je faire pour les supprimer définitivement sachant que lorsque je les supprimes avec Avira cela ne fait rien puisque le message réapparaît toujours.

Merci d'avance pour vos conseils !

kalimusic · Answer

Bonjour,

Quels sont les noms des fichiers détectés par Antivir ?

Bonjour et Bienvenue sur CCM 

Nous allons utiliser cet outil de diagnostic afin d'identifier les problèmes de ton ordinateur.  

Télécharge OTL  (de OldTimer) sur ton Bureau. 

 Ferme toutes tes applications en cours 

&#x25CF;  Lance OTL.exe  
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF;  L'interface principale s'ouvre : 
&#x25CF;  Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal 
&#x25CF;  Coche la case également Tous les utilisateurs
&#x25CF;  Laisse tous les autres paramètres par défaut 
&#x25CF;  Dans la partie du bas "Personnalisation", copie/colle la liste en citation : 

netsvcs 
/md5start
volsnap.*
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
/md5stop
%temp%\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%APPDATA%\*.
%SYSTEMDRIVE%\*.exe 
%systemroot%\*. /mp /s 
%systemroot%\assembly	mp\*.* /s 
hklm\system\CurrentControlSet\Control\Session Manager\SubSystems /s 
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
SAVEMBR:0 
CREATERESTOREPOINT 
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.   
&#x25CF;  2 rapports vont s'ouvrir au format bloc-note : 
OTL.txt (qui sera affiché) ainsi que Extras.txt (réduit dans la barre des tâches)  
&#x25CF;  Ne les poste pas sur le forum, ils seraient trop long  
&#x25CF;  Héberge les sur un des sites suivants :
https://www.cjoint.com/
http://www.cijoint.fr/
http://pjjoint.malekal.com/
https://textup.fr/ 
&#x25CF;  Tu obtiendras 2 liens que tu me donneras dans ton prochain message. 

A +

Samgui · Answer

Merci pour votre réponse

Les fichiers détectés par Antivir sont : 
C:\Users\Samuel\AppData\Roaming\Microsoft\272C\3C4.exe
C:\Users\Samuel\AppData\Roaming\chrome.exe
C:\Users\Samuel\AppData\Roaming\8AFAA\lvvm.exe

Et voici les liens de Otl : 

http://cjoint.com/?AJEmWinR8Ie 

http://cjoint.com/?AJEmYMGEb1R

Merci

kalimusic · Answer

Bonjour,

&#x25CF;  La plupart des infections nécessitent plusieurs outils et manipulations pour les supprimer complètement. Même si les symptômes disparaissent rapidement, il est préférable de terminer la procédure.
&#x25CF;  N'utilise pas d'outil de désinfection de ta propre initiative, ne pas suivre également d'autres conseils afin de ne pas interférer sur la procédure en cours.
&#x25CF;  Prends le temps de lire ce qui est demandé, ne te lance pas dans une manipulation que tu n'as pas compris. 
&#x25CF;  Héberge les rapports des outils sur http://www.cijoint.fr/ ou https://www.cjoint.com/ ou http://pjjoint.malekal.com/ ou https://textup.fr/
&#x25CF;  Je t'aide bénévolement, merci d'en tenir compte :)

 == == == == == == == == == == == == == == == == == == == == == ==

1. Désinstalle :

Conduit Engine     
DAEMON Tools Toolbar
Softonic_France Toolbar     
2. Relance OTL
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; L'interface principale s'ouvre :
&#x25CF; Dans la partie du bas "Personnalisation", copie/colle le texte hébergé > ici <

&#x25CF; Clique sur le bouton Correction.
&#x25CF; Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.   
&#x25CF; Accepte en cliquant sur OK. 
&#x25CF; Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.   

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles (Vérifie la date si besoin : jjmmaaaa_xxxxxxxx.log) 

3. Télécharge MBAM et installe le selon l'emplacement par défaut.
(l'essai de la version pro est facultative)

&#x25CF; Effectue la mise à jour et lance Malwarebytes' Anti-Malware
&#x25CF; Clique dans l'onglet du haut "Recherche"
&#x25CF; Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher" 
&#x25CF; Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen"

A la fin de l'analyse, si MBAM n'a rien trouvé :

&#x25CF; Clique sur OK, le rapport s'ouvre spontanément

Si des menaces ont été détectées :

&#x25CF; Clique sur OK puis "Afficher les résultats"
&#x25CF; Choisis l'option "Supprimer la sélection"
&#x25CF; Si MBAM demande le redémarrage de Windows : Clique sur "Oui"
&#x25CF; Une fois le PC redémarré, le rapport se trouve dans l'onglet "Rapports/Logs"
&#x25CF; Sinon le rapport s'ouvre automatiquement après la suppression 

4. Héberge les 2 rapports et donne moi les liens.

A +

samgui · Answer

Merci voici ci-joint les liens : 


http://cjoint.com/?AJEq5fpaNVq 


http://cjoint.com/?AJEq5SIXKAF

Il me semble que cela soit réparé, j'attends de vos nouvelles concernant les rapports. Merci beaucoup

kalimusic · Answer

Oui, ça à l'air pas mal. On va vérifier que rien ne soit revenu ;)

1. Relance OTL 
  - Sous Vista/Seven : clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
&#x25CF;  Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal
&#x25CF;  Laisse tous les autres paramètres par défaut
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.
&#x25CF;  Après le balayage, un nouveau rapport  OTL.txt va s'ouvrir au format bloc-note 

2. Télécharge Security Check (by screen317 ) sur ton Bureau.

&#x25CF;  Lance SecurityCheck.exe 
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF;  Continue en appuyant sur une touche et patiente pendant l'analyse
&#x25CF;  Le rapport checkup.txt doit s'ouvrir spontanément à la fin du scan. 

3.  Héberge les rapport et donne moi les liens.

A +

samgui · Answer

Voilà : 

http://cjoint.com/?AJEtxQysOw6

http://cjoint.com/?AJEtyKRvKzo

kalimusic · Answer

re,

Il reste deux dossiers suspects, on va regarder ce qu'il contiennent. 
N'oublie pas de cliquer sur Aucun comme indiqué.

Relance OTL
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; Dans la partie du bas "Personnalisation", copie/colle :

C:\Users\Samuel\AppData\Roaming\Laoz \*.* /s 
C:\Program Files (x86)\LP \*.* /s 
&#x25CF; Clique sur le bouton Aucun. 
&#x25CF; Clique sur le bouton Analyse.
&#x25CF; Accepte en cliquant sur OK. 
&#x25CF; Un nouveau rapport OTL.txt va s'ouvrir au format bloc-note.  
&#x25CF; Copie/colle le dans ton prochain message.   

A+

samgui · Answer

OTL logfile created on: 30/10/2011 21:11:50 - Run 3
OTL by OldTimer - Version 3.2.31.0 Folder = C:\Users\Samuel\Downloads
64bit- Home Premium Edition (Version = 6.1.7600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.7600.16385)
Locale: 0000040c | Country: France | Language: FRA | Date Format: dd/MM/yyyy

3,97 Gb Total Physical Memory | 2,00 Gb Available Physical Memory | 50,31% Memory free
7,93 Gb Paging File | 5,68 Gb Available in Paging File | 71,56% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]

%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files (x86)
Drive C: | 456,28 Gb Total Space | 144,41 Gb Free Space | 31,65% Space Free | Partition Type: NTFS

Computer Name: SAMUEL-VAIO | User Name: Samuel | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user | Include 64bit Scans
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: Off | File Age = 30 Days

[color=#E56717]========== Custom Scans ==========/color

[color=#A23BEC]< C:\Users\Samuel\AppData\Roaming\Laoz \*.* /s >/color

[color=#A23BEC]< C:\Program Files (x86)\LP \*.* /s >/color

< End of report >

J'ai une question également, j'ai connecté ma clé USB sur mon PC lorsqu'il était infecté, il y a t'il beaucoup de chance pour que cette clé soit également infecté ?
Merci beaucoup

kalimusic · Answer

Peux tu refaire la recherche précédente avec ce texte :

C:\Users\Samuel\AppData\Roaming\Laoz\*.* /s 
C:\Program Files (x86)\LP\*.* /s 
Une erreur dans les espaces.


On va regarder les clés USB 

Télécharge   (par  C_XX & El Desaparecido) sur le Bureau   
    ! ! Branche tous tes supports amovibles (Clés USB, DD externes, etc...) sans les ouvrir !!   
&#x25CF; lance UsbFix 
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; Clique sur le bouton  "Recherche"   
&#x25CF; Patiente le temps du balayage qui peut durer plusieurs minutes   
&#x25CF; Le rapport doit s'ouvrir spontanément à la fin du scan   
&#x25CF; Copie/colle le rapport dans le prochain message   

   Le rapport est sauvegardé à la racine du disque C:\Usbfix.txt   

"Process.exe" est détecté par certains antivirus comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Le mieux étant de désactiver temporairement ton antivirus  

A + 
«La raison et la logique ne peuvent rien contre l'entêtement et la sottise.»

samgui · Answer

OTL logfile created on: 30/10/2011 21:40:02 - Run 4
OTL by OldTimer - Version 3.2.31.0 Folder = C:\Users\Samuel\Downloads
64bit- Home Premium Edition (Version = 6.1.7600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.7600.16385)
Locale: 0000040c | Country: France | Language: FRA | Date Format: dd/MM/yyyy

3,97 Gb Total Physical Memory | 1,96 Gb Available Physical Memory | 49,45% Memory free
7,93 Gb Paging File | 5,65 Gb Available in Paging File | 71,27% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]

%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files (x86)
Drive C: | 456,28 Gb Total Space | 144,40 Gb Free Space | 31,65% Space Free | Partition Type: NTFS

Computer Name: SAMUEL-VAIO | User Name: Samuel | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user | Include 64bit Scans
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: Off | File Age = 30 Days

[color=#E56717]========== Custom Scans ==========[/color]

[color=#A23BEC]< C:\Users\Samuel\AppData\Roaming\Laoz\*.* /s >[/color]

[color=#A23BEC]< C:\Program Files (x86)\LP\*.* /s >[/color]

< End of report >

Voici le nouveau rapport

Par contre pour la clé usb le logiciel à télécharger ne s'est pas affiché dans le message précédent, je n'ai pas le nom. Pourriez vous me renvoyer lien de téléchargement.
Merci

samgui · Answer

re voici le rapport de USBfix :

http://cjoint.com/?AJEwUJuV9fA

kalimusic · Answer

samgui

Ta clé est ok, par contre j'ai un doute sur la détection de l'outil.
Surtout ne lance pas la suppression.
Tu te souviens avoir installé une application pour facebook ?

Rends toi sur le site Virus Total

&#x25CF; Clique sur la case "Parcourir"
&#x25CF; Une nouvelle fenêtre s'ouvre te permettant de naviguer sur le disque dur
&#x25CF; Parcoure l'arborescence de ton disque dur dans ce répertoire : 
C:\Users\Samuel\AppData\Local\Facebook\Update
pour sélectionner ce fichier FacebookUpdate.exe
&#x25CF; Clique sur le fichier puis sur "Ouvrir" en bas de la fenêtre 
&#x25CF; Clique maintenant sur le bouton "Send File (Envoyer le fichier)"

Si un message te dit que le fichier à déjà été analysé, ré-analyse le

Le fichier est mis en attente puis le scan débute, à la fin de l'analyse copie l'URL et colle la dans ta réponse.

A +

samgui · Answer

Bonjour, alors non je n'ai pas le souvenir d'avoir installé une application. 
Voici l'URL

http://www.virustotal.com/file-scan/reanalysis.html?id=ef477df61734368e41b3a5f280fa47e1e876f959cfe840a32dddd5f536dabb8d-1320152817

kalimusic · Answer

Bonjour,

1. Relance UsbFix et clique sur Désinstaller.

2. Relance OTL
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; L'interface principale s'ouvre :
&#x25CF; Dans la partie du bas "Personnalisation", copie/colle la liste en citation :

:OTL
IE - HKCU\..\URLSearchHook: {4daac69c-cba7-45e2-9bc8-1044483d3352} - No CLSID value found     
[2010/04/24 00:50:57 | 000,000,000 | ---D | M] (Java Console) -- C:\Program Files (x86)\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}     
[2011/07/25 12:23:21 | 000,000,000 | ---D | M] (Java Console) -- C:\Program Files (x86)\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA} 

:Files
C:\Users\Samuel\AppData\Roaming\Laoz 
C:\Program Files (x86)\LP

:Reg
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run]
"DAEMON Tools Toolbar"=-
"3C4.exe"=-
[HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall"=dword:00000000

:commands
[createrestorepoint]
[emptytemp]
&#x25CF; Clique sur le bouton Correction.
&#x25CF; Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.   
&#x25CF; Accepte en cliquant sur OK. 
&#x25CF; Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.   
&#x25CF; Copie/colle le dans ton prochain message.   

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles 
(Vérifie la date si besoin : jjmmaaaa_xxxxxxxx.log) 


3. Comment se comporte ton pc maintenant ?

A +

samgui · Answer

Bonjour, j'ai mi un peu de temps à répondre par manque de temps. 
Voici le rapport : http://cjoint.com/?AKfstcWX2VU

Sinon mon ordinateur a l'air de bien remarcher et je n'ai pas eu d'autres alertes d'antivir.

Merci

kalimusic · Answer

Bonsoir,

ok, c'est fini. 

1. Lance OTL
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
&#x25CF; Dans la partie du bas "Personnalisation", copie/colle:

:commands
[clearallrestorepoints]
&#x25CF; Clique sur le bouton Correction. 

2. Relance OTL en tant qu'administrateur  
&#x25CF; Clique sur le bouton Purge outils
&#x25CF; Clique ensuite sur OK dans la boite de dialogue qui t'invite à redémarrer le système.

3. Tu peux garder Malwarebytes Anti-Malware comme logiciel complémentaire à ton antivirus et t'en servir contrôler ton PC avec un scan rapide de temps en temps sans oublier de le mettre à jour avant 

4. Désinstalle les versions obsolètes de Java et de Adobe Reader: 
Java(TM) 6 Update 26 
Adobe Reader 9.0 
5. Mises à jour de logiciels pouvant présenter des failles de sécurité.

&#x25CF; Télécharge et installe JRE 6 Update 29 

&#x25CF; Télécharge et installe Adobe Flash Player 11.0.1.152

&#x25CF; Télécharge et installe Adobe Reader X (10.1.0)

!! Décoche les cases proposant des logiciels partenaires pendant les installations !! 

 == == == == == == == == == == == == == == == == == == == == == ==

les choses simples qui font la différence

&#x25CF; Maintenir Windows à jour

&#x25CF; Maintenir les logiciels à jour avec Secunia OSI (merci australien)
Ou en utilisant leur logiciel Secunia Personal Software Inspector
Ou celui-ci :  Update Checker

&#x25CF;  Ne pas surfer en droits administrateurs

&#x25CF; Ne pas installer n'importe quel logiciel sur son PC (surtout via des liens publicitaires), toujours se renseigner avant. Les télécharger dans la mesure du possible sur le site de l'éditeur. Éviter d'installer les diverses barres d'outils ou de recherches, etc....proposées lors de l'installation. 

&#x25CF; Bannir les sites à risques (pornographiques, etc...) et les comportements à risques (P2P, cracks, warez....)

&#x25CF; Ne pas cliquer aveuglement sur des liens contenus dans les e-mails, les messageries instantanées, les réseaux sociaux, etc ...même si l'expéditeur est connu et à plus forte raison s'il est inconnu ou suspect.

&#x25CF; Utiliser un navigateur alternatif et le sécuriser (par exemple Firefox avec des modules complémentaires comme AdBlock, Noscript, WOT, etc...) 

 == == == == == == == == == == == == == == == == == == == == == ==

 La sécurité de son PC, c'est quoi ? (par Malekal)    

 == == == == == == == == == == == == == == == == == == == == == ==
 
Bonne continuation

samgui · Answer

Merci beaucoup pour votre aide

Cheval de troie TR/Cycbot.DK.1

17 réponses

Discussions similaires