Trojan bnk win 32 keylogger m'a infecté! Résolu/Fermé

Question

Bonjour, 

comme cité dans le titre, ce virus m'a infecté ce soir même, pourriez-vous m'aider à en venir à bout car il bloque en partie mon ordinateur.

Cordialement

Configuration: Windows Vista / Firefox 9.0.1

kalimusic · Answer

Bonsoir,

Tu es infecté par un rogue, surtout ne tient pas compte de ses messages d'alertes. 

&#x25CF; Télécharge sur le bureau RogueKiller 
&#x25CF;   Ferme toutes tes applications en cours 
&#x25CF;  Lance RogueKiller.exe  
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; Lorsque demandé, tape 1 et valide.
&#x25CF; Un rapport à dû s'ouvrir (RKreport.txt se trouve également à côté de l'exécutable), copie/colle le sur le forum.

Si le programme a été bloqué, ne pas hésiter a essayer plusieurs fois. Si vraiment cela ne passe pas (ça peut arriver), le renommer en winlogon.exe

A +

qiou · Answer

Voilà le rapport RogueKiller V6.2.3 [09/01/2012] par Tigzy mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version Demarrage : Mode normal Utilisateur: Quentin [Droits d'admin] Mode: Recherche -- Date : 11/01/2012 20:47:45 ¤¤¤ Processus malicieux: 2 ¤¤¤ [SUSP PATH] FLVSrvLib.dll -- C:\Users\Quentin\AppData\Local\FLVService\lib\FLVSrvLib.dll -> UNLOADED [SUSP PATH] FLVSrvLib.dll -- C:\Users\Quentin\AppData\Local\FLVService\lib\FLVSrvLib.dll -> UNLOADED ¤¤¤ Entrees de registre: 3 ¤¤¤ [HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND [FILEASSO] HKCR\.exe : (f6n) -> FOUND ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver: [LOADED] ¤¤¤ ¤¤¤ Infection : Rogue.AntiSpy-AH ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: +++++ --- User --- [MBR] b43e8a9fdb36a602f7c70b2b27b05965 [BSP] 7467efd8571da353fe2cf9620cf5b33f : MBR Code unknown Partition table: 0 - [ACTIVE] NTFS [VISIBLE] Offset (sectors): 2048 | Size: 488726 Mo 1 - [XXXXXX] NTFS [VISIBLE] Offset (sectors): 954546176 | Size: 11377 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[1].txt >> RKreport[1].txt

dudu1309om · Answer

Lance une analyse avec Malwarebytes mais aussi spybot tu trouveras tout ce qui faut sur google :P

kalimusic · Answer

re,

1.  Relance RogueKiller.exe  
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; Lorsque demandé, tape 2 et valide.
&#x25CF; Un rapport à dû s'ouvrir (RKreport.txt se trouve également à côté de l'exécutable), copie/colle le sur le forum.

2. Télécharge MBAM et installe le selon l'emplacement par défaut.
(l'essai de la version pro est facultative)

&#x25CF; Effectue la mise à jour et lance Malwarebytes' Anti-Malware
&#x25CF; Clique dans l'onglet du haut "Recherche"
&#x25CF; Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher" 
&#x25CF; Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen"

A la fin de l'analyse, si MBAM n'a rien trouvé :

&#x25CF; Clique sur OK, le rapport s'ouvre spontanément

Si des menaces ont été détectées :

&#x25CF; Clique sur OK puis "Afficher les résultats"
&#x25CF; Choisis l'option "Supprimer la sélection"
&#x25CF; Si MBAM demande le redémarrage de Windows : Clique sur "Oui"
&#x25CF; Une fois le PC redémarré, le rapport se trouve dans l'onglet "Rapports/Logs"
&#x25CF; Sinon le rapport s'ouvre automatiquement après la suppression. 

Poste le rapport.

A +

g3n-h@ckm@n · Answer

salut

spybot est pourri :

https://www.malekal.com/superantispyware-et-spybot-vs-malwarebyte/

(salut Kalimusic)

qiou · Answer

1er rapport RogueKiller V6.2.3 [09/01/2012] par Tigzy mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version Demarrage : Mode normal Utilisateur: Quentin [Droits d'admin] Mode: Suppression -- Date : 11/01/2012 21:01:32 ¤¤¤ Processus malicieux: 2 ¤¤¤ [SUSP PATH] FLVSrvLib.dll -- C:\Users\Quentin\AppData\Local\FLVService\lib\FLVSrvLib.dll -> UNLOADED [SUSP PATH] FLVSrvLib.dll -- C:\Users\Quentin\AppData\Local\FLVService\lib\FLVSrvLib.dll -> UNLOADED ¤¤¤ Entrees de registre: 3 ¤¤¤ [HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0) [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0) [FILEASSO] HKCR\[...].exe : (f6n) -> REPLACED (exefile) ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver: [LOADED] ¤¤¤ ¤¤¤ Infection : Rogue.AntiSpy-AH ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: +++++ --- User --- [MBR] b43e8a9fdb36a602f7c70b2b27b05965 [BSP] 7467efd8571da353fe2cf9620cf5b33f : MBR Code unknown Partition table: 0 - [ACTIVE] NTFS [VISIBLE] Offset (sectors): 2048 | Size: 488726 Mo 1 - [XXXXXX] NTFS [VISIBLE] Offset (sectors): 954546176 | Size: 11377 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[2].txt >> RKreport[1].txt ; RKreport[2].txt 2e rapport Malwarebytes Anti-Malware 1.60.0.1800 www.malwarebytes.org Version de la base de données: v2012.01.11.06 Windows Vista Service Pack 2 x86 NTFS Internet Explorer 8.0.6001.19170 Quentin :: PC-DE-QUENTIN [administrateur] 11/01/2012 21:04:18 mbam-log-2012-01-11 (21-04-18).txt Type d'examen: Examen complet Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM Options d'examen désactivées: P2P Elément(s) analysé(s): 370319 Temps écoulé: 2 heure(s), 34 minute(s), 7 seconde(s) Processus mémoire détecté(s): 0 (Aucun élément nuisible détecté) Module(s) mémoire détecté(s): 0 (Aucun élément nuisible détecté) Clé(s) du Registre détectée(s): 0 (Aucun élément nuisible détecté) Valeur(s) du Registre détectée(s): 0 (Aucun élément nuisible détecté) Elément(s) de données du Registre détecté(s): 0 (Aucun élément nuisible détecté) Dossier(s) détecté(s): 0 (Aucun élément nuisible détecté) Fichier(s) détecté(s): 1 C:\Users\Quentin\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\46\6755bdae-61178ec5 (Spyware.Agent) -> Mis en quarantaine et supprimé avec succès. (fin)

kalimusic · Answer

ok,

Nous allons utiliser cet outil de diagnostic afin d'identifier les problèmes restants.

Télécharge OTL  (de OldTimer) sur ton Bureau. 

 Ferme toutes tes applications en cours 

&#x25CF;  Lance OTL.exe  
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF;  L'interface principale s'ouvre : 
&#x25CF;  Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal 
&#x25CF;  Coche la case également Tous les utilisateurs
&#x25CF;  Laisse tous les autres paramètres par défaut 
&#x25CF;  Dans la partie du bas "Personnalisation", copie/colle la liste en citation : 

msconfig 
safebootminimal 
safebootnetwork 
/md5start
volsnap.*
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
/md5stop
%temp%\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%APPDATA%\*.
%SYSTEMDRIVE%\*.exe 
%systemroot%\*. /mp /s 
%systemroot%\assembly	mp\*.* /s 
hklm\system\CurrentControlSet\Control\Session Manager\SubSystems /s 
hklm\software\clients\startmenuinternet|command /rs
CREATERESTOREPOINT 
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.   
&#x25CF;  2 rapports vont s'ouvrir au format bloc-note : 
OTL.txt (qui sera affiché) ainsi que Extras.txt (réduit dans la barre des tâches)  
&#x25CF;  Ne les poste pas sur le forum, ils seraient trop long  
&#x25CF;  Héberge les sur un des sites suivants :
https://www.cjoint.com/
http://pjjoint.malekal.com/
https://textup.fr/ 
&#x25CF;  Tu obtiendras 2 liens que tu me donneras dans ton prochain message. 

A +

qiou · Answer

Salut! Voilà les liens : 

https://www.cjoint.com/?BAmmxURd10l 

https://www.cjoint.com/?BAmmyZuq7Kd

kalimusic · Answer

Bonjour,

1. Désinstalle cette barre d'outil sauf réelle utilité pour toi : Freecorder Toolbar

2. Relance OTL
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; Dans la partie "Personnalisation", copie/colle les instructions en citation :

:OTL
IE - HKU\S-1-5-21-1183880708-824271280-3428156794-1000\..\URLSearchHook: {EF99BD32-C1FB-11D2-892F-0090271D4F88} - No CLSID value found
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - No CLSID value found.
O2 - BHO: (no name) - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - No CLSID value found.
O3 - HKU\S-1-5-21-1183880708-824271280-3428156794-1000\..\Toolbar\WebBrowser: (no name) - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - No CLSID value found.
O3 - HKU\S-1-5-21-1183880708-824271280-3428156794-1000\..\Toolbar\WebBrowser: (no name) - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - No CLSID value found.
O37 - HKU\S-1-5-21-1183880708-824271280-3428156794-1000\...exe [@ = exefile] -- Reg Error: Key error. File not found
[2012/01/11 20:11:33 | 000,008,814 | -HS- | M] () -- C:\Users\Quentin\AppData\Local\d4s1ye0fg4436w8155g8d7q24yr67pgcjskp04
[2012/01/11 20:11:33 | 000,008,814 | -HS- | M] () -- C:\ProgramData\d4s1ye0fg4436w8155g8d7q24yr67pgcjskp04
:Files
ipconfig /flushdns /c
:Commands 
[emptytemp] 
&#x25CF; Clique sur le bouton Correction.
&#x25CF; Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.   
&#x25CF; Accepte en cliquant sur OK. 
&#x25CF; Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.   

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles  

3. Télécharge aswMBR sur ton Bureau.

&#x25CF; Lance  aswMBR.exe
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; Refuse la demande de mise à jour
&#x25CF; Clique sur le bouton Scan
&#x25CF; Patiente pendant l'analyse
&#x25CF; Clique sur Save log 
&#x25CF; Enregistre le rapport sur le Bureau. 

4. Héberge les 2 rapports et donne les liens obtenus.
Dis moi comment se comporte le pc maintenant. 

A +

qiou · Answer

re, voici les liens :

https://www.cjoint.com/?BAmr4SovyLa  

https://www.cjoint.com/?BAmr5pc3bdF

Le pc fonctionne très bien, plus de soucis avec trojan bnk win32 keylogger!

Merci beaucoup!

kalimusic · Answer

re,

Tu n'as jamais eu de trojan bnk win32 keylogger sur ton système, c'est le rogue qui te le faisait croire pour que donne ton numéro de CB.

1. Lance OTL
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
&#x25CF; Dans la partie "Personnalisation", copie/colle:

:commands
[clearallrestorepoints]
&#x25CF; Clique sur le bouton Correction. 

2. Relance OTL en tant qu'administrateur  
&#x25CF; Clique sur le bouton Purge outils
&#x25CF; Clique ensuite sur OK dans la boite de dialogue qui t'invite à redémarrer le système.
&#x25CF; Supprime les outils et les rapports restants éventuellement sur ton Bureau

3. Tu peux garder Malwarebytes Anti-Malware comme logiciel complémentaire à ton antivirus et t'en servir contrôler ton PC avec un scan rapide de temps en temps sans oublier de le mettre à jour avant 

4. Désinstalle les versions obsolètes des logiciels suivants : 
 
Java(TM) 6 Update 24
Java(TM) 6 Update 22
Adobe Reader 9
5. Mises à jour de logiciels pouvant présenter des failles de sécurité.

&#x25CF; Télécharge et installe JRE 6 Update 30 
&#x25CF; Télécharge et installe Adobe Reader X (10.1.2)
&#x25CF; Vérifie ta version de FlashPlayer et si nécéssaire télécharge et installe Adobe Flash Player 11.1.102.55

!! Décoche les cases proposant des logiciels partenaires pendant les installations !! 

 == == == == == == == == == == == == == == == == == == == == == ==

les choses simples qui font la différence

&#x25CF; Maintenir Windows à jour

&#x25CF; Maintenir les logiciels à jour 

&#x25CF;  Ne pas surfer en droits administrateurs

&#x25CF; Ne pas installer n'importe quel logiciel sur son PC (surtout via des liens publicitaires), toujours se renseigner avant. Les télécharger dans la mesure du possible sur le site de l'éditeur. Éviter d'installer les diverses barres d'outils ou de recherches, etc....proposées lors de l'installation. 

Il ne faut pas installer n'importe quoi sur son pc, surtout via des liens publicitaires. Éviter les diverses barres d'outils ou de recherches, etc....proposées lors de l'installation. Lire : https://forum.malekal.com/viewtopic.php?t=33776&start= 

&#x25CF; Bannir les sites à risques (pornographiques, etc...) et les comportements à risques (P2P, cracks, warez....)

&#x25CF; Ne pas cliquer aveuglement sur des liens contenus dans les e-mails, les messageries instantanées, les réseaux sociaux, etc ...même si l'expéditeur est connu et à plus forte raison s'il est inconnu ou suspect.

&#x25CF; Utiliser un navigateur alternatif et le sécuriser (par exemple Firefox avec des modules complémentaires comme AdBlock, Noscript, WOT, etc...) 

 == == == == == == == == == == == == == == == == == == == == == ==

 La sécurité de son PC, c'est quoi ? (par Malekal)    

 == == == == == == == == == == == == == == == == == == == == == ==
 
Bonne continuation

qiou · Answer

Merci beaucoup!

Malekal_morte- · Answer

yop et aussi... :

A faire si tu le souhaites - ce n'est pas obligatoire :
WIGI est un programme permettant de voir son historique (FF / IE), et permettant de scanner ses plugins pour rechercher ceux qui sont périmés.

WIGI permet d'envoyer de manière anonyme l'historique de navigation afin de récupérer des adresses malicieuses et pouvoir les analyser.
L'envoie n'est pas obligatoire, à faire si tu es d'accord.

Télécharge WIGI sur le bureau: http://www.geekstogo.com/forum/files/file/413-roguekiller/Tools/WhyIGotInfected.rar 
* Décompresse le tout avec un outil comme winrar / winzip / 7zip... 
* Lance WhyIGotInfected.exe 
* Dans l'onget "History", clique sur "Scan". 
* Si tu es d'accord pour envoyer de manière anonyme ton historique pour analyse, clique sur "Envoi". 
Cet historique sera analysé par des spécialistes afin de retrouver des traces de ton infection pour la suivre et la prévenir.

L'onglet pluggin permet de vérifier si ses pluggins WEB sont à jour.
Un pluggin WEB non à jour permet permet l'infection de son ordinateur via des Un exploit sur site WEB .
Ne pas tenir à jour ses pluggins est une porte d'entrée à infection.

qiou · Answer

merci pour les infos!

Trojan bnk win 32 keylogger m'a infecté!

14 réponses

Discussions similaires