Virus Win32/CoinMiner

Salut Ribo

On va vérifier le PC :

Télécharge OTL (de OldTimer) et enregistre-le sur ton Bureau.
http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/

- Quitte les applications en cours afin de ne pas interrompre le scan.
- Faire double clique sur OTL.exe présent sur le bureau pour lancer le programme
Vista/Seven -- Faire un clique droit sur OTL.exe présent sur le bureau et choisir exécuter en tant qu'administrateur pour lancer le programme
- Une fenêtre apparaît. Dans la section Rapport en haut de cette fenêtre, coche "Rapport standard". Fais de même avec "Tous les utilisateurs" à coté.
- Coche également les cases à côté de "Recherche LOP" et "Recherche Purity".

Ne modifie pas les autres paramètres !

Copie la liste qui se trouve en gras ci-dessous, et colle-la dans la zone sous " Personnalisation "

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%SYSTEMDRIVE%\*.*
%SYSTEMDRIVE%\*.exe
%PROGRAMFILES%\*.*
%PROGRAMFILES%\*.
/md5start
consrv.dll
volsnap.sys
hidserv.dll
appmgmts.dll
eventlog.dll
winlogon.exe
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
wininet.dll
wininit.exe
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
explorer.exe
svchost.exe
userinit.exe
qmgr.dll
ws2_32.dll
proquota.exe
imm32.dll
kernel32.dll
ndis.sys
autochk.exe
spoolsv.exe
xmlprov.dll
ntmssvc.dll
mswsock.dll
Beep.SYS
ntfs.sys
termsrv.dll
sfcfiles.dll
st3shark.sys
winlogon.exe
wininit.ini
/md5stop
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
SAVEMBR:0
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
c:\$recycle.bin\*.* /s

- Clique sur le bouton Analyse.
- Une fois l'analyse terminée, deux fenêtres vont s'ouvrir dans le Bloc-notes : OTL.txt et Extras.txt. Ils se trouvent au même endroit que OTListIT2 (donc par défaut sur le Bureau).

Utilise cjoint.com pour poster en lien tes rapports :
https://www.cjoint.com/

- Clique sur Parcourir pour aller chercher le rapport OTL.txt sur le bureau
- Clique sur Ouvrir ensuite sur Créer le lien Cjoint

- Fais un copier/coller du lien qui est devant Le lien a été créé: dans ta prochaine réponse.

Après fais de même avec l'autre rapport Extras.txt

@++ :)

Bonjour Dédétraqué et tout d'abord, merci pour ton aide !
J'ai suivi tes indications, voilà les deux liens :

- http://cjoint.com/?BEpoffCZhov
- http://cjoint.com/?BEpogpdULgx

J'attends ton retour pour la suite et bonne journée!

Salut Ribo

Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.
http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/28-adwcleaner

Lance le, clique sur [Suppression] puis patiente le temps du scan.
Une fois le scan fini, un rapport s'ouvrira, poste le contenu de ce rapport.
Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

-----

* Télécharge UsbFix (de El Desaparecido et C_XX) sur le bureau ici :

http://eldesaparecido.com/tools/UsbFix.exe

Désactive provisoirement et seulement le temps de l'utilisation d'USBFIX, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche de l'outil.

- Double-clique sur l'icône Usbfix située sur ton Bureau.
- (Vista/Seven- Clique droit sur le raccourci UsbFix présent sur ton bureau et choisi "exécuter en tant qu'administrateur".)
- Dans la nouvelle fenêtre, clique sur le bouton :

« Recherche »

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, caméra, etc...) susceptible d'avoir été infectées sans les ouvrir

- puis clique sur OK
- Laisse travailler l'outil.
- Poste le rapport qui apparaît à la fin.
le rapport se trouve sur C:\UsbFix.txt

Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

@++ :)

Bonsoir,

voici donc les deux rapports :
http://cjoint.com/?0EpskF5Wxf5
http://cjoint.com/?0EpsmKsjL85

Merci encore. j'attends la suite.

Salut Ribo

Désactive provisoirement et seulement le temps de l'utilisation d'USBFIX, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de nettoyage de l'outil.

- Double-clique sur l'icône Usbfix située sur ton Bureau.
- (Vista/Seven- Clique droit sur le raccourci UsbFix présent sur ton bureau et choisi "exécuter en tant qu'administrateur".)
- Dans la nouvelle fenêtre, clique sur le bouton :

« Suppression »

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, caméra, etc...) susceptible d'avoir été infectées sans les ouvrir

- puis clique sur OK
- Laisse travailler l'outil.
- Redémarre le PC et poste le rapport qui apparaît à la fin, le rapport se trouve sur C:\ UsbFix.txt

------

Refais un scan avec OTL comme la première fois(mode Analyse) avec les mêmes paramètres et la même liste sous personnalisation, tu auras seulement un rapport(OTL.txt) a me poster, voir a utilisé cjoint pour poster le rapport.

@++ :)

Salut dédétraqué et merci d'être fidèle au poste et toujours réactif !
Donc voilà les deux rapports :
- USB fix suppression : http://cjoint.com/?0EqayTP6L5u
- et OTL : http://cjoint.com/?BEqaBoGYJxM
Qu'est ce que tu en dis ?

Salut Ribo

Télécharge combofix.exe (de sUBs) sur le bureau :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe
http://www.geekstogo.com/forum/files/file/197-combofix-by-subs/

Important Désactive ton Antivirus et antispyware avant le scan avec Combofix :
https://forum.pcastuces.com/default.asp

==> Sauvegarde ton travail et ferme toutes les fenêtres actives, il peut y avoir un redémarrage du PC. Ne lance aucun programme tant que Combofix n'est pas fini. <==

Double clique sur combofix.exe, clique sur OUI et valide par Entrée

Il te sera demandé d'installer la console si elle n'est pas installer, clique sur Oui

Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse.

NOTE : Le rapport se trouve également ici : C:\Combofix.txt

Combofix est détecté par certains antivirus comme une infection, ne pas en tenir compte, il s'agit d'un faux positif, continue la procédure

@++ :)

Salut dédétraqué,
voilà le rapport combofix,
http://cjoint.com/?0EuwSp216qb
est-ce qu'il reste encore beaucoup de manipulations ?
Merci pour tout

Salut ribo

est-ce qu'il reste encore beaucoup de manipulations ?
On a presque fini, mais cela n'est pas tous la désinfection, faudra après sécuriser ton PC et te donner quelque consigne de sécurité...

- Clique sur le menu démarrer/Exécuter, tape notepad à l'invite de commande et OK.

- Copie/colle ce qui est en gras ci-dessous dans le Bloc-Notes :

KillAll::

File::
c:\progra~2\LOCALS~1\Temp\msbiofhrx.cmd
c:\users\Augustin\AppData\Roaming\Slnynq.exe

Folder::
C:\b63cf3078de2511744b27739c2467e

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows\Currentversion\policies\explorer\Run]
"8972"=-
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
Slnynq =-

- Enregistre ce fichier sur le bureau (Impératif)

-Nom du fichier : CFScript.txt
-Type du fichier : tous les fichiers

- Clique sur Enregistrer et quitte le Bloc Notes

Important Désactive ton Antivirus et antispyware avant de faire le glisser/déposer

- Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe sur le bureau, comme sur cette capture (l'icône est un lion) :

http://free0.hiboox.com/images/2409/9126d3b136f7db9ab6242ad715b44296.gif

* Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
* Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
* Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

@++ :)

salut,
voilà le rapport :
http://cjoint.com/?0Evl4erUrox
bonne journée

Salut ribo

Refais un scan avec OTL comme la première fois(mode Analyse) avec les mêmes paramètres et la même liste sous personnalisation, tu auras seulement un rapport(OTL.txt) a me poster, voir a utilisé cjoint pour poster le rapport.

@++ :)

Salut dédétraqué,

http://cjoint.com/?BEvxhlGi2bC

bonne soirée

Salut ribo

Double clic sur OTL.exe pour le lancer.
(Vista/Seven --> Faire un clique droit sur OTL.exe pour lancer le programme et choisi "Exécuter en tant qu'administrateur".

* Copie la liste qui se trouve en gras ci-dessous, et colle-la dans la zone sous " Personnalisation "

:Reg

:OTL
O4 - HKU\S-1-5-21-4224275041-438635290-875268087-1000\..\Run: [Slnynq] C:\Users\Augustin\AppData\Roaming\Slnynq.exe File not found
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run: 8972 = C:\PROGRA~2\LOCALS~1\Temp\msbiofhrx.cmd
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} Reg Error: Key error. (Reg Error: Key error.)
MsConfig - StartUpReg: [b]AVP[/b] - hkey= - key= - File not found
MsConfig - StartUpReg: [b]hpWirelessAssistant[/b] - hkey= - key= - File not found
MsConfig - StartUpReg: [b]msnmsgr[/b] - hkey= - key= - File not found
MsConfig - StartUpReg: [b]NvCplDaemon[/b] - hkey= - key= - File not found
MsConfig - StartUpReg: [b]NvMediaCenter[/b] - hkey= - key= - File not found
MsConfig - StartUpReg: [b]QlbCtrl[/b] - hkey= - key= - File not found
MsConfig - StartUpReg: [b]WAWifiMessage[/b] - hkey= - key= - File not found
MsConfig - StartUpReg: [b]Windows Defender[/b] - hkey= - key= - File not found
@Alternate Data Stream - 98 bytes -> C:\ProgramData\TEMP:DFC5A2B2
@Alternate Data Stream - 127 bytes -> C:\ProgramData\TEMP:430C6D84

:Files
C:\PROGRA~2\LOCALS~1\Temp\msbiofhrx.cmd

:Commands
[EMPTYFLASH]
[Emptytemp]

* Clique sur " Correction " pour lancer la suppression.

* Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer. Accepte en cliquant sur Oui.

* Au redémarrage , autorise OTL a s'exécuter.

* Poste le rapport généré par OTL.

@++ :)

le voilà :
http://cjoint.com/?0EwaBv3bv9X
merci et bonne soirée

Salut ribo

Cela est bon, d'autre souci?

@++ :)

Ok, un grand merci pour ton aide.
Questions :
- est-ce que toutes ces manips ont permis de tuer les éventuels autres virus ?
- est-ce que je peux supprimer OTL et les autres logiciels ou est-ce qu'ils me seront utiles par la suite ?
- est-ce que j'ai intérêt à faire régulièrement fonctionner OTL et les autres en mode suppression pour garder mon ordinateur propre ?
- tu me parlais de consignes de sécurité ?
Encore une fois merci pour tout.
Bonne journée
PS / je ne vois pas comment signaler comme résolu.

Salut ribo

Oui ton PC est propre maintenant...

On va faire un ménage des outils téléchargés pour la désinfection, télécharge Del Fix (de Xplode), sur ton bureau

http://www.general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/3-delfix

Double-clique sur l'icône delfix0.exe située sur ton Bureau.
(Vista/Seven - Faire un clique droit sur l'icône delfix0.exe située sur ton Bureau et choisir exécuter en tant qu'administrateur.)

Sélectionne Suppression

Copie/colle le contenu du rapport dans ton prochain message.

Note : Le rapport est sauvegardé à la racine du disque dur ( C:\DelFixSuppr.txt )

-----

Important de mettre à jour Windows et tes logiciels :
Mettre Windows à jour : http://www.windowsupdate.com/windowsupdate/v6/default.aspx

Faire un scan de vulnérabilités afin de vérifier que tes logiciels soit à jour sans failles de sécurités et mettre à jour :
https://www.malekal.com/tester-la-vulnerabilite-de-son-systeme-2/

Faire un ménage des fichiers inutiles et de la base de registre :
Téléchargement de Ccleaner : https://www.ccleaner.com/ccleaner
Tutorial : https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/#tutoriel-ccleaner

Dis moi quand cela est fais où si tu as des soucis et on passe à la résolution du sujet par la suite.

@++ :)