Trojan.gen Fermé

Question

Bonjour, 

Je vous écris car il y a quelques temps j'ai été infecté par un trojan.gen (attaques toutes les 2 secondes détectées par mon antivirus Symantec). 
Suite à cette infection j'avais ouvert un sujet sur ce forum (http://www.commentcamarche.net/forum/affich-25143890-infection-trojan-gen) et l'on m'avait aidé à désinfecter mon ordinateur. Or malgré le fait que j'utilise régulièrement CCLEANER et ADWCleaner, ces trojan.gen sont réapparus.

J'ai donc refait un scan ZHPDIAG:
http://security-domain.be/SecurityUpload/index.php/files/get/_9qYkA_g8N/zhpdiag.txt

Pourriez-vous s'il vous plait m'aider une seconde fois à me débarrasser de cette infection?

Merci d'avance


Configuration: Windows 7 / Firefox 14.0

Destrio5 · Answer

Bonjour,

Peux-tu me donner le nom et l'emplacement du fichier détecté ?

kmax · Answer

Je n'ai pas l'emplacement du fichier infecté, toutes les informations que j'ai sont les suivantes:
http://security-domain.be/SecurityUpload/index.php/files/get/AJU7kZuZL-/symantec.jpg

Destrio5 · Answer

Utilise plutôt ce site https://www.cjoint.com/ pour les rapports et images car à chaque fois, on doit attendre 45 secondes pour avoir le document.

Je ne sais pas d'où viennent ces fichiers tmp.

Destrio5 · Answer

--> Copie tout le texte présent en gras ci-dessous (Sélectionne-le, clique droit dessus et choisis "Copier").


SysRestore
O43 - CFD: 16/05/2012 - 17:03:16 - [0,003] ----D C:\Users\f.marcuz.ECPORT20\AppData\Roaming\Babylon
O43 - CFD: 16/05/2012 - 17:03:18 - [7,656] ----D C:\Users\f.marcuz.ECPORT20\AppData\Local\Babylon    
EmptyCLSID
EmptyFlash
EmptyTemp


--> Puis lance ZHPFix depuis le raccourci situé sur ton Bureau.
(Sous Vista/Win7, il faut cliquer droit sur le raccourci de ZHPFix et choisir Exécuter en tant qu'administrateur)

--> Une fois ZHPFix ouvert, clique sur le bouton "H" (Coller les lignes Helper). 

--> Dans l'encadré principal, tu verras donc les lignes que tu as copié précédemment apparaître. Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

--> Clique sur "GO" pour lancer le nettoyage. Laisse l'outil travailler et ne touche à rien.

--> Une fois terminé, copie-colle le rapport dans ton prochain message.

kmax · Answer

Voici le rapport de ZHPFIX:

Rapport de ZHPFix 1.2.06 par Nicolas Coolman, Update du 17/05/2012
Fichier d'export Registre : 
Run by f.marcuz at 15/06/2012 14:20:00
Windows 7 Business Edition, 64-bit  (Build 7600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Web site : http://nicolascoolman.skyrock.com/

========== Dossier(s) ==========
SUPPRIME Folder: C:\Users\f.marcuz\AppData\Local\{03820813-632C-469C-9B89-C0A46B5C5CFC}
SUPPRIME Folder: C:\Users\f.marcuz\AppData\Local\{0ACC3D96-3041-47A6-AD89-DA621BA9A9C6}
SUPPRIME Folder: C:\Users\f.marcuz\AppData\Local\{1A21B6E4-8656-49D2-8109-4E61CB5EE141}
SUPPRIME Folder: C:\Users\f.marcuz\AppData\Local\{4267EA52-7D52-4451-8DFE-F6B65A57BC31}
SUPPRIME Folder: C:\Users\f.marcuz\AppData\Local\{4A207E75-7D30-425A-B887-BDB2F60A9FBB}
SUPPRIME Folder: C:\Users\f.marcuz\AppData\Local\{504E4A14-F63A-4F79-924F-8CFA7DAE3B79}
SUPPRIME Folder: C:\Users\f.marcuz\AppData\Local\{62B4AB5F-FB67-4581-A0C2-EF7A90527F32}
SUPPRIME Folder: C:\Users\f.marcuz\AppData\Local\{6BA3E4C4-9FD9-44E8-8282-D8DF74D92FF2}
SUPPRIME Folder: C:\Users\f.marcuz\AppData\Local\{90F4F05F-DF93-4F24-AD67-7660C930BEA1}
SUPPRIME Folder: C:\Users\f.marcuz\AppData\Local\{9B1352D4-154E-432C-BD3B-E59B01F1B58D}
SUPPRIME Folder: C:\Users\f.marcuz\AppData\Local\{FD02C4C7-196B-4F76-AF45-55DD11D6B3BA}
SUPPRIME Folder: C:\Users\f.marcuz\AppData\Local\{FD89E04E-B32E-4D7B-A4D1-58943FB98CCE}
SUPPRIME Flash Cookies:
SUPPRIME Temporaires Windows:

========== Fichier(s) ==========
SUPPRIME Flash Cookies:
SUPPRIME Temporaires Windows:

========== Restauration Système ==========
Point de restauration du système créé avec succès


========== Récapitulatif ==========
14 : Dossier(s)
2 : Fichier(s)
1 : Restauration Système


End of clean in 01mn 15s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 15/06/2012 14:20:00 [1835]

Destrio5 · Answer

Tu as touché au script ?

Car dedans, il y a deux dossiers Babylon et ils n'apparaissent pas dans le rapport ZHPFix.

kmax · Answer

Non absolument pas j'ai suivi à la lettre les instructions, c'est bizarre.

Destrio5 · Answer

"Or malgré le fait que j'utilise régulièrement CCLEANER et ADWCleaner"

--> Tu retélécharges AdwCleaner à chaque fois que tu l'utilises ?

Peux-tu utiliser l'option Suppression puis me poster le rapport ?

kmax · Answer

Voici le rapport de suppression, et en effet je le retélécharge mais pas à chaque lancement:

# AdwCleaner v1.609 - Rapport créé le 15/06/2012 à 14:32:44
# Mis à jour le 10/06/2012 par Xplode
# Système d'exploitation : Windows 7 Professional  (64 bits)
# Nom d'utilisateur : f.marcuz - ECPORT20
# Exécuté depuis : C:\Users\f.marcuz.ECPORT20\Desktop\Outils\adwcleaner(1).exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****


***** [Registre] *****

Clé Supprimée : HKCU\Software\IM
Clé Supprimée : HKCU\Software\ImInstaller

***** [Registre - GUID] *****

Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{608D3067-77E8-463D-9084-908966806826}
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{CFE8AAFD-A0F3-4329-84E9-6B679EC93EC2}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{22B0769F-794B-4422-AC84-47B123C8986D}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{28ED590D-F5ED-4E05-A87F-1D759F1C6169}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{45D5B93F-E2ED-4AF2-915E-DCDDBDA8C33C}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{771B99AB-636F-4A11-9039-8DFEB927B061}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{A8321AA2-2227-40C7-8525-6C2F4E1B0EBE}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{AA41A731-6814-4A70-A6F1-C0A20FBBFBD5}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{ABBB8A9E-D8AF-40D1-94BE-5175077465FC}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{BF737694-56F6-46FA-9FDC-FA99A5B25FAD}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{CFCD164E-8AC9-478E-9ECC-B616A932016C}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{D5961CC0-B442-4567-8030-67E241EF4CC2}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{E450067F-1C93-41A7-928E-07E5C2EEC680}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{F977D9F2-4BDC-44A6-B508-7C0284C61EED}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{48C9C8B0-A546-46C1-A81F-47A31E623E9D}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{CFE8AAFD-A0F3-4329-84E9-6B679EC93EC2}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{74C36554-31F0-49DD-8857-ED6A64DF45BE}
[x64] Clé Supprimée : HKLM64\SOFTWARE\Classes\Interface\{22B0769F-794B-4422-AC84-47B123C8986D}
[x64] Clé Supprimée : HKLM64\SOFTWARE\Classes\Interface\{28ED590D-F5ED-4E05-A87F-1D759F1C6169}
[x64] Clé Supprimée : HKLM64\SOFTWARE\Classes\Interface\{45D5B93F-E2ED-4AF2-915E-DCDDBDA8C33C}
[x64] Clé Supprimée : HKLM64\SOFTWARE\Classes\Interface\{771B99AB-636F-4A11-9039-8DFEB927B061}
[x64] Clé Supprimée : HKLM64\SOFTWARE\Classes\Interface\{A8321AA2-2227-40C7-8525-6C2F4E1B0EBE}
[x64] Clé Supprimée : HKLM64\SOFTWARE\Classes\Interface\{AA41A731-6814-4A70-A6F1-C0A20FBBFBD5}
[x64] Clé Supprimée : HKLM64\SOFTWARE\Classes\Interface\{ABBB8A9E-D8AF-40D1-94BE-5175077465FC}
[x64] Clé Supprimée : HKLM64\SOFTWARE\Classes\Interface\{BF737694-56F6-46FA-9FDC-FA99A5B25FAD}
[x64] Clé Supprimée : HKLM64\SOFTWARE\Classes\Interface\{CFCD164E-8AC9-478E-9ECC-B616A932016C}
[x64] Clé Supprimée : HKLM64\SOFTWARE\Classes\Interface\{D5961CC0-B442-4567-8030-67E241EF4CC2}
[x64] Clé Supprimée : HKLM64\SOFTWARE\Classes\Interface\{E450067F-1C93-41A7-928E-07E5C2EEC680}
[x64] Clé Supprimée : HKLM64\SOFTWARE\Classes\Interface\{F977D9F2-4BDC-44A6-B508-7C0284C61EED}

***** [Navigateurs] *****

-\ Internet Explorer v9.0.8112.16421

[OK] Le registre ne contient aucune entrée illégitime.

-\ Mozilla Firefox v14.0 (en-US)

-\ Google Chrome v19.0.1084.56

*************************

AdwCleaner[R5].txt - [790 octets] - [14/06/2012 15:41:51]
AdwCleaner[S5].txt - [3481 octets] - [15/06/2012 14:32:44]

########## EOF - C:\AdwCleaner[S5].txt - [3609 octets] ##########
# AdwCleaner v1.609 - Rapport créé le 15/06/2012 à 14:32:44
# Mis à jour le 10/06/2012 par Xplode
# Système d'exploitation : Windows 7 Professional  (64 bits)
# Nom d'utilisateur : f.marcuz - ECPORT20
# Exécuté depuis : C:\Users\f.marcuz.ECPORT20\Desktop\Outils\adwcleaner(1).exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****


***** [Registre] *****

Clé Supprimée : HKCU\Software\IM
Clé Supprimée : HKCU\Software\ImInstaller

***** [Registre - GUID] *****

Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{608D3067-77E8-463D-9084-908966806826}
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{CFE8AAFD-A0F3-4329-84E9-6B679EC93EC2}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{22B0769F-794B-4422-AC84-47B123C8986D}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{28ED590D-F5ED-4E05-A87F-1D759F1C6169}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{45D5B93F-E2ED-4AF2-915E-DCDDBDA8C33C}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{771B99AB-636F-4A11-9039-8DFEB927B061}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{A8321AA2-2227-40C7-8525-6C2F4E1B0EBE}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{AA41A731-6814-4A70-A6F1-C0A20FBBFBD5}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{ABBB8A9E-D8AF-40D1-94BE-5175077465FC}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{BF737694-56F6-46FA-9FDC-FA99A5B25FAD}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{CFCD164E-8AC9-478E-9ECC-B616A932016C}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{D5961CC0-B442-4567-8030-67E241EF4CC2}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{E450067F-1C93-41A7-928E-07E5C2EEC680}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{F977D9F2-4BDC-44A6-B508-7C0284C61EED}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{48C9C8B0-A546-46C1-A81F-47A31E623E9D}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{CFE8AAFD-A0F3-4329-84E9-6B679EC93EC2}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{74C36554-31F0-49DD-8857-ED6A64DF45BE}
[x64] Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{22B0769F-794B-4422-AC84-47B123C8986D}
[x64] Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{28ED590D-F5ED-4E05-A87F-1D759F1C6169}
[x64] Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{45D5B93F-E2ED-4AF2-915E-DCDDBDA8C33C}
[x64] Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{771B99AB-636F-4A11-9039-8DFEB927B061}
[x64] Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{A8321AA2-2227-40C7-8525-6C2F4E1B0EBE}
[x64] Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{AA41A731-6814-4A70-A6F1-C0A20FBBFBD5}
[x64] Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{ABBB8A9E-D8AF-40D1-94BE-5175077465FC}
[x64] Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{BF737694-56F6-46FA-9FDC-FA99A5B25FAD}
[x64] Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{CFCD164E-8AC9-478E-9ECC-B616A932016C}
[x64] Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{D5961CC0-B442-4567-8030-67E241EF4CC2}
[x64] Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{E450067F-1C93-41A7-928E-07E5C2EEC680}
[x64] Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{F977D9F2-4BDC-44A6-B508-7C0284C61EED}

***** [Navigateurs] *****

-\ Internet Explorer v9.0.8112.16421

[OK] Le registre ne contient aucune entrée illégitime.

-\ Mozilla Firefox v14.0 (en-US)

-\ Google Chrome v19.0.1084.56

*************************

AdwCleaner[R5].txt - [790 octets] - [14/06/2012 15:41:51]
AdwCleaner[S5].txt - [3481 octets] - [15/06/2012 14:32:44]

########## EOF - C:\AdwCleaner[S5].txt - [3609 octets] ##########

Destrio5 · Answer

Ok.

Tu as toujours le même problème ?

Tu as essayé de supprimer le contenu de la quarantaine de Symantec ?

kmax · Answer

Je viens de le vider, mais les attaques continuent, elles semblent moins fréquentes (toutes les 20 secondes au lieu de toutes les secondes).

Destrio5 · Answer

Ton antivirus est à jour ?

Ça a commencé du jour au lendemain ? 

Tu n'as rien fait de particulier ?

kmax · Answer

Oui ca a recommencé du jour au lendemain, c'est mon pc pro (je suis admin dessus), mais je n'ai rien fait de spécial avec non.

Destrio5 · Answer

Peut-être que le problème vient de ton antivirus, prends contact avec Symantec.

kmax · Answer

D'accord je vais voir avec eux, cependant nous sommes plusieurs à utiliser cette configuration dans mon entreprise et je suis le seul à avoir ce soucis.

balancedespaiment · Answer

bonjour  
essayer de baisser le niveau de detection heuristique de l'antivirus 
https://fr.wikipedia.org/wiki/Analyse_heuristique 
si c'est pas ca n'oublier pas de remettre le niveau de detection comme avant 
la France doit réduire son déficit commercial

Trojan.gen

16 réponses

Discussions similaires