Virus Trojan.Dropper.BCMiner. Résolu

Question

Bonjour à tous ! 

Déjà merci de prendre le temps de lire ce message. Alors, un malheureux incident est arrivé après avoir prêté mon ordi à mon frère. Bon, je vous passe les détails, je me retrouve donc avec un virus. J'ai tout essayé (bon pas tout, mais vous avez compris). Alors, il s'agit de trojan dropper BCMiner (selon MAM), enfin tout est dans le titre. Pourriez-vous m'aider à m'en débarrasser ?
Merci d'avance à quiconque me répondra et bonne journée !

kalimusic · Answer

Bonjour,

Commence par poster le rapport de Malwarebytes montrant les fichiers BCMiner

A +

Insecure · Answer

Re bonjour,
Alors j'espère que je poste le bon truc ^-^' :


Windows Vista Service Pack 2 x64 NTFS
Internet Explorer 8.0.6001.19272
Comtesse Karnstein :: PC-DE-EVERYBODY [administrateur]

Protection: Activé

24/06/2012 18:53:40
mbam-log-2012-06-24 (18-53-40).txt

Type d'examen: Examen rapide
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 236748
Temps écoulé: 4 minute(s), 7 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 1
C:\Windows\Installer\{ac6c47b7-c45d-693c-b39c-72fc1b045323}\U\00000008.@ (Trojan.Dropper.BCMiner) -> Mis en quarantaine et supprimé avec succès.

(fin)

Voilà, merci pour la réponse super-rapide.

kalimusic · Answer

Et bien ton frère a eu le gros lot, puisque tu es infecté par la dernière variante de Sirefef.

 == == == == == == == == == == == == == == == == == == == == == ==

Sauvegarde tes documents les plus importants.

 == == == == == == == == == == == == == == == == == == == == == ==

1. Télécharge  ComboFix de sUBs .
TRÈS IMPORTANT! : Enregistre ComboFix.exe sur le Bureau.

IMPORTANT : Ferme toutes tes applications en cours et désactive temporairement les programmes de protection (Antivirus, Antispywares, etc...).
Ils pourraient interférer avec l'outil, un clic droit sur l'icône du programme prés de l'heure permet généralement de le faire. 
En cas de difficultés se reporter ici : http://assiste.forum.free.fr/viewtopic.php?t=27097

Si besoin, imprime ce dont tu auras besoin, car ensuite toutes les fenêtres doivent être fermés.

&#x25CF; Lance ComboFix
&#x25CF; Accepte la licence d'utilisation et laisse toi guider par le programme.
&#x25CF; Accepte d'installer la console de récupération (sous XP)
&#x25CF; A la fin ComboFix indique l'emplacement du rapport et l'ouvre spontanément. 

 Le rapport se trouve normalement à la racine du disque: C:\ComboFix.txt 

Notes :

&#9656; Ne rien faire et ne rien toucher pendant le travail de l'outil, risque de plantage complet de l'ordinateur.
&#9656; Ne pas relancer Combofix, si l'outil ne fonctionne pas, revenir sur le forum pour de nouvelles instructions.
&#9656; Si après le redémarrage, ComboFix indique des erreurs au sujet des fichiers à supprimer, redémarrer à nouveau le système.

Aide : Comment utiliser ComboFix

2. Héberge le rapport sur un des sites suivants :
https://www.cjoint.com/
http://pjjoint.malekal.com/
http://threat-rc.com/ 
https://textup.fr/ 
Tu obtiendras un lien que tu me donneras dans ton prochain message afin que je puisse le consulter.

A +

Insecure · Answer

Merci pour les instructions. ComboFix ne fonctionne pas =/ Il m'a mis un message "Warning!! Do not run ComboFix in Compatibility Mode".

kalimusic · Answer

Ce message n'est pas normal avec ton système d'exploitation.
As tu une version officielle de Windows ?

Redémarre en mode sans échec avec prise en charge réseau. 
Et relance ComboFix, si tu as toujours le même message, on fera autrement. 

A +

Insecure · Answer

Hum, oui, normalement. 

Je vais faire ça.

kalimusic · Answer

Je préfère poser la question franchement pour écarter une possibilité.

Si tu fais  clic-droit > Propriétés sur ComboFix.exe, onglet Compatibilité, aucune case ne doit êter cochée.

Insecure · Answer

(effectivement, aucune case n'est cochée)

Alors, ça a fonctionné, voilà le rapport : http://textup.fr/22305nb

kalimusic · Answer

ComboFix n'a pas pu remplacer les fichiers patchés par l'infection, regardons pourquoi :

1. Analyse le fichier c:\windows\system32\Services.exe sur https://www.virustotal.com/gui/
Si un message te dit que le fichier à déjà été analysé, ré-analyse le
Copie-colle l'url affichée dans la barre d'adresse dans ta réponse.
tuto : Analyser un fichier avec VirusTotal

2. Idem pour celui-ci  c:\windows\SysWow64\qmgr.dll

3. Télécharge OTL  (de OldTimer) sur ton Bureau. 

 Ferme toutes tes applications en cours 

&#x25CF;  Lance OTL.exe, l'interface principale s'ouvre.
&#x25CF;  Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal 
&#x25CF;  Coche la case Tous les utilisateurs
&#x25CF;  Laisse tous les autres paramètres par défaut 
&#x25CF;  Dans la partie du bas "Personnalisation", copie/colle la liste en citation : 

/md5start
services.exe
qmgr.dll
wshelper.dll
/md5stop
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%SYSTEMDRIVE%\*.exe 
CREATERESTOREPOINT 
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.   
&#x25CF;  2 rapports vont s'ouvrir au format bloc-note : 
&#9656; &#9656; OTL.txt (qui sera affiché) ainsi que Extras.txt (réduit dans la barre des tâches)  
&#x25CF;  Ne les poste pas sur le forum, ils seraient trop long  
&#x25CF;  Héberge les sur un des sites suivants :
https://www.cjoint.com/
http://pjjoint.malekal.com/
http://threat-rc.com/ 
https://textup.fr/ 
&#x25CF;  Tu obtiendras 2 liens que tu me donneras dans ton prochain message. 

Aide : Tutorial OTL (par Malekal)

A +

Insecure · Answer

1. Alors pour le premier fichier : https://www.virustotal.com/file/8748091bf27f05d28d45688e04dd9229a4b2e159209a64f457703f66a8cece4d/analysis/1340567379/

2. Le deuxième :
https://www.virustotal.com/file/319448968b75d6a774ad3e45c670330d29c1339ac1d936e3f67d9424bc5d94e7/analysis/1340567599/

3. Le rapport OTL : http://textup.fr/22306Ci
Le rapport OTL Extras : http://textup.fr/22307Pj

(encore merci de prendre le temps de répondre :D)

kalimusic · Answer

L'infection résiste pour le moment.

1.  Ouvre le bloc-note et copie/colle les instructions en citation :     

KillAll::

ClearJavaCache::

Folder::
C:\Users\Comtesse Karnstein\AppData\Local\{ac6c47b7-c45d-693c-b39c-72fc1b045323}
c:\windows\Installer\{ac6c47b7-c45d-693c-b39c-72fc1b045323}
c:\windows\SysWow64\%APPDATA%
c:\users\Comtesse Karnstein\AppData\Roaming\Babylon
c:\programdata\Babylon   
Sauvegarde le fichier sous le nom CFScript.txt  impérativement sur ton Bureau.     

!! Ferme toutes tes applications en cours et désactive les protections résidentes de ton PC (Antivirus, Antispywares, etc...) !!        

&#x25CF;  Fait un glissé/déposé du fichier sur l'icône de ComboFix.exe => img     
&#x25CF; Patiente pendant le travail de l'outil et la création du rapport.
&#x25CF; Héberge le et poste le lien.

2. Relance OTL 

&#x25CF;  Coche Rapport minimal
&#x25CF;  Laisse tous les autres paramètres par défaut
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.
&#x25CF;  Un nouveau rapport  OTL.txt va s'ouvrir au format bloc-note.
 
3. Héberge les 2 rapports et donne moi les liens.

A +

Insecure · Answer

1. http://textup.fr/22309Di
Je fais 2 & 3 demain soir, j'ai plus le temps.

kalimusic · Answer

ok,

vu le rapport Combofix, il faut faire ceci à la place de OTL stp.

Télécharge SystemLook (64-bit)  de jpshortstuff sur le Bureau.

&#x25CF; Double-clique sur SystemLook.exe pour l'exécuter. 
&#x25CF; Copie les lignes en citation dans le champ texte principal : 

:filefind
Services.exe
qmgr.dll
&#x25CF; Clique sur le bouton Rechercher 
&#x25CF; Patiente, le Bloc-note s'ouvre avec les résultats de l'analyse. 
&#x25CF; Copie/colle le rapport dans le prochain message 

Le rapport SystemLook.txt se trouve également sur le Bureau 

A demain soir

Insecure · Answer

Alors, le rapport SystemLook :

SystemLook 30.07.11 by jpshortstuff
Log created at 07:29 on 25/06/2012 by Comtesse Karnstein
Administrator - Elevation successful

========== filefind ==========

Searching for "Services.exe"
C:\Windows\System32\services.exe	--a---- 381952 bytes	[17:25 18/03/2010]	[07:10 11/04/2009] B8844F93D2C5F1DCDB179AAA9AF134B7
C:\Windows\SysWOW64\services.exe	--a---- 279552 bytes	[17:25 18/03/2010]	[06:27 11/04/2009] D4E6D91C1349B7BFB3599A6ADA56851B
C:\Windows\winsxs\amd64_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.0.6001.18000_none_2b7e5beb85a67240\services.exe	--a---- 384512 bytes	[02:49 21/01/2008]	[02:49 21/01/2008] DFAC660F0F139276CC9299812DE42719
C:\Windows\winsxs\amd64_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.0.6002.18005_none_2d69d4f782c83d8c\services.exe	--a---- 384512 bytes	[17:25 18/03/2010]	[07:10 11/04/2009] 934E0B7D77FF78C18D9F8891221B6DE3
C:\Windows\winsxs\x86_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.0.6001.18000_none_cf5fc067cd49010a\services.exe	--a---- 279040 bytes	[02:50 21/01/2008]	[02:50 21/01/2008] 2B336AB6286D6C81FA02CBAB914E3C6C
C:\Windows\winsxs\x86_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.0.6002.18005_none_d14b3973ca6acc56\services.exe	--a---- 279552 bytes	[17:25 18/03/2010]	[06:27 11/04/2009] D4E6D91C1349B7BFB3599A6ADA56851B

Searching for "qmgr.dll"
C:\Windows\erdnt\cache64\qmgr.dll	--a---- 1081856 bytes	[19:12 24/06/2012]	[07:11 11/04/2009] 6D316F4859634071CC25C4FD4589AD2C
C:\Windows\System32\qmgr.dll	--a---- 1081856 bytes	[17:25 18/03/2010]	[07:11 11/04/2009] 6D316F4859634071CC25C4FD4589AD2C
C:\Windows\SysWOW64\qmgr.dll	--a---- 77760 bytes	[17:59 28/11/2010]	[16:23 03/05/2000] F997C31E8968F0A1288AE43E404B1368
C:\Windows\winsxs\amd64_microsoft-windows-bits-client_31bf3856ad364e35_6.0.6001.18000_none_7faf6070b1cf7cc2\qmgr.dll	--a---- 1082368 bytes	[02:50 21/01/2008]	[02:50 21/01/2008] D896A0D43F8AB81ECB1FC6C24DECFD58
C:\Windows\winsxs\amd64_microsoft-windows-bits-client_31bf3856ad364e35_6.0.6002.18005_none_819ad97caef1480e\qmgr.dll	--a---- 1081856 bytes	[17:25 18/03/2010]	[07:11 11/04/2009] 6D316F4859634071CC25C4FD4589AD2C

-= EOF =-

Voilà. A ce soir.

kalimusic · Answer

Bonsoir,

J'ai des doutes sur le fichier services.exe
Peux tu réaliser ces 2 recherches supplémentaires :

1. Télécharge  Farbar Service Scanner 
&#x25CF; Exécute le sur l'ordinateur ayant le problème de connexion.
&#x25CF; Vérifie que les options ci-dessous sont cochées:

Internet Services
Windows Firewall
System Restore
Security Center
Windows Update
Windows Defender
&#x25CF;  Clique sur "Scan".
&#x25CF; Un rapport FSS.txt est crée dans le dossier où se trouve l'outil.

2. Télécharge aswMBR sur ton Bureau.

&#x25CF; Lance  aswMBR.exe
&#x25CF; Clique sur le bouton Scan
&#x25CF; Patiente pendant l'analyse
&#x25CF; Clique sur Save log 
&#x25CF; Enregistre le rapport sur le Bureau. 

3. Copie/colle les liens des rapports dans ton prochain message.

A +

Insecure · Answer

3 . Le rapport FFS : http://textup.fr/22374Ha

Le rapport aswMBR : http://textup.fr/22375xl

juju666 · Answer

Hello pour avancer  

Télécharge ici : GMER 

Ouvre GMER avec le clic droit -> exécuter en tant qu'administrateur, développe les onglets avec ">>>"  ( Illustration )  

Rends-toi à Files, développe C:\Windows\System32 et tu mets en surbrillance Services.exe puis clique sur Copy, il va te demander où tu veux l'enregistrer et sous quel nom. Met "test.exe" (sans les guillemets) et enregistre-le sur ton bureau. ( Illustration )  

Envoie test.exe sur https://www.virustotal.com/gui/   
Si un message te dit que le fichier à déjà été analysé, ré-analyse le  
Copie-colle l'url affichée dans la barre d'adresse dans ta réponse.   

A+  
 .::. Contributeur Sécurité .::.

Insecure · Answer

Bonjour, merci de bien vouloir m'aider également, voici le lien : 

https://www.virustotal.com/file/03e4d4e5f4337c44f3cb2c2cb943e0984679a51f05760e90c9c3b46a47aed659/analysis/1340649159/

juju666 · Answer

Iléfort quand même le juju ^^ 

fake md5 de %system32%\services.exe =  d4e6d91c1349b7bfb3599a6ada56851b 

real MD5 : b8844f93d2c5f1dcdb179aaa9af134b7 


 .::. Contributeur Sécurité .::.

Insecure · Answer

Hum... what ? Désolée, j'ai pas tout compris là xD

juju666 · Answer

kali un petit FCopy ? ^^

kalimusic · Answer

Depuis le passage de ComboFix, je cherche à m'assurer de la modification malicieuse de  fichiers système. Même si j'étais persuadé qu'ils étaient patchés, on devait s'en assurer avant de  les remplacer. juju avec gmer a trouvé l'astuce pour qu'il dévoile sa vrai nature (merci à toi)

1. Ouvre le bloc-note et copie/colle les instructions en citation :     

KillAll::

FCopy::
C:\Windows\winsxs\amd64_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.0.6002.18005_none_2d69d4f782c83d8c\services.exe | C:\Windows\System32\services.exe
C:\Windows\winsxs\amd64_microsoft-windows-bits-client_31bf3856ad364e35_6.0.6002.18005_none_819ad97caef1480e\qmgr.dll | C:\Windows\SysWOW64\qmgr.dll  
Sauvegarde le fichier sous le nom CFScript.txt  impérativement sur ton Bureau.     

!! Ferme toutes tes applications en cours et désactive les protections résidentes de ton PC (Antivirus, Antispywares, etc...) !!        

&#x25CF;  Fait un glissé/déposé du fichier sur l'icône de ComboFix.exe => img     
&#x25CF; Patiente pendant le travail de l'outil et la création du rapport.
&#x25CF; Héberge le et poste le lien.

A +

Insecure · Answer

Voilà le rapport : http://textup.fr/22394qN

kalimusic · Answer

Parfait,

Relance OTL 

&#x25CF;  Coche Rapport minimal
&#x25CF;  Laisse tous les autres paramètres par défaut
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.
&#x25CF;  Un nouveau rapport  OTL.txt va s'ouvrir au format bloc-note 
&#x25CF;  Héberge le rapport et donne moi le lien.

A +

Insecure · Answer

Voilà le lien du rapport OTL : http://textup.fr/22395cU

kalimusic · Answer

Comment se comporte le pc maintenant ?

Peux tu refaire cette analyse stp : https://forums.commentcamarche.net/forum/affich-25450022-virus-trojan-dropper-bcminer#17

A +

Insecure · Answer

Eh bien, il a l'air d'aller mieux depuis hier matin, grâce à vous ! :) 

Ouip je refais ça. Voilà le lien :  

https://www.virustotal.com/file/bb1acd3cd6482d8b7c5931e8733b8094d2ce59c4fbc4012bd0799c8dc367fb74/analysis/1340658823/

Je dois y aller, à demain je pense et encore merci !

kalimusic · Answer

Le fichier a été correctement remplacé, tu peux supprimer les 2 test.exe


== == == == == == == == == == == == == == == == == == == == == ==

Si la protection en temps réel de Malwarebytes Anti-Malware est activée (version PRO ou période d'essai de la version gratuite). Il faut absolument la désactiver temporairement par clic-droit "Quitter" sur son icône prés de l'heure avant de faire la correction OTL.

 == == == == == == == == == == == == == == == == == == == == == ==

Ne pas exécuter OTL dans la sandbox de ton antivirus.

 == == == == == == == == == == == == == == == == == == == == == ==

1. Relance OTL

&#x25CF; Dans la partie "Personnalisation", copie/colle les instructions hébergées ici
&#x25CF; Clique sur le bouton Correction.
&#x25CF; Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.   
&#x25CF; Accepte en cliquant sur OK. 
&#x25CF; Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.   

Tu peux le retrouver le fichier à la racine du disque dans ce dossier : C:\_OTL\MovedFiles 

2.  Effectue la mise à jour de Malwarebytes qui est déjà installé sur ton pc et lance un examen rapide.
Tuto :

Insecure · Answer

Le rapport OTL : http://textup.fr/22402AT
Le rapport Malwarebytes : http://textup.fr/22403ne

kalimusic · Answer

Bonjour,


 == == == == == == DÉSINSTALLATION DES OUTILS == == == == == ==


1. Ouvre la commande Exécuter en pressant Windows + R 
&#x25CF; Dans la boite de dialogue, tape ComboFix /Uninstall 
&#x25CF; Valide par Ok puis suivre les invites à l'écran.
&#x25CF; Un message confirme que ComboFix a été désinstallé. 

2. Lance OTL

&#x25CF; Dans la partie "Personnalisation", copie/colle :

:commands
[clearallrestorepoints]
&#x25CF; Clique sur le bouton Correction. 

3. Relance OTL 
&#x25CF; Clique sur le bouton Purge outils
&#x25CF; Puis sur OK dans la boite de dialogue qui t'invite à redémarrer le système.
&#x25CF; Supprime les outils et les rapports restants éventuellement sur ton Bureau


== == == == == == == == MISES A JOUR == == == == == == == ==


Vérifie que les logiciels pouvant présenter des failles de sécurité sont à jour, c'est par ce biais que les infections arrivent :

https://www.malekal.com/maintenir-java-adobe-reader-et-le-player-flash-a-jour/ ou bien tu peux utiliser cet outil : Vérifier et mettre à jour facilement les logiciels à risque avec SX Check&Update

!! Décoche les cases proposant des logiciels partenaires pendant les installations !! 

Désinstalle les anciennes versions de Java si tu en as encore installées.
https://www.java.com/fr/download/help/remove_olderversions.html


 == == == == == == == == == == == == == == == == == == == == == ==

 La sécurité de son PC, c'est quoi ? (par Malekal)    

 == == == == == == == == == == == == == == == == == == == == == ==
 
Bonne continuation

Insecure · Answer

Merci mille fois pour tout ! Tes instructions étaient super claires, précises et efficaces, merci ! (merci à juju666 également) Mon PC se porte à merveille ! 

Une bonne journée et bonne continuation à vous tous.

Proof92 · Answer

Bonjour, je voulais savoir quel effet peut avoir ce virus parce j'ai été infecté par ce virus j'ai fais une restauration systeme ce qui a restauré la clé infecté puis j'ai formaté et j'ai toujours un problème qui est apparu a peu près en même temps c'est que mon pc s'éteint tous seul après chargement d'un jeu (pas de surchauffe , extinction instantannée après chargement)

kalimusic · Answer

Bonsoir,

Si tu as formaté, il n'y a plus d'infection, c'est un autre problème (peut-être matériel)

Merci de créer un nouveau sujet si tu as besoin d'aide.

Bonne soirée

Virus Trojan.Dropper.BCMiner.

33 réponses

Discussions similaires

Newsletters