23 chevaux de troie Résolu/Fermé

Question

Bonjour, 


mon ordi m'affiche 23 chevaux de troie après avoir fait ces analyse.
je ne peut plus faire de restauration a une date ultérieur,il ne veut pas s'ouvrir
lorsque j'ouvre internet exploreur c'est mozilla qui s'ouvre et j'en passe.
je suit en train de faire une analyse avec malawarbytes.
j'aurai besoin d'aide merci
Configuration: Windows 7 / Firefox 4.0.1

g3n-h@ckm@n · Accepted Answer

+ 3000

g3n-h@ckm@n · Answer

salut lol qui c est qui t'affiche ca ? 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

nosmarties · Answer

Là il te faut un bon antivirus pour analyser : 

https://www.eset.com/fr/home/products/online-scanner/

nosmarties · Answer

Un antivirus qui laisse passer 23 trojans, à retirer d'urgence lol

Utilisateur anonyme · Answer

lol ....  Firefox 4.0.1
tu connais mise à jour ?

steff56130 · Answer

je n'est pas eu d'antivirus pendant quelque jour
antivirus actuel mcafee,il les a trouver lorque je l'ai activé.
je depose le rapport malawarbytes.
si quelqu'un de compétent en informatique peut m'aider,il sera le bien venu sinon les autre commentaire je m'en fou.
rapport malawarbytes:
Malwarebytes Anti-Malware (Essai) 1.62.0.1300
www.malwarebytes.org

Version de la base de données: v2012.07.18.06

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
stephane :: STEPHANE-PC [administrateur]

Protection: Activé

18/07/2012 18:05:52
mbam-log-2012-07-18 (19-33-16).txt

Type d'examen: Examen complet (C:\|D:\|G:\|Q:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 386473
Temps écoulé: 1 heure(s), 26 minute(s), 54 seconde(s)

Processus mémoire détecté(s): 2
C:\Users\stephane\AppData\Roaming\explorateur\explorateur.exe (Trojan.Agent) -> 3920 -> Aucune action effectuée.
C:\Users\stephane\AppData\Roaming\WinUpdater\WinUpdater.exe (Backdoor.IRCBot) -> 3900 -> Aucune action effectuée.

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 2
HKCR\CLSID\{M8BLV3KN-1V6G-ECGJ-1NF6-HO114ON1R5BL} (Trojan.Zbot) -> Aucune action effectuée.
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{M8BLV3KN-1V6G-ECGJ-1NF6-HO114ON1R5BL} (Trojan.Zbot) -> Aucune action effectuée.

Valeur(s) du Registre détectée(s): 4
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|winrar (Trojan.Zbot) -> Données: C:\Users\stephane\AppData\Roaming\winrar\winrar.exe -> Aucune action effectuée.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|winrar (Trojan.Zbot) -> Données: C:\Users\stephane\AppData\Roaming\WinRAR\winrar.exe -> Aucune action effectuée.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Microsoft Security Essentials (Trojan.Agent) -> Données: C:\Users\stephane\AppData\Roaming\explorateur\explorateur.exe -> Aucune action effectuée.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Windows Updater (Backdoor.IRCBot) -> Données: C:\Users\stephane\AppData\Roaming\WinUpdater\WinUpdater.exe -> Aucune action effectuée.

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 4
C:\Users\stephane\AppData\Roaming\WinRAR\winrar.exe (Trojan.Zbot) -> Aucune action effectuée.
C:\Users\stephane\AppData\Local\Temp\DJAMEL.exe (Trojan.Zbot) -> Aucune action effectuée.
C:\Users\stephane\AppData\Roaming\explorateur\explorateur.exe (Trojan.Agent) -> Aucune action effectuée.
C:\Users\stephane\AppData\Roaming\WinUpdater\WinUpdater.exe (Backdoor.IRCBot) -> Aucune action effectuée.

(fin)

g3n-h@ckm@n · Answer

bah pourquoi t'as pas supprimé ?

steff56130 · Answer

résultat après action malawarbytes:

Malwarebytes Anti-Malware (Essai) 1.62.0.1300
www.malwarebytes.org

Version de la base de données: v2012.07.18.06

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
stephane :: STEPHANE-PC [administrateur]

Protection: Activé

18/07/2012 18:05:52
mbam-log-2012-07-18 (18-05-52).txt

Type d'examen: Examen complet (C:\|D:\|G:\|Q:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 386473
Temps écoulé: 1 heure(s), 26 minute(s), 54 seconde(s)

Processus mémoire détecté(s): 2
C:\Users\stephane\AppData\Roaming\explorateur\explorateur.exe (Trojan.Agent) -> 3920 -> Suppression au redémarrage.
C:\Users\stephane\AppData\Roaming\WinUpdater\WinUpdater.exe (Backdoor.IRCBot) -> 3900 -> Suppression au redémarrage.

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 2
HKCR\CLSID\{M8BLV3KN-1V6G-ECGJ-1NF6-HO114ON1R5BL} (Trojan.Zbot) -> Mis en quarantaine et supprimé avec succès.
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{M8BLV3KN-1V6G-ECGJ-1NF6-HO114ON1R5BL} (Trojan.Zbot) -> Mis en quarantaine et supprimé avec succès.

Valeur(s) du Registre détectée(s): 4
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|winrar (Trojan.Zbot) -> Données: C:\Users\stephane\AppData\Roaming\winrar\winrar.exe -> Mis en quarantaine et supprimé avec succès.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|winrar (Trojan.Zbot) -> Données: C:\Users\stephane\AppData\Roaming\WinRAR\winrar.exe -> Mis en quarantaine et supprimé avec succès.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Microsoft Security Essentials (Trojan.Agent) -> Données: C:\Users\stephane\AppData\Roaming\explorateur\explorateur.exe -> Mis en quarantaine et supprimé avec succès.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Windows Updater (Backdoor.IRCBot) -> Données: C:\Users\stephane\AppData\Roaming\WinUpdater\WinUpdater.exe -> Mis en quarantaine et supprimé avec succès.

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 4
C:\Users\stephane\AppData\Roaming\WinRAR\winrar.exe (Trojan.Zbot) -> Mis en quarantaine et supprimé avec succès.
C:\Users\stephane\AppData\Local\Temp\DJAMEL.exe (Trojan.Zbot) -> Mis en quarantaine et supprimé avec succès.
C:\Users\stephane\AppData\Roaming\explorateur\explorateur.exe (Trojan.Agent) -> Suppression au redémarrage.
C:\Users\stephane\AppData\Roaming\WinUpdater\WinUpdater.exe (Backdoor.IRCBot) -> Suppression au redémarrage.

(fin)

g3n-h@ckm@n · Answer

ahhhhh ^^

Attention : cet outil peut etre détecté à tort comme virus

tous les processus "non vitaux de windows" vont être coupés , enregistre ton travail.

Désactive toutes tes protections si possible , antivirus , sandbox , etc....

telecharge et enregistre Pre_Scan sur ton bureau :

http://forums-fec.be/gen-hackman/Pre_Scan.exe
http://general-changelog-team.fr/fr/downloads/viewdownload/41-outils-de-gen-hackman/52-pre-scan

Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

http://forums-fec.be/gen-hackman/Pre_Scan.pif

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan


NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Heberge le rapport sur http://pjjoint.malekal.com puis donne le lien obtenu en echange sur le forum où tu te fais aider

steff56130 · Answer

salut merci de m'aider 

j'ai pris et mis sur le bureau maislorsque je veut l'installer il me dit que ce n'est pas une application win 32 valide.

g3n-h@ckm@n · Answer

? t'as pas du tout recevoir la connection a du merdouiller je pense combien pèse-t-il ?

steff56130 · Answer

le pré scan c'est mise en route pendant 10 min,l'ordi a redemarré et rien!!

g3n-h@ckm@n · Answer

@: à L'attention de ceux qui utilisent les switchs de Pre_script :
n'utiliser que les switchs proposés sur la page correspondante :
https://gen-hackman.kanak.fr/

================================

Clique sur ce lien : https://www.cjoint.com/?BGsxnqkoehE

Selectionne tout le texte qui s'y trouve CTRL+A puis CTRL+C ou clic droit/copier

Relance Pre_scan puis choisis l'option "Script"

une page va s'ouvrir

logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

steff56130 · Answer

j'ai copier ce qu'il y a ds le lien, coller dans le scripte, enregistré et fermé la page.
il travaille 2 sec tous les logos disparaissent et ensuite s'affiche" ne répnd pas" a coté du numeros!!
rien ne se passe de pus je suis obliger de l'étendre et le rallumer.
j'essay une derniere fois si je post rien c'est que ca fonctionne pas

g3n-h@ckm@n · Answer

bah tu dois avoir des protections activées ou un truc comme ca...

steff56130 · Answer

j'ai tout repris les manipulation depuis le debut du post et la ca a marcher.
voila le post scrip: ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 2.719 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

stephane : Windows 7 Home Premium (64 bits)

Switchs : http://gen-hackman.forum-pro.fr/t89-les-switchs

Script : 18:19:31

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤¤¤¤¤¤ | Registry Deletions

Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{08f24d68-9087-4b24-81ad-7b34af3e3ed5}
Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{4becf16c-74f0-429b-8d3e-4fba507ac661}
Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{95a4104c-1c49-4c2a-9830-1be0f47e926c}
Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{9da1d2cb-796d-4bec-bbaa-0aa9ccd80e15}
Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{e5f90a07-7db7-4dcb-bd6d-d3fecd376ca3}
Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{fb9e068b-c612-4fa8-bdb9-d728a716a420}
Valeur Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:Adobe Reader Speed Launcher
Valeur Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:NeroLauncher
Valeur Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:RemoteControl9
Valeur Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:PDVD9LanguageShortcut
Valeur Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:BDRegion
Valeur Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:
Valeur Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:RoxWatchTray
Valeur Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:Desktop Disc Tool
Valeur Deleted : [HKLM\Software\Microsoft\Internet Explorer\Toolbar]:Locked
Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}
Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}
Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0031-ABCDEFFEDCBA}
Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}

¤

Folder Deleted : |D| - C:\Users\stephane\AppData\Local\Temp\04200933-0000135c-5vtur8nowp
Folder Deleted : |D| - C:\Users\stephane\AppData\Local\Temp\05121401-00002a54-f4inuaoada
Folder Deleted : |D| - C:\Users\stephane\AppData\Roaming\WinUpdater
Folder Deleted : |D| - C:\Users\stephane\AppData\Roaming\explorateur
¤¤¤¤¤¤¤¤¤¤ | MBR

Windows Version:		Windows 7 Home Premium Edition
Windows Information:		Service Pack 1 (build 7601), 64-bit
Base Board Manufacturer:	Dell Inc.
BIOS Manufacturer:		Dell Inc.
System Manufacturer:		Dell Inc.
System Product Name:		Dell System XPS L702X
Logical Drives Mask:		0x0001005c

Analysis of file "C:\Pre_Scan\MBR.bin":
Windows 2008 MBR code detected

¤


Fin : 18:19:36

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

g3n-h@ckm@n · Answer

ok des soucis persistent ?

steff56130 · Answer

non je ne pense pas, je vais faire des analyses avec mcafee et malawarbytes

g3n-h@ckm@n · Answer

on fait le menage :

https://gen-hackman.kanak.fr/#1037

steff56130 · Answer

bonjour,

j'ai quelque question.
qu'es ce que c'est comme virus?
j'ai trouvé ds mes documents des enregistrement video sous fichier rar et clip, des site sur lesquel je suis aller notament pour payer quelque chose ou bien j'ai des enregistrement de mes numeros de compte et code de ma banque en ligne tout a ete enregistrer!! idem avec ceux de ma femme.Peut tu m'en dire un peu plus?
derniere question: Faut il que je fasse exactement tout ce qui est indiqué dans ton tuto?
Je commence le nettoyage.
En te remerciant d'avance

g3n-h@ckm@n · Answer

j'ai trouvé ds mes documents des enregistrement video sous fichier rar et clip, des site sur lesquel je suis aller notament pour payer quelque chose ou bien j'ai des enregistrement de mes numeros de compte et code de ma banque en ligne tout a ete enregistrer!! 

ca se trouve ou ? precise au maximum

steff56130 · Answer

ils etaient ds demarrer,document.sous windows xp
la j'avais une 30 n de fichier win rar decompressé sous clip vidéo.lorsque j'ai vu ca j'ai tous supprimer ds la corbeille.et j'ai prévenus ma banque je ne peut pas tant dire plus que ca.et la j'en suis a la defragmentation du disque.
comment puis-je savoir si il reste pas qqch ou bien qu'il ne réenregisterons pas mes connexion internet?

g3n-h@ckm@n · Answer

au fait pour PureRa tu l'as pas configuré comme sur le lien

g3n-h@ckm@n · Answer

alors tu l'as fait plusieurs fois ok...c'est bon

23 chevaux de troie

24 réponses

Discussions similaires