Double accents circonflexes sur un autre ordi (virus Zbot?) Résolu/Fermé

Question

Bonjour, 

J'ai à nouveau un problème d'accents circonflexes surement dû au virus Zbot. S'agissant d'un autre ordinateur, j'ai ouvert un nouveau sujet. J'ai tout de suite avancé dans mes démarches d'analyse avec AdwCleaner et OTL : Voici ci-dssous le rapport AdwCleaner[S1] :

# AdwCleaner v2.200 - Rapport créé le 04/04/2013 à 14:45:39
# Mis à jour le 02/04/2013 par Xplode
# Système d'exploitation : Windows 7 Professional Service Pack 1 (32 bits)
# Nom d'utilisateur : grattepanche - DIPC0022
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\grattepanche\Desktop\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****


***** [Registre] *****

Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}

***** [Navigateurs] *****

-\ Internet Explorer v9.0.8112.16470

[OK] Le registre ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [686 octets] - [04/04/2013 14:45:39]

########## EOF - U:\AdwCleaner[S1].txt - [745 octets] ##########


Voici également où trouver le rapport OTL :
https://pjjoint.malekal.com/files.php?read=OTL_20130404_p8x9r7j8k5

A titre informatif, il n'y a pas eu de fichier extra généré

Merci d'avance pour le script qui me permettra de résoudre le problème.

Cordialement,


Configuration: Windows 7 / Internet Explorer 9.0

Malekal_morte- · Answer

Salut, 


Relance OTL.  
o sous Persfonnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début). 
Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:   

:OTL 
O4 - HKU\S-1-5-21-585580582-500134440-1990678075-1118..\Run: [{45C64CCF-1E3A-AD41-4D7F-793B68905A26}] C:\Users\grattepanche\AppData\Roaming\Uzefuj\ohomy.exe (§¬§à§â§á§à§â§Ñ§è§Ú§ñ §®§Ñ§Û§Ü§â§à§ã§à§æ§ä) 
O4 - Startup: C:\Users\grattepanche\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Microsoft Outlook 2010 (2).lnk = C:\Windows\Installer\{90140000-0011-0000-0000-0000000FF1CE}\outicon.exe () 
[2013/04/04 14:57:53 | 000,022,000 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0 
[2013/04/04 14:57:53 | 000,022,000 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0
[2012/11/07 08:07:15 | 000,000,000 | ---D | M] -- C:\Users\grattepanche\AppData\Roaming\Uzefuj
:files
C:\Users\grattepanche\AppData\Roaming\Uzefuj\  

* redemarre le pc sous windows et poste le rapport ici  


~~ 

Zip le dossier C:\_OTL et envoie le zip sur http://upload.malekal.com  
  
Like the angel you are, you laugh creating a lightness in my chest, 
Your eyes they penetrate me, 
(Your answer's always 'maybe') 
That's when I got up and left

tivascot · Answer

Merci pour la réponse ultra rapide. Par contre, le problème est plutôt que je n'arrive pas du tout à faire d'accent. Quand je tape sur la touche "accent circonflexe" puis la lettre "e", ça écrit juste "e" et pas "ê"...

Le problème existe toujours malgré la correction...

Voici le rapport :

========== OTL ==========
Registry value HKEY_USERS\S-1-5-21-585580582-500134440-1990678075-1118\Software\Microsoft\Windows\CurrentVersion\Run\{45C64CCF-1E3A-AD41-4D7F-793B68905A26} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{45C64CCF-1E3A-AD41-4D7F-793B68905A26}\ not found.
C:\Users\grattepanche\AppData\Roaming\Uzefuj\ohomy.exe moved successfully.
C:\Users\grattepanche\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Microsoft Outlook 2010 (2).lnk moved successfully.
C:\Windows\Installer\{90140000-0011-0000-0000-0000000FF1CE}\outicon.exe moved successfully.
C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0 moved successfully.
C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0 moved successfully.
 
OTL by OldTimer - Version 3.2.69.0 log created on 04042013_155155

Malekal_morte- · Answer

Est-ce que cela est résolu après correction OTL et redémarrage du PC ?

tivascot · Answer

Je crois que j'ai la connexion à distance qui me joue des tours. En effet, je ne suis pas devant l'ordinateur problématique et je le prend en main à distance avec le logiciel IdealAdmin. D'où je suis, je suis obligé de taper deux fois sur la touche "accent circonflexe" puis la lettre "e" pour afficher un "ê", de même, si je veux afficher deux accents circonflexes à la suite ("^^"), je suis obligé de taper 4 fois sur la touche. Je contacte une personne qui peut faire le test directement sur le PC car je ne sais pas si mon problème est dû à la connexion à distance ou si c'est encore un vrai problème.

Malekal_morte- · Answer

Quoiqu'il en soit, le PC est infecté et effectivement y a Zbot.
Les prob d'accents circonflexes peuvent être des symptômes (keylogger).

Zip le dossier C:\_OTL et envoie le zip sur http://upload.malekal.com

Refais un scan OTL et donne le rapport pjjoint pour voir.

tivascot · Answer

Voilà, j'ai envoyé le rapport _OTL.zip. Je viens d'avoir confirmation par une personne devant l'ordinateur que le problème est bien résolu. Donc c'est parfait! Merci beaucoup pour vos réponses rapides.

Malekal_morte- · Answer

oui sauf que Zbot, c'est un stealer, donc là tous les mots de passe ont été volés, ceux qui ont été tapés et ceux sont stockés dans les navigateurs WEB. 
Faut les changer. 

D'autre part, ça semble être une très vieille variante vu les détections : https://www.virustotal.com/gui/file/b311f7217194d3612a17c080522ca65c8271d0eb3763e44c5d4fc45f815b89be 

SHA256: b311f7217194d3612a17c080522ca65c8271d0eb3763e44c5d4fc45f815b89be 
Nom du fichier : OOBEBALN.EXE 
Ratio de détection :  30 / 46  
Date d'analyse :  2013-04-04 14:33:26 UTC (il y a 0 minute) 
  
C'est balo que vous aillez norton, car c'est l'un des seuls à pas le détecter : 

Symantec   -   20130404 


Like the angel you are, you laugh creating a lightness in my chest, 
Your eyes they penetrate me, 
(Your answer's always 'maybe') 
That's when I got up and left

tivascot · Answer

Ce sont nos PC professionnels, on n'a pas trop le choix de l'antivirus. Je viens de prévenir l'utilisateur (qui par ailleurs est un directeur de l'entreprise) de changer ces mots de passe à tout niveau. Encore merci!

Double accents circonflexes sur un autre ordi (virus Zbot?)

8 réponses

Discussions similaires