keloygger qui revient tout le temps dans la base de registre Résolu/Fermé

Question

Bonsoir,

j'ai un souci dans ma base de registre. j'ai ce malware/virus qui revient tout le temps apres le scan/mise en quarantaine et suppression de cette ligne detectee chaque fois par Malwarebytes : Refog.Keylogger, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON|Userinit

J'aimerai donc eviter le formatage de mon ordinateur.. Mais j'en suis presque arrive la, car je n'arrive pas a le supprimer totalement.

Si quelqu'un peut m'aider? ce serait gentil de sa part.

Merci.



Configuration: Windows 8 / Firefox 23.0 
 
Conception de sites web + graphisme + référencement.
passion : informatique

Malekal_morte- · Answer

Salut,

Donne le rapport Malwarebytes.

linne7 · Answer

bonsoir, le voici :

Malwarebytes Anti-Malware
www.malwarebytes.org

Date de l'examen: 03/06/2014
Heure de l'examen: 22:32:45
Fichier journal: malw.txt
Administrateur: Oui

Version: 2.00.2.1012
Base de données Malveillants: v2014.06.03.06
Base de données Rootkits: v2014.06.02.01
Licence: Gratuite
Protection contre les malveillants: Désactivé(e)
Protection contre les sites Web malveillants: Désactivé(e)
Self-protection: Désactivé(e)

Système d'exploitation: Windows 8.1
Processeur: x64
Système de fichiers: NTFS
Utilisateur: liline

Type d'examen: Examen "Menaces"
Résultat: Terminé
Objets analysés: 307033
Temps écoulé: 45 min, 45 sec

Mémoire: Activé(e)
Démarrage: Activé(e)
Système de fichiers: Activé(e)
Archives: Activé(e)
Rootkits: Activé(e)
Heuristics: Activé(e)
PUP: Activé(e)
PUM: Activé(e)

Processus: 0
(No malicious items detected)

Modules: 0
(No malicious items detected)

Clés du Registre: 0
(No malicious items detected)

Valeurs du Registre: 0
(No malicious items detected)

Données du Registre: 1
Refog.Keylogger, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON|userinit, c:\windows\system32\userinit.exe,C:\windows\SysWOW64\MPK\mpk.exe, Bon: (Userinit.exe), Mauvais: (c:\windows\system32\userinit.exe,C:\windows\SysWOW64\MPK\mpk.exe),Remplacé,[b8fab1c25328bf77620be184f70ddd23]

Dossiers: 0
(No malicious items detected)

Fichiers: 0
(No malicious items detected)

Secteurs physiques: 0
(No malicious items detected)


(end)

Malekal_morte- · Answer

Faire un Scan OTL - Temps : Environ 40min
=====================
OTL permet de diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt 
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/    

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.    
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)    

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL    
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :    



netsvcs   
msconfig   
safebootminimal   
safebootnetwork   
activex   
drivers32   
%ALLUSERSPROFILE%\Application Data\*.   
%ALLUSERSPROFILE%\Application Data\*.exe /s
%ALLUSERSPROFILE%\Application Data\*.dll /s
%APPDATA%\*.   
%APPDATA%\*.exe /s   
%temp%\*.exe /s   
%SYSTEMDRIVE%\*.exe   
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles   
%windir%\Tasks\*.job /lockedfiles   
%systemroot%\system32\drivers\*.sys /lockedfiles   
%systemroot%\System32\config\*.sav   
/md5start   
explorer.exe   
winlogon.exe
services.exe
wininit.exe
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s
HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s
CREATERESTOREPOINT   
nslookup www.google.fr /c
ping www.google.fr /c
ipconfig /all /c
SAVEMBR:0   
hklm\software\clients\startmenuinternet|command /rs   
hklm\software\clients\startmenuinternet|command /64 /rs



* Clique sur le bouton Analyse.

**** Si durant le scan - OTL ne répond pas, ne touche à rien et laisse le scan se poursuivre ****

* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans une réponse.
Je répète : donne le lien du rapport pjjoint ici en réponse.

NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE

linne7 · Answer

Merci de ton aide Malekal.

Voici le rapport, seulement il ne m'en a sorti qu'un seul.
Est ce embetant?

Lien :  https://pjjoint.malekal.com/files.php?id=20140604_o12r13t12i8i9

linne7 · Answer

bonsoir malekal,

je sais et voit que tu as un enorme boulot sur ce site, mais au cas ou mon message est parti en dessous de tous les autres... sinon quand tu as un moment. merci
 
Conception de sites web + graphisme + référencement.
passion : informatique

Malekal_morte- · Answer

essaye ça :


* Relance OTL. 
Copie/colle le script ci-dessous en gras dans la fenêtre OTL, tout en bas, dans la partie Personnalisation.




:reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows] 
"Userinit"="userinit.exe,"



Clic sur Correction.


* poste le rapport ici 


Redémarre l'ordinateur 
 
 
Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left

linne7 · Answer

========== REGISTRY ==========
HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows\"Userinit"|"userinit.exe," /E : value set successfully!
 
OTL by OldTimer - Version 3.2.69.0 log created on 06042014_234421

linne7 · Answer

et ordinateur redemarre

Malekal_morte- · Answer

pour te rassurer, le fichier qui est mentionné dans la clef a l'air d'avoir sauté, donc plus actif.
Par contre, par sécurité si ça n'a pas été fait, change tous tes mots de passe WEB et FTP (comme t'as l'air d'être un webmaster).

linne7 · Answer

oki je vais faire ca. Dois je tout de meme refaire un scan avec Malwarebytes pour m'en assurer? et si toujours la je te reposte le scan?

linne7 · Answer

je n'y crois pas toujours la... j'ai un mal fou a m'en debarrasser... 


Malwarebytes Anti-Malware
www.malwarebytes.org

Date de l'examen: 05/06/2014
Heure de l'examen: 09:09:48
Fichier journal: mv.txt
Administrateur: Oui

Version: 2.00.2.1012
Base de données Malveillants: v2014.06.05.05
Base de données Rootkits: v2014.06.02.01
Licence: Gratuite
Protection contre les malveillants: Désactivé(e)
Protection contre les sites Web malveillants: Désactivé(e)
Self-protection: Désactivé(e)

Système d'exploitation: Windows 8.1
Processeur: x64
Système de fichiers: NTFS
Utilisateur: liline

Type d'examen: Examen "Menaces"
Résultat: Terminé
Objets analysés: 306764
Temps écoulé: 45 min, 16 sec

Mémoire: Activé(e)
Démarrage: Activé(e)
Système de fichiers: Activé(e)
Archives: Activé(e)
Rootkits: Activé(e)
Heuristics: Activé(e)
PUP: Activé(e)
PUM: Activé(e)

Processus: 0
(No malicious items detected)

Modules: 0
(No malicious items detected)

Clés du Registre: 0
(No malicious items detected)

Valeurs du Registre: 0
(No malicious items detected)

Données du Registre: 1
Refog.Keylogger, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON|userinit, c:\windows\system32\userinit.exe,C:\windows\SysWOW64\MPK\mpk.exe, Bon: (Userinit.exe), Mauvais: (c:\windows\system32\userinit.exe,C:\windows\SysWOW64\MPK\mpk.exe),,[f3bf8ce7106b89adbd0f8cdbaa5a0af6]

Dossiers: 0
(No malicious items detected)

Fichiers: 0
(No malicious items detected)

Secteurs physiques: 0
(No malicious items detected)


(end)

Conception de sites web + graphisme + référencement.
passion : informatique

Malekal_morte- · Answer

Essaye ça :

* Relance OTL.
Copie/colle le script ci-dessous en gras dans la fenêtre OTL, tout en bas, dans la partie Personnalisation.


:reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Windows]
"Userinit"="userinit.exe,"
[HKEY_LOCAL_MACHINE\SOFTWARESOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON]
"Userinit"="C:\WINDOWS\system32\userinit.exe,"


Clic sur Correction.


* poste le rapport ici



Redémarre l'ordinateur

linne7 · Answer

merci. Voila le rapport :

https://pjjoint.malekal.com/files.php?id=20140606_10u12h11l9h7

linne7 · Answer

Alors ordinateur redemarre et je me suis permise de refaire un scan de Malwarebytes, il est toujours present.. et ca m'ennuie car je n'ose plus rien faire sur mon ordi et j'ai des trucs en attente en urgence... :(

Le rapport de Malwarebytes :
Malwarebytes Anti-Malware
www.malwarebytes.org

Date de l'examen: 06/06/2014
Heure de l'examen: 00:36:03
Fichier journal: 1.txt
Administrateur: Oui

Version: 2.00.2.1012
Base de données Malveillants: v2014.06.05.13
Base de données Rootkits: v2014.06.02.01
Licence: Gratuite
Protection contre les malveillants: Désactivé(e)
Protection contre les sites Web malveillants: Désactivé(e)
Self-protection: Désactivé(e)

Système d'exploitation: Windows 8.1
Processeur: x64
Système de fichiers: NTFS
Utilisateur: liline

Type d'examen: Examen "Menaces"
Résultat: Terminé
Objets analysés: 306911
Temps écoulé: 41 min, 11 sec

Mémoire: Activé(e)
Démarrage: Activé(e)
Système de fichiers: Activé(e)
Archives: Activé(e)
Rootkits: Activé(e)
Heuristics: Activé(e)
PUP: Activé(e)
PUM: Activé(e)

Processus: 0
(No malicious items detected)

Modules: 0
(No malicious items detected)

Clés du Registre: 0
(No malicious items detected)

Valeurs du Registre: 0
(No malicious items detected)

Données du Registre: 1
Refog.Keylogger, HKLM\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON|userinit, c:\windows\system32\userinit.exe,C:\windows\SysWOW64\MPK\mpk.exe, Bon: (Userinit.exe), Mauvais: (c:\windows\system32\userinit.exe,C:\windows\SysWOW64\MPK\mpk.exe),,[5062c5ae59227abc3ac7e287b74d01ff]

Dossiers: 0
(No malicious items detected)

Fichiers: 0
(No malicious items detected)

Secteurs physiques: 0
(No malicious items detected)


(end)

Malekal_morte- · Answer

Ouvre regedit.exe
positionne toi sur HKEY_LOCAL_MACHINE
tape F3 et cherche mpk.exe
cherche la clef Winlogon et supprime la partie C:\windows\SysWOW64\MPK\mpk.exe
Laisse bien la virgule à la fin.

Si ça revient, c'est que quelque chose le remet.

linne7 · Answer

oki je fais ca et revient te dire merci! oui quand j'ai vu qu'il revenait non stop je me suis dit qu'un programme ou autre le faisait revenir.. j'ai eu beau chercher je n'aie pas trouve. Pour cela qu'avant de me dire "je formate" je suis venu poster ici, en esperant trouver une autre solution que celle ci mais s'il faut bien je le ferai :(
 
Conception de sites web + graphisme + référencement.
passion : informatique

linne7 · Answer

Mauvaise nouvelle.. j'ai fait ce que tu m'as dit dans regedit, il n'a rien trouve! (image ci dessous)

J'ai aussi ete voir sur mon disque C dans windows et dans le dossier SysWOW64 s'il y avait un dossier se nommant MPK (fichier et dossiers caches decoches) la aussi aucun dossier se nommant MPK (image ci-dessous) il me semble d'ailleurs que j'avais deja ete voir...

je ne vois vraiment pas ce qui empeche sa suppression definitive.

linne7 · Answer

bon j'ai ete le chercher a la main dans regedit et l'ai trouve.. je ne vois pas pourquoi il ne l'a pas trouve de lui meme.. j'ai fait comme tu m'as dit.. je reviens te dire :) 

apres redemarrage et rescan.

 
 
Conception de sites web + graphisme + référencement.
passion : informatique

linne7 · Answer

Bonjour malekal,

bon il est revenu.. :(
j'ai fait un scan en ligne avec ESET et j'ai trouve 
WIN32/Keylogger.Beyond.B application
Win32/Monitor. spyagent.NAG
entre autre, je te met le screen car malheureusement je ne sais pas comment j'ai fait mais je n'aie pas recuperer de rapport.. meme apres suppression de tout cela il revient quand meme!
En attendant j'ai bien compris que tout ce que j'avais tape depuis sur mon ordi avait dut etre vole.. en tout les cas vu, ca craint..

le screen en esperant que l'image sera assez grande il y avait 8 detections :

Malekal_morte- · Answer

Dommage qu'on ait pas le rapport, on sait pas si c'est juste des détections de fichiers isolés, ou s'il est encore actif.
Sur ton rapport OTL, le fichier MPK.exe n'a plus l'air d'être là.

~~


Sauvegarde tes documents importants.
A lire en entier.


Désactive les logiciels de protection (Antivirus, Antispywares) 
En Général, cela se fait par un clic droit sur l'icône de ton antivirus en bas à droite et désactiver protection/agent ou autres.

ensuite :

Télécharge Combofix sUBs : http://download.bleepingcomputer.com/sUBs/ComboFix.exe et sauvegarde le sur ton bureau et pas ailleurs!       

Double-clic sur combofix, accepte la licence d'utilisation et laisse toi guider.       

Eventuellement, installe la console de récupération comme cela est conseillé       

Attends que combofix ait terminé, un rapport sera créé. Poste le rapport.
Si le rapport ne passe pas, envoie le sur ce site : http://pjjoint.malekal.com/
et donne le lien ici :)     

Tu as le tutorial sur ce lien pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix       

PS : si Combofix ne se lance pas, renomme le fichier Combofix et retente.       

Si pas mieux, tente en mode sans échec sans prise en charge du réseau : Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.    

Si Combofix émet toujours une alerte sur l'antivirus : Si tu es en mode sans échec continue, si tu es en mode normal et que l'antivirus est bien désactivé. Continue.
Hébergement du rapport : Utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport, donne le lien pjjoint qui pointent vers ce rapport dans un nouveau message.

linne7 · Answer

est il bien compatible avec windows 8? 
ce qu'il m'affiche en le lancant :

Malekal_morte- · Answer

non ça doit pas marcher sur Windows 8.

NOD32 a viré des DLL, ça change quelque chose si tu vires la clef dans le registre, elle revient ?

linne7 · Answer

Toujours au meme endroit : HKEY Local Machine/Software/Microsoft/Windows NT/Winlogon et userinit : "c:\windows\system32\userinit.exe,C:\windows\SysWOW64\MPK\mpk.exe"

 


Mince on ne voit vraiment rien du screen.. mais toujours a la meme place
 
Conception de sites web + graphisme + référencement.
passion : informatique

linne7 · Answer

re coucou Malekal.. mauvais news elle est revenu au redemarrage :(
c'est enorme jamais eu un souci pareil.
Tu as dut voir que j'avais fait pas mal de scan tant je ne sais quoi faire.
les 3 programmes que tu as desinstalle, j'avais pense aussi que ca venait peut etre de la, vu que c'etait les derniers que j'avais mit et que c'est arrive apres. Ils etaient en free. Quand tu as commence la desinstallation, je ne sais si tu as vu mais j'ai eu l'alerte antivir au sujet du registre, la j'ai su que c'etait remis a nouveau.

Pour les jeux, oui tu as raison et j'evite au maximum et je changerai tous mes mdp une fois regle. Pour ce qui est du reste mes comptes, boulot etc... je n'ose plus du tout du coup.

En tout cas vraiment un GRAND merci car tu donnes de ton temps, ce qui est rare :), alors que je vois que tu as enormement de boulot deja sur ce site.
Ecoute si jamais pas de solution ces jours ci, bien tant pis je vais formater.. je vais avoir du taf du coup.. lol.

bonne fin de soiree encore MERCI!

linne7 · Answer

il y a du nouveau! :)
alors j'ai ete supprimer a la main tous les dossiers restant dans le C des 3 programmes que tu as desinstalle, j'ai passe un coup de Ccleaner pour le nettoyage registre, j'ai redemarre et... cette cle n'est pas reapparu! je t'avoue que j'ai attendu pour te le dire et redemarre aussi plusieurs fois pour etre bien sur. En repassant meme deux fois malwerbytes.

happy!! :) je n'en reviens pas que ca vienne de ces programmes! ca m'apprendra moi qui fait toujours gaffe a tout ce que je telecharge, il est vrai que je ne les connaissais pas et en avais besoin.

Bon si ca reviens je te donnerai des news bien sur!
mais un enorme merci a toi qui t'ai aussi creuse la tete pour trouver et.. qui a trouve! tres beau boulot.
merci aussi de ta disponibilite au service de tous ici. je vais de ce pas changer tous mes mdp...

Malekal_morte- · Answer

n'oublie pas de changer tous tes mots de passe :)

Keloygger qui revient tout le temps dans la base de registre

26 réponses

Discussions similaires