Sujet Précédent Sujet Suivant

Problème Stolen.Data et Malware.Trace

Résolu/Fermé
Toufou001 Messages postés 7 Date d'inscription dimanche 19 juillet 2015 Statut Membre Dernière intervention 20 juillet 2015 - 19 juil. 2015 à 15:26
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 - 20 juil. 2015 à 17:56
Bonjour, pouvez vous m'aider à supprimer Stolen.Data et Malware.Trace
J'ai essayer avec MBAM mais à chaque fois que j'allume l'ordi et que je relance MBAM ces fichiers reviennent
J'ai aussi un problème avec la touche accent circonflex et le tréma, impossible d'ouvrir regedit ou d'ouvrir restaurer à une heure antérieur, d'ouvrir le gestionnaire des taches
Les fenetre s'ouvre mais se ferme immédiatement
Voilà le résultat de MBAM https://www.cjoint.com/c/EGtms6xm63h

Merci pour votre aide

11 réponses

Réponse 1 / 11
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 656
Modifié par Malekal_morte- le 19/07/2015 à 16:09
Salut,

Ce sont des détections liées à des RATs (Remote Access Tools).

Pour vérifier l'ordinateur :



Suis le tutoriel FRST.
(et bien prendre le temps de lire afin d'appliquer correctement - tout y est expliqué).
Télécharge et lance le scan FRST, cela va générer trois rapports FRST :
  • FRST.txt
  • Shortcut.txt
  • Additionnal.txt


Envoie, comme expliqué, ces trois rapports sur le site http://pjjoint.malekal.com et en retour donne les trois liens pjjoint qui mènent à ses rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.




Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left
0
Réponse 2 / 11
Toufou001 Messages postés 7 Date d'inscription dimanche 19 juillet 2015 Statut Membre Dernière intervention 20 juillet 2015
19 juil. 2015 à 19:30
Salut Malekal_morte

Voici les 3 rapports du scan FRST
FRST: https://pjjoint.malekal.com/files.php?id=FRST_20150719_c815y7j15j5
Shorcut: https://pjjoint.malekal.com/files.php?id=20150719_s14n9p15m8n6
Additionnal: https://pjjoint.malekal.com/files.php?id=20150719_t12o109c9s5

Merci pour ton aide
0
Réponse 3 / 11
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 656
19 juil. 2015 à 20:45
Yep infecté,

Si tu peux envoyer ces fichiers sur http://upload.malekal.com :

C:\Users\Fabien\AppData\Roaming\system\java.exe
C:\Users\Fabien\AppData\Roaming\flash\flashplayer.exe
C:\Users\Fabien\AppData\Roaming\chrome\chrome.exe

Voici la correction à effectuer avec FRST.
Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fix

Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
Copie/colle dedans ce qui suit :

Startup: C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\chrome.lnk [2015-07-03]
ShortcutTarget: chrome.lnk -> C:\Users\Fabien\AppData\Roaming\chrome\chrome.exe (sffffd)
Startup: C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\flash.lnk [2015-06-27]
ShortcutTarget: flash.lnk -> C:\Users\Fabien\AppData\Roaming\flash\flashplayer.exe (B9RwQ)
Startup: C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\h4gD8hIi9Fw.lnk [2015-07-02]
ShortcutTarget: h4gD8hIi9Fw.lnk -> C:\Users\Fabien\AppData\Roaming\y6bIXtKRz\XHJklNNL9.exe (QEDYm)
Startup: C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\IlNNL94gD8.lnk [2015-07-02]
ShortcutTarget: IlNNL94gD8.lnk -> C:\Users\Fabien\AppData\Roaming\bQ1Vb72t6bI\oXtKRzHJk.exe (No File)
Startup: C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\RHJklNNL.lnk [2015-07-06]
ShortcutTarget: RHJklNNL.lnk -> C:\Users\Fabien\AppData\Roaming\YSrQ1Vb72t6b\CIXtKRz.exe (No File)
Startup: C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\system32.lnk [2015-06-08]
ShortcutTarget: system32.lnk -> C:\Users\Fabien\AppData\Roaming\system\java.exe (XjeNCVcEOB)
2015-07-06 12:18 - 2015-07-19 11:46 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\Imminent
2015-07-06 11:57 - 2015-07-07 18:16 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\YSrQ1Vb72t6b
2015-07-06 11:18 - 2015-07-06 11:18 - 00000000 ____D C:\Program Files (x86)\Mozilla Firefox
2015-07-03 13:29 - 2015-07-03 13:29 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\chrome
2015-07-02 12:59 - 2015-07-02 12:59 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\y6bIXtKRz
2015-07-02 12:56 - 2015-07-18 16:14 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\bQ1Vb72t6bI
2015-06-27 15:12 - 2015-07-13 15:07 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\flash
2015-06-27 10:41 - 2015-06-27 11:06 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\LwXBSrQ
2015-06-27 10:36 - 2015-07-19 11:09 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\F7DA3C88-3694-4166-BD05-610B610F7083


Une fois, le texte coller dans le bloc-note.
Menu Fichier puis Enregistrer sous.
A gauche, place toi sur le bureau.F
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.

Relance FRST et clic sur le bouton Fix
Selon comment un redémarrage est nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur

Ensuite Ouvre Mon Ordinateur
puis le disque C
Ouvre le dossier FRST.
Dedans se trouve, le dossier Quarantine
Fais un clic droit dessus puis envoyer vers le dossier compressé.
Envoie le zip sur http://upload.malekal.com

0
Réponse 4 / 11
Toufou001 Messages postés 7 Date d'inscription dimanche 19 juillet 2015 Statut Membre Dernière intervention 20 juillet 2015
19 juil. 2015 à 21:36
Résultat Fixlog
Par contre Mozilla Firefox ne fonctionne plus ,il y a une partie du dossier qui a été mi en quarantaine dans le dossier FRST qui ce trouve en C (disque dur) est ce normal
Est ce que je peux le réinstaller ou faut -il attendre


Fix result of Farbar Recovery Scan Tool (x64) Version:18-07-2015 01
Ran by Fabien at 2015-07-19 21:15:29 Run:1
Running from C:\Users\Fabien\Desktop
Loaded Profiles: Fabien (Available Profiles: Fabien)
Boot Mode: Normal
==============================================

fixlist content:

Startup: C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\chrome.lnk [2015-07-03]
ShortcutTarget: chrome.lnk -> C:\Users\Fabien\AppData\Roaming\chrome\chrome.exe (sffffd)
Startup: C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\flash.lnk [2015-06-27]
ShortcutTarget: flash.lnk -> C:\Users\Fabien\AppData\Roaming\flash\flashplayer.exe (B9RwQ)
Startup: C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\h4gD8hIi9Fw.lnk [2015-07-02]
ShortcutTarget: h4gD8hIi9Fw.lnk -> C:\Users\Fabien\AppData\Roaming\y6bIXtKRz\XHJklNNL9.exe (QEDYm)
Startup: C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\IlNNL94gD8.lnk [2015-07-02]
ShortcutTarget: IlNNL94gD8.lnk -> C:\Users\Fabien\AppData\Roaming\bQ1Vb72t6bI\oXtKRzHJk.exe (No File)
Startup: C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\RHJklNNL.lnk [2015-07-06]
ShortcutTarget: RHJklNNL.lnk -> C:\Users\Fabien\AppData\Roaming\YSrQ1Vb72t6b\CIXtKRz.exe (No File)
Startup: C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\system32.lnk [2015-06-08]
ShortcutTarget: system32.lnk -> C:\Users\Fabien\AppData\Roaming\system\java.exe (XjeNCVcEOB)
2015-07-06 12:18 - 2015-07-19 11:46 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\Imminent
2015-07-06 11:57 - 2015-07-07 18:16 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\YSrQ1Vb72t6b
2015-07-06 11:18 - 2015-07-06 11:18 - 00000000 ____D C:\Program Files (x86)\Mozilla Firefox
2015-07-03 13:29 - 2015-07-03 13:29 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\chrome
2015-07-02 12:59 - 2015-07-02 12:59 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\y6bIXtKRz
2015-07-02 12:56 - 2015-07-18 16:14 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\bQ1Vb72t6bI
2015-06-27 15:12 - 2015-07-13 15:07 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\flash
2015-06-27 10:41 - 2015-06-27 11:06 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\LwXBSrQ
2015-06-27 10:36 - 2015-07-19 11:09 - 00000000 ____D C:\Users\Fabien\AppData\Roaming\F7DA3C88-3694-4166-BD05-610B610F7083


C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\chrome.lnk => moved successfully.
C:\Users\Fabien\AppData\Roaming\chrome\chrome.exe => moved successfully.
C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\flash.lnk => moved successfully.
C:\Users\Fabien\AppData\Roaming\flash\flashplayer.exe => moved successfully.
C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\h4gD8hIi9Fw.lnk => moved successfully.
C:\Users\Fabien\AppData\Roaming\y6bIXtKRz\XHJklNNL9.exe => moved successfully.
C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\IlNNL94gD8.lnk => moved successfully.
C:\Users\Fabien\AppData\Roaming\bQ1Vb72t6bI\oXtKRzHJk.exe not found.
C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\RHJklNNL.lnk => moved successfully.
C:\Users\Fabien\AppData\Roaming\YSrQ1Vb72t6b\CIXtKRz.exe not found.
C:\Users\Fabien\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\system32.lnk => moved successfully.
C:\Users\Fabien\AppData\Roaming\system\java.exe => moved successfully.
C:\Users\Fabien\AppData\Roaming\Imminent => moved successfully.
C:\Users\Fabien\AppData\Roaming\YSrQ1Vb72t6b => moved successfully.

"C:\Program Files (x86)\Mozilla Firefox" folder move:

Could not move "C:\Program Files (x86)\Mozilla Firefox" folder => Scheduled to move on reboot.

C:\Users\Fabien\AppData\Roaming\chrome => moved successfully.

"C:\Users\Fabien\AppData\Roaming\y6bIXtKRz" folder move:

Could not move "C:\Users\Fabien\AppData\Roaming\y6bIXtKRz" folder => Scheduled to move on reboot.

C:\Users\Fabien\AppData\Roaming\bQ1Vb72t6bI => moved successfully.

"C:\Users\Fabien\AppData\Roaming\flash" folder move:

Could not move "C:\Users\Fabien\AppData\Roaming\flash" folder => Scheduled to move on reboot.

C:\Users\Fabien\AppData\Roaming\LwXBSrQ => moved successfully.

"C:\Users\Fabien\AppData\Roaming\F7DA3C88-3694-4166-BD05-610B610F7083" folder move:

Could not move "C:\Users\Fabien\AppData\Roaming\F7DA3C88-3694-4166-BD05-610B610F7083" folder => Scheduled to move on reboot.


Result of scheduled files to move (Boot Mode: Normal) (Date&Time: 2015-07-19 21:17:21)<=

C:\Program Files (x86)\Mozilla Firefox => Is moved successfully
C:\Users\Fabien\AppData\Roaming\y6bIXtKRz => moved successfully
C:\Users\Fabien\AppData\Roaming\flash => moved successfully
C:\Users\Fabien\AppData\Roaming\F7DA3C88-3694-4166-BD05-610B610F7083 => Is moved successfully

End of Fixlog 21:17:21

0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 11
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 656
19 juil. 2015 à 21:46
Merci pour l'upload.
il y en a deux qui sont moyennement bien détectés.

Je les ai envoyés aux antivirus.


https://www.virustotal.com/gui/file/d15bfb11e71269ee1dc676b98fd3de953c490eb4ddf56df47e2a04d009da7a98

SHA256: d15bfb11e71269ee1dc676b98fd3de953c490eb4ddf56df47e2a04d009da7a98
Nom du fichier : c835d98b6a9b476ef4101b00f303745ef1f9d5e7.exe
Ratio de détection : 11 / 55
Date d'analyse : 2015-07-19 19:18:49 UTC (il y a 1 minute)

Votes
Antivirus Résultat Mise à jour
Ad-Aware Trojan.GenericKD.2577591 20150719
Arcabit Trojan.Generic.D2754B7 20150719
Avast Win32:Malware-gen 20150719
BitDefender Trojan.GenericKD.2577591 20150719
ESET-NOD32 a variant of MSIL/Injector.KJL 20150719
Emsisoft Trojan.GenericKD.2577591 (B) 20150719
Fortinet MSIL/Injector.KMG!tr 20150719
GData Trojan.GenericKD.2577591 20150719
Ikarus Trojan.MSIL.Stimilik 20150719
Kaspersky Trojan.MSIL.Inject.cbeb 20150719
MicroWorld-eScan Trojan.GenericKD.2577591 20150719

~~

SHA256: 365666507e1f2252c4b9a50649546f56d37fc085cf5288bc2315f0cab5ab87fe
Nom du fichier : ee1f95ad097815226719314861f288b45bee7e6f
Ratio de détection : 12 / 55
Date d'analyse : 2015-07-19 16:20:00 UTC (il y a 3 heures)

AVware Trojan.Win32.Generic!BT 20150719
Avast Win32:Malware-gen 20150719
Avira TR/Dridex.122240 20150717
Cyren W32/Trojan.QFKZ-6635 20150719
DrWeb Trojan.Dridex.155 20150719
Fortinet W32/Cridex.QSV!tr 20150719
Ikarus Trojan.Win32.Dridex 20150719
Kaspersky Worm.Win32.Cridex.qsv 20150719
McAfee Drixed-FAU!4A243F61F591 20150719
McAfee-GW-Edition Artemis!4A243F61F591 20150718
Panda Trj/Chgt.O 20150719
VIPRE Trojan.Win32.Generic!BT 20150719

~~~~~~~~~


Fais un scan en ligne NOD32 : https://www.malekal.com/scan-antivirus-ligne-nod32/#NOD32
Enregistre le rapport
Envoie le sur http://pjjoint.malekal.com
Donne le lien ici.

0
Réponse 6 / 11
Toufou001 Messages postés 7 Date d'inscription dimanche 19 juillet 2015 Statut Membre Dernière intervention 20 juillet 2015
Modifié par Toufou001 le 20/07/2015 à 00:32
Voici le scan en ligne de NOD32
https://pjjoint.malekal.com/files.php?id=20150719_d6g6u12o155

Bonne nuit
Je dois me coucher car demain je me lève de tôt
J'espère te retrouver demain pour continuer la désinfection
Je viens de m'apercevoir que j'arrive à nouveau à mettre les accent circonflexe et les tréma (ê ô ï )
Merci encore pour ton aide
0
Réponse 7 / 11
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 656
20 juil. 2015 à 07:58
Je pense que l'on est au bout.

Change tous tes mots de passe, ils ont été volés.

Fais un scan Malwarebytes ce soir en mettant les définitions virales à jour.

Fais attention à ce que tu télécharges (crack, keygen, cheater etc).
Les Rats se propagent comme cela.

Le reste de la sécurité : http://forum.malekal.com/comment-securiser-son-ordinateur.html
0
Réponse 8 / 11
Toufou001 Messages postés 7 Date d'inscription dimanche 19 juillet 2015 Statut Membre Dernière intervention 20 juillet 2015
20 juil. 2015 à 12:47
Salut Malekal_morte

Je crois qu'il y a encore un petit problème car MBAM détecte encore un Malware.Trace et un Stolen.Data au niveau du dossier dclogs dans C:\Users\Fabien\AppData\Roaming\dclogs
Quand je le supprime avec MBAM il revient toujours
Je te mets le dernier scan de MBAM en lien
https://pjjoint.malekal.com/files.php?id=20150720_d12o9k5y7h6
0
Réponse 9 / 11
Toufou001 Messages postés 7 Date d'inscription dimanche 19 juillet 2015 Statut Membre Dernière intervention 20 juillet 2015
20 juil. 2015 à 17:40
Ne fait pas attention à mon précédant message les fichiers ont bien été supprimé par MBAM plus aucune trace
Une dernière petite question, comment je fais pour supprimer FRST et AdwCleaner car les programmes sont sur le bureau mais il y a des dossiers sur mon disque dur C avec des fichiers en quarantaine dedans
Est ce que je fait clic droit supprimer ou y a t'il une autre solution
Merci de bien vouloir me répondre encore une fois ensuite je marque le sujet comme résolu
0
Réponse 10 / 11
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 656
20 juil. 2015 à 17:42
oui c'est les infos volés par le malware, donc il était encore une présent une dernière fois, comme on l'a viré, ça ne devrait pas revenir.

tu peux supprimer tous les dossiers.
0
Réponse 11 / 11
Toufou001 Messages postés 7 Date d'inscription dimanche 19 juillet 2015 Statut Membre Dernière intervention 20 juillet 2015
20 juil. 2015 à 17:55
Un grand MERCI pour tout
Bonne fin de journée
0
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 656
20 juil. 2015 à 17:56
Pas de soucis, bonne semaine!
0