WinSnare, WinSAPSvc et jhdbca Résolu/Fermé

Question

Bonjour,
Je cherche à me débarrassé d'un virus qui ma infecté par mégarde de ma part.
Lorsque je fait une analyse avec adwcleaner, il enleve tout et jhdbca est toujour présent après. Je redemarre l'analyse 3 jour après et j'ai plein de logiciel installer tous seul.
J'ai lancé FRST dont voici les liens des fichier txt :
 - Addition => https://pjjoint.malekal.com/files.php?id=20170303_z13j6z12s10i6
 - FRST => https://pjjoint.malekal.com/files.php?id=FRST_20170303_13f8d14c14v7
 - Shortcut => https://pjjoint.malekal.com/files.php?id=20170303_d6k6v11c11j11
Est-ce que quelqu'un pourrais me fournir un fixlist s'il vous plait?
Merci ne serait-ce que de regarder

Malekal_morte- · Answer

Salut,
Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Ouvre le bloc-notes : Touche Windows + R, 
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit : 
CreateRestorePoint:CloseProcesses: 2017-02-24 12:59 - 2017-02-24 12:59 - 00000000 ____D C:\Windows\system32\{5B26ECAD-DCDB-49A7-9684-E5A3904117F0}  2017-02-24 12:57 - 2017-03-03 17:18 - 00000000 ____D C:\Program Files\BikaQRss  2017-02-24 12:57 - 2017-02-24 14:51 - 00000000 ____D C:\Windows\system32\{F9E76539-A8A2-4ADC-A465-7C8DE9852AB8}  2017-02-15 12:46 - 2017-02-15 12:46 - 00003120 _____ C:\Windows\LC9GCN9J.ocx   2017-02-14 14:04 - 2017-02-14 14:04 - 00000000 ____D C:\Program Files\Stancine  2017-02-14 14:02 - 2017-02-14 14:02 - 00000000 ____D C:\Program Files\Explorer  2017-02-14 12:01 - 2017-03-03 13:29 - 00000000 ____D C:\Program Files\zj5vwb3m  2017-02-14 12:01 - 2017-02-14 12:01 - 00000000 ____D C:\Program Files\bilibili R2 bilibili; C:\Program Files\bilibili\bilibili.dll [122880 2017-02-14] () [Fichier non signé] R2 iedvutils; C:\Program Files\Explorer\iedvutils.exe [64184 2017-01-22] ()  HKU\S-1-5-21-338012369-2913779271-3404537873-1000\...\Run: [1TN9W7937Z] => C:\Program Files\6NO83011XP\6NO83011X.exe  HKU\S-1-5-21-338012369-2913779271-3404537873-1000\...\Run: [comrepl] => C:\Users\Maint-siniat2\AppData\Roaming\com\comrepl.exe [7293280 2013-02-19] (TeamViewer GmbH) C:\Users\Maint-siniat2\AppData\Roaming\com HKU\S-1-5-21-338012369-2913779271-3404537873-1000\...\Run: [OWE8Y9MQOC] => C:\Program Files\FHO2PIWMMG\FHO2PIWMM.exe  HKU\S-1-5-21-338012369-2913779271-3404537873-1000\...\Run: [13WWSH1JKX] => C:\Program Files\BestCleaner\ZWIW7AS71R.exe <===== ATTENTION   HKLM\...\Providers\zj5vwb3m: C:\Program Files\Shoterkeerck Reports\local32spl.dll [278016 2017-01-27] ()  ShellExecuteHooks: Pas de nom - {B6DE7B40-DE3F-11E6-BEE0-64006A5CFC23} - C:\Users\Maint-siniat2\AppData\Roaming\Ckahsgrtle\Shacigh.dll -> Pas de fichier Task: {77D8C521-C729-42A9-954F-8947409B1989} - System32\Tasks\Shoterkeerck Reports => C:\Program Files\Thumly\prerwther.exe [2017-01-27] (Glarysoft Ltd) R2 bilibili; C:\Program Files\bilibili\bilibili.dll [122880 2017-02-14] () [Fichier non signé] C:\Program Files\ExplorerHosts:EmptyTemp:RemoveProxy:Reboot:
Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.
Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.
Redémarre l'ordinateur.
2/
Fais un nettoyage Malwarebytes -  Tutoriel Malwarebytes Anti-Malware version gratuite
3/
Refais un scan FRST et donne les rapports via pjjoint.
Veuillez appuyer sur une touche pour continuer la désinfection...

elpacha47 · Answer

Bonjour et merci de votre aide,
Voici le fixlog suite à la correction :
Résultats de correction de Farbar Recovery Scan Tool (x86) Version: 05-03-2017Exécuté par Maint-siniat2 (06-03-2017 07:55:09) Run:1Exécuté depuis C:\Users\Maint-siniat2\DesktopProfils chargés: Maint-siniat2 (Profils disponibles: Maint-siniat2)Mode d'amorçage: Normal==============================================fixlist contenu:CreateRestorePoint:CloseProcesses: 2017-02-24 12:59 - 2017-02-24 12:59 - 00000000 ____D C:\Windows\system32\{5B26ECAD-DCDB-49A7-9684-E5A3904117F0}  2017-02-24 12:57 - 2017-03-03 17:18 - 00000000 ____D C:\Program Files\BikaQRss  2017-02-24 12:57 - 2017-02-24 14:51 - 00000000 ____D C:\Windows\system32\{F9E76539-A8A2-4ADC-A465-7C8DE9852AB8}  2017-02-15 12:46 - 2017-02-15 12:46 - 00003120 _____ C:\Windows\LC9GCN9J.ocx   2017-02-14 14:04 - 2017-02-14 14:04 - 00000000 ____D C:\Program Files\Stancine  2017-02-14 14:02 - 2017-02-14 14:02 - 00000000 ____D C:\Program Files\Explorer  2017-02-14 12:01 - 2017-03-03 13:29 - 00000000 ____D C:\Program Files\zj5vwb3m  2017-02-14 12:01 - 2017-02-14 12:01 - 00000000 ____D C:\Program Files\bilibili R2 bilibili; C:\Program Files\bilibili\bilibili.dll [122880 2017-02-14] () [Fichier non signé] R2 iedvutils; C:\Program Files\Explorer\iedvutils.exe [64184 2017-01-22] ()  HKU\S-1-5-21-338012369-2913779271-3404537873-1000\...\Run: [1TN9W7937Z] => C:\Program Files\6NO83011XP\6NO83011X.exe  HKU\S-1-5-21-338012369-2913779271-3404537873-1000\...\Run: [comrepl] => C:\Users\Maint-siniat2\AppData\Roaming\com\comrepl.exe [7293280 2013-02-19] (TeamViewer GmbH) C:\Users\Maint-siniat2\AppData\Roaming\com HKU\S-1-5-21-338012369-2913779271-3404537873-1000\...\Run: [OWE8Y9MQOC] => C:\Program Files\FHO2PIWMMG\FHO2PIWMM.exe  HKU\S-1-5-21-338012369-2913779271-3404537873-1000\...\Run: [13WWSH1JKX] => C:\Program Files\BestCleaner\ZWIW7AS71R.exe <===== ATTENTION   HKLM\...\Providers\zj5vwb3m: C:\Program Files\Shoterkeerck Reports\local32spl.dll [278016 2017-01-27] ()  ShellExecuteHooks: Pas de nom - {B6DE7B40-DE3F-11E6-BEE0-64006A5CFC23} - C:\Users\Maint-siniat2\AppData\Roaming\Ckahsgrtle\Shacigh.dll -> Pas de fichier Task: {77D8C521-C729-42A9-954F-8947409B1989} - System32\Tasks\Shoterkeerck Reports => C:\Program Files\Thumly\prerwther.exe [2017-01-27] (Glarysoft Ltd) R2 bilibili; C:\Program Files\bilibili\bilibili.dll [122880 2017-02-14] () [Fichier non signé] C:\Program Files\ExplorerHosts:EmptyTemp:RemoveProxy:Reboot:Le Point de restauration a été créé avec succès.Processus fermé avec succès.C:\Windows\system32\{5B26ECAD-DCDB-49A7-9684-E5A3904117F0} => déplacé(es) avec succèsC:\Program Files\BikaQRss => déplacé(es) avec succèsC:\Windows\system32\{F9E76539-A8A2-4ADC-A465-7C8DE9852AB8} => déplacé(es) avec succèsC:\Windows\LC9GCN9J.ocx => déplacé(es) avec succèsC:\Program Files\Stancine => déplacé(es) avec succèsC:\Program Files\Explorer => déplacé(es) avec succèsC:\Program Files\zj5vwb3m => déplacé(es) avec succèsC:\Program Files\bilibili => déplacé(es) avec succèsbilibili => Service arrêté avec succès.HKLM\System\CurrentControlSet\Services\bilibili => clé supprimé(es) avec succèsbilibili => service supprimé(es) avec succèsHKLM\System\CurrentControlSet\Services\iedvutils => clé supprimé(es) avec succèsiedvutils => service supprimé(es) avec succèsHKU\S-1-5-21-338012369-2913779271-3404537873-1000\Software\Microsoft\Windows\CurrentVersion\Run\1TN9W7937Z => valeur supprimé(es) avec succèsHKU\S-1-5-21-338012369-2913779271-3404537873-1000\Software\Microsoft\Windows\CurrentVersion\Run\comrepl => valeur supprimé(es) avec succèsC:\Users\Maint-siniat2\AppData\Roaming\com => déplacé(es) avec succèsHKU\S-1-5-21-338012369-2913779271-3404537873-1000\Software\Microsoft\Windows\CurrentVersion\Run\OWE8Y9MQOC => valeur supprimé(es) avec succèsHKU\S-1-5-21-338012369-2913779271-3404537873-1000\Software\Microsoft\Windows\CurrentVersion\Run\13WWSH1JKX => valeur supprimé(es) avec succèsHKLM\SYSTEM\CurrentControlSet\Control\Print\Providers\zj5vwb3m => clé supprimé(es) avec succèsHKLM\SYSTEM\CurrentControlSet\Control\Print\Providers\order zj5vwb3m => supprimé(es) avec succèsHKLM\Software\Microsoft\Windows\CurrentVersion\explorer\ShellExecuteHooks\{B6DE7B40-DE3F-11E6-BEE0-64006A5CFC23} => valeur supprimé(es) avec succèsHKCR\CLSID\{B6DE7B40-DE3F-11E6-BEE0-64006A5CFC23} => clé non trouvé(e). HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{77D8C521-C729-42A9-954F-8947409B1989} => clé supprimé(es) avec succèsHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{77D8C521-C729-42A9-954F-8947409B1989} => clé supprimé(es) avec succèsC:\Windows\System32\Tasks\Shoterkeerck Reports => déplacé(es) avec succèsHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Shoterkeerck Reports => clé supprimé(es) avec succèsbilibili => service non trouvé(e)."C:\Program Files\Explorer" => non trouvé(e).C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succèsHosts restauré(es) avec succès.========= RemoveProxy: =========HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings => valeur supprimé(es) avec succèsHKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings => valeur supprimé(es) avec succèsHKU\S-1-5-21-338012369-2913779271-3404537873-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings => valeur supprimé(es) avec succèsHKU\S-1-5-21-338012369-2913779271-3404537873-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings => valeur supprimé(es) avec succès========= Fin de RemoveProxy: ==================== EmptyTemp: ==========BITS transfer queue => 0 BDOMStoree, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 56017775 BJava, Flash, Steam htmlcache => 0 BWindows/system/drivers => 5560490 BEdge => 0 BChrome => 0 BFirefox => 375182969 BOpera => 0 BTemp, IE cache, history, cookies, recent:Users => 0 BDefault => 0 BPublic => 0 BProgramData => 0 Bsystemprofile => 24053875 BLocalService => 66228 BNetworkService => 160936 BMaint-siniat2 => 393588391 BRecycleBin => 94862 BEmptyTemp: => 815.1 MB données temporaires supprimées.================================Le système a dû redémarrer.==== Fin de Fixlog 07:56:15 ====

Malekal_morte- · Answer

ok fais la suite pour voir :)

elpacha47 · Answer

Je suis en train de faire l'analyse malwarebyte, je vous dit des que c'est bon
Encore merci

elpacha47 · Answer

L'analyse s'est terminé sans rien trouvé
voici les rapport d'analyse de FRST:
addition : https://pjjoint.malekal.com/files.php?id=20170306_t15z12u14k7k12
shortcut : https://pjjoint.malekal.com/files.php?id=20170306_k15o11l10g7m6
FRST : https://pjjoint.malekal.com/files.php?id=FRST_20170306_z14z14i11l127

Malekal_morte- · Answer

Ca doit aller mieux.
Ces dossiers doivent pouvoir être supprimés :
C:\Users\Maint-siniat2\AppData\Roaming\Kyubey 
C:\Users\Maint-siniat2\AppData\Roaming\Help  
C:\Users\Maint-siniat2\AppData\Local\Help 
C:\Windows\system32\{B086809A-C4A0-4B6A-9131-514F7C104A6B}

elpacha47 · Answer

Le seul dossier non supprimable est :
C:\Users\Maint-siniat2\AppData\Roaming\Kyubey

elpacha47 · Answer

Merci pour ton aide une fois de plus et desolé de répondre en decousus,
Adwcleaner à reussi à supprimer Kyubey, il n'apparait plus dans les dossier meme apres un redemarrage.
Par contre maintenance j'ai un dossier infecter dans programme files, le dossier thumly
Sa n'était pas la avant les manip et c'est apparu après que adwcleaner ai supprimé kyubey et sa réapparait après chaque nettoyage adwcleaner.
Veut tu que je refasse une analyse FRST pour que tu te fasse une idée?

elpacha47 · Answer

J'ai effectué le fixlist, apres 2 redemarrage je n'ai plus rien de détecter, je reprendrai le poste si sa reviens dans la journé ou demain sinon je le passerais en résolus, Encore un grand merci car j'avais  pas envie de réinstallé tout le pc suite à une erreur bête de ma part.
Merci beaucoup

elpacha47 · Answer

Bonjour,
Me revoila car j'ai toujours des problèmes, je m'explique : 
Suite au manipulation précedente, l'ordinateur tournait bien, plus de logiciel malveillant etc....
Hélas ce matin je télécharge GIMP 2 sur le site officiel et la le drame recommence :
            - Firefox s'éteint et se rallume sur un moteur de recherche que je ne desire pas, le tout en automatique au démarrage
            - adblock plus detecte 37 menace alors qu'il n'y en avait pas au démarrage du PC
            - parmis c'est menace kyubey et revenu et winsnare aussi.
Je nettoie, je supprime les raccourci infecté, je reinit tout les navigateur et DNS, 5 min apres tout est anouveau présent.
Pouvez vous m'aider? Encore....
SVP
Merci beaucoup

Malekal_morte- · Answer

bha t'as pas dû le prendre sur le site officiel....
T'as plus qu'à recommencer
Malwarebytes puis ensuite FRST.

elpacha47 · Answer

voici le site du téléchargement : https://www.gimp.org/
et sans méchanceté ni arrogance, je pense m'y connaitre suffisamment pour savoir ce qui craint de ce qui est normal.
Voici les liens :
addition : https://pjjoint.malekal.com/files.php?id=20170309_x14c15n12b7b14
FRST : https://pjjoint.malekal.com/files.php?id=FRST_20170309_v14r8i13g10t9
shortcut : https://pjjoint.malekal.com/files.php?id=20170309_r8k12x9f5h15

Malekal_morte- · Answer

ouaip c'est bien Gimp :
 2017-03-09 12:44 - 2017-03-09 12:44 - 00000000 ____D C:\Windows\system32\{59506CA6-2987-4E4E-92D3-1D76EFE0C555} 
 2017-03-09 12:42 - 2017-03-09 12:47 - 77568952 _____ (The GIMP Team ) C:\Users\Maint-siniat2\Downloads\gimp-2.8.20-setup.exe 
Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Ouvre le bloc-notes : Touche Windows + R, 
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit : 
CreateRestorePoint:CloseProcesses: 2017-03-09 12:44 - 2017-03-09 12:44 - 00000000 ____D C:\Windows\system32\{59506CA6-2987-4E4E-92D3-1D76EFE0C555}  2017-03-09 12:42 - 2017-03-09 12:47 - 77568952 _____ (The GIMP Team ) C:\Users\Maint-siniat2\Downloads\gimp-2.8.20-setup.exe  R2 WinSAPSvc; C:\Users\Maint-siniat2\AppData\Roaming\WinSAPSvc\WinSAP.dll [184832 2017-03-09] (Windows) [Fichier non signé]  R2 WinSnare; C:\Users\Maint-siniat2\AppData\Roaming\WinSnare\WinSnare.dll [647168 2017-03-09] (InterSect Alliance Pty Ltd) [Fichier non signé] <==== ATTENTION  2017-03-09 13:04 - 2017-03-09 13:04 - 00000000 ____D C:\Users\Maint-siniat2\AppData\Roaming\WinSnare  2017-03-09 13:04 - 2017-03-09 13:04 - 00000000 ____D C:\Users\Maint-siniat2\AppData\Roaming\WinSAPSvc  2017-03-09 13:04 - 2017-03-09 13:04 - 00000000 ____D C:\Users\Maint-siniat2\AppData\Roaming\Kyubey  2017-03-09 13:04 - 2017-03-09 13:04 - 00000000 ____D C:\Program Files\WinSnare(4.2.7)  2017-03-09 12:52 - 2017-03-09 12:52 - 00000000 ____D C:\Windows\system32\{1011B9E6-23BD-4A2A-B6F4-882640AE3360}  2017-03-09 12:44 - 2017-03-09 13:04 - 00000000 _____ C:\Windows\system32\4  2017-03-09 12:44 - 2017-03-09 13:04 - 00000000 _____ C:\Windows\system32\3  2017-03-09 12:44 - 2017-03-09 12:44 - 00000000 ____D C:\Windows\system32\{59506CA6-2987-4E4E-92D3-1D76EFE0C555} Hosts:RemoveProxy:Reboot:
Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.
Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.
Redémarre l'ordinateur.
2°)
Réinitialise/Répare les navigateurs WEB concernés par les problèmes :

 Réparer Mozilla Firefox (premier paragraphe)
 Réparer Google Chrome (seulement le premier paragraphe).
 Réinitialiser et réparer Internet ExplorerVeuillez appuyer sur une touche pour continuer la désinfection...

elpacha47 · Answer

c'est fait, voila le retour :
https://pjjoint.malekal.com/files.php?id=20170309_q8l5e9d7i8

elpacha47 · Answer

Bonjour,
Les manipulation de la veille ont bien marché mais 5min après redemarrage ce matin, les programme indesirable sont réapparut sans meme navigation web.
Je présume qu'il y a un programme qui est introuvable par FRST ou autre.
Je fait une derniere tentative et apres je formate et je reinstalle tout
Voici les rapport FRST :https://pjjoint.malekal.com/files.php?id=FRST_20170310_o7b8r6k8r7
Addittion : https://pjjoint.malekal.com/files.php?id=20170310_e11c5v14s12r5
Modif : Apres annalyse de mon ordinateur, dans msconfig : kyubey, winsnare, et winsasp sont actif, je réessaye un nettoyage après suppression des élement indésirale

Malekal_morte- · Answer

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Ouvre le bloc-notes : Touche Windows + R, 
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit : 
CreateRestorePoint:CloseProcesses: C:\Users\Maint-siniat2\AppData\Roaming\Kyubey 2017-03-10 08:13 - 2017-03-10 08:13 - 00000000 ____D C:\Windows\system32\{46A44D5D-BBC2-419F-9447-25B4F7209F3B}  2017-03-10 08:13 - 2017-03-10 08:13 - 00000000 ____D C:\Users\Maint-siniat2\AppData\Roaming\WinSnare  2017-03-10 08:13 - 2017-03-10 08:13 - 00000000 ____D C:\Users\Maint-siniat2\AppData\Roaming\WinSAPSvc  2017-03-10 08:13 - 2017-03-10 08:13 - 00000000 ____D C:\Users\Maint-siniat2\AppData\Roaming\Kyubey  2017-03-10 08:13 - 2017-03-10 08:13 - 00000000 ____D C:\Program Files\WinSnare(4.2.7)  2017-03-10 08:13 - 2017-03-10 08:13 - 00000000 ____D C:\Program Files\MIO   2017-03-10 08:13 - 2017-03-10 08:13 - 00000000 _____ C:\Windows\system32\4  2017-03-10 08:13 - 2017-03-10 08:13 - 00000000 _____ C:\Windows\system32\3  R2 WinSAPSvc; C:\Users\Maint-siniat2\AppData\Roaming\WinSAPSvc\WinSAP.dll [184832 2017-03-09] (Windows) [Fichier non signé]  R2 WinSnare; C:\Users\Maint-siniat2\AppData\Roaming\WinSnare\WinSnare.dll [647168 2017-03-09] (InterSect Alliance Pty Ltd) [Fichier non signé] <==== ATTENTION  R2 Kyubey; C:\Users\Maint-siniat2\AppData\Roaming\Kyubey\Kyubey.exe [116224 2017-03-09] () [Fichier non signé]  ShortcutWithArgument: C:\Users\Maint-siniat2\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mozilla Firefox.lnk -> C:\Program Files\Mozilla Firefox\firefox.exe (Mozilla Corporation) -> hxxp://www.startpageing123.com/?type=sc&ts=1489129999&z=6a7d49f0ae61ac50d3df4c1g9zbb7tdg2o7t9t7tfq&from=pr0302&uid=WDCXWD2500BEKT-60PVMT0_WD-WXA1AA0K6560K6560ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk -> C:\Program Files\Mozilla Firefox\firefox.exe (Mozilla Corporation) -> hxxp://www.startpageing123.com/?type=sc&ts=1489129999&z=6a7d49f0ae61ac50d3df4c1g9zbb7tdg2o7t9t7tfq&from=pr0302&uid=WDCXWD2500BEKT-60PVMT0_WD-WXA1AA0K6560K6560Hosts:EmptyTemp:RemoveProxy:Reboot:
Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.
Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.
Redémarre l'ordinateur.

elpacha47 · Answer

Voici le resultat de mes tentative poussé :
           - Mise en oeuvre du fixlist OK
           - Suppression des service kyubey, winsnare... via msconfig manuellement car toujour présent apres le fix
           -Suppression des relica avec adwCleaner
           - Boot sur ubuntu et lancement d'analyse ClamAV => 2 trojan dans le system windows
           - Suppression depuis la console ubuntu des executable indésirable
           - Redémarrage de windows avec analyse adwcleaner apres le demarrage
           - Recherche d'anomalie quelconque RAS, pas de nouveau service
           - Reinit des navigateur
           - Téléchargement de VLC pour tester si rien ne passe lors d'un Download => Rien de suspect
Cela fait 15min que windows tourne pour le moment et sans apparition de programme ou de pae web non désirable.
Je passerai le post en résolut si cette etat est définitif
PS : Le trojan trouvé (en double exemplaire) portait le même nom q'un service windows (sdclt.exe)

Malekal_morte- · Answer

Les analyses Clamav sont totalement inutiles.
Clamav est trop faible.

elpacha47 · Answer

je connait pas car je n'utilisa jamais windows d'hab, c'est le pc du boulot.
Une chose de sur c'est que mon pc n'est toujours pas infester depuis clamAV, et en plus l'analyse depuis ubuntu permet d'acceder à la totalité du disque vu qu'il n'est pas en cours d'utilisation.
Juste apres le fix, tout est revenu au redemarrage donc y a bien un service windows infesté.
Je te donnerai le retour lundi au plus tard

elpacha47 · Answer

Alors resultat de divers test : 
      - Pas de soucie depuis suppression Trojan
      - Remise en place du trojan
      - Suite à redemarrage, tout réapparait
      - Impossible de regler quoique se soit sa reapparait apres chaque redemarrage
      - Suppression du trojan a nouveau
      - AwdCleaner arrive a supprimer definivement les malwares sans intervention de FRST
      - J'ai reinitialisé mon navigateur et tout roule a merveille a nouveau.
Verdicte => J'ai installé un faut pilote qui à pris la place du programme SDCTL.exe present dans le system32 et dans Winsxs qui avait pour but d'installer des malwares et de les maintenir en place.
Solution qui a marché pour moi :
           - Faire une analyse en mode externe (facile dans mon cas car dualboot) et supprimé les fichier detecter (remplacer l'extension par autre chose comme OLD afin de pouvoir le restituer au cas ou)
           - Redémarrer et desinfecter puis redemarrer
Merci pour ton aide et bon courage pour la suite
PS : Malwarebyte, avast, kapersky et antivir non pas reussi à trouver un virus même depuis ubuntu => les resultats était toujour les mêmes, pas de menace sur cette ordi.
ClamAV a fait l'analyse en x2 moins de temps et à trouvé 2 trojans sur implanté parmis les services de windows.
Chacun en tire les conclusions qu'il veut mais dans tout les cas ce qui ce voit n'est pas toujours ce qu'il faut traité.

WinSnare, WinSAPSvc et jhdbca

20 réponses

Discussions similaires