trojan et demande de telechargement d un fichier bizarre Résolu/Fermé

Question

Bonjour, 
une page s est ouverte sur mon pc en me demandant de telecharger un fichier pour améliorer firefox . voici l adresse:   https://uutusnetworkeddirectory.net/2371512399097/1a11c6fcc0f65b2df70ca67dc1c76bfd/fb21780abdd14934f8207365cab218a3.html
quand je l ai executé un tableau noir avec des chiffres et des lettres s est affiché c est la que j ai tout eteint.
je cherche a supprimer ce fichier mais il est introuvable sur mon pc
pourriez vous m aider s il vous plait dans le cas ou ce fichier serait dangereux
merci beaucoup



Configuration: Windows / Firefox 53.0

Malekal_morte- · Answer

Salut,

Fais ceci :


Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 3 rapports FRST seront générés :

 FRST.txt
 Shortcut.txt
 Additionnal.txt

Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

fredo1968 · Answer

rebonjour et merci beaucoup
voici les liens avec un peu de retard vu ma grande maitrise de l informatique :
https://pjjoint.malekal.com/files.php?id=FRST_20170510_p15r10x15y10b13
https://pjjoint.malekal.com/files.php?id=20170510_h6c10r15k10w14
https://pjjoint.malekal.com/files.php?id=20170510_y8g13g5s14r6

malwarebyte m a detecté un rootkit fileless mt gen  que j ai mis en quarantaine et le fameux fichier bizarre est firefox-update.js

Malekal_morte- · Answer

1/

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R, 
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit : 

CreateRestorePoint:CloseProcesses: HKU\S-1-5-21-1667307253-3214605762-2185256153-1001\...\Run: [CCleaner Monitoring] => C:\Program Files\CCleaner\CCleaner64.exe [9288408 2016-12-06] (Piriform Ltd)  Startup: C:\Users\fred\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\6fe7fed.lnk [2017-05-10]ShortcutTarget: 6fe7fed.lnk -> C:\Users\fred\AppData\Local\3faae5c\e1fc998.476beaf2 ()2017-05-10 17:51 - 2017-05-10 17:58 - 00000000 ____D C:\Users\fred\AppData\Local\8b62fed4d2017-05-10 17:24 - 2017-05-10 18:27 - 00000000 ____D C:\Users\fred\AppData\Local\3faae5cHosts:RemoveProxy:Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

2/

Ouvre "Mon Ordinateur " puis le disque "C" puis le dossier "FRST" 
Dedans se trouve, le dossier "Quarantine", fais un clique droit dessus,
Puis sélectionne dans le menu "Envoyer vers le dossier compressé"
Envoie ensuite le "Quarantine.zip" sur http://upload.malekal.com/
 
 
Veuillez appuyer sur une touche pour continuer la désinfection...

fredo1968 · Answer

re
excusez moi mais pour corriger il faut cocher shortlist aussi ?
merci

fredo1968 · Answer

re, 
voici le fixlist
https://pjjoint.malekal.com/files.php?id=20170510_d1514l13t10b7

j ai envoyé le fichier de quarantaine mais il met du temps a arriver ca rame depuis 10 minutes

merci beaucoup

fredo1968 · Answer

138334 ko

fredo1968 · Answer

rebonjour
tu penses qu il y avait des trucs mechants?

fredo1968 · Answer

je viens de faire un scan avec malwarebytes , il a detecté rootkit fileless mt gen , comme hier et pourtant je le avais mis en quarantaine , ils sont revenus !
pour le fichier volumineux d hier je peux te l envoyer avec mon-partage.fr mais ils demandent une adresse mail ou l envoyer

merci beaucoup

fredo1968 · Answer

re, 
voici la nouvelle analyse FRST /

https://pjjoint.malekal.com/files.php?id=20170511_r6u11j13w7p13

https://pjjoint.malekal.com/files.php?id=FRST_20170511_n8o9j11e15k14

https://pjjoint.malekal.com/files.php?id=20170511_s10m12i12r1315

Malekal_morte- · Answer

c'est revenu,

Installe Avast! antivirus
il va peut-être détecter la menace.

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R, 
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit : 

CreateRestorePoint:CloseProcesses: 2017-05-10 20:42 - 2017-05-10 20:54 - 00000000 ____D C:\Users\fred\AppData\Local\8b62fed4d  2017-05-10 20:15 - 2017-05-11 14:58 - 00000000 ____D C:\Users\fred\AppData\Local\3faae5c Startup: C:\Users\fred\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\6fe7fed.lnk [2017-05-10]  ShortcutTarget: 6fe7fed.lnk -> C:\Users\fred\AppData\Local\3faae5c\e1fc998.476beaf2 () Hosts:EmptyTemp:RemoveProxy:Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

fredo1968 · Answer

re, 
voici le rapport:
entre temps windows defender m avertis qu il a trouve un programme malveillant et qu il procede a sa suppression et ca 10 fois d affilee.

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 08-05-2017
Exécuté par fred (11-05-2017 16:20:03) Run:2
Exécuté depuis C:\Users\fred\Desktop
Profils chargés: fred (Profils disponibles: fred)
Mode d'amorçage: Normal
==============================================

fixlist contenu:



CreateRestorePoint:
CloseProcesses:
 2017-05-10 20:42 - 2017-05-10 20:54 - 00000000 ____D C:\Users\fred\AppData\Local\8b62fed4d 
 2017-05-10 20:15 - 2017-05-11 14:58 - 00000000 ____D C:\Users\fred\AppData\Local\3faae5c
 Startup: C:\Users\fred\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\6fe7fed.lnk [2017-05-10]  
ShortcutTarget: 6fe7fed.lnk -> C:\Users\fred\AppData\Local\3faae5c\e1fc998.476beaf2 () 
Hosts:
EmptyTemp:
RemoveProxy:
Reboot:



Erreur: (0) Impossible de créer un point de restauration.
Processus fermé avec succès.
C:\Users\fred\AppData\Local\8b62fed4d => déplacé(es) avec succès
C:\Users\fred\AppData\Local\3faae5c => déplacé(es) avec succès
C:\Users\fred\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\6fe7fed.lnk => déplacé(es) avec succès
ShortcutTarget: 6fe7fed.lnk -> C:\Users\fred\AppData\Local\3faae5c\e1fc998.476beaf2 () => non trouvé(e).
C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

========= RemoveProxy: =========

HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-1667307253-3214605762-2185256153-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-1667307253-3214605762-2185256153-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings => valeur supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

BITS transfer queue => 2484228 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 12036461 B
Java, Flash, Steam htmlcache => 506 B
Windows/system/drivers => 14654 B
Edge => 1910 B
Chrome => 0 B
Firefox => 28945662 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 128 B
systemprofile32 => 0 B
LocalService => 0 B
NetworkService => -660 B
fred => 6733228 B

RecycleBin => 567 B
EmptyTemp: => 47.9 MB données temporaires supprimées.

================================


Le système a dû redémarrer.
 Fin de Fixlog 16:20:09

fredo1968 · Answer

oui je l installe de suite la, en plus malwarebytes me l a detecte encore alors que ca fait 3 fois que je le met en quarantaine

Malekal_morte- · Answer

ok si Avast! ne le supprime pas,
vu que tu n'as pas grand chose d'installé
tu peux réinitialiser Windows.
=> Comment réinitialiser Windows 10

fredo1968 · Answer

avast plante grave donc je vais reinitialiser
en reinitialisant je n entendrai plus parler de virus?

en tout cas merci beaucoup pour ton aide
je te tiens au courant 
a+

fredo1968 · Answer

re,
apres reinitialisation , mbam ne detecte plus rien, j ai changé les mots de passe paypal, eBay mais dois je changer les mots de passe de mes adresses mail?
j ai fait un scan frst le voila :
merci beaucoup.

https://pjjoint.malekal.com/files.php?id=20170511_u13g9r6n6r8

https://pjjoint.malekal.com/files.php?id=FRST_20170511_t13s15k5y5n15

https://pjjoint.malekal.com/files.php?id=20170511_p15f7m9k9f11

Malekal_morte- · Answer

ouaip c'est good,

oui aussi pour tes mails :) 
 
Veuillez appuyer sur une touche pour continuer la désinfection...

fredo1968 · Answer

bonjour
d accord merci beaucoup pour ton aide c est super gentil.

et donc je peux  supprimer aussi tous les rapports ,le logitiel FRST et le dossier qu il y a dans C: avec la quarantaine ?

fredo1968 · Answer

re,
merci infiniment pour ton aide
a bientot

Trojan et demande de telechargement d un fichier bizarre

18 réponses

Fin de Fixlog 16:20:09

Discussions similaires