Trojan/Svchost

Résolu
Antoine -  
 Antoine -
Bonjour,

Depuis hier mon Windows Defender détecte au démarrage (pas tout le temps) un trojan sur svchost.exe, de plus j'ai vois que dans le gestionnaire de taches le processus svchost.exe consomme près de 90% de mon CPU. J'ai fais des scans MalwareBytes et ZHP cleaner qui ont supprimé les menaces détectées cependant le problème persiste, enfin, de manière régulière mon PC se stoppe avec un écran bleu marqué "critical process died".
J'aimerais alors votre aide pour pouvoir nettoyer mon PC, merci.
A voir également:

6 réponses

Réponse 1 / 6
Malekal_morte- Messages postés 180304 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 685
 
J'ai complété l'analyse de ce pack sur la page : https://www.malekal.com/svchost-exe-forte-utilisation-cpu-trojan/
Il y a :
- Wajam Social2Search qui force un proxy
- un trojan miner à travers chrome en autre.
- Un Browser hijacker Quick Searcher
- divers autres trucs




Le svchost.exe qui bouffe aussi mal la CPU aussi



1
Antoine
 
Oups désolé pour le retard de cette réponses et merci beaucoup pour les précisions apportées je vais regarder ca de plus près
0
Réponse 2 / 6
Malekal_morte- Messages postés 180304 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 685
 
Salut,

Commence par FRST :

Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST,
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :
  • FRST.txt
  • Shortcut.txt
  • Additionnal.txt


Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ afin de les partager.
En retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.


0
Réponse 3 / 6
Antoine
 
Merci pour votre réponse rapide, voici les 3 liens pjjoint:

https://pjjoint.malekal.com/files.php?id=20180415_j7t5u14u510
https://pjjoint.malekal.com/files.php?id=FRST_20180415_l11p12c9f6s15
https://pjjoint.malekal.com/files.php?id=20180415_6o12y11d6g14
0
Antoine
 
cependant pendant l'analyse mon processeur était dans un état normal je peux essayer de la refaire lorsqu'il est a 90% de ses capacités si ça peut vous aider
0
Réponse 4 / 6
Malekal_morte- Messages postés 180304 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 685
 
Désinstalle
PandaViewer
Spybot (inefficace)


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci. 

CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-1260958878-1458534150-3049960127-1001\...\Run: [Blog] => C:\ProgramData\Blog\Blog.exe
2018-04-15 04:11 - 2018-04-15 04:13 - 000000000 ____D C:\AdwCleaner
2018-04-15 04:11 - 2018-04-15 04:11 - 008206624 _____ (Malwarebytes) C:\Users\Antoine\Downloads\adwcleaner-7-0-7-0.exe
2018-04-15 04:10 - 2018-04-15 04:32 - 000000000 ____D C:\Users\Antoine\AppData\Roaming\ZHP
2018-04-15 04:10 - 2018-04-15 04:10 - 000000000 ____D C:\Users\Antoine\AppData\Local\ZHP
2018-04-15 04:09 - 2018-04-15 04:34 - 000000000 __SHD C:\ProgramData\Flashm
2018-04-15 04:09 - 2018-04-15 04:09 - 000003676 _____ C:\WINDOWS\System32\Tasks\AdobeUpdatem
2018-04-15 04:07 - 2018-04-15 04:07 - 000632832 _____ C:\WINDOWS\ydnpqbitineafwxg.dll
2018-04-15 04:07 - 2018-04-15 04:07 - 000194048 _____ C:\Users\Antoine\AppData\Local\plsxc.dll
2018-04-15 04:07 - 2018-04-15 04:07 - 000003576 _____ C:\WINDOWS\System32\Tasks\{1249D9E5-1D2C-E1FA-95FF-AE2F163974CA}
2018-04-15 04:07 - 2018-04-15 04:07 - 000003072 _____ C:\Users\Antoine\AppData\Local\setup_NeoNetPlasma.exe
2018-04-15 04:07 - 2018-04-15 04:07 - 000000003 _____ C:\Users\Antoine\AppData\Local\wbem.ini
2018-04-15 04:07 - 2018-04-15 04:07 - 000000000 ____D C:\Program Files (x86)\CompanySmartApp
2018-04-14 01:15 - 2018-04-14 01:15 - 000726528 _____ C:\WINDOWS\3b782ed2a4875ce00e570c742dc39a06.exe
  EmptyTemp:
RemoveProxy:
Reboot:


Enregistre le contenu par le menu fichier puis enregistrer.

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.


2°)
Réinitialise/Répare les navigateurs WEB concernés par les problèmes :
0
Antoine
 
voila le fichier texte apparu:


Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 15.04.2018
Exécuté par Antoine (16-04-2018 14:45:10) Run:1
Exécuté depuis C:\Users\Antoine\Desktop
Profils chargés: Antoine & (Profils disponibles: Antoine)
Mode d'amorçage: Normal
==============================================

fixlist contenu:

CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-1260958878-1458534150-3049960127-1001\...\Run: [Blog] => C:\ProgramData\Blog\Blog.exe
2018-04-15 04:11 - 2018-04-15 04:13 - 000000000 ____D C:\AdwCleaner
2018-04-15 04:11 - 2018-04-15 04:11 - 008206624 _____ (Malwarebytes) C:\Users\Antoine\Downloads\adwcleaner-7-0-7-0.exe
2018-04-15 04:10 - 2018-04-15 04:32 - 000000000 ____D C:\Users\Antoine\AppData\Roaming\ZHP
2018-04-15 04:10 - 2018-04-15 04:10 - 000000000 ____D C:\Users\Antoine\AppData\Local\ZHP
2018-04-15 04:09 - 2018-04-15 04:34 - 000000000 __SHD C:\ProgramData\Flashm
2018-04-15 04:09 - 2018-04-15 04:09 - 000003676 _____ C:\WINDOWS\System32\Tasks\AdobeUpdatem
2018-04-15 04:07 - 2018-04-15 04:07 - 000632832 _____ C:\WINDOWS\ydnpqbitineafwxg.dll
2018-04-15 04:07 - 2018-04-15 04:07 - 000194048 _____ C:\Users\Antoine\AppData\Local\plsxc.dll
2018-04-15 04:07 - 2018-04-15 04:07 - 000003576 _____ C:\WINDOWS\System32\Tasks\{1249D9E5-1D2C-E1FA-95FF-AE2F163974CA}
2018-04-15 04:07 - 2018-04-15 04:07 - 000003072 _____ C:\Users\Antoine\AppData\Local\setup_NeoNetPlasma.exe
2018-04-15 04:07 - 2018-04-15 04:07 - 000000003 _____ C:\Users\Antoine\AppData\Local\wbem.ini
2018-04-15 04:07 - 2018-04-15 04:07 - 000000000 ____D C:\Program Files (x86)\CompanySmartApp
2018-04-14 01:15 - 2018-04-14 01:15 - 000726528 _____ C:\WINDOWS\3b782ed2a4875ce00e570c742dc39a06.exe
EmptyTemp:
RemoveProxy:
Reboot:


Erreur: (0) Impossible de créer un point de restauration.
Processus fermé avec succès.
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001\Software\Microsoft\Windows\CurrentVersion\Run\\Blog" => non trouvé(e)
C:\AdwCleaner => déplacé(es) avec succès
C:\Users\Antoine\Downloads\adwcleaner-7-0-7-0.exe => déplacé(es) avec succès
C:\Users\Antoine\AppData\Roaming\ZHP => déplacé(es) avec succès
C:\Users\Antoine\AppData\Local\ZHP => déplacé(es) avec succès
C:\ProgramData\Flashm => déplacé(es) avec succès
C:\WINDOWS\System32\Tasks\AdobeUpdatem => déplacé(es) avec succès
C:\WINDOWS\ydnpqbitineafwxg.dll => déplacé(es) avec succès
C:\Users\Antoine\AppData\Local\plsxc.dll => déplacé(es) avec succès
C:\WINDOWS\System32\Tasks\{1249D9E5-1D2C-E1FA-95FF-AE2F163974CA} => déplacé(es) avec succès
C:\Users\Antoine\AppData\Local\setup_NeoNetPlasma.exe => déplacé(es) avec succès
C:\Users\Antoine\AppData\Local\wbem.ini => déplacé(es) avec succès
C:\Program Files (x86)\CompanySmartApp => déplacé(es) avec succès
C:\WINDOWS\3b782ed2a4875ce00e570c742dc39a06.exe => déplacé(es) avec succès

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-04162018141956548\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-04162018141956548\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-04162018142107955\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-04162018142107955\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

BITS transfer queue => 7888896 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 76586291 B
Java, Flash, Steam htmlcache => 179079490 B
Windows/system/drivers => 233533329 B
Edge => 36309065 B
Chrome => 248461704 B
Firefox => 0 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 21270 B
NetworkService => 340926 B
Antoine => 16821059 B

RecycleBin => 0 B
EmptyTemp: => 762 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

Fin de Fixlog 14:46:02

0
Malekal_morte- Messages postés 180304 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 685 > Antoine
 
ok fais bien l'étape 2 et :

Fais un scan en ligne avec NOD32 puis enregistre le rapport. Envoie le sur https://pjjoint.malekal.com/ et donne le lien ici.
0
Antoine
 
Je suis désole mais le programme de scan se ferme directement après ouverture, de plus depuis aujourd’hui Malwarebytes m'avertit de ceci: http://www.casimages.com/i/180416043347228220.png.html
j'ai aussi jugé utile de vous montrer mon gestionnaire de taches :
http://www.casimages.com/i/180416043347285075.png.html
0
Malekal_morte- Messages postés 180304 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 685 > Antoine
 
ok fais cette correction FRST et le scan NOD32 :

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci. 

CreateRestorePoint:
CloseProcesses:
Task: {DF248F6D-2471-4088-8FAC-E742A6381BAD} - System32\Tasks\AdobeUpdatem => C:\Users\Antoine\AppData\Roaming\Microsoft\SystemCertificates\My\CTLs\Adobem\taskhostm.exe [2018-04-15] ()
C:\Users\Antoine\AppData\Roaming\Microsoft\SystemCertificates\My\CTLs\Adobem
  EmptyTemp:
RemoveProxy:
Reboot:


Enregistre le contenu par le menu fichier puis enregistrer.

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
0
Antoine
 
FRST se ferme aussi directement, tout comme chrome quand je vais sur le site malekal. Cela coincide vraiment aux periodes ou mon cpu est utilisé. Je peux reessayer a un autre moment si vous le voulez
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 6
Malekal_morte- Messages postés 180304 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 685
 
mouaip y a vraiment plus grand chose :/
Si ça continue, faudra réinitialiser Windows 10 ou attendre que NOD32 / Malwarebytes soient capables de le détecter.


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci. 

CreateRestorePoint:
CloseProcesses:
Task: {E07B7EC0-4C79-4B62-B2A7-1929E0E107EF} - \{1249D9E5-1D2C-E1FA-95FF-AE2F163974CA} -> Pas de fichier <==== ATTENTION
 2018-04-16 17:04 - 2018-04-16 17:04 - 000016651 _____ C:\Users\Antoine\Desktop\ZHPCleaner.html 
 2018-04-16 16:54 - 2018-04-16 17:04 - 000000000 ____D C:\Users\Antoine\AppData\Roaming\ZHP  
 2018-04-16 16:54 - 2018-04-16 16:54 - 000000879 _____ C:\Users\Antoine\Desktop\ZHPCleaner.lnk  
 2018-04-16 16:54 - 2018-04-16 16:54 - 000000000 ____D C:\Users\Antoine\AppData\Local\ZHP 
 2018-04-16 16:44 - 2018-04-16 16:45 - 000873532 _____ C:\WINDOWS\Minidump\041618-10421-01.dmp  
 2018-04-16 16:04 - 2018-04-16 16:04 - 000000000 ____D C:\Users\Antoine\AppData\Local\ESET  
 2018-04-16 15:57 - 2018-04-16 15:57 - 000000000 __SHD C:\ProgramData\Flashm 
 2018-04-15 06:09 - 2018-04-15 22:24 - 000000000 ____D C:\ProgramData\Spybot - Search & Destroy 
 2018-04-15 06:10 - 2018-04-15 06:10 - 000000000 ____D C:\WINDOWS\System32\Tasks\Safer-Networking 
  EmptyTemp:
RemoveProxy:
Reboot:


Enregistre le contenu par le menu fichier puis enregistrer.

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

0
Antoine
 
voila le rapport:
Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 15.04.2018
Exécuté par Antoine (17-04-2018 17:27:52) Run:6
Exécuté depuis C:\Users\Antoine\Desktop
Profils chargés: Antoine (Profils disponibles: Antoine)
Mode d'amorçage: Normal
==============================================

fixlist contenu:

CreateRestorePoint:
CloseProcesses:
Task: {E07B7EC0-4C79-4B62-B2A7-1929E0E107EF} - \{1249D9E5-1D2C-E1FA-95FF-AE2F163974CA} -> Pas de fichier <==== ATTENTION
2018-04-16 17:04 - 2018-04-16 17:04 - 000016651 _____ C:\Users\Antoine\Desktop\ZHPCleaner.html
2018-04-16 16:54 - 2018-04-16 17:04 - 000000000 ____D C:\Users\Antoine\AppData\Roaming\ZHP
2018-04-16 16:54 - 2018-04-16 16:54 - 000000879 _____ C:\Users\Antoine\Desktop\ZHPCleaner.lnk
2018-04-16 16:54 - 2018-04-16 16:54 - 000000000 ____D C:\Users\Antoine\AppData\Local\ZHP
2018-04-16 16:44 - 2018-04-16 16:45 - 000873532 _____ C:\WINDOWS\Minidump\041618-10421-01.dmp
2018-04-16 16:04 - 2018-04-16 16:04 - 000000000 ____D C:\Users\Antoine\AppData\Local\ESET
2018-04-16 15:57 - 2018-04-16 15:57 - 000000000 __SHD C:\ProgramData\Flashm
2018-04-15 06:09 - 2018-04-15 22:24 - 000000000 ____D C:\ProgramData\Spybot - Search & Destroy
2018-04-15 06:10 - 2018-04-15 06:10 - 000000000 ____D C:\WINDOWS\System32\Tasks\Safer-Networking
EmptyTemp:
RemoveProxy:
Reboot:


Erreur: (0) Impossible de créer un point de restauration.
Processus fermé avec succès.
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{E07B7EC0-4C79-4B62-B2A7-1929E0E107EF}" => supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E07B7EC0-4C79-4B62-B2A7-1929E0E107EF}" => supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{1249D9E5-1D2C-E1FA-95FF-AE2F163974CA}" => supprimé(es) avec succès
C:\Users\Antoine\Desktop\ZHPCleaner.html => déplacé(es) avec succès
C:\Users\Antoine\AppData\Roaming\ZHP => déplacé(es) avec succès
C:\Users\Antoine\Desktop\ZHPCleaner.lnk => déplacé(es) avec succès
C:\Users\Antoine\AppData\Local\ZHP => déplacé(es) avec succès
C:\WINDOWS\Minidump\041618-10421-01.dmp => déplacé(es) avec succès
C:\Users\Antoine\AppData\Local\ESET => déplacé(es) avec succès
C:\ProgramData\Flashm => déplacé(es) avec succès
C:\ProgramData\Spybot - Search & Destroy => déplacé(es) avec succès
C:\WINDOWS\System32\Tasks\Safer-Networking => déplacé(es) avec succès

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

BITS transfer queue => 7888896 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 13782267 B
Java, Flash, Steam htmlcache => 0 B
Windows/system/drivers => 874756 B
Edge => 0 B
Chrome => 146579403 B
Firefox => 0 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 0 B
NetworkService => 8282 B
Antoine => 140745 B

RecycleBin => 0 B
EmptyTemp: => 161.4 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

Fin de Fixlog 17:28:14

réinitialiser windows ne serait pas un problème pour moi sachant que je n'ai pas de fichiers vraiment importants non sauvegardés donc si c'est la meilleure solution..
0
Antoine
 
ah après cette dernière modif mon processeur a l'air de retour a la normale, pensez vous qu'une réinitialisation serait quand même utile ?
0
Malekal_morte- Messages postés 180304 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 685 > Antoine
 
Si ça ne revient pas non.
Par contre, tu devrais changer tes mots de passe.
Ce pack installe des trojans stealer.

C'est le même que là : https://www.malekal.com/svchost-exe-forte-utilisation-cpu-trojan/
0
Antoine
 
d'accord merci beaucoup pour votre aide ! je mets la conversation en résolu
0
Réponse 6 / 6
Malekal_morte- Messages postés 180304 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 685
 
un petit scan NOD32 dans deux trois jours histoire de.
Arrete les cracks =)


Quelques conseils :

Pour ne plus te faire avoir.
A lire - Programmes parasites / PUPs : Dossier Adwares/PUPs : programmes indésirables et parasites
(Surtout active les détections LPIs pour détecter les programmes parasites et publicitaires)



0
Antoine
 
hahaha promis ^^ et merci encore
0

Discussions similaires

Comment supprimer le virus Trojan
vitsou -
vitsou -

18 réponses
Aide pour un virus
cerise92700 -
MisteryBean -

41 réponses
Trojan impossible à supprimer!
Gridouu -
Malekal_morte- -

12 réponses
cheval de troie trojan
idnoder -
idnoder -

42 réponses
Trojan Csrss.exe
stevenw -
stevenw -

4 réponses