Fichier infecté par un Trojan ou faux positif ? Résolu/Fermé

Question

Bonjour à tous,

J'aurais besoin que vous m'éclairiez sur la démarche à suivre en cas de mise en quarantaine d'un fichier infecté par un "trojan".
En voulant lancer un fichier, Avast l'a mis en quarantaine, je souhaiterais avoir votre avis sur ce trojan, et savoir si c'est un véritable malware ou si c'est un faux positif, car c'est la toute première fois qu'en lançant ce fichier j'ai ce problème.

Nom de la menace: Win32:Banker-LZO[Trj]

Je ne sais pas si vous avez besoin du nom du fichier infecté?
J'ai analysé avec Malwarebytes mais il ne détecte aucun fichier infecté.
Je souhaiterais réparer et/ou restaurer ce fichier afin de l'utiliser à nouveau, comment faire?

Merci de votre aide.

bazfile · Answer

Bonjour.
Vu que tu ne dis pas de quel fichier il s'agit, analyse ce fichier sur https://www.virustotal.com/gui/home/upload voit tutoriel ci-dessous.
Il sera analysé par plusieurs dizaines d'antivirus et comme ça tu auras ta réponse.
Voir aussi https://support.avast.com/fr-fr/article/use-antivirus-quarantine/

Va sur le site VirusTotal, tu cliques sur Choose file tu choisis ton fichier si le fichier a déjà été analysé clique sur la petite flèche comme sur la deuxième photo une fois l'analyse terminée une page de résultat apparaîtra donne-moi le lien de cette page dans ta réponse.

Si besoin clique sur les images pour les agrandir

dems57 · Answer

Bonjour Bazfile,

Déjà je tenais à te remercier pour tes conseils et ton aide, c'est très sympa de ta part.

J'ai déjà analysé le fichier soi disant "infecté" hier soir sur Virustotal, et le résultat a été concluant car aucun antivirus ne l'a détecté comme potentiellement dangereux.

Ensuite j'ai envoyé le fichier au Laboratoire d'analyse d'Avast en leur demandant si c'était un faux positif ou un malware, mais apparemment il ne répondent que très rarement et ne délivrent pas leurs résultats. 
"REMARQUE :Dans la plupart des cas, les Laboratoires de menaces Avast traitent le fichier sans vous envoyer de réponse."

Le fichier est le suivant: Winamax\wlauncher.exe

Comment savoir si je peux finalement le restaurer? Dois-je désinstaller l'application Winamax, supprimer le fichier "infecté" et réinstaller l'application? Est-ce safe cette façon de procéder?

dems57 · Answer

J'ai bien cliqué sur réanalyser, et voici le résultat:
https://www.virustotal.com/gui/file/3500cc7c7d9d15ddc1e4fb0bd0ec31223c074f1ea23fa5aa96cc5030a92d9354?nocache=1

Je suis en train de scanner mon PC sur ESET online scanner pour vérifier qu'aucun virus/malware n'est présent.

dems57 · Answer

J'ai juste une question concernant l'analyse avec "virustotal", vu que le fichier a été placé en quarantaine chez Avast, est-ce que virustotal peut encore détecter si le fichier est infecté? Désolé la question doit te paraître totalement idiote mais je suis un noob en info.

dems57 · Answer

L'analyse Eset est en train de se terminer, pour l'instant aucun fichier de mon PC n'est infecté.

Comme tu me l'as demandé, voici les deux rapports générés par FRST64:

-FRST :     https://www.cjoint.com/c/LFxjDUhjzIO

-Addition:    https://www.cjoint.com/c/LFxjET6rwCO

Je te remercie énormément pour ton aide et ta réactivité. C'est vraiment très sympa à toi de me filer un coup de main.
Merci beaucoup

dems57 · Answer

1- "Il y a des politiques de restrictions logicielles sur ton pc est-ce toi qui les a configuré ?"
Là je t'avoue que je suis un peu dépassé quant à ta question.
Il est possible que ce soit moi qui les ai configuré en suivant certainement les instructions d'un site pour paramétrer de façon optimale certaines choses mais vraiment je n'en suis pas certain. Je ne sais pas du tout à quoi ça correspond exactement les "restrictions logicielles". Désolé, je ne peux pas te répondre de façon certaine sur cette question.

2- "Tu as 8 versions de Winamax installées sur ton pc il serait préférable de ne garder que la plus récente."
Je veux bien ne garder que la plus récente, mais tu peux juste me guider quant aux manips à effectuer stp? Merci d'avance

Quant à la version de Windows 10, je pensais qu'elle était à jour, je fais très attention aux mises à jour que ce soit Windows update ou Avast ou Malwarebytes. 

J'ai installé Revo Uninstaller, il faudrait que je l'utilise bien mieux et bien plus souvent, je sais que j'ai pas mal de processus obsolètes ou orphelins, mais je t'avoue avoir toujours peur de supprimer un truc "important" et que le PC foire par la suite :)

Merci vraiment pour tout ce que tu fais et surtout la rapidité avec laquelle tu me réponds. Sache que j'apprécie grandement ;)

bazfile · Answer

Le script qui suit va supprimer les restrictions logicielles et les processus obsolètes.

Procédure à faire dans l'ordre indiqué :

1- Ouvre FRST en tant qu'administrateur pour cela avec le bouton droit de ta souris sur FRST et choisis exécuter en tant qu'administrateur
2 - Copie l'intégralité du script qui est dans l'encadré qui suit :
Start::CreateRestorePoint:CloseProcesses:HKLM Group Policy restriction on software: %systemroot%\system32\mrt.exe HKLM Group Policy restriction on software: %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%HKLM Group Policy restriction on software: %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir%HKLM\SOFTWARE\Policies\Mozilla\Firefox: RestrictionHKLM\SOFTWARE\Policies\Google: Restriction ShellIconOverlayIdentifiers: [DropboxExt1] -> {FB314ED9-A251-47B7-93E1-CDD82E34AF8B} =>  -> Pas de fichierShellIconOverlayIdentifiers: [DropboxExt2] -> {FB314EDA-A251-47B7-93E1-CDD82E34AF8B} =>  -> Pas de fichierShellIconOverlayIdentifiers: [DropboxExt3] -> {FB314EDB-A251-47B7-93E1-CDD82E34AF8B} =>  -> Pas de fichierShellIconOverlayIdentifiers: [DropboxExt4] -> {FB314EDC-A251-47B7-93E1-CDD82E34AF8B} =>  -> Pas de fichierContextMenuHandlers1: [Glary Utilities] -> {B3C418F8-922B-4faf-915E-59BC14448CF7} => C:\Program Files (x86)\Glary Utilities 5\x64\ContextHandler.dll -> Pas de fichierContextMenuHandlers2: [Glary Utilities] -> {B3C418F8-922B-4faf-915E-59BC14448CF7} => C:\Program Files (x86)\Glary Utilities 5\x64\ContextHandler.dll -> Pas de fichierContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> Pas de fichierContextMenuHandlers6: [Glary Utilities] -> {B3C418F8-922B-4faf-915E-59BC14448CF7} => C:\Program Files (x86)\Glary Utilities 5\x64\ContextHandler.dll -> Pas de fichierSearchScopes: HKU\S-1-5-21-4207453623-3039741790-1391271590-1002 -> DefaultScope {77AA745B-F4F8-45DA-9B14-61D2D95054C8} URL = SearchScopes: HKU\S-1-5-21-4207453623-3039741790-1391271590-500 -> DefaultScope {77AA745B-F4F8-45DA-9B14-61D2D95054C8} URL = Toolbar: HKLM - Pas de nom - {CC1A175A-E45B-41ED-A30C-C9B1D7A0C02F} -  Pas de fichierHKLM\software\microsoft\Windows\CurrentVersion\Telephony\Providers => ProviderFileName2 -> ndptsp.tsp (Pas de fichier)Edge Extension: (Pas de nom) -> AutoFormFill_5ED10D46BD7E47DEB1F3685D2C0FCE08 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\AutoFormFill [non trouvé(e)]Edge Extension: (Pas de nom) -> BookReader_B171F20233094AC88D05A8EF7B9763E8 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\BookViewer [non trouvé(e)]Edge Extension: (Pas de nom) -> LearningTools_7706F933-971C-41D1-9899-8A026EB5D824 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\LearningTools [non trouvé(e)]Edge Extension: (Pas de nom) -> PinJSAPI_EC01B57063BE468FAB6DB7EBFC3BF368 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\PinJSAPI [non trouvé(e)]FF Extension: (Avira Browser Safety) - C:\Users\Christopher\AppData\Roaming\Mozilla\Firefox\Profiles\bpOnwMY0.default\Extensions\abs@avira.com [2015-01-25] [] [non signé]FF HKLM-x32\...\Thunderbird\Extensions: [msktbird@mcafee.com] - C:\Program Files\McAfee\MSK => non trouvé(e)CHR HKLM\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk]CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck]CHR HKLM-x32\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk]HKLM-x32\...\Run: [UpdatePSTShortCut] => "C:\Program Files (x86)\Cyberlink\DVD Suite\MUITransfer\MUIStartMenu.exe" "C:\Program Files (x86)\Cyberlink\DVD Suite" UpdateWithCreateOnce "Software\CyberLink\PowerStarter" (Pas de fichier)Task: {00A1662A-6E9A-4CB1-9A40-18C5654B9506} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> Pas de fichier Task: {13FF4696-5853-4FCE-A7D2-0E0CA49BB197} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> Pas de fichier Task: {291A3AA0-F353-4B40-8BBA-AE831F918547} - System32\Tasks\CreateChoiceProcessTask => C:\Windows\BrowserChoice\browserchoice.exe /launch (Pas de fichier)Task: {352E6CA0-7314-4DF4-89C4-682368D80D57} - System32\Tasks\Microsoft\Windows\Workplace Join\Automatic-Workplace-Join => C:\WINDOWS\System32\AutoWorkplace.exe join (Pas de fichier)Task: {3A913A8A-6978-4E73-9CFE-5DB520170AA8} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> Pas de fichier Task: {3FAACBA3-F0D0-442A-9A31-99F663762430} - System32\Tasks\AVAST Software\Avast settings backup => C:\Program Files\Common Files\AV\avast! Antivirus\backup.exe /backup /iavs (Pas de fichier)Task: {77DBD76C-2110-4486-98F8-0CB7178F7B10} - System32\Tasks\START SKYDRIVE => C:\WINDOWS\System32\SkyDrive.exe (Pas de fichier)Task: {7A8E43A5-3E35-44B2-A057-22DCBDEB5D49} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> Pas de fichier Task: {821DC195-635D-4632-B2CD-0F7C2E01300A} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> Pas de fichier Task: {849FD21F-0875-4BC6-ACDC-639F4014B017} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> Pas de fichier Task: {A7870CB5-97AF-4368-B2A2-36EF71D85169} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> Pas de fichier Task: {C7241C3C-7072-4F93-80B7-E2FAE9EFD6F0} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> Pas de fichier Task: {C8F58291-62AF-4AAA-8949-FE864E6D3C30} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> Pas de fichier Task: {CEA37A6C-44DA-4332-BC86-29224414A457} - System32\Tasks\ASUS InstantOn Config => C:\Program Files\ASUS\P4G\InsOnCfg.exe (Pas de fichier)Task: {DC558CD7-C985-41F2-A1EA-159CD743FE62} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> Pas de fichier Task: {F05B8A04-E066-43B0-9E21-25005F6DC1CC} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> Pas de fichier Task: {F20B765C-DEA5-4597-B2D0-CE74E2B0E287} - \Microsoft\Windows\UNP\RunCampaignManager -> Pas de fichier cmd: netsh advfirewall resetEmptyTemp:End::
3- Une fois le script copié clique sur Corriger, FRST prend automatiquement le script qui est dans le presse-papier.



Laisse la correction se faire une fois qu'elle est terminée il te sera demandé de redémarrer ton pc, fait-le dès que cela te sera demandé, voir ci-dessous.

Puis une fois ton ordinateur redémarré :
4- Tu auras un fichier Fixlog sur ton bureau ensuite envoie ces rapports sur https://www.cjoint.com/ voir ce tutoriel puis donne le lien généré par Cjoint dans ton prochain message.
5- Ta version de Windows 10 n'est pas à jour, pour le vérifier va sur cette page clique sur Mettre à jour maintenant, cela lancera le téléchargement de l'outil de Microsoft, il suffira de l'ouvrir et il te permettra de mettre à jour Windows 10 vers la dernière version et te dira si elle est compatible avec ton pc, attention cette mise à jour dure un certain temps, vu que tu as un pc portable branche-le au secteur, car ce serait dommage de tomber en panne de batterie avant que la mise à jour ne soit terminée.

Je veux bien ne garder que la plus récente, mais tu peux juste me guider quant aux manips à effectuer stp?
La version de Winamax la plus récente c'est la version: 4.7.2 désinstalle les autres.

Fichier infecté par un Trojan ou faux positif ?

7 réponses

Pour information je te donne ce tutoriel de RevoUninstaller cela pourra toujours te servir à l'avenir :

Tutoriel Revo Uninstaller à lire attentivement.

Accepter la désinstallation du programme que l'on souhaite désinstaller et si il y a un message d'erreur disant que la désinstallation est impossible fermer le message d'erreur et continuer la procédure.

Dans cet exemple c'est le mode "Scan avancé" qui est sélectionné, cliquer sur "Scan".

Cliquer sur "Sélectionner tout" puis sur "Supprimer" si une deuxième liste apparaît faire de même puis une fois que tout est supprimé cliquer sur "Fini" un redémarrage sera peut-être demandé.

Désinstaller FRST.

Attention, attendre que les messages disant que l'analyse est terminée s'affichent

Discussions similaires