TR/CryptRedol.347648.3 Résolu

Question

Bonjour,
j'ai trouvé sur mon ordi ce trojen TR/CryptRedol j'ai pas trouvé comment le nettoyer.... j'ai formaté pour m'en débarasser.
maintenant, je me rend compte qu'il est aussi sur mon disque dur externe...
petite précision, pour aller à mon disc dur ext il faut faire "explorer" à partir du clic droit... en double cliquant dessus, ca fonctionne pas (mess d'err) c'est suite à un virus choppé sur le réseau de mon école...

vous savez de quoi il s'agit?? j'ai l'impression que personne ne l'a déjà eut...inconnu sur google... :s

merci d'avance

Utilisateur anonyme · Answer

Titanium est une version non officielle d'XP, une version piratée si tu préfères.

Tu as bien une infection par support usb, fais ceci maintenant :

    * tutoriel nettoyage
    * Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectés sans les ouvrir
    * Double clic sur le raccourci UsbFix présent sur ton bureau
    * choisi l'option 2 ( Suppression )
    * Ton bureau disparaîtra et le pc redémarrera .
    * Au redémarrage , UsbFix scannera ton pc , laisse travailler l'outil.
    * Ensuite post le rapport UsbFix.txt qui apparaîtra avec le bureau .
    * Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )
    * ( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )
    * UsbFix te proposera d'uploader un dossier compressé à cette adresse : https://www.androidworld.fr/ ... ichier.php
    * Ce dossier a été créé par UsbFix et est enregistré sur ton bureau.
    * Merci de l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches.
    * Merci d'avance pour ta contribution !!

gen-hackman · Answer

mais je te rassure :

sa version est  modifiée !

:)

Utilisateur anonyme · Answer

montre moi où, je dois être bigleux ;) !?

gen-hackman · Answer

2009-08-15 12:44:20 ----RA---- C:\WINDOWS\SET8.tmp
2009-08-15 12:44:17 ----RA---- C:\WINDOWS\SET4.tmp
2009-08-15 12:44:16 ----RA---- C:\WINDOWS\SET3.tmp 
127.0.0.1 mpa.one.microsoft.com 
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Utilisateur anonyme · Answer

T'es sur de toi je pense, je cherchais dans les 04 !! ;)

gen-hackman · Answer

127.0.0.1 mpa.one.microsoft.com 

ceci montre qu'il a été patché par les hosts

2009-08-15 12:44:20 ----RA---- C:\WINDOWS\SET8.tmp
2009-08-15 12:44:17 ----RA---- C:\WINDOWS\SET4.tmp
2009-08-15 12:44:16 ----RA---- C:\WINDOWS\SET3.tmp 

ceci sont trois fichiers tmp qui sont avec le titanium (l'ayant utilisé à mes debuts.....)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512) 

ceci montre que les mises  jour automatiques sont : soit desactivées , soit selectionnées(Internet eexplorer 8 , Windows genuine advantage seraient exclus apparemment)

Utilisateur anonyme · Answer

Merci gen-hackman, excellent exposé, j'aurai au moins appris un truc utile aujourd'hui.
On sent l'expérience, pour ma part, je n'ai jamais utilisé de version modifiée ou encore crackée.

Rente · Answer

oui, c un craké, car ma partition de réinstalle à était endommagée, et  personne n'a pu m'aider à la récup...et comme c'est un pc portable, ya pas le cd xp... donc, depuis je cherche un xp pro officiel (car j'ai la clé) mais j'ai trouvé que des trucs qui ne fonctionnent pas... et pour les misent à jours, elles sont déactivées, et je tourne avec mozilla firefox...

pour en revenir au topic, une fois que j'ai fais cette manip, c'est fini??

vous pouvez m'expliquer à quoi ca a servit tout les résumé que j'ai publié... et si je dois les effacer...?
merci :D

Utilisateur anonyme · Answer

je ne te blâme pas, c'est pas mon problème si tu utilises du cracké, ce qui m'intéresse c'est de supprimer les infections. 
C'est juste important de le savoir lors d'une désinfection, pour les mises à jour à faire en final.

Tu ne m'a pas posté le rapport de suppression de USBFix, et je n'ai pas encore fini ta désinfection merci de continuer, je te donnerai toutes les directives pour supprimer ce qu'il y a besoin.

Rente · Answer

oki, voila le résumé (j'ai supprimé des fichiers dans G:\ (de la musique) car la longueur du fichier bloque pour publier le message...)



############################## | UsbFix V6.017 |

User : Florent (Administrateurs) # F3JMFLO
Update on 12/08/09 by Chiquitine29 & C_XX
Start at: 18:01:13 | 15/08/2009
Website : http://pagesperso-orange.fr/NosTools/index.html

Intel(R) Core(TM)2 CPU         T5500  @ 1.66GHz
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 6.0.2900.5512
Windows Firewall Status : Enabled
AV : AntiVir Desktop 9.0.1.30 [ Enabled | Updated ]

C:\ -> Disque fixe local # 78,13 Go (73,88 Go free) # NTFS
D:\ -> Disque fixe local # 33,65 Go (28,44 Go free) # NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque fixe local # 465,76 Go (49,06 Go free) [disque dur externe florent] # NTFS
G:\ -> Disque amovible # 978,57 Mo (0,07 Mo free) [CLÉ FLO 1GO] # FAT32
H:\ -> Disque amovible # 1,92 Go (1,91 Go free) [CLÉ FLO 2GO] # FAT32

############################## | Processus actifs |

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\logonui.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## | Fichiers # Dossiers infectieux |

F:\autorun.inf # -> fichier appelé  : "F:\"RECYCLER\S-3-8-38-100031771-100003353-100021547-7255.com g:\"" ( Absent ! )  
Supprimé ! F:\autorun.inf 
Supprimé ! F:\msvcr71.dll 

################## | Autres |


################## | Suspect ! ... | https://www.virustotal.com/gui/ |


################## | Registre # Clés Run infectieuses |


################## | Registre # Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\{e279d62d-8990-11de-ba22-001302e21588}\Shell\AutoRun\Command  

################## | Listing des fichiers présent |

[15/08/2009 11:00|--a------|0] -> C:\AUTOEXEC.BAT 
[15/08/2009 11:33|---hs----|212] -> C:\boot.ini 
[28/08/2001 14:00|-rahs----|4952] -> C:\Bootfont.bin 
[15/08/2009 11:00|--a------|0] -> C:\CONFIG.SYS 
[15/08/2009 11:00|-rahs----|0] -> C:\IO.SYS 
[15/08/2009 11:00|-rahs----|0] -> C:\MSDOS.SYS 
[13/04/2008 09:43|-rahs----|47564] -> C:\NTDETECT.COM 
[13/04/2008 11:31|-rahs----|252240] -> C:
tldr 
[?|?|?] -> C:\pagefile.sys 
[15/08/2009 18:03|--a------|2767] -> C:\UsbFix.txt 
[07/06/2008 11:00|--a------|607277474] -> D:\!!! Seasons by The Collective [New 2008 MTB, FR, DH].avi 
[22/04/2009 14:02|--a------|11804299] -> D:\01. The Prodigy - Invaders Must Die[Visit pctrecords].mp3 
[08/05/2009 20:02|--a------|5525629] -> D:\03 Full Moon.mp3 
[09/03/2006 22:45|--a------|733581312] -> D:\Gad Elmaleh - L'autre c'est moi.avi 
[04/06/2006 21:03|--a------|366827520] -> D:\Roam.AVI 
[21/04/2009 14:24|--a------|1520675850] -> D:\Seven Sunny Days.avi 
[27/12/2007 11:36|--a------|806667836] -> D:\The Collective.MPG 
[05/08/2009 15:37|--a------|4417944] -> F:\aaa copie.jpg 
[05/08/2009 15:37|--a------|132114413] -> F:\aaa.psd 
[28/06/2009 10:49|--a------|65321] -> F:\ACCES_usine_BG depuis Lyon.pdf 
[28/06/2009 10:49|--a------|64997] -> F:\ACCES_usine_BG.pdf 
[14/11/2008 15:25|--a------|10668] -> F:\Affiche.pdf 
[12/03/2009 14:35|--a------|268] -> F:\code internet cite u.txt 
[13/07/2009 09:35|--a------|1335380] -> F:\DT_Ap25.pdf 
[11/08/2009 13:46|--a------|479235] -> F:\fleur copie.jpg 
[11/08/2009 13:46|--a------|29907110] -> F:\fleur.psd 
[19/02/2009 10:33|--a------|2693] -> F:\free 
[25/06/2009 19:16|--a------|26] -> F:\mail Romain.txt 
[26/05/2009 19:15|--a------|541] -> F:\mail to renault trucks.txt 
[13/07/2009 14:00|--a------|19347] -> F:\mes comptes 2008.xlsx 
[28/03/2009 18:12|--a------|386] -> F:\Nouveau Document texte.txt 
[11/03/2009 19:07|--a------|41] -> F:\pass-ftp.txt 
[15/08/2009 09:44|--a------|675] -> F:accourcis.txt 
[24/07/2009 22:32|--a------|228677677] -> F:\Sans titre - 1.pdf 
[28/06/2009 10:10|--a------|1611926] -> F:\Sans titre-1.psd 
[11/02/2009 22:46|--a------|1053] -> F:\stage.txt 
[04/04/2009 18:30|--ahs----|114176] -> F:\Thumbs.db 
[23/09/2007 19:29|--a------|8112302] -> G:\06 Search Party.m4a 
[11/03/2009 08:31|--a------|89280] -> H:\StartPortableApps.exe 

################## | Cracks / Keygens / Serials |

Utilisateur anonyme · Answer

c'est bon, tu vas maintenant vacciner tous les disques et supports.

Tous les scans et rapports servent à repérer des infections et vérifier si elles sont bien supprimées par les outils.

    * Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectées sans les ouvrir
    * Double clique sur le raccourci UsbFix présent sur ton bureau .
    * Choisis l'option 3 ( Vaccination )
    * Laisse travailler l'outil.
    * Ensuite poste le rapport UsbFix.txt qui apparaîtra.

* Note : Le rapport UsbFix.txt est sauvegardé à la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Utilisateur anonyme · Answer

ok, tous tes disques et supports usb sont maintenant vaccinés.

Tu vas faire d'autres vérifications tant qu'on y est :

    *  Télécharge Malwarebytes
    * Tutoriel
    * Fais la mise à jour du logiciel (elle se fait normalement à l'installation)
    * Lance une analyse complète en cliquant sur "Exécuter un examen complet"
    * Sélectionnes les disques que tu veux analyser et cliques sur "Lancer l'examen"
    * L'analyse peut durer un bon moment.....
    * Une fois l'analyse terminée, cliques sur "OK" puis sur "Afficher les résultats"
    * Vérifies que tout est bien coché et cliques sur "Supprimer la sélection" => et ensuite sur "OK"
    * Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum

* Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Faites le en cliquant sur "oui" à la question posée

Utilisateur anonyme · Answer

C'est magique la désinfection ;)

Peux tu faire un rapport HiajckThis, il a été installé par RSIT, tu dois le trouver sur ton bureau.

- ouvres HijackThis
- cliques sur "Do a system scan and save a logfile"
- un rapport bloc-notes va s'ouvrir, tu le colles dans ta prochaine réponse.

Utilisateur anonyme · Answer

Ce trojan se trouve dans la restauration système, on va le supprimer en fin de désinfection. 
Ne fais pas de restauration système sans mon accord.

Postes le rapport HijakckThis stp.

Utilisateur anonyme · Answer

Tu as refais un RSIT.

Fais seulement un HijakcThis, tu dois trouver un icône sur ton bureau avec un bonhomme en rouge qui tient une loupe, le fichier exe doit porter le nom de ta session.

Suis les instructions au dessus pour généré le rapport

Utilisateur anonyme · Answer

ok, merci tu as bien fais ;)

Tu n'es plus infecté, c'est déjà une bonne nouvelle, maintenant on va finaliser ta désinfection.

Compte tenu du fait que tu roules avec une version crackée de XP, je ne te ferais pas faire les mises à jour, c'est mieux pour toi n'est-ce pas.

- Tu vas lancer HijackThis 
- cette fois ci tu cliques sur "Do a systeme scan only"
- coches (sur la gauche) les lignes que je désigne ci-dessous : 

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) 
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit 
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE 
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') 

- une fois c'est lignes cochées tu cliques sur fix checked

======================================================================

Pour supprimer toutes les traces des logiciels qui ont servi à traiter les infections spécifiques :
• Télécharge ToolsCleaner sur ton Bureau
• Double-clique sur ToolsCleaner2.exe et laisse le travailler
• Clique sur Recherche et laisse le scan se terminer.
• Clique sur Suppression pour finaliser.
• Tu peux, si tu le souhaites, te servir des Options facultatives.
• Clique sur Quitter, pour que le rapport puisse se créer.
• Le rapport (TCleaner.txt) se trouve à la racine de votre disque dur (C:\)...colle le dans ta prochaine réponse 

======================================================================

Tu vas télécharger CCleaner 
Un tutoriel pour t'aider à l'utiliser ICI

======================================================================

Cette étape est indispensable pour finaliser la désinfection, elle permet de supprimer les points de restauration et du même coup les éventuels malwares qui s'y seraient logés.

!! Très Important !!


Il faut désactiver et réactiver la restauration système suis ce tutoriel pour t'aider.
Il faut ensuite créer un point de restauration manuellement, pour t'aider suis celui là.

Postes le rapport de toolscleaner, meric.

Utilisateur anonyme · Answer

c'est bon, 

Tu peux mettre ton sujet sur résolu.

Bonne continuation !

Utilisateur anonyme · Answer

Salut !

C'est le dossier recycler de ton disque externe qui est infecté.

Tu peux supprimer la quarantaine d'avira.

Supprime le dossier recycler de ton disque externe, connectes le :

fais démarrer -> Exécuter 

dans la fenêtre tapes :

rd F:\recycler /s

Refais un scan avec avira par la suite.

Utilisateur anonyme · Answer

Fais le scan et tiens moi au courant ! 

Et n'oublies pas de mettre ton sujet sur résolu dès que c'est tout bon.

Je te rassure je n'ai pas tout compris non plus !!!

Je plaisante évidemment lol

Bon dimanche !

gen-hackman · Answer

;)

TR/CryptRedol.347648.3

26 réponses

Discussions similaires

Newsletters