Backdoor win 32 cycbot.G
Résolu
Bonjour,
Depuis quelques jours, mon PC est infecté par un virus Cycbot.G.
J'ai téléchargé ZHP et voici le lien du rapport.
Merci de bien vouloir m'aider car c'est vraiment embêtant...
Cordialement.
Cédric
http://cjoint.com/?AKyrAWZQjXh
Depuis quelques jours, mon PC est infecté par un virus Cycbot.G.
J'ai téléchargé ZHP et voici le lien du rapport.
Merci de bien vouloir m'aider car c'est vraiment embêtant...
Cordialement.
Cédric
http://cjoint.com/?AKyrAWZQjXh
4 réponses
-
ModérateurUne autre remarque - FREEzefrog vient par de faux codec VLC et autres en pub sur les sites de streaming : https://forum.malekal.com/viewtopic.php?t=29633&start=
+ PCtuto et autres m*rdes
+ ton bot ou RAT qui a volé les mots de passe, pense à les changer
+Cycbot
manifestement, tu as de mauvaises habitudes sur le net vas falloir y remédier.
Fais plus attention à l'avenir....
Maintiens tes logiciel à jour c'est important, utilise ce programme : /faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite
Absolument à faire.
Les antivirus ne font pas tout en ce qui concerne la sécurité de ta machine (mettre à jour ses logiciels etc etc)
La meilleur protection reste de connaître les infections pour pouvoir les éviter et avoir de bonne habitude.
Donc faut se documenter.
Un peu de lecture pour éviter les infections :
- connaitre et éviter les infections : https://www.malekal.com/fichiers/projetantimalwares/ProjetAntiMalware-courte.pdf
- sécuriser son PC : http://forum.malekal.com/comment-securiser-son-ordinateur.html
- lire : http://www.commentcamarche.net/faq/27128-malwares-quels-enjeux-version-synthese
Ce qu'il ne faut pas faire :
Je télécharge n'importe quoi - je m'infecte :
https://forums.commentcamarche.net/forum/affich-19719198-onglets-pub-intempestifs#14
https://forums.commentcamarche.net/forum/affich-18347759-le-nouveau-avast-sonne-trop-souvent#9
Je télécharge depuis n'importe où - je m'infecte : https://forums.commentcamarche.net/forum/affich-19916973-clickpotato-vlc-virus#6
Recommandations sur la sécurité : https://forums.commentcamarche.net/forum/affich-18680013-windows-7-et-antispyware#1
Fonctionnement de quelques catégories de malwares :
https://forums.commentcamarche.net/forum/affich-17725521-virus-programme-troyen
https://forums.commentcamarche.net/forum/affich-17746390-concernant-la-propagation-des-virus
Si tu as des questions sur le fonctionement des malwares.
N'hésite pas.
-
ModérateurOK et côté Malwarebyte ?
-
ModérateurTu as une autre infection, ça ressemble à du Rat ou un vulgaire bot, y a donc de chances que tous tes mots de passe ont été récupérés.
Télécharge ce tool : http://batchdhelus.open-web.fr/programme/MalwaresUploader.exe
Puis tu coches Malekal à gauche
Dans le cadre en bas, copie/colle les chemins des fichiers suivants :
c:\WINDOWS\system32\config\systemprofile\local settings\application data\application policy service\svchost.exe
et tu clics sur Upload en bas.
~~
Sur Malwarebyte "no action taken"
faut supprimer ce qui est détecté, si ça n'a pas été fait.
Vas dans Logs/rapports, sélectionne le scan et fais "supprimer selection".
D'autre part, faire un coup d'AdwCleaner, comme indiqué dans le message précédent pour supprimer quelques restes de PUP.
-
Voici le rapport de Adw :
# AdwCleaner v1.319 - Rapport créé le 24/11/2011 à 18:06:52
# Mis à jour le 20/11/11 à 11h par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : Utilisateur - LUCAS-621EF0CFC (Administrateur)
# Exécuté depuis : D:\MES DOCUMENTS\Downloads\adwcleaner.exe
# Option [Recherche]
***** [Services] *****
***** [Fichiers / Dossiers] *****
Dossier Présent : C:\Documents and Settings\All Users\Application Data\Babylon
Dossier Présent : C:\Documents and Settings\Utilisateur\Application Data\Babylon
Dossier Présent : C:\Documents and Settings\Utilisateur\Application Data\freeTVRadio
Dossier Présent : C:\Documents and Settings\Utilisateur\Local Settings\Application Data\Babylon
Dossier Présent : C:\Documents and Settings\Utilisateur\Local Settings\Application Data\freetvradio Air
Dossier Présent : C:\Program Files\freeTVRadio
Dossier Présent : C:\Program Files\FREEzefrog
Dossier Présent : C:\Program Files\Object
Dossier Présent : C:\Documents and Settings\Utilisateur\Application Data\Mozilla\Firefox\Profiles\ds5rpmji.default\ConduitCommon
Fichier Présent : C:\Program Files\Mozilla Firefox\searchplugins\babylon.xml
Fichier Présent : C:\Program Files\Mozilla Firefox\searchplugins\SearchResults.xml
Fichier Présent : C:\Documents and Settings\Utilisateur\Application Data\Mozilla\Firefox\Profiles\ds5rpmji.default\searchplugins\SearchResults.xml
***** [Registre] *****
Clé Présente : HKCU\Software\freeTVRadio
Clé Présente : HKCU\Software\FREEzeFrogSA
Clé Présente : HKCU\Software\PCTuto
Clé Présente : HKLM\SOFTWARE\Babylon
Clé Présente : HKLM\SOFTWARE\FREEzeFrog
Clé Présente : HKLM\SOFTWARE\PCTuto
Clé Présente : HKLM\SOFTWARE\Classes\PCTutoBHO.PCTBHO
Clé Présente : HKLM\SOFTWARE\Classes\PCTutoBHO.PCTBHO.1
Clé Présente : HKLM\SOFTWARE\Classes\AppID\escort.DLL
Clé Présente : HKLM\SOFTWARE\Classes\AppID\PCTutoBHO.DLL
Clé Présente : HKLM\SOFTWARE\Classes\AppID\{759F1421-4D31-4c1f-8C51-E4956A037676}
Clé Présente : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4eaf-B541-F8DE92DD98DB}
Clé Présente : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2796BAE63F1801E277261BA0D77770028F20EEE4
Clé Présente : HKLM\SOFTWARE\Google\chrome\Extensions\kincjchfokkeneeofpeefomkikfkiedl
Clé Présente : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}
Valeur Présente : HKCU\Software\Mozilla\Firefox\Extensions [{EB132DB0-A4CA-11DF-9732-0E29E0D72085}]
***** [Navigateurs] *****
-\\ Internet Explorer v8.0.6001.18702
[HKCU\Software\Microsoft\Internet Explorer\Main - Start Page] = hxxp://search.babylon.com/?babsrc=HP_ss&affID=17162&mntrId=50352bd4000000000000e0cb4ed79cb7
-\\ Mozilla Firefox v8.0 (fr)
Profil : ds5rpmji.default
Fichier : C:\Documents and Settings\Utilisateur\Application Data\Mozilla\Firefox\Profiles\ds5rpmji.default\prefs.js
Présente : user_pref("CT2504091..clientLogIsEnabled", true);
Présente : user_pref("CT2504091..clientLogServiceUrl", "hxxp://clientlog.users.conduit.com/ClientDiagnostics.as[...]
Présente : user_pref("CT2504091..uninstallLogServiceUrl", "hxxp://uninstall.users.conduit.com/Uninstall.asmx/Re[...]
Présente : user_pref("CT2504091.AboutPrivacyUrl", "hxxp://www.conduit.com/privacy/Default.aspx");
Présente : user_pref("CT2504091.CTID", "CT2504091");
Présente : user_pref("CT2504091.CommunitiesChangesLastCheckTime", "0");
Présente : user_pref("CT2504091.CurrentServerDate", "22-5-2011");
Présente : user_pref("CT2504091.DialogsAlignMode", "LTR");
Présente : user_pref("CT2504091.DialogsGetterLastCheckTime", "Sun May 22 2011 11:46:46 GMT+0200");
Présente : user_pref("CT2504091.DownloadReferralCookieData", "");
Présente : user_pref("CT2504091.EMailNotifierPollDate", "Sun May 22 2011 13:38:26 GMT+0200");
Présente : user_pref("CT2504091.FeedLastCount129079840422964131", 10);
Présente : user_pref("CT2504091.FeedPollDate128891351169457140", "Sun May 22 2011 12:59:07 GMT+0200");
Présente : user_pref("CT2504091.FeedPollDate129079840422964131", "Sun May 22 2011 11:46:43 GMT+0200");
Présente : user_pref("CT2504091.FeedTTL128891351169457140", 40);
Présente : user_pref("CT2504091.FirstServerDate", "22-5-2011");
Présente : user_pref("CT2504091.FirstTime", true);
Présente : user_pref("CT2504091.FirstTimeFF3", true);
Présente : user_pref("CT2504091.FixPageNotFoundErrors", true);
Présente : user_pref("CT2504091.GroupingInvalidateCache", false);
Présente : user_pref("CT2504091.GroupingLastCheckTime", "0");
Présente : user_pref("CT2504091.GroupingLastServerUpdateTime", "0");
Présente : user_pref("CT2504091.GroupingServerCheckInterval", 1440);
Présente : user_pref("CT2504091.GroupingServiceUrl", "hxxp://grouping.services.conduit.com/");
Présente : user_pref("CT2504091.HasUserGlobalKeys", true);
Présente : user_pref("CT2504091.HomePageProtectorEnabled", false);
Présente : user_pref("CT2504091.Initialize", true);
Présente : user_pref("CT2504091.InitializeCommonPrefs", true);
Présente : user_pref("CT2504091.InstallationAndCookieDataSentCount", 1);
Présente : user_pref("CT2504091.InstallationType", "UnknownIntegration");
Présente : user_pref("CT2504091.InstalledDate", "Sun May 22 2011 11:46:43 GMT+0200");
Présente : user_pref("CT2504091.InvalidateCache", false);
Présente : user_pref("CT2504091.IsAlertDBUpdated", true);
Présente : user_pref("CT2504091.IsGrouping", false);
Présente : user_pref("CT2504091.IsMulticommunity", false);
Présente : user_pref("CT2504091.IsOpenThankYouPage", false);
Présente : user_pref("CT2504091.IsOpenUninstallPage", false);
Présente : user_pref("CT2504091.LanguagePackLastCheckTime", "Sun May 22 2011 11:46:45 GMT+0200");
Présente : user_pref("CT2504091.LanguagePackReloadIntervalMM", 1440);
Présente : user_pref("CT2504091.LanguagePackServiceUrl", "hxxp://translation.users.conduit.com/Translation.ashx[...]
Présente : user_pref("CT2504091.LastLogin_3.4.1.200", "Sun May 22 2011 11:46:43 GMT+0200");
Présente : user_pref("CT2504091.LatestVersion", "3.3.3.2");
Présente : user_pref("CT2504091.Locale", "en-us");
Présente : user_pref("CT2504091.MCDetectTooltipHeight", "83");
Présente : user_pref("CT2504091.MCDetectTooltipShow", false);
Présente : user_pref("CT2504091.MCDetectTooltipUrl", "hxxp://@EB_INSTALL_LINK@/rank/tooltip/?version=1");
Présente : user_pref("CT2504091.MCDetectTooltipWidth", "295");
Présente : user_pref("CT2504091.MyStuffEnabledAtInstallation", true);
Présente : user_pref("CT2504091.OriginalFirstVersion", "3.4.1.200");
Présente : user_pref("CT2504091.RadioLastCheckTime", "0");
Présente : user_pref("CT2504091.RadioLastUpdateIPServer", "0");
Présente : user_pref("CT2504091.RadioLastUpdateServer", "0");
Présente : user_pref("CT2504091.RadioShrinked", "shrinked");
Présente : user_pref("CT2504091.SHRINK_TOOLBAR", 0);
Présente : user_pref("CT2504091.SearchBoxWidth", 100);
Présente : user_pref("CT2504091.SearchEngineBeforeUnload", "Google");
Présente : user_pref("CT2504091.SearchFromAddressBarIsInit", true);
Présente : user_pref("CT2504091.SearchInNewTabEnabled", true);
Présente : user_pref("CT2504091.SearchInNewTabIntervalMM", 1440);
Présente : user_pref("CT2504091.SearchInNewTabLastCheckTime", "Sun May 22 2011 11:46:43 GMT+0200");
Présente : user_pref("CT2504091.SearchInNewTabServiceUrl", "hxxp://newtab.conduit-hosting.com/newtab/?ctid=EB_T[...]
Présente : user_pref("CT2504091.SearchInNewTabUsageUrl", "hxxp://Usage.Hosting.conduit-services.com/UsageServic[...]
Présente : user_pref("CT2504091.SearchProtectorEnabled", false);
Présente : user_pref("CT2504091.SearchProtectorToolbarDisabled", false);
Présente : user_pref("CT2504091.ServiceMapLastCheckTime", "Sun May 22 2011 11:46:42 GMT+0200");
Présente : user_pref("CT2504091.SettingsLastCheckTime", "Sun May 22 2011 13:03:26 GMT+0200");
Présente : user_pref("CT2504091.SettingsLastUpdate", "1304242869");
Présente : user_pref("CT2504091.ThirdPartyComponentsInterval", 504);
Présente : user_pref("CT2504091.ThirdPartyComponentsLastCheck", "Sun May 22 2011 11:46:42 GMT+0200");
Présente : user_pref("CT2504091.ThirdPartyComponentsLastUpdate", "1246786978");
Présente : user_pref("CT2504091.TrusteLinkUrl", "hxxp://trust.conduit.com/CT2504091");
Présente : user_pref("CT2504091.UserID", "UN45543313253508326");
Présente : user_pref("CT2504091.ValidationData_Toolbar", 2);
Présente : user_pref("CT2504091.alertChannelId", "897164");
Présente : user_pref("CT2504091.approveUntrustedApps", false);
Présente : user_pref("CT2504091.components.1000034", false);
Présente : user_pref("CT2504091.components.129079840422182852", false);
Présente : user_pref("CT2504091.components.129079840422339107", false);
Présente : user_pref("CT2504091.components.129079840422964131", false);
Présente : user_pref("CT2504091.components.129079849636241789", false);
Présente : user_pref("CT2504091.generalConfigFromLogin", "{\"SocialDomains\":\"social.conduit.com;apps.conduit.[...]
Présente : user_pref("CT2504091.globalFirstTimeInfoLastCheckTime", "Sun May 22 2011 11:46:43 GMT+0200");
Présente : user_pref("CT2504091.homepageProtectorEnableByLogin", true);
Présente : user_pref("CT2504091.initDone", true);
Présente : user_pref("CT2504091.isAppTrackingManagerOn", true);
Présente : user_pref("CT2504091.myStuffEnabled", true);
Présente : user_pref("CT2504091.myStuffPublihserMinWidth", 400);
Présente : user_pref("CT2504091.myStuffSearchUrl", "hxxp://Apps.conduit.com/search?q=SEARCH_TERM&SearchSourceOr[...]
Présente : user_pref("CT2504091.myStuffServiceIntervalMM", 1440);
Présente : user_pref("CT2504091.myStuffServiceUrl", "hxxp://mystuff.conduit-services.com/MyStuffService.ashx?Co[...]
Présente : user_pref("CT2504091.searchProtectorDialogDelayInSec", 10);
Présente : user_pref("CT2504091.searchProtectorEnableByLogin", true);
Présente : user_pref("CT2504091.testingCtid", "");
Présente : user_pref("CT2504091.toolbarAppMetaDataLastCheckTime", "Sun May 22 2011 11:46:43 GMT+0200");
Présente : user_pref("CT2504091.toolbarContextMenuLastCheckTime", "Sun May 22 2011 11:46:44 GMT+0200");
Présente : user_pref("CT2504091.usagesFlag", 2);
Présente : user_pref("browser.babylon.HPOnNewTab", "search.babylon.com");
Présente : user_pref("browser.search.defaultenginename", "Search the web (Babylon)");
Présente : user_pref("browser.search.order.1", "Search the web (Babylon)");
Présente : user_pref("browser.search.selectedEngine", "Search the web (Babylon)");
Présente : user_pref("keyword.URL", "hxxp://search.babylon.com/?babsrc=adbartrp&affID=17162&mntrId=50352bd40000[...]
-\\ Google Chrome v15.0.874.121
Fichier : C:\Documents and Settings\Utilisateur\Local Settings\Application Data\Google\Chrome\User Data\Default\Preferences
[OK] Le fichier ne contient aucune entrée illégitime.
*************************
AdwCleaner[R1].txt - [10852 octets] - [24/11/2011 18:06:52]
########## EOF - C:\AdwCleaner[R1].txt - [10981 octets] ##########
-
-
ModérateurSalut,
Malwarebyte le gère.
Tu l'as utilisé non ? car il semble plus actif.
-
-
Je viens de faire un scan, voici le rapport :
Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org
Version de la base de données: 8232
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702
24/11/2011 17:45:06
mbam-log-2011-11-24 (17-45-01).txt
Type d'examen: Examen rapide
Elément(s) analysé(s): 160932
Temps écoulé: 2 minute(s), 37 seconde(s)
Processus mémoire infecté(s): 2
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 3
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 11
Fichier(s) infecté(s): 31
Processus mémoire infecté(s):
c:\WINDOWS\system32\config\systemprofile\local settings\application data\application policy service\svchost.exe (Trojan.Agent.Gen) -> 448 -> No action taken.
c:\WINDOWS\system32\config\systemprofile\local settings\application data\application policy service\svchost.exe (Trojan.Agent.Gen) -> 1516 -> No action taken.
Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)
Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Application Policy Service (Trojan.Agent.Gen) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\bisoft (Worm.Bagle) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Google\Chrome\Extensions\kincjchfokkeneeofpeefomkikfkiedl (PUP.FCTPlugin) -> No action taken.
Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer (PUM.Bad.Proxy) -> Value: ProxyServer -> No action taken.
Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page (Hijack.StartPage) -> Bad: (http://startsear.ch/?aff=1) Good: (http://www.google.com) -> No action taken.
Dossier(s) infecté(s):
c:\program files\Object (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\content (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\defaults (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\defaults\preferences (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\locale (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\locale\en-US (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\skin (PUP.FCTPlugin) -> No action taken.
c:\documents and settings\utilisateur\application data\drivers\downld (Worm.Bagle) -> No action taken.
c:\documents and settings\all users\application data\freezefrogsa (Adware.FreezeFrog) -> No action taken.
c:\program files\freezefrog\bin\2.0.15.0 (Adware.FreezeFrog) -> No action taken.
Fichier(s) infecté(s):
c:\WINDOWS\system32\config\systemprofile\local settings\application data\application policy service\svchost.exe (Trojan.Agent.Gen) -> No action taken.
c:\WINDOWS\Temp\A.tmp (Malware.Packer) -> No action taken.
c:\program files\Object\status.txt (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\config.ini (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\status2.txt (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\build.sh (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\chrome.manifest (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\config_build.sh (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\files (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\install.rdf (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\readme.txt (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\content\.ds_store (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\content\firefoxoverlay.xul (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\content\installid.js (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\content\overlay.js (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\content\sudoku.js (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\defaults\.ds_store (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\defaults\preferences\.ds_store (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\defaults\preferences\._sudoku.js (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\defaults\preferences\sudoku.js (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\locale\.ds_store (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\locale\en-US\.ds_store (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\locale\en-US\sudoku.dtd (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\locale\en-US\sudoku.properties (PUP.FCTPlugin) -> No action taken.
c:\program files\Object\facetheme\skin\overlay.css (PUP.FCTPlugin) -> No action taken.
c:\documents and settings\all users\application data\freezefrogsa\freezefrogsa.dat (Adware.FreezeFrog) -> No action taken.
c:\documents and settings\all users\application data\freezefrogsa\freezefrogsaau_update.dat (Adware.FreezeFrog) -> No action taken.
c:\documents and settings\all users\application data\freezefrogsa\freezefrogsa_kyf_update.dat (Adware.FreezeFrog) -> No action taken.
c:\program files\freezefrog\bin\2.0.15.0\copyright.txt (Adware.FreezeFrog) -> No action taken.
c:\program files\freezefrog\bin\2.0.15.0\freezefrogsacb.exe (Adware.FreezeFrog) -> No action taken.
c:\program files\freezefrog\bin\2.0.15.0\freezefrogsahook.dll (Adware.FreezeFrog) -> No action taken.
Je ne sais plus quoi faire !!!
-
