Analyse après ransomware. Résolu

Question

bonjour à toutes et à tous, 

J'ai été infecté par ce virus, que j'ai supprimé à l'aide du live cd kasperky, j'ai fait un scan avec Rescu Disc, il a trouvé 21 trojans. Durant le nettoyage j'ai suivi les instructions, "ignorez (recommander)" pour tous sauf pour le ransomware (je suppose) "supprimez (recommander)", je le supprime, et là problème par précipitation j'ai aussi supprimé le fichier suivant, qui était précisé "ignorer recommander". 

J'ai redémarré l'ordi plus de virus, j'ai fait une restauration système pour récupérer le fichier supprimé, la procédure ce passe normalement, l'ordi redémarre, le bureau apparaît, j'ai eu une fenêtre avec, 

"La restauration du système n'a pas pu se terminer. Les paramètres et fichiers système de votre ordinateur n'ont pas été modifiés. 

Détails : Le point de restauration a été endommagé ou supprimé durant la restauration" 
   
J'ai fait un scan avec malwarebytes en mode sans echec, il a trouvé un Trojan.IRCBot, que j'ai supprimé. 
J'ai aussi fait un scan avec mon AV microsoft security essentials, il n'a rien trouvé.
 Une aide pour une analyse approfondie serait la bienvenue.

Je suis sous vista 32bits 
Désolé d'avoir été aussi long. Merci pour votre aide.     


Configuration: Windows Vista / Internet Explorer 9.0

Minos68 · Answer

Je me permets de remonter mon sujet. Je vous prie de m'excuser si cela n'est pas autorisé. ^^

kalimusic · Answer

Bonjour et Bienvenue sur CCM 

Nous allons utiliser cet outil de diagnostic :

Télécharge OTL  (de OldTimer) sur ton Bureau. 

 Ferme toutes tes applications en cours 


&#x25CF;  Lance OTL.exe, l'interface principale s'ouvre.
&#x25CF;  Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal 
&#x25CF;  Coche la case Tous les utilisateurs
&#x25CF;  Laisse tous les autres paramètres par défaut 
&#x25CF;  Dans la partie du bas "Personnalisation", copie/colle la liste en citation : 

msconfig 
netsvcs 
/md5start
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
services.exe
/md5stop
%temp%\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%SYSTEMDRIVE%\*.exe 
CREATERESTOREPOINT 
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.   
&#x25CF;  2 rapports vont s'ouvrir au format bloc-note : 
&#9656; &#9656; OTL.txt (qui sera affiché) ainsi que Extras.txt (réduit dans la barre des tâches)  
&#x25CF;  Ne les poste pas sur le forum, ils seraient trop long  
&#x25CF;  Héberge les sur un des sites suivants :
https://www.cjoint.com/
http://pjjoint.malekal.com/
http://threat-rc.com/ 
https://textup.fr/ 
&#x25CF;  Tu obtiendras 2 liens que tu me donneras dans ton prochain message. 

Aide : Tutorial OTL (par Malekal)

A +

Minos68 · Answer

Bonsoir kalimusic,

Merci pour ton aide.

Voilà les rapports,

OTL.txt
https://www.cjoint.com/?BHzsReQJhZ3 

Extras.txt
https://www.cjoint.com/?BHzsUR8yE7D

kalimusic · Answer

Les rapports ne montrent rien d'anormal.

As tu des symptômes particuliers ou des dysfonctionnements ?

Télécharge  Farbar Service Scanner 

&#x25CF; Exécute le et coche les options ci-dessous :

Internet Services
Windows Firewall
System Restore
Security Center
Windows Update
Windows Defender
Others Services
&#x25CF;  Clique sur "Scan".
&#x25CF; Un rapport FSS.txt est crée dans le dossier où se trouve l'outil.
&#x25CF; Copie/colle le rapport dans ta réponse.

A +

Minos68 · Answer

Re kalimusic,

S'il n y a pas de reste du virus tant mieux, mais le Live CD Kaspersky avait trouvé 21 Trojans, il m'a demandé d'en supprimer 1, et j'en ai supprimé 1 par précipitation, il en reste donc 19, ce n'est pas anormal ?
  
L'ordi est plus lent, et je me suis aperçu que Windows Update était désactivé en voulant mettre mon AV à jour, dans les paramètres il était impossible de choisir "Mises à jour automatique", j'avais une fenêtre avec "Le centre de sécurité n'a pas pu changer les paramètres de mise à jour automatique". J'ai fait une restauration système, c'est rentré dans l'ordre.

Je pensais que cela été dû au fichier que j'avais supprimé avec Kaspersky Rescue Disk.

J'ai été infecté sûrement à cause de logiciels qui ne sont pas à jour, mais je ne sais pas lesquels.

Voilà le rapport FSS 
FSS.txt
https://www.cjoint.com/?BHztP0HWsxo

kalimusic · Answer

re,

Les antivirus même les meilleurs peuvent se tromper, c'était peut-être des faux positifs. Maintenant, on ne peut plus savoir.

Si tu as réussi à faire une restauration système, c'est suffisant pour résoudre ce type de problème.

Les services semblent fonctionnels, il te reste quoi comme soucis en fait ?

A +

Minos68 · Answer

Re kalimusic,

"C'était peut-être des faux positifs." 

Si tu ne vois rien d'anormal sûrement.

Les trois quarts des points de restaurations ont été endommagés par le virus, mais depuis ça va, l'ordi en a créé d'autres.

Pour les disfonctionnements je ne peux pas te répondre, nous n'avons pas utilisé l'ordi depuis, juste quelques surfs.

Bon, je vais voir quels logiciels ne sont pas à jour. 

Désolé du dérangement.

Merci pour ton aide, et merci aux contributeurs qui font vivre ce site ^^

kalimusic · Answer

re,

Vérifie que les logiciels pouvant présenter des failles de sécurité sont à jour, c'est par ce biais que les infections arrivent :

https://www.malekal.com/maintenir-java-adobe-reader-et-le-player-flash-a-jour/ ou bien tu peux utiliser cet outil : Vérifier et mettre à jour facilement les logiciels à risque avec SX Check&Update

!! Décoche les cases proposant des logiciels partenaires pendant les installations !! 

Désinstalle les anciennes versions de Java si tu en as encore installées.
https://www.java.com/fr/download/help/remove_olderversions.html 

Si tout est toujours ok pour toi, je te ferai désinstaller proprement OTL

A +

Minos68 · Answer

Re kalimusic,

Merci, rien n'était à jour, les FlashPlayer, Java et Adobe Reader.

"Si tout est toujours ok pour toi, je te ferai désinstaller proprement OTL"

Pour OTL, je ne savais pas qu'il y avait un processus de désinstallation spécifique, je l'ai supprimé, clique droit supprimer :(  

J'espère que ce n'est pas grave.

kalimusic · Answer

Non rien de grave l'application est portable. 
Supprime également Farbar Service Scanner 

Bonne soirée

Minos68 · Answer

Re kalimusic,

Ok, je fais ça, je passe un coup de CCleaner ensuite.

Merci pour ton dévouement. 

Bonne soirée à toi également, et bon courage pour la suite.

Je mets le sujet en Résolu.

Analyse après ransomware.

11 réponses

Discussions similaires

Newsletters