Troyen: Backdoor.Agent.TRJ
Résolu
Bonjour,
Je viens de faire un scan complet sur Malwarebyte, il me signale une infection de Backdoor.Agent.TRJ.
Je suis actuellement en SCAN Avira. Pourriez vous m'indiquer la marche à suivre. Merci par avance.
voici le rapport de Malware
Malwarebytes Anti-Malware 1.70.0.1100
www.malwarebytes.org
Version de la base de données: v2013.01.08.11
Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
Paco :: PACO-MSI [administrateur]
08/01/2013 19:19:38
MBAM-log-2013-01-08 (20-35-04).txt
Type d'examen: Examen complet (C:\|D:\|E:\|Q:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 339338
Temps écoulé: 38 minute(s), 55 seconde(s)
Processus mémoire détecté(s): 1
C:\Windows\Temp\Password.exe (Backdoor.Agent.TRJ) -> 1820 -> Aucune action effectuée.
Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)
Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)
Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)
Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)
Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)
Fichier(s) détecté(s): 1
C:\Windows\Temp\Password.exe (Backdoor.Agent.TRJ) -> Aucune action effectuée.
(fin)
Je viens de faire un scan complet sur Malwarebyte, il me signale une infection de Backdoor.Agent.TRJ.
Je suis actuellement en SCAN Avira. Pourriez vous m'indiquer la marche à suivre. Merci par avance.
voici le rapport de Malware
Malwarebytes Anti-Malware 1.70.0.1100
www.malwarebytes.org
Version de la base de données: v2013.01.08.11
Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
Paco :: PACO-MSI [administrateur]
08/01/2013 19:19:38
MBAM-log-2013-01-08 (20-35-04).txt
Type d'examen: Examen complet (C:\|D:\|E:\|Q:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 339338
Temps écoulé: 38 minute(s), 55 seconde(s)
Processus mémoire détecté(s): 1
C:\Windows\Temp\Password.exe (Backdoor.Agent.TRJ) -> 1820 -> Aucune action effectuée.
Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)
Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)
Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)
Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)
Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)
Fichier(s) détecté(s): 1
C:\Windows\Temp\Password.exe (Backdoor.Agent.TRJ) -> Aucune action effectuée.
(fin)
27 réponses
Résumé de la discussion
Une infection détectée lors d’un scan complet sous Windows 7 est Backdoor.Agent.TRJ, localisée dans le fichier C:\Windows\Temp\Password.exe et signalée par Malwarebytes comme présence mémoire active. Le rapport indique également un élément infectieux non supprimé et des entrées potentiellement malveillantes de démarrage, notamment E:\setup\rsrc\Autorun.exe et des fichiers trouvés dans la corbeille. Des mesures de confinement et de nettoyage sont suggérées, avec l’utilisation combinée de Malwarebytes et d’outils supplémentaires comme UsbFix pour supprimer les éléments d’autorun et les traces restantes. En cas de persistance, la remise en état peut nécessiter une vérification des périphériques externes et de la configuration de démarrage, afin d’éviter toute réinfection.
-
j'ai suivi toute ta procédure et refais un scan malware (avec mise à jours).
Il ne me signale plus rien.
je pense que je vais insatallé comodo comme pare feu.
Mais faut que j'apprenne comment on le config.
En tout cas merci BEAUCOUP, pour ta disponibilité. -
oui y'a JavaRa qui est proposé pour ca
¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤ -
Je suis en train de suivre le tuto, j'ai une question a propos de java, du coup je fais la meme chose sur l'autre pc pour ce programme et j'ai plusieurs autres versions,
Java 7 uptdate 10 (celui que je viens de mettre)
Est ce que je supprime les 3 :
Java (TM) 6 update 16 (64 bits)
Java (TM) 6 update 33 (je n'arrive pas à le supprimer) -
pas comrpis la question
-
Du coup pour Java je peux supprimer ?
-
vu
-
pureRa : Total space cleaned: 5.63 MB
-
-
# DelFix v10.0 - Rapport créé le 09/01/2013 à 16:57:15
# Mis à jour le 04/01/2013 par Xplode
# Nom d'utilisateur : Paco - PACO-MSI
~ Suppression des outils de désinfection ...
Supprimé : C:\USBFix
Supprimé : C:\pre_scan
Supprimé : C:\Pre_Diag_09_01_2013_14_52_25.txt
Supprimé : C:\Pre_Scan_09_01_2013_00_15_19.txt
Supprimé : C:\Pre_Scan_09_01_2013_14_26_06.txt
Supprimé : C:\Pre_script.txt
Supprimé : C:\UsbFix.txt
Supprimé : C:\UsbFix_Upload_Me_PACO-MSI.zip
Supprimé : C:\Users\Paco\Desktop\Pre_script.txt
Supprimé : C:\Users\Paco\Desktop\UsbFix.exe
Supprimé : C:\Users\Paco\Desktop\UsbFix.txt
Supprimé : C:\Users\Paco\Desktop\winlogon.exe
Supprimé : C:\Users\Paco\Downloads\winlogon.exe
Supprimée : HKCU\Software\g3n-h@ckm@n
Supprimée : HKCU\Software\USBFix
Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\USBFix
########## - EOF - ########## -
Je suis en train de suivre le tuto, j'ai une question a propos de java, du coup je fais la meme chose sur l'autre pc pour ce programme et j'ai plusieurs autres versions,
Java 7 uptdate 10 (celui que je viens de mettre)
Est ce que je supprime les 3 :
Java (TM) 6 update 16 (64 bits)
Java (TM) 6 update 33
JavaFX 2.1.0 -
-
Ok, je t'écoute
-
bon si plus de soucis je pense qu'on peut faire le menage
-
En entier c'est mieux :
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 3.0108 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
Paco : Windows 7 Home Premium (64 bits)
Switchs : https://gen-hackman.kanak.fr/
New restorepoint created
Script : 15:59:54
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
¤¤¤¤¤¤¤¤¤¤ | Stopped Processes
(508) -- nvvsvc.exe
(1336) -- nvxdsync.exe
(1352) -- nvvsvc.exe
(1628) -- wlanext.exe
(1664) -- conhost.exe
(1724) -- spoolsv.exe
(1752) -- sched.exe
(1764) -- taskeng.exe
(1308) -- armsvc.exe
(1452) -- avguard.exe
(1468) -- devmonsrv.exe
(2060) -- EvtEng.exe
(2108) -- FABS.exe
(2168) -- HeciServer.exe
(2276) -- IntelMeFWService.exe
(2304) -- Jhi_service.exe
(2376) -- MSIService.exe
(2400) -- MSIFoundationService.exe
(2520) -- ChargeService.exe
(2572) -- PnkBstrA.exe
(2612) -- RegSrvc.exe
(2920) -- sftvsa.exe
(3020) -- TiMiniService.exe
(2204) -- WLIDSVC.EXE
(2480) -- obexsrv.exe
(2464) -- TiResumeSrv.exe
(2472) -- conhost.exe
(2452) -- sftlist.exe
(3156) -- WLIDSVCM.EXE
(3364) -- CVHSVC.EXE
(3656) -- TrustedInstaller.exe
(3836) -- WUDFHost.exe
(1920) -- taskhost.exe
(3896) -- explorer.exe
(4180) -- RAVCpl64.exe
(4216) -- ETDCtrl.exe
(4224) -- rundll32.exe
(4272) -- BleServicesCtrl.exe
(4356) -- igfxtray.exe
(4408) -- hkcmd.exe
(4416) -- igfxpers.exe
(4496) -- nvtray.exe
(4628) -- ETDCtrlHelper.exe
(4764) -- SearchIndexer.exe
(4192) -- iusb3mon.exe
(1540) -- S-Bar.exe
(1328) -- THXAudio.exe
(1260) -- Super-Charger.exe
(4240) -- YCMMirage.exe
(3916) -- mediasrv.exe
(3920) -- YouCam.exe
(3804) -- jusched.exe
(4344) -- avgnt.exe
(5200) -- wmpnetwk.exe
(5800) -- btplayerctrl.exe
(6008) -- IAStorIcon.exe
(2744) -- BTHSAmpPalService.exe
(6020) -- BTHSSecurityMgr.exe
(5460) -- IAStorDataMgrSvc.exe
(5500) -- RIconMan.exe
(5232) -- LMS.exe
(4336) -- daemonu.exe
(4748) -- sppsvc.exe
(2792) -- UNS.exe
(4164) -- wuauclt.exe
¤¤¤¤¤¤¤¤¤¤ | Deletion | Drivers | Services
Service : ASWFSBLK Not actif
Service : ASWMONFLT Not actif
Service : ASWRDR Not actif
Service : ASWSNX Not actif
Service : ASWSP Not actif
Service : ASWTDI Not actif
Deleted : [HKLM\..\CCS\..\Root\LEGACY_ASWFSBLK]
Deleted : [HKLM\..\CS001\..\Root\LEGACY_ASWFSBLK]
Deleted : [HKLM\..\CS002\..\Root\LEGACY_ASWFSBLK]
Deleted : [HKLM\..\CCS\..\Root\LEGACY_ASWMONFLT]
Deleted : [HKLM\..\CS001\..\Root\LEGACY_ASWMONFLT]
Deleted : [HKLM\..\CS002\..\Root\LEGACY_ASWMONFLT]
Deleted : [HKLM\..\CCS\..\Root\LEGACY_ASWRDR]
Deleted : [HKLM\..\CS001\..\Root\LEGACY_ASWRDR]
Deleted : [HKLM\..\CS002\..\Root\LEGACY_ASWRDR]
Deleted : [HKLM\..\CCS\..\Root\LEGACY_ASWSNX]
Deleted : [HKLM\..\CS001\..\Root\LEGACY_ASWSNX]
Deleted : [HKLM\..\CS002\..\Root\LEGACY_ASWSNX]
Deleted : [HKLM\..\CCS\..\Root\LEGACY_ASWSP]
Deleted : [HKLM\..\CS001\..\Root\LEGACY_ASWSP]
Deleted : [HKLM\..\CS002\..\Root\LEGACY_ASWSP]
Deleted : [HKLM\..\CCS\..\Root\LEGACY_ASWTDI]
Deleted : [HKLM\..\CS001\..\Root\LEGACY_ASWTDI]
Deleted : [HKLM\..\CS002\..\Root\LEGACY_ASWTDI]
¤
¤¤¤¤¤¤¤¤¤¤ | Registry Deletions
Value Deleted : [HKLM\Software\Microsoft\Internet Explorer\Toolbar]:{2318C2B1-4965-11d4-9B18-009027A5CD4F}
Value Deleted : [HKLM64\Software\Microsoft\Internet Explorer\Toolbar]:{2318C2B1-4965-11d4-9B18-009027A5CD4F}
No value : [HKU\S-1-5-21-3226404192-399622557-4180608022-1000\Software\Microsoft\Internet Explorer\Toolbar]:Locked
No value : [HKU64\S-1-5-21-3226404192-399622557-4180608022-1000\Software\Microsoft\Internet Explorer\Toolbar]:Locked
Key Deleted : HKU\S-1-5-21-3226404192-399622557-4180608022-1001\Software\{B2CB09FF-2453-4f85-9F40-21C05BE4CBA8}
Key Deleted : HKU64\S-1-5-21-3226404192-399622557-4180608022-1001\Software\{B2CB09FF-2453-4f85-9F40-21C05BE4CBA8}
Key Deleted : HKLM\Software\
¤
File Moved to quarantine successfully : |N| - C:\install.res.*.dll
File Moved to quarantine successfully : |N| - C:\eula.*.txt
Folder Moved to quarantine successfully : |D| - C:\Users\Paco\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Trend Micro Titanium Internet Security 2012
File Moved to quarantine successfully : |A| - C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Password.lnk
¤¤¤¤¤¤¤¤¤¤ | MBR
Windows Version: Windows 7 Home Premium Edition
Windows Information: Service Pack 1 (build 7601), 64-bit
Base Board Manufacturer: Micro-Star International Co., Ltd.
BIOS Manufacturer: American Megatrends Inc.
System Manufacturer: Micro-Star International Co., Ltd.
System Product Name: GE60 0NC/GE60 0ND
Logical Drives Mask: 0x000100fc
Analysis of file "C:\Pre_Scan\MBR.bin":
Windows 7 MBR code detected
¤
¤¤¤¤¤¤¤¤¤¤ | Disk cleaning
Disk cleaned
¤
End : 16:00:55
¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤ -
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 3.0108 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
Paco : Windows 7 Home Premium (64 bits)
Switchs : https://gen-hackman.kanak.fr/
New restorepoint created
Script : 15:59:54
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
¤¤¤¤¤¤¤¤¤¤ | Stopped Processes
(508) -- nvvsvc.exe
(1336) -- nvxdsync.exe
(1352) -- nvvsvc.exe
(1628) -- wlanext.exe
(1664) -- conhost.exe
(1724) -- spoolsv.exe
(1752) -- sched.exe
(1764) -- taskeng.exe
(1308) -- armsvc.exe
(1452) -- avguard.exe
(1468) -- devmonsrv.exe
(2060) -- EvtEng.exe
(2108) -- FABS.exe
(2168) -- HeciServer.exe
(2276) -- IntelMeFWService.exe
(2304) -- Jhi_service.exe
(2376) -- MSIService.exe
(2400) -- MSIFoundationService.exe
(2520) -- ChargeService.exe
(2572) -- PnkBstrA.exe
(2612) -- RegSrvc.exe
(2920) -- sftvsa.exe
(3020) -- TiMiniService.exe
(2204) -- WLIDSVC.EXE
(2480) -- obexsrv.exe
(2464) -- TiResumeSrv.exe
(2472) -- conhost.exe
(2452) -- sftlist.exe
(3156) -- WLIDSVCM.EXE
(3364) -- CVHSVC.EXE
(3656) -- TrustedInstaller.exe
(3836) -- WUDFHost.exe
(1920) -- taskhost.exe
(3896) -- explorer.exe
(4180) -- RAVCpl64.exe -
Attention !!! pense à re-désactiver tes protections
Clique sur ce lien : https://www.cjoint.com/c/CAjpqYJkc0E
Selectionne tout le texte qui s'y trouve CTRL+A puis CTRL+C ou clic droit/copier
Relance Pre_scan puis choisis l'option "Script"
une page va s'ouvrir
logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.
sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.
puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte
des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille
poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail
-
-
re
tu relanceras pre_scan(winlogon) option Diag , heberge le rapport pre_diag et donne le lien
-
je dois allé me coucher! je continuerais demain!
-
voici le rapport! https://www.cjoint.com/?3AjaOvPUd16
est ce que je peu remettre mes protections? et je fais quoi de winlogon?
- 1
- 2
Suivant
