Infecté par btc-miner

Résolu
koog@ -  
Bonjour,

depuis quelques semaines je suis infecté par btc-miner.exe*32 qui me prend 25% de mémoire en permanence et qui me ralenti complètement l'ordinateur.

J'ai essayé plusieurs méthodes en suivant celle que vous avez utilisé pour un autre membre mais impossible de m'en défaire (avec mon niveau !)

Dans le gestionnaire de taches, si je clique sur "arreter le processus" ça bloque tout le pc et je suis obligé de redémarrer.

merci de m'aider, je n'en peux plus.

processeur intelcore i3 540@ 3.07GHz 3.07 GHz

RAM 4.00 Go

windows 7 intégrale 64 bits

18 réponses

Résumé de la discussion

Une infection par btc-miner.exe*32 monopolise la mémoire et ralentit l'ordinateur, et l'arrêt du processus dans le gestionnaire bloque le système, nécessitant parfois un redémarrage urgent. Des réponses techniques évoquent la suppression puis la réinstallation des outils concernés, tandis que des solutions d'analyse et de nettoyage, comme AdwCleaner et OTL, reviennent comme méthodes recommandées. Les échanges couvrent des étapes pratiques: exécution d'AdwCleaner en mode scanner puis nettoyage, puis génération de rapports OTL pour diagnostiquer les programmes en cours et détecter les infections. En parallèle, des conseils promouvent la vérification des rapports générés et l'hébergement des résultats sur des services externes pour vérification par des tiers ou experts en ligne.

Bobot (l’IA à votre service)
  2. Malekal_morte- Modérateur
    ok super, j'ai envoyé aux antivirus, des détections seront ajoutées par la suite!

    Garde Malwarebytes et fais des scans réguliers ces prochains.
    Vérifie que le miner ne revienne pas (toute façon, ton PC va ramer donc tu devrais le voir).

    Je te conseille de changer tous tes mots de passe WEB (Facebook, mail etc).
    1. koog@ Auteur
      désolé, j'ai répondu en même temps que vous me donniez de nouvelles directives.
      Voilà donc "correction"

      ========== FILES ==========
      C:\Windows\SysWOW64\dfrg folder moved successfully.

      OTL by OldTimer - Version 3.2.69.0 log created on 09252013_223204
      1. Malekal_morte- Modérateur
        fais la seconde partie puis redémarre le PC et vois ce que cela donne.
      2. koog@ Auteur
        pour l'envoie du fichier, je l'ai mis en zip et en rar, pour les deux il me dit que le fichier est invalide (il fait moins de 8mo pourtant)

        je redémarre donc mon pc
      3. Malekal_morte- Modérateur
        ok, tu peux envoyer les fichiers un par un qui se trouve dans :
        C:\_OTLMovedFiles/numero_date/C_Windows/SysWOW64\dfrg
      4. koog@ Auteur
        pc redémarré .

        pour le moment btc-miner a disparu, mais je vais attendre avant de chanter victoire car parfois,après un redémarrage il revient avec un peu de retard, à moins qu'il n'y aie une vérif de confirmation.

        Vous êtes formidable, on se sent bien conseillé, merci beaucoup !!!!
      5. koog@ Auteur
        dfrg a bien disparu de C:\Windows\SysWOW64

        je crois que c'est gagnéééééééééééééééééé !!!!!

        J'espère que ça va aider les autres à s'en débarrasser.

        merci
    2. koog@ Auteur
      il ne me prend plus de processeur (0%) mais il est toujours là !

      on a déjà bien avancé !
      1. Malekal_morte- Modérateur
        c'est normal, il est suspendu :)
        Fais la correction OTL.
    4. Malekal_morte- Modérateur
      Relance OTL.
      o sous Personnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
      Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:

      :files
      C:\Windows\SysWOW64\dfrg\

      * poste le rapport ici

      ~~~

      Zip le dossier C:\_OTL
      Ouvre Mon Ordinateur / Poste de travail => Disque C
      Tu dois voir le dossier _OTL, ouvre le.
      Là tu dois voir un dossier MovedFiles - NE PAS OUVRIR.
      Dessus, fais : Clic droit / Envoyer vers dossier compressé.
      Cela va créer un fichier MovedFiles.zip
      Envoie ce fichier MovedFiles.zip sur http://upload.malekal.com

      Ne pas envoyer OTL.exe qui se trouve sur le bureau, bien ouvrir Mon Ordinateur / Poste de travail puis le disque C.

      4. koog@ Auteur
        Dans mon miner ?

        Aie ! Là je ne comprends pas ce que je dois faire !

        Une fois le lien utilisé, il va me donner un chemin que je dois vous donner et je dois clic droit et supprimer ?

        C'est ça ?

        Merci
        1. Malekal_morte- Modérateur
          Pour ton miner : mets ça : http://www.malekal.com/2010/11/12/tutorial-process-explorer/

          double-clic sur btc-miner.exe et donne le chemin qui est donné dans PATH ici.

          ensuite tjrs sur btc-miner.exe, clic droit et suspend.

          1. koog@ Auteur
            SPYHUNTER et ISAFE désinstallés.
            voici le rapport
            (fallait-il cocher "tous les utilisateurs" ?)

            rapport avec "analyse 64bits"
            ========== OTL ==========
            C:\Users\Patrice\AppData\Roaming\eCyber\sysicons folder moved successfully.
            C:\Users\Patrice\AppData\Roaming\eCyber folder moved successfully.
            Folder C:\ProgramData\Microsoft\Windows\Start Menu\Programs\iSafe\ not found.
            C:\Users\Patrice\AppData\Roaming\iSafe\was folder moved successfully.
            C:\Users\Patrice\AppData\Roaming\iSafe\SendTo folder moved successfully.
            C:\Users\Patrice\AppData\Roaming\iSafe\rms folder moved successfully.
            C:\Users\Patrice\AppData\Roaming\iSafe\ico folder moved successfully.
            C:\Users\Patrice\AppData\Roaming\iSafe\ess folder moved successfully.
            C:\Users\Patrice\AppData\Roaming\iSafe\eas folder moved successfully.
            C:\Users\Patrice\AppData\Roaming\iSafe\bas folder moved successfully.
            C:\Users\Patrice\AppData\Roaming\iSafe folder moved successfully.
            Folder C:\Program Files (x86)\iSafe\ not found.
            C:\Users\Patrice\AppData\Roaming\TunesNINJA folder moved successfully.
            Service esgiguard stopped successfully!
            Service esgiguard deleted successfully!
            File C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys not found.
            Error: No service named npf was found to stop!
            Service\Driver key npf not found.
            File C:\Program Files (x86)\iSafe\npf.sys not found.
            Error: No service named iSafeKrnl was found to stop!
            Service\Driver key iSafeKrnl not found.
            File C:\Program Files (x86)\iSafe\iSafeKrnl.sys not found.

            OTL by OldTimer - Version 3.2.69.0 log created on 09252013_215128

            rapport avec "tous les utilsateurs"

            ========== OTL ==========
            Folder C:\Users\Patrice\AppData\Roaming\eCyber\ not found.
            Folder C:\ProgramData\Microsoft\Windows\Start Menu\Programs\iSafe\ not found.
            Folder C:\Users\Patrice\AppData\Roaming\iSafe\ not found.
            Folder C:\Program Files (x86)\iSafe\ not found.
            Folder C:\Users\Patrice\AppData\Roaming\TunesNINJA\ not found.
            Error: No service named esgiguard was found to stop!
            Service\Driver key esgiguard not found.
            File C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys not found.
            Error: No service named npf was found to stop!
            Service\Driver key npf not found.
            File C:\Program Files (x86)\iSafe\npf.sys not found.
            Error: No service named iSafeKrnl was found to stop!
            Service\Driver key iSafeKrnl not found.
            File C:\Program Files (x86)\iSafe\iSafeKrnl.sys not found.

            OTL by OldTimer - Version 3.2.69.0 log created on 09252013_215325
            1. Malekal_morte- Modérateur
              Désinstalle iSafe, c'est une arnaque ce truc.

              Relance OTL.
              o sous Personnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
              Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:

              :OTL
              [2013/09/07 07:06:16 | 000,000,000 | ---D | C] -- C:\Users\Patrice\AppData\Roaming\eCyber
              [2013/09/07 07:06:10 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\iSafe
              [2013/09/07 07:06:05 | 000,000,000 | ---D | C] -- C:\Users\Patrice\AppData\Roaming\iSafe
              [2013/09/07 07:06:05 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\iSafe
              [2013/08/27 08:17:43 | 000,000,000 | ---D | C] -- C:\Users\Patrice\AppData\Roaming\TunesNINJA
              DRV:[b]64bit:[/b] - [2011/03/02 18:17:20 | 000,013,088 | ---- | M] () [Kernel | On_Demand | Stopped] -- C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys -- (esgiguard)
              DRV - [2013/08/30 04:31:53 | 000,038,256 | ---- | M] (Riverbed Technology, Inc.) [Kernel | Auto | Running] -- C:\Program Files (x86)\iSafe\npf.sys -- (npf)
              DRV - [2013/08/30 04:31:52 | 000,181,104 | ---- | M] (Woodtale Technology Inc) [File_System | On_Demand | Running] -- C:\Program Files (x86)\iSafe\iSafeKrnl.sys -- (iSafeKrnl)

              * poste le rapport ici

              Like the angel you are, you laugh creating a lightness in my chest,
              Your eyes they penetrate me,
              (Your answer's always 'maybe')
              That's when I got up and left
              1. koog@ Auteur
                Comment ça, je ne l'ai pas fait ?
                1. Malekal_morte- Modérateur
                  je n'avais pas vu les liens, comme je m'attendais d'abord à AdwCleaner puis OTL ensuite.
                  Je regarde.
              3. koog@ Auteur
                désolé, voilà le bon rapport

                # AdwCleaner v3.005 - Rapport créé le 23/09/2013 à 19:07:01
                # Mis à jour le 22/09/2013 par Xplode
                # Système d'exploitation : Windows 7 Ultimate Service Pack 1 (64 bits)
                # Nom d'utilisateur : Patrice - PATRICE-PC
                # Exécuté depuis : C:\Users\Patrice\Downloads\adwcleaner(1).exe
                # Option : Nettoyer

                ***** [ Services ] *****

                ***** [ Fichiers / Dossiers ] *****

                Dossier Supprimé : C:\Users\Patrice\AppData\Local\cre
                Dossier Supprimé : C:\Users\Patrice\AppData\Roaming\Systweak
                Fichier Supprimé : C:\Windows\System32\roboot64.exe
                Fichier Supprimé : C:\Windows\System32\Tasks\Scheduled Update for Ask Toolbar

                ***** [ Raccourcis ] *****

                ***** [ Registre ] *****

                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\apnstub_RASAPI32
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\apnstub_RASMANCS
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\askpartnercobrandingtool_RASAPI32
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\tracing\askpartnercobrandingtool_RASMANCS
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\AskSLib_RASAPI32
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\AskSLib_RASMANCS
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\OfferBoxhxxpProxy_RASAPI32
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\OfferBoxhxxpProxy_RASMANCS
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\OfferBoxUpdateService_RASAPI32
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\OfferBoxUpdateService_RASMANCS
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\TaskScheduler_RASAPI32
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\TaskScheduler_RASMANCS
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\toolbar_vit_sweetim_RASAPI32
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\toolbar_vit_sweetim_RASMANCS
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SP_f2a323db
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SoftonicDownloader_pour_daemon-tools_RASAPI32
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SoftonicDownloader_pour_daemon-tools_RASMANCS
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SoftonicDownloader_pour_free-youtube-download_RASAPI32
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SoftonicDownloader_pour_free-youtube-download_RASMANCS
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SoftonicDownloader_pour_nasa-world-wind_RASAPI32
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SoftonicDownloader_pour_nasa-world-wind_RASMANCS
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SoftonicDownloader_pour_virtual-clonedrive_RASAPI32
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\SoftonicDownloader_pour_virtual-clonedrive_RASMANCS
                Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{EE932B49-D5C0-4D19-A3DA-CE0849258DE6}
                Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{31E3BC75-2A09-4CFF-9C92-8D0ED8D1DC0F}
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EE932B49-D5C0-4D19-A3DA-CE0849258DE6}
                Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EE932B49-D5C0-4D19-A3DA-CE0849258DE6}
                Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{EE932B49-D5C0-4D19-A3DA-CE0849258DE6}
                Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\{EE932B49-D5C0-4D19-A3DA-CE0849258DE6}
                Clé Supprimée : [x64] HKLM\SOFTWARE\Classes\CLSID\{EE932B49-D5C0-4D19-A3DA-CE0849258DE6}
                Clé Supprimée : [x64] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EE932B49-D5C0-4D19-A3DA-CE0849258DE6}
                Clé Supprimée : HKCU\Software\YahooPartnerToolbar
                Clé Supprimée : HKLM\Software\systweak

                ***** [ Navigateurs ] *****

                -\\ Internet Explorer v10.0.9200.16686

                -\\ Mozilla Firefox v24.0 (fr)

                [ Fichier : C:\Users\Patrice\AppData\Roaming\Mozilla\Firefox\Profiles\o8fl1sr7.default\prefs.js ]

                -\\ Google Chrome v

                [ Fichier : C:\Users\Patrice\AppData\Local\Google\Chrome\User Data\Default\preferences ]

                *************************

                AdwCleaner[R0].txt - [4841 octets] - [16/09/2013 19:28:43]
                AdwCleaner[R1].txt - [4149 octets] - [23/09/2013 19:06:33]
                AdwCleaner[S0].txt - [4047 octets] - [23/09/2013 19:07:01]

                ########## EOF - C:\AdwCleaner\AdwCleaner[S0].txt - [4107 octets] ##########
                2. koog@ Auteur
                  voilà déjà le rapport awd

                  # AdwCleaner v1.703 - Rapport créé le 23/09/2013 à 18:32:01
                  # Mis à jour le 20/07/2012 par Xplode
                  # Système d'exploitation : Windows 7 Ultimate Service Pack 1 (64 bits)
                  # Nom d'utilisateur : Patrice - PATRICE-PC
                  # Exécuté depuis : C:\Users\Patrice\Desktop\LOG PC\adwcleaner.exe
                  # Option [Suppression]

                  ***** [Services] *****

                  ***** [Fichiers / Dossiers] *****

                  ***** [Registre] *****

                  Clé Supprimée : HKLM\SOFTWARE\DT Soft

                  ***** [Registre - GUID] *****

                  ***** [Navigateurs] *****

                  -\\ Internet Explorer v9.10.9200.16686

                  [OK] Le registre ne contient aucune entrée illégitime.

                  -\\ Mozilla Firefox v24.0 (fr)

                  Nom du profil : default
                  Fichier : C:\Users\Patrice\AppData\Roaming\Mozilla\Firefox\Profiles\o8fl1sr7.default\prefs.js

                  Supprimée : user_pref("aol_toolbar.default.homepage.check", false);
                  Supprimée : user_pref("aol_toolbar.default.search.check", false);
                  Supprimée : user_pref("extensions.BabylonToolbar.prtkDS", 0);
                  Supprimée : user_pref("extensions.BabylonToolbar.prtkHmpg", 0);
                  Supprimée : user_pref("sweetim.toolbar.previous.browser.startup.homepage", "");
                  Supprimée : user_pref("sweetim.toolbar.previous.keyword.URL", "");
                  Supprimée : user_pref("sweetim.toolbar.scripts.1.domain-blacklist", "");
                  Supprimée : user_pref("sweetim.toolbar.searchguard.UserRejectedGuard_DS", "");
                  Supprimée : user_pref("sweetim.toolbar.searchguard.UserRejectedGuard_HP", "");
                  Supprimée : user_pref("sweetim.toolbar.searchguard.enable", "");

                  -\\ Google Chrome v [Impossible d'obtenir la version]

                  Fichier : C:\Users\Patrice\AppData\Local\Google\Chrome\User Data\Default\Preferences

                  [OK] Le fichier ne contient aucune entrée illégitime.

                  *************************

                  AdwCleaner[R4].txt - [6588 octets] - [30/04/2013 05:16:51]
                  AdwCleaner[S5].txt - [6308 octets] - [30/04/2013 05:17:21]
                  AdwCleaner[R5].txt - [2252 octets] - [06/09/2013 06:54:49]
                  AdwCleaner[R6].txt - [2312 octets] - [06/09/2013 20:05:50]
                  AdwCleaner[R7].txt - [2372 octets] - [06/09/2013 20:11:23]
                  AdwCleaner[R8].txt - [2257 octets] - [23/09/2013 18:31:34]
                  AdwCleaner[S6].txt - [2072 octets] - [23/09/2013 18:32:01]

                  ########## EOF - C:\AdwCleaner[S6].txt - [2200 octets] ##########
                  1. Malekal_morte- Modérateur
                    ta version n'est pas à jour et complètement dépassée.
                    Supprime la et recommence.
                3. Malekal_morte- Modérateur
                  Salut,

                  Télécharge https://www.malekal.com/adwcleaner-supprimer-virus-adwares-pup/?t=33839&start= AdwCleaner ( d'Xplode ) sur ton bureau.
                  Sur la page d'AdwCleaner, à droite, clic sur la disquette grise avec la flèche verte pour lancer le téléchargement.
                  Lance AdwCleaner, clique sur [Scanner].
                  Le scan peux durer plusieurs minutes, patienter.
                  Une fois le scan terminé, clique sur [Nettoyer]

                  Une fois le nettoyage terminéi, un rapport s'ouvrira. Copie/colle le contenu du rapport dans ta prochaine réponse par un copier/coller.
                  Si cela ne fonctionne pas, utilise le site http://pjjoint.malekal.com pour héberger le rapport, donne le lien du rapport dans un nouveau message.

                  Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

                  puis:

                  Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt
                  Fournir les deux rapports :

                  Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/

                  * Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
                  (Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

                  Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

                  * Lance OTL
                  * En haut à droite de Analyse rapide, coche "tous les utilisateurs"
                  * Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :

                  netsvcs
                  msconfig
                  safebootminimal
                  safebootnetwork
                  activex
                  drivers32
                  %ALLUSERSPROFILE%\Application Data\*.
                  %ALLUSERSPROFILE%\Application Data\*.exe /s
                  %APPDATA%\*.
                  %APPDATA%\*.exe /s
                  %temp%\*.exe /s
                  %SYSTEMDRIVE%\*.exe
                  %systemroot%\*. /mp /s
                  %systemroot%\system32\consrv.dll
                  %systemroot%\system32\*.dll /lockedfiles
                  %windir%\Tasks\*.job /lockedfiles
                  %systemroot%\system32\drivers\*.sys /lockedfiles
                  %systemroot%\System32\config\*.sav
                  /md5start
                  explorer.exe
                  winlogon.exe
                  services.exe
                  wininit.exe
                  /md5stop
                  HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
                  HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
                  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
                  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
                  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
                  HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s
                  HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s
                  CREATERESTOREPOINT
                  nslookup https://www.google.fr/?gws_rd=ssl /c
                  SAVEMBR:0
                  hklm\software\clients\startmenuinternet|command /rs
                  hklm\software\clients\startmenuinternet|command /64 /rs

                  * Clique sur le bouton Analyse.

                  * Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
                  Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans une réponse.
                  Je répète : donne le lien du rapport pjjoint ici en réponse.

                  NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE

                  Discussions similaires

                  Infecte par un virus
                  sapard

                  3 réponses
                  Mon ordinateur a été infecté par un virus ou
                  henry4002

                  6 réponses
                  infecté par InstantAccess
                  mimi22

                  22 réponses
                  infecté par brontok
                  yannick

                  27 réponses
                  infecté par trojan.generic
                  blocage

                  29 réponses