Trojan.gen.2 help!!!!!!!!!! [Résolu]

Bonjour,


Bienvenue sur CCM !
Nous allons essayer de régler ton problème ensemble. D'abord, quelques rappels :

- N'ouvre pas d'autres sujets pour le même problème (que ce soit sur ce forum ou sur un autre)
- N'hésite pas à poser des questions en cas de besoin ;)
- Sois patient(e) quand tu postes un message, je ne réponds pas instantanément : je suis bénévole et je ne suis pas en permanence devant mon ordinateur. Mais rassure toi, je ne laisse jamais tomber personne ;)
- La désinfection (si nécessaire) va se dérouler en plusieurs étapes. Même si les symptômes de l'infection disparaissent, la désinfection ne sera terminée que quand je te le confirmerai --> Merci de revenir jusqu'au bout, sinon ce qu'on a fait n'aura servi à rien.


Commence par utiliser ce logiciel de diagnostic stp, ça me permettra de t'aider :

* Télécharge ZHPDiag (de Nicolas Coolman)
* Lance le (si tu es sous Windows Vista ou Windows 7, fais le par un clic-droit --> Exécuter en temps qu'administrateur)
* Laisse toi guider lors de l'installation (pense à cocher la case pour créer un raccourci sur le Bureau)
* Il se lancera automatiquement à la fin de l'installation
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur ce site, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum


Précise moi également quels sont les fichiers détectés par ton antivirus (nom et localisation des fichiers)

Merci beaucoup pour cette aide.

J'ai donc fait marché ZHP DIAG.

Résultat :

http://security-domain.be/Uploader/dld.php?i=22db46bf-290d-42e9-bc7c-7f71a8bf8d5d

Sinon mes anti-virus ne voient aucun virus...

Mais tous les jours vers 13:30 mon Symantec bloque une multitude de ces Trojan.gen.2.

Je pense qu'il y a dans mon ordi quelque part un fichier très bien caché qui génère ces m.... et qui en génère de plus en plus. En ce qui concerne le ZHP Diag il date d'avant la génération de tout ça (fait tourner vers 13:20 / tout ça est apparu vers 13:35).


Nouveau ZHP Diag vers 17H15 :

http://security-domain.be/Uploader/dld.php?i=8dce7f79-256d-460a-8ca2-ecae326df6c8

Les fichiers bloqués sont ont pour nom :
APQ[....].tmp sachant que [....]désigne les trois ou quatre caractères qui changent.

Il faut que tu m'indiques le nom et l'emplacement des fichiers détectés par ton antivirus, ça me facilitera la tâche.


En attendant, désinstalle Spyware Doctor via le panneau de configuration (ce logiciel est inutile). Puis utilise ce logiciel de désinfection généraliste stp :

* Télécharge et installe Malwarebytes' Anti-Malware
* A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
* Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
* Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet" puis "Rechercher"
* Sélectionne tes disques durs" puis clique sur "Lancer l'examen"
* A la fin de l'analyse, clique sur Afficher les résultats
* Coche tous les éléments détectés puis clique sur Supprimer la sélection
* Enregistre le rapport
* S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes
* Poste dans ta prochaine réponse le rapport apparaissant après la suppression stp

J'ai désinstallé Spyware Doctor.

Malwarebytes... (ci-après MBAM) je l'avais déjà installé hier, là j'ai refait les mises à jour.

Voici des exemples de nom pour les fichiers bloqués par mon anti virus :

APQ8BF8.tmp
APQ218C.tmp
APQ8850.tmp
APQE478.tmp

Ce ne sont que des exemples. Des fichiers comme ça cet après-midi mon anti-virus en a bloqué plus de 100.

Malheureusement mon anti-virus (qui est Symantec) ne m'indique pas à quel emplacement se trouve le fichier bloqué. Il m'indique par contre avoir réussi la mise en quarantaine.

J'ai recherché sur mon C: APQ8BF8.tmp...non trouvé.




Lien vers mon diagnostic MalwareBytes :

http://security-domain.be/Uploader/dld.php?i=47aae04f-48e5-4fde-8541-84ab0ff22a13

MalwareBytes ne voit apparemment rien...je pense qu'il vaut mieux regarder le rapport de ZHPDiag, même si je n'y connais rien...

J'insiste pour dire que mon Symantec n'a jamais bloqué autant de fichiers...bien que les rapports semblent satisfaisants.

Ok :)

* Supprime les fichiers temporaires :
Télécharge et installe CCleaner --> Ferme tous tes autres programmes --> lance CCleaner --> clique sur Nettoyeur --> Nettoyer --> OK.

* Puis lance ton antivirus, mets le à jour et fais une analyse complète de ton ordinateur. S'il détecte quelque chose, essaye d'enregistrer le rapport d'analyse et de le poster ici stp.

Merci pour CCleaner.

Symantec continue de bloquer occasionnellement des fichiers de type Trojan.gen.2.

Après ne rien avoir détecté ce matin, ce soir mon antivirus a détecté quelque chose :

http://security-domain.be/...


Après nettoyage par contre il ne détecte plus rien.

Désolé pour le délai de réponse. Je vais essayer de répondre à tes questions.

- La détection de MalwareBytes était une fausse alerte (il a trouvé un programme utilisé par ZHPDiag et qui n'est pas néfaste).

- Le site cleanpguide.com dont tu parles est une arnaque : ce site (et beaucoup d'autres) sert juste à te pousser à télécharger un programme payant, ici Spyware Doctor. De toute façon, tu ne trouveras aucun outil de désinfection spécifique pour ton cas puisque "Trojan.Gen.2" ne désigne pas une infection en particulier, c'est un nom générique.

- CCleaner n'est pas un outil de désinfection, c'est un programme qui sert à supprimer des fichiers temporaires inutiles. Il n'est pas nécessaire de l'utiliser très souvent, une ou deux fois par mois me parait convenable.


Relance un diagnostic approfondi avec ZHPDiag stp :
* Ferme tous tes programmes.
* Relance ZHPDiag par un clic-droit --> Exécuter en temps qu'administrateur.
* Clique sur l'icone représentant un tournevis et coche toutes les options disponibles.
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Rends toi sur ce site, clique sur "Parcourir" et sélectionne le rapport de ZHPDiag, choisis une durée de conservation de 360 jours et clique sur "créer le lien Cjoint". Copie/colle le lien fourni dans ta prochaine réponse sur le forum

Ok pour searchsettings, mais ce n'est qu'un reste d'infection inactif. On va quand même le supprimer et se débarrasser à nouveau des fichiers temporaires :

* Ouvre ce lien, sélectionne le script en entier et copie le (Edition --> Copier)
* Fais un clic-droit sur le raccourci de ZHPFix et choisis "Exécuter en temps qu'administrateur"
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »). Le script doit automatiquement apparaitre dans ZHPFix.
* Clique sur « Tous », puis sur « Nettoyer »
* Copie/colle la totalité du rapport dans ta prochaine réponse.


Mais je ne vois pas d'infection active dans ce rapport. A la prochaine alerte de ton antivirus, note le nom et l'emplacement du fichier mais ignore la détection (ne supprime pas le fichier et désactive temporairement ton antivirus). Localise le fichier, fais un clic-droit dessus --> Envoyer vers --> dossier compressé. Envoie-moi ce dossier compressé via cjoint.com

Ensuite, remets un rapport ZHPDiag complet (en cochant toutes les options). Réactive ton antivirus seulement après.

J'ai trouvé les fichiers mis en quarantaine dans Program Data / Symantec.

J'ai d'abord tenté de les copier sur un autre fichier, puis de les compresser, mais je ne peux pas l'uploader car trop gros (62MO de fichiers .tmp mis en quarantaine tout de même). En plus dans le temps de la copie la fonction Auto-Protect de mon antivirus en a supprimé une partie.

Je t'en ai quand même compressé et uploadé cinq :

http://www.cijoint.fr/cjlink.php?file=cj201102/cijhjm4AMs.zip

http://www.cijoint.fr/cjlink.php?file=cj201102/cijMym66sC.zip

http://www.cijoint.fr/cjlink.php?file=cj201102/cijF0F8Ygg.zip

http://www.cijoint.fr/cjlink.php?file=cj201102/cijUiRFiJW.zip

http://www.cijoint.fr/cjlink.php?file=cj201102/cijk8uXHvl.zip

Ceux-ci venaient du

C:\Users\jp.thiebaud\AppData\Local\Temp

J'ai temporairement désactivé l'autoprotect pour restaurer 2 fichiers sauvegardés par mon antivirus.

A mon avis le premier fichier est la cause de mes problèmes, car en regardant sa date de sauvegarde c'est celle du début de mes problèmes.

http://www.cijoint.fr/cjlink.php?file=cj201102/cija9lHE3I.zip

Un autre fichier infecté :

http://www.cijoint.fr/cjlink.php?file=cj201102/cijFmANWTx.zip

Voir ce résumé :

??????,upgrade[1].cab,C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\0PS72R2M\,Contient encore 1 éléments infectés,20/02/2011 03:34:52

Trojan.ADH.2,saiE0A7.exe,C:\Users\jp.thiebaud\AppData\Local\Temp\,Infecté,13/02/2011 17:33:19


J'ai cédé à un moment de panique et ai ensuite effacé les fichiers et fait marcher le CCleaner.

Ok ça n'était pas très catho...

J'ai ensuite re-downloadé les 7 fichiers ci-dessus puis fait un ZHPDiag parce que je n'avais pas été très discipliné.

http://www.cijoint.fr/cjlink.php?file=cj201102/cijdo21maZ.txt

OK c'est un peu compliqué désolé.

Une remarque intéressante enfin :

ZHPFIX a mis en quarantaine un fichier torrentbitch.lnk.VIR, intéressant car c'est au moment où je téléchargeais ce fichier que j'ai chopé cette m....

Le fichier searchsettings.exe n'existe plus, la trace visible dans le rapport de ZHPDiag n'est qu'une clé de Registre orpheline, elle n'est pas dangereuse.

Les éléments supprimés par ZHPFix le sont volontairement (c'est moi qui indique au logiciel ce qu'il doit supprimer, grâce aux scripts que je te transmets). C'est pour ça que je t'ai fait supprimer des restes de TorrentBitch ;)
Pour vider la quarantaine de ZHPFix, le plus simple est de lancer ZHPFix et de cliquer sur cette icone (attention à ne pas la confondre avec celle qui permet de restaurer la quarantaine, pointe la souris dessus pour avoir la légende et vérifier qu'il s'agit de la bonne icone).

Pour les fichiers issus de la quarantaine de ton antivirus : celui que tu identifies comme la cause de tes problèmes est lié à l'adware ClickPotato (il s'installe le plus souvent en proposant sur des sites de streaming le programme VLC... auquel on a rajouté l'infection). Mais les rapports ZHPDiag ne montrent plus de traces de cet adware...

Les autres sont effectivement des fichiers temporaires, mais je ne sais pas à quoi ils correspondent ni par quoi ils sont créés :-S En les analysant sur le site VirusTotal, j'ai remarqué qu'ils étaient tous détectés par DrWeb : suis ce tutoriel pour faire une analyse avec DrWeb CureIt et poste ici le rapport final. Sinon, tu peux aussi voir avec Symantec pourquoi leur antivirus détecte ces fichiers, ils te diront sûrement à quoi ils sont liés.

Comme promis, voici les conseils de finition :


1) Sécurise ton ordinateur

* Logiciels de protection :
Garde un antivirus (Symantec dans ton cas) et en complément, garde MalwareBytes Anti-Malware pour faire des scans de vérification de temps en temps. Ni plus, ni moins.

* Pour naviguer sur internet plus en sécurité et à l'abri des publicités, je te conseille vivement d'installer et d'utiliser le navigateur Firefox. Une fois que c'est fait, lance le et installe les deux extensions de sécurité suivantes :
AdBlockPlus pour bloquer les publicités ;
WOT, pour t'avertir des sites web dangereux.

* Java n'est pas à jour, c'est une faille de sécurité.
Il faut d'abord désinstaller l'ancienne version : Ouvre le menu démarrer --> panneau de configuration --> Désinstaller un programme --> sélectionne toutes les versions de java présentes et désinstalle les.
Ensuite, télécharge et installe la nouvelle version depuis le site officiel de java (n'installe pas la barre d'outil proposée lors de l'installation)

* Pour les mêmes raisons, mets à jour Flash Player : Ferme ton navigateur, puis désinstalle Adobe Flash Player 10 ActiveX et Adobe Flash Player 10 Plugin. Ensuite, utilise ces deux liens pour installer la dernière version : Celui-ci pour l'ActiveX et celui-ci pour le plugin.

* Pour vérifier régulièrement que tous tes programmes sont bien à jour, tu peux t'aider de ce programme : Secunia PSI.

* Vaccine tes disques amovibles à l'aide de USBFix (de Chiquitine29 et C_XX) --> lance l'installation avec les paramètres par défaut --> Branche tes sources de données externes à ton PC (clé USB, disque dur externe, lecteur mp3, appareils photos numériques etc...) sans les ouvrir --> Fais un clic droit sur le raccourci de USBFix et choisis 'Exécuter en tant qu'administrateur' --> Au menu principal, choisis l'option Vaccination.



2) Optimisation :

* Les barres d'outils sont inutiles, elles ralentissent le navigateur et peuvent le rendre instable : je te conseille de les désinstaller. Pour ça, ouvre le menu démarrer --> panneau de configuration --> désinstaller un programme --> Sélectionne « Google Toolbar » et désinstalle ce programme.

* Télécharge Ccleaner. Installe le et lance le.
Clique sur Nettoyeur --> Analyse --> Lancer le nettoyage, puis sur OK dans la fenêtre qui s' affiche.
Enfin, Registre --> corrige toutes les erreurs, et recommence jusqu'à ce qu'il ne trouve plus d'erreurs.

* Pour limiter le nombre de programmes qui se lancent automatiquement au démarrage, clique sur Outils --> Démarrage --> Sélectionne les lignes suivantes et clique sur "Désactiver" : swg / Adobe Reader Speed Launcher / Adobe ARM / Logitech . Enregistrement du produit

* Télécharge Defraggler. Installe le puis lance le. Ferme tous tes autres programmes, sélectionne ton disque dur et clique sur "Défragmentation rapide".



3) Il faut supprimer tous les outils que nous avons utilisés : Télécharge DelFix (de Xplode) sur ton Bureau --> Lance le et clique sur Suppression --> quand il aura terminé, clique sur Désinstallation.



4) Pour finir le nettoyage, il faut purger la restauration du système (pour supprimer les points de restauration infectés) : pour ça, suis ce tutoriel stp.



5) Prévention : Je te conseille vivement de lire cet article qui t'apportera des informations de prévention et de protection contre les infections (environ 15 minutes de lecture très instructive et utile) : Prévention et sécurité sur internet




Bonne lecture, bon courage, et n'hésite pas à poser des questions en cas de besoin ;)