Pc infecté plusieurs trojan

Résolu/Fermé
kankoony Messages postés 42 Date d'inscription vendredi 2 septembre 2005 Statut Membre Dernière intervention 21 septembre 2014 - 14 juil. 2012 à 00:42
 Utilisateur anonyme - 6 août 2012 à 18:51
Bonjour,

[Win 7 Pro 32b
Pentium 1,86 GHz
2Go RAM
Chrome Firefox, Thunderbird
Pare-feu windows
Avira
1 partition]


Je serais bien heureuse si je pouvais obtenir de l'aide.

Voici ce qu'a trouvé Avira en 1 mois (plus de 30 rapports)

Dans le fichier 'C:\Users\Nine Admin\AppData\Local\Temp\HouseCall\VSB7OD8I.02D'
un virus ou un programme indésirable 'TR/Crypt.XPACK.Gen' [trojan] a été détecté.
Action exécutée : Transmission au scanner

Dans le fichier 'C:\Users\Nine Admin\AppData\Local\Temp\HouseCall\VSB7OBI4.032'
un virus ou un programme indésirable 'TR/Spy.101520.2' [trojan] a été détecté.
Action exécutée : Transmission au scanner

Dans le fichier 'C:\Users\Nine Admin\AppData\Local\Temp\HouseCall\VSB7OBI4.029'
un virus ou un programme indésirable 'TR/Crypt.ZPACK.Gen' [trojan] a été détecté.
Action exécutée : Transmission au scanner.


Pas compris pourquoi avira ne les a pas supprimés (mauvaise config] ?)...
Ni signalés : en fait ils reviennent plusieurs fois, une trentaine de rapports, c pourquoi je ne les ai pas tous notés. Toujours dans le dossier HouseCall mais ils changent de noms. Pourtant je n'ai fait le scan TrendMicro qu'il y a quelques jours...bizarre.
un dossier différent de Google] avec MBAM Maleware-bytes anti-malware indique :

Fichier(s) détecté(s): 1
C:\Users\Nine\AppData\Local\Google\Chrome\User Data\Default\Cache\f_000aae (Trojan.Dropper.PGen) -> Aucune action effectuée.
Je l'ai supprimé.

J'ai suivi les recommandations et téléchargé tout ce qu'il faut, du moins je le crois...

J'ai analysé avec Avira, MBAM, et je n'ose pas refaire de scan en ligne

Rapport ZHPDiag>>>>https://www.cjoint.com/?BGoaBzKXnIX
Rapport MBAM >>>>https://www.cjoint.com/?BGoay6jNHBY

J'espère que quelqu'un aura la gentillesse de m'aider.

A demain
A voir également:

41 réponses

Rems 69 Messages postés 333 Date d'inscription samedi 14 juillet 2012 Statut Contributeur sécurité Dernière intervention 20 juillet 2012 23
14 juil. 2012 à 21:12
bonsoir,

* [*] Télécharger et enregistre RogueKiller sur le bureau
https://www.luanagames.com/index.fr.html (by tigzy)

[*] Quitter tous les programmes
[*] Lancer RogueKiller.exe.
[*] Attendre que le Prescan ait fini ...
[*] Cliquer sur Scan. Cliquer sur Rapport et copier coller le contenu du notepad

Note : Si Roguekiller ne se lance pas, change son nom en Winlogon.


2
kankoony Messages postés 42 Date d'inscription vendredi 2 septembre 2005 Statut Membre Dernière intervention 21 septembre 2014 1
Modifié par kankoony le 14/07/2012 à 16:06
Merci pour vos réponses

Je cite un avis ccm (et y a d'autres mécontents):

"je ne vois pas l'intérêt de se taper 1 heure de démarche et d'installation pour qu'au moment crucial de supprimer le trojan on nous demande d'acheter le programme. c'est uniquement commercial"

Je préfère réinstaller qu'acheter ! Pas de shareware...

Avira, je suis d'accord, c peut-être pas top.
D'autres suggestions ?
1
billycoen59 Messages postés 11 Date d'inscription vendredi 29 juin 2012 Statut Membre Dernière intervention 7 septembre 2012 1
14 juil. 2012 à 19:00
Salut,


Apparement tu as été infecté par une des variantes de Sirefef/zero access, une infection coriace contre laquel ton antivirus ne peut rien (c'est également le cas des antivirus payant soit dit en passant)

Je te conseille d'envoyer un MP a l'un des helpeurs du site (gen Hackman, guillaume, kalimusic, malekal morte, ou encore Destrio pour ne citer qu'eux) et de lui exposer ton problème ou d'attendre que l'un d'eux viennent t'aider et t'expliquer la marche à suivre. Donc ne lance plus aucun outil de diagnostic et de desinfection sans qu'ils te l'aient demandé.


Bonne soirée
1
kankoony Messages postés 42 Date d'inscription vendredi 2 septembre 2005 Statut Membre Dernière intervention 21 septembre 2014 1
15 juil. 2012 à 00:13
Merci billycoen59 et Rems 69

Je vais arrêter la casse et demander en mp
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Rems 69 Messages postés 333 Date d'inscription samedi 14 juillet 2012 Statut Contributeur sécurité Dernière intervention 20 juillet 2012 23
15 juil. 2012 à 09:01
Je te conseille d'envoyer un MP a l'un des helpeurs du site (gen Hackman, guillaume, kalimusic, malekal morte, ou encore Destrio pour ne citer qu'eux) et de lui exposer ton problème ou d'attendre que l'un d'eux viennent t'aider et t'expliquer la marche à suivre. Donc ne lance plus aucun outil de diagnostic et de desinfection sans qu'ils te l'aient demandé.

mdr !

clique sur mon peuso, tu verras qui suis je !

encore ptdr !







0
billycoen59 Messages postés 11 Date d'inscription vendredi 29 juin 2012 Statut Membre Dernière intervention 7 septembre 2012 1
15 juil. 2012 à 10:56
Salut,

Juste une chose.
J'ai ecris mon message avant que tu ne viennes proposer ton aide donc j'ai du mal à comprendre pourquoi tu le prends de cette façon.

J'espère que tu peux accepter que je connaisse pas les pseudos de tout les helpeurs du site, c'est bien cela que j'ai dit : "gen Hackman, guillaume, kalimusic, malekal morte, ou encore Destrio pour ne citer qu'eux".

Bonne journée
0
kankoony Messages postés 42 Date d'inscription vendredi 2 septembre 2005 Statut Membre Dernière intervention 21 septembre 2014 1
15 juil. 2012 à 14:29
Moi non plus, je comprends rien.
Je suis perdue et n'ai voulu froisser personne !

Bon, alors j'essaye Rogue...

Cordialement
0
kankoony Messages postés 42 Date d'inscription vendredi 2 septembre 2005 Statut Membre Dernière intervention 21 septembre 2014 1
15 juil. 2012 à 15:31
Re salut

Rapport RogueKiller : https://www.cjoint.com/?BGppyxuF6Y2

ou devais-je poster le rapport ici ?

A+
0
Rems 69 Messages postés 333 Date d'inscription samedi 14 juillet 2012 Statut Contributeur sécurité Dernière intervention 20 juillet 2012 23
15 juil. 2012 à 20:30
trealnce Roguekiller, clique sur l'onglet SSDT, selectionne les deux lignes :

SSDT[316] : NtSetContextThread @ 0x83119755 -> HOOKED (Unknown @ 0x930A8E73)
SSDT[347] : NtSetSecurityObject @ 0x8303D71E -> HOOKED (Unknown @ 0x930A8E7D)



puis clique sur Supprimer !

poste son rapport,




0
kankoony Messages postés 42 Date d'inscription vendredi 2 septembre 2005 Statut Membre Dernière intervention 21 septembre 2014 1
16 juil. 2012 à 14:07
Salut,
Merci de suivre mon cas.

J'ai eu un peu de mal car il n y a pas d'onglets SSDT. En fin j'ai sélectionné les deux lignes 316 et 347 dans l'onglet Driver et j'ai fait SUPPRESSION.

Je ne trouvais pas le rapport : il était sur bureau Admin. Bref.

Le voici :

https://www.cjoint.com/?BGqogxKv7Zb

Evidemment, je n'y comprends ps grand-chose...(driver, uh.)
Mon Pc s'éteint tout seul depuis quelques temps et bien sûr contre ma volonté.

Voila voili
0
Rems 69 Messages postés 333 Date d'inscription samedi 14 juillet 2012 Statut Contributeur sécurité Dernière intervention 20 juillet 2012 23
16 juil. 2012 à 15:04
bonjour,

* Télécharge ZHPDiag sur ton bureau :


https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou
http://www.premiumorange.com/zeb-help-process/zhpdiag.html
ou
https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.

/!\Utilisateur de Vista et Seven :

1/ Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »

2/ Dans l'interface de Zhpdiag, clique sur l'Uac, il faut le réactiver à la fin du nettoyage.

* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur Cjoint, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :


https://www.cjoint.com/ => https://www.commentcamarche.net/faq/29493-utiliser-cjoint-pour-heberger-des-fichiers
0
kankoony Messages postés 42 Date d'inscription vendredi 2 septembre 2005 Statut Membre Dernière intervention 21 septembre 2014 1
16 juil. 2012 à 15:32
Coucou, je te remercie vivement.

Rapport ZHPDiag : https://www.cjoint.com/?BGqpCaaYIon

Pas compris l'histoire de l'UAC dans l'interface ZHPDiag.
Je suis allée voir dans ccm et du coup j'ai désactivé le contrôle de compte d'utilisateur pour tout le PC.

Ah oui, mon accès internet a été bloqué momentanément erreur DNS, etc.
Le virus ?
0
Rems 69 Messages postés 333 Date d'inscription samedi 14 juillet 2012 Statut Contributeur sécurité Dernière intervention 20 juillet 2012 23
16 juil. 2012 à 16:46
relance Roguekiller, clique sur DNS RAZ.

ça va te réinitialiser le DNS :D


poste son rapport, je renagfe ton rapport de zhpdiag en attendant :D


0
Rems 69 Messages postés 333 Date d'inscription samedi 14 juillet 2012 Statut Contributeur sécurité Dernière intervention 20 juillet 2012 23
16 juil. 2012 à 16:58
pour le rapport de zhpdiag :



attention aux cracks et Keygens !!!



installe la dernière version de java :

https://www.java.com/fr/download/

désinstalle les anciennes versions !






* Lance ZHPFix via le raccourci sur ton Bureau



Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)



* * Copie ( Ctrl + C ) et colle ( Ctrl + V ) les lignes suivantes en gras dans Zhpfix :
---------------------------------------------------------

[MD5.00000000000000000000000000000000] [APT] [{6CEA4E81-139C-4278-BCFD-C120ECBA57C0}] (...) -- C:\Program Files\EA GAMES\Les Sims 2\TSBin\lol\Crack_Sims2.exe (.not file.)
O53 - SMSR:HKLM\...\startupreg\DAEMON Tools Lite [Key] . (...) -- C:\Program Files\d-tools\DTLite.exe (.not file.)
O87 - FAEL: "{388C9E99-CBE6-4B44-A910-C60D58038864}" |In - None - P17 - TRUE | .(...) -- C:\Users\Nine\AppData\Local\Temp\7zS7D48\setup\hpznui01.exe (.not file.)
[MD5.EF1EFCB1411D1B8DB8CEBD640A11A453] [SPRF][30/04/2012] (.Check Point Software Technologies - ZoneAlarm LTD Toolbar installation package.) -- C:\Users\Nine Admin\AppData\Local\Temp\Uninstall.exe [1187632]
[HKLM\Software\PopCap]
[HKLM\Software\PopCap] => Infection BT (Adware.PopCap)
O43 - CFD: 09/04/2011 - 21:13:55 - [0,018] ----D C:\ProgramData\PopCap Games
C:\ProgramData\PopCap Games =>Adware.PopCap
Emptytemp
EmptyFlash
EmptyCLSID


----------------------------------------------------------

- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse
Tuto :

http://www.premiumorange.com/zeb-help-process/zhpfix.html






tu as déjà MBAM sur ton pc (Malwarebytes' Anti-Malware)

lance le,


. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes
. Une fois la mise à jour terminé
. rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre.
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, cliques sur Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
. rends toi dans l'onglet rapport/log
. tu cliques dessus pour l'afficher une fois affiché
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. Tu cliques droit dans le cadre de la réponse et coller
. À la fin du scan, il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!

Si tu as besoin d'aide regarde ce tutoriel :
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/



0
kankoony Messages postés 42 Date d'inscription vendredi 2 septembre 2005 Statut Membre Dernière intervention 21 septembre 2014 1
16 juil. 2012 à 22:13
Au rapport, chef securité, :

RogueKiller pour DNS : https://www.cjoint.com/?BGqwf1f9Jzq

ZHPFix après collage des lignes H : https://www.cjoint.com/?BGqwiGZ76Md

Rapport MBAM :
Malwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org

Version de la base de données: v2012.07.16.09

Windows 7 Service Pack 1 x86 NTFS
Internet Explorer 9.0.8112.16421
Nine :: NINE-PC [limité]

16/07/2012 20:37:33
mbam-log-2012-07-16 (20-37-33).txt

Type d'examen: Examen complet (C:\|D:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM | P2P
Options d'examen désactivées:
Elément(s) analysé(s): 291566
Temps écoulé: 1 heure(s), 14 minute(s), 25 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

On dirait qu'y a plus rien.
Avira ne trouve plus rien en protection temps réel.
0
Rems 69 Messages postés 333 Date d'inscription samedi 14 juillet 2012 Statut Contributeur sécurité Dernière intervention 20 juillet 2012 23
17 juil. 2012 à 07:25
bonjour,

il y a toujours ces lignes qui ne plaisent pas sur le rapport de Roguekiller !

S_SSDT[585] : Unknown -> HOOKED (Unknown @ 0x92E48D16)
S_SSDT[588] : Unknown -> HOOKED (Unknown @ 0x92E48D1B)




relance Roguekiller,

clique sur l'onglet SSDT,

selectionne ces lignes en appuyant sur la touche Ctrl + pointeur de souris dessus, elles changent de couleur.

clique sur Supprimer,

on verra s'il les vire
0
kankoony Messages postés 42 Date d'inscription vendredi 2 septembre 2005 Statut Membre Dernière intervention 21 septembre 2014 1
Modifié par kankoony le 17/07/2012 à 12:59
Bonjour

Je ne comprends pas bien, j'ai lancé Rk sans les droits d'Admin puis Executer en tant qu'administrateur, dans ma session utilisateur normal. Je ne trouvais pas les lignes à supprimer ! Sur le rapport après scan, beaucoup de lignes étaient marquées access denied...

Je suis alors passée dans ma session d'admin et là après le scan les lignes 585 et 588 étaient là.

(Mais je n'avais jusqu'alors pas eu besoin de me connecter en Admin pour effectuer les manips demandées...)

Tout ce que j'ai changé c'est supprimer le contrôle de comptes d'utilisateurs ! Quel rapport ?

J'ai supprimé les lignes incriminées.

RogueK : https://www.cjoint.com/?BGrmYxogmba
0
Rems 69 Messages postés 333 Date d'inscription samedi 14 juillet 2012 Statut Contributeur sécurité Dernière intervention 20 juillet 2012 23
Modifié par Rems 69 le 17/07/2012 à 13:04
si tu n'as pas les droits d'administrateur, tu ne peux pas les virer, d'ou le message : acces denied !

j'ai un gros doute sur la légitimité de certaines clés !

crée un nouveau point de restauration système au cas ou le pc planterait, qu'on puisse restaurer le pc, ceci n'est qu'une précaution :D


* /!\Avertissement :
Ce logiciel n'est à utiliser que prescrit par un helper qualifié.
Ne pas utiliser en dehors de ce cas de figure : dangereux!




? Télécharges ComboFix à partir de ce lien et enregistres le sur ton bureau :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe
ou ici :
https://forum.pcastuces.com/combofix_renomme_au_telechargement-f31s22.htm
A lire
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Avant d'utiliser ComboFix :

? ferme les fenêtres de tous les programmes en cours.

? Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.
Une fois fait, sur ton bureau double-clic sur Combofix.exe.

/!\Utilisateur de Vista : Clique droit sur le logo de Combofix, « exécuter en tant qu'Administrateur »

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.

- il se peut que Combofix ait besoin de se connecter à internet pour trouver les mises à jour, donc il faut l'autoriser.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.


- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire.
- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\ComboFix\ComboFix.txt)
? Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.
? Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.




O.o* ??? Membre, Contributeur Sécurité CCM, Réspire à fond, Rédige ton message en bon français et de manière claire. Ca va bien se passer, tu verras, enfin on essaie !!! o°.Oø¤º°'°º¤ø
0
kankoony Messages postés 42 Date d'inscription vendredi 2 septembre 2005 Statut Membre Dernière intervention 21 septembre 2014 1
17 juil. 2012 à 15:43
Salut

Rien ne s'est exécuté comme dans le tuto : pas de console de récupération, pas de combofix disclaimer, et mon bureau Admin était bloqué.

De plus j'ai perdu la connection et j'écris depuis un autre PC. Dès que je t'aurais remis le rapport, je vais essayer de la réparer (la connection)

Rapport ComboFix : https://www.cjoint.com/?BGrpPtNXb6p

A +
0
Rems 69 Messages postés 333 Date d'inscription samedi 14 juillet 2012 Statut Contributeur sécurité Dernière intervention 20 juillet 2012 23
17 juil. 2012 à 15:56
redémarre le pc une ou deux fois normalement, il doit reprendre ses esprits :P

tu vas retrouver ta connexion, autremen,t restaure le pc avec le point que tu as créé normalement avant le lancement de Combofix :D


0