Trojan/Svchost

Résolu/Fermé
Antoine - 15 avril 2018 à 20:02
 Antoine - 23 avril 2018 à 01:23
Bonjour,

Depuis hier mon Windows Defender détecte au démarrage (pas tout le temps) un trojan sur svchost.exe, de plus j'ai vois que dans le gestionnaire de taches le processus svchost.exe consomme près de 90% de mon CPU. J'ai fais des scans MalwareBytes et ZHP cleaner qui ont supprimé les menaces détectées cependant le problème persiste, enfin, de manière régulière mon PC se stoppe avec un écran bleu marqué "critical process died".
J'aimerais alors votre aide pour pouvoir nettoyer mon PC, merci.
A voir également:

6 réponses

Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
18 avril 2018 à 21:03
J'ai complété l'analyse de ce pack sur la page : https://www.malekal.com/svchost-exe-forte-utilisation-cpu-trojan/
Il y a :
- Wajam Social2Search qui force un proxy
- un trojan miner à travers chrome en autre.
- Un Browser hijacker Quick Searcher
- divers autres trucs




Le svchost.exe qui bouffe aussi mal la CPU aussi



1
Oups désolé pour le retard de cette réponses et merci beaucoup pour les précisions apportées je vais regarder ca de plus près
0
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
15 avril 2018 à 20:17
Salut,

Commence par FRST :

Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST,
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :
  • FRST.txt
  • Shortcut.txt
  • Additionnal.txt


Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ afin de les partager.
En retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.


0
Merci pour votre réponse rapide, voici les 3 liens pjjoint:

https://pjjoint.malekal.com/files.php?id=20180415_j7t5u14u510
https://pjjoint.malekal.com/files.php?id=FRST_20180415_l11p12c9f6s15
https://pjjoint.malekal.com/files.php?id=20180415_6o12y11d6g14
0
cependant pendant l'analyse mon processeur était dans un état normal je peux essayer de la refaire lorsqu'il est a 90% de ses capacités si ça peut vous aider
0
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
16 avril 2018 à 09:10
Désinstalle
PandaViewer
Spybot (inefficace)


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-1260958878-1458534150-3049960127-1001\...\Run: [Blog] => C:\ProgramData\Blog\Blog.exe
2018-04-15 04:11 - 2018-04-15 04:13 - 000000000 ____D C:\AdwCleaner
2018-04-15 04:11 - 2018-04-15 04:11 - 008206624 _____ (Malwarebytes) C:\Users\Antoine\Downloads\adwcleaner-7-0-7-0.exe
2018-04-15 04:10 - 2018-04-15 04:32 - 000000000 ____D C:\Users\Antoine\AppData\Roaming\ZHP
2018-04-15 04:10 - 2018-04-15 04:10 - 000000000 ____D C:\Users\Antoine\AppData\Local\ZHP
2018-04-15 04:09 - 2018-04-15 04:34 - 000000000 __SHD C:\ProgramData\Flashm
2018-04-15 04:09 - 2018-04-15 04:09 - 000003676 _____ C:\WINDOWS\System32\Tasks\AdobeUpdatem
2018-04-15 04:07 - 2018-04-15 04:07 - 000632832 _____ C:\WINDOWS\ydnpqbitineafwxg.dll
2018-04-15 04:07 - 2018-04-15 04:07 - 000194048 _____ C:\Users\Antoine\AppData\Local\plsxc.dll
2018-04-15 04:07 - 2018-04-15 04:07 - 000003576 _____ C:\WINDOWS\System32\Tasks\{1249D9E5-1D2C-E1FA-95FF-AE2F163974CA}
2018-04-15 04:07 - 2018-04-15 04:07 - 000003072 _____ C:\Users\Antoine\AppData\Local\setup_NeoNetPlasma.exe
2018-04-15 04:07 - 2018-04-15 04:07 - 000000003 _____ C:\Users\Antoine\AppData\Local\wbem.ini
2018-04-15 04:07 - 2018-04-15 04:07 - 000000000 ____D C:\Program Files (x86)\CompanySmartApp
2018-04-14 01:15 - 2018-04-14 01:15 - 000726528 _____ C:\WINDOWS\3b782ed2a4875ce00e570c742dc39a06.exe
EmptyTemp:
RemoveProxy:
Reboot:


Enregistre le contenu par le menu fichier puis enregistrer.

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.


2°)
Réinitialise/Répare les navigateurs WEB concernés par les problèmes :
0
voila le fichier texte apparu:


Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 15.04.2018
Exécuté par Antoine (16-04-2018 14:45:10) Run:1
Exécuté depuis C:\Users\Antoine\Desktop
Profils chargés: Antoine & (Profils disponibles: Antoine)
Mode d'amorçage: Normal
==============================================

fixlist contenu:

CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-1260958878-1458534150-3049960127-1001\...\Run: [Blog] => C:\ProgramData\Blog\Blog.exe
2018-04-15 04:11 - 2018-04-15 04:13 - 000000000 ____D C:\AdwCleaner
2018-04-15 04:11 - 2018-04-15 04:11 - 008206624 _____ (Malwarebytes) C:\Users\Antoine\Downloads\adwcleaner-7-0-7-0.exe
2018-04-15 04:10 - 2018-04-15 04:32 - 000000000 ____D C:\Users\Antoine\AppData\Roaming\ZHP
2018-04-15 04:10 - 2018-04-15 04:10 - 000000000 ____D C:\Users\Antoine\AppData\Local\ZHP
2018-04-15 04:09 - 2018-04-15 04:34 - 000000000 __SHD C:\ProgramData\Flashm
2018-04-15 04:09 - 2018-04-15 04:09 - 000003676 _____ C:\WINDOWS\System32\Tasks\AdobeUpdatem
2018-04-15 04:07 - 2018-04-15 04:07 - 000632832 _____ C:\WINDOWS\ydnpqbitineafwxg.dll
2018-04-15 04:07 - 2018-04-15 04:07 - 000194048 _____ C:\Users\Antoine\AppData\Local\plsxc.dll
2018-04-15 04:07 - 2018-04-15 04:07 - 000003576 _____ C:\WINDOWS\System32\Tasks\{1249D9E5-1D2C-E1FA-95FF-AE2F163974CA}
2018-04-15 04:07 - 2018-04-15 04:07 - 000003072 _____ C:\Users\Antoine\AppData\Local\setup_NeoNetPlasma.exe
2018-04-15 04:07 - 2018-04-15 04:07 - 000000003 _____ C:\Users\Antoine\AppData\Local\wbem.ini
2018-04-15 04:07 - 2018-04-15 04:07 - 000000000 ____D C:\Program Files (x86)\CompanySmartApp
2018-04-14 01:15 - 2018-04-14 01:15 - 000726528 _____ C:\WINDOWS\3b782ed2a4875ce00e570c742dc39a06.exe
EmptyTemp:
RemoveProxy:
Reboot:


Erreur: (0) Impossible de créer un point de restauration.
Processus fermé avec succès.
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001\Software\Microsoft\Windows\CurrentVersion\Run\\Blog" => non trouvé(e)
C:\AdwCleaner => déplacé(es) avec succès
C:\Users\Antoine\Downloads\adwcleaner-7-0-7-0.exe => déplacé(es) avec succès
C:\Users\Antoine\AppData\Roaming\ZHP => déplacé(es) avec succès
C:\Users\Antoine\AppData\Local\ZHP => déplacé(es) avec succès
C:\ProgramData\Flashm => déplacé(es) avec succès
C:\WINDOWS\System32\Tasks\AdobeUpdatem => déplacé(es) avec succès
C:\WINDOWS\ydnpqbitineafwxg.dll => déplacé(es) avec succès
C:\Users\Antoine\AppData\Local\plsxc.dll => déplacé(es) avec succès
C:\WINDOWS\System32\Tasks\{1249D9E5-1D2C-E1FA-95FF-AE2F163974CA} => déplacé(es) avec succès
C:\Users\Antoine\AppData\Local\setup_NeoNetPlasma.exe => déplacé(es) avec succès
C:\Users\Antoine\AppData\Local\wbem.ini => déplacé(es) avec succès
C:\Program Files (x86)\CompanySmartApp => déplacé(es) avec succès
C:\WINDOWS\3b782ed2a4875ce00e570c742dc39a06.exe => déplacé(es) avec succès

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-04162018141956548\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-04162018141956548\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-04162018142107955\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-04162018142107955\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

BITS transfer queue => 7888896 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 76586291 B
Java, Flash, Steam htmlcache => 179079490 B
Windows/system/drivers => 233533329 B
Edge => 36309065 B
Chrome => 248461704 B
Firefox => 0 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 21270 B
NetworkService => 340926 B
Antoine => 16821059 B

RecycleBin => 0 B
EmptyTemp: => 762 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

Fin de Fixlog 14:46:02

0
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628 > Antoine
16 avril 2018 à 15:19
ok fais bien l'étape 2 et :

Fais un scan en ligne avec NOD32 puis enregistre le rapport. Envoie le sur https://pjjoint.malekal.com/ et donne le lien ici.
0
Je suis désole mais le programme de scan se ferme directement après ouverture, de plus depuis aujourd’hui Malwarebytes m'avertit de ceci: http://www.casimages.com/i/180416043347228220.png.html
j'ai aussi jugé utile de vous montrer mon gestionnaire de taches :
http://www.casimages.com/i/180416043347285075.png.html
0
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628 > Antoine
16 avril 2018 à 16:40
ok fais cette correction FRST et le scan NOD32 :

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

CreateRestorePoint:
CloseProcesses:
Task: {DF248F6D-2471-4088-8FAC-E742A6381BAD} - System32\Tasks\AdobeUpdatem => C:\Users\Antoine\AppData\Roaming\Microsoft\SystemCertificates\My\CTLs\Adobem\taskhostm.exe [2018-04-15] ()
C:\Users\Antoine\AppData\Roaming\Microsoft\SystemCertificates\My\CTLs\Adobem
EmptyTemp:
RemoveProxy:
Reboot:


Enregistre le contenu par le menu fichier puis enregistrer.

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
0
FRST se ferme aussi directement, tout comme chrome quand je vais sur le site malekal. Cela coincide vraiment aux periodes ou mon cpu est utilisé. Je peux reessayer a un autre moment si vous le voulez
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
17 avril 2018 à 17:16
mouaip y a vraiment plus grand chose :/
Si ça continue, faudra réinitialiser Windows 10 ou attendre que NOD32 / Malwarebytes soient capables de le détecter.


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

CreateRestorePoint:
CloseProcesses:
Task: {E07B7EC0-4C79-4B62-B2A7-1929E0E107EF} - \{1249D9E5-1D2C-E1FA-95FF-AE2F163974CA} -> Pas de fichier <==== ATTENTION
2018-04-16 17:04 - 2018-04-16 17:04 - 000016651 _____ C:\Users\Antoine\Desktop\ZHPCleaner.html
2018-04-16 16:54 - 2018-04-16 17:04 - 000000000 ____D C:\Users\Antoine\AppData\Roaming\ZHP
2018-04-16 16:54 - 2018-04-16 16:54 - 000000879 _____ C:\Users\Antoine\Desktop\ZHPCleaner.lnk
2018-04-16 16:54 - 2018-04-16 16:54 - 000000000 ____D C:\Users\Antoine\AppData\Local\ZHP
2018-04-16 16:44 - 2018-04-16 16:45 - 000873532 _____ C:\WINDOWS\Minidump\041618-10421-01.dmp
2018-04-16 16:04 - 2018-04-16 16:04 - 000000000 ____D C:\Users\Antoine\AppData\Local\ESET
2018-04-16 15:57 - 2018-04-16 15:57 - 000000000 __SHD C:\ProgramData\Flashm
2018-04-15 06:09 - 2018-04-15 22:24 - 000000000 ____D C:\ProgramData\Spybot - Search & Destroy
2018-04-15 06:10 - 2018-04-15 06:10 - 000000000 ____D C:\WINDOWS\System32\Tasks\Safer-Networking
EmptyTemp:
RemoveProxy:
Reboot:


Enregistre le contenu par le menu fichier puis enregistrer.

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

0
voila le rapport:
Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 15.04.2018
Exécuté par Antoine (17-04-2018 17:27:52) Run:6
Exécuté depuis C:\Users\Antoine\Desktop
Profils chargés: Antoine (Profils disponibles: Antoine)
Mode d'amorçage: Normal
==============================================

fixlist contenu:

CreateRestorePoint:
CloseProcesses:
Task: {E07B7EC0-4C79-4B62-B2A7-1929E0E107EF} - \{1249D9E5-1D2C-E1FA-95FF-AE2F163974CA} -> Pas de fichier <==== ATTENTION
2018-04-16 17:04 - 2018-04-16 17:04 - 000016651 _____ C:\Users\Antoine\Desktop\ZHPCleaner.html
2018-04-16 16:54 - 2018-04-16 17:04 - 000000000 ____D C:\Users\Antoine\AppData\Roaming\ZHP
2018-04-16 16:54 - 2018-04-16 16:54 - 000000879 _____ C:\Users\Antoine\Desktop\ZHPCleaner.lnk
2018-04-16 16:54 - 2018-04-16 16:54 - 000000000 ____D C:\Users\Antoine\AppData\Local\ZHP
2018-04-16 16:44 - 2018-04-16 16:45 - 000873532 _____ C:\WINDOWS\Minidump\041618-10421-01.dmp
2018-04-16 16:04 - 2018-04-16 16:04 - 000000000 ____D C:\Users\Antoine\AppData\Local\ESET
2018-04-16 15:57 - 2018-04-16 15:57 - 000000000 __SHD C:\ProgramData\Flashm
2018-04-15 06:09 - 2018-04-15 22:24 - 000000000 ____D C:\ProgramData\Spybot - Search & Destroy
2018-04-15 06:10 - 2018-04-15 06:10 - 000000000 ____D C:\WINDOWS\System32\Tasks\Safer-Networking
EmptyTemp:
RemoveProxy:
Reboot:


Erreur: (0) Impossible de créer un point de restauration.
Processus fermé avec succès.
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{E07B7EC0-4C79-4B62-B2A7-1929E0E107EF}" => supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E07B7EC0-4C79-4B62-B2A7-1929E0E107EF}" => supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{1249D9E5-1D2C-E1FA-95FF-AE2F163974CA}" => supprimé(es) avec succès
C:\Users\Antoine\Desktop\ZHPCleaner.html => déplacé(es) avec succès
C:\Users\Antoine\AppData\Roaming\ZHP => déplacé(es) avec succès
C:\Users\Antoine\Desktop\ZHPCleaner.lnk => déplacé(es) avec succès
C:\Users\Antoine\AppData\Local\ZHP => déplacé(es) avec succès
C:\WINDOWS\Minidump\041618-10421-01.dmp => déplacé(es) avec succès
C:\Users\Antoine\AppData\Local\ESET => déplacé(es) avec succès
C:\ProgramData\Flashm => déplacé(es) avec succès
C:\ProgramData\Spybot - Search & Destroy => déplacé(es) avec succès
C:\WINDOWS\System32\Tasks\Safer-Networking => déplacé(es) avec succès

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1260958878-1458534150-3049960127-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

BITS transfer queue => 7888896 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 13782267 B
Java, Flash, Steam htmlcache => 0 B
Windows/system/drivers => 874756 B
Edge => 0 B
Chrome => 146579403 B
Firefox => 0 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 0 B
NetworkService => 8282 B
Antoine => 140745 B

RecycleBin => 0 B
EmptyTemp: => 161.4 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

Fin de Fixlog 17:28:14

réinitialiser windows ne serait pas un problème pour moi sachant que je n'ai pas de fichiers vraiment importants non sauvegardés donc si c'est la meilleure solution..
0
ah après cette dernière modif mon processeur a l'air de retour a la normale, pensez vous qu'une réinitialisation serait quand même utile ?
0
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628 > Antoine
17 avril 2018 à 17:42
Si ça ne revient pas non.
Par contre, tu devrais changer tes mots de passe.
Ce pack installe des trojans stealer.

C'est le même que là : https://www.malekal.com/svchost-exe-forte-utilisation-cpu-trojan/
0
d'accord merci beaucoup pour votre aide ! je mets la conversation en résolu
0
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
17 avril 2018 à 17:56
un petit scan NOD32 dans deux trois jours histoire de.
Arrete les cracks =)


Quelques conseils :

Pour ne plus te faire avoir.
A lire - Programmes parasites / PUPs : Dossier Adwares/PUPs : programmes indésirables et parasites
(Surtout active les détections LPIs pour détecter les programmes parasites et publicitaires)



0
hahaha promis ^^ et merci encore
0