Aller au contenu

  • Pas encore inscrit ?

    Pourquoi ne pas vous inscrire ? C'est simple, rapide et gratuit.
    Pour en savoir plus, lisez Les avantages de l'inscription... et la Charte de Zébulon.
    De plus, les messages que vous postez en tant qu'invité restent invisibles tant qu'un modérateur ne les a pas validés. Inscrivez-vous, ce sera un gain de temps pour tout le monde, vous, les helpeurs et les modérateurs ! :wink:

Virus trojan agent [Sujet bloqué]

jtp62

Par jtp62
dans Analyses et éradication malwares

 Partager

Messages recommandés

Apollo Devil Member !

Apollo

Posté(e)
Posté(e)

Bonjour,

 

Poste les deux rapports stp (AV + MBAM).

 

CCleaner n'est pas un logiciel de sécurité au cas...

 

@++

Lien vers le commentaire
Partager sur d’autres sites
jtp62 Member

jtp62

Posté(e)
  • Auteur
Posté(e)

Malwarebytes Anti-Malware 1.61.0.1400

www.malwarebytes.org

 

Version de la base de données: v2012.04.04.08

 

Windows 7 x86 NTFS (Mode sans échec/Réseau)

Internet Explorer 9.0.8112.16421

jean :: JEAN-PC [administrateur]

 

11/04/2012 15:50:35

mbam-log-2012-04-08 (12-20-21).txt

 

Type d'examen: Examen rapide

Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM

Options d'examen désactivées: P2P

Elément(s) analysé(s): 195247

Temps écoulé: 5 minute(s), 56 seconde(s)

 

Processus mémoire détecté(s): 0

(Aucun élément nuisible détecté)

 

Module(s) mémoire détecté(s): 0

(Aucun élément nuisible détecté)

 

Clé(s) du Registre détectée(s): 1

HKCU\Software\DC3_FEXEC (Malware.Trace) -> Aucune action effectuée.

 

Valeur(s) du Registre détectée(s): 0

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre détecté(s): 0

(Aucun élément nuisible détecté)

 

Dossier(s) détecté(s): 0

(Aucun élément nuisible détecté)

 

Fichier(s) détecté(s): 1

C:\Users\jean\AppData\Roaming\svchost.exe (Trojan.Agent) -> Aucune action effectuée.

 

(fin)

Lien vers le commentaire
Partager sur d’autres sites
Apollo Devil Member !

Apollo

Posté(e)
Posté(e)

Re,

 

Aucune action effectuée.

Une analyse rapide et pas d'action effectuée ne sont pas les meilleurs moyens de désinfecter la machine.

Je te rendrai une procédure complète un peu plus loin pour MBAM.

 

ZHPDiag :

 

  • Télécharge ZHPDiag de Nicolas Coolman. et enregistre-le sur le BUREAU.
     
  • Double-clique sur ZHPDiag.exe pour lancer l'installation
    • Important:
      Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

 

[*]L'outil a créé 2 icônes ZHPDiag et ZHPFix sur le Bureau.

 

[*]Double-clique sur ZHPDiag pour lancer l'exécution

  • Important:
    Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

 

[*]Clique sur la loupe loupe-334dd63.png pour lancer l'analyse. Tu patientes jusqu'à ce que le scan affiche 100%

Tu refermes ZHPDiag

 

[*]Le rapport ZHPDiag.txt se trouve sur le Bureau. (et sous c:\ZHP\ZHPDiag.txt)

Ce rapport étant trop long pour le forum, héberge le :

 

 

@++

Lien vers le commentaire
Partager sur d’autres sites
Apollo Devil Member !

Apollo

Posté(e)
Posté(e)

Re,

 

Télécharge RogueKiller (par Tigzy) sur le bureau

(A partir d'une clé USB si le Rogue empêche l'accès au net) .

RogueKiller

Quitte tous les programmes en cours

Lance RogueKiller.exe.

 

Sous Vista/Seven, faire un clic droit et choisir Exécuter en tant qu'administrateur. Clique sur scan

 

Poste le rapport stp.

 

@++

Lien vers le commentaire
Partager sur d’autres sites
jtp62 Member

jtp62

Posté(e)
  • Auteur
Posté(e)

RogueKiller V7.3.2 [20/03/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/49)

Blog: tigzy-RK

 

Systeme d'exploitation: Windows 7 (6.1.7600 ) 32 bits version

Demarrage : Mode normal

Utilisateur: jean [Droits d'admin]

Mode: Recherche -- Date: 11/04/2012 17:23:11

 

¤¤¤ Processus malicieux: 0 ¤¤¤

 

¤¤¤ Entrees de registre: 9 ¤¤¤

[ROGUE ST] HKCU\[...]\Run : 15786 (C:\Users\jean\AppData\Local\temp\15786.exe) -> FOUND

[ROGUE ST] HKUS\S-1-5-21-1403407780-3993104318-2231450424-1001[...]\Run : 15786 (C:\Users\jean\AppData\Local\temp\15786.exe) -> FOUND

[HJ] HKLM\[...]\System : ConsentPromptBehaviorAdmin (0) -> FOUND

[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND

[HJ] HKCU\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND

[FILEASSO] HKUS\.DEFAULT\Software\Classes\.exe\shell\open\command : ("C:\Windows\system32\config\systemprofile\AppData\Local\glk.exe" -a "%1" %*) -> FOUND

[FILEASSO] HKUS\S-1-5-18\Software\Classes\.exe\shell\open\command : ("C:\Windows\system32\config\systemprofile\AppData\Local\glk.exe" -a "%1" %*) -> FOUND

[FILEASSO] HKUS\.DEFAULT\Software\Classes\exefile\shell\open\command : ("C:\Windows\system32\config\systemprofile\AppData\Local\glk.exe" -a "%1" %*) -> FOUND

[FILEASSO] HKUS\S-1-5-18\Software\Classes\exefile\shell\open\command : ("C:\Windows\system32\config\systemprofile\AppData\Local\glk.exe" -a "%1" %*) -> FOUND

 

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

 

¤¤¤ Driver: [CHARGE] ¤¤¤

SSDT[84] : NtCreateSection @ 0x83045243 -> HOOKED (Unknown @ 0x8DD881AE)

SSDT[316] : NtSetContextThread @ 0x830F028B -> HOOKED (Unknown @ 0x8DD881B3)

SSDT[370] : NtTerminateProcess @ 0x830760AD -> HOOKED (Unknown @ 0x8DD8814F)

S_SSDT[585] : Unknown -> HOOKED (Unknown @ 0x8DD881B8)

S_SSDT[588] : Unknown -> HOOKED (Unknown @ 0x8DD881BD)

 

¤¤¤ Infection : Rogue.AntiSpy-AH ¤¤¤

 

¤¤¤ Fichier HOSTS: ¤¤¤

127.0.0.1 localhost

127.0.0.1 genuine.microsoft.com

127.0.0.1 mpa.one.microsoft.com

127.0.0.1 sls.microsoft.com

 

 

¤¤¤ MBR Verif: ¤¤¤

 

+++++ PhysicalDrive0: SAMSUNG HD320KJ SCSI Disk Device +++++

--- User ---

[MBR] 3e95b6d160356c4724f959bb93cd1cb4

[bSP] ceb84c3e7b096f62a58a22cb4210973b : Windows 7 MBR Code

Partition table:

0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 297116 Mo

1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 608494005 | Size: 8126 Mo

User = LL1 ... OK!

Error reading LL2 MBR!

 

Termine : << RKreport[1].txt >>

RKreport[1].txt

 

re merci de ton aide rogue killer je doit le fermer

Lien vers le commentaire
Partager sur d’autres sites
Apollo Devil Member !

Apollo

Posté(e)
Posté(e)

Il y a du boulot..

 

Relance Rogue Killer et clique sur Suppression >> poste le rapport.

 

Puis clique sur HostRaz >> et poste également le rapport.

 

---------------------

Ensuite fais ceci,

 

Télécharge TDSSKiller de Kaspersky sur ton bureau.

 

Ou: http://support.kaspersky.com/fr/downloads/utils/tdsskiller.zip ; décompresse le zip.

 

Double-clique sur TDSSKiller.exe

L'écran de TDSSKiller s'affiche:

 

sshot-1-2dabd4e.jpg

 

- Laisser cochées les 2 options par défaut -Visible via l'onglet "change parameter".

 

object2scan-2d7aef9.jpg

 

Et coche les 2 options supplémentaires:

 

addoptions-2d7af1d.jpg

 

Clique sur Start scan pour lancer l'analyse.

 

 

- Si une menace est détectée (Threats detected) vérifie que, suivant le cas:

 

En général, laisse les options proposées par défaut par l'outil

 

 

l'option "delete" (effacer) est bien cochée pour la famille TDL2

 

l'option "delete" (effacer) est bien cochée pour tout objet de la forme chiffre_aléatoire:chiffre_aléatoire.exe

 

l'option "delete" (effacer) est bien cochée pour tout service de la forme chiffre et/ou lettre aléatoire (hidden file)

 

 

l'option "cure" (réparer ) pour la famille TDL3.

 

l'option "cure" (réparer ) pour la famille tdl4(\HardDisk0\MBR).

 

l'option "cure" (réparer) pour la famille Rootkit.Win32.ZAccess

 

puis clique sur Continue.

 

- laisse l'action par défaut "skip" (sauter) pour les "suspicious objects. low risks", avant de savoir ce que c'est, puis clique sur Continue.

 

2663-2-eng-2f88df2.png

 

 

En fin d'analyse il peut être demandé de relancer la machine:

 

 

clique sur Reboot Now.

 

- Si aucun reboot n'est demandé, clique sur le bouton Report et poste le contenu du fichier qui s'affiche.

 

- Si un reboot est demandé, aprés redémarrage tu trouveras le contenu du rapport de TDSSKiller ici:

SystemDrive\TDSSKiller.Version_Date_Heure_log.txt)

[systemDrive représente la partition sur laquelle est installé le système, généralement C:]

 

@++

Lien vers le commentaire
Partager sur d’autres sites
jtp62 Member

jtp62

Posté(e)
  • Auteur
Posté(e)

RogueKiller V7.3.2 [20/03/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/49)

Blog: tigzy-RK

 

Systeme d'exploitation: Windows 7 (6.1.7600 ) 32 bits version

Demarrage : Mode normal

Utilisateur: jean [Droits d'admin]

Mode: Suppression -- Date: 11/04/2012 17:37:31

 

¤¤¤ Processus malicieux: 0 ¤¤¤

 

¤¤¤ Entrees de registre: 6 ¤¤¤

[ROGUE ST] HKCU\[...]\Run : 15786 (C:\Users\jean\AppData\Local\temp\15786.exe) -> DELETED

[HJ] HKLM\[...]\System : ConsentPromptBehaviorAdmin (0) -> REPLACED (2)

[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

[HJ] HKCU\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

[FILEASSO] HKUS\.DEFAULT\Software\Classes\.exe\shell\open\command : ("C:\Windows\system32\config\systemprofile\AppData\Local\glk.exe" -a "%1" %*) -> REPLACED ("%1" %*)

[FILEASSO] HKUS\.DEFAULT\Software\Classes\exefile\shell\open\command : ("C:\Windows\system32\config\systemprofile\AppData\Local\glk.exe" -a "%1" %*) -> REPLACED ("%1" %*)

 

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

 

¤¤¤ Driver: [CHARGE] ¤¤¤

SSDT[84] : NtCreateSection @ 0x83045243 -> HOOKED (Unknown @ 0x8DD881AE)

SSDT[316] : NtSetContextThread @ 0x830F028B -> HOOKED (Unknown @ 0x8DD881B3)

SSDT[370] : NtTerminateProcess @ 0x830760AD -> HOOKED (Unknown @ 0x8DD8814F)

S_SSDT[585] : Unknown -> HOOKED (Unknown @ 0x8DD881B8)

S_SSDT[588] : Unknown -> HOOKED (Unknown @ 0x8DD881BD)

 

¤¤¤ Infection : Rogue.AntiSpy-AH ¤¤¤

 

¤¤¤ Fichier HOSTS: ¤¤¤

127.0.0.1 localhost

127.0.0.1 genuine.microsoft.com

127.0.0.1 mpa.one.microsoft.com

127.0.0.1 sls.microsoft.com

 

 

¤¤¤ MBR Verif: ¤¤¤

 

+++++ PhysicalDrive0: SAMSUNG HD320KJ SCSI Disk Device +++++

--- User ---

[MBR] 3e95b6d160356c4724f959bb93cd1cb4

[bSP] ceb84c3e7b096f62a58a22cb4210973b : Windows 7 MBR Code

Partition table:

0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 297116 Mo

1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 608494005 | Size: 8126 Mo

User = LL1 ... OK!

Error reading LL2 MBR!

 

Termine : << RKreport[2].txt >>

RKreport[1].txt ; RKreport[2].txt

 

RogueKiller V7.3.2 [20/03/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/49)

Blog: tigzy-RK

 

Systeme d'exploitation: Windows 7 (6.1.7600 ) 32 bits version

Demarrage : Mode normal

Utilisateur: jean [Droits d'admin]

Mode: HOSTS RAZ -- Date: 11/04/2012 17:39:22

 

¤¤¤ Processus malicieux: 0 ¤¤¤

 

¤¤¤ Driver: [CHARGE] ¤¤¤

 

¤¤¤ Fichier HOSTS: ¤¤¤

127.0.0.1 localhost

127.0.0.1 genuine.microsoft.com

127.0.0.1 mpa.one.microsoft.com

127.0.0.1 sls.microsoft.com

 

 

¤¤¤ Nouveau fichier HOSTS: ¤¤¤

127.0.0.1 localhost

 

Termine : << RKreport[3].txt >>

RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt

Lien vers le commentaire
Partager sur d’autres sites

Rejoindre la conversation

Vous pouvez publier maintenant et vous inscrire plus tard. Si vous avez un compte, connectez-vous maintenant pour publier avec votre compte.
Remarque : votre message nécessitera l’approbation d’un modérateur avant de pouvoir être visible.

Invité
Répondre à ce sujet…

×   Collé en tant que texte enrichi.   Coller en tant que texte brut à la place

  Seulement 75 émoticônes maximum sont autorisées.

×   Votre lien a été automatiquement intégré.   Afficher plutôt comme un lien

×   Votre contenu précédent a été rétabli.   Vider l’éditeur

×   Vous ne pouvez pas directement coller des images. Envoyez-les depuis votre ordinateur ou insérez-les depuis une URL.

×
 Partager
Aller sur la liste des sujets

  • En ligne récemment   0 membre est en ligne

    • Aucun utilisateur enregistré regarde cette page.
×
×
  • Créer...