[Résolu] Backdoor:MSIL/Noancooe/c

[kane179]

Hello,

 

Windows Defender me trouve cette cochonnerie à chaque démarrage.

 

J'ai tenté une désinfection en ligne et en mode sans échec mais sans succès.

 

En outre, ZHPDIAG m'informe que j'ai quelques saloperies en rab.

 

Ci-après le rapport ZHPDIAG :

 

http://www.cjoint.com/c/FGhoUqEi3lv

 

Je vous remercie pour toute l'aide apportée

 

 

Modifié le 8 juillet 2016 par kane179

[tomtom95]

Bonjour,


Désinstalle via Panneau de configuration >> programmes et fonctionnalités (si présents) :
qBittorrent (source d'infection multiple)
Java 8 Update 31 (version obsolète avec faille de sécurité)

• Télécharge ZHPFix de Nicolas Coolman enregistre-le sur ton Bureau
• Pour lancer l'installation clique-droit sur ZHPFix.exe > exécuter en tant qu'administrateur
  N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau
• Puis Clique-droit >sur l'icône ZHPFix ,présent sur votre Bureau clique-droit > exécuter en tant qu'administrateur
  
• Surlignez tout le texte ci-dessous puis cliquez droit Copier
  
  

  Script ZHPFix
  C:\Users\JB\AppData\Local\Hola
  C:\Users\JB\AppData\Roaming\593E5C5C-AFEA-4B9A-97EA-6B3CC4C00EAB
  P2 - FPN: [HKCU] [@hola.org/vlc,version=1.8.89] - (...) -- C:\Users\JB\AppData\Local\Hola\firefox\app\vlc
  O2 - BHO: Java Plug-In SSV Helper [64Bits] - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} (Orphean)
  O2 - BHO: Java Plug-In 2 SSV Helper [64Bits] - {DBC80044-A445-435b-BC74-9C25C1C588A9} (Orphean)
  O39 - APT: CreateChoiceProcessTask - (...) -- C:\WINDOWS\System32\Tasks\CreateChoiceProcessTask [2538] (.Orphan.)
  O42 - Logiciel: Java 8 Update 31 (64-bit) - (.Oracle Corporation.) [HKLM][64Bits] -- {26A24AE4-039D-4CA4-87B4-2F86418031F0}
  
  
  ShortcutFix
  Ifeofix
  PROXYFix
  EmptyPrefetch
  EmptyCLSID
  FirewallRaz
  EmptyTemp
  EmptyFlash
  Sysrestore

• Dans l'interface de ZHPFix Cliquez sur Importer et sur OK
  
  
  
  IMPORTANT :Fermez toutes les applications en cours (notamment votre navigateur)
  Désactivez vos protections (Antivirus et par-feu)
  Attention :vérifiez que que toutes les lignes se sont collées
• Puis Cliquez sur "GO"
• Confirmez les nettoyages des données en cliquant sur "Oui"
  Le nettoyage s'effectue, ne touchez à rien pendant cette étape, si le programme demande un redémarrage du pc > faites le !
• Une fois le scan terminé le fichier ZHPFixReport à été crée sur le bureau.
• Hébergez le rapport ZHPFixReport sur le site d'hébergement de fichiers
  puis copier/coller le lien fourni dans votre prochaine réponse.

• Télécharges Adwcleaner (de Xplode) sur ton Bureau
  Désactivez vos protections: antivirus, ... Ferme toutes les applications en cours (notamment votre navigateur)
  Fais clique droit dessus, exécuter en tant qu'administrateur sous Windows : 7/8/10 et Vista
• Cliquez sur oui pour Accepter la licence
  
• Clique en haut sur OPTIONS >> Coche préférences Chrome
• Choisir l'option Scanner
  Ensuite
• Choisir l'option Nettoyer
• Acceptez l'avertissement en cliquant sur OK
• Hébergez le contenu du rapport qui apparaît au redémarrage du PC
  sur le site ce site d'hébergement de fichiers
  Puis copie/colle le lien fourni dans votre prochaine réponse.

• Vous allez faire un Scan personnalisé avec >> MalwareByte's Anti-Malware avec cette procédure
• Ouvre MBAM Sur le Tableau de bord, cliquez en haut sur Analyse
• Après sélectionner Analyse Personnalisé.>> Configurer Analyse
• Configurer et Cochez toutes les cases
  
  
• Lancer l'examen >> Examiner Maintenant
  Le scan est un peu long donc soit patient.
• Quand l'examen est terminé, si des éléments ont été détectés,,
• cliquez sur Appliquer les actions
  Pour laisser MBAM nettoyer ce qui a été détecté.
• Si un redémarrage est demandé, clique sur Yes.
• Attendez l'affichage du message vous invitant à faire redémarrer le PC, puis cliquez sur Oui.
• Après le redémarrage, quand vous êtes de retour sur le Bureau, ouvrez de nouveau MBAM.
• Cliquez sur l'onglet Historique > Journaux de l'application.
• Faites un double clique sur le Journal d'analyse dont l'analyse qui vient d'être effectuée.
• Cliquez sur Exporter.
• Cliquez sur Fichier texte (*.txt)
• Dans la boîte de dialogue 'Enregistrer le fichier' qui s'est ouverte, cliquez sur le Bureau.
• Dans la zone Nom du fichier: saisissez un nom pour votre journal d'examen.
• Une boîte de message intitulée Fichier enregistré doit apparaître et vous annoncer que "Votre fichier a été exporté avec succès".
• Cliquez sur OK
• Hébergez le contenu du rapport sur le site ce service de rapport en ligne
  Puis copie/colle le lien fourni dans votre prochaine réponse.

 

 

[kane179]

Bonsoir,

 

Merci pour le coup de main

 

Ci-joint les 3 rapports :

 

- MBM : https://up.security-x.fr/file.php?h=Rf7ca68c73b8c8a969cd5a36a7541244f

- ADW : https://up.security-x.fr/file.php?h=R1bb1260f5a029d6fa1cff33cf29ced16

- Zfix : https://up.security-x.fr/file.php?h=R023c2a62956955c12f359b7efce457de

 

Problème pour l'instant non résolu, est-ce potentiellement un faux positif ?

 

++

[tomtom95]

Re,

 

Ce n'est pas la détection demandée pour l'outil MBAM tu as fais une Analyse des menaces .

Il serai bon de recommencer celle personnalisé coche aussi la case Rootkits

[kane179]

Désolé je t'ai pas joint le bon fichier... Suis un boulet

 

https://up.security-x.fr/file.php?h=Rc0e9a1047871cfc8ef21ea8fae7c8326

[tomtom95]

OK cette fois tu as fais le scan personnalisé il y a eu des détections
Comme ce n'est pas le rapport d'analyse je ne connais pas les programmes malveillants qui on été trouver.

Bon vide la quarantaine de MBAM
Ouvre l'outil clique sur Historique >> sélectionne les lignes et clique sur Supprimer tout.

 

Réinitialiser les navigateurs
Télécharge reset browser sur ton Bureau
Désactivez vos protections: antivirus, ... Ferme toutes les applications en cours (notamment votre navigateur)
Lance l'outil clique-droit > exécuter en tant qu'administrateur

Au message d'avertissement clique sur OK

Clique sur le bouton pour réinitialiser les navigateurs présent
Clique en haut sur Réinitialisation des DNS (google)
Ferme l'outil

 

Dis moi si c'est OK pour Windows Defender ?

Modifié le 7 juillet 2016 par tomtom95

[kane179]

Bonjour,

 

J'ai procédé comme indiqué.

 

Problème malheureusement non résolu, j'ai toujours la détection à chaque démarrage :

 

process:pid:7392,ProcessStart:131124581842695958

Windows Defender le met en quarantaine, je le supprime et il réapparaît dès que je reboot

++

[tomtom95]

Bonjour,

Tu as regarder dans le gestionnaire des tâches a quel processus correspondais le PID 7392 ?

On va faire un autre diagnostic de ton pc.
Télécharger sur votre Bureau << pas ailleurs
Farbar Recovery Scan Tool Pour systèmes x64

• Faites un clique droit sur le fichier téléchargé (FRST.exe) et choisissez Exécuter en tant qu'administrateur
• puis cliquez sur 'Exécuter' lors de l'Avertissement de sécurité - Fichier ouvert.
  Quand l'outil démarre, cliquez sur Oui si vous acceptez les termes de la fenêtre Disclaimer (clause de non-responsabilité).
  
• Cochez les cases comme sur la capture
• Cliquez sur le bouton ANALYSE.
• L'outil va créer un fichier rapport [log] nommé FRST.txt situé dans le dossier depuis lequel l'outil s'exécute.
• La première fois où l'outil est exécuté, il crée un autre rapport nommé Addition.txt - situé également dans le même dossier que FRST.exe.
• Héberge les rapports sur le site ce service de rapport en ligne
  Appuyez sur Parcourir et chercher les rapports sur le bureau
• Cliquez sur Ouvrir
• Cliquez sur ENVOI,
  Puis copie/colle les liens fourni ICI dans votre prochaine réponse.

 

 

[kane179]

Re,

 

Pour info j'ai un fichier dx8.vbs qui se lance au démarrage, étrange, je l'ai désactivé

 

Le process 7392 ne correspond à rien (gestionnaire des taches / Détails)

 

Les fichiers :

 

https://up.security-x.fr/file.php?h=Rbc6178fd875140944589300b26d4381d

 

https://up.security-x.fr/file.php?h=R18842ad586e60885ff690e5b4d1f2715

 

Merci

Modifié le 8 juillet 2016 par kane179

[tomtom95]

Je regarde tes rapports et te post une procédure.