[Réglé] Infection par Cheval de Troie

[Sachan]

Bonjour,

Je suis nouvelle sur le forum, je fais appel à vous car je ne sais pas du tout ce que je dois faire (et mon frère n'est pas là pour m'aider ^^')

Alors que je cherchais absolument un jeux sur PSP, j'ai essayé plusieurs téléchargements sur plusieurs sites (disons-le clairement, ce sera le meilleur moyen pour que vous m'aidiez...)

Avast a alors bloqué un Cheval de Troie et j'ai fermé toutes les pages qui me semblaient mauvaises ainsi que les téléchargements (bien que ça n'aurait servit à rien)

C'est simple, depuis ce message, avast bloque à la suite des centaines et des centaines de Cheval de Troie et de logiciels malveillants. Comme si le virus essayait d'infecté absolument tout le contenu de mon ordinateur.
Il a d'abord commencé à infecter des petits logiciels du bureau (hjsplit, xtremsplit, skype,...) puis il s'est attaqué aux jeux contenus dans le lecteur C en infectant absolument tous les fichiers (Mirror's Edge, les sims 3, Frets on Fire,...) et il continu de s'étendre. A l'heure où j'écris, avast a trouvé 1844 fichiers infectés sur 2649 fichiers scannés...

Mes questions sont:

Dans la quarantaine d'avast, si je supprime les fichiers bloqués:
- Je les enlèves juste de la zone de quarantaine et ils seront alors infectés ?
- ou bien je les supprime totalement de l'ordinateur et je perds les données ?
- ou cela supprime juste l'infection contenu dans le fichier ?

Je ne connais pas très bien avast... que pensez-vous que je puisse faire pour supprimer ce virus ?

J'attends votre réponse et je vous remercie d'avance.

[Del-crosseur]

Salut

Installe Malewarebytes' Antimalware,

-> http://www.commentcamarche.net/download ... lwarebytes par exemple

*** Met-le à jour puis choisi, Exécuter un examen complet

*** Si une infection est trouvée, coche la case a coté et valides avec l’Onglet Supprimer la sélection

Poste le rapport final.
*** il est conseillé de désactivé Tea-Timer si tu as Spybot-S&D juste le temps du scan.

Voici comment faire: Lancez Spybot-S&D, passez en Mode avancé via le Menu Mode (en haut) → cliquez sur Oui--> choisissez Outils dans la barre de navigation sur la gauche -->Résident et là vous pouvez décocher les cases situées devant les deux outils.

Ensuite Poste nous un Rapport avec Hijackthis

[Sachan]

Alors... Merci de m'avoir répondu =)

D'abord le rapport avec Malwarebytes:

Code: Tout sélectionner

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4363

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

28/07/2010 19:50:29
mbam-log-2010-07-28 (19-50-29).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 216759
Temps écoulé: 1 heure(s), 58 minute(s), 44 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 4
Valeur(s) du Registre infectée(s): 2
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\Software\M5T8QL3YW3 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Handle (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\QZAIB7KITK (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\XML (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\m5t8ql3yw3 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\qzaib7kitk (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Et le rapport avec HijackThis:

Code: Tout sélectionner

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:51:38, on 28/07/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe
C:\Program Files\Lexmark X1100 Series\lxbkbmgr.exe
C:\Program Files\Lexmark X1100 Series\lxbkbmon.exe
C:\Program Files\Pinnacle\Shared Files\Programs\USBTip\USBTip.exe
C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\DAEMON Tools Lite\DTLite.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\AppleMobileDeviceService.exe
C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Program Files\Megaupload\Mega Manager\MegaManager.exe
C:\Program Files\Adobe\Reader 8.0\Reader\AcroRd32.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\HP_Administrator\Mes documents\Mes téléchargements\HiJackThis.exe
C:\WINDOWS\system32\notepad.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://welcome.hp.com/country/fr/fr/welcome.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Winamp Search Class - {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - C:\Program Files\Winamp Toolbar\winamptb.dll
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,c:\program files\microsoft\desktoplayer.exe,
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Winamp Toolbar Loader - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Program Files\Winamp Toolbar\winamptb.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: MegaIEMn - {bf00e119-21a3-4fd1-b178-3b8537e75c92} - C:\Program Files\Megaupload\Mega Manager\MegaIEMn.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Program Files\Winamp Toolbar\winamptb.dll
O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [UpdateP2GoShortCut] "C:\Program Files\CyberLink\Power2Go\MUITransfer\MUIStartMenu.exe" "C:\Program Files\CyberLink\Power2Go" UpdateWithCreateOnce "SOFTWARE\CyberLink\Power2Go\6.0"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [Lexmark X1100 Series] "C:\Program Files\Lexmark X1100 Series\lxbkbmgr.exe"
O4 - HKLM\..\Run: [USB2Check] RUNDLL32.EXE "C:\WINDOWS\system32\PCLECoInst.dll",CheckUSBController
O4 - HKLM\..\Run: [USBToolTip] "C:\Program Files\Pinnacle\Shared Files\\Programs\USBTip\USBTip.exe"
O4 - HKLM\..\Run: [avast5] C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe /nogui
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\DTLite.exe" -autorun
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: OpenOffice.org 3.1.lnk = C:\Program Files\OpenOffice.org 3\program\quickstart.exe
O8 - Extra context menu item: &Winamp Search - C:\Documents and Settings\All Users\Application Data\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Service de l’iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Norton Internet Security - Unknown owner - C:\Program Files\Norton Internet Security\Engine\16.0.0.125\ccSvcHst.exe (file missing)
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing)

--
End of file - 8763 bytes

Maintenant Mozilla Firefox ne marche plus suite à un plantage, je suis obligée d'aller sur le deuxième ordi ou d'utiliser internet explorer...

J'attends votre réponse.

[Del-crosseur]

Bien , Maintenant tu va
Redémarrer Hijacthis et tu va cocher les cases a Gauche si dessous.

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://welcome.hp.com/country/fr/fr/welcome.html
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)


Redémarre ton PC.
Je doute que l'infection sois Partie. Pour cela un Helpers va venir prendre la Suite

[Sachan]

Excusez moi je ne comprends pas ce que vous me demandez de faire...

Quand j'ouvre HijackThis, j'ai ça :

[Del-crosseur]

Oui relance , une fois le Scan Fini

tu va chercher/cocher les cases a Gauche si dessous.

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://welcome.hp.com/country/fr/fr/welcome.html
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)


Redémarre ton PC.

[jeanmimigab]

hello,

C'est simple, depuis ce message, avast bloque à la suite des centaines et des centaines de Cheval de Troie et de logiciels malveillants. Comme si le virus essayait d'infecté absolument tout le contenu de mon ordinateur.

Variante de Virut ou Sality >>>> innutile d'insister, c'est le formatage direct

Sauvegarde tes documents avant.....
Attention : tes sauvegardes ne doivent comporter aucun fichier .exe , .scr , .htm , .html , .php
ne conserver que les documents perso et autres fichiers de suites bureautiques,les photos, la musique,
les clips perso, les favs ou marque-pages. Se méfier du contenu de tes supports amovibles, clés USB
pouvant contenir des fichiers infectés.

@++

[Del-crosseur]

Merci d'avoir intervenue Jeanmim
J'ai appris quelque chose encore

ps: Ne JAMAIS télécharger sur des Site dont tu ne connait pas.
Et tu ne peut téléchargez des Jeux pour ta PSP si Elle n'est pas Cracké
Bref..Pour te dire de faire attention et d'avoir un Antivirus a Jours
A bientôt

@+

[jeanmimigab]

hello,

le P2P est la première cause d'infection...(crack/keygen, fichier cachés dans un zip et qui est exécuté par l'installation du fichier téléchargé ou encore des fichiers auto-extractible qui installe l'infection), ensuite viennent les exploites sur les site pouraves et je ne te parle pas des nazs qui installent des faux codecs proposés sur des sites X pour visionner des vidéos

[Sachan]

Je vous remercie tous les deux !

Je me méfierais plus dorénavant (et ma PSP est effectivement craquée, c'est pourquoi je cherchais un jeu particulier mais
le site sur lequel je suis tombé était sans doute une copie de celui que je voulais ...)

Je voulais éviter le formatage, mais si c'est la seule solution je vais m'y mettre dès demain.

Bonne soirée !

[Del-crosseur]

De rien et si tu a des question n'hésite pas
Bonne soirée a toi aussi

@+

[Ask to Old Man]

Bonjour,

(et ma PSP est effectivement craquée, c'est pourquoi ...

C'est exactement pourquoi tu es & subira les suites de cet acte de "piratage"...
Un bon client à virus, infections, pertes de données personnelles , envahissement de ta machine
ou pire encore victimes de malversations financières...

Te reste quelques choix ... ...Bonne journée.

[Sachan]

Rebonjour !

Finalement je n'ai pas formaté mon ordinateur.
J'ai préféré restaurer le système au dernier point de sauvegarde (qui se trouvait être Mardi dernier).
En rallumant mon PC, je n'ai eu aucune alerte d'Avast, je suppose et j'espère que le virus n'est plus là...

Il me reste malgré tout ma très longue liste de fichier mis en quarantaine par Avast et je ne sais pas quoi en faire,
- si je la supprime, je vais perdre des données
- si je la restaure, est-ce que je dois accepter d'écraser les fichiers pour les remplacer par ceux-ci, et dans ce cas est-ce que ça ne risque plus rien ?
Je précise que tous ces fichiers ont été mis en quarantaines car ils allaient être infectés soit par Win32: Quolko, soit par VBS: ExeDropper-gen [Trj]

Voilà, merci de votre réponse.

[Del-crosseur]

Si il sont en quarantaine tu n'y touche pas il sont bien la
@+

[jeanmimigab]

Hello,

J'ai préféré restaurer le système au dernier point de sauvegarde

je ne sais pas qui t'a conseillé cela mais tu as eu de la chance que cela passe et que ton pc redémarre correctement...

bien souvent certain processus permettant la restauration système (dont rstrui.exe) sont patchés et en cas de tentatives de restauration le pc plante et le redémarrage devient impossible.

Mais faut croire que tu as eu du bol

content pour toi que cela finisse bien

@++