[Réglé] Vérification après infection par un trojan

[Sophie]

Bonsoir,

Le Trojan "Gendarmerie nationale" a infecté mon PC. J'ai réussi à l'enlever mais, sur les conseils de Del, je viens vous poster mes rapports OTL.txt et Extra.txt pour vérification.

Merci d'avance.

OTL.txt :
http://5wef28.1fichier.com/

Extras.txt :
http://efxbho.1fichier.com/

[Raptor14]

Hello

Comme d'ab pas Helper mais fais ceci stp :

• Télécharge et installe Malwarebytes' Anti-Malware

• A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée

• Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)

• Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet puis "Rechercher"

• A la fin de l'analyse, clique sur "Afficher les résultats"

• Coche tous les éléments détectés puis clique sur "Supprimer la sélection"

• Enregistre le rapport

• S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes

• Un rapport apparait après la suppression : poste le dans ta prochaine réponse.

Tutoriel pour t'aider.

Bonne continuation à toi et passe de très bonnes fêtes

[Sophie]

Salut Raptor,

Alors voici le rapport de scan MBAM que j'ai fait juste après avoir remis le bon explorer.exe

J'ai dû l'interrompre à 9 mn et quand je l'ai repris, il m'a trouvé la même chose mais dans les restaurations système, j'ai tout supprimé :

Code: Tout sélectionner

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 911122204

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

22/12/2011 21:39:31
mbam-log-2011-12-22 (21-39-31).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 66563
Temps écoulé: 9 minute(s), 49 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\documents and settings\Utilisateur\application data\Sun\Java\deployment\cache\6.0\55\425dddf7-560d4001 (Trojan.Zbot.CBCGen) -> Quarantined and deleted successfully.
c:\documents and settings\Utilisateur\local settings\Temp\0.39080268393941275.exe (Trojan.Zbot.CBCGen) -> Quarantined and deleted successfully.

et voici le rapport de scan d'AVAST que j'ai fait le lendemain :


Sinon, oui merci, je passe de bonnes fête et j'espère que toi aussi

[bernard53]

Bonjour a tous

Juste du superflus dans ton rapport sophie


* Fait un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

* Assure-toi d'avoir fermé toutes les applications en court de fonctionnement.

* Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case " Rapport minimal" soit cochée.

* Copies et colles le contenue de cette citation dans la partie inférieure d'OTL "Personnalisation"

:OTL
SRV - File not found [Disabled | Stopped] -- -- (HidServ)
SRV - File not found [On_Demand | Stopped] -- -- (AppMgmt)
O2 - BHO: (no name) - {1d970ed5-3eda-438d-bffd-715931e2775b} - No CLSID value found.
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.
O3 - HKU\S-1-5-21-606747145-813497703-839522115-1004\..\Toolbar\WebBrowser: (no name) - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - No CLSID value found.
O3 - HKU\S-1-5-21-606747145-813497703-839522115-1004\..\Toolbar\WebBrowser: (no name) - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - No CLSID value found
O8 - Extra context menu item: ajouter cette page à vos favoris Orange - C:\Documents and Settings\Utilisateur\Application Data\Orange\OrangeInside\src\addfavorites_html\addfavorites.html File not found
O8 - Extra context menu item: Convertir les liens sélectionnés en fichier Adobe PDF - res://C:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html File not found
O8 - Extra context menu item: envoyer le texte sélectionné par sms - C:\Documents and Settings\Utilisateur\Application Data\Orange\OrangeInside\src\sendsmsselectedtext_html\sendsmsselectedtext.html File not found
O8 - Extra context menu item: envoyer par sms - C:\Documents and Settings\Utilisateur\Application Data\Orange\OrangeInside\src\sendsms_html\sendsms.html File not found
O8 - Extra context menu item: envoyer un mail - C:\Documents and Settings\Utilisateur\Application Data\Orange\OrangeInside\src\sendmail_html\sendmail.html File not found
O8 - Extra context menu item: orange.fr - C:\Documents and Settings\Utilisateur\Application Data\Orange\OrangeInside\src\orange_html\orange.html File not found
O8 - Extra context menu item: rechercher le texte sélectionné - C:\Documents and Settings\Utilisateur\Application Data\Orange\OrangeInside\src\selectedsearch_html\selectedsearch.html File not found
O8 - Extra context menu item: traduire la page - C:\Documents and Settings\Utilisateur\Application Data\Orange\OrangeInside\src\translate_html\translate.html File not found
O8 - Extra context menu item: traduire le texte sélectionné - C:\Documents and Settings\Utilisateur\Application Data\Orange\OrangeInside\src\translateSelectedText_html\translateSelectedText.html File not found
:Commands
[emptytemp]
[createrestorepoint]
[reboot]

* Cliques sur l'icône Correction (en haut à gauche) .
* Laisse le scan aller à son terme sans te servir du PC
* A la fin du scan un rapport s'ouvrir "OTL.log"
* Copie et colle le ou les rapports dans ta réponse stp...
* Au cas où, tu peux les retrouver dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés
Mets le rapport ici car il prend bien de la place.
http://cjoint.com/
 

Comme d'ab pas Helper mais fais ceci stp :

pas très gentil cela " Raptor14"

PS Sophie bien sur purge ta restauration vu la détection faite par AVAST.
Je pense que c'est ce que tu as fait?

[Sophie]

Juste du superflus dans ton rapport sophie

Merci beaucoup Bernard, je vais faire ça dans la journée et je reviens te dire.

Comme d'ab pas Helper mais fais ceci stp :

pas très gentil cela " Raptor14"

Raptor voulait dire : "Je ne suis pas helper mais en attendant tu peux faire un scan...etc." ce n'était que pour aider à faire avancer le truc. Aucune critique de sa part à mon avis.

PS Sophie bien sur purge ta restauration vu la détection faite par AVAST.
Je pense que c'est ce que tu as fait?

Oui Bernard, j'ai fait ça tout de suite après les 2 scan MBAM et Avast, j'ai supprimé toutes les restaurations système et j'en ai créé une autre aussitôt

[Raptor14]

Comme d'ab pas Helper mais fais ceci stp :

pas très gentil cela " Raptor14"

J'ai voulu faire plus vite et du coup cela porte à confusion Ce que je voulais dire comme là dit Sophie c'est que je ne suis pas Helpers mais que je lui demandais de faire un scan quand même. Je le précise comme ça l'internaute en est informé

Bonne journée à vous deux !

[bernard53]

Comme d'ab pas Helper mais fais ceci stp :

pas très gentil cela " Raptor14"

J'ai voulu faire plus vite et du coup cela porte à confusion Ce que je voulais dire comme là dit Sophie c'est que je ne suis pas Helpers mais que je lui demandais de faire un scan quand même. Je le précise comme ça l'internaute en est informé

Bonne journée à vous deux !

pas de soucis "Raptor14" j'ai du prendre cela en confusion
Bonne journée à vous deux

[Sophie]

A la fin de la correction par OTL, il m'a dit de redémarrer, j'ai dit OK mais l'écran est resté bloqué sur "Fermeture de Windows", j'ai dû appuyer sur le gros bouton Marche/Arrêt sur la tour.

Quand j'ai remis en marche, OTL demandait à être ouvert mais j'ai fait annuler.

Je suis allée voir dans C:\OTL, et voici le .log :

Code: Tout sélectionner

All processes killed
========== OTL ==========
Service HidServ stopped successfully!
Service HidServ deleted successfully!
Service AppMgmt stopped successfully!
Service AppMgmt deleted successfully!
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1d970ed5-3eda-438d-bffd-715931e2775b}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1d970ed5-3eda-438d-bffd-715931e2775b}\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5C255C8A-E604-49b4-9D64-90988571CECB}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5C255C8A-E604-49b4-9D64-90988571CECB}\ not found.
Registry value HKEY_USERS\S-1-5-21-606747145-813497703-839522115-1004\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{21FA44EF-376D-4D53-9B0F-8A89D3229068} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{21FA44EF-376D-4D53-9B0F-8A89D3229068}\ not found.
Registry value HKEY_USERS\S-1-5-21-606747145-813497703-839522115-1004\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{47833539-D0C5-4125-9FA8-0819E2EAAC93} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{47833539-D0C5-4125-9FA8-0819E2EAAC93}\ not found.
Registry key HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\ajouter cette page à vos favoris Orange\ deleted successfully.
Registry key HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\Convertir les liens sélectionnés en fichier Adobe PDF\ deleted successfully.
Registry key HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\envoyer le texte sélectionné par sms\ deleted successfully.
Registry key HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\envoyer par sms\ deleted successfully.
Registry key HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\envoyer un mail\ deleted successfully.
Registry key HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\orange.fr\ deleted successfully.
Registry key HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\rechercher le texte sélectionné\ deleted successfully.
Registry key HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\traduire la page\ deleted successfully.
Registry key HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\traduire le texte sélectionné\ deleted successfully.
File ptytemp] not found.
File eaterestorepoint] not found.
File boot] not found.
 
OTL by OldTimer - Version 3.2.31.0 log created on 12282011_180122


[bernard53]

ok tout va bien maintenant?

[Sophie]

Oui tout va bien, merci. Comme ça je suis plus tranquille.

Depuis ce trojan qui s'est glissé dans mon PC par une vidéo, je suis un peu sur le qui vive et j'ai regardé dans les réglages du gestionnaire des paramètres de Flash player.

Pour voir j'ai coché la case : Me consulter avant d'autoriser de nouveaux sites à enreg. des infos sur cet ordi. Maintenant sur de nombreuses vidéos j'ai un petit panneau demandant l'autorisation mais il ne me sert pas à grand chose car ça ne me donne pas d'informations sur le danger éventuel. Personne ne le fait de cocher cette case je suppose.



Voici le petit message qui s'affiche sur de nombreuses vidéos :

[bernard53]

Personne ne le fait de cocher cette case je suppose.

non personne le fait comme tu le signales

tu as vu que l e Trojan "Gendarmerie nationale"
tu as vu ceci le concernant.
http://www.malekal.com/2011/12/11/troja ... ie-nation/

[Sophie]

tu as vu que l e Trojan "Gendarmerie nationale"
tu as vu ceci le concernant.
http://www.malekal.com/2011/12/11/troja ... ie-nation/

Oui Bernard j'ai vu merci, c'est avec cette page que j'ai pu remplacer l'explorer.ex avec l'invite de commande en mode sans échec.

Bon et bien tout va bien maintenant sur mon PC, je ne touche plus à rien.

Bonne fêtes de fin d'année.

[bernard53]

Bonne fêtes de fin d'année à toi aussi