Se connecter avec
S'enregistrer | Connectez-vous

[Résolu] Cheval de troie - comment m'en débarrasser?

Dernière réponse : dans Sécurité

Bonjour,

Je suis assaillie par un cheval de troie dont je ne parviens pas à me débarrasser. Lorsque j'ouvre une fenêtre internet, mon antivirus (avira antivir) m'affiche une alerte pour le fichier C:\WINDOWS\system32\sshnas21.dll, précisant qu'il s'agit de "TR/Agent.212992.10" (Trojan). Lorsque je choisis une action, la fenêtre internet se ferme, et ça recommence à chaque fois. Impossible d'effacer le fichier directement, quand j'essaie de le faire j'obtiens le message "acces denied" (le type de fichier est "application extension"). Comment faire pour le déloger?

Je vous remercie d'avance!

Autres pages sur : resolu cheval troie debarrasser

Lassé par la pub ? Créez un compte

Yop! On va regarder tout ça!

/!\ Pour le bon déroulement de la désinfection:
  • N'ouvre pas le même sujet sur des forums différents, c'est une perte de temps pour tout le monde!
  • Évites les manipulations hasardeuses avec ton PC, mieux vaut demander!
  • Prends le temps de lire corectement et de comprendre l'ensemble des procédures qui te seront demandées.
  • Suis à la lettre chaque procédure qui te sera fournie.
  • Si tu as une quelconque question ou un quelconque problème, n'hésite pas à me demander.
  • Dans un souci de lisibilité du sujet, merci de bien vouloir héberger tous les rapports ici, et de poster les liens dans la discussion. :clin: 

    ***

    Télécharge OTL(de OldTimer) sur ton Bureau.
  • Double-clique sur OTL pour le lancer.
  • (Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)
  • Une fenêtre apparaît. Dans la section Rapport en haut de cette fenêtre, coche Rapport minimal.
  • Coche également les cases à côté de Recherche Lop et Recherche Purity.
  • Enfin, clique sur le bouton Analyse. Le scan ne prendra pas beaucoup de temps.
  • Une fois l'analyse terminée, deux fenêtres vont s'ouvrir dans le Bloc-notes : OTL.txt et Extras.txt. Ils se trouvent au même endroit que OTL (donc par défaut sur le Bureau).
  • Héberge les rapports, puis donne leurs liens.

    Si tu veux bien, on va traiter les PC un à la fois, sinon ça va vite être le souk avec les rapports. :o 
    Donc pour le premier, ordi1, fait un scan MBAM:

    Télécharger sur le bureau Malwarebyte's Anti-Malware

  • Double-clic sur « mbam-setup » pour lancer l'installation.
  • Installer simplement sans rien modifier.
  • Quand le programme lancé ==> onglet « Mise à jour » cliquer sur ==> « Recherche de mise à jour. »
  • Onglet « Recherche » ==> cocher « Exécuter un examen complet ».
  • Clic « Rechercher »,
  • Cocher tous les disque dur,
  • Clic « Lancer l'examen ».
  • En fin de scan , si infection trouvée,
  • ==> Clic « Afficher résultat ».
  • Fermer vos applications en cours,
  • Vérifier si tout est coché et clic « Supprimer la sélection ».

  • Un rapport s'ouvre l'héberger et donner son lien.

    je pensais que c'était peut-être un probleme avec internet, depuis que j'ai plein d'alertes ça part en cacahuette! D'ailleurs spybot me harcèle pour que je fasse des modifications de registres... une des demandes est d'ajouter la valeur C:\WINDOWS\explorer:userini.exe, et il semble après le premier scan de mbam que ce fichier pose problème... il était censé le supprimer au redémarrage mais apparemment ça n'a pas fonctionné... ça te dit quelque chose? moi je dois avouer que je ne comprends pas grand chose à tout ça (tu t'en doutes) !

    Déjà, commences par désactiver le résident de spybot; spybot est largement dépassé, et va plus embêter qu'autre chose durant les manips. ;) 

    Ensuite poste le rapport de MBAM quand il aura finit, on verra ce qu'on fait après. :o 

    Ok, fait ça:

  • Désactive l'antivirus.

    Télécharger et enregistrer sur le bureau « Combofix »

  • Double-clic sur Combofix.
  • Si invitation à télécharger et installer la console de récupération, l'accepter.
  • La recherche va ensuite se lancer,
  • Attendre la fermeture de l’outil ( 5 à 10 mn),
  • Un rapport dans C:\Combofix.txt: héberge le et donne le lien.

    Bon voilà j'ai fait deux scans en fait, la première fois internet m'a de nouveau fait défaut, ma vieille carte réseau ne répondant plus, j'ai fait le scan sans la console de récup : http://cjoint.com/?hwmoNnlM7A
    Puis j'ai réinstallé le driver de ma carte, j'ai quand meme pu télécharger la console et refaire un scan : http://cjoint.com/?hwmqtODoWa

    Voilà j'espere que ça va aller parce que ça part de plus en plus en cacahuette cet ordi! Merci en tout cas!

    C'est normal qu'il n'y ai pas le extra. ;) 

  • Double-clique sur OTL pour le lancer.
    (Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)
  • Une fenêtre apparaît. Dans la section Rapport en haut de cette fenêtre, coche Rapport minimal.
  • Copies et colles le contenu ci dessous dans la partie inférieur d'OTL: Personnalisation

    :Files
    C:\WINDOWS\System32\dllcache\helpsvc.exe
    C:\WINDOWS\System32\userini.exe

    :OTL
    O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.
    O2 - BHO: (no name) - {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - No CLSID value found.
    O4 - HKCU\..\Run: [userini] C:\WINDOWS\System32\userini.exe File not found

    :Commands
    [emptytemp]
    [Reboot]


  • Enfin, clique sur le bouton Correction. Le scan ne prendra pas beaucoup de temps.
  • Une fois l'analyse terminée, un rapport va s'ouvrir.
  • Copie/colle ensuite les rapports.
  • Note: Le rapport se trouve dans C:\OTL\

    ***

    Dire les soucis restants au redémarrage.

    Ok, voilà le rapport qui s'est affiché au redémarrage :

    All processes killed
    ========== FILES ==========
    C:\WINDOWS\System32\dllcache\helpsvc.exe moved successfully.
    File\Folder C:\WINDOWS\System32\userini.exe not found.
    ========== OTL ==========
    Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5C255C8A-E604-49b4-9D64-90988571CECB}\ deleted successfully.
    Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5C255C8A-E604-49b4-9D64-90988571CECB}\ not found.
    Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}\ deleted successfully.
    Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}\ not found.
    Registry key HKEY_CURRENT_USER\\Software\Microsoft\Windows\CurrentVersion\Run not found.
    ========== COMMANDS ==========

    [EMPTYTEMP]

    User: All Users

    User: Default User
    ->Temp folder emptied: 0 bytes
    ->Temporary Internet Files folder emptied: 33170 bytes

    User: LocalService
    ->Temp folder emptied: 0 bytes
    ->Temporary Internet Files folder emptied: 82054 bytes

    User: NetworkService
    ->Temp folder emptied: 0 bytes
    ->Temporary Internet Files folder emptied: 33170 bytes

    User: User
    ->Temp folder emptied: 581249 bytes
    ->Temporary Internet Files folder emptied: 6952660 bytes
    ->Java cache emptied: 71079610 bytes
    ->Google Chrome cache emptied: 34349078 bytes
    ->Flash cache emptied: 45170 bytes

    %systemdrive% .tmp files removed: 0 bytes
    %systemroot% .tmp files removed: 2162283 bytes
    %systemroot%\System32 .tmp files removed: 2577 bytes
    %systemroot%\System32\dllcache .tmp files removed: 0 bytes
    %systemroot%\System32\drivers .tmp files removed: 0 bytes
    Windows Temp folder emptied: 483 bytes
    %systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes
    %systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 33170 bytes
    RecycleBin emptied: 118384 bytes

    Total Files Cleaned = 110,00 mb


    OTL by OldTimer - Version 3.2.9.0 log created on 07232010_122410

    Files\Folders moved on Reboot...
    C:\Documents and Settings\User\Local Settings\Temporary Internet Files\Content.IE5\6V3EEU8F\like[2].htm moved successfully.
    C:\Documents and Settings\User\Local Settings\Temporary Internet Files\Content.IE5\1SMKCSDO\294285-11-cheval-troie-debarrasser[1].htm moved successfully.
    C:\Documents and Settings\User\Local Settings\Temporary Internet Files\Content.IE5\1SMKCSDO\cdntests_cedexis[2].htm moved successfully.
    C:\Documents and Settings\User\Local Settings\Temporary Internet Files\AntiPhishing\2CEDBFBC-DBA8-43AA-B1FD-CC8E6316E3E2.dat moved successfully.

    Registry entries deleted on Reboot...

    Euh je n'ai plus d'alertes d'avira et spybot a arreté de me harceler donc a priori pas de soucis! Je me posais juste une question, j'ai regardé sans trop comprendre le rapport OTL (l'avant-dernier), et je vois un fichier "winlogon", qui est un des fichiers contre lequel spybot butait, je me demandais juste s'il ne posait pas de problème?

    Bon ben j'ai fait un scan avec avira pour checker, et il a encore fait 2 détections (ce qui est déjà bcp mieux que les 23 de la dernière fois!) :
    userini.exe.vir (WORM/Joleee.fbv)
    A0027789.exe (WORM/Joleee.fbv)

    Début de la désinfection :
    C:\Qoobox\Quarantine\C\WINDOWS\system32\userini.exe.vir
    [RESULTAT] Contient le modèle de détection du ver WORM/Joleee.fbv
    [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4cae902a.qua' !
    C:\System Volume Information\_restore{739F2763-643D-4DAB-94D2-5CCAC9A40482}\RP255\A0027789.exe
    [RESULTAT] Contient le modèle de détection du ver WORM/Joleee.fbv
    [REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c798fe7.qua' !

    Est-ce que c'est suffisant? c'est pas la première fois que je vois ce worm...

    Pour les détections de l'AV, c'est OK. La première étant la quarantaine de CF, et la seconde étant d'un point de resto qu'on supprimera à la fin. ;) 

    Quant aux lignes winlogon en O20, elles me semblent légitime.

    Donc plus de soucis (pour savoir si je te met le canned de fin) ? (à part les 2 détections)

    Ok!

    1/ Pour supprimer les utilitaires téléchargés:

  • Télécharge ToolsCleaner2 sur ton bureau
  • Double-clique sur Toolscleaner.exe,
  • Clique sur restauration pour créer un point de restauration.
  • Puis clique sur recherche.
  • Quand la recherche sera terminée, clique sur suppression.
  • A la fin (il y aura des indications dans le cadre en-dessous), clique sur quitter et poste le rapport qui se trouve dans C:\Tcleaner.txt.
  • Clique droit sur son icône => supprimer.


    2/ Pour supprimer les fichiers temporaires (à utiliser régulièrement!):

    Télécharge sur le bureau « CCleaner »
  • Installe le en refusant la Yahoo! Toolbar,
  • Puis lance le.
  • Va dans Options, puis Avancé et décoche la case Effacer uniquement les fichiers etc...
  • Retourne dans Nettoyeur, puis choisis Analyse.
  • Une fois cette dernière terminée, clique sur Nettoyer

    -----

    3/ Désactiver et réactiver la restauration système:

    - sous xp:

  • Clique-Droit sur Poste de Travail
  • Clique Propriétés,
  • Clique Restauration du système.
  • Cocher : Désactiver la restauration système sur tous les lecteurs,
  • Valider en cliquant sur OK.
  • Redémarrer le pc.
  • Et même manoeuvre en décochant pour rétablir la restauration.
  • Puis Menu Démarrer ==> Tous les programmes ==> Accessoires ==> Outils système ==> Restauration système,
  • Clique Créer un nouveau point de restauration.
  • note => le nom donné n’a aucune importance.

    - sous vista:

  • Clique sur Démarrer,
  • Clique-droit sur Ordinateur,
  • Clique Propriétés,
  • Clique Protection du système.
  • Décocher : C,
  • Valider en cliquant sur OK.
  • Redémarrer le pc.
  • Et même manoeuvre en recochant pour rétablir la restauration.
  • Puis de même et cliquer créer pour établir un nouveau point de restauration.

    - sous seven:

  • Clique sur Démarrer,
  • Clique-droit sur Ordinateur,
  • Clique Propriétés,
  • Clique Protection du système,
  • Clique sur l'onglet Protection du système.
  • Sélectionne : C,
  • Clique Configurer...,
  • Coche : Désactiver la protection du système.
  • Valider en cliquant sur OK.
  • Redémarrer le pc.
  • Et même manoeuvre en recochant : Restaurer les paramètres système et les versions précédentes des fichiers pour rétablir la restauration.
  • Puis de même et cliquer créer pour établir un nouveau point de restauration.

    -----

    4/Anti-spyware/malware

  • Garder malwarebytes' et penser à faire des scans réguliers avec ce dernier! => Tuto malwarebytes'
  • Antispyware gratuit : ça sert à rien!

    -----

    5/Protection

  • Un dossier sur les infections.
  • Sécuriser son ordinateur (version courte).
  • Surfer sécurisé.
  • Les idées reçues en sécurité logicielle.

    -----

    6/ Problème résolu?

    Alors penser à mettre le sujet en résolu en éditant ton titre!
  • Clique sur le bouton Éditer dans ton premier message (en bas à droite du message).
  • Ajoute [Résolu] devant le titre.
  • Clique ensuite sur Valider votre message :clin: 

    voilà le rapport :

    [ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

    --> Recherche:

    C:\Combofix.txt: trouvé !
    C:\Qoobox: trouvé !
    C:\Documents and Settings\User\Desktop\ComboFix.exe: trouvé !
    C:\Qoobox\Quarantine\catchme.log: trouvé !
    C:\WINDOWS\mbr.exe: trouvé !

    ---------------------------------
    --> Suppression:

    C:\Documents and Settings\User\Desktop\ComboFix.exe: ERREUR DE SUPPRESSION !!
    C:\Combofix.txt: supprimé !
    C:\Qoobox\Quarantine\catchme.log: supprimé !
    C:\WINDOWS\mbr.exe: supprimé !
    C:\Qoobox: supprimé !



    Merci pour tout!!!

    Par contre, ordi2 va encore avoir besoin de tes services, si ça ne t'ennuie pas! :-)

    Ah oui merde, je l'avais oublié. :whistle: 

    Télécharger sur le bureau « UsbFix »

  • Double-cliquez sur UsbFix.exe qui vient d'apparaître sur le bureau.
  • Choisir l'option Recherche.
  • Quand le message vous y invite, Connecter au pc, clé USB, DD externes, susceptibles d'avoir été infectés, sans les ouvrir.
  • Note: Le menu Démarrer et les icônes vont disparaitrent.
  • La recherche s'effectue, cela peut prendre plusieurs minutes, ne touchez à rien.
  • Une fois l'analyse terminé, un rapport de scan vous est proposé... appuyez sur une touche pour ouvrir ce rapport.
  • L'héberger et donner son lien.

    Bah une fois que t'as l'habitude c'est comme tout, c'est plus facile. ;) 

  • Double-cliquez sur UsbFix.exe

  • Choisir l'option Suppression.
  • Quand le message vous y invite, Connecter au pc, clé USB, DD externes, susceptibles d'avoir été infectés, sans les ouvrir.
  • Note: Le menu Démarrer et les icônes vont disparaitrent.
  • La supression s'effectue, l'ordinateur redémarrera automatiquement.
  • Au redémarrage usbfix se relance.
  • Note: Le processus d enettoyage peut-être long, soyez patient. Votre bureau ne sera pas accessible, c'est normal.
  • Une fois l'analyse terminé, un rapport de scan vous est proposé... appuyez sur une touche pour ouvrir ce rapport.
  • L'héberger et donner son lien.

    Ça dépends de l'infection, yen a qui partent bien, d'autres non. ;) 

    Télécharge sur le bureau « AD-Remover »
  • Double clique sur Ad-R.exe
  • Au menu principal choisi l'option Scanner
  • Un rapport s'ouvre.
  • Héberge le et donne son lien.
  • Note: le rapport se situe aussi dans « C:\Ad-Report-SCAN.log »

    Ok, fais un scan mbam maintenant!

    Télécharger sur le bureau Malwarebyte's Anti-Malware

  • Double-clic sur « mbam-setup » pour lancer l'installation.
  • Installer simplement sans rien modifier.
  • Quand le programme lancé ==> onglet « Mise à jour » cliquer sur ==> « Recherche de mise à jour. »
  • Onglet « Recherche » ==> cocher « Exécuter un examen complet ».
  • Clic « Rechercher »,
  • Cocher tous les disque dur,
  • Clic « Lancer l'examen ».
  • En fin de scan , si infection trouvée,
  • ==> Clic « Afficher résultat ».
  • Fermer vos applications en cours,
  • Vérifier si tout est coché et clic « Supprimer la sélection ».

  • Un rapport s'ouvre l'héberger et donner son lien.

    Vu!

  • Désactive l'antivirus.

    Télécharger et enregistrer sur le bureau « Combofix »

  • Double-clic sur Combofix.
  • Si invitation à télécharger et installer la console de récupération, l'accepter.
  • La recherche va ensuite se lancer,
  • Attendre la fermeture de l’outil ( 5 à 10 mn),
  • Un rapport dans C:\Combofix.txt: héberge le et donne le lien.

    salut !

    apparemment je n'ai plus de soucis
    en tout cas plus d'alertes, mais je ne sais ps comment verifier.

    par contre on a eu un quota de téléchargement anorml le mois dernier, tu crois que ça peut etre a cause des virus ?


    merci

    Plop! Désolé, j'étais en vacances. ;) 

    Possible pour ton quota de téléchargement. Je ne vois plus de signe de virus dans tes logs, donc si tu n'as plus de soucis, c'est que c'est ok!

    1/ Pour supprimer les utilitaires téléchargés:

  • Télécharge ToolsCleaner2 sur ton bureau
  • Double-clique sur Toolscleaner.exe,
  • Clique sur restauration pour créer un point de restauration.
  • Puis clique sur recherche.
  • Quand la recherche sera terminée, clique sur suppression.
  • A la fin (il y aura des indications dans le cadre en-dessous), clique sur quitter et poste le rapport qui se trouve dans C:\Tcleaner.txt.
  • Clique droit sur son icône => supprimer.


    2/ Pour supprimer les fichiers temporaires (à utiliser régulièrement!):

    Télécharge sur le bureau « CCleaner »
  • Installe le en refusant la Yahoo! Toolbar,
  • Puis lance le.
  • Va dans Options, puis Avancé et décoche la case Effacer uniquement les fichiers etc...
  • Retourne dans Nettoyeur, puis choisis Analyse.
  • Une fois cette dernière terminée, clique sur Nettoyer

    -----

    3/ Désactiver et réactiver la restauration système:

    - sous xp:

  • Clique-Droit sur Poste de Travail
  • Clique Propriétés,
  • Clique Restauration du système.
  • Cocher : Désactiver la restauration système sur tous les lecteurs,
  • Valider en cliquant sur OK.
  • Redémarrer le pc.
  • Et même manoeuvre en décochant pour rétablir la restauration.
  • Puis Menu Démarrer ==> Tous les programmes ==> Accessoires ==> Outils système ==> Restauration système,
  • Clique Créer un nouveau point de restauration.
  • note => le nom donné n’a aucune importance.

    - sous vista:

  • Clique sur Démarrer,
  • Clique-droit sur Ordinateur,
  • Clique Propriétés,
  • Clique Protection du système.
  • Décocher : C,
  • Valider en cliquant sur OK.
  • Redémarrer le pc.
  • Et même manoeuvre en recochant pour rétablir la restauration.
  • Puis de même et cliquer créer pour établir un nouveau point de restauration.

    - sous seven:

  • Clique sur Démarrer,
  • Clique-droit sur Ordinateur,
  • Clique Propriétés,
  • Clique Protection du système,
  • Clique sur l'onglet Protection du système.
  • Sélectionne : C,
  • Clique Configurer...,
  • Coche : Désactiver la protection du système.
  • Valider en cliquant sur OK.
  • Redémarrer le pc.
  • Et même manoeuvre en recochant : Restaurer les paramètres système et les versions précédentes des fichiers pour rétablir la restauration.
  • Puis de même et cliquer créer pour établir un nouveau point de restauration.

    -----

    4/Anti-spyware/malware

  • Garder malwarebytes' et penser à faire des scans réguliers avec ce dernier! => Tuto malwarebytes'
  • Antispyware gratuit : ça sert à rien!

    -----

    5/Protection

  • Un dossier sur les infections.
  • Sécuriser son ordinateur (version courte).
  • Surfer sécurisé.
  • Les idées reçues en sécurité logicielle.

    -----

    6/ Problème résolu?

    Alors penser à mettre le sujet en résolu en éditant ton titre!
  • Clique sur le bouton Éditer dans ton premier message (en bas à droite du message).
  • Ajoute [Résolu] devant le titre.
  • Clique ensuite sur Valider votre message :clin: 
    Lassé par la pub ? Créez un compte

    Créer un nouveau sujet

    Tom's guide dans le monde