FORUM D’ENTRAIDE INFORMATIQUE (FEI)Site d’assistance et de sécurité informatique

[sophana]

Bonjour à tous,
Je suis nouveau sur ce forum alors merci pour l'accueil et vos réponses à cette question.
Dans la barre de lancement rapide je voie parfois une icone survenir de façon très fugace. Bien sur sans étre parano je soupçonne une cochonceté et pourquoi pas un keyloger et je me demande si un scan de ZHPDiag peut le détecter et l'enlever par la suite???.
En vous remerciant de votre aide et de vos conseils et réponses.

[g3n-h@ckm@n]

salut

• Copie le script ci dessous :
  
  HKCU\Software
      HKLM\Software
      HKCU\Software\Microsoft\Command Processor /s
      HKLM\Software\Microsoft\Command Processor /s
      %Homedrive%\*
      %Homedrive%\*.
      %Userprofile%\*
      %Userprofile%\*.
      %Allusersprofile%\*
      %Allusersprofile%\*.
      %LocalAppData%\*
      %LocalAppData%\*.
      %Userprofile%\Local Settings\Application Data\*
      %Userprofile%\Local Settings\Application Data\*.
      %Userprofile%\AppData\Local\Google\Chrome\User Data\Default\Pepper Data\Shockwave Flash\WritableRoot\#SharedObjects\*
      %Userprofile%\AppData\Local\Google\Chrome\User Data\Default\Pepper Data\Shockwave Flash\WritableRoot\#SharedObjects\*.
      %programFiles%\*
      %programfiles%\Google\Desktop\*. /s
      %programFiles%\*.
      %Systemroot%\Installer\*.
      %Systemroot%\Temp\*.exe /s
      %systemroot%\system32\*.dll /lockedfiles
      %systemroot%\system32\*.exe /lockedfiles
      %systemroot%\system32\*.in*
      %systemroot%\Tasks\*
      %systemroot%\Tasks\*.
      %systemroot%\system32\Tasks\*
      %systemroot%\system32\Tasks\*.
      %systemroot%\system32\drivers\*.sy* /lockedfiles
      %systemroot%\system32\config\*.exe /s
      %Systemroot%\ServiceProfiles\*.exe /s
      %systemroot%\system32\*.sys
      dir %Homedrive%\* /S /A:L /C
      msconfig
      activex
      /md5start
      explorer.exe
      winlogon.exe
      wininit.exe
      volsnap.sys
      atapi.sys
      ndis.sys
      cdrom.sys
      i8042prt.sys
      iastor.sys
      tdx.sys
      netbt.sys
      afd.sys
      /md5stop
      netsvcs
      safebootminimal
      safebootnetwork
      CREATERESTOREPOINT
• Télécharge OTL (by OldTimer) sur ton bureau.
• Lance OTL, exécuter en tant qu'administrateur sous Windows : 7/8 et Vista
• Coche/Sélectionne les cases comme l'image ci dessous
• Colle le Script copié plus haut dans la partie inférieure d'OTL "Personnalisation"
• Clique sur Analyse
  
  
• Une fois le scan terminé 1 ou 2 rapports vont s'ouvrir OTL.txt et Extras.txt.
• Héberge les rapports OTL.txt et Extras.txt sur SosUpload, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum
  
  Note : Au cas où, tu peux les retrouver dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés
  
  En cas de problème avec SOSUpload, utiliser Cjoint

[sophana]

fichier OTL.txt: http://upload.sosvirus.net/www/?a=di=tUMu0FsJwn
fichier EXTRA.txt http://upload.sosvirus.net/www/?a=di=Qw82rDbjmf
http://upload.sosvirus.net/www/?a=di=Qw82rDbjmf
Merci pour l'interprétation de ces rapports et la marche à suivre en espérant ne pas avoir commis d'erreurs.

[sophana]

je pense avoir commis une erreur avec le rapport extra.txt donc je le repose ici
http://upload.sosvirus.net/www/?a=di=Qw82rDbjmf

[g3n-h@ckm@n]

Fais analyser le(s) fichier(s) suivants sur Virustotal :

http://www.virustotal.com/index.html

clique sur "Parcourir" et trouve puis selectionne ce(s) fichier(s) :

C:\Windows\SysWOW64\epmntdrv.sys

* Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
* Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
* Lorsque l'analyse est terminée colle le lien de(s)( la) page(s) dans ta prochaine réponse.

[sophana]

Bonjour voici (je pense) le lien de la page Virustotal qui à mon avis ne trouve rien.
https://www.virustotal.com/fr/file/27f8 ... 402488537/
Pour info Virustotal m'a renvoyé cette info "ce fichier a déjà été analysé il y a 4 mois" alors que je ne suis jamais allé sur ce site. J'ai donc redemandé une nouvelle analyse.
Que me conseilles tu maintenant. Merci de ton aide précieuse.

[g3n-h@ckm@n]

cet icone apparait tous les combien de temps ?

[sophana]

mystérieusement depuis que j'ai posé ce sujet je ne la remarque plus, je suis seul utilisateur du PC. C'était une icone qui clignotait de maniére rapide et fugace, fallait avoir les yeux sur la barre pour la remarquer. Je ne saurai te préciser une notion de temps.
Le fichier que j'ai soumis à Virustotal existe aussi dans Systéme32.!!!!! Y a t-il une relation entre ces deux fichiers.
Si tu penses que je peux mettre en résolu, dis le moi, sauf si tu as d'autres idées.

[g3n-h@ckm@n]

oui oui c'est un driver légitime qui tourne sous 64 bits et 32 bits

on va faire un scan general par sécurité

• Télécharge MalwareBytes
• Procède à l'installation de celui çi Décocher "Activer l'essai gratuit de Malwarebytes Anti-Malware Premium"
• Clic sur Mettre à jour (à droite, au centre)
• Clic sur Examen (en haut)
• Sélectionne Examen "Menaces"
• Clic sur Examiner maintenant
  
  
• A la fin du scan clic sur Tout mettre en quarantaine !
• Clic sur Copier dans le Presse-papiers
• Un rapport va s'ouvrir. Copie/Colle son contenue dans ta prochaine réponse.

[sophana]

Voici le rapport malwaresbytes et la clé trouvée correspond à un jeu acheté il y a for longtemps et dont je détiens le CD.
A te lire.

Malwarebytes Anti-Malware
http://www.malwarebytes.org

Date de l'examen: 11/06/2014
Heure de l'examen: 19:04:44
Fichier journal:
Administrateur: Oui

Version: 2.00.2.1012
Base de données Malveillants: v2014.06.11.06
Base de données Rootkits: v2014.06.02.01
Licence: Gratuite
Protection contre les malveillants: Désactivé(e)
Protection contre les sites Web malveillants: Désactivé(e)
Self-protection: Désactivé(e)

Système d'exploitation: Windows 7 Service Pack 1
Processeur: x64
Système de fichiers: NTFS
Utilisateur: Claude

Type d'examen: Examen "Menaces"
Résultat: Terminé
Objets analysés: 290370
Temps écoulé: 14 min, 26 sec

Mémoire: Activé(e)
Démarrage: Activé(e)
Système de fichiers: Activé(e)
Archives: Activé(e)
Rootkits: Désactivé(e)
Heuristics: Activé(e)
PUP: Activé(e)
PUM: Activé(e)

Processus: 0
(No malicious items detected)

Modules: 0
(No malicious items detected)

Clés du Registre: 0
(No malicious items detected)

Valeurs du Registre: 0
(No malicious items detected)

Données du Registre: 0
(No malicious items detected)

Dossiers: 0
(No malicious items detected)

Fichiers: 1
PUP.Downloader.ZYL, C:\Users\Claude\AppData\Local\Zylom Games\Around the World in 80 Days Deluxe\aroundtheworldin80days.exe, , [ff3399debdbe46f089832f927d8354ac],

Secteurs physiques: 0
(No malicious items detected)


(end)

[g3n-h@ckm@n]

refais ca ? : http://www.forum-entraide-informatique. ... ers#131913

[sophana]

http://upload.sosvirus.net/www/?a=di=jh5DMsA8Gt
http://upload.sosvirus.net/www/?a=di=Fj9Lb1kq41
Voici nouveaux rapports demandés. A te lire

[g3n-h@ckm@n]

ok on laisse tourner un peu de temps et tu reviens me dire si ca revient ou pas ?

[sophana]

Je te remercie pour ce sérieux coup de main et disponibilité. Je ne manquerai pas de te tenir informé de l'évolution mais dans quelque temps. Bonne soirée et encore merci

[g3n-h@ckm@n]

ok si tout va bien par la suite je te donnerai une procédure de fin de désinfection pour finir en beauté ^^