Infection par Win:32Malware-gen detectée par Avast

[inviteb95e2d29]

Bonjour,
Ça fait déjà quelques jours qu'Avast me met des messages d'alertes disant qu'un fichier infecté par un logiciel malveillant a été détecté et mis en zone de quarantaine et ceci de plus en plus fréquemment. Il s'agit du virus: Win32:Malware-gen. Les fichiers sont tous des .dll . (Ci-joint l'impression d'écran de la zone de quarantaine).
Je n'ais pas vraiment de symptômes particuliers: juste mon ordinateur met un certain temps à ouvrir ma session alors qu'avant il n'y avait pas ce problème et lors de l'ouverture de la session il y a ce message qui apparait: l'exception unknown software exception s'est produite (je ne sais pas si ça a un lien) Et internet a beaucoup de mal à s'ouvrir et parfois à charger les pages alors qu'avant qu'Avast signale l'infection ce n'était pas le cas. A part ça tout semble fonctionner normalement.

J'ais donc lancé une analyse minutieuse avec Avast, résultat: aucune menace détectée. Puis je me suis renseignée sur les logiciels malveillants et les virus. J'ai téléchargé Malwarebytes Anti-Malware et est lancée une analyse complète: aucune menace n'a été détectée non plus. Enfin, je me suis rendue sur les site de futura-sciences et j'ais suivi les instructions proposées dans le dossier: Malwares: premiers gestes pour désinfecter sa machine.
Ci-joint les deux rapports de RSIT.

Pouvez-vous m'aider ?

Merci
-----

[chantal11]

Bonjour,

Nous allons regarder ton souci ensemble.

---------------------------------------------------------------------------------------------

Désinstalle via Panneau de configuration -> Programmes et fonctionnalités (si présents) :

Searchqu Toolbar

---------------------------------------------------------------------------------------------

TDSSKiller :

• Télécharge TDSSKiller de Kaspersky et enregistre-le sur ton Bureau
• Double-clique sur TDSSKiller.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Clique sur Change parameters et coche la case Loaded modules. Le message Reboot is required s'affiche.
  Il faut le valider en cliquant sur Reboot now.
• Au redémarrage, valider la demande Voulez-vous exécuter ce fichier (Editeur Kasperky.Labs).
  L'outil TDSSKiller se relance.
• Clique de nouveau sur Change parameters et coche dans Additionnal options les cases Verify driver digital signatures et Detect TDLFS file system. Valide par OK
• Clique sur Start scan pour lancer l'analyse. Laisse travailler l'outil sans l'interrompre.
• En fin d'analyse, si l'outil a trouvé des éléments suspects ou malicieux, laisse les options indiquées par l'outil pour l'action à effectuer :
  - Si TDSS.tdl2 est détecté, l'option delete soit cochée par défaut
  - Si TDSS.tdl3 est détecté, l'option Cure soit bien cochée
  - Si TDSS.tdl4 (mbr) est détecté, l'option Cure soit bien cochée
  - Si Suspicious object est indiqué, l'option Skip soit cochée
• Clique ensuite sur Continue, puis clique sur Reboot computer (si l'option est proposée)
• Au redémarrage, poste le rapport TDSSKiller.Version_Date_Heure_ log.txt dans ta réponse sur le forum
  Le rapport TDSSKiller.Version_Date_Heure_ log.txt est enregistré sous C:\TDSSKiller.Version_Date_Heu re_log.txt

Tutoriel d'utilisation TDSSKiller en images

---------------------------------------------------------------------------------------------

AdwCleaner - Suppression :

• Télécharge AdwCleaner de Xplode et enregistre le fichier sur ton Bureau
• Ferme toutes les applications, y compris ton navigateur
• Double-clique sur l'icône AdwCleaner.exe pour lancer l'installation
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  Sous IE9, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même
• Sur le menu principal, clique sur Suppression et patiente le temps de l'analyse
• A la fin du scan, un rapport AdwCleaner(S).txt s'ouvre. Poste ce rapport dans ta prochaine réponse
  Le rapport se trouve sous C:\AdwCleaner(S).txt

Tutoriel d'utilisation AdwCleaner en images

---------------------------------------------------------------------------------------------

Sont attendus les rapports en PJ :

• TDSSKiller.Version_Date_Heure_ log.txt
• AdwCleaner(S).txt

@+

[inviteb95e2d29]

Re bonjour,
j'aie fais ce que vous m'aviez dis, voici les pièces jointes demandées.
Le rapport de TDSSkiller dépasse la limite du forum, il ne veut pas s'envoyer, en tout cas il n'a rien détecté.

[chantal11]

Re,

Pour le rapport TDSSKiller, clic-droit -> Envoyer vers -> Dossier compressé.
Tu devrais pouvoir joindre le rapport zippé.

Nous allons contrôler le système avec cet outil, plus performant que RSIT :

OTL :

• Télécharge OTL de OldTimer et enregistre le sur le Bureau
• Ferme toutes les autres fenêtres et double-clique sur OTL.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Coche la case Tous les utilisateurs
• Dans le cadre Personnalisation, copie-colle l'intégralité de ce qui suit (Sélectionner -> Clic-droit -> Copier)
  

  msconfig
  /md5start
  explorer.exe
  wininit.exe
  winlogon.exe
  userinit.exe
  svchost.exe
  services.exe
  /md5stop
  %SYSTEMDRIVE%\*.exe
  %ALLUSERSPROFILE%\Application Data\*.
  %ALLUSERSPROFILE%\Application Data\*.exe /s
  %APPDATA%\*.
  %APPDATA%\*.exe /s
  %systemroot%\*. /mp /s
  %systemroot%\Tasks\*.* /s
  %systemroot%\system32\*.dll /lockedfiles
  %systemroot%\Tasks\*.job /lockedfiles
  %systemroot%\system32\drivers\*.sys /lockedfiles
  hklm\software\clients\startmenuinternet|command /rs
  hklm\software\clients\startmenuinternet|command /64 /rs
  CREATERESTOREPOINT

• Clique ensuite sur Analyse et patiente le temps du scan
  
  
  
• A la fin de l'analyse, les rapports OTL.txt et Extras.txt s'affichent. Poste ces rapports en PJ.
  Les rapports sont sauvegardés sur le Bureau.

Sont attendus en PJ les rapports OTL.txt et Extras.txt et le rapport TDSSKIller zippé.

@+

[A voir en vidéo sur Futura]

[inviteb95e2d29]

Voici les pièces jointes OTL et EXTRAS, je rajoute celle compressée de TDSSkiller.
Merci

[chantal11]

Re,

Il était inutile de modifier l'option d'analyse des fichiers et la passer à 360 jours.
Cela alourdit le rapport pour rien.
Il faut suivre les indications et ne rien modifier de ta propre initiative.

----------------------------------------------------------------------------------------------

OTL :

• Ferme toutes les autres fenêtres et double-clique sur OTL.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Copie l'intégralité de ce script ci-dessous (y compris la 1ère ligne :OTL) (Sélectionner -> Clic-droit -> Copier)
  

  :OTL
  O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
  O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
  @Alternate Data Stream - 138 bytes -> C:\ProgramData\Temp:5D7E5A8F
  @Alternate Data Stream - 134 bytes -> C:\ProgramData\Temp:4D066AD2
  @Alternate Data Stream - 133 bytes -> C:\ProgramData\Temp:93DE1838
  @Alternate Data Stream - 125 bytes -> C:\ProgramData\Temp:E3C56885
  @Alternate Data Stream - 124 bytes -> C:\ProgramData\Temp:E1F04E8D
  @Alternate Data Stream - 124 bytes -> C:\ProgramData\Temp:AB689DEA
  @Alternate Data Stream - 122 bytes -> C:\ProgramData\Temp:ABE89FFE
  @Alternate Data Stream - 121 bytes -> C:\ProgramData\Temp:0B9176C0
  @Alternate Data Stream - 118 bytes -> C:\ProgramData\Temp:4CF61E54
  
  :files
  C:\Users\Héloïse\AppData\Local\{*}
  ipconfig /flushdns /c
  
  :Commands
  [EMPTYTEMP]
  [CREATERESTOREPOINT]

• Colle l'intégralité du script dans le cadre Personnalisation
• Clique ensuite sur le bouton Correction
  
  
  
• L'outil lance la suppression, ne pas l'interrompre
• Si l'outil te demande de redémarrer le PC, tu acceptes
• Poste le rapport situé dans C:\_OTL\MovedFiles\********_** ****.log dans ta prochaine réponse
  les *** sont des chiffres représentant la date [MoisJourAnnée] et l'heure

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\

----------------------------------------------------------------------------------------------

Est attendu le rapport C:\_OTL\MovedFiles\********_** ****.log

Comment se comporte le système maintenant ?

@+

[inviteb95e2d29]

Re,
j'aie fais ce que vous m'aviez dis,
L'ordinateur semble fonctionner comme d'habitude, par contre une nouvelle alerte avast m'a prévenu qu'un nouveau fichier infecté par Win:32Malware-gen a été mis en quarantaine.
Et il y deux fichiers que je ne connais pas qui ont apparus sur le bureau : desktop.ini

J'ai cherché le rapport, dans son emplacement, je ne trouve que des sous-dossiers, une bonne vingtaine, avec des noms comme: {000D0CAE-9FE1-4644-B474-41C088C91FED}
Ils sont tous vides, il y a un seul fichier : {15DED56D-D5E2-4203-AADD-0A83DDBEC96F} , mais sa taille est de 0 Ko

[chantal11]

Re,

par contre une nouvelle alerte avast m'a prévenu qu'un nouveau fichier infecté par Win:32Malware-gen a été mis en quarantaine.

Avant ou après le correctif OTL ?

Et il y deux fichiers que je ne connais pas qui ont apparus sur le bureau : desktop.ini

• Dans l'explorateur -> Organiser -> Options des dossiers et de recherche -> onglet Affichage ->
• coche la case Masquer les fichiers protégés du système d'exploitation
• Clique sur Appliquer

J'ai cherché le rapport, dans son emplacement, je ne trouve que des sous-dossiers

Dans le dossier C:\_OTL\MovedFiles, tu devrais trouver ce rapport qui a une extension .log
Dans Options des dossiers et de recherche -> onglet Affichage -> décoche la case Masquer les extensions des fichiers dont le type est connu
Poste le rapport s'il te plaît.

Le système a bien été redémarré après le correctif ?

@+

[inviteb95e2d29]

Re,

[QUOTE=chantal11;4494885]



Avant ou après le correctif OTL ?

Après le correctif OTL


Dans le dossier C:\_OTL\MovedFiles, tu devrais trouver ce rapport qui a une extension .log
Dans Options des dossiers et de recherche -> onglet Affichage -> décoche la case Masquer les extensions des fichiers dont le type est connu
Poste le rapport s'il te plaît.

Je viens de faire ceci et je ne le trouve toujours pas , il n'y a que les dossiers vides que j'ais cités précédemment.

Le système a bien été redémarré après le correctif ?

Oui il a été redémarré


A+, bonne soirée

[chantal11]

Bonjour,

On va refaire une analyse avec Malwarebytes et avec OTL.

----------------------------------------------------------------------------------------------

Malwarebyte's Anti-Malware :

• Lance Malwarebyte's en double-cliquant sur l'icône sur le bureau
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Lance une mise à jour dans l'onglet Mise à jour et laisse les dernières mises à jour s'installer
• Dans l'onglet Paramètres, puis Paramètres d'examen, sélectionne Afficher dans les résultats, pré-coché pour suppression pour les 2 actions Programmes potentiellement indésirables (PUP) et Modifications potentiellement indésirables (PUM)
• Dans l'onglet Recherche, coche Exécuter un examen complet puis clique sur Rechercher
• Sélectionne ton disque dur, puis clique sur Lancer l'examen
• A la fin du scan, clique sur Afficher les résultats
• Pour supprimer les éléments détectés, clique sur Supprimer la sélection
• Si un redémarrage est demandé, clique sur Yes
• Le rapport mbam-log[date-heure].txt s'ouvre. Poste ce rapport dans ta prochaine réponse

---------------------------------------------------------------------------------------------

Ensuite, tu relances OTL comme indiqué ici -> http://forums.futura-sciences.com/se...ml#post4494544
pour générer un nouveau rapport OTL.

---------------------------------------------------------------------------------------------

Sont attendus les rapports :

• mbam-log[date-heure].txt
• OTL.txt

@+

[inviteb95e2d29]

Bonjour,
Voici les deux rapports

[chantal11]

Re,

Le correctif OTL avait bien fonctionné, la nouvelle analyse OTL n'indique rien de particulier.

Tu as toujours des alertes Avast ?
Si oui, tu peux m'indiquer le chemin complet du fichier détecté ?
Toujours la même que dans ta capture initiale ?

@+

[inviteb95e2d29]

Re,
oui c'est toujours la même chose, il y en a eu deux depuis je crois d'alerte ou trois, je refais une capture d'écran se sera plus simple.

[chantal11]

Bonjour,


Nous allons voir avec cet outil :

---------------------------------------------------------------------------------------------

RogueKiller :

• Télécharge RogueKiller de Tigzy, en cliquant sur le lien de téléchargement et enregistre-le sur ton Bureau
• /!\ Important -> Quitte tous les programmes en cours
• Double-clique sur RogueKiller.exe sur ton Bureau
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Patiente le temps du Prescan, puis clique sur Scan
  
• Clique sur Rapport et poste ce rapport dans ta prochaine réponse

Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois. Au besoin le renommer en Winlogon.exe

---------------------------------------------------------------------------------------------

Est attendu le rapport de Recherche RogueKiller.

@+

[inviteb95e2d29]

Bonjour,
Voici le rapport
a+

[chantal11]

Bonjour,

Tu vas relancer RogueKiller en mode suppression, et comme il y a un souci au niveau du fichier Hosts, nous allons aussi réinitialiser ce fichier.

---------------------------------------------------------------------------------------------

Désinstalle via Panneau de configuration -> Programmes et fonctionnalités :

Hosts_Anti_Adwares_PUPs (tu le réinstalleras plus tard si tu le désires)

---------------------------------------------------------------------------------------------

RogueKiller :

• /!\ Important -> Quitte tous les programmes en cours
• Double-clique sur RogueKiller.exe sur ton Bureau
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Accepte l'EULA du programme
• Patiente le temps du Prescan, puis clique sur Scan
• Clique sur Suppression, puis sur Rapport et poste ce rapport dans ta prochaine réponse
  
  
• Ensuite clique sur Host RAZ, puis sur Rapport et poste ce rapport dans ta prochaine réponse

Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois. Au besoin le renommer en Winlogon.exe

---------------------------------------------------------------------------------------------

Sont attendus les 2 rapports RogueKiller.

@+

[inviteb95e2d29]

Bonjour,
voici les deux rapports demandés

[chantal11]

Re,

OK, le fichier Hosts a été réinitialisé.
Tu as bien désinstallé Hosts_Anti_Adwares_PUPs ?

Toujours des alertes avec Avast ?

@+

[inviteb95e2d29]

Re,
oui je l'ai bien désinstallé, non pour l'instant plus d'alertes avast.

[chantal11]

Re,

On va attendre jusqu'à ce soir ou demain et si tu confirmes qu'il n'y a plus d'alertes, nous pourrons finaliser la procédure.

En attendant, nous allons vérifier les plugins/extensions sensibles aux failles de sécurité.

---------------------------------------------------------------------------------------------

SX Check&Update :

• Télécharge SX Check&Update de igor51 et enregistre-le sur ton Bureau
• Ferme toutes les applications, y compris ton navigateur
• Double-clique sur SXC&U.exe pour lancer l'application
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Au menu principal, clique sur le bouton Rapport
• Poste le rapport_SX.txt dans ta prochaine réponse.

Si ton antivirus émet une alerte ou bloque l'outil, il faut le désactiver temporairement (le fichier SXC&U.exe est sûr)

---------------------------------------------------------------------------------------------

Est attendu le rapport SXCU.

@+

[inviteb95e2d29]

Re,
voici le rapport,
je confirme, toujours pas d'alerte avast.

[chantal11]

Bonjour,

je confirme, toujours pas d'alerte avast.

OK, nous allons donc finaliser la procédure.


---------------------------------------------------------------------------------------------

Mets à jour Firefox :

Télécharge et installe cette dernière version Firefox ou mets à jour directement via Firefox -> Aide -> A propos de Firefox

---------------------------------------------------------------------------------------------

Installe la dernière version Adobe Flash Player :

Ouvre Internet Explorer, télécharge et installe cette dernière version :
Adobe Flash Player

Pense à décocher les options proposées en même temps telles que la Barre d'outils Google gratuite (facultatif)
Il faut installer et tenir à jour Flash Player sous chaque navigateur présent sur le système

---------------------------------------------------------------------------------------------

Purge points de restauration :

• Ferme toutes les autres fenêtres et double-clique sur OTL.exe
  /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Copie l'intégralité de ce script ci-dessous
  

  :Commands
  [CLEARALLRESTOREPOINTS]
  [EMPTYTEMP]

• Colle l'intégralité du code dans le cadre Personnalisation
• Clique ensuite sur le bouton Correction
• Si l'outil te demande de redémarrer le PC, tu acceptes

---------------------------------------------------------------------------------------------

Désinstallation des outils utilisés :

Tu peux garder Malwarebytes et scanner ton système régulièrement avec en complément des analyses de ton antivirus.
Ne pas oublier toutefois, avant de lancer l'analyse, de faire une recherche de mises à jour de Malwarebytes, dans l'onglet Mise à jour

• Ferme toutes les autres fenêtres et double-clique sur OTL.exe
  /!\ Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Clique sur Purge d'outils
  
  
  
• Valide l'avertissement par OK et laisse le pc redémarrer

• Relance AdwCleaner et clique sur Désinstaller
• Supprime SXCU de ton Bureau
• Supprime tous les rapports générés restants

---------------------------------------------------------------------------------------------

Quelques précisions et conseils :

• D'une manière générale, il faut être prudent sur le net et ne pas cliquer sur tout ce qui paraît attrayant.
  Pourquoi et comment je me fais infecter ?
  
  /!\ Toujours privilégier le téléchargement d'une application sur le site de l'éditeur
  
  /!\ Bien lire les accords de licence avant toute installlation, des études ont montré que La France est championne du monde de malwares !
  
  /!\ Etre vigilant au moment de l'installation d'une application, Stop la pub !
  
  /!\ Sauvegarder régulièrement les données personnelles sur un support externe
  
  /!\ Ne jamais ouvrir une pièce-jointe dans un mail d'un expéditeur inconnu
  
  
  
• Maintenir son antivrus à jour et analyser le système régulièrement, avec en parallèle un scan avec Malwarebytes
  
  
• Tenir son système à jour, au niveau des mises à jour Windows Update, sans oublier les logiciels installés.
  Vérifier aussi d'avoir toujours la dernière version de Java et Flash Player
  Il faut mettre à jour Flash Player sous chaque navigateur présent sur le système
  Penser à décocher les options proposées en même temps que Java et Flash Player (Barre Google, Scan McAfee ....
  Maintenir Java, Adobe Reader et le player Flash à jour
  Exploitation SWF/PDF et Java - système non à jour = danger
  
  
• Au niveau de Firefox et Chrome, tu peux sécuriser ta navigation
  
  
  /!\ Une attitude responsable sur le net est la meilleure protection pour ton système
  Eviter les comportements à risques (cracks/keygens, P2P, streaming illégal, pornographie, etc.)
  

N'hésite pas si tu as des questions.

Pour en savoir plus, clique sur l'image pour télécharger ce PDF

[inviteb95e2d29]

Bonjour,
Je viens de faire tout ceci,
merci beaucoup de m'avoir aidée.

[chantal11]

Bonjour,

C'est parfait ...... Bonne continuation