Un fichier suspect introuvable avec windows

[100bugs]

Bonjour

Hier, en naviguant sur un site "pour adultes", mon firewall comodo m'a signalé ce fichier situé à cet endroit: C/user/andré/appdata/local/temp/monraiz.exe

Voici les infos données par comodo en cliquant sur le lien mais pour moi c'est du chinois:
(Une recherche google sur monraiz.exe n'a absolument rien donné.)
http://cima.security.comodo.com/report/ ... 3d6299.htm

Je n'ai pas répondu à comodo dans le délais alloué alors son message a disparu et j'ai eu un freeze très bizarre et inhabituel qui m'a forcé à faire un Ctrl-Alt-Supp pour redémarrer.

J'ai alors utilisé l'explorateur windows pour aller supprimer monraiz.exe manuellement (comme je le fais toujours car comodo échoue toujours) mais il était introuvable. J'ai alors fait une recherche windows sur tout le disque C mais encore introuvable.

Comodo m'a resignalé ce fichier plusieurs fois depuis et je lui ai dit de bloquer son exécution.
J'ai pas encore vu de choses anormales (autre que des signalements par comodo) mais selon la liste des événements defense+ de comodo, des choses ont été changées et j'ignore si c'est grave ou non.


Enfin, j'ai fait un scan du disque C avec mon antivirus Avira (pour détecter les rootkits).
J'ai bien vu passer ce "C/user/andré/appdata/local/temp/monraiz.exe"... mais avira ne l'a pas considéré malicieux et l'a laissé passer.
DONC, le fichier existe vraiment et il est bien à l'endroit indiqué mais windows ne le voit pas et c'est cela le problème.

Pendant le scan par avira, j'ai vu passer plein de fichiers .bin (il me semble) portant le titre de vidéos mais impossible aussi de les trouver avec l'explorateur windows.
De mémoire, il me semble que le chemin de ces fichiers était: "C/user/*****/appdata/local/temp/microsoft/*****.bin"

Mon système VISTA est configuré pour afficher les fichiers cachés donc le problème est ailleurs.

Par contre, le dossier TEMP s'affiche d'une façon différente des autres dossiers car il inclut un petit logo à l'intérieur (voir la capture). C'est probablement dû à une action de ma part mais je n'en suis pas certain car j'ai pas remarqué si c'était ainsi dans le passé.


J'ai d'autres problèmes mineurs découlant de l'encrassement de windows avec le temps mais c'est encore vivable.
De toutes façons, je vais bientôt faire un formatage du DD avec réinstallation de mes prog et cela va régler tous les problèmes (incluant celui présenté ici) mais je voudrais attendre la fin de l'été... pour profiter de l'été.

[SkyTech]

Salut,

Etrange ce fichier, ça ressemble à un dropper.

Pour voir :

Télécharge MalwareByte's Anti-Malware sur ton Bureau.

/!\ N'installe pas la protection en temps réelle proposée à l'ouverture /!\

• Installe-le en double-cliquant sur le fichier mbam-setup.exe.
  Une fois l'installation et la mise à jour effectuées :
• Exécute maintenant MalwareByte's Anti-Malware. Si cela n'est pas déjà fait, sélectionne "Exécuter un examen complet".
• Afin de lancer la recherche, clic sur"Rechercher".
• Une fois le scan terminé, une fenêtre s'ouvre, clic sur OK. Deux possibilités s'offrent à toi :

~ Si le programme n'a rien trouvé, appuie sur OK. Un rapport va apparaître, ferme-le.
~~ Si des infections sont présentes, clic sur "Afficher les résultats" puis sur "Supprimer la sélection". Enregistre le rapport sur ton Bureau.
~~~~ Fais redémarrer ton ordinateur normalement et poste le rapport dans ta prochaine réponse.

REMARQUE : Si MalwareByte's Anti-Malware a besoin de redémarrer pour terminer la suppression, accepte en cliquant sur Ok.

&

* Télécharge >> OTL <<sur ton bureau.

* Fait un double-clic sur l'icône d'OTL pour le lancer
/!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

* Assure toi d'avoir fermé toutes les applications en court de fonctionnement.

* Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case "Rapport minimal" soit cochée.

* Copies et colles le contenue de cette citation dans la partie inférieure d'OTL "Personnalisation"

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\*.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
CREATERESTOREPOINT
nslookup http://www.google.fr /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs

* Cliques sur l'icône "Analyse" (en haut à gauche) .
* Laisse le scan aller à son terme sans te servir du PC
* A la fin du scan un ou deux rapports vont s'ouvrir "OTL.Txt" et ( ou ) "Extras.Txt"( dans certains cas).
* Copie et colle le ou les rapports dans ta réponse stp...
* Au cas où, tu peux les retrouver dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés

PS : Si le rapport est trop long pour être poster sur un message, tu peux utiliser un hébergeur : http://pjjoint.malekal.com/index.php?lang=fr

[100bugs]

Bonne nuit (il est 2:40 du matin ici)

Voici le rapport mbam:
1- Il est incomplet car il a cessé de fonctionner quand j'ai fait "Supprimer la sélection".
2- L'élément détecté était dans un dossier sur mon bureau quand j'ai lancé mbam.
J'ai ensuite mis mbam en pause, déplacé ce dossier sur un DDE, et ensuite fait continuer mbab.
J'aurais dû le faire redémarrer au lieu de le faire continuer.
--------------------------------------------
2013/06/03 21:48:52 -0400 PC-DE-ANDRÉ André MESSAGE Starting protection
2013/06/03 21:48:52 -0400 PC-DE-ANDRÉ André MESSAGE Protection started successfully
2013/06/03 21:48:52 -0400 PC-DE-ANDRÉ André MESSAGE Starting IP protection
2013/06/03 21:48:52 -0400 PC-DE-ANDRÉ André MESSAGE Executing scheduled update: Daily
2013/06/03 21:49:10 -0400 PC-DE-ANDRÉ André MESSAGE Scheduled update executed successfully: database updated from version v2013.04.04.07 to version v2013.06.03.10
2013/06/03 21:49:10 -0400 PC-DE-ANDRÉ André MESSAGE IP Protection started successfully
2013/06/03 21:49:10 -0400 PC-DE-ANDRÉ André MESSAGE Starting database refresh
2013/06/03 21:49:10 -0400 PC-DE-ANDRÉ André MESSAGE Stopping IP protection
2013/06/03 21:49:11 -0400 PC-DE-ANDRÉ André MESSAGE IP Protection stopped successfully
2013/06/03 21:49:14 -0400 PC-DE-ANDRÉ André MESSAGE Database refreshed successfully
2013/06/03 21:49:14 -0400 PC-DE-ANDRÉ André MESSAGE Starting IP protection
2013/06/03 21:49:17 -0400 PC-DE-ANDRÉ André MESSAGE IP Protection started successfully
2013/06/03 22:29:43 -0400 PC-DE-ANDRÉ André DETECTION C:\Users\André\Desktop\(X)_Adobe Photoshop Plug-ins\(X)_Plugins for Adobe Photoshop CS5 2010 MegaPack\Provenance 1 (Torrent)\DL fichiers\Plug-ins xxx Adobe Photoshop CS5\OnOne Software Mask Pro 4.1.8\keygen.exe Trojan.Agent.CK QUARANTINE
---------------------------

Mais j'ai pris la précaution de faire cette capture avant de faire "Supprimer la sélection".

Dans la quarantaine, il y a le fichier mentionné dans le rapport incomplet ainsi que tous les fichiers cochés sur la capture SAUF le rundll32.dll (je ne l'ai pas vu dans son path... mais je ne vois pas monraiz.exe non plus)

A NOTER QUE avira vient tout juste de commencer à détecter monraiz.exe


J'ai donc fait SUPPRIMER et la vérification a commencée mais il ne s'est rien produit ensuite.


Puis, avira a redétecté le fichier mais cette fois j'ai fait DÉTAILS.
La vérification a démarrée et ensuite cette fenêtre est apparue... avec les objets manquants:


J'ai alors fait APPLIQUER MAINTENANT et une faute s'est produite (je m'y attendais).

Peut-être que avira utilise son propre explorateur pour faire les détections et qu'il utilise l'explorateur windows pour la vérification (d'où l'objet laissé en blanc).
En tous cas, avira affiche constamment cet avertissement maintenant (toutes les minutes environ)... et c'est énervant.

Le rapport OTL va suivre aussitôt qu'il sera disponible.

[100bugs]

Voici les fichiers OTL.txt et Extras.txt:
http://pjjoint.malekal.com/files.php?id ... l5y5r10s10
http://pjjoint.malekal.com/files.php?id ... 0d5b6y10e6

NOTE:
Ne perd pas ton temps à essayer de faire de l'optimisation ou du nettoyage car cela va se régler tout seul quand je vais formater mon DD à la fin de l'été.
Et d'ici là, je veux seulement que mon PC continue à faire son travail (même si pas parfait) et SURTOUT sans me causer des problèmes (comme une optimisation pourrait le faire) car je ne veux pas passer de temps sur ce PC pendant l'été.

Et maintenant, je relance mbam sans lui jouer dans les pattes.
Rapport demain matin à mon levé du lit.
Alors à tantôt et merci

[100bugs]

Bon alors mbam a terminé son scan et quand j'ai fait "supprimer la sélection", il a encore cessé de fonctionner.
Mais j'avais encore fait une capture que voici:



Après le précédent scan de mbam, j'avais remarqué que le dossier "Disk Antivirus Professional" était vide mais je l'avais laissé en place.
Maintenant, ce nouveau scan de mbam REdétecte ce dossier et il a probablement cessé de fonctionner (après avoir fait "supprimer la sélection") parceque le dossier était vide.

J'ai donc supprimé manuellement ce dossier.

Concernant le fichier monraiz.exe qui activait constamment avira, j'ai réussi à le supprimer et depuis 60 minutes que c'est fait, avira ne s'est pas manifesté. Reste à voir à plus long terme...

Pour le supprimer, j'ai fait ceci:
1- J'ai créé un fichier .txt vide que j'ai renommé "monraiz.exe".
Là, j'ai vu que OTL avait modifié mes paramètres de dossiers alors j'ai remis l'affichage des extensions ainsi que l'affichage des fichiers cachés.

2- Je suis alors allé en mode sans échec (à noter que le vrai fichier "monraiz.exe" n'était toujours pas visible) et j'ai remplacé le vrai fichier "monraiz.exe" par le faux.

3- Je suis ensuite retourné en mode normal pour voir si windows me montrerait le faux fichier mais la réponse est NON.
Il y a donc quelque chose qui détecte le nom du fichier et le cache car je peux voir d'autres fichiers .exe dans ce dossier.

4- Je suis donc retourné en mode sans échec (à noter que le faux fichier "monraiz.exe" était visible) et j'ai supprimé le faux fichier "monraiz.exe"

Étrange histoire !
C'est certain que le problème est toujours en place mais il ne semble plus causer d'inconvénients.
Si il revient alors je vais lui appliquer le même traitement et vivre ainsi jusqu'au formatage à la fin de l'été.

Je pensais faire un scan mbam en mode sans échec mais ce serait probablement inutile car monraiz.exe (le vrai) était invisible dans ce mode... et il en sera probablement ainsi de la chose (des fichiers ?) qui le rendait invisible.
Pour Avira, je ne sais pas si il serait efficace en mode sans échec car même si il le voyait à la détection (en mode normal), il ne le voyait plus au moment de la suppression (en mode normal).

Avant de quitter, j'aimerais avoir tes impressions, opinions et conseils... et ensuite, je vais déinstaller mbam et OTL.
Merci

[SkyTech]

Yop,

Tout d'abord il est possible que MBAM plante à cause de COMODO activé pendant la suppression.
Tu peux purger la quarantaine de MalwareBytes.

On va supprimer quelques restes et entrées obsolètes ainsi que purger les répertoires %temp% :

Relance OTL.
o sous Personnalisation, copie_colle le contenu du cadre ci dessous et clic Correction, un rapport apparraitra suite à l’operation que tu conserveras afin d’en coller le resultat:

:OTL
IE - HKLM\..\SearchScopes\{C4A6D53F-49B2-44B6-9043-ECE37E70923E}: "URL" = http://www.ask.com/web?q={searchTerms}&l=dis&o=cahpd
IE:64bit: - HKLM\..\SearchScopes\{C4A6D53F-49B2-44B6-9043-ECE37E70923E}: "URL" = http://www.ask.com/web?q={searchTerms}&l=dis&o=cahpd
IE - HKCU\..\SearchScopes\{C4A6D53F-49B2-44B6-9043-ECE37E70923E}: "URL" = http://www.ask.com/web?q={searchTerms}&l=dis&o=cahpd
O4 - HKLM..\Run: [SunJavaUpdateSched] "C:\Program Files (x86)\Java\jre6\bin\jusched.exe" File not found
O4 - HKCU..\Run: [AdobeBridge] File not found
O4 - HKCU..\Run: [WMPNSCFG] C:\Program Files (x86)\Windows Media Player\WMPNSCFG.exe File not found
O7 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O7 - HKCU\Software\Policies\Microsoft\Internet Explorer\Infodelivery present
O7 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab (Reg Error: Key error.)
[3 C:\Windows\SysWow64\*.tmp files -> C:\Windows\SysWow64\*.tmp -> ]
[3 C:\Windows\SysNative\drivers\*.tmp files -> C:\Windows\SysNative\drivers\*.tmp -> ]
[2 C:\Users\André\*.tmp files -> C:\Users\André\*.tmp -> ]
[14 C:\Users\André\Documents\*.tmp files -> C:\Users\André\Documents\*.tmp -> ]
[2013-06-04 01:55:04 | 000,001,068 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskMachineUA.job
[2013-06-04 01:33:33 | 000,001,064 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskMachineCore.job
[2013-05-10 06:19:00 | 000,000,334 | ---- | M] () -- C:\Windows\tasks\HPCeeScheduleForAndré.job
[2013-05-18 09:10:43 | 000,000,399 | ---- | C] () -- C:\Users\André\Desktop\DriverUpdate.net - Update Drivers for Windows 8, 7, XP, and Vista.url
[2009-12-06 22:03:25 | 000,000,000 | -HSD | M] -- C:\Users\André\AppData\Roaming\.#
[2009-07-23 09:04:58 | 000,000,000 | ---D | M] -- C:\Users\André\AppData\Roaming\Symantec
[2011-03-02 19:49:43 | 000,000,000 | ---D | M] -- C:\Users\André\AppData\Roaming\TuneUp Software
@Alternate Data Stream - 114 bytes -> C:\ProgramData\Temp:A1EDB939
:commands
[purity]
[emptytemp]
[emptyflash]

* redemarre le pc et poste le rapport ici

[100bugs]

Alors voici le rapport OTL demandé:
http://pjjoint.malekal.com/files.php?id ... u9b11l10j9

Je sais que mon PC est encrassé car le dernier formatage remonte à 3 ans et aucun nettoyage n'a été fait depuis.
Normalement, je fais un formatage aux 2 ans et j'en profite pour changer mes logiciels et faire une image de sauvegarde mais là, j'étais en pleine rénovations et j'avais pas le temps ni le goût de le faire.

J'ai déjà eu une mauvaise expérience avec un logiciel de nettoyage (tuneup utilities) alors C'EST PLUS POUR MOI... MERCI !

J'ai fait ton petit nettoyage car tout me semblait inoffensif mais je ne pense pas que je vais aller plus loin.
Antivir et comodo ne détectent plus monraiz.exe... donc j'ai la paix.
Le démarrage se fait plutôt bien (même si il pourrait être plus rapide)... donc l'ordi est fonctionnel.
Alors je suis OK pour me rendre à la fin de l'été pour faire le formatage qui va régler tous mes petits ennuis.

Concernant le plantage de mbam, c'est probablement à cause de comodo comme tu dis car j'ai oublié de l'arrêter (avira aussi) et il a enrégistré une bonne cinquantaine d'événements (tous reliés à monraiz.exe) et initiés par OTL, mbam, antivir, et autres services.
Désolé de mon erreur, c'était tard! Mais la bonne nouvelle c'est que comodo a bien bloqué monraiz.exe comme demandé.
Si tu veux les détails, j'ai fait une capture.

UNE DERNIÈRE CHOSE QUE J'AIMERAIS QUE TU VÉRIFIES: C'est si monraiz.exe a eu la possibilité de faire des dommages.
SVP, regardes la liste d'événements defense+ (2è image de mon premier message) et dis moi si les 5 clefs modifiées sont problématiques. Avant de modifier les clefs, le prog a été mis dans la sandbox de comodo mais je ne sais pas à quel point cette sandbox est efficace car je n'y connais rien.

Voici la config de la sandbox de comodo (si il faut changer des choses, j'aimerais le savoir):

[SkyTech]

Alors voici le rapport OTL demandé:http://pjjoint.malekal.com/files.php?id ... u9b11l10j9

Non tu n'as pas fais une Correction.

SVP, regardes la liste d'événements defense+ (2è image de mon premier message) et dis moi si les clefs modifiées sont problématiques.

Non COMODO a dû le stopper, aucune trace de ces clés.

Pour la SandBox c'est OK.

[100bugs]

Alors voici le rapport OTL demandé:http://pjjoint.malekal.com/files.php?id ... u9b11l10j9

Non tu n'as pas fais une Correction.


Qu'est-ce que tu veux dire ? Je ne comprend pas !
J'ai configuré OTL comme demandé et j'ai fermé comodo et avira avant de le lancer.
Puis, le rapport est venu environ 30 minutes plus tard.

Est-ce qu'il y a quelque chose que je n'ai pas compris ?

[SkyTech]

Tu as fais une Analyse et non pas une Correction comme demandé, du coup les lignes sont encore là.

[100bugs]

Tu as raison... j'ai pris la seconde personnalisation mais en suivant la première procédure.
Comme tu vois, j'ai vraiment pas la tête à celà et je fais des choses idiottes.

Et là encore, j'ai lancé OTL avec un double clic (pas en mode administrateur) et j'ai oublié d'arrêter comodo et avira.
OTL a alors cessé de fonctionner en débutant [emptytemp] puis, j'ai arrêté comodo et avira et j'ai attendu que OTL continue la procédure. Vers le milieu de [emptytemp], OTL a recessé de fonctionner un moment et a continué la procédure jusqu'à la fin.

Alors voici le rapport... en espérant que mes autres erreurs n'ont pas perturbé les résultats:
http://pjjoint.malekal.com/files.php?id ... 3c11d10e12

OTL a supprimé 33 Go de choses inutiles... 3 années d'encrassement !
C'est apprécié car il ne restait plus que 53 Go libres sur mon DD.

J'ai remarqué que le dossier "C/user/andré/appdata" N'EXISTE PLUS... car relocalisé dans C/_OTL !
Mais tous les dossiers relocalisés se sont recréés quand j'ai commencé à naviguer sur le web... alors c'est normal.

OTL a encore modifié mes paramètres de dossiers...

[SkyTech]

Yop,

Relance OTL et clic sur Purge outil.

OTL a supprimé 33 Go de choses inutiles... 3 années d'encrassement !C'est apprécié car il ne restait plus que 53 Go libres sur mon DD.

Première fois que je vois ça

OTL a encore modifié mes paramètres de dossiers...

Tu peux remettre en masquer les fichiers/dossiers cachés : http://www.commentcamarche.net/faq/suje ... ion-simple

De mon côté tout est OK.

[100bugs]

Voilà, OTL est enlevé... Merci pour ton aide !

33 Go de merde c'est beaucoup mais çà nuit pas au bon fonctionnement de l'ordi.
Si je suis à court de Go présentement c'est parceque j'ai près de 300 Go de films sur le bureau en attente d'être transférés sur un de mes DDE.

Dans le passé, j'étais soucieux de tout apprendre sur les infections, les logiciels de protection et de nettoyage et plein d'autres choses mais çà prenait tout mon temps et c'était toujours à refaire.

Alors, j'en ai eu marre et j'ai changé ma façon de faire les choses !
Maintenant, je me limite à:

1- Formater aux 2 ans pour régler les petits bobos accumulés et changer mes logiciels "pirates".
Donc, j'ai déjà plus besoin de me gratter la tête pour plein de choses.

2- Faire une image de sauvegarde de mon DD pour régler les problèmes sérieux (plantage, infections, etc) mais j'ai encore jamais eu à m'en servir.
Donc, plus besoin de savoir désinfecter (ni de craindre d'être infecté), de trouver le "meilleur" antivirus et firewall et de connaître en profondeur comment fonctionne mon ordi.
Suffit seulement de savoir réinstaller l'image de sauvegarde; ce qui est d'une facilité déconcertante.

[SkyTech]

Re,

1- Formater aux 2 ans pour régler les petits bobos accumulés et changer mes logiciels "pirates".Donc, j'ai déjà plus besoin de me gratter la tête pour plein de choses.

Sur une machine optimisée et saine ça fait pas loin de 5 ans que je n'ai pas formaté, mon ghost est d'ailleurs obsolète Pour moi on formate que si il y en a réellement le besoin.

Dans le passé, j'étais soucieux de tout apprendre sur les infections, les logiciels de protection et de nettoyage et plein d'autres choses mais çà prenait tout mon temps et c'était toujours à refaire.

Honnêtement je ne touche à rien sur le PC, un coup de CCleaner de tant à autre et désinstallation des programmes devenus inutiles.

[100bugs]

Je fais 2 images de mon DD que je conserve sur un DDE dédié à cet usage.

La première, je la fais à l'achat de l'ordi et quand il y a un nouveau service pack de windows; ce qui est très rare.
Elle contient le contenu du DVD d'usine (purgé de tous les logiciels que je ne veux pas conserver) ainsi que les SP (windows, IE) et drivers que j'aurais éventuellement remplacés. Elle contient aussi tous les paramétrages personnels et autres choses du genre qui ne sont pas appelés à changer avec le temps.

C'est cette image que j'installe aux 2 ans AVANT d'installer les versions récentes de tous mes logiciels pirates.
En procédant ainsi, je m'épargne tout le travail laborieux autour du DVD d'usine et accessoires remplacés appartenant à l'ordi et j'ai pas besoin de rien nettoyer ni de déinstaller les vieux logiciels.
Çà me garanti aussi un système opérationnel qui va s'installer rapidement et sans difficultées.

La seconde image est faite quand tous les nouveaux logiciels sont installés et mis à jour (sauf certains pirates qui ne peuvent pas l'être).
C'est cette image que je vais utiliser en cas de problèmes majeurs (grosse infection, plantage sérieux, etc) mais c'est jamais arrivé encore.

Je ne pourrais pas attendre 5 ans comme toi car j'aurais trop de bris de windows.
Après 3 ans, j'ai déjà au moins 2 problèmes mineurs avec windows que ne vois pas comment réparer autrement qu'en réinstallant windows.

Et puis, quand je remplace mes logiciels pirates aux 2 ans (c'est déjà long), ce n'est pas beaucoup plus long d'installer la première image avant... et çà me garanti un système en parfait état de marche.