[Résolu] Mon antivirus détecte "Hidedrop.exe" (NanoCore)

[Baalro]

Bonjour au forum Malekal.com,

Aprés quelques recherches effectuer suite au piratage de mon compte paypal (plus de peur que mal j'ai vite effectuer les réclamations et j'ai été remboursé aussitôt) je suis tombé sur quelques sujets qui m'on amené sur ce forum et en effet après plusieurs scan il s'agit bien du problème "nanocore/backdoor etc". Donc après avoir mis à jour Malwarebytes et lancé un scan il m'as bien nettoyé les fichier en rapport aux problèmes connus mais mon antivirus détecte toujours un exécutable au démarrage qu'il place en quarantaine "Hidedrop.exe".

J'ai effectuer plusieurs scan avec d'autre soft mais rien y fait le fichier reviens toujours. Aprés avoir parcourus plusieurs topic en rapport avec le même problème sur le forum, commentçamarche et sur le site https://www.malekal.com j'ai effectué les différentes marches à suivre.

Petite précision en effet je pense que mon problème est survenus suite à l'utilisation d'une version de Teamspeak vulnérable, la 3.0.16 pour être plus précis (et oui c'est ce qui arrive quand on installe bêtement un logiciel sans prendre le temps de bien vérifier que c'est la dernière version en date).

Bref je me permet de poster les liens vers les rapports FRST dans mon 1er post :

http://pjjoint.malekal.com/files.php?id ... b15l14b9c9 - FRST.txt

http://pjjoint.malekal.com/files.php?id ... 0q8e8u12o7 - Addition.txt

http://pjjoint.malekal.com/files.php?id ... 5x13f9j9i9 - Shortcut.txt

Voilà en espérant une aide de votre part je vous remercie d'avance.

[Malekal_morte]

Salut,

il s'agit de cette campagne d'infection : Trojan NanoCore / Backdoor:MSIL/Noancooe : Exemple d’une Campagne qui je pense se propage par TeamSpeak qui ne doit pas être à jour chez toi.

Si c'est le cas, je veux bien que tu m'indiques sur quel serveur, tu es allé dernièrement.



Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

Startup: C:\Users\Dominique\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ChromeUpdate.hta [2016-02-01] () 
 2016-02-15 12:16 - 2016-02-15 12:16 - 00937776 ___SH (AutoIt Team) C:\Users\Dominique\AppData\Roaming\CQQWCZOEKGVWhEVaZc1.exe 
  2016-02-10 10:27 - 2016-02-10 10:27 - 00937776 ___SH (AutoIt Team) C:\Users\Dominique\AppData\Roaming\fbQJYbBUHWXaOGZGZd1.exe 
 2016-02-10 10:18 - 2016-02-10 10:18 - 00000000 ___HD C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup-Disabled 
 2016-02-10 10:16 - 2016-02-10 10:16 - 00274448 ___SH C:\Users\Dominique\AppData\Roaming\fMcBCWSUQaaPWAgNY 
 2016-02-10 10:16 - 2016-02-10 10:16 - 00061322 ___SH C:\Users\Dominique\AppData\Roaming\gehddcEWFYWMJhDEAEG.au3 
  2016-02-10 10:03 - 2016-02-10 10:03 - 00133136 ___SH C:\Users\Dominique\AppData\Roaming\eJLPgUPSSXbdcISPN 
 2016-02-10 10:03 - 2016-02-10 10:03 - 00061322 ___SH C:\Users\Dominique\AppData\Roaming\IQXXgbHVHSQIORgGPaP.au3 
 2016-02-01 16:32 - 2016-02-16 19:39 - 00000000 ____D C:\Users\Dominique\AppData\Roaming\60C5772A-0A05-4061-B7E4-6C44E217BABA 
 2016-01-30 19:16 - 2016-01-30 19:16 - 00000000 ____D C:\Users\Dominique\Downloads\Bloodborne_Edition_Collector_Guide 
 2016-01-30 11:07 - 2016-01-30 11:07 - 00000000 ____D C:\Program Files\File Association Helper 
 2016-01-30 11:05 - 2016-01-30 21:56 - 00000000 ____D C:\Users\Dominique\Documents\Add-in Express 
 2016-01-28 18:20 - 2016-01-28 18:20 - 00133136 _____ C:\Users\Dominique\AppData\Roaming\RGCCbLINTBUTFZhTO 
 2016-01-28 18:20 - 2016-01-28 18:20 - 00056607 _____ C:\Users\Dominique\AppData\Roaming\XKZXbOEgNQOaQdWfPhc.au3 
 2016-01-28 18:12 - 2016-01-28 18:12 - 00274448 _____ C:\Users\Dominique\AppData\Roaming\KdYIDWSDDNBOgUXOM 
 2016-01-28 18:12 - 2016-01-28 18:12 - 00056607 _____ C:\Users\Dominique\AppData\Roaming\AICCTVdFCGVNgICNbHA.au3 
  2016-01-28 18:12 - 2016-01-28 18:12 - 0056607 _____ () C:\Users\Dominique\AppData\Roaming\AICCTVdFCGVNgICNbHA.au3 
 2016-02-15 12:16 - 2016-02-15 12:16 - 0937776 ___SH (AutoIt Team) C:\Users\Dominique\AppData\Roaming\CQQWCZOEKGVWhEVaZc1.exe 
 2016-02-10 10:03 - 2016-02-10 10:03 - 0133136 ___SH () C:\Users\Dominique\AppData\Roaming\eJLPgUPSSXbdcISPN 
 2016-02-10 10:27 - 2016-02-10 10:27 - 0937776 ___SH (AutoIt Team) C:\Users\Dominique\AppData\Roaming\fbQJYbBUHWXaOGZGZd1.exe 
 2016-02-10 10:16 - 2016-02-10 10:16 - 0274448 ___SH () C:\Users\Dominique\AppData\Roaming\fMcBCWSUQaaPWAgNY 
 2016-02-10 10:16 - 2016-02-10 10:16 - 0061322 ___SH () C:\Users\Dominique\AppData\Roaming\gehddcEWFYWMJhDEAEG.au3 
 2016-02-10 10:03 - 2016-02-10 10:03 - 0061322 ___SH () C:\Users\Dominique\AppData\Roaming\IQXXgbHVHSQIORgGPaP.au3 
 2016-01-28 18:12 - 2016-01-28 18:12 - 0274448 _____ () C:\Users\Dominique\AppData\Roaming\KdYIDWSDDNBOgUXOM 
 2016-01-28 18:20 - 2016-01-28 18:20 - 0133136 _____ () C:\Users\Dominique\AppData\Roaming\RGCCbLINTBUTFZhTO 
 2016-01-28 18:20 - 2016-01-28 18:20 - 0056607 _____ () C:\Users\Dominique\AppData\Roaming\XKZXbOEgNQOaQdWfPhc.au3 

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

[Baalro]

Merci beaucoup pour le coup de main rapide.

Oui c'est bien ça pour l'infection c'est grâce à ce topic que j'ai fait tout de suite le lien.
Merci d'ailleurs d'avoir pris le temps d'expliquer aux internautes ce qui se passe.

Pour ce qui est du serveur, je n'ai plus l'adresse en question sous la main.
J'avais désinstallé TeamSpeak dans la foulé mais je verrais ça avec mon contact.

Voici le rapport fixlog.txt de FRST

Code : Tout sélectionner

Résultats de correction de Farbar Recovery Scan Tool (x64) Version:20-02-2016
Exécuté par Dominique (2016-02-20 19:52:45) Run:1
Exécuté depuis C:\Users\Dominique\Desktop
Profils chargés: Dominique (Profils disponibles: Dominique)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
Startup: C:\Users\Dominique\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ChromeUpdate.hta [2016-02-01] () 
 2016-02-15 12:16 - 2016-02-15 12:16 - 00937776 ___SH (AutoIt Team) C:\Users\Dominique\AppData\Roaming\CQQWCZOEKGVWhEVaZc1.exe 
  2016-02-10 10:27 - 2016-02-10 10:27 - 00937776 ___SH (AutoIt Team) C:\Users\Dominique\AppData\Roaming\fbQJYbBUHWXaOGZGZd1.exe 
 2016-02-10 10:18 - 2016-02-10 10:18 - 00000000 ___HD C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup-Disabled 
 2016-02-10 10:16 - 2016-02-10 10:16 - 00274448 ___SH C:\Users\Dominique\AppData\Roaming\fMcBCWSUQaaPWAgNY 
 2016-02-10 10:16 - 2016-02-10 10:16 - 00061322 ___SH C:\Users\Dominique\AppData\Roaming\gehddcEWFYWMJhDEAEG.au3 
  2016-02-10 10:03 - 2016-02-10 10:03 - 00133136 ___SH C:\Users\Dominique\AppData\Roaming\eJLPgUPSSXbdcISPN 
 2016-02-10 10:03 - 2016-02-10 10:03 - 00061322 ___SH C:\Users\Dominique\AppData\Roaming\IQXXgbHVHSQIORgGPaP.au3 
 2016-02-01 16:32 - 2016-02-16 19:39 - 00000000 ____D C:\Users\Dominique\AppData\Roaming\60C5772A-0A05-4061-B7E4-6C44E217BABA 
 2016-01-30 19:16 - 2016-01-30 19:16 - 00000000 ____D C:\Users\Dominique\Downloads\Bloodborne_Edition_Collector_Guide 
 2016-01-30 11:07 - 2016-01-30 11:07 - 00000000 ____D C:\Program Files\File Association Helper 
 2016-01-30 11:05 - 2016-01-30 21:56 - 00000000 ____D C:\Users\Dominique\Documents\Add-in Express 
 2016-01-28 18:20 - 2016-01-28 18:20 - 00133136 _____ C:\Users\Dominique\AppData\Roaming\RGCCbLINTBUTFZhTO 
 2016-01-28 18:20 - 2016-01-28 18:20 - 00056607 _____ C:\Users\Dominique\AppData\Roaming\XKZXbOEgNQOaQdWfPhc.au3 
 2016-01-28 18:12 - 2016-01-28 18:12 - 00274448 _____ C:\Users\Dominique\AppData\Roaming\KdYIDWSDDNBOgUXOM 
 2016-01-28 18:12 - 2016-01-28 18:12 - 00056607 _____ C:\Users\Dominique\AppData\Roaming\AICCTVdFCGVNgICNbHA.au3 
  2016-01-28 18:12 - 2016-01-28 18:12 - 0056607 _____ () C:\Users\Dominique\AppData\Roaming\AICCTVdFCGVNgICNbHA.au3 
 2016-02-15 12:16 - 2016-02-15 12:16 - 0937776 ___SH (AutoIt Team) C:\Users\Dominique\AppData\Roaming\CQQWCZOEKGVWhEVaZc1.exe 
 2016-02-10 10:03 - 2016-02-10 10:03 - 0133136 ___SH () C:\Users\Dominique\AppData\Roaming\eJLPgUPSSXbdcISPN 
 2016-02-10 10:27 - 2016-02-10 10:27 - 0937776 ___SH (AutoIt Team) C:\Users\Dominique\AppData\Roaming\fbQJYbBUHWXaOGZGZd1.exe 
 2016-02-10 10:16 - 2016-02-10 10:16 - 0274448 ___SH () C:\Users\Dominique\AppData\Roaming\fMcBCWSUQaaPWAgNY 
 2016-02-10 10:16 - 2016-02-10 10:16 - 0061322 ___SH () C:\Users\Dominique\AppData\Roaming\gehddcEWFYWMJhDEAEG.au3 
 2016-02-10 10:03 - 2016-02-10 10:03 - 0061322 ___SH () C:\Users\Dominique\AppData\Roaming\IQXXgbHVHSQIORgGPaP.au3 
 2016-01-28 18:12 - 2016-01-28 18:12 - 0274448 _____ () C:\Users\Dominique\AppData\Roaming\KdYIDWSDDNBOgUXOM 
 2016-01-28 18:20 - 2016-01-28 18:20 - 0133136 _____ () C:\Users\Dominique\AppData\Roaming\RGCCbLINTBUTFZhTO 
 2016-01-28 18:20 - 2016-01-28 18:20 - 0056607 _____ () C:\Users\Dominique\AppData\Roaming\XKZXbOEgNQOaQdWfPhc.au3 
*****************

C:\Users\Dominique\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ChromeUpdate.hta => déplacé(es) avec succès
C:\Users\Dominique\AppData\Roaming\CQQWCZOEKGVWhEVaZc1.exe => déplacé(es) avec succès
C:\Users\Dominique\AppData\Roaming\fbQJYbBUHWXaOGZGZd1.exe => déplacé(es) avec succès
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup-Disabled => déplacé(es) avec succès
C:\Users\Dominique\AppData\Roaming\fMcBCWSUQaaPWAgNY => déplacé(es) avec succès
C:\Users\Dominique\AppData\Roaming\gehddcEWFYWMJhDEAEG.au3 => déplacé(es) avec succès
C:\Users\Dominique\AppData\Roaming\eJLPgUPSSXbdcISPN => déplacé(es) avec succès
C:\Users\Dominique\AppData\Roaming\IQXXgbHVHSQIORgGPaP.au3 => déplacé(es) avec succès
C:\Users\Dominique\AppData\Roaming\60C5772A-0A05-4061-B7E4-6C44E217BABA => déplacé(es) avec succès
C:\Users\Dominique\Downloads\Bloodborne_Edition_Collector_Guide => déplacé(es) avec succès
C:\Program Files\File Association Helper => déplacé(es) avec succès
C:\Users\Dominique\Documents\Add-in Express => déplacé(es) avec succès
C:\Users\Dominique\AppData\Roaming\RGCCbLINTBUTFZhTO => déplacé(es) avec succès
C:\Users\Dominique\AppData\Roaming\XKZXbOEgNQOaQdWfPhc.au3 => déplacé(es) avec succès
C:\Users\Dominique\AppData\Roaming\KdYIDWSDDNBOgUXOM => déplacé(es) avec succès
C:\Users\Dominique\AppData\Roaming\AICCTVdFCGVNgICNbHA.au3 => déplacé(es) avec succès
"C:\Users\Dominique\AppData\Roaming\AICCTVdFCGVNgICNbHA.au3" => non trouvé(e).
"C:\Users\Dominique\AppData\Roaming\CQQWCZOEKGVWhEVaZc1.exe" => non trouvé(e).
"C:\Users\Dominique\AppData\Roaming\eJLPgUPSSXbdcISPN" => non trouvé(e).
"C:\Users\Dominique\AppData\Roaming\fbQJYbBUHWXaOGZGZd1.exe" => non trouvé(e).
"C:\Users\Dominique\AppData\Roaming\fMcBCWSUQaaPWAgNY" => non trouvé(e).
"C:\Users\Dominique\AppData\Roaming\gehddcEWFYWMJhDEAEG.au3" => non trouvé(e).
"C:\Users\Dominique\AppData\Roaming\IQXXgbHVHSQIORgGPaP.au3" => non trouvé(e).
"C:\Users\Dominique\AppData\Roaming\KdYIDWSDDNBOgUXOM" => non trouvé(e).
"C:\Users\Dominique\AppData\Roaming\RGCCbLINTBUTFZhTO" => non trouvé(e).
"C:\Users\Dominique\AppData\Roaming\XKZXbOEgNQOaQdWfPhc.au3" => non trouvé(e).

==== Fin de Fixlog 19:52:47 ====

[ EDIT : Ok de mon côté RAS, je n'ai plus cette fenêtre blanche au démarrage.
Mon antivirus ne détecte plus l’exécutable. Merci encore vous assurez grave ]

[Malekal_morte]

Super,

Change tous tes mots de passe car ils ont probablement été volés.

Renforce la sécurité de ton Windows : Comment sécuriser mon Windows