Trojan skeehyah.a

[foifoisancho]

Bonjour,
quelqu'un peut-il m'aider avec mes rapports FRST, svp? Mon PC est infecté par skeehyah.a!rfn
Merci d'avance
https://pjjoint.malekal.com/files.php?i ... 6r8f7x15q8
https://pjjoint.malekal.com/files.php?i ... i7n7h15d15
https://pjjoint.malekal.com/files.php?i ... 0f8f13y7k6

[angelique]

Bonjour,

Je suppose détecté sur ce fichier ? ➯ C:\Windows\SysWOW64\System32\sv_chosts.exe

envoie le fichier à Malekal sur cette page ➯ http://upload.malekal.com/

Il s'agit à mon avis d'un RemoteAccessTool,RemoteAccessTool, malveillant qui regarde et capture tout ce que tu fais.Tu changeras donc tous tes mots de passe après:

• Ouvre le bloc-notes : Menu Démarrer / Tous les programmes / Accessoires et Bloc-Notes. (ou executer➫notepad)
  Copie/colle dedans ce qui suit :
  
  

  Code : Tout sélectionner

  HKLM-x32\...\Run: [Sv_chosts] => C:\Windows\SysWOW64\System32\sv_chosts.exe [1169224 2006-04-18] (Microsoft Corporation)
  Task: {64FCFFD9-5586-4475-A3FD-37CBBDE8433B} - \Run_Bobby_Browser -> Pas de fichier <==== ATTENTION
  Task: {8D2AC7C4-0DFD-4B0D-968B-5E14C363DA98} - \Desk 365 RunAsStdUser -> Pas de fichier <==== ATTENTION
  Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32 /v "Sv_chosts" /f
  Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32 /v "Update" /f
  C:\Windows\SysWOW64\System32\sv_chosts.exe
  EmptyTemp:
  
  

• Menu Fichier / Enregistrer-sous
  Place toi sur le bureau.
  Dans le champs en bas, nom du fichier mets : fixlist.txt
  Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.
• Ferme toutes les applications, y compris ton navigateur
• Double-clique sur FRST.exe
  Sous Vista, Windows 7, 8,10, etc.... il faut lancer le fichier par clic-droit ➫ Exécuter en tant qu'administrateur
  Sur le menu principal, clique une seule fois sur Corriger/Fix et patiente le temps de la correction
  
  
  Un redémarrage peut être nécessaire (pas obligatoire).
• L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse avec ton commentaire si c'est mieux !

[foifoisancho]

Voilà le rapport que j'ai reçu

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 12-06-2017
Exécuté par faerun (13-06-2017 19:27:07) Run:1
Exécuté depuis C:\Users\faerun\Desktop
Profils chargés: faerun (Profils disponibles: faerun & DefaultAppPool)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
HKLM-x32\...\Run: [Sv_chosts] => C:\Windows\SysWOW64\System32\sv_chosts.exe [1169224 2006-04-18] (Microsoft Corporation)
Task: {64FCFFD9-5586-4475-A3FD-37CBBDE8433B} - \Run_Bobby_Browser -> Pas de fichier <==== ATTENTION
Task: {8D2AC7C4-0DFD-4B0D-968B-5E14C363DA98} - \Desk 365 RunAsStdUser -> Pas de fichier <==== ATTENTION
Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32 /v "Sv_chosts" /f
Reg: reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32 /v "Update" /f
C:\Windows\SysWOW64\System32\sv_chosts.exe
EmptyTemp:

*****************

HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\\Sv_chosts => valeur supprimé(es) avec succès
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{64FCFFD9-5586-4475-A3FD-37CBBDE8433B} => clé supprimé(es) avec succès
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{64FCFFD9-5586-4475-A3FD-37CBBDE8433B} => clé supprimé(es) avec succès
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Run_Bobby_Browser => clé supprimé(es) avec succès
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{8D2AC7C4-0DFD-4B0D-968B-5E14C363DA98} => clé supprimé(es) avec succès
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{8D2AC7C4-0DFD-4B0D-968B-5E14C363DA98} => clé supprimé(es) avec succès
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Desk 365 RunAsStdUser => clé supprimé(es) avec succès

========= reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32 /v "Sv_chosts" /f =========

L'op‚ration a r‚ussi.



========= Fin de Reg: =========


========= reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32 /v "Update" /f =========

L'op‚ration a r‚ussi.



========= Fin de Reg: =========

C:\Windows\SysWOW64\System32\sv_chosts.exe => déplacé(es) avec succès

=========== EmptyTemp: ==========

BITS transfer queue => 47962 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 79396377 B
Java, Flash, Steam htmlcache => 84038253 B
Windows/system/drivers => 782480 B
Edge => 401 B
Chrome => 42156523 B
Firefox => 46135654 B
Opera => 650240 B

Temp, IE cache, history, cookies, recent:
Default => 72428 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 128 B
systemprofile32 => 206124 B
LocalService => 66846 B
NetworkService => 0 B
faerun => 17849482 B
DefaultAppPool => 33058 B

RecycleBin => 0 B
EmptyTemp: => 258.9 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 19:27:31 ====


Je ne sais pas encore si c'est mieux, en tous cas, merci pour cette réponse super rapide!!!
est-il normal que l'interface google ait changé? Il était bleu, il est devenu blanc...
Faut-il que je change tous mes mots de passe maintenant? même ceux de ma messagerie orange?

Encore merci

[angelique]

Oui change tous tes mots de passe, messagerie, accès aux comptes, bank, etc.....

As tu toujours ce pourquoi tu es sur le forum, c'est à dire "Mon PC est infecté par skeehyah.a!rfn" ???

pour la couleur de google, tu parles de chrome ?

[foifoisancho]

J'ai lancé une analyse windows defender (qui avait détécté le trojan) et j'attends le résultat

Oui google chrome

[angelique]

Oui enfin en même temps tu dois avoir un historique des détections dans les paramètres de ton Windows defender , si c’est bien ce fichier il devrait juste couiner sur la quarantaine de FRST en C:\FRST que tu pourras supprimer ainsi que ses rapports respectifs.

Pour la couleur de chrome, j'en ai aucune idée, je n'utilise pas ce truc ....

➫ Il est important de surfer avec un navigateur non propriétaire, pour encore une fois des questions de fiabilité, de sécurité et pour que celui ci ne transmette pas directement un ensemble de données que vous utilisez/visualisez (comme c’est le cas de Chrome avec Google). Il est fortement recommandé d’utiliser Firefox, pour ces raisons et pour son aspect modulable, fonctionnant avec des modules comme Ad-block ( comme son nom l’indique, bloquer les publicités ), NoScript pour gérer flash ( voir 3 - Le format SWF (Flash) et les risques liés à son utilisation - http://www.cert.ssi.gouv.fr/site/CERTFR ... index.html - ), JavaScript, et\ou Iframe pourries sur sites compromis potentiellement générateur d'infections ( - http://forum.malekal.com/les-exploits-s ... t3563.html - )!!


Donc FireFox + Adblock et éventuellement NoScript pour un peu plus aguerri Lire sécuriser FireFox:: http://www.malekal.com/2010/11/12/secur ... firefox-2/


Si tu as un doute sur G00glee Chrome :


------------------

➫ Si Chrome:
-----------

Exporte tes favoris : https://support.google.com/chrome/answer/96816?hl=fr
Désinstalle Google Chrome depuis le panneau de configuration et programmes et fonctionnalités (ou désinstaller programmes).
A la désinstallation coche l'option de suppression des profils.
Télécharge et Réinstalle Google Chrome http://telecharger.malekal.com/download/google-chrome/
Au premier démarrage de Google Chrome, tu dois le trouver vierge, comme lors de la première installation, pas de page de démarrage habituelle, ni les extensions qui étaient présentes.
Tout doit avoir disparu.
réimporte les favoris.