infection par KMS Auto

[jbrichez]

Bonjours a tous,

Voila j'ai télécharger la mauvaise version de KMS AUTO qui m'a installer tout un tas de trojan, adware etc ...
J'ai réussi à me débarrasser des adwares avec AdwCleaner mais je crois que le proxy est toujours actif.
En effet des que je vais sur internet des publicité s'ouvrent toutes les minutes et je suis redirigé tout le temps vers Bing.

J'ai fais un scan FRST :

ADITTION: https://pjjoint.malekal.com/files.php?r ... 14s10y10r5
FRST: https://pjjoint.malekal.com/files.php?r ... 1v9r7y7m12

Merci beaucoup de votre aide.

[Malekal_morte]

Salut,

Je confirme et en plus, il y a un rootkit, ca va être galère :(



Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

CloseProcesses:
C:\WINDOWS\system32\drivers\utvjzltz.sys 
S1 utvjzltz; C:\WINDOWS\system32\drivers\utvjzltz.sys [72816 2018-05-13] (Microsoft Corporation)
Task: {0A0AD5DC-9823-491E-B7CD-6D803E1FC24C} - System32\Tasks\NK2KAS4QQQWCM38KYY => C:\ProgramData\{WDEUJNEN-2D44-H5U6-B6GN46D2NCEZ}\IVTSU94W.vbs [2018-05-13] () <==== ATTENTION
Task: {22D064F4-B860-40D1-A3D4-5CEAC36576A7} - System32\Tasks\{05E118CB-AA23-98FD-059F-1189EAC5A3B9} => C:\Program Files (x86)\rAmYfAy.exe <==== ATTENTION
Task: {3C007926-8700-4BC3-BD0F-4B0E17EE6594} - System32\Tasks\TUZwhpCbnzWcBoUhWSI2 => rundll32 "C:\Program Files (x86)\SvnSzzIscGyUC\kLeniGc.dll",#1
Task: {6026593C-F9F9-42A7-8AC0-C4C286AEFEF0} - System32\Tasks\{9FC016C1-CBB1-9F99-6EEC-211612E98671} => C:\Program Files (x86)\BeWOiEk.exe <==== ATTENTION
HKU\S-1-5-21-1290783627-3381070381-3822154352-1001\...\Run: [clcgdd] => rundll32.exe "C:\Users\fabri\AppData\Local\clcgdd.dll",clcgdd <==== ATTENTION
HKU\S-1-5-21-1290783627-3381070381-3822154352-1001\...\Run: [3238599] => C:\Users\fabri\AppData\Roaming\lgkancbb0zz\hnzfgtjhux3.exe [576953 2018-05-13] ()
HKU\S-1-5-21-1290783627-3381070381-3822154352-1001\...\Run: [9436722] => C:\Users\fabri\AppData\Roaming\53z4sysu2cb\13cybdbiktd.exe [576953 2018-05-13] ()
Task: {C0C0B1EB-614B-4AB3-99FD-9F9AA9E12A81} - System32\Tasks\jbDyCmJOWCzWzi => rundll32 "C:\Program Files (x86)\EPVqpVJyVSWU2\LTObJGHiUUvxZ.dll",#1
Task: {E1A9C5EB-9CD7-470E-9325-189D25E57EA1} - System32\Tasks\RuvZlWnxKNkmGuM2 => rundll32 "C:\Program Files (x86)\KCGHGVOnU\TbGiUx.dll",#1
Task: {E6F2D1CE-E539-49AB-80DC-5C26DB08A87E} - System32\Tasks\wAJDAAZgOBCdyQgsK2 => rundll32 "C:\Program Files (x86)\VfXyqasRzlGpJFtgwyR\TYvcoPE.dll",#1
C:\Program Files (x86)\VfXyqasRzlGpJFtgwyR
C:\Program Files (x86)\*.dll
2018-05-13 20:05 - 2018-05-13 21:35 - 000679352 _____ (ANY-AUDio-CONverter.Com) C:\ProgramData\update.exe
2017-05-13 13:37 - 2018-05-13 22:17 - 000000200 _____ () C:\Users\fabri\AppData\Roaming\sp_data.sys
2017-08-03 12:59 - 2017-08-03 12:59 - 000007168 _____ () C:\Users\fabri\AppData\Roaming\SQLiteConverter.pref
2018-05-13 18:44 - 2018-05-13 18:44 - 001433124 _____ (Igor Pavlov) C:\Users\fabri\AppData\Roaming\zipx86stp.exe
2018-05-13 18:54 - 2018-05-13 18:54 - 007609856 _____ () C:\Users\fabri\AppData\Local\agent.dat
2018-05-13 20:51 - 2018-05-13 21:00 - 000000000 ____H () C:\Users\fabri\AppData\Local\BITF05B.tmp
2018-05-13 18:44 - 2018-05-13 18:44 - 000043520 _____ () C:\Users\fabri\AppData\Local\clcgdd.dll
2018-05-13 18:54 - 2018-05-13 18:54 - 000070896 _____ () C:\Users\fabri\AppData\Local\Config.xml
2018-05-13 18:51 - 2018-05-13 18:50 - 002136576 _____ (TODO: <Company name>) C:\Users\fabri\AppData\Local\DanRon.exe
2018-05-13 18:54 - 2018-05-13 18:54 - 001987147 _____ () C:\Users\fabri\AppData\Local\DanRon.tst
2018-05-13 18:44 - 2018-05-13 18:44 - 000194048 _____ () C:\Users\fabri\AppData\Local\fdloix.dll
2018-05-13 18:50 - 2018-05-13 18:50 - 000140800 _____ () C:\Users\fabri\AppData\Local\installer.dat
2018-05-13 18:54 - 2018-05-13 18:54 - 000005568 _____ () C:\Users\fabri\AppData\Local\md.xml
2018-05-13 18:54 - 2018-05-13 18:54 - 000126464 _____ () C:\Users\fabri\AppData\Local\noah.dat
2018-05-13 18:44 - 2018-05-13 18:44 - 000003072 _____ () C:\Users\fabri\AppData\Local\setupCryptoMaxima.exe
2018-05-13 18:50 - 2018-05-13 19:05 - 000929792 _____ () C:\Users\fabri\AppData\Local\sham.db
2018-05-13 18:55 - 2018-05-13 18:55 - 001895381 _____ () C:\Users\fabri\AppData\Local\TampDox.bin
2018-05-13 18:55 - 2018-05-13 18:55 - 000032038 _____ () C:\Users\fabri\AppData\Local\uninstall_temp.ico
2018-05-13 18:45 - 2018-05-13 18:45 - 000000003 _____ () C:\Users\fabri\AppData\Local\wbem.ini
EmptyTemp:
RemoveProxy:
CreateRestorePoint:
Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

2) réinitialiser les navigateurs:
==================================
Réinitialise tes navigateurs et/ou re-paramètre manuellement tes navigateurs WEB ( page de démarrage, moteur de recherche, etc ) mais aussi supprimer/désactiver les extensions inutiles/parasites.
Pour t'aider à effectuer ce ménage, clique ci-dessous sur le nom du navigateur WEB que tu utilises :
* Réinitialiser et réparer Mozilla Firefox
* Réinitialiser et réparer Google Chrome
* Réinitialiser et réparer Internet Explorer
(Ne pas utiliser Zeok)

3)
Faire un nettoyage Malwarebytes Anti-Malware (MBAM ) version gratuite

4)
Refais un scan FRST et donne les nouveaux rapports via pjjoint

[jbrichez]

Merci pour ton aide !

J'ai lance le scripte que tu m'as donné
Le fixlog: https://pjjoint.malekal.com/files.php?i ... 10o11k11x8

J'ai réinitialiser les navigateur, la redirection n'est plus effective a ce que je vois

J'ai relance ADWCleaner qui m'a retrouvé plusieur PUBs que j'avais déjà supprimer

et j'ai rescanne:
FRST: https://pjjoint.malekal.com/files.php?i ... o8k9u11o12
ADDITION: https://pjjoint.malekal.com/files.php?i ... 5w9r7e5t10

Merci beaucoup !

[Malekal_morte]

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

CloseProcesses:
HKU\S-1-5-21-1290783627-3381070381-3822154352-1001\...\Winlogon: [Shell] C:\ProgramData\{HVB3D73F-RS8U-RT6Y-U4XSH7QKN81Z}\3WNCIYB8XW.exe <==== ATTENTION 
C:\ProgramData\{HVB3D73F-RS8U-RT6Y-U4XSH7QKN81Z}
S1 tfgjlfxc; \??\C:\WINDOWS\system32\drivers\tfgjlfxc.sys [X]
S1 udnqujlu; \??\C:\WINDOWS\system32\drivers\udnqujlu.sys [X]
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
EmptyTemp:
RemoveProxy:
CreateRestorePoint:
Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

puis :

Fais un scan en ligne avec NOD32 puis enregistre le rapport. Envoie le sur https://pjjoint.malekal.com/ et donne le lien ici.

[jbrichez]

j'ai effectuer le script: https://pjjoint.malekal.com/files.php?i ... x5s12q12r5

et le scan nod32: https://pjjoint.malekal.com/files.php?i ... 8x11z10y12
je les ai tous supprimé !

[Malekal_morte]

ok un dernier scan FRST pour s'assurer qu'il n'y a plus les pilotes malveillants.