TrojanBitcoinMiner

[Starkiller]

Bonjour,
Je suis nouveau sur le forum alors salut tout le monde
J'ai un problème avec un malware TrojanBitcoinMiner. En effet à chaque démarrage du PC, Comodo le met en quarantaine mais il revient à chaque reboot
Il est localisé ici : C:\Users\nom\AppData\Roaming\dtdump\dtdump.exe
Que faire ?

Merci

Je suis sur Win10-64
Comodo internet security + Malwarebyte

[angelique]

Bonjour/Bonsoir,

• Télécharge sur ton Bureau pas ailleurs FRST.EXE:
  
  
  
  La page de téléchargement : le tutoriel FRST ou FRST
  
  
  
  !! Placez le programme sur le bureau et pas ailleurs!!
• Exécute FRST.EXE, accepte le disclaimer , Cochez tous les options et cliquez sur le bouton Scan.
  Le scan se lance, les éléments scannés apparaissent en haut.
  
  -------------
• Une fois le scan terminé, une popup vous le signale et deux rapports sont générés : FRST.txt et Addition.txt ( Ces deux rapports se trouvent sur le bureau avec le programme FRST. )
  
  -------------
  
  Utilise le site http://pjjoint.malekal.com/ pour envoyer ton rapport, et poste le lien dans ta prochaine réponse pour analyse.

-----------------------------------

[Starkiller]

Super Merci
je vais faire tout ça et reviens vers toi rapidement

[Starkiller]

Voilà :

https://pjjoint.malekal.com/files.php?i ... 5x12q11l14
https://pjjoint.malekal.com/files.php?i ... 9u8q12i514

Merci encore

[angelique]

• Télécharge à coté de FRST.EXE , PAS AILLEURS !!!!! le fichier fixlist.txt en pièce jointe en bas du message.
  
  Relance FRST(clic droit exécuter en tant qu'administrateur) et clic sur le bouton corriger/fix
  Un redémarrage peut être nécessaire (pas obligatoire).
  Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message avec ton commentaire.

[Starkiller]

fixlist contenu:
*****************
CreateRestorePoint:
Task: {24322A21-735F-45A7-BAA1-476D25C47339} - pas de chemin du fichier
Task: C:\WINDOWS\Tasks\CreateExplorerShellUnelevatedTask.job => C:\WINDOWS\explorer.exe
Startup: C:\Users\oussama\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Sync.lnk [2018-03-15]
ShortcutTarget: Sync.lnk -> C:\Users\oussama\AppData\Roaming\st\Sync.vbs ()
2018-06-19 22:17 - 2018-06-23 09:33 - 000000000 ____D C:\Users\oussama\AppData\Roaming\dtdump
EmptyTemp:

*****************

Le Point de restauration a été créé avec succès.
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{24322A21-735F-45A7-BAA1-476D25C47339}" => supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{24322A21-735F-45A7-BAA1-476D25C47339}" => supprimé(es) avec succès
C:\WINDOWS\Tasks\CreateExplorerShellUnelevatedTask.job => déplacé(es) avec succès
C:\Users\oussama\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Sync.lnk => déplacé(es) avec succès
C:\Users\oussama\AppData\Roaming\st\Sync.vbs => déplacé(es) avec succès
C:\Users\oussama\AppData\Roaming\dtdump => déplacé(es) avec succès

=========== EmptyTemp: ==========

BITS transfer queue => 9199616 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 94273959 B
Java, Flash, Steam htmlcache => 127781656 B
Windows/system/drivers => 712759 B
Edge => 3584 B
Chrome => 0 B
Firefox => 60571297 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 0 B
LocalService => 0 B
NetworkService => 0 B
NetworkService => 0 B
oussama => 34704325 B

RecycleBin => 0 B
EmptyTemp: => 312.1 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 17:46:49 ====

[angelique]

ça revient ?

[Starkiller]

non comodo n'a rien detecté, ça marche
Merci bcp
C'était quoi en fait ce virus ?

[angelique]

Un truc comme ça :: https://www.malekal.com/bitcoin-monetisation-de-botnet/

tu peux alors supprimer frst, ses rapports et C:\FRST

[Starkiller]

Merci bcp!

[Starkiller]

A ton avis qui est ce qui créait le dtdump.exe à chaque démarrage ?

[Malekal_morte]

Possible que ce soit le script VBS qui le lance.