Execution de vgftlrrd.exe - trojan RAT [résolu]

[Majid]

Bonjour,

Après quelques torrents et installations, j'ai un process qui veut s'exécuter en permanence et dont j'ignore la provenance.
Je n'ai pas réussi à retrouver le fichier source ni à le supprimer avec AdwCleaner qui a tout de même supprimé quelques menaces.
Je soupçonne toutefois le patch de Daemontools, mais j'aimerais que vous m'aidiez à localiser le problème.

Pour se faire, je vous donne les liens pjjoint vers les rapports du scan FRST

- FRST : https://pjjoint.malekal.com/files.php?i ... 3g14t11s15

- Addition : https://pjjoint.malekal.com/files.php?i ... 2g14r15r15

- Shortcut : https://pjjoint.malekal.com/files.php?i ... c6k12u6o12

Dans l'attente d'une réponse, je vous remercie infiniment pour votre aide.

[Malekal_morte]

Bonsoir,

C'est Trojan RAT.
Donc pas bon, pour les mots de passe etc.

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
Task: {FB92910C-BC1A-46C7-A426-5CEA0B361E13} - System32\Tasks\lcdknqp => C:\Users\weldc\lcdknqp\vgftlrrd.exe [940032 2016-10-09] (AutoIt Team) [File not signed] -> C:\Users\weldc\lcdknqp\ejfiibc.ttp
2020-11-15 19:18 - 2019-03-19 05:47 - 000045248 ___SH (Microsoft Corporation) C:\Users\weldc\vgftlrrd.exe
2020-11-15 19:15 - 2020-11-15 19:15 - 000000000 ____D C:\Users\Public\Security Sessions
2020-11-15 19:18 - 2020-11-15 19:18 - 000003678 _____ C:\Windows\system32\Tasks\lcdknqp
2020-11-15 19:18 - 2020-11-15 19:18 - 000000000 __SHD C:\Users\weldc\lcdknqp
2020-11-15 19:18 - 2019-03-19 05:47 - 000045248 ___SH (Microsoft Corporation) C:\Users\weldc\vgftlrrd.exe
2020-11-15 19:18 - 2020-11-15 19:18 - 000000000 ___HD C:\Users\weldc\AppData\Roaming\dclogs
Hosts:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

~~

Désinstalle :

Avira
WebAdvisor by McAfee

Laisse Windows Defender comme antivirus.

~~

2)
Faire un nettoyage Malwarebytes Anti-Malware (MBAM ) version gratuite

3)
Refais un scan FRST et donne les nouveaux rapports via pjjoint

[Majid]

Bonsoir,

Merci pour votre retour.
J'ai suivi les instructions, désinstallé Avira et WebAdvisor by McAfee, effectué un nettoyage avec Malwarebytes Anti-Malware et supprimé 8 menaces.

Voici le résultat du fixlog :

Fix result of Farbar Recovery Scan Tool (x64) Version: 15-11-2020
Ran by weldc (16-11-2020 00:58:20) Run:1
Running from C:\Users\weldc\Desktop
Loaded Profiles: weldc
Boot Mode: Normal
==============================================

fixlist content:
*****************

*****************


==== End of Fixlog 00:58:20 ====

Nouveau scan FRST :

- FRST : https://pjjoint.malekal.com/files.php?i ... 11g15s8o13

- Addition : https://pjjoint.malekal.com/files.php?i ... 68y11j9p10

- Shortcut : https://pjjoint.malekal.com/files.php?i ... 10e15c6o14

J'ai au passage un message d'erreur au démarrage de Windows dont voici la capture

Screenshot 2020-11-16 010723.png

Je vous remercie encore une fois pour votre aide.

[Malekal_morte]

La correction FRST est vide.

Place le programme FRST sur le bureau
ouvre le bloc-note
colle le script donné plus haut
enregistre le fichier sur le bureau sous le nom de fixlist.txt
Relance FRST puis Corriger.

[Majid]

Bonjour,

Cette fois ça a marché (pourtant j'ai fait ce qu'il fallait au départ). Voici la correction :


Fix result of Farbar Recovery Scan Tool (x64) Version: 15-11-2020
Ran by weldc (16-11-2020 10:03:57) Run:2
Running from C:\Users\weldc\Desktop
Loaded Profiles: weldc
Boot Mode: Normal
==============================================

fixlist content:
*****************
Start:
CloseProcesses:
CreateRestorePoint:
Task: {FB92910C-BC1A-46C7-A426-5CEA0B361E13} - System32\Tasks\lcdknqp => C:\Users\weldc\lcdknqp\vgftlrrd.exe [940032 2016-10-09] (AutoIt Team) [File not signed] -> C:\Users\weldc\lcdknqp\ejfiibc.ttp
2020-11-15 19:18 - 2019-03-19 05:47 - 000045248 ___SH (Microsoft Corporation) C:\Users\weldc\vgftlrrd.exe
2020-11-15 19:15 - 2020-11-15 19:15 - 000000000 ____D C:\Users\Public\Security Sessions
2020-11-15 19:18 - 2020-11-15 19:18 - 000003678 _____ C:\Windows\system32\Tasks\lcdknqp
2020-11-15 19:18 - 2020-11-15 19:18 - 000000000 __SHD C:\Users\weldc\lcdknqp
2020-11-15 19:18 - 2020-11-15 19:18 - 000000000 ___HD C:\Users\weldc\AppData\Roaming\dclogs
Hosts:
Reboot:
End:
*****************

Processes closed successfully.
Restore point was successfully created.
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{FB92910C-BC1A-46C7-A426-5CEA0B361E13}" => not found
"C:\Windows\System32\Tasks\lcdknqp" => not found
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\lcdknqp" => not found
C:\Users\weldc\vgftlrrd.exe => moved successfully
C:\Users\Public\Security Sessions => moved successfully
"C:\Windows\system32\Tasks\lcdknqp" => not found
C:\Users\weldc\lcdknqp => moved successfully
"C:\Users\weldc\AppData\Roaming\dclogs" => not found
C:\Windows\System32\Drivers\etc\hosts => moved successfully
Hosts restored successfully.


The system needed a reboot.

==== End of Fixlog 10:04:15 ====

vgftlrrd.exe est désomais parti depuis un moment.

Et concernant l'erreur Onedrive ça se corrige ?

Bien à vous,

[Malekal_morte]

Ca doit être bon,

Supprime C:\FRST

Change tes mots de passe et suis les instructions pour la bonne conduite pour ne plus te faire infecter.


Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?