Trojan WIN32/Esulat.A!rfn [résolu]

[lyon769]

Bonjour,
Je suis manifestement infecté par "Esulat.A!rfn" détecté plusieurs fois par RogueKiller.
Depuis Roguekiller ne le voit plus quand je lance une nouvelle analyse mais il est toujours la car il est détecté par un scan complet Defender. La désinfection annoncée par Défender n'est pas suivie d'effets. Pour l'instant les effets identifiés sont le non téléchargement des images contenues dans les mails de ma messagerie Outlook 2007, et le non chargement des widgets Windows 11. Ces 2 problèmes étaient résolus dans un premier temps par Roguekiller quand il détectait Esulat. Il y a sûrement d'autres effets secondaires que je n'ai pas forcément identifiés sur mon ordinateur. J'ai aussi utilisé sans succès ZHPCleaner, AdwCleaner, Malwarebytes Anti-Malware (MBAM).
Ci-dessous les liens pour les rapports après analyse FRST :
https://pjjoint.malekal.com/files.php?i ... c11m8k12h9
https://pjjoint.malekal.com/files.php?i ... b9g914i7c7
https://pjjoint.malekal.com/files.php?i ... 12k159t5s9
Je suis sous Windows 11 Version 22H2.
Cordialement.

[Malekal_morte]

Salut,

Plusieurs remarques :

1) AdwCleaner et ZHPCleaner ne visent pas les trojans.
Donc inutiles dans ton cas.
Plus globalement, si tu n'as pas de pubs intempestives, ça ne sert à rien de les utiliser.
Tu peux les supprimer.


2) A désinstaller, inutile, cela encombre et ralentit Windows :

Avast Antivirus Gratuit
CCleaner
SUPERAntiSpyware

Tu as déjà Malwarebytes, cela suffit.
Laisse Windows Defender, il est suffisant.

3) La détection Trojan:Win32/Esulat.A porte sur des cracks qui sont dans tes sauvegardes.
Il y a aussi des détections HackTool:Win32/Patch et HackTool:Win32/Keygen.

Date: 2023-03-03 16:24:45
Description:
Antivirus Microsoft Defender a détecté un logiciel malveillant ou potentiellement indésirable.
Nom : Trojan:Win32/Esulat.A!rfn
ID : 2147745898
Gravité : Grave
Catégorie : Cheval de Troie
Chemin : containerfile:_J:\Sauve ancien PC\Logiciel\Adobe.Dreamweaver.CC.2017.v17.0.[32bit-64bit].Multilingua-[WEB].rar; file:_J:\Sauve ancien PC\Logiciel\Adobe.Dreamweaver.CC.2017.v17.0.[32bit-64bit].Multilingua-[WEB].rar->Adobe.Dreamweaver.CC.2017.v17.0.[32bit-64bit].Multilingua-[WEB]\Patch + Activator\amtemu.v0.9.1.win-painter.zip
Origine de la détection : Ordinateur local
Type de détection : Concret
Source de détection : Utilisateur
Utilisateur : DESKTOP-A79PATR\JLW10
Nom du processus : Unknown
Version de la veille de sécurité : AV: 1.383.962.0, AS: 1.383.962.0, NIS: 1.383.962.0
Version du moteur : AM: 1.1.20000.2, NIS: 1.1.20000.2

~~

Par contre, il y a des fichiers DLL qui se baladent dans un dossier qui ne devraient pas.
Ca peut être des malwares ou pas.
Mais elles n'ont rien à faire là.

Par curiosité scanne ces fichiers sur Virustotal et donne les liens de scan :
C:\Users\JLW10\AppData\Roaming\Microsoft\1eaadjc.dll
C:\Users\JLW10\AppData\Roaming\Microsoft\kfgresk.dll
C:\Users\JLW10\AppData\Roaming\Microsoft\bass.dll
C:\Users\JLW10\AppData\Roaming\Microsoft\rsaadjd.dll

~~

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
2021-04-03 22:53 - 2021-04-03 22:53 - 000066719 _____ () C:\Users\JLW10\AppData\Roaming\Debut.dmp
2018-06-06 10:46 - 2018-06-06 10:46 - 000001167 _____ () C:\Users\JLW10\AppData\Roaming\trace_FilterInstaller.1.txt
2018-06-06 10:46 - 2019-02-25 15:04 - 000001167 _____ () C:\Users\JLW10\AppData\Roaming\trace_FilterInstaller.txt
2018-06-06 10:46 - 2019-02-25 15:04 - 000000000 _____ () C:\Users\JLW10\AppData\Roaming\trace_FilterInstaller.txt-CRT.txt
2018-04-07 17:20 - 2018-06-06 10:45 - 000016960 ____T (Un4seen Developments) C:\Users\JLW10\AppData\Roaming\Microsoft\1eaadjc.dll
2018-04-07 17:20 - 2018-06-06 10:45 - 000018724 ____T () C:\Users\JLW10\AppData\Roaming\Microsoft\bass.dll
2018-04-07 17:20 - 2018-06-06 10:45 - 000014392 ____T (Un4seen Developments) C:\Users\JLW10\AppData\Roaming\Microsoft\kfgresk.dll
2018-04-07 17:20 - 2018-06-06 10:45 - 000014456 ____T () C:\Users\JLW10\AppData\Roaming\Microsoft\mjcriu.dll
2018-04-07 17:20 - 2018-06-06 10:45 - 000010816 ____T (Un4seen Developments) C:\Users\JLW10\AppData\Roaming\Microsoft\peaadje.dll
2018-04-07 17:20 - 2018-06-06 10:45 - 000028760 ____T ((: JOBnik! :) [Arthur Aminov, ISRAEL]) C:\Users\JLW10\AppData\Roaming\Microsoft\qwadjb.dll
2018-04-07 17:20 - 2018-06-06 10:45 - 000015424 ____T (Un4seen Developments) C:\Users\JLW10\AppData\Roaming\Microsoft\rsaadjd.dll
2018-04-07 17:20 - 2018-06-06 10:45 - 000098872 ____T (Un4seen Developments) C:\Users\JLW10\AppData\Roaming\Microsoft\~DFK636ce1.tmp
2018-06-05 14:09 - 2018-06-05 14:09 - 000003584 _____ () C:\Users\JLW10\AppData\Local\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
2022-02-18 11:57 - 2022-02-18 11:57 - 001065984 _____ () C:\Users\JLW10\AppData\Local\file__0.localstorage
2018-09-28 15:15 - 2018-09-28 15:15 - 000000000 _____ () C:\Users\JLW10\AppData\Local\oobelibMkey.log
2022-02-11 15:49 - 2022-02-11 15:49 - 000007597 _____ () C:\Users\JLW10\AppData\Local\Resmon.ResmonCfg
EmptyTemp:
RemoveProxy:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

[lyon769]

Merci pour cette réactivité et pour la qualité de la réponse.
Je n'ai pas trouvé comment obtenir un lien du résultat après le scan de mes fichiers dll sur Virustotal.
Mais voici les résultats:
Pour 1eaadjc.dll : 1 détection Malwarebytes / Malware.Heuristic.1003 / Acronis (Static ML) / Undetected
Pour kfgresk.dll même résultat que le précédent soit Malware.Heuristic.1003
Pour bass.dll aucune détection
Pour rsaadjd.dll même résultat de détection que le premier soit Malware.Heuristic.1003
Je m'occupe maintenant de la correction à effectuer avec FRST.

[lyon769]

Je viens de suivre la procédure de correction.
En la lançant sur FRST j'ai eu un Popup : can't open AsIO3.sys
Puis ce Popup s'est refermé et à la fin j'ai eu un nouveau Popup m'indiquant un redémarrage nécessaire qui s'est fait automatiquement dès que j'ai cliqué sur OK.
J'ai contrôlé ma messagerie et maintenant les images contenues dans mes mails apparaissent et les widgets fonctionnent à nouveau.
Voilà le contenu du fichier Fixlog :
Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 05-03-2023
Exécuté par JLW10 (06-03-2023 17:16:51) Run:1
Exécuté depuis C:\Users\JLW10\Bureau
Profils chargés: JLW10
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
̩Start:
CloseProcesses:
CreateRestorePoint:
2021-04-03 22:53 - 2021-04-03 22:53 - 000066719 _____ () C:\Users\JLW10\AppData\Roaming\Debut.dmp
2018-06-06 10:46 - 2018-06-06 10:46 - 000001167 _____ () C:\Users\JLW10\AppData\Roaming\trace_FilterInstaller.1.txt
2018-06-06 10:46 - 2019-02-25 15:04 - 000001167 _____ () C:\Users\JLW10\AppData\Roaming\trace_FilterInstaller.txt
2018-06-06 10:46 - 2019-02-25 15:04 - 000000000 _____ () C:\Users\JLW10\AppData\Roaming\trace_FilterInstaller.txt-CRT.txt
2018-04-07 17:20 - 2018-06-06 10:45 - 000016960 ____T (Un4seen Developments) C:\Users\JLW10\AppData\Roaming\Microsoft\1eaadjc.dll
2018-04-07 17:20 - 2018-06-06 10:45 - 000018724 ____T () C:\Users\JLW10\AppData\Roaming\Microsoft\bass.dll
2018-04-07 17:20 - 2018-06-06 10:45 - 000014392 ____T (Un4seen Developments) C:\Users\JLW10\AppData\Roaming\Microsoft\kfgresk.dll
2018-04-07 17:20 - 2018-06-06 10:45 - 000014456 ____T () C:\Users\JLW10\AppData\Roaming\Microsoft\mjcriu.dll
2018-04-07 17:20 - 2018-06-06 10:45 - 000010816 ____T (Un4seen Developments) C:\Users\JLW10\AppData\Roaming\Microsoft\peaadje.dll
2018-04-07 17:20 - 2018-06-06 10:45 - 000028760 ____T ((: JOBnik! [Arthur Aminov, ISRAEL]) C:\Users\JLW10\AppData\Roaming\Microsoft\qwadjb.dll
2018-04-07 17:20 - 2018-06-06 10:45 - 000015424 ____T (Un4seen Developments) C:\Users\JLW10\AppData\Roaming\Microsoft\rsaadjd.dll
2018-04-07 17:20 - 2018-06-06 10:45 - 000098872 ____T (Un4seen Developments) C:\Users\JLW10\AppData\Roaming\Microsoft\~DFK636ce1.tmp
2018-06-05 14:09 - 2018-06-05 14:09 - 000003584 _____ () C:\Users\JLW10\AppData\Local\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
2022-02-18 11:57 - 2022-02-18 11:57 - 001065984 _____ () C:\Users\JLW10\AppData\Local\file__0.localstorage
2018-09-28 15:15 - 2018-09-28 15:15 - 000000000 _____ () C:\Users\JLW10\AppData\Local\oobelibMkey.log
2022-02-11 15:49 - 2022-02-11 15:49 - 000007597 _____ () C:\Users\JLW10\AppData\Local\Resmon.ResmonCfg
EmptyTemp:
RemoveProxy:
Reboot:
End:
*****************

Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
C:\Users\JLW10\AppData\Roaming\Debut.dmp => déplacé(es) avec succès
C:\Users\JLW10\AppData\Roaming\trace_FilterInstaller.1.txt => déplacé(es) avec succès
C:\Users\JLW10\AppData\Roaming\trace_FilterInstaller.txt => déplacé(es) avec succès
C:\Users\JLW10\AppData\Roaming\trace_FilterInstaller.txt-CRT.txt => déplacé(es) avec succès
C:\Users\JLW10\AppData\Roaming\Microsoft\1eaadjc.dll => déplacé(es) avec succès
C:\Users\JLW10\AppData\Roaming\Microsoft\bass.dll => déplacé(es) avec succès
C:\Users\JLW10\AppData\Roaming\Microsoft\kfgresk.dll => déplacé(es) avec succès
C:\Users\JLW10\AppData\Roaming\Microsoft\mjcriu.dll => déplacé(es) avec succès
C:\Users\JLW10\AppData\Roaming\Microsoft\peaadje.dll => déplacé(es) avec succès
C:\Users\JLW10\AppData\Roaming\Microsoft\qwadjb.dll => déplacé(es) avec succès
C:\Users\JLW10\AppData\Roaming\Microsoft\rsaadjd.dll => déplacé(es) avec succès
C:\Users\JLW10\AppData\Roaming\Microsoft\~DFK636ce1.tmp => déplacé(es) avec succès
C:\Users\JLW10\AppData\Local\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini => déplacé(es) avec succès
C:\Users\JLW10\AppData\Local\file__0.localstorage => déplacé(es) avec succès
C:\Users\JLW10\AppData\Local\oobelibMkey.log => déplacé(es) avec succès
C:\Users\JLW10\AppData\Local\Resmon.ResmonCfg => déplacé(es) avec succès

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1554079159-3209419768-789472131-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1554079159-3209419768-789472131-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

FlushDNS => terminé(e)
BITS transfer queue => 2097152 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 23500887 B
Java, Discord, Steam htmlcache, WinHttpAutoProxySvc/winhttp *.cache => 651256025 B
Windows/system/drivers => 78582454 B
Edge => 112141 B
Chrome => 636535439 B
Brave => 184320 B
Firefox => 38239276 B
Opera => 52914494 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 42486 B
NetworkService => 70028 B
JLW10 => 2207370869 B

RecycleBin => 169538839 B
EmptyTemp: => 3.6 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 17:17:28 ====

[Malekal_morte]

ok, je pense que l'on a terminé.
Supprime C:\FRST

Fais des analyses Malwarebytes ces prochains jours.
Attention aux cracks.

A lire : que faire après une attaque de virus informatique.
Change tes mots de passe et suis les instructions pour la bonne conduite pour ne plus te faire infecter.

Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?

[lyon769]

Ok c'est fait.
Un grand merci pour ton aide précieuse et efficace.