[V] Problème de Trojan

[alibert]

Bonjour,
Voilà, depuis quelque temps, j'ai un problème avec le clavier. Au bout de plusieurs heures, j'avais une répétition d'ouverture de fichier HELP., jusqu'à ce que je ne puisse plus rien faire. Toute la ressource était prise par ces programmes.
J'avais Avast que j'ai désinstallé depuis, car n'ayant pas beaucoup de mémoire sur le lecteur C, il était installé sur D, et voila que de lui-même lors d'une mise à niveau, il s'est installé sur C. N'ayant plus de mémoire suffisante, je plantais dès le départ.
J'ai installé Clamwin pour mon système limité. J'ai contrôlé tous les fichiers avec plein de problèmes. Depuis J'ai aussi fait les testes avec "RogueKiller" et "Malwarebyte". Ce qui m'a permis d'enlever pas mal de trojans, de malwares. Mais j'avais encore un problème de répétitions de touche.

Hier soir, alors que cela faisait deux jours que mon ordi marche ou est en veille (EEEPC), je commençais à avoir de nouveau l'ouverture de fichier Help. Je regarde et mon antivirus était désactivé, ainsi que malwarebyte. Et j'y étais pour rien, ils étaient activé avant.
Je lance la recherche du virus, et je trouve ceci:
d:\Program Files\AutoIt\Aut2 Exe\Auto Isc.Ben: Trojan Agent 269004 FOUND.
À la fin du contrôle, et depuis, je n'ai plus de problème clavier, et d'abord j'écris directement ici, alors qu'avant je devais écrire dans Edit Pad, copier, pour poster un message.
OK, mais voilà: Je viens d'essayer, la compilation se termine par une erreur, et je ne peux plus compiler.
C'est bien ennuyeux tout cela. Vos conclusions? Si vous pouvez m'aider.
Merci de votre attention.

[mikell]

Là je le sens pas, mais alors pas du tout....
il fait quelle taille ton lecteur C ?

[alibert]

Bonsoir,
Le lecteur C fait 4 GB. Il me reste 339 MO. Avec Avast 37 MO. Jusqu'à 50 Mo, il n'y a pas de problème particulier, si ce n'est le message de Windows me rappelant le manque de mémoire.

Salutation.

[Tlem]

Personnellement, je trouve qu'il n'est vraiment pas raisonnable d'utiliser Windows XP sur une partition de 4 Go ... Trop de contraintes.
Il serait sans nul doute bien plus raisonnable de remplacer le disque dur car dans l'allégement de votre OS, vous avez sûrement désinstaller des composant essentiels à la protection.

Sinon dans le cas présent, un format C: vous fera sûrement gagner du temps.

[Iste]

EEEPC = pas le choix
Pour en avoir un, c'est vraiment pas pratique...

[Tlem]

Bon, j'avoue que ce genre de manipulation http://www.r3uk.com/index.php/tech-tips ... isassembly. Peut très certainement refroidir pas mal d'ardeur.
Ceci dit, l'adjonction d'une simple clé USB ou d'un disque USB permettrait plus de souplesse et de confort ...

[Iste]

Merci pour le lien, ca m’intéresse beaucoup ^^
Pour un DD externe j'y ai bien pensé, mais il faut deux port usb. J'en ai bien deux, mais un a gauche, l'autre a droite....

Enfin bref, pour pas flooder plus je vais juste de dire que je pense que Tlem a bien raison de vous conseiller de formater ces 4petits go, qui ne doivent pas contenir grand chose d'important ! ^^

[DimVar]

Bonjour,


Content de voir que j'etais pas le seul !
J'ai eu ce soucis sous xp (depuis, je suis passé sur seven), lorsque au bout d'un moment, l'aide windows s'affiche en boucle en multipliant le nombre de fenetres. Comme si la touche F1 etait pressée en boucle.
A tel point que j'avais contourné le pb en collant à un raccourcis Windows ce script compilé :

► Afficher le texte

Code : Tout sélectionner

$Proc = ProcessExists ("helpctr.exe")

While $Proc <> 0

    $Proc = ProcessExists ("helpctr.exe")
    If $Proc <> 0 Then
        ProcessClose ("helpctr.exe")
    EndIf
    If WinExists ("HelpCtr.exe") Then
        WinKill ("HelpCtr.exe")
    EndIf


WEnd

Exit

Je n'ai jamais réellement trouver la cause, si ce n'est ...
Que cette erreur apparaissait souvent après avoir bossé sur Scite.
Je commettais régulièrement l'erreur de lancer/tester mon script avec F5, puis de retourner dans Scite (sans avoir attendu la fin du script, dans le cas d'une boucle par exemple) pour editer une fonction et appuyer sur F1 pour avoir l'aide de celle-ci. Je continuais le code, puis à nouveau pression de F1 pour une aide sur fonction et ainsi de suite. On remarque alors plusieurs icônes d'autoit dans la BdT, comme si la touche F1 servait désormais à lancer le script (F5).
Je constatais alors que le script etait encore en cours, et je fermais donc les fenêtres une par une.

C'est souvent après cette erreur de manip dans Scite, que le bug du F1 de Windows arrivait.
Je peux bien évidement me tromper, mais il me semblait que ces deux bugs (Scite qui prends F1 pour F5, et aide Windows qui boucle) étaient liés par je ne sais quel hasard...

[EDIT] J'ai récupéré un eeepc avec dalle fissurée que j'ai réparé avec un tuto similaire à celui de Tlem, et j'ai donc été rapidement confronté au pb de place. J'ai vite opté pour une SD card de 16gb.

[Iste]

comme si la touche F1 servait désormais à lancer le script (F5).

Ca c'est un bug connu de scite.

[alibert]

Bien j'ai qu'un EEEPC, et sans argent, et je fais avec. J'ai viré tout ce que j'ai pu. J'ai déplacé de XP, tout ce que XP voulais.
Mais il faudrait revenir à nos moutons. Y a-t-il un virus avec le programme que j'ai montré.
Je vais remonter un peu le temps. Avant de quitter mon ancien PC, j'ai récupéré AutoIt sur une clé USB nommée "H". Je crois alors, mais je n'en suis plus très sûr aujourd'hui, qu'un virus était signalé sur Auto It. C'était avec un autre antivirus, et je ne me souviens plus si un fichier était nommé, en tout cas il s'agissait d'Auto It.
Ca était mis en quarantaine. Je sais quelques jours après j'ai posté un problème car je ne pouvais pas compiler.
J'ai refait depuis le site une compilation sur une clé USB "E". Devant les problèmes on m'a dit qu'AutoIt n'était pas tellement fait pour être installé sur une clé.
J'ai donc refait une installation sur le disque D, celui que je vous parle aujourd'hui. il n'y a pas tellement longtemps, Avast, je pense que c'est avant qu'il ne se réinstalle sur C, me signale un virus ou un trojan (je ne sais plus, sur E avec Auto It. Une me servant de celui-là, je ne m'en suis pas inquiété).
Maintenant c'est sur C, et comme cette nuit j'étais devant mon ordi, lorsque l'examen du disque se faisait, j'ai pu noter le dossier entier, ainsi que le fichier. Clamwin dans le compte rendu, à la fin dit que l'opération est terminée, mais ne donne pas d'information. Aussi il est heureux que je fusse présent lors du contrôle.
Aussi la question est: est-ce que AutiISC.bin, est infecté!
Trois installations à des jours ou mois différents, et trois problèmes.
Il faudrait en avoir le coeur net. Et je fais comment pour compiler maintenant? Comment récupérer ce fichier, et qu'il ne soit pas infecté, ou être sûr qu'il ne l'a pas.
Maintenant que je ne peux plus compiler, et je pense qu'il est en quarantaine, il n'y a plus de problème sur cet ordi.
Je vais mettre des guignoles (je sais des smileys), c'est la coutume je crois, juste que le temps où vous les regardez, vous trouvez une solution, ou une réponse qui tienne la route.

Tout cela me laisse sans voix, et je vous remercie de l'attention que vous pouvez porter à mes propos.

[matwachich]

Pour AutoIt, je suis sure à 100% qu'il ne contient aucun virus lorsque vous l'avez télécharger.

Pour le disque dure externe, il n'y a aucunement besoin de 2 ports USB, je sais que le câble possède 2 fiches, mais même si on en branche une seule sa marche très bien.

[alibert]

Merci, ce sera à vérifier maintenant.
Je fais quoi? une réinstallation? ou bien on peut trouver le fichier à part?


A propos, pour un DD externe. Je l'ai branché quelques temps avec un seul fil. Oui ça marchait, et puis il est arrivé, que le PC ne le reconnaissait plus. En cherchant sur internet, il était dis qu'il fallait absolument le brancher avec les 2 cables, au risque de rendre HS le DD.
Depuis j'ai réussi à le refaire marcher. Si il y a deux cables, c'est qu'il y a une raison, même si cela marche avec qu'un.

[alibert]

Bonjour.
ET bien voilà!
J'ai refait une installation depuis votre site.
J'ai redémarré mon ordi, sans rien faire d'autre.
J'ai ouvert le dossier où se trouve le fichier décrié.
J'ai fait une copie de celui-ci dans un disque virtuel Z et j'ai testé ce fichier.
Voici le rapport:

Maintenant à vous de jouer!
Désolé, là c'est vous qui avez tort!
AutoIt depuis n'a pas été exécuté.

[Tlem]

Merci de lire attentivement :
http://www.autoitscript.fr/wiki/Mes_ex% ... infect%E9s

Et ceci : http://www.autoitscript.fr/wiki/Environ ... eloppement

[Dkstorisateur]

Connaissant clamAv pour l'utiliser de temps en temps au travail je peut te dire que si il te donne un nom Générique, tu peut tout simplement ignorer cette alerte.

Si tu veut faire un test, installe VNC sur ta machine et lance un scan tu va avoir un autre Trojan "générique" sur ta machine.

J' ai déjà passer des heures à chercher un Trojan fantôme et peut te certifier que dans ton cas, c'est comme chercher Ness.

Une autre chose, un système d'exploitation WINDOWS, (ne connaissant pas linux je ne peut pas dire) si tu ne possède pas minimum 15% à très grand minimum 10 % d'espace libre sur ton disque dur,
il aura des comportements très bizarres (fichier qui disparaisse, Blue screen, message d'erreur allocation mémoire, etc ..).

PS: se que j’appelle générique est que tu ne trouvera pas de définition de se que fait le Trojan et comment le supprimer sur mon meilleur ami "Google" ^^

[alibert]

Merci, cela ne résout pas le problème. Autant ne pas se servir d'anti-virus, et fonctionner avec.
Merci item pour les liens, mais il n'y a aucun rapport ici.
L'installation est toute neuve, et à part contrôler le fichier, et envoyer le rapport, rien n'a été fait depuis.
Je rappelle: dès que j'ai fait l'installation, j'ai éteint mon ordi, et refais un démarrage, qui d'ailleurs est sélectif depuis une semaine (Msconfig - justement à cause du virus)
J'ai copié le fichier et testé.
Je rappelle aussi qu'avant de refaire l'installation, ce fichier a été retiré par Clamwin, et depuis mon ordi fonctionne normalement. Je n'ai pas assez de recul dans le temps pour être affirmatif à 100%, vu que j'ai éteint mon ordi depuis.

Mais avoué: j'avais un problème, ce problème disparaît lors du blocage du fichier. Je refais l'installation, dès le départ l'antivirus me le remet (une copie) en quarantaine! Vous en pensez quoi, si on est logique? avouez qu'on peut se poser des questions. Je n'ai fait aucun travail avec scite ou autoit depuis. Donc la contamination ne vient pas de l'exécution d'un script.
Il peut y avoir deux choses:
soit c'est le fichier qui est contaminé, soit c'est l'installateur d'Auto It!
Ayant eu à installer des trucs à d'autre moments, pourquoi qu'un installateur générique s'en prendrait à Auto It, et précisément à ce fichier?

De la logique S.V.P. (je crois que c'est le propre d'un programmeur).
SVP faites les vérifications de votre côté, car je crois que le cas est grave. Que l'on fabrique volontairement ou non un virus, c'est une chose, mais là c'est au téléchargement.
J'en ai assez dit, mon jardin m'attend.

[cutprod]

Des le premier msg j avais des doutes... mais la c est claire
: IL est revenu

[mikell]

Heu tu as bien regardé les liens de Tlem ?
Certains antivirus détectent des fichiers autoit comme malicieux mais ce sont des faux positifs
Pour ce genre de circonstance, les AV prévoient une "liste d'exceptions" où tu peux déclarer le fichier en cause comme faux positif à ignorer
Si tu procèdes comme ça ton AV laissera autoit tranquille

[Iste]

En gros, si votre AV détecte une menace dans autoit.exe juste apres l'avoir dl, changez d'AV.

[Tlem]

De la logique S.V.P. (je crois que c'est le propre d'un programmeur).
SVP faites les vérifications de votre côté, car je crois que le cas est grave.

Avant de dire ce genre de chose, commencez par vous remettre en question (vous et votre machine) car si vraiment il y avait un problème, ne croyez-vous pas que vu le nombre d'utilisateurs du forum, nous aurions été alerté il y à fort longtemps. Vous êtes le second à affirmer ce genre de propos en utilisant un antivirus qui n’a pas pignon sur rue et qui retourne des erreurs génériques ...

Utilisez des outils plus adaptés (antivirus et PC) et nous en reparlerons.
Puisque vous n'avez pas la capacité d'avoir un antivirus digne de ce nom, je vous conseil ceci : http://www.virustotal.com/index.html
Ce sera toujours mieux que ClamAV.

Maintenant, si vous persistez dans votre erreur, temps pis pour vous, mais arrêtez de polluer ce forum avec vos inepties sans fondement.
AutoItSC.bin est le code binaire de AutoIt.exe qui est rajouté dans la compilation d'un script. Donc effectivement, si votre bouze à mis en quarantaine ce fichier, la compilation ne fonctionnera pas !
Donc mettez tout ça sur une clé USB, faites le scanner par quelqu'un qui à un vrais antivirus ou par le lien donné ci-dessus et vous en aurez le cœur net.

Si vous aviez lu les liens que je vous ai donné, je n'aurais pas eu besoin de répéter les mêmes choses ...