Contenu republié avec la permission de Malwarebytes (https://forums.malwarebytes.org/index.php?showforum=39)
Trotux est un adware (logiciel publicitaire), qui affiche des publicités intempestives indépendantes des sites visités.
- S'installe en tant que programme, à l'insu de l'utilisateur ou parce qu'il n'a pas décoché les sponsors proposés lors de l'installation d'un logiciel gratuit légitime
(https://forums.malwarebytes.com/applications/core/interface/imageproxy/imageproxy.php?img=https://static-cdn.malwarebytes.org/pub_images/TrotuxElex/warning4.png&key=309a20558327de9a0735c0c7a57d60226d63b994b6058c683f596d13c59d952b)
- Modifie les paramètres de recherche des navigateurs
(https://forums.malwarebytes.com/applications/core/interface/imageproxy/imageproxy.php?img=https://static-cdn.malwarebytes.org/pub_images/TrotuxElex/search.png&key=0887b188bd13b15878002cb9b54b44c2428ae5e321322296aa39d2857b599bac)
(https://forums.malwarebytes.com/applications/core/interface/imageproxy/imageproxy.php?img=https://static-cdn.malwarebytes.org/pub_images/TrotuxElex/searchff.png&key=88a08660ada5610991a0e5b324a7b1fa6a0102e9f3eaacdd7b2d2880cfa4357f)
- Modifie la page de démarrage du navigateur
(https://forums.malwarebytes.com/applications/core/interface/imageproxy/imageproxy.php?img=https://static-cdn.malwarebytes.org/pub_images/TrotuxElex/startpage.png&key=9ba28bffa38db156f186e3cf509ffb3229de815db13e829a29ea569aac711a3d)
- Crée un faux profil Firefox (GsearchFinder hijackers add extra Firefox profile (https://blog.malwarebytes.com/puppum/2016/04/gsearchfinder-hijackers-add-extra-firefox-profile/))
- Crée ces tâches planifiées (noms aléatoires)
(https://forums.malwarebytes.com/applications/core/interface/imageproxy/imageproxy.php?img=https://static-cdn.malwarebytes.org/pub_images/TrotuxElex/warning3.png&key=bed3051caf258e40e723cdef4cc77baa1dc6631afc4e689d91463f4b60d25ada)
**********
Détection de Trotux dans des rapports FRST :
trotux - Uninstall (HKLM-x32\...\{8230A356-F879-4B82-AF04-032A578692C0}) (Version: - )
Task: {1B965CA1-35D0-4C1D-B92A-FE8677ECA306} - System32\Tasks\Drecaward Client => C:\Program Files (x86)\Grerhient\dozuent.exe [2017-02-10] (Glarysoft Ltd)
Task: {D766AA6E-86D0-4DF0-BCC5-BCACB56D5FE6} - System32\Tasks\Niiseclajuent => /i hxxp://d2buh1bf1g584w.cloudfront.net/msi/rel.php?u=ST500LT012-1DG142_S3PA6P09XXXXS3PA6P09&v=2017210 /q
() C:\Users\{Nom_Utilisateur}\AppData\Roaming\Climofabech\Gipphsaweght.dll
() C:\Program Files (x86)\Drecaward Client\local64spl.dll
() c:\program files (x86)\grerhient\cgghtdeberkmnt.dll
HKLM\...\Policies\Explorer: [EnableShellExecuteHooks] 1
ShellExecuteHooks: - {58AF6728-ECD0-11E6-BFEA-64006A5CFC23} - C:\Users\{Nom_Utilisateur}\AppData\Roaming\Climofabech\Gipphsaweght.dll [146944 2017-02-10] ()
FF NewTab: hxxp://www.trotux.com/?z=1f52ad85c729d12e6f3c817gezfb7q5m9obo8bfc4c&from=wsy1&uid=ST500LT012-1DG142_S3PA6P09XXXXS3PA6P09&type=hp
FF DefaultSearchEngine: trotux
FF SelectedSearchEngine: trotux
FF Homepage: hxxp://www.trotux.com/?z=1f52ad85c729d12e6f3c817gezfb7q5m9obo8bfc4c&from=wsy1&uid=ST500LT012-1DG142_S3PA6P09XXXXS3PA6P09&type=hp
FF SearchPlugin: C:\Users\{Nom_Utilisateur}\AppData\Roaming\Mozilla\Firefox\Profiles\mhc384j1.default\searchplugins\4qy3hwj4.xml [2017-02-10]
CHR HomePage: ChromeDefaultData -> hxxp://www.trotux.com/?z=1f52ad85c729d12e6f3c817gezfb7q5m9obo8bfc4c&from=wsy1&uid=ST500LT012-1DG142_S3PA6P09XXXXS3PA6P09&type=hp
CHR StartupUrls: ChromeDefaultData -> "hxxp://www.trotux.com/?z=1f52ad85c729d12e6f3c817gezfb7q5m9obo8bfc4c&from=wsy1&uid=ST500LT012-1DG142_S3PA6P09XXXXS3PA6P09&type=hp"
CHR DefaultSearchURL: ChromeDefaultData -> hxxp://www.trotux.com/search/?q={searchTerms}&z=1f52ad85c729d12e6f3c817gezfb7q5m9obo8bfc4c&from=wsy1&uid=ST500LT012-1DG142_S3PA6P09XXXXS3PA6P09&type=sp
CHR DefaultSearchKeyword: ChromeDefaultData -> trotux
R2 Stuhoph; C:\Program Files (x86)\Grerhient\cgghtdeberkmnt.dll [149504 2017-02-10] () [File not signed]
C:\WINDOWS\System32\Tasks\Drecaward Client
C:\WINDOWS\System32\Tasks\Niiseclajuent
C:\Users\{Nom_Utilisateur}\AppData\Roaming\Climofabech
C:\Users\{Nom_Utilisateur}\AppData\Local\Ckekiry
C:\Program Files (x86)\Drecaward Client
C:\Program Files (x86)\Grerhient
**********
Détecté et traité par Malwarebytes en tant que Adware
Sous la version Premium, Malwarebytes bloque le domaine d11m2p9mpffp32.cloudfront.net et l'IP 54.192.129.114
Adware.Elex.SHHKRST
Adware.Elex.Generic
Adware.Sasquor.SPL
PUP.Optional.Trotux
PUP.Optional.FakeFFProfile
PUP.Optional.Elex
Tutoriel d'utilisation Malwarebytes en images (https://forum.security-x.fr/tutoriels-317/tutoriel-malwarebytes-anti-malware-22723/)
Source : Removal instructions for Trotux de Metallica - Malwarebytes Forums (https://forums.malwarebytes.com/topic/196022-removal-instructions-for-trotux/)
Toujours infecté ? Une question avant de faire des manipulations ?
Venez poster un nouveau sujet dans ce forum : http://forum.security-x.fr/desinfections/ en prenant soin de suivre la procédure http://forum.security-x.fr/desinfections/procedure-preliminaire/