gros virus, HELP ME please. Fermé

Question

Bonjour à vous tous,

je me tourne vers vous car ma femme a ouvert un EXE verolé et depuis je rame completement.
l'exe àa fait rebooté le pc puis supprimé les services avast tout en ecrivant sur le registre.
depuis, tous les log de securité et anti virus ne marche plus, impossible de reinstalé non plus car il me dit (application win32 non valide) le scan en ligne ne fonctionne pas non plus car la connection est vraiment très très lente.
restauration et demarage sans echec non plus.

la seul chose que j'ai reussi est un passage Navilog1
voici le resultat de la recherche et du nettoyage.

merci à vous tous par avance.
Search Navipromo version 3.6.9 commencé le 24/01/2009 à 11:48:30,76

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!
!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:\Program Files
avilog1
Session actuelle : "Titi-Fabie" 

Mise à jour le 05.11.2008 à 21h00 par IL-MAFIOSO


Microsoft Windows XP [version 5.1.2600]
Internet Explorer : 7.0.5730.13 
Système de fichiers : NTFS

Recherche executé en mode normal

*** Recherche Programmes installés ***


*** Recherche dossiers dans "C:\WINDOWS" ***


*** Recherche dossiers dans "C:\Program Files" ***


*** Recherche dossiers dans "C:\Documents and Settings\All Users.WINDOWS\menudm~1\progra~1" ***


*** Recherche dossiers dans "C:\Documents and Settings\All Users.WINDOWS\menudm~1" ***


*** Recherche dossiers dans "c:\docume~1\alluse~1.win\applic~1" ***


*** Recherche dossiers dans "C:\Documents and Settings\Titi-Fabie\applic~1" *** 


*** Recherche dossiers dans "C:\DOCUME~1\ADMINI~1\applic~1" *** 


*** Recherche dossiers dans "C:\Documents and Settings\Titi-Fabie\locals~1\applic~1" *** 


*** Recherche dossiers dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" *** 


*** Recherche dossiers dans "C:\Documents and Settings\Titi-Fabie\menudm~1\progra~1" *** 


*** Recherche dossiers dans "C:\DOCUME~1\ADMINI~1\menudm~1\progra~1" *** 


*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***
pour + d'infos : http://www.gmer.net

Fichier(s) caché(s) :

C:\Avenger\wintems.exe
C:\WINDOWS\system32\wintems.exe


*** Recherche avec GenericNaviSearch ***
!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!
!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans "C:\WINDOWS\system32" *

* Recherche dans "C:\Documents and Settings\Titi-Fabie\locals~1\applic~1" * 

* Recherche dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" * 



*** Recherche fichiers *** 



*** Recherche clés spécifiques dans le Registre ***


*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :


2)Recherche Heuristique :

* Dans "C:\WINDOWS\system32" :


* Dans "C:\Documents and Settings\Titi-Fabie\locals~1\applic~1" : 


* Dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" : 


3)Recherche Certificats :

Certificat Egroup absent !
Certificat Electronic-Group absent !
Certificat Montorgueil absent !
Certificat OOO-Favorit absent !
Certificat Sunny-Day-Design-Ltd absent !

4)Recherche fichiers connus :



*** Analyse terminée le 24/01/2009 à 12:00:31,84 ***







Clean Navipromo version 3.6.9 commencé le 24/01/2009 à 12:04:26,39

Outil exécuté depuis C:\Program Files
avilog1
Session actuelle : "Titi-Fabie" 

Mise à jour le 05.11.2008 à 21h00 par IL-MAFIOSO


Microsoft Windows XP [version 5.1.2600]
Internet Explorer : 7.0.5730.13
Système de fichiers : NTFS

Mode suppression automatique 
avec prise en charge résultats Catchme et GNS


Nettoyage exécuté au redémarrage de l'ordinateur

*** Creation backups fichiers trouvés par Catchme *** 

Copie vers "C:\Program Files
avilog1\Backupnavi"

Copie C:\Avenger\wintems.exe réalisée avec succès ! 
Copie C:\WINDOWS\system32\wintems.exe réalisée avec succès ! 

*** Suppression des fichiers trouvés avec Catchme ***

C:\Avenger\wintems.exe !!ERREUR SUPPRESSION!! 
C:\WINDOWS\system32\wintems.exe !!ERREUR SUPPRESSION!! 
 
** 2ème passage avec résultats Catchme ** 

* Dans "C:\WINDOWS\system32" *


wintems.exe trouvé ! 
Copie wintems.exe réalisée avec succès !
wintems.exe !!ERREUR SUPPRESSION!!

C:\WINDOWS\system32\wintems.exe trouvé ! 
Copie C:\WINDOWS\system32\wintems.exe réalisée avec succès !
C:\WINDOWS\system32\wintems.exe !!ERREUR SUPPRESSION!!


* Dans "C:\Documents and Settings\Titi-Fabie\locals~1\applic~1" * 


C:\WINDOWS\system32\wintems.exe trouvé ! 
Copie C:\WINDOWS\system32\wintems.exe réalisée avec succès !
C:\WINDOWS\system32\wintems.exe !!ERREUR SUPPRESSION!!


*** Suppression avec sauvegardes résultats GenericNaviSearch ***

* Suppression dans "C:\WINDOWS\System32" *


* Suppression dans "C:\Documents and Settings\Titi-Fabie\locals~1\applic~1" * 


* Suppression dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" * 


*** Suppression dossiers dans "C:\WINDOWS" ***


*** Suppression dossiers dans "C:\Program Files" ***


*** Suppression dossiers dans "C:\Documents and Settings\All Users.WINDOWS\menudm~1\progra~1" ***


*** Suppression dossiers dans "C:\Documents and Settings\All Users.WINDOWS\menudm~1" ***


*** Suppression dossiers dans "c:\docume~1\alluse~1.win\applic~1" ***


*** Suppression dossiers dans "C:\Documents and Settings\Titi-Fabie\applic~1" *** 


*** Suppression dossiers dans "C:\DOCUME~1\ADMINI~1\applic~1" *** 


*** Suppression dossiers dans "C:\Documents and Settings\Titi-Fabie\locals~1\applic~1" *** 


*** Suppression dossiers dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" *** 


*** Suppression dossiers dans "C:\Documents and Settings\Titi-Fabie\menudm~1\progra~1" *** 


*** Suppression dossiers dans "C:\DOCUME~1\ADMINI~1\menudm~1\progra~1" *** 



*** Suppression fichiers ***


*** Suppression fichiers temporaires ***

Nettoyage contenu C:\WINDOWS\Temp effectué !
Nettoyage contenu C:\Documents and Settings\Titi-Fabie\locals~1\Temp effectué !

*** Traitement Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Suppression avec sauvegardes nouveaux fichiers Instant Access :

2)Recherche, création sauvegardes et suppression Heuristique :


* Dans "C:\WINDOWS\system32" *


* Dans "C:\Documents and Settings\Titi-Fabie\locals~1\applic~1" * 


* Dans "C:\DOCUME~1\ADMINI~1\locals~1\applic~1" * 


*** Sauvegarde du Registre vers dossier Safebackup ***

sauvegarde du Registre réalisée avec succès !

*** Nettoyage Registre ***

Nettoyage Registre Ok


*** Certificats ***

Certificat Egroup absent !
Certificat Electronic-Group absent !
Certificat Montorgueil absent !
Certificat OOO-Favorit absent !
Certificat Sunny-Day-Design-Ltdt absent !

*** Nettoyage terminé le 24/01/2009 à 12:09:01,51 ***

g!rly · Answer

salut, 

Télécharges FindyKill de Chiquitine29

Fais un clique droit sur le lien et choisis "enregistrer la cible sous ...." , destination le bureau .

http://sd-1.archive-host.com/membres/up/116615172019703188/FindyKill.exe

Note importante : si tu as le prg Elibagla sur ton PC , supprimes le ( risque de conflit entre les deux outils ) .

--> Entre dans le dossier " FindyKill "

Double clic sur " FindyKill.bat " (et pas sur autre chose!) pour lancer l'outil .

->choisis l'option 1 . Puis laisses travailler ...

Une fois terminé, postes le rapport FindyKill.txt qui est généré ...

( Note : le rapport est sauvegardé à la racine du disque -> C:\FindyKill.txt )@+

@+

Thierry77 · Answer

merci de ton intervention, je fait ça et te tien au courant dans la foulée.

g!rly · Answer

ok

Thierry77 · Answer

voici le resultat:

###################### [ FindyKill V4.714 ]

# User : Titi-Fabie - TITI
# Emplacement : C:\Program Files\FindyKill
# Outils Mis a jours le 19/01/09 par Chiquitine29
# Recherche effectuée à 12:55:48 le 24/01/2009
# Windows XP - Internet Explorer 7.0.5730.13

# [ FindyKill V4.714 - Scan ] ##############

\\\\\\\\\\\\\\\\\\\\ [ Processus actifs ] ///////////////////

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\crypserv.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\atwtusb.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Microsoft ActiveSync\wcescomm.exe
C:\Documents and Settings\Titi-Fabie\Application Data\drivers\winupgro.exe
C:\Documents and Settings\Titi-Fabie\Application Data\m\flec006.exe
C:\WINDOWS\system32\wintems.exe
C:\PROGRA~1\MI3AA1~1\rapimgr.exe
C:\WINDOWS\system32\TBLMOUSE.EXE
C:\Program Files\SAGEM WiFi manager\WLANUTL.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe
C:\WINDOWS\BricoPacks\Vista Inspirat 2\UberIcon\UberIcon Manager.exe
C:\Program Files\Internet Explorer\iexplore.exe

\\\\\\\\\\\\\\\\\\ [ Processus infectieux stoppés ] ///////////////////

"C:\Documents and Settings\Titi-Fabie\Application Data\drivers\winupgro.exe" (500)
"C:\Documents and Settings\Titi-Fabie\Application Data\m\flec006.exe" (600)
"C:\WINDOWS\system32\wintems.exe" (672)

\\\\\\\\\\\\\\\\\\ [ Fichiers/Dossiers infectieux ] ///////////////////

################## [ C:\ ]

Found ! [23/01/2009 18:12] - "C:\Avenger"

################## [ C:\WINDOWS ]

################## [ C:\WINDOWS\Prefetch ]

################## [ C:\WINDOWS\system32 ]

Found ! [24/01/2009 11:20] - C:\WINDOWS\system32\mdelk.exe
Found ! [24/01/2009 11:20] - C:\WINDOWS\system32\wintems.exe
Found ! [24/01/2009 12:11] - C:\WINDOWS\system32\ban_list.txt

################## [ C:\WINDOWS\system32\drivers ]

################## [ C:\Documents and Settings\Titi-Fabie\Application Data ]

Found ! [24/01/2009 11:16] - "C:\Documents and Settings\Titi-Fabie\Application Data\m\flec006.exe"
Found ! [24/01/2009 11:16] - "C:\Documents and Settings\Titi-Fabie\Application Data\m\list.oct"
Found ! [24/01/2009 11:17] - "C:\Documents and Settings\Titi-Fabie\Application Data\m\data.oct"
Found ! [24/01/2009 11:17] - "C:\Documents and Settings\Titi-Fabie\Application Data\m\srvlist.oct"
Found ! [24/01/2009 12:15] - "C:\Documents and Settings\Titi-Fabie\Application Data\m\shared"
Found ! [23/01/2009 18:19] - "C:\Documents and Settings\Titi-Fabie\Application Data\m"
Found ! [22/01/2009 21:14] - "C:\Documents and Settings\Titi-Fabie\Application Data\drivers"
Found ! [24/01/2009 12:09] - "C:\Documents and Settings\Titi-Fabie\Application Data\drivers\srosa2.sys"
Found ! [24/01/2009 12:09] - "C:\Documents and Settings\Titi-Fabie\Application Data\drivers\wfsintwq.sys"
Found ! [06/08/2006 09:07] - "C:\Documents and Settings\Titi-Fabie\Application Data\drivers\winupgro.exe"
Found ! [24/01/2009 12:17] - "C:\Documents and Settings\Titi-Fabie\Application Data\drivers\downld"

################## [ C:\DOCUME~1\TITI-F~1\LOCALS~1\Temp ]

\\\\\\\\\\\\\\\\\\ [ Registre / Startup ] ///////////////////

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\run]
CTFMON.EXE=C:\WINDOWS\system32\ctfmon.exe
WOOKIT=C:\PROGRA~1\Wanadoo\Shell.exe appLaunchClientZone.shl|PARAM= cnx
swg=C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
H/PC Connection Agent="C:\Program Files\Microsoft ActiveSync\wcescomm.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\run]
avast!=D:\PROGRA~1\SOFTTI~1\Avast4\ashDisp.exe
KernelFaultCheck=%systemroot%\system32\dumprep 0 -k
atwtusb=atwtusb.exe beta
SunJavaUpdateSched=C:\Program Files\Java\jre1.5.0\bin\jusched.exe
RelevantKnowledge=C:\Program Files\RelevantKnowledge\rlvknlg.exe -boot
!AVG Anti-Spyware="C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
QuickTime Task="C:\Program Files\QuickTime\qttask.exe" -atboottime
iTunesHelper="D:\PROGRAM FILES\Soft Titi\itunes\iTunesHelper.exe"
SpyHunter Security Suite=C:\Program Files\Enigma Software Group\SpyHunter\SpyHunter3.exe
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents=
<NO NAME>=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL=
Installed=1
<NO NAME>=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI=
NoChange=1
Installed=1
<NO NAME>=
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS=
Installed=1
<NO NAME>=

[HKEY_CURRENT_USER\software\local appwizard-generated applications\GoogleToolbarNotifier]
[HKEY_CURRENT_USER\software\local appwizard-generated applications\setup]
[HKEY_CURRENT_USER\software\local appwizard-generated applications\Stellar Phoenix]
[HKEY_CURRENT_USER\software\local appwizard-generated applications\winupgro]

\\\\\\\\\\\\\\\\\\ [ Registre / Clés infectieuses ] ///////////////////

Found ! - HKEY_USERS\S-1-5-21-1123561945-1390067357-1801674531-1003\Software\Local AppWizard-Generated Applications\winupgro
Found ! - HKEY_USERS\S-1-5-21-1123561945-1390067357-1801674531-1003\Software\bisoft
Found ! - HKEY_USERS\S-1-5-21-1123561945-1390067357-1801674531-1003\Software\DateTime4
Found ! - HKEY_USERS\S-1-5-21-1123561945-1390067357-1801674531-1003\Software\FFC
Found ! - HKEY_USERS\S-1-5-21-1123561945-1390067357-1801674531-1003\Software\FirtR
Found ! - HKEY_USERS\S-1-5-21-1123561945-1390067357-1801674531-1003\Software\MuleAppData
Found ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\winupgro
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\srosa
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\srosa
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SROSA
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SK9OU0S
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SK9OU0S
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SK9OU0S
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SK9OU0S
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sK9Ou0s
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\sK9Ou0s
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sK9Ou0s
Found ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sK9Ou0s
Found ! - HKEY_CURRENT_USER\Software\bisoft
Found ! - HKEY_CURRENT_USER\Software\DateTime4
Found ! - HKEY_CURRENT_USER\Software\FirtR
Found ! - [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] | drvsyskit
Found ! - [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] | german.exe
Found ! - [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] | mule_st_key

/!\ Infection active : HKLM\SYSTEM\...\Services\srosa -> Start = 0x1
/!\ Infection active : HKLM\SYSTEM\...\Services\sK9Ou0s -> Start = 0x1

\\\\\\\\\\\\\\\\\\ [ Etat / Services ] ///////////////////

# Clé manquante : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot

/!\ Mode sans echec non fonctionnel !!

# Clé manquante : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal

/!\ Mode sans echec non fonctionnel !!

# Clé manquante : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network

/!\ Mode sans echec non fonctionnel !!

# Services : [ Auto=2 / Demande=3 / Désactivé=4 ]

/!\ Ndisuio - # Type de démarrage = 4

/!\ Ip6Fw - # Type de démarrage = 4

/!\ SharedAccess - # Type de démarrage = 4

/!\ wuauserv - # Type de démarrage = 4

/!\ wscsvc - # Type de démarrage = 4

\\\\\\\\\\\\\\\\\\ [ Recherche dans supports amovibles] ///////////////////

# Informations :

C: - Lecteur fixe

D: - Lecteur fixe

E: - Lecteur fixe

F: - Lecteur de CD-ROM

# presence des fichiers :

\\\\\\\\\\\\\\\\\\ [ Registre / Mountpoint2 ] ///////////////////

-> Not found !

################## [ ! Fin du rapport # FindyKill V4.714 ! ]

Blue Shadow · Answer

Tu devrais jeter un coup d'oeil (recherche dans ce forum **autorun.inf**,ya des ta de personne qui lui'on repondu)
YA un notament un specialiste de virus "Blue_shadow".
essai de le contacter et il sera t'aider, c mon ami et il ma preter sa boite pour posé un probleme.
@+ mon frére.

g!rly · Answer

La suite :

Réouvre FindyKill , choisi cette fois ci l option 2 (Suppression)

/!\ il y aura 2 redémarrage, laisse travailler l outils jusqu a l apparition du message "nettoyage terminé"

-------> ensuite post le rapport FindyKill.txt

Note : le rapport FindyKill.txt est sauvegardé a la racine du disque...

@+

Thierry77 · Answer

je vais regarder, merci à toi ;)

Thierry77 · Answer

je fait la suite g!rly et te poste le resultat.

g!rly · Answer

fais plutôt ce que je t´ai indiqué au post 6
;-)

Thierry77 · Answer

Désolé pour l'attente g!rly, mais internet rame grave (pire que du 56k ;) )

voila le resultat du nettoyage:



###################### [ FindyKill V4.714 ]

# User : Titi-Fabie - TITI
# Executed from : C:\Program Files\FindyKill
# Update on 19/01/09 by Chiquitine29
# Start at 13:18:23 the 24/01/2009
# Windows XP - Internet Explorer 7.0.5730.13
 
# [ FindyKill V4.714 - Deleting ] ############### 
 
\\\\\\\\\  [ Active Processes ]  ///////////////////  
 

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\logonui.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\crypserv.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
 
\\\\\\\\\  [ Infected Files / Folders ]  ///////////////////  
 
 
################## [ C:\ ] 
 
 
################## [ C:\WINDOWS ] 
 
 
################## [ C:\WINDOWS\Prefetch ] 
 
 
################## [ C:\WINDOWS\system32 ] 
 
 
################## [ C:\WINDOWS\system32\drivers ] 
 
 
################## [ C:\Documents and Settings\Titi-Fabie\Application Data ] 
 
Deleted ! - "C:\Documents and Settings\Titi-Fabie\Application Data\drivers\downld"  
Deleted ! - "C:\Documents and Settings\Titi-Fabie\Application Data\drivers"  
 
################## [ C:\DOCUME~1\TITI-F~1\LOCALS~1\Temp ] 
 
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA  
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SK9OU0S  
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SK9OU0S  
Deleted ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SK9OU0S  
Deleted ! - HKEY_CURRENT_USER\Software\bisoft  
Deleted ! - HKEY_CURRENT_USER\Software\DateTime4  
Deleted ! - HKEY_CURRENT_USER\Software\FirtR  
 
################## [ C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5 ] 
 
Deleted ! - C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5\17PMUYV2\b64_1[1].jpg    
Deleted ! - C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5\17PMUYV2\b64_1[2].jpg    
Deleted ! - C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5\17PMUYV2\b64_1[3].jpg    
Deleted ! - C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5\1KV910HS\b64[1].jpg    
Deleted ! - C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5\1KV910HS\b64_1[1].jpg    
Deleted ! - C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5\1KV910HS\b64_1[2].jpg    
Deleted ! - C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5\1KV910HS\b64_3[1].jpg    
Deleted ! - C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5\1KV910HS\mxd[1].jpg    
Deleted ! - C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5\42QKQBVC\b64_1[1].jpg    
Deleted ! - C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5\42QKQBVC\b64_1[2].jpg    
Deleted ! - C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5\42QKQBVC\b64_2[1].jpg    
Deleted ! - C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5\Y5X8FW8O\b64[1].jpg    
Deleted ! - C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5\Y5X8FW8O\b64_1[1].jpg    
Deleted ! - C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5\Y5X8FW8O\b64_3[1].jpg    
Deleted ! - C:\Documents and Settings\Titi-Fabie\Local Settings\Temporary Internet Files\Content.IE5\Y5X8FW8O\file[1].txt    
 
\\\\\\\\\  [  Registry / Infected keys ]  ///////////////////  
 
Deleted ! - HKEY_CURRENT_USER\Software\bisoft   
 
\\\\\\\\\  [ States / Restarting of services ]  ///////////////////  
 

# Services : [ Auto=2 / Request=3 / Disable=4 ] 

Ndisuio - # Type of startup  = 3 
 
Ip6Fw - # Type of startup  = 2 
 
SharedAccess - # Type of startup  = 2 
 
wuauserv - # Type of startup  = 2 
 
wscsvc - # Type of startup  = 2 
 
 
\\\\\\\\\  [ Cleaning Removable drives ]  ///////////////////  
 
# Informations : 

C: - Lecteur fixe

D: - Lecteur fixe

E: - Lecteur fixe

F: - Lecteur de CD-ROM

 
# deleting files : 
 
 
\\\\\\\\\  [ Registry / Mountpoint2 ]  ///////////////////  
 
 
 -> Not found ! 
 
 
\\\\\\\\\  [ Searching Other Infections ]  ///////////////////  
 
Suspect ! - eef5128e4f5bb18a548fd739c6ac40da  C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe  
Suspect ! - eef5128e4f5bb18a548fd739c6ac40da  C:\Program Files\Navilog1\Backupnavi\winupgro.exe  
 
\\\\\\\\\  [ Searching Cracks / Keygen ]  ///////////////////  
 
C:\Documents and Settings\Titi-Fabie\Favoris\P2P\sharethefiles.com  View Forum - PC Cracked (2006-).url
C:\Documents and Settings\Titi-Fabie\Mes documents\Mes images\emoticones\Cracks_by_ephedrina_stock.abr
 
################## [ ! End of report # FindyKill V4.714 ! ]

g!rly · Answer

ok

Télécharges OTMoveIt3 (de Old_Timer) sur ton Bureau.

http://oldtimer.geekstogo.com/OTMoveIt3.exe

En mode sans échec:

Double cliques sur "OTMoveIt3.exe" pour ouvrir le prg .
Puis copies ce qui se trouve en citation ci-dessous,


:Processes
explorer.exe

:Files
C:\Program Files\Google\GoogleToolbarNotifier
C:\Program Files\Navilog1
C:\Documents and Settings\Titi-Fabie\Favoris\P2P\sharethefiles.com View Forum - PC Cracked (2006-).url
C:\Documents and Settings\Titi-Fabie\Mes documents\Mes images\emoticones\Cracks_by_ephedrina_stock.abr

:Commands
[purity]
[emptytemp]
[start explorer]
[Reboot]

et colles le dans le cadre de gauche de OTMoveIt3 :
Paste Instructions for items to be moved.
(ne touche à rien d'autre !)

-> cliques sur MoveIt! pour lancer la suppression.
-> laisses travailler l'outil ...

( Note : ton bureau va disparaitre puis réapparaitre, c'est normal .)

-> une fois finis , un petite fenêtre s'ouvre : cliques sur " Yes " .

Ton PC va redémarrer de lui même ...

-->Postes le contenu du rapport qui se trouve dans le dossier "C:\_OTMoveIt\MovedFiles"
( " xxxx2008_xxxxxx.log " où les "x" correspondent au jour et à l'heure de l'utilisation ). 

reinstalle ton antivirus

puis

Ccleaner:

-> Télécharge Ccleaner (n'installe pas la barre d'outil Yahoo):

   http://www.commentcamarche.net/telecharger/telechargement 168 ccleaner

-> L´installer.

-> Une fois installé et lancé :

   Dans la colonne de gauche, click sur :

   ->"registre" :

      Coches toutes les cases sous"l´integrité du registre", puis click en bas sur "chercher des erreurs" une fois terminé, clic sur "reparer les erreurs", tu auras un message pour sauvegarder ta base de registre, tu click "oui" puis tu recommence jusqu'à ce qu'il ne trouve plus rien.
      
      ps : les sauvegardes que tu auras faites, pourront etre supprimées ulterieurement si tout va bien.

   ->"nettoyeur"
   
      quitte ton navigateur avant de le lancer, dans les propriétés du nettoyeur de l´onglet "windows" et "applications"décoche la derniere case (Avancé si elle est cochée) puis click sur "lancer le nettoyage" qunand il aura terminé le scan click en bas a droite sur "lancer le nettoyage" et accepte par oui.

-> Tutoriel en image :

   https://www.vulgarisation-informatique.com/nettoyer-windows-ccleaner.php

-> Pour ceux qui voudraient aller plus loin en compagnie de jesses (fonctions avancés) :

   http://perso.orange.fr/jesses/Docs/Logiciels/CCleaner.htm 

et

Fais un scan avec cet antispyware :

Telecharge malwarebytes + tutoriel :

-> https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

Tu l´instale; le programme va se mettre automatiquement a jour.

Une fois a jour, le programme va se lancer; click sur l´onglet parametre, et coche la case : "Arreter internet explorer pendant la suppression".

Click maintenant sur l´onglet recherche et coche la case : "executer un examun complet".

Puis click sur "rechercher".

Laisse le scanner le pc... 

Si des elements on ete trouvés > click sur supprimer la selection.

si il t´es demandé de redemarrer > click sur "yes".

A la fin un rapport va s´ouvrir; sauvegarde le de maniere a le retrouver en vu de le poster sur le forum.

Copie et colle le rapport stp.

donc post le rapport de ot_move it3 et celui de malwarebytes

@+

Thierry77 · Answer

ok, je vais essayé car le problème c'est qu'hier le demarage "sans echec était HS" et ccleaner ne marche plus sur mon pc (applic non valide win32)

je vais essayer quand meme.

g!rly · Answer

tu as été infecté par bagle, il détruit un peu toute les protections et utilitaires de nettoyage; maintenant l´infection a été neutralisée.
cependant il se peut que tu soit obligé de le réinstaller (ccleaner)
bon courage
@+

g!rly · Answer

ok :)

supprime ce fichier si present :

C:\Documents and Settings\Titi-Fabie\Favoris\P2P\sharethefiles.com View Forum - PC Cracked (2006-).url

puis fais la suite

@+

Thierry77 · Answer

ccleaner (last version) ok (registre et nettoyage)
je m'occupe de malware maintenant.

g!rly · Answer

ok

Thierry77 · Answer

voila le rapport:
je pense que tout est ok !
vraiment je ne sais pas comment te remercié, c'est vraiment cool.
merci merci merci !

j'en profite pour te demandé un dernier conceil, que me conceilerai tu comme anti virus ? j'utilise avast actuelement.


Malwarebytes' Anti-Malware 1.33
Version de la base de données: 1688
Windows 5.1.2600 Service Pack 2

24/01/2009 14:53:04
mbam-log-2009-01-24 (14-53-04).txt

Type de recherche: Examen complet (C:\|)
Eléments examinés: 97292
Temps écoulé: 40 minute(s), 39 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

g!rly · Answer

de rien :)

pour l´antivirus :

regarde ceci concernant avast :

antivir vs avast :

-> http://forum.malekal.com/ftopic3528.php

alors je te conseille de le desinstaller et d´installer antivir a la place

Telecharge et instales l'antivirus Antivir Personal Edition Classic :

->https://www.malekal.com/avira-free-security-antivirus-gratuit/

https://www.avira.com/en/prime

En francais :

https://www.avira.com/

Reglages :

en image :

http://speedweb1.free.fr/frames2.php?page=tuto5

mes explications :

une fois antivir ouvert click surconfiguration et coche la case "expert mode" puis sur l´onglet scanner dans la fenetre du dessous tu va voir : rootkit search click sur le petit + pour deployer et coche la case a coté de ton disk dur
ceux qui ne voie pas root kit search : clcik sur le parapluie dans ta barre des tache > dans la fenetre d´antivir click sur local protection click en suite sur scanner
dans la fenetre de droite : tu a rootkit search vers le bas > tu developpe en appuyant sur le petit +
et coche tes disques...
puis click sur configuration en haut a droite; dans la nouvelle fenetre a gauche >scanner > coche "scan all files" et en dessous >scanner priority = High
coche : allow stopping the scanner, comme cela tu peux faire une pause pendant le scan si tu le desir.
puis sur la droite coche les case suivantes : 
scan boot sectors of selected drives
scan master boot sectors
scan memory
search foe rootkit before scan
decoche :
ignore off line files
toujours a gauche > scan > deploie > heuristique > macrovirus heuristic = coché et en dessous > win32 heuristic la case coché et high detection level

puis je vais jeter un dernier coup d´œil

Télécharge HijackThis ici : 

-> http://www.commentcamarche.net/telecharger/telecharger 159 hijackthis

Tutoriel d´utilisation (video) : (Merci a Balltrap34 pour cette réalisation)

-> http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm

Post le rapport généré ici stp...

@+

g!rly · Answer

ok

regarde ceci pour mettre ta console java a jour :

http://www.libellules.ch/dotclear/index.php?post/2008/07/13/2689-javara

puis

 « Démarrer » > « Executer » > taper cmd >valide par ok

dans la fenetre noir copie/ colle ceci :

sc delete "AVG Anti-Spyware Guard" ==> [Enter] 

repost un hijack this apres les manips et apres avoir desinstallé avast et installé antivir

@+

g!rly · Answer

salut thierry77, 

la manip pour supprimer le service d´avg n´a pas fonctionné, il est toujours la...

Démarrer > executer > ' services.msc ' ,

- Clic droit sur le service cité -AVG Anti-Spyware Guard
- propriétés
- et dans "type de démarrage" et mets le sur « désactivé ».
- Ensuite si le "Status du service" est sur "Démarré" faire : « arrêté »

Tutorial : https://www.zebulon.fr/dossiers/windows/31-services.html 

puis

a l´aide de hijack this coche et fix les lignes suivantes :

O2 - BHO: (no name) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - (no file)
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0\bin\jusched.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "D:\PROGRAM FILES\Soft Titi\itunes\iTunesHelper.exe" 
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') 
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe 
O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls/2008.10.10_v5.5.8/FacebookPhotoUploader5.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.fr/scan_fr/scan8/oscan8.cab
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.5.0) - http://javadl-esd.sun.com/update/1.5.0/jinstall-1_5_0-windows-i586.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/flashplayer/current/swflash.cab
O16 - DPF: {EDFCB7CB-942C-4822-AF14-F0B687409848} (Image Uploader Control) - http://www.mypix.com/fr/fr/importer/ImageUploader4.cab 

comment fixer :

Tutoriel d´utilisation (video) : (Merci a Balltrap34 pour cette réalisation)

-> http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm


puis

va supprimer ce fichier : 

C:\WINDOWS\bdoscandel.exe

tu n´as pas mis java a jour ?!

fais le :)

pour plus de securité :

installes un par feu :

par feu : kerio

telechargement : http://www.filehippo.com/download_sunbelt_personal_firewall/tech/468/

tuto :

http://www.malekal.com/kerio_firewall.php#mozTocId721480

https://www.vulgarisation-informatique.com/kerio.php

https://kerio.probb.fr/f2-sunbelt-kerio-personal-firewall

Comodo 3 pro :

http://www.commentcamarche.net/telecharger/telecharger 34055041 comodo firewall pro

tuto : https://www.malekal.com/tutorial-comodo-firewall/

Online armor :

http://www.commentcamarche.net/telecharger/telecharger 34055356 online armor personal firewall

tuto : https://www.malekal.com/tutorial-online-armor-free/

ou zone alarm plus facil a configurer mais moins performant

https://www.malekal.com/tutoriel-zonealarm-firewall/

bonus :

anti spyware :

spywareblaster :

http://www.brightfort.com/spywareblaster.html

c´est un resident, il suffit de le mettre a jour de temps en temps car la version gratuite ne le fait pas toute seul , une fois installé et mis a jour tu mets toutes les protections sur "enable"

tuto : https://www.malekal.com/tutorial-spywareblaster/

repost un nouveau rapport hijack this apres les manips

@+

Gros virus, HELP ME please.

20 réponses

Discussions similaires

Newsletters