Pb virus braviax.exe ??? Résolu/Fermé

Question

Bonjour,

mon pc est infecté (braviax.exe, surtout...) mon antivirus a été bloqué (impossible de lancer bitdefender), de même je n'ai pas pu executer hijackthis (même en mode sans echec) mais ca a finalement marché en le renommant.
j'ai pu  lancer malwarebytes aussi.

ci-joints les rapports de malwarebytes et hijackthis.

Par avance merci pour votre aide.

Malwarebytes' Anti-Malware 1.40
Version de la base de données: 2551
Windows 5.1.2600 Service Pack 3

15/08/2009 08:27:34
mbam-log-2009-08-15 (08-27-27).txt

Type de recherche: Examen complet (C:\|)
Eléments examinés: 250412
Temps écoulé: 55 minute(s), 5 second(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 1
Clé(s) du Registre infectée(s): 14
Valeur(s) du Registre infectée(s): 2
Elément(s) de données du Registre infecté(s): 7
Dossier(s) infecté(s): 15
Fichier(s) infecté(s): 55

Processus mémoire infecté(s):
C:\WINDOWS\SYSTEM32\braviax.exe (Trojan.FakeAlert) -> No action taken.

Module(s) mémoire infecté(s):
C:\WINDOWS\SYSTEM32\_scui.cpl (Rogue.HomeAntiVirus) -> No action taken.

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\CLSID\{b69a9db4-d0a1-4722-b56b-f20757a29cdf} (Adware.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{b69a9db4-d0a1-4722-b56b-f20757a29cdf} (Adware.Agent) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe (Adware.Shopper) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\web-mediaplayer (Adware.Navipromo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\PC_Antispyware2010 (Rogue.PC_Antispyware2010) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\WebMediaPlayer (Rogue.Webmediaplayer) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Live_TV (Adware.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Live_TV (Adware.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Live_TV Toolbar (Adware.Agent) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\fcn (Rogue.Residue) -> No action taken.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msword98 (Trojan.FakeAlert.H) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msword98 (Trojan.FakeAlert.H) -> No action taken.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\aux (Trojan.JSRedir.H) -> Bad: (C:\WINDOWS\system32\..uel.uru) Good: (wdmaud.drv) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.

Dossier(s) infecté(s):
C:\Documents and Settings\jp\Local Settings\Application Data\Live_TV (Adware.Agent) -> No action taken.
C:\Documents and Settings\jp\Local Settings\Application Data\Live_TV\CacheIcons (Adware.Agent) -> No action taken.
C:\Documents and Settings\jp\Local Settings\Application Data\Live_TV\RadioPlayer (Adware.Agent) -> No action taken.
C:\Documents and Settings\jp\Local Settings\Application Data\Live_TVss (Adware.Agent) -> No action taken.
C:\Program Files\Live_TV (Adware.Agent) -> No action taken.
C:\Program Files\WebMediaPlayer (Adware.EGDAccess) -> No action taken.
C:\Program Files\WebMediaPlayeresources (Adware.EGDAccess) -> No action taken.
C:\Program Files\WebMediaPlayer\skins (Adware.EGDAccess) -> No action taken.
C:\Program Files\WebMediaPlayer\updates (Adware.EGDAccess) -> No action taken.
C:\Documents and Settings\clement\Application Data\wsnpoem (Trojan.Agent) -> No action taken.
C:\Documents and Settings\LocalService\Application Data\wsnpoem (Trojan.Agent) -> No action taken.
C:\Documents and Settings\NetworkService\Application Data\wsnpoem (Trojan.Agent) -> No action taken.
C:\Documents and Settings\LocalService\Menu Démarrer\Programmes\PC_Antispyware2010 (Rogue.PC_Antispyware2010) -> No action taken.
C:\Program Files\PC_Antispyware2010 (Rogue.PC_Antispyware2010) -> No action taken.
C:\Program Files\PC_Antispyware2010\Microsoft.VC80.CRT (Rogue.PC_Antispyware2010) -> No action taken.

Fichier(s) infecté(s):
C:\Documents and Settings\jp\Local Settings\Application Data\qeyug_navps.dat (Adware.Navipromo.H) -> No action taken.
C:\Documents and Settings\jp\Local Settings\Application Data\qeyug_nav.dat (Adware.Navipromo.H) -> No action taken.
C:\Documents and Settings\jp\Local Settings\Application Data\qeyug.dat (Adware.Navipromo.H) -> No action taken.
C:\Documents and Settings\jp\msword98.exe (Trojan.FakeAlert.H) -> No action taken.
C:\WINDOWS\SYSTEM32\msword98.exe (Trojan.FakeAlert.H) -> No action taken.
C:\WINDOWSuel.uru (Trojan.JSRedir.H) -> No action taken.
C:\Program Files\Live_TV	bLive.dll (Adware.Agent) -> No action taken.
C:\Documents and Settings\jp\Application Data\Convivea\Bit_Che\scripts\special.exe (Spyware.OnlineGames) -> No action taken.
C:\Documents and Settings\jp\Mes documents\Logiciels\autres\Web-MediaPlayer_setup.exe (Adware.Navipromo) -> No action taken.
C:\Documents and Settings\jp\Mes documents\Logiciels\autres\setup.exe (Adware.Shopper) -> No action taken.
C:\Program Files\PC_Antispyware2010\PC_Antispyware2010.exe (Rogue.Multiple) -> No action taken.
C:\Program Files\PC_Antispyware2010\wscui.cpl (Rogue.HomeAntiVirus) -> No action taken.
C:\Program Files\WebMediaPlayer\uninst.exe (Adware.Navipromo) -> No action taken.
C:\System Volume Information\_restore{2D081E92-40B0-4D11-86A6-AF667022EB05}\RP167\A0069130.exe (Spyware.OnlineGames) -> No action taken.
C:\System Volume Information\_restore{2D081E92-40B0-4D11-86A6-AF667022EB05}\RP186\A0076860.dll (Rogue.AntiVirusPro2009) -> No action taken.
C:\WINDOWS\SYSTEM32\_scui.cpl (Rogue.HomeAntiVirus) -> No action taken.
C:\Documents and Settings\jp\Local Settings\Application Data\Live_TV\LanguagePack.xml (Adware.Agent) -> No action taken.
C:\Documents and Settings\jp\Local Settings\Application Data\Live_TV\LocalSettings.txt (Adware.Agent) -> No action taken.
C:\Documents and Settings\jp\Local Settings\Application Data\Live_TV\ThirdPartyComponents.xml (Adware.Agent) -> No action taken.
C:\Documents and Settings\jp\Local Settings\Application Data\Live_TV\update.xml (Adware.Agent) -> No action taken.
C:\Documents and Settings\jp\Local Settings\Application Data\Live_TV\RadioPlayer\Predefined_Media_List.xml (Adware.Agent) -> No action taken.
C:\Program Files\Live_TV\INSTALL.LOG (Adware.Agent) -> No action taken.
C:\Program Files\Live_TV	oolbar.cfg (Adware.Agent) -> No action taken.
C:\Program Files\Live_TV\UNWISE.EXE (Adware.Agent) -> No action taken.
C:\Program Files\WebMediaPlayer\sqlite3.dll (Adware.EGDAccess) -> No action taken.
C:\Program Files\WebMediaPlayer\WebMediaPlayer.exe (Adware.EGDAccess) -> No action taken.
C:\Program Files\WebMediaPlayeresources\wmp_translation_file.xml (Adware.EGDAccess) -> No action taken.
C:\Program Files\WebMediaPlayer\skins\classic.skn (Adware.EGDAccess) -> No action taken.
C:\Documents and Settings\clement\Application Data\wsnpoem\audio.dll (Trojan.Agent) -> No action taken.
C:\Documents and Settings\clement\Application Data\wsnpoem\video.dll (Trojan.Agent) -> No action taken.
C:\Documents and Settings\LocalService\Application Data\wsnpoem\audio.dll (Trojan.Agent) -> No action taken.
C:\Documents and Settings\NetworkService\Application Data\wsnpoem\audio.dll (Trojan.Agent) -> No action taken.
C:\Documents and Settings\LocalService\Menu Démarrer\Programmes\PC_Antispyware2010\PC_Antispyware2010.lnk (Rogue.PC_Antispyware2010) -> No action taken.
C:\Program Files\PC_Antispyware2010\PC_Antispyware2010.cfg (Rogue.PC_Antispyware2010) -> No action taken.
C:\Program Files\PC_Antispyware2010\Uninstall.exe (Rogue.PC_Antispyware2010) -> No action taken.
C:\Documents and Settings\All Users\Application Data\jydigupy.dll (Trojan.Agent) -> No action taken.
C:\WINDOWS\SYSTEM32\DLLCACHE\figaro.sys (Trojan.Agent) -> No action taken.
C:\WINDOWS\Temp\BN1.tmp (Trojan.Agent) -> No action taken.
C:\WINDOWS\Temp\wpv301250109698.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\Temp\wpv431250008288.exe (Trojan.Agent) -> No action taken.
C:\Documents and Settings\LocalService\Cookies\biresidej.exe (Fake.Dropped.Malware) -> No action taken.
C:\WINDOWS\Temp\BN10.tmp (Trojan.Agent) -> No action taken.
C:\WINDOWS\Temp\BN11.tmp (Trojan.Agent) -> No action taken.
C:\Documents and Settings\jp\Local Settings\Temp\BN1D.tmp (Trojan.Agent) -> No action taken.
C:\Documents and Settings\jp\Local Settings\Temp\BN1E.tmp (Trojan.Agent) -> No action taken.
C:\Documents and Settings\jp\Local Settings\Temp\BN1F.tmp (Trojan.Agent) -> No action taken.
C:\Documents and Settings\jp\delself.bat (Malware.Trace) -> No action taken.
C:\WINDOWS\SYSTEM32\DRIVERS\beep.sys (Fake.Beep.sys) -> No action taken.
C:\WINDOWS\SYSTEM32\DLLCACHE\beep.sys (Fake.Beep.sys) -> No action taken.
C:\WINDOWS\SYSTEM32\braviax.exe (Trojan.FakeAlert) -> No action taken.
C:\Documents and Settings\All Users\Bureau\WebMediaPlayer.lnk (Adware.EGDAccess) -> No action taken.
C:\Documents and Settings\jp\Application Data\wiaserva.log (Malware.Trace) -> No action taken.
C:\Documents and Settings\jp\oashdihasidhasuidhiasdhiashdiuasdhasd (Trace.Pandex) -> No action taken.
C:\Documents and Settings\LocalService\oashdihasidhasuidhiasdhiashdiuasdhasd (Trace.Pandex) -> No action taken.
C:\WINDOWS\SYSTEM32\wisdstr.exe (Trojan.FakeAlert) -> No action taken.


-----------------------------------------------------------------------
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:15:26, on 15/08/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\Explorer.EXE
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Intel\Intel Application Accelerator\iaanotif.exe
C:\Program Files\Intel\Modem Event Monitor\IntelMEM.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\WINDOWS\system32\dla	fswctrl.exe
C:\Program Files\Softwin\BitDefender10\bdagent.exe
C:\WINDOWS\system32\msword98.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Documents and Settings\jp\msword98.exe
C:\Documents and Settings\jp\msword98.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Intel Application Accelerator\iaantmon.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\wanmpsvc.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32	askmgr.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\PC_Antispyware2010\PC_Antispyware2010.exe
C:\WINDOWS\system32\msiexec.exe
C:\Program Files\Uniblue\RegistryBooster\RegistryBooster.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Documents and Settings\jp\Mes documents\Logiciels\autres\essai.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/fr/fra/gen/default.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/countries/fr/fra/gen/default.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_0.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar.dll
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [IAAnotif] C:\Program Files\Intel\Intel Application Accelerator\iaanotif.exe
O4 - HKLM\..\Run: [IntelMeM] C:\Program Files\Intel\Modem Event Monitor\IntelMEM.exe
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [AsioReg] REGSVR32.EXE /S CTASIO.DLL
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla	fswctrl.exe
O4 - HKLM\..\Run: [BDMCon] "C:\Program Files\Softwin\BitDefender10\bdmcon.exe" /reg
O4 - HKLM\..\Run: [BDAgent] "C:\Program Files\Softwin\BitDefender10\bdagent.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [msword98] C:\WINDOWS\system32\msword98.exe
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32egedit.exe
O4 - HKLM\..\RunOnce: [Malwarebytes Anti-Malware (reboot)] "C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [msword98] C:\Documents and Settings\jp\msword98.exe
O4 - HKCU\..\Run: [Uniblue RegistryBooster 2009] C:\Program Files\Uniblue\RegistryBooster\RegistryBooster.exe /S
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\Run: [braviax]  (User 'Default user')
O4 - Startup: ikowin32.exe
O8 - Extra context menu item: &Recherche AOL Toolbar - res://C:\Program Files\AOL Toolbar	oolbar.dll/SEARCH.HTML
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: MUSICMATCH MX Web Player - {d81ca86b-ef63-42af-bee3-4502d9a03c2d} - http://wwws.musicmatch.com/mmz/openWebRadio.html (file missing)
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O15 - Trusted Zone: http://www.secuser.com
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - https://www.kaspersky.fr/?domain=webscanner.kaspersky.fr
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {3BFFE033-BF43-11D5-A271-00A024A51325} (iNotes6 Class) - http://mail.dsna-dti.aviation-civile.gouv.fr/iNotes6W.cab
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} - http://download.mcafee.com/molbin/shared/mcinsctl/fr/4,0,0,84/mcinsctl.cab
O16 - DPF: {5C051655-FCD5-4969-9182-770EA5AA5565} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab56986.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.zebulon.fr/scan8/oscan8.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - https://www.trendmicro.com/en_us/forHome/products/housecall.html
O16 - DPF: {87AF076E-D86D-4E87-ADDD-F05804E1F150} (VirginMega.DMFacade.Interface) - https://www.virginmega.fr/DownloadManager/Release/Prod/DownMan.cab
O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} - http://download.mcafee.com/molbin/shared/mcgdmgr/fr/1,0,0,21/mcgdmgr.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O18 - Filter: x-sdch - {B1759355-3EEC-4C1E-B0F1-B719FE26E377} - C:\Program Files\Google\Google Toolbar\Component\fastsearch_A8904FB862BD9564.dll
O20 - AppInit_DLLs: cru629.dat
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Program Files\a-squared Free\a2service.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Fichiers communs\Softwin\BitDefender Scan Server\bdss.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: IAA Event Monitor (IAANTMon) - Intel Corporation - C:\Program Files\Intel\Intel Application Accelerator\iaantmon.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - SOFTWIN S.R.L. - C:\Program Files\Fichiers communs\Softwin\BitDefender Update Service\livesrv.exe
O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Program Files\Fichiers communs\LogiShrd\SrvLnch\SrvLnch.exe
O23 - Service: Virtual CD v4 Security service (VCDSecS) - Unknown owner - C:\Program Files\Virtual CD v4\System\vcdsecs.exe (file missing)
O23 - Service: BitDefender Virus Shield (VSSERV) - SOFTWIN S.R.L. - C:\Program Files\Softwin\BitDefender10\vsserv.exe
O23 - Service: WAN Miniport (ATW) Service (WANMiniportService) - America Online, Inc. - C:\WINDOWS\wanmpsvc.exe
O23 - Service: BitDefender Communicator (XCOMM) - SOFTWIN S.R.L - C:\Program Files\Fichiers communs\Softwin\BitDefender Communicator\xcommsvr.exe

sKe69 · Accepted Answer

yes ...


si tu n'as plus de soucis , on finalise .... dans l'ordre :



1- Mets à jours ce qui suit, c'est important ( des versions pas à jours = failles de sécurité ) :

Version Console Java à jour > 6 Update 15
Version Internet Explorer à jour > v 8

* pour la console Java :
-> désinstalle toutes les versions antérieurs  via le panneau de config./"Ajout et suppression de programmes" (pour XP) ou " Programmes et fonctionnalités " (pour Vista) .
-> Puis télécharge et installe la dernière version ici :
https://www.commentcamarche.net/telecharger/developpement/12917-java-runtime-environment/
ou https://www.java.com/fr/

( Autre astuce pour faire cette maj ainsi que la suppression des anciennes versions 
avec l'outil Javara : https://www.commentcamarche.net/faq/15645-supprimer-les-anciennes-versions-de-java-avec-javara )

-> Enfin contrôle ceci : 
Démarrer > Panneau de configuration > Icône Java > onglet Mise à jour > cocher la case "Automatiser la détection des mises à jour".



* Internet Explorer :
Même si tu utilises un autre Navigateur , il faut tenir IE à jours ! ( sinon faille de sécurité ) .
->Télécharge le ici : https://support.microsoft.com/fr-fr/allproducts
ou ici : https://www.commentcamarche.net/telecharger/web-internet/12477-internet-explorer-11/

http://www.microsoft.com/downloads/details.aspx?familyid=9AE91EBE-3385-447C-8A30-081805B2F90B&displaylang=fr

 ! Ferme toutes applications en cours ( navigateurs compris ), désactive toutes tes défenses ( antivirus , pare feu , guarde anti-spyware ...), et en restant connecté !

> puis lance l'installe de IE8 et laisse toi guider ...( regarde bien le du tuto ci-dessous )

->Pourquoi mettre à jours IE et tuto ici :
https://forum.malekal.com/viewtopic.php?f=45&t=12405


===============



2- une fois ceci fait , utilise Hijackthis :

tuto pour utilisation :
Regarde ici, c'est parfaitement expliqué en images (merci balltrap34), 
http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm 
( Ne fixe encore AUCUNE ligne, cela pourrait empêcher ton PC de fonctionner correctement )

>  !! Déconnecte toi et ferme toutes tes applications en cours !! 

Clique sur le raccourci du bureau pour lancer le prg : 
fais un scan HijackThis en cliquant sur : "Do a system scan and save a logfile" 

---> Poste le rapport généré pour analyse ...

Narco!4 · Answer

Bonjour,

télécharge GenProc http://www.genproc.com/GenProc.exe

double-clique sur GenProc.exe et poste le contenu du rapport qui s'ouvre

sKe69 · Answer

Salut,


très infecté ...


/!\ N'entreprends rien avec le PC sans mon autorisation et suis à la lettre les procédures qui vont suivre .
Prends bien connaisance de l'ensemble de ces procédures avant de te lancer .
Si tu as un quelconque prb n' hésite pas à m'en faire part ( évite les prises de décision hasardeuses ) .
Ne pas utiliser ce PC autrement que pour venir ici poursuivre la désinfection .



commence par ceci dans l'ordre :


1- Important :
Désactive le "tea timer" de Spybot S&D en t'aidant de ce tuto animé (merci Balltrap ;) ) : 
http://perso.orange.fr/rginformatique/section%20virus/demo%20spybot.htm
( sur la 1er image , clique sur "tea timer" pour lancer l'animation ).

ou de celui-ci > http://ww11.genproc.com/spybot/spybot.html

En effet , il risque de géner dans le bon déroulement des outils de désinfections et dans la répartion du registre ...

Tu le réactiveras une fois qu'on aura finit de désinfecter ( et pas avant ! ) . 
/!\ Mais attention : 
à ce moment là, le " TeaTimer " de Spybot proposera, par le biais de plusieurs pop-up, d'accepter ou non des modifications de registre ( survenuent lors de la désinfection ) 
-> il faudra alors les accepter toutes sans exeptions ! 

Puis part la suite , il faudra rester vigilant lorsque le "TeaTimer" donnera des alertes : accepter une modification uniquement si on en connait la provenance . 


une fois ceci fait , et pas avant ! tu enchaines .

========================


2- Infecté par Navipromo .

-------------------------------------

Pour info,
Les programmes suivants installent cette infection : 
- Funky Emoticons 
- Games-Attack
- Original-Solitaire  
- Go-Astro 
- GoRecord 
- HotTVPlayer 
- Live-Player 
- MailSkinner 
- Messenger Skinner 
- Instant Access 
- InternetGameBox 
- Sudoplanet 
- WebMediaPlayer : sauf celui provenant du site suivant > http://www.azertysite.new.fr/

---------------------------------------

Télécharge Navilog1 sur ton bureau : 

http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe

!! Déconnecte toi, désactive tes défenses ( anti-virus,anti-spyware ) et ferme bien toutes tes applications le temps de la manipe !!
  
Ensuite double clique sur navilog1.exe pour lancer l'outil . 

Laisse-toi guider. Au menu principal, choisis 1 et valide . 
(ne fais pas le choix 2 notre avis/accord) .

Patiente le temps du scan ...

> Si l'infection est bien détecté , il te sera peut-être demandé de redémarrer ton PC ( pour que l'outil puisse finir le nettoyage ) :
laisse l'outil le faire automatiquement . Si il ne redémarre pas de lui-même, redémarre ton PC manuellement (c'est important !) .

Note : 
Si l'outil de demande d'effectuer la manipe en mode sans echec, fais le (  /!\ Ne jamais démarrer en mode sans échec via MSCONFIG /!\ ).
 

Patiente jusqu'au message : 
*** Scan Terminé le ..... *** 

Appuie sur une touche comme demandé, le bloc-note va s'ouvrir. 
Copie-colle l'intégralité de son contenu dans ta prochaine réponse et attends la suite . 

(Le rapport est en outre sauvegardé à la racine du disque "C\:cleanavi.txt" ) 


===========================

3- Télécharge ZHPDiag de Nicolas Coolman sur ton bureau :

-> https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html


!! déconnecte toi et ferme toutes tes applications en cours !! 

> double-clique sur "ZHPDiag.exe" pour lancer l'installation de l'outil et laisse toi guider ( ne modifie pas les paramètres d'installe et coche bien la case "créer une icone sur le bureau" afin d'avoir un raccourci ) . 

> Lance ZHPDiag depuis le raccouci du bureau .

> Une fois ZHPDiag ouvert, clique sur le bouton "option" en haut sur la droite ( celui avec la clé et le tournevis ) .

Une liste apparait dans l'encadré principal > clique en bas sur le bouton " Tous " et décoche la ligne 061 ( important ! ) .

> Puis clique sur le bouton de "la loupe" pour lancer le scan .


Laisses travailler l'outil ...


> Une fois terminé , le rapport s'affiche : clique sur bouton "appareil photo" pour sauvegarder le rapport obtenu ...

Enregistres bien ZHPDiag.txt de façon à le retrouver facilement ( sur le bureau par exemple ).

( Sinon rapport sera en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag )

Puis ferme le programme ...


> rends toi ensuite sur ce site : http://www.cijoint.fr/

Clique sur "parcourir" et va jusqu'au rapport que tu as sauvegardé .
Clique ensuite sur "cliquer ici pour déposer le fichier" et patiente ...
Une fois l'upload finit , un lien apparait > copie/colle le dans ta prochaine réponse stp ....

jpp · Answer

Ca commence mal.

je n'arrive pas à afficher la fenêtre de SPybot !
Double clic sur l'icone et rien ne se passe...

jpp · Answer

Ok j'ai pu desactiver le tea-timer de spybot (pour info pour supprimer le répertoire spybot j'ai du tuer prealablement le process teatimer).


je passe à l'étape 2 et nouveau problème :
J'ai telecharge navilog1 sur mon bureau mais n'arrive pas à le lancer. Je le renomme et ca marche.
Je selectionne l'option 1 (français) mais l'outil me signale :
"patchs incorrects - FIX interrompu "

Encore merci.

jpp · Answer

Bonjour,

resultat de Genproc

apport GenProc 2.615 [1] - 15/08/2009 à 16:16:20 
@ Windows XP Service Pack 3 - Mode normal
@ Mozilla Firefox (3.0.13) [Navigateur par défaut]

~~ CM DISK ERROR ~~ 
 
Dans CCleaner, clique sur "Options", "Avancé" et décoche la case "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures" ; par la suite, laisse-le avec ses réglages par défaut. C'est tout. 

# Etape 1/ Télécharge :
 
- Navilog1 http://il.mafioso.pagesperso-orange.fr/Navifix/Navilog1.exe (IL-MAFIOSO) sur ton Bureau.

- SmitfraudFix http://siri.urz.free.fr/Fix/SmitfraudFix.exe (S!Ri) sur le Bureau.


 Redémarre en mode sans échec comme indiqué ici https://www.wekyo.com/demarrer-le-pc-en-mode-sans-echec-windows-7-et-8/  ; Choisis ta session courante *** jp *** (pour retrouver le rapport, clique sur le raccourci "Rapport GenProc[1]" sur ton bureau).


# Etape 2/ 

Double clique sur le raccourci Navilog1 sur le Bureau, et choisis l'option 1 ; valide et patiente jusqu'au message "Scan terminé le......".

# Etape 3/ 

 Double-clique sur le fichier "SmitfraudFix.exe" et choisis l'option 2, réponds oui à tout et laisse-le procéder. Sauvegarde le rapport sur ton bureau.

# Etape 4/ 

 Lance CCleaner : "Nettoyeur"/"lancer le nettoyage" et c'est tout.

# Etape 5/ 

 Redémarre normalement et poste, dans la même réponse : 

- Le contenu du rapport rapport.txt situé sur le Bureau ; 
- Le contenu du rapport cleannavi.txt situé dans C:\ ; 
- Un nouveau rapport HijackThis http://forum.telecharger.01net.com/forum/high-tech/PRODUITS/Questions-techniques/hijackthis-version-install-sujet_199100_1.htm ;
- Un nouveau rapport GenProc ;

 Précise les difficultés que tu as eu (ce que tu n'as pas pu faire...) ainsi que l'évolution de la situation.

~~ Arguments de la procédure ~~


# Détections [1] GenProc 2.615 15/08/2009 à 16:16:39 
Navipromo:le 15/08/2009 à 16:17:09 "C:\Documents and Settings\All Users\Menu Démarrer\Programmes\WebMediaPlayer" 
Smitfraud:le 15/08/2009 à 16:17:11 "C:\WINDOWS\System32\_scui.cpl" 

----------------------------------------------------------------------
Sites officiels GenProc : www.alt-shift-return.org et www.genproc.com
----------------------------------------------------------------------

~~ Fin à 16:17:27 ~~

sKe69 · Answer

Re,


vire navilog1 ainsi que son dossier qui à été créer dans "program files"



ensuite fais ceci :


Télécharge SmitfraudFix (de S!Ri, balltrap34 et moe31 ) :
http://siri.urz.free.fr/Fix/SmitfraudFix.exe

Installe le soft sur ton bureau ( et pas ailleurs! ) .

!! Déconnecte toi, ferme toutes tes applications et désactives tes défenses ( anti-virus ,anti-spyware,...) le temps de la manipe !!


Tuto ( aide ) : http://siri.urz.free.fr/Fix/SmitfraudFix.php
Autre tuto animé ( merci balltrapp34 ;) ) : http://pagesperso-orange.fr/rginformatique/section%20virus/smitfraudfix.htm
 
Utilisation ---> option 1 / Recherche : 
Double-clique sur l'icône "Smitfraudfix.exe" et sélectionne 1 (et pas sur autre chose sans notre accord !) pour créer un rapport des fichiers responsables de l'infection.
 
Poste le rapport ( "rapport.txt" qui se trouve sous C\: ) et attends la suite ...

(Attention : "process.exe", un composant de l'outil, est détecté par certains antivirus comme étant un "RiskTool". Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité.)

jpp · Answer

depuis ce matin, je suis systèmatiquemené déconnecté de mon compte au bout de quelques secondes et le PC reboote.
j'ai lance smitfraud en mode sans echec.


Voici le resultat :
SmitFraudFix v2.423

Rapport fait à  9:40:28,81, 16/08/2009
Executé à partir de C:\Documents and Settings\jp\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Documents and Settings\jp\Bureau\SmitfraudFix\Policies.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\braviax.exe PRESENT !
C:\WINDOWS\system32\_scui.cpl PRESENT !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\jp


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\jp\LOCALS~1\Temp


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\jp\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\jp\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"
 

»»»»»»»»»»»»»»»»»»»»»»»» o4Patch
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

o4Patch
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"="cru629.dat"


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\WINDOWS\system32\userinit.exe,"

»»»»»»»»»»»»»»»»»»»»»»»» RK

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


C:\WINDOWS\system32\drivers\beep.sys infecté !


»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{4839ADC9-67DA-4CFF-9AF6-1A3703D181B3}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{4839ADC9-67DA-4CFF-9AF6-1A3703D181B3}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{4924F7BD-ED13-45E5-A5F0-BFEAA4384CC9}: DhcpNameServer=163.244.4.254 163.244.76.254
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4839ADC9-67DA-4CFF-9AF6-1A3703D181B3}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

sKe69 · Answer

Re,


c'est vraiment la mouise ... ^^


dans l'ordre :



1- Impératif : Démarrer en mode sans echec .

 /!\ Ne jamais démarrer en mode sans échec via MSCONFIG /!\ 

Comment aller en Mode sans échec :
1) Redémarre ton ordi .
2) Tapote la touche F8 immédiatement, (F5 sur certains PC) juste après le "Bip" .
3) Tu tapotes jusqu' à l'apparition de l'écran avec les options de démarrage . 
4) Choisis la première option : Sans Échec , et valide en tapant sur [Entrée] .
5) Choisis ton compte habituel ( et pas Administrateur ). 
attention : pas de connexion possible en mode sans échec , donc copie ou imprime bien la manipe pour éviter les erreurs ...
 
* Double-clique sur SmitfraudFix.exe 

* Sélectionne 2 et presse "Entrée" dans le menu pour supprimer les fichiers responsables de l'infection. 

--> Si besion :

* A la question: Voulez-vous nettoyer le registre ? répondre O (oui) et presser Entrée afin de débloquer le fond d'écran et supprimer les clés de registre de l'infection. 

( Le correctif déterminera si le fichier wininet.dll est infecté.)
 
* A la question: "Corriger le fichier infecté ?" répondre O (oui) et presser Entrée 
pour remplacer le fichier corrompu. 

* Un redémarrage sera demandé pour terminer la procédure de nettoyage . 
Si le redémarrage ne se fais pas , fais le manuellement ( c'est important ! ) . 

Le rapport se trouve à la racine de disque dur C  .
( dans le fichier C:\rapport.txt ) 

Poste moi ce rapport pour analyse ... 


===========================


2- en mode normal si possible ! ( sinon en mode sans échec "avec prise en charge du réseau") 

Télécharge ZHPDiag de Nicolas Coolman sur ton bureau :

-> https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html


!! déconnecte toi et ferme toutes tes applications en cours !! 

> double-clique sur "ZHPDiag.exe" pour lancer l'installation de l'outil et laisse toi guider ( ne modifie pas les paramètres d'installe et coche bien la case "créer une icone sur le bureau" afin d'avoir un raccourci ) . 

> Lance ZHPDiag depuis le raccouci du bureau .

> Une fois ZHPDiag ouvert, clique sur le bouton "option" en haut sur la droite ( celui avec la clé et le tournevis ) .

Une liste apparait dans l'encadré principal > clique en bas sur le bouton " Tous " et décoche la ligne 061 ( important ! ) .

> Puis clique sur le bouton de "la loupe" pour lancer le scan .


Laisses travailler l'outil ...


> Une fois terminé , le rapport s'affiche : clique sur bouton "appareil photo" pour sauvegarder le rapport obtenu ...

Enregistres bien ZHPDiag.txt de façon à le retrouver facilement ( sur le bureau par exemple ).

( Sinon rapport sera en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag )

Puis ferme le programme ...


> rends toi ensuite sur ce site : http://www.cijoint.fr/

Clique sur "parcourir" et va jusqu'au rapport que tu as sauvegardé .
Clique ensuite sur "cliquer ici pour déposer le fichier" et patiente ...
Une fois l'upload finit , un lien apparait > copie/colle le dans ta prochaine réponse stp ....

jpp · Answer

Resultat de smitfraud : j'ai redemarré en mode normal, toujours les mêmes symptômes, par contre l'assistant de détection de nouveau matériel se lance et dès que je clique, ça reboote.
Je poursuis l'étape 2 en mode sans échec.

Merci.


SmitFraudFix v2.423

Rapport fait à 10:10:46,79, 16/08/2009
Executé à partir de C:\Documents and Settings\jp\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Avant SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Arret des processus


»»»»»»»»»»»»»»»»»»»»»»»» hosts


127.0.0.1       localhost

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Suppression des fichiers infectés

C:\WINDOWS\system32\braviax.exe supprimé
C:\WINDOWS\system32\_scui.cpl supprimé

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» RK


»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{4839ADC9-67DA-4CFF-9AF6-1A3703D181B3}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{4839ADC9-67DA-4CFF-9AF6-1A3703D181B3}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{4924F7BD-ED13-45E5-A5F0-BFEAA4384CC9}: DhcpNameServer=163.244.4.254 163.244.76.254
HKLM\SYSTEM\CS3\Services\Tcpip\..\{4839ADC9-67DA-4CFF-9AF6-1A3703D181B3}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1


»»»»»»»»»»»»»»»»»»»»»»»» Suppression Fichiers Temporaires


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» RK.2



»»»»»»»»»»»»»»»»»»»»»»»» Nettoyage du registre
 
Nettoyage terminé. 
 
»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Après SmitFraudFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

jpp · Answer

on continue...
Résultat de ZHPdialog (à noter que j'ai été déconnecté en mode sans echec en cours de configuration de ZHPdialog, j'ai recommencé sans le réseau et ca a marché).

http://www.cijoint.fr/cjlink.php?file=cj200908/cijdhtdEfm.txt

sKe69 · Answer

bien ...


fais ceci maintenant :


1- Utilsation de l'outil ZHPFix :

Rends dans ce répertoire > C:\Program files\ZHPDiag 

* Là tu double-cliques sur "ZHPFix.exe" .

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) . 

* Dans l'encadré principal ( qui est vierge ),  copie/colle tout le texte qui se trouve sur cette page ( et rien d'autre ! ) :

> https://www.cjoint.com/?iqltCEDyj5


Vérifie bien que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

* Puis clique sur le bouton [ OK ] .
> à ce moment là , il apparaitra au début de chaque ligne une petite case vide . Ne touche plus à rien ! 

!! Déconnecte toi, désactive tes défenses ( anti-virus,anti-spyware ) et ferme bien toutes autres applications ( navigateurs compris ) !!


* Clique sur le bouton [ Tous ] . Vérifies que toutes les lignes soient bien cochées .

* Enfin clique sur le bouton [ Nettoyer ] .


-> laisse travailler l'outil et ne touche à rien ...


-> Si il t'est demandé de redémarrer le PC pour finir le nettoyage , fais le !

Une fois terminé , un nouveau rapport s'affiche : poste le contenu de ce dernier dans ta prochaine réponse ...

( ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ZHPFixReport.txt )
 
 Pense à réactiver tes défenses !... 
 
=========================


2- Redémarre le PC si ce n'est déjà fait avec la manipe précédante ( retour en mode normal )

et en mode normal si possible :

Refais un scan ZHPDiag, coche bien toutes les options ( sauf la 045 et 061 ), poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...

jpp · Answer

voilà la suite :

resultat zhpfix : 

ZHPFix v1.12.06  by Nicolas Coolman - Rapport de suppression du 16/08/2009 12:22:58
Fichier Registre : 
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html


Processus mémoire :
C:\WINDOWS\system32\msword98.exe  => Quarantined and Deleted successfully
C:\Documents and Settings\jp\msword98.exe  => Quarantined and Deleted successfully
C:\WINDOWS\system32\braviax.exe  => Quarantined and Deleted successfully

Module mémoire :
(Néant)

Clé du Registre :
O41 - Driver: gtermddo (gtermddo) - C:\DOCUME~1\clement\LOCALS~1\Temp\gtermddo.sys  => Registry Key removed successfully

Valeur du Registre :
O3 - Toolbar: (no name) - {1E796980-9CC5-11D1-A83F-00C04FC99D61} -  => Registry key value removed successfully
O4 - HKLM\..\Run: [msword98] C:\WINDOWS\system32\msword98.exe  => Registry key value removed successfully
O4 - HKLM\..\Run: [braviax] braviax.exe  => Registry key value removed successfully
O4 - HKCU\..\Run: [msword98] C:\Documents and Settings\jp\msword98.exe  => Registry key value removed successfully
O4 - HKCU\..\Run: [braviax] C:\WINDOWS\system32\braviax.exe  => Registry key value removed successfully

Elément de données du Registre :
O20 - AppInit_DLLs: cru629.dat  => Registry key value data removed successfully

Dossier :
C:\Program Files\PC_Antispyware2010  => Quarantined and Deleted successfully

Fichier :
C:\WINDOWS\system32\msword98.exe  => File not found
braviax.exe  => File not found
C:\Documents and Settings\jp\msword98.exe  => File not found
C:\WINDOWS\system32\braviax.exe  => File not found
cru629.dat  => File not found
C:\WINDOWS\System32\bivahixo.reg  => Quarantined and Deleted successfully
C:\WINDOWS\hagiz.pif  => Quarantined and Deleted successfully
C:\WINDOWS\olaqy.exe  => Quarantined and Deleted successfully
C:\WINDOWS\yzunefa.inf  => Quarantined and Deleted successfully
C:\WINDOWS\System32\maqulamyle.db  => Quarantined and Deleted successfully
C:\WINDOWS\System32\odyzacucen.ban  => Quarantined and Deleted successfully
C:\WINDOWS\byxumeputi.com  => Quarantined and Deleted successfully
C:\WINDOWS\System32\egywekis.scr  => Quarantined and Deleted successfully
C:\WINDOWS\System32\kylubowy.reg  => Quarantined and Deleted successfully
C:\WINDOWS\System32	oqomafi.bat  => Quarantined and Deleted successfully
C:\WINDOWS\avedejir.bin  => Quarantined and Deleted successfully
C:\WINDOWS\vuhasi._sy  => Quarantined and Deleted successfully
C:\WINDOWS\System32\hibak.dll  => Quarantined and Deleted successfully
C:\WINDOWS\System32\sugujupiw.vbs  => Quarantined and Deleted successfully
C:\WINDOWS\System32\usozoxavi.vbs  => Quarantined and Deleted successfully
C:\WINDOWS\bewaq._sy  => Quarantined and Deleted successfully
C:\WINDOWS\System32\braviax.Old.exe  => Quarantined and Deleted successfully
C:\WINDOWS\System32\drivers\5d714f7c.sys  => Quarantined and Deleted successfully
C:\WINDOWS\System32	mp.reg  => Quarantined and Deleted successfully
C:\WINDOWS\System32	mp.txt  => Quarantined and Deleted successfully
C:\WINDOWS\System32\wisdstr.exe  => Quarantined and Deleted successfully
C:\WINDOWS\WindowsUpdate.log  => Quarantined and Deleted successfully
C:\WINDOWS\System32\cru629.dat  => Quarantined and Deleted successfully
C:\WINDOWS\braviax.exe  => Quarantined and Deleted successfully
C:\WINDOWS\cru629.dat  => Quarantined and Deleted successfully
C:\WINDOWS\system32\drivers\33e0190b.sys  => Quarantined and Deleted successfully
C:\WINDOWS\system32\drivers\5d714f7c.sys  => File not found

Logiciel :
(Néant)

Autre :
O4 - HKUS\S-1-5-18\..\Run: [braviax] C:\WINDOWS\system32\braviax.exe  => Not supported


Récapitulatif :
Processus mémoire : 3
Module mémoire : 0
Clé du Registre : 1
Valeur du Registre : 5
Elément de données du Registre : 1
Dossier : 1
Fichier : 32
Logiciel : 0
Autre : 1



End of the scan

resultat zhpdiag : toujours les mêmes symptômes, deconnexion en mode normal et en mode sans echec avec connexion reseau,  j'ai du le lancer en mode sans echec local.


http://www.cijoint.fr/cjlink.php?file=cj200908/cijc6QH1bs.txt

sKe69 · Answer

bon ....


y du mieux mais ce n'est pas encore ça ...


fait ceci :


1- -Télécharge SDFix sur ton bureau :
ici http://downloads.andymanchesta.com/RemovalTools/SDFix.exe.
ou ici http://download.bleepingcomputer.com/andymanchesta/SDFix.exe
ou ici http://sdfix.net/SDFix.exe
 
--> Double-clique sur SDFix.exe et choisis "Install" .

( tuto ici : https://www.malekal.com/slenfbot-still-an-other-irc-bot/ )

Puis une fois l'installe faite ,

Impératif : Démarrer en mode sans echec .

 /!\ Ne jamais démarrer en mode sans échec via MSCONFIG /!\ 

Comment aller en Mode sans échec :
1) Redémarre ton ordi .
2) Tapote la touche F8 immédiatement, (F5 sur certains PC) juste après le "Bip" .
3) Tu tapotes jusqu' à l'apparition de l'écran avec les options de démarrage . 
4) Choisis la première option : Sans Échec , et valide en tapant sur [Entrée] .
5) Choisis ton compte habituel ( et pas Administrateur ). 
attention : pas de connexion possible en mode sans échec , donc copie ou imprime bien la manipe pour éviter les erreurs ...

 
Ouvre le dossier SDFix qui vient d'être créé dans le répertoire C:\ et double-clique sur RunThis.bat pour lancer l'outil . 
-->Tapes Y pour lancer le script ... 
Le Fix supprime les services du virus et nettoie le registre, de ce fait un redémarrage est nécessaire , donc :
presses une touche pour redémarrer quand il te le sera demandé . 

Le PC va mettre du temps avant de démarrer ( c'est normale ), après le chargement du Bureau presses une touche lorsque "Finished" s'affiche .

Le rapport SDFix s'ouvrira à l'écran et s'enregistrera aussi dans le dossier 
C:\SDFix sous le nom "Report.txt".

Poste ce dernier dans ta prochaine réponse pour analyse ... 


==========================


2- Refais un scan ZHPDiag, coche bien toutes les options ( sauf la 045 et 061 ), poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...

jpp · Answer

Je n'y arrive pas.
Au redemarrage, sdfix ne termine pas ses traitements , le PC reboote avant et pas de traces du rapport.

Quelle galère !!

Merci.

jpp · Answer

J'y suis finalement arrivé, j'ai débranché le cable ethernet du PC et du coup plus de reboot intempestif. 

SD FIX a pu se derouler normalement  puis j'ai relancé ZHPDIAG en mode normal (deconnecté) 
 
Voici les resultats :


[b]SDFix: Version 1.240 [/b]
Run by jp on 16/08/2009 at 13:40

Microsoft Windows XP [version 5.1.2600]
Running From: C:\Documents and Settings\jp\Bureau\SDFix

[b]Checking Services [/b]:


Restoring Default Security Values
Restoring Default Hosts File
Resetting AppInit_DLLs value 


Rebooting


[b]Infected beep.sys Found![/b]

beep.sys File Locations:

"C:\WINDOWS\SYSTEM32\DLLCACHE\beep.sys" 29184 16/08/2009 12:30 
"C:\WINDOWS\SYSTEM32\DRIVERS\beep.sys" 29184 16/08/2009 12:30 

Infected File Listed Below:

C:\WINDOWS\system32\DLLCACHE\beep.sys
C:\WINDOWS\system32\DRIVERS\beep.sys

File copied to Backups Folder
Attempting to replace beep.sys with original version 


Original beep.sys Restored

"C:\WINDOWS\SYSTEM32\DLLCACHE\beep.sys" 4224 07/08/2008 15:27
"C:\WINDOWS\SYSTEM32\DRIVERS\beep.sys" 4224 07/08/2008 15:27



[b]Checking Files [/b]: 

Trojan Files Found:

C:\DOCUME~1\LOCALS~1\COOKIES\AXYLYWA.VBS - Deleted
C:\WINDOWS\braviax.exe - Deleted
C:\WINDOWS\cru629.dat - Deleted
C:\WINDOWS\system32\braviax.exe - Deleted
C:\WINDOWS\system32\cru629.dat - Deleted





Removing Temp Files

[b]ADS Check [/b]:
 


                                 [b]Final Check [/b]:

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-08-16 14:23:27
Windows 5.1.2600 Service Pack 3 NTFS

scanning hidden processes ...

C:\WINDOWS\SYSTEM32\braviax.exe [2188] 0xFEB83590

scanning hidden services & system hive ...

scanning hidden registry entries ...

scanning hidden files ...


scan completed successfully
hidden processes: 1
hidden services: 0
hidden files: 0


[b]Remaining Services [/b]:




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\WINDOWS\SYSTEM32\LEXPPS.EXE"="C:\WINDOWS\SYSTEM32\LEXPPS.EXE:*:Enabled:LEXPPS.EXE"
"C:\Program Files\eMule\emule.exe"="C:\Program Files\eMule\emule.exe:*:Enabled:eMule"
"C:\Program Files\Microsoft Games\Age of Empires III\age3.exe"="C:\Program Files\Microsoft Games\Age of Empires III\age3.exe:*:Enabled:Age of Empires 3"
"C:\Program Files\Messenger\msmsgs.exe"="C:\Program Files\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\Program Files\BitTorrent\bittorrent.exe"="C:\Program Files\BitTorrent\bittorrent.exe:*:Enabled:BitTorrent"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Documents and Settings\jp\Local Settings\Temporary Internet Files\Content.IE5\B3D24ZS3\incredimail_install[1].exe"="C:\Documents and Settings\jp\Local Settings\Temporary Internet Files\Content.IE5\B3D24ZS3\incredimail_install[1].exe:*:Enabled:IncrediMail Installer"
"C:\xampp\apache\bin\apache.exe"="C:\xampp\apache\bin\apache.exe:*:Disabled:Apache HTTP Server"
"C:\Program Files\Ares\Ares.exe"="C:\Program Files\Ares\Ares.exe:*:Enabled:Ares p2p for windows"
"C:\Program Files\DNA\btdna.exe"="C:\Program Files\DNA\btdna.exe:*:Enabled:DNA"
"C:\Program Files\uTorrent\uTorrent.exe"="C:\Program Files\uTorrent\uTorrent.exe:*:Enabled:æTorrent"
"C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"
"C:\Program Files\SopCast\adv\SopAdver.exe"="C:\Program Files\SopCast\adv\SopAdver.exe:*:Enabled:SopCast Adver"
"C:\Program Files\SopCast\SopCast.exe"="C:\Program Files\SopCast\SopCast.exe:*:Enabled:SopCast Main Application"
"C:\Program Files\Skype\Phone\Skype.exe"="C:\Program Files\Skype\Phone\Skype.exe:*:Enabled:Skype"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Program Files\Fichiers communs\AOL\ACS\AOLacsd.exe"="C:\Program Files\Fichiers communs\AOL\ACS\AOLacsd.exe:*:Enabled:AOL"
"C:\Program Files\Fichiers communs\AOL\ACS\AOLDial.exe"="C:\Program Files\Fichiers communs\AOL\ACS\AOLDial.exe:*:Enabled:AOL"
"C:\Program Files\AOL 9.0a\waol.exe"="C:\Program Files\AOL 9.0a\waol.exe:*:Enabled:AOL 9.0a"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Program Files\Windows Live\Messenger\msnmsgr.exe"="C:\Program Files\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Program Files\Windows Live\Messenger\livecall.exe"="C:\Program Files\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"

[b]Remaining Files [/b]:


File Backups: - C:\DOCUME~1\jp\Bureau\SDFix\backups\backups.zip

[b]Files with Hidden Attributes [/b]:

Sun 12 Mar 2006    10,311,680 ..SH. --- "C:\Program Files\AVIConverter\MENCODER.EXE"
Sat 31 Dec 2005     8,578,048 ..SH. --- "C:\Program Files\AVIConverter\mencoder1.exe"
Mon 14 Apr 2008        93,184 A.SH. --- "C:\Program Files\Internet Explorer\iexplore.exe"
Sat 14 May 2005            56 ..SHR --- "C:\WINDOWS\SYSTEM32\9670711FF4.sys"
Fri 18 Aug 2006         6,686 A.SH. --- "C:\WINDOWS\SYSTEM32\KGyGaAvL.sys"
Fri  1 Feb 2008         4,348 ..SH. --- "C:\Documents and Settings\All Users\DRM\DRMv1.bak"
Wed 22 Oct 2008       949,072 A..H. --- "C:\RECYCLER\S-1-5-21-1891869239-3770771000-2516131986-1006\Dc1\advcheck.dll"
Mon 15 Sep 2008     1,562,960 A.SHR --- "C:\RECYCLER\S-1-5-21-1891869239-3770771000-2516131986-1006\Dc1\SDHelper.dll"
Wed 22 Oct 2008       962,896 A.SHR --- "C:\RECYCLER\S-1-5-21-1891869239-3770771000-2516131986-1006\Dc1\Tools.dll"
Fri 14 Aug 2009        29,184 A..H. --- "C:\System Volume Information\_restore{2D081E92-40B0-4D11-86A6-AF667022EB05}\RP185\A0075785.sys"
Fri 14 Aug 2009        29,184 A..H. --- "C:\System Volume Information\_restore{2D081E92-40B0-4D11-86A6-AF667022EB05}\RP185\A0075786.sys"
Fri 14 Aug 2009        29,184 A..H. --- "C:\System Volume Information\_restore{2D081E92-40B0-4D11-86A6-AF667022EB05}\RP185\A0075787.SYS"
Wed 31 Dec 2008             0 A.SH. --- "C:\Documents and Settings\All Users\DRM\Cache\Indiv03.tmp"
Thu 13 Sep 2007     7,939,032 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\4a882309d56e564894505aaa60eac9b1\BIT14C.tmp"
Thu 25 Nov 2004        19,456 ...H. --- "C:\Documents and Settings\clement\Application Data\Microsoft\Word\~WRL0003.tmp"
Fri  3 Dec 2004        19,456 ...H. --- "C:\Documents and Settings\clement\Application Data\Microsoft\Word\~WRL0004.tmp"
Thu 25 Nov 2004        19,456 ...H. --- "C:\Documents and Settings\clement\Application Data\Microsoft\Word\~WRL0005.tmp"
Wed 30 Nov 2005        19,456 ...H. --- "C:\Documents and Settings\clement\Application Data\Microsoft\Word\~WRL0006.tmp"
Thu 25 Nov 2004        19,456 ...H. --- "C:\Documents and Settings\clement\Application Data\Microsoft\Word\~WRL0777.tmp"
Thu 25 Nov 2004        19,456 ...H. --- "C:\Documents and Settings\clement\Application Data\Microsoft\Word\~WRL0965.tmp"
Thu 25 Nov 2004        19,456 ...H. --- "C:\Documents and Settings\clement\Application Data\Microsoft\Word\~WRL2372.tmp"
Thu  2 Feb 2006       101,376 ...H. --- "C:\Documents and Settings\jp\Application Data\Microsoft\Word\~WRL0093.tmp"
Sun 19 Feb 2006       110,592 ...H. --- "C:\Documents and Settings\jp\Application Data\Microsoft\Word\~WRL1984.tmp"
Sun 19 Feb 2006       109,568 ...H. --- "C:\Documents and Settings\jp\Application Data\Microsoft\Word\~WRL2274.tmp"
Thu  2 Feb 2006       101,888 ...H. --- "C:\Documents and Settings\jp\Application Data\Microsoft\Word\~WRL2365.tmp"
Sun 19 Feb 2006       108,032 ...H. --- "C:\Documents and Settings\jp\Application Data\Microsoft\Word\~WRL2623.tmp"
Thu  2 Feb 2006        90,624 ...H. --- "C:\Documents and Settings\jp\Application Data\Microsoft\Word\~WRL3901.tmp"
Mon 13 Oct 2008        23,552 ...H. --- "C:\Documents and Settings\jp\Mes documents\vero\ecole\~WRL0003.tmp"
Fri  5 Jun 2009        20,992 ...H. --- "C:\Documents and Settings\jp\Mes documents\vero\ecole\~WRL1449.tmp"

[b]Finished![/b]


le lien du rapport zhpdiag : 
http://www.cijoint.fr/cjlink.php?file=cj200908/cijR1W7hES.txt

sKe69 · Answer

Bien ....


on avance ....



1- Tu vas réutiliser Malwarebytes en mode Normal  :

Mets le à jour si possible ...

! Déconnecte toi et ferme toutes applications en cours ! 

* Lance Malwarebyte's .

Fais un examen dit "RAPIDE" .

--> Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ). 
--> à la fin tu cliques sur "résultat" . 
--> Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date) pour analyse ...


================================


2- Refais un scan ZHPDiag, coche bien toutes les options ( sauf la 045 et 061 ), poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...

jpp · Answer

voilà les resultats.  Ca a l'air d'aller mieux !
Je suis toujours en mode normal (cable ethernet déconnecté). Le comportement semble normal (plus de croix rouge, de message , bitfender se lance,tous les outils que je n'arrivais pas à lancer aussi : navilog1, hijackthis,.....).
Par contre, je n'ai pas osé reconnecter le PC et attends ton feu vert pour le faire.

Malwarebytes' Anti-Malware 1.40
Version de la base de données: 2551
Windows 5.1.2600 Service Pack 3

16/08/2009 17:54:18
mbam-log-2009-08-16 (17-54-18).txt

Type de recherche: Examen rapide
Eléments examinés: 114649
Temps écoulé: 7 minute(s), 27 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 2
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 6
Dossier(s) infecté(s): 1
Fichier(s) infecté(s): 11

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\PC_Antispyware2010 (Rogue.PC_Antispyware2010) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\PC_Antispyware2010 (Rogue.PC_Antispyware2010) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
C:\Documents and Settings\LocalService\Menu Démarrer\Programmes\PC_Antispyware2010 (Rogue.PC_Antispyware2010) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
C:\Documents and Settings\LocalService\Menu Démarrer\Programmes\PC_Antispyware2010\PC_Antispyware2010.lnk (Rogue.PC_Antispyware2010) -> Quarantined and deleted successfully.
C:\Documents and Settings\LocalService\Menu Démarrer\Programmes\PC_Antispyware2010\Uninstall.lnk (Rogue.PC_Antispyware2010) -> Quarantined and deleted successfully.
C:\WINDOWS\Temp\BN4.tmp (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\clement\Local Settings\Temp\BN9.tmp (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\Temp\BN10.tmp (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\Temp\BN11.tmp (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\jp\delself.bat (Malware.Trace) -> Quarantined and deleted successfully.
C:\Documents and Settings\jp\Application Data\wiaserva.log (Malware.Trace) -> Quarantined and deleted successfully.
C:\Documents and Settings\jp\oashdihasidhasuidhiasdhiashdiuasdhasd (Trace.Pandex) -> Quarantined and deleted successfully.
C:\Documents and Settings\LocalService\oashdihasidhasuidhiasdhiashdiuasdhasd (Trace.Pandex) -> Quarantined and deleted successfully.
C:\WINDOWS\SYSTEM32\wisdstr.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.


lien resultat zhpdiag : 
http://www.cijoint.fr/cjlink.php?file=cj200908/cijibJgVTU.txt

sKe69 · Answer

Impec...


tu dois normalement pouvoir te reconnecter sans prb ! ... fais le ....


mais ce n'est pas terminé pour autant ! ....dans l'ordre :



1- Supprime tout ce qui se trouve dans la quarantaine de malwarebytes .


======================

2- refais un coup de CCleaner ( registre compris ) .


====================

3- on va refaire Navilog1 :

Télécharge Navilog1 sur ton bureau : 

http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe

!! Déconnecte toi, désactive tes défenses ( anti-virus,anti-spyware ) et ferme bien toutes tes applications le temps de la manipe !!
  
Ensuite double clique sur navilog1.exe pour lancer l'outil . 

Laisse-toi guider. Au menu principal, choisis 1 et valide . 
(ne fais pas le choix 2 notre avis/accord) .

Patiente le temps du scan ...

> Si l'infection est bien détecté , il te sera peut-être demandé de redémarrer ton PC ( pour que l'outil puisse finir le nettoyage ) :
laisse l'outil le faire automatiquement . Si il ne redémarre pas de lui-même, redémarre ton PC manuellement (c'est important !) .

Note : 
Si l'outil de demande d'effectuer la manipe en mode sans echec, fais le (  /!\ Ne jamais démarrer en mode sans échec via MSCONFIG /!\ ).
 

Patiente jusqu'au message : 
*** Scan Terminé le ..... *** 

Appuie sur une touche comme demandé, le bloc-note va s'ouvrir. 
Copie-colle l'intégralité de son contenu dans ta prochaine réponse et attends la suite . 

(Le rapport est en outre sauvegardé à la racine du disque "C\:cleanavi.txt" ) 


=================================


4- Télécharge ComboFix (par sUBs) sur ton Bureau (et pas ailleurs !): 

http://download.bleepingcomputer.com/sUBs/ComboFix.exe 


--------------------------------- [ ! ATTENTION ! ] ------------------------------------------
!! Déconnecte toi,ferme tes applications en cours ( ainsi que ton navigateur ) et DESACTIVE TOUTES TES DEFENSES (anti-virus, guarde anti spy-ware, pare-feu) le temps de la manipe : 
en effet , activés, ils pourraient gêner fortement la procédure de recherche et de nettoyage de l'outil ( voir planter le PC )...Tu les réactiveras donc après  !!
--->Important : si tu rencontres des difficultés à ce niveau là, fais m'en part avant de poursuivre ...
Tuto ( aide ) ici : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix
Note : pour XP, bien installer la Console de Récupération de Windows comme il est indiqué dans le tuto ci-dessus ...
--------------------------------------------------------------------------------------------


Ensuite :
double-clique sur l'icône "combofix.exe" pour lancer l'outil .

 
-- Pour  XP > laisse toi guider et fais l'installe de la "console de récupération" lorsque l'outil te le demandera ( important ! ).
Reconnecte toi uniquement le temps de cette manipulation. Une fois la console installée ,re-déconnecte toi avant de poursuivre -- 

Appuie sur la touche Y (Yes) pour démarrer le scan . 

Notes importantes : 
-> n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait figer l'ordi .
-> Il se peut que le PC redémarre de lui même ( pour finaliser le nettoyage ) , laisse le faire .
-> Si l'outil t'anonce ceci : "combofix a détecté la présence de rootkit et a besoin de faire redémarer votre machine", tu acceptes ...
-> si un message d'erreur windows apparait à un momment  : clique sur la croix rouge en haut à droite de la fenêtre pour la fermer ( et pas sur autre chose ! sinon pas de rapport ... ) 

Le rapport sera crée ici : C:\Combofix.txt 

Réactive bien tes défenses .

 
Poste le rapport Combofix pour analyse et attends la suite ...

jpp · Answer

J'ai pu realiser 1, 2 3 et 4 sans problème.
Je me suis reconnecté après 3 et puis après le reboot (message système d'ailleurs sur le fichier beep.sys ) après 4 c'est revenu :-(  
Pas de reboot intempestif pour l'instant.
Dois je refaire toute les manips pendant que j'ai encore la main ?

Merci.

resultat : 
Fix Navipromo version 4.0.1 commencé le 16/08/2009 18:45:45,56

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!

Outil exécuté depuis C:\Program Files
avilog1

Mise à jour le 18.07.2009 à 11h00 par IL-MAFIOSO

Microsoft Windows XP Édition familiale ( v5.1.2600 ) Service Pack 3
X86-based PC ( Multiprocessor Free :               Intel(R) Pentium(R) 4 CPU 2.80GHz )
BIOS : Phoenix ROM BIOS PLUS Version 1.10 A01
USER : jp ( Administrator )
BOOT : Normal boot

Antivirus : AntiVir PersonalEdition Classic Virus Protection 0.0.0.0 (Activated)


A:\ (USB)
C:\ (Local Disk) - NTFS - Total:74 Go (Free:27 Go)
D:\ (CD or DVD)
E:\ (CD or DVD)


Recherche executée en mode normal 


[b]Aucune Infection Navipromo/Egdaccess trouvé/b



*** Scan terminé 16/08/2009 18:53:36,76 ***

combofix :
http://www.cijoint.fr/cjlink.php?file=cj200908/cijYeLVFL8.txt

sKe69 · Answer

re,


tout est revenu ! ....


ne touche à rien ... arrète tout scan en cour ! 


je te prépare la suite .... à dans quelques minutes ...

sKe69 · Answer

Question : tu as ton CD original de Windows ? 



la suite :


1-Créer un doc texte sur ton bureau : 
pointe ta souris sur ton bureau , clique droit : va dans "nouveau" et choisis "document texte" . 

* Rends toi sur cette page > https://www.cjoint.com/?iquuwMiJfQ

* copie/colle tout le texte qui s'y trouve ( et rien d'autre!) dans le fichier texte que tu viens de créer : 

* Pour sauvegarder, va dans "fichier" et choisis "enregistrer sous ..." et tu le nommes exactement ainsi : 
CFScript puis valide ... ( sauvegarde le bien sur le bureau )
 

2-Nettoyage :

!! Déconnecte toi, ferme toutes tes applications et désactive TOUTES TES DEFENSES ( tu les réactiveras après )  !! 

--->Sur ton bureau, fais glisser avec ta souris le fichier CFScript sur l'icône de ComboFix.exe . 

(Regarde ici : http://img.photobucket.com/albums/v666/sUBs/CFScript.gif )

Cette manipulation va relancer combofix .
--> Une fenêtre bleue va apparaître: au message qui apparaît "Type 1 to continue, or 2 to abort" : tape 1 puis valide. 

Puis patiente le temps du scan.( Le Bureau va disparaître à plusieurs reprises : c'est normal!) 

!! Ne touches à rien tant que le scan n'est pas terminé !! 

Note : en fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire. 


Une fois le scan achevé, un rapport va s'afficher : poste le accompagné d' un nouveau pour analyse et attends la suite ...


( Attention : cette manipe a été fait pour ce PC . Toute réutilisation peut endommager sévèrement le système d'exploitation )

jpp · Answer

oui j'ai le CD d'install

Combofix ne se lance pas !!
Même en mode sans echec.

jpp · Answer

OK je viens de refaire la manip.

mais malheureusement, comme toute à l'heure après l'execution de combofix, c'est revenu...

resultat : 
http://www.cijoint.fr/cjlink.php?file=cj200908/cijFCcR2qb.txt

sKe69 · Answer

re,


on va proccèder autrement ....


mais une vérif avant tout :


1- Avoir accès aux fichiers cachés :
 
Va dans Menu Démarrer->Poste de travail->Outils->Options des dossiers...->Affichage 
* "Afficher les fichiers et dossiers cachés" ---> coché 
* "Masquer les extensions des fichiers dont le type est connu" ---> décoché 
* "masquer les fichiers du système" ---> décoché
-> valide la modif ( "appliquer" puis "ok" ).
( tu remetteras les paramètres de départ une fois la désinfection terminée , pas avant ... ) 



2- Rends toi sur ce site : 

https://www.virustotal.com/gui/ 

Copies ce qui suit et colles le dans l'espace pour la recherche ( ou clique sur "parcourir" et va jusqu'au fichier demandé )  : 
c:\windows\system32\drivers\beep.sys

Clique sur Send File ( = " Envoyer le fichier " ). 

Un rapport va s'élaborer ligne à ligne. 

Attends bien la fin ... Il doit comprendre la taille du fichier envoyé. 

Sauvegarde le rapport avec le bloc-note. 

Copie le dans ta prochaine réponse ... 

( Si VirusTotal indique que le fichier a déjà été analysé, clique sur le bouton Ré-analyse le fichier maintenant )

petit tuto > https://www.commentcamarche.net/faq/8633-legitimite-d-un-fichier-ou-processus-douteux#les-bonnes-adresses


Fais de même pour :

c:\windows\system32\dllcache\beep.sys


Poste moi donc ces 2 rapports ( surtout le début avec le listing des AV , et en précisant bien au début de chacuns à quel fichier ils correspondent ) et attends la suite ...

jpp · Answer

resultat pour c:\windows\system32\drivers\beep.sys Fichier beep.sys reçu le 2009.08.16 20:40:17 (UTC) Antivirus Version Dernière mise à jour Résultat a-squared 4.5.0.24 2009.08.16 Backdoor.Win32.UltimateDefender!IK AhnLab-V3 5.0.0.2 2009.08.15 Win-Trojan/AVKiller.29184.D AntiVir 7.9.1.1 2009.08.14 TR/Rootkit.Gen Antiy-AVL 2.0.3.7 2009.08.14 Backdoor/Win32.UltimateDefender Authentium 5.1.2.4 2009.08.16 W32/SYStroj.H.gen!Eldorado Avast 4.8.1335.0 2009.08.15 Win32:FakeAV-NO AVG 8.5.0.406 2009.08.16 BackDoor.Generic11.AIVI BitDefender 7.2 2009.08.16 Generic.Malware.P!.80497AAE CAT-QuickHeal 10.00 2009.08.16 Backdoor.UltimateDefender.xm ClamAV 0.94.1 2009.08.16 - Comodo 1993 2009.08.16 Backdoor.Win32.UltimateDefender.xm DrWeb 5.0.0.12182 2009.08.16 Trojan.NtRootKit.3206 eSafe 7.0.17.0 2009.08.16 - eTrust-Vet 31.6.6678 2009.08.14 Win32/Eldycow!generic F-Prot 4.4.4.56 2009.08.16 W32/SYStroj.H.gen!Eldorado F-Secure 8.0.14470.0 2009.08.16 Rootkit:W32/Xanti.gen!A Fortinet 3.120.0.0 2009.08.16 W32/FakeAlert.XM!tr.bdr GData 19 2009.08.16 Generic.Malware.P!.80497AAE Ikarus T3.1.1.64.0 2009.08.16 Backdoor.Win32.UltimateDefender Jiangmin 11.0.800 2009.08.16 Rootkit.Agent.cll K7AntiVirus 7.10.819 2009.08.14 - Kaspersky 7.0.0.125 2009.08.16 Backdoor.Win32.UltimateDefender.xm McAfee 5711 2009.08.16 FakeAlert-C.dr McAfee+Artemis 5711 2009.08.16 FakeAlert-C.dr McAfee-GW-Edition 6.8.5 2009.08.16 Heuristic.BehavesLike.Win32.Rootkit.B Microsoft 1.4903 2009.08.16 VirTool:WinNT/Xantvi.gen!A NOD32 4340 2009.08.16 a variant of Win32/UltimateDefender.A Norman 6.01.09 2009.08.14 W32/UltimateDefender.E nProtect 2009.1.8.0 2009.08.16 Backdoor/W32.UltimateDefender.29184 Panda 10.0.0.14 2009.08.16 Adware/UltimateDefender PCTools 4.4.2.0 2009.08.16 - Prevx 3.0 2009.08.16 - Rising 21.42.62.00 2009.08.16 Trojan.DL.Win32.Braviax.ae Sophos 4.44.0 2009.08.16 Mal/FakeAle-C Sunbelt 3.2.1858.2 2009.08.16 Trojan.Win32.Generic!BT Symantec 1.4.4.12 2009.08.16 Hacktool.Rootkit TheHacker 6.3.4.3.383 2009.08.13 - TrendMicro 8.950.0.1094 2009.08.14 TROJ_VIRANTIX.BF VBA32 3.12.10.9 2009.08.16 Backdoor.Win32.UltimateDefender.igk ViRobot 2009.8.14.1885 2009.08.14 - VirusBuster 4.6.5.0 2009.08.16 - Information additionnelle File size: 29184 bytes MD5...: c4000a48f953d36167a7df84f98a2634 SHA1..: 51d31bbe993ca550ba40f4a756ce0fe8c08930ad SHA256: ff0260a3b944b3b97c7eff5c153b66cfe0445f747946dd63d5a64bf4f4d57372 ssdeep: 384:oQC3w/4aSYQEUWUmppBPtM5cuBSy42AJqcSr7n1Rn8Ucs/QjfamGePodlDC1
kX5o:3Sw1SeByhKzw1RbDGfaHtC1k
PEiD..: - TrID..: File type identification
Win32 Executable Generic (68.0%)
Generic Win/DOS Executable (15.9%)
DOS Executable Generic (15.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%) PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1f52
timedatestamp.....: 0x4a842462 (Thu Aug 13 14:34:10 2009)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x1839 0x1a00 5.58 f4bd2fd136b6a52f63e1303ac3e66e42
.data 0x3000 0x47b8 0x4800 7.82 f0a5e99a5782d52d444a97ab5db75e38
INIT 0x8000 0x4b4 0x600 4.51 c8136faed724ee1b165396291f2ce94c
.rsrc 0x9000 0xb0 0x200 4.10 9354afdd3424b559a0b57a6c2eec82b4
.reloc 0xa000 0x310 0x400 4.52 0ee88ee5e3c26109f0dded63f8641ef8

( 2 imports )
> ntoskrnl.exe: IoReleaseCancelSpinLock, KeRemoveDeviceQueue, IoAcquireCancelSpinLock, IoStartPacket, IoDeleteDevice, KeSetTimer, MmMapLockedPages, MmBuildMdlForNonPagedPool, MmCreateMdl, KeServiceDescriptorTable, MmPageEntireDriver, KeInitializeEvent, KeInitializeTimer, KeInitializeDpc, PsSetLoadImageNotifyRoutine, ZwQuerySystemInformation, IoCreateDevice, IoStartNextPacket, ExFreePoolWithTag, ZwClose, ZwWriteFile, ExAllocatePoolWithTag, ZwCreateFile, ExAcquireResourceExclusiveLite, RtlInitUnicodeString, ZwSetValueKey, ZwCreateKey, ZwDeleteValueKey, tolower, RtlFreeAnsiString, ZwTerminateProcess, ZwOpenProcess, RtlInitAnsiString, RtlUnicodeStringToAnsiString, KeRemoveEntryDeviceQueue, KeCancelTimer, MmUnlockPagableImageSection, MmLockPagableDataSection, ExReleaseResourceLite, IofCompleteRequest
> HAL.dll: KfLowerIrql, ExAcquireFastMutex, ExReleaseFastMutex, HalMakeBeep, KfRaiseIrql

( 0 exports )
PDFiD.: - RDS...: NSRL Reference Data Set
- Antivirus Version Dernière mise à jour Résultat a-squared 4.5.0.24 2009.08.16 Backdoor.Win32.UltimateDefender!IK AhnLab-V3 5.0.0.2 2009.08.15 Win-Trojan/AVKiller.29184.D AntiVir 7.9.1.1 2009.08.14 TR/Rootkit.Gen Antiy-AVL 2.0.3.7 2009.08.14 Backdoor/Win32.UltimateDefender Authentium 5.1.2.4 2009.08.16 W32/SYStroj.H.gen!Eldorado Avast 4.8.1335.0 2009.08.15 Win32:FakeAV-NO AVG 8.5.0.406 2009.08.16 BackDoor.Generic11.AIVI BitDefender 7.2 2009.08.16 Generic.Malware.P!.80497AAE CAT-QuickHeal 10.00 2009.08.16 Backdoor.UltimateDefender.xm Comodo 1993 2009.08.16 Backdoor.Win32.UltimateDefender.xm DrWeb 5.0.0.12182 2009.08.16 Trojan.NtRootKit.3206 eTrust-Vet 31.6.6678 2009.08.14 Win32/Eldycow!generic F-Prot 4.4.4.56 2009.08.16 W32/SYStroj.H.gen!Eldorado F-Secure 8.0.14470.0 2009.08.16 Rootkit:W32/Xanti.gen!A Fortinet 3.120.0.0 2009.08.16 W32/FakeAlert.XM!tr.bdr GData 19 2009.08.16 Generic.Malware.P!.80497AAE Ikarus T3.1.1.64.0 2009.08.16 Backdoor.Win32.UltimateDefender Jiangmin 11.0.800 2009.08.16 Rootkit.Agent.cll Kaspersky 7.0.0.125 2009.08.16 Backdoor.Win32.UltimateDefender.xm McAfee 5711 2009.08.16 FakeAlert-C.dr McAfee+Artemis 5711 2009.08.16 FakeAlert-C.dr McAfee-GW-Edition 6.8.5 2009.08.16 Heuristic.BehavesLike.Win32.Rootkit.B Microsoft 1.4903 2009.08.16 VirTool:WinNT/Xantvi.gen!A NOD32 4340 2009.08.16 a variant of Win32/UltimateDefender.A Norman 6.01.09 2009.08.14 W32/UltimateDefender.E nProtect 2009.1.8.0 2009.08.16 Backdoor/W32.UltimateDefender.29184 Panda 10.0.0.14 2009.08.16 Adware/UltimateDefender Rising 21.42.62.00 2009.08.16 Trojan.DL.Win32.Braviax.ae Sophos 4.44.0 2009.08.16 Mal/FakeAle-C Sunbelt 3.2.1858.2 2009.08.16 Trojan.Win32.Generic!BT Symantec 1.4.4.12 2009.08.16 Hacktool.Rootkit TrendMicro 8.950.0.1094 2009.08.14 TROJ_VIRANTIX.BF VBA32 3.12.10.9 2009.08.16 Backdoor.Win32.UltimateDefender.igk Information additionnelle File size: 29184 bytes MD5...: c4000a48f953d36167a7df84f98a2634 SHA1..: 51d31bbe993ca550ba40f4a756ce0fe8c08930ad SHA256: ff0260a3b944b3b97c7eff5c153b66cfe0445f747946dd63d5a64bf4f4d57372 ssdeep: 384:oQC3w/4aSYQEUWUmppBPtM5cuBSy42AJqcSr7n1Rn8Ucs/QjfamGePodlDC1
kX5o:3Sw1SeByhKzw1RbDGfaHtC1k
PEiD..: - TrID..: File type identification
Win32 Executable Generic (68.0%)
Generic Win/DOS Executable (15.9%)
DOS Executable Generic (15.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%) PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1f52
timedatestamp.....: 0x4a842462 (Thu Aug 13 14:34:10 2009)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x1839 0x1a00 5.58 f4bd2fd136b6a52f63e1303ac3e66e42
.data 0x3000 0x47b8 0x4800 7.82 f0a5e99a5782d52d444a97ab5db75e38
INIT 0x8000 0x4b4 0x600 4.51 c8136faed724ee1b165396291f2ce94c
.rsrc 0x9000 0xb0 0x200 4.10 9354afdd3424b559a0b57a6c2eec82b4
.reloc 0xa000 0x310 0x400 4.52 0ee88ee5e3c26109f0dded63f8641ef8

( 2 imports )
> ntoskrnl.exe: IoReleaseCancelSpinLock, KeRemoveDeviceQueue, IoAcquireCancelSpinLock, IoStartPacket, IoDeleteDevice, KeSetTimer, MmMapLockedPages, MmBuildMdlForNonPagedPool, MmCreateMdl, KeServiceDescriptorTable, MmPageEntireDriver, KeInitializeEvent, KeInitializeTimer, KeInitializeDpc, PsSetLoadImageNotifyRoutine, ZwQuerySystemInformation, IoCreateDevice, IoStartNextPacket, ExFreePoolWithTag, ZwClose, ZwWriteFile, ExAllocatePoolWithTag, ZwCreateFile, ExAcquireResourceExclusiveLite, RtlInitUnicodeString, ZwSetValueKey, ZwCreateKey, ZwDeleteValueKey, tolower, RtlFreeAnsiString, ZwTerminateProcess, ZwOpenProcess, RtlInitAnsiString, RtlUnicodeStringToAnsiString, KeRemoveEntryDeviceQueue, KeCancelTimer, MmUnlockPagableImageSection, MmLockPagableDataSection, ExReleaseResourceLite, IofCompleteRequest
> HAL.dll: KfLowerIrql, ExAcquireFastMutex, ExReleaseFastMutex, HalMakeBeep, KfRaiseIrql

( 0 exports )
PDFiD.: - RDS...: NSRL Reference Data Set
- resultat pour c:\windows\system32\dllcache\beep.sys Fichier beep.sys reçu le 2009.08.16 20:49:31 (UTC) Antivirus Version Dernière mise à jour Résultat a-squared 4.5.0.24 2009.08.16 Backdoor.Win32.UltimateDefender!IK AhnLab-V3 5.0.0.2 2009.08.15 Win-Trojan/AVKiller.29184.D AntiVir 7.9.1.1 2009.08.14 TR/Rootkit.Gen Antiy-AVL 2.0.3.7 2009.08.14 Backdoor/Win32.UltimateDefender Authentium 5.1.2.4 2009.08.16 W32/SYStroj.H.gen!Eldorado Avast 4.8.1335.0 2009.08.15 Win32:FakeAV-NO AVG 8.5.0.406 2009.08.16 BackDoor.Generic11.AIVI BitDefender 7.2 2009.08.16 Generic.Malware.P!.80497AAE CAT-QuickHeal 10.00 2009.08.16 Backdoor.UltimateDefender.xm ClamAV 0.94.1 2009.08.16 - Comodo 1993 2009.08.16 Backdoor.Win32.UltimateDefender.xm DrWeb 5.0.0.12182 2009.08.16 Trojan.NtRootKit.3206 eSafe 7.0.17.0 2009.08.16 - eTrust-Vet 31.6.6678 2009.08.14 Win32/Eldycow!generic F-Prot 4.4.4.56 2009.08.16 W32/SYStroj.H.gen!Eldorado F-Secure 8.0.14470.0 2009.08.16 Rootkit:W32/Xanti.gen!A Fortinet 3.120.0.0 2009.08.16 W32/FakeAlert.XM!tr.bdr GData 19 2009.08.16 Generic.Malware.P!.80497AAE Ikarus T3.1.1.64.0 2009.08.16 Backdoor.Win32.UltimateDefender Jiangmin 11.0.800 2009.08.16 Rootkit.Agent.cll K7AntiVirus 7.10.819 2009.08.14 - Kaspersky 7.0.0.125 2009.08.16 Backdoor.Win32.UltimateDefender.xm McAfee 5711 2009.08.16 FakeAlert-C.dr McAfee+Artemis 5711 2009.08.16 FakeAlert-C.dr McAfee-GW-Edition 6.8.5 2009.08.16 Heuristic.BehavesLike.Win32.Rootkit.B Microsoft 1.4903 2009.08.16 VirTool:WinNT/Xantvi.gen!A NOD32 4340 2009.08.16 a variant of Win32/UltimateDefender.A Norman 6.01.09 2009.08.14 W32/UltimateDefender.E nProtect 2009.1.8.0 2009.08.16 Backdoor/W32.UltimateDefender.29184 Panda 10.0.0.14 2009.08.16 Adware/UltimateDefender PCTools 4.4.2.0 2009.08.16 - Prevx 3.0 2009.08.16 - Rising 21.42.62.00 2009.08.16 Trojan.DL.Win32.Braviax.ae Sophos 4.44.0 2009.08.16 Mal/FakeAle-C Sunbelt 3.2.1858.2 2009.08.16 Trojan.Win32.Generic!BT Symantec 1.4.4.12 2009.08.16 Hacktool.Rootkit TheHacker 6.3.4.3.383 2009.08.13 - TrendMicro 8.950.0.1094 2009.08.14 TROJ_VIRANTIX.BF VBA32 3.12.10.9 2009.08.16 Backdoor.Win32.UltimateDefender.igk ViRobot 2009.8.14.1885 2009.08.14 - VirusBuster 4.6.5.0 2009.08.16 - Information additionnelle File size: 29184 bytes MD5...: c4000a48f953d36167a7df84f98a2634 SHA1..: 51d31bbe993ca550ba40f4a756ce0fe8c08930ad SHA256: ff0260a3b944b3b97c7eff5c153b66cfe0445f747946dd63d5a64bf4f4d57372 ssdeep: 384:oQC3w/4aSYQEUWUmppBPtM5cuBSy42AJqcSr7n1Rn8Ucs/QjfamGePodlDC1
kX5o:3Sw1SeByhKzw1RbDGfaHtC1k
PEiD..: - TrID..: File type identification
Win32 Executable Generic (68.0%)
Generic Win/DOS Executable (15.9%)
DOS Executable Generic (15.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%) PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1f52
timedatestamp.....: 0x4a842462 (Thu Aug 13 14:34:10 2009)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x1839 0x1a00 5.58 f4bd2fd136b6a52f63e1303ac3e66e42
.data 0x3000 0x47b8 0x4800 7.82 f0a5e99a5782d52d444a97ab5db75e38
INIT 0x8000 0x4b4 0x600 4.51 c8136faed724ee1b165396291f2ce94c
.rsrc 0x9000 0xb0 0x200 4.10 9354afdd3424b559a0b57a6c2eec82b4
.reloc 0xa000 0x310 0x400 4.52 0ee88ee5e3c26109f0dded63f8641ef8

( 2 imports )
> ntoskrnl.exe: IoReleaseCancelSpinLock, KeRemoveDeviceQueue, IoAcquireCancelSpinLock, IoStartPacket, IoDeleteDevice, KeSetTimer, MmMapLockedPages, MmBuildMdlForNonPagedPool, MmCreateMdl, KeServiceDescriptorTable, MmPageEntireDriver, KeInitializeEvent, KeInitializeTimer, KeInitializeDpc, PsSetLoadImageNotifyRoutine, ZwQuerySystemInformation, IoCreateDevice, IoStartNextPacket, ExFreePoolWithTag, ZwClose, ZwWriteFile, ExAllocatePoolWithTag, ZwCreateFile, ExAcquireResourceExclusiveLite, RtlInitUnicodeString, ZwSetValueKey, ZwCreateKey, ZwDeleteValueKey, tolower, RtlFreeAnsiString, ZwTerminateProcess, ZwOpenProcess, RtlInitAnsiString, RtlUnicodeStringToAnsiString, KeRemoveEntryDeviceQueue, KeCancelTimer, MmUnlockPagableImageSection, MmLockPagableDataSection, ExReleaseResourceLite, IofCompleteRequest
> HAL.dll: KfLowerIrql, ExAcquireFastMutex, ExReleaseFastMutex, HalMakeBeep, KfRaiseIrql

( 0 exports )
PDFiD.: - RDS...: NSRL Reference Data Set
- Antivirus Version Dernière mise à jour Résultat a-squared 4.5.0.24 2009.08.16 Backdoor.Win32.UltimateDefender!IK AhnLab-V3 5.0.0.2 2009.08.15 Win-Trojan/AVKiller.29184.D AntiVir 7.9.1.1 2009.08.14 TR/Rootkit.Gen Antiy-AVL 2.0.3.7 2009.08.14 Backdoor/Win32.UltimateDefender Authentium 5.1.2.4 2009.08.16 W32/SYStroj.H.gen!Eldorado Avast 4.8.1335.0 2009.08.15 Win32:FakeAV-NO AVG 8.5.0.406 2009.08.16 BackDoor.Generic11.AIVI BitDefender 7.2 2009.08.16 Generic.Malware.P!.80497AAE CAT-QuickHeal 10.00 2009.08.16 Backdoor.UltimateDefender.xm ClamAV 0.94.1 2009.08.16 - Comodo 1993 2009.08.16 Backdoor.Win32.UltimateDefender.xm DrWeb 5.0.0.12182 2009.08.16 Trojan.NtRootKit.3206 eSafe 7.0.17.0 2009.08.16 - eTrust-Vet 31.6.6678 2009.08.14 Win32/Eldycow!generic F-Prot 4.4.4.56 2009.08.16 W32/SYStroj.H.gen!Eldorado F-Secure 8.0.14470.0 2009.08.16 Rootkit:W32/Xanti.gen!A Fortinet 3.120.0.0 2009.08.16 W32/FakeAlert.XM!tr.bdr GData 19 2009.08.16 Generic.Malware.P!.80497AAE Ikarus T3.1.1.64.0 2009.08.16 Backdoor.Win32.UltimateDefender Jiangmin 11.0.800 2009.08.16 Rootkit.Agent.cll K7AntiVirus 7.10.819 2009.08.14 - Kaspersky 7.0.0.125 2009.08.16 Backdoor.Win32.UltimateDefender.xm McAfee 5711 2009.08.16 FakeAlert-C.dr McAfee+Artemis 5711 2009.08.16 FakeAlert-C.dr McAfee-GW-Edition 6.8.5 2009.08.16 Heuristic.BehavesLike.Win32.Rootkit.B Microsoft 1.4903 2009.08.16 VirTool:WinNT/Xantvi.gen!A NOD32 4340 2009.08.16 a variant of Win32/UltimateDefender.A Norman 6.01.09 2009.08.14 W32/UltimateDefender.E nProtect 2009.1.8.0 2009.08.16 Backdoor/W32.UltimateDefender.29184 Panda 10.0.0.14 2009.08.16 Adware/UltimateDefender PCTools 4.4.2.0 2009.08.16 - Prevx 3.0 2009.08.16 - Rising 21.42.62.00 2009.08.16 Trojan.DL.Win32.Braviax.ae Sophos 4.44.0 2009.08.16 Mal/FakeAle-C Sunbelt 3.2.1858.2 2009.08.16 Trojan.Win32.Generic!BT Symantec 1.4.4.12 2009.08.16 Hacktool.Rootkit TheHacker 6.3.4.3.383 2009.08.13 - TrendMicro 8.950.0.1094 2009.08.14 TROJ_VIRANTIX.BF VBA32 3.12.10.9 2009.08.16 Backdoor.Win32.UltimateDefender.igk ViRobot 2009.8.14.1885 2009.08.14 - VirusBuster 4.6.5.0 2009.08.16 - Information additionnelle File size: 29184 bytes MD5...: c4000a48f953d36167a7df84f98a2634 SHA1..: 51d31bbe993ca550ba40f4a756ce0fe8c08930ad SHA256: ff0260a3b944b3b97c7eff5c153b66cfe0445f747946dd63d5a64bf4f4d57372 ssdeep: 384:oQC3w/4aSYQEUWUmppBPtM5cuBSy42AJqcSr7n1Rn8Ucs/QjfamGePodlDC1
kX5o:3Sw1SeByhKzw1RbDGfaHtC1k
PEiD..: - TrID..: File type identification
Win32 Executable Generic (68.0%)
Generic Win/DOS Executable (15.9%)
DOS Executable Generic (15.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%) PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1f52
timedatestamp.....: 0x4a842462 (Thu Aug 13 14:34:10 2009)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x1839 0x1a00 5.58 f4bd2fd136b6a52f63e1303ac3e66e42
.data 0x3000 0x47b8 0x4800 7.82 f0a5e99a5782d52d444a97ab5db75e38
INIT 0x8000 0x4b4 0x600 4.51 c8136faed724ee1b165396291f2ce94c
.rsrc 0x9000 0xb0 0x200 4.10 9354afdd3424b559a0b57a6c2eec82b4
.reloc 0xa000 0x310 0x400 4.52 0ee88ee5e3c26109f0dded63f8641ef8

( 2 imports )
> ntoskrnl.exe: IoReleaseCancelSpinLock, KeRemoveDeviceQueue, IoAcquireCancelSpinLock, IoStartPacket, IoDeleteDevice, KeSetTimer, MmMapLockedPages, MmBuildMdlForNonPagedPool, MmCreateMdl, KeServiceDescriptorTable, MmPageEntireDriver, KeInitializeEvent, KeInitializeTimer, KeInitializeDpc, PsSetLoadImageNotifyRoutine, ZwQuerySystemInformation, IoCreateDevice, IoStartNextPacket, ExFreePoolWithTag, ZwClose, ZwWriteFile, ExAllocatePoolWithTag, ZwCreateFile, ExAcquireResourceExclusiveLite, RtlInitUnicodeString, ZwSetValueKey, ZwCreateKey, ZwDeleteValueKey, tolower, RtlFreeAnsiString, ZwTerminateProcess, ZwOpenProcess, RtlInitAnsiString, RtlUnicodeStringToAnsiString, KeRemoveEntryDeviceQueue, KeCancelTimer, MmUnlockPagableImageSection, MmLockPagableDataSection, ExReleaseResourceLite, IofCompleteRequest
> HAL.dll: KfLowerIrql, ExAcquireFastMutex, ExReleaseFastMutex, HalMakeBeep, KfRaiseIrql

( 0 exports )
PDFiD.: - RDS...: NSRL Reference Data Set
-

sKe69 · Answer

Arf ... 

les deux sont daubés ...

va falloire les shooter aussi ...tent mieux si tu as le CD de Windwos car derrière , il va falloir faire une réparation ...



fait ceci :


1- Télécharge OTM (de Old_Timer) sur ton Bureau.

! renomme le au téléchargement en OTMske comme tu as fait pour Combo ... !

http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/
 
* Double clique sur "OTM.exe" pour ouvrir le prg . 

* Ensuite rends toi sur cette page > https://www.cjoint.com/?iqxHx8go3U

* Puis copie tout le texte qui s' y trouve et colle le dans le cadre de gauche de OTM : 
Paste Instructions for items to be moved.
(ne touche à rien d'autre !) 

! Déconnecte toi et ferme toutes tes applications en cours ( navigateur compris ) !
 
-> clique sur MoveIt! pour lancer la suppression.
-> laisse travailler l'outil ... 

-> une fois finis , un petite fenêtre s'ouvre : clique sur " Yes " .

Ton PC va redémarrer de lui même pour finir la suppression ...

Lors du redémarrage , si on te demande d'autoriser l'exécution d' OTM , accepte ( pour que l'outil finisse son boulot ... ).

-->Poste le contenu du rapport qui se trouve dans le dossier "C:\_OTM\MovedFiles"  
( " xxxx2009_xxxxxx.log "  où les "x" correspondent au jour et à l'heure de l'utilisation  ).


=============================


2- Refais un scan ZHPDiag, coche bien toutes les options ( sauf la 045 et 061 ), poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...

jpp · Answer

J'ai lance la manip mais je crois que c'est bloque, j'ai lance OTM il y a plus de dix minutes et rien ne se passe , j'ai l'image en fond d'ecran.

Que dois je faire ?

Merci

sKe69 · Answer

re, 

redémarre le PC manuellement pour voir ...

jpp · Answer

C'est ce que j'ai fait, RAS  c'est pareil (j'ai recommencé une fois)
Ca revient comme avant et les fichiers sont toujours là...

sKe69 · Answer

bon ...


il est tard on continuera demain ...


donc pour demain :

Refais un scan ZHPDiag, coche bien toutes les options ( sauf la 045 et 061 ), poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...

jpp · Answer

Bonjour,

voici le lien du resultat :

	https://www.cjoint.com/?irhQ6cJyUb

sKe69 · Answer

bien ....


IMPORTANT !:

Désactive ta restauration :
Clique droit sur poste de travail/propriétés/Restauration système/coche la case désactiver la restauration, appliquer, OK 


Une fois ceci fait ( et pas avant ! ) , tu enchaines :

========================


1-Créer un doc texte sur ton bureau : 
pointe ta souris sur ton bureau , clique droit : va dans "nouveau" et choisis "document texte" . 

* Rends toi sur cette page > https://www.cjoint.com/?iriUdpOMUS

* copie/colle tout le texte qui s'y trouve ( et rien d'autre!) dans le fichier texte que tu viens de créer : 

* Pour sauvegarder, va dans "fichier" et choisis "enregistrer sous ..." et tu le nommes exactement ainsi : 
CFScript puis valide ... ( sauvegarde le bien sur le bureau )
 

2-Nettoyage :

!! Déconnecte toi, ferme toutes tes applications et désactive TOUTES TES DEFENSES ( tu les réactiveras après )  !! 

--->Sur ton bureau, fais glisser avec ta souris le fichier CFScript sur l'icône de ComboFix.exe . 

(Regarde ici : http://img.photobucket.com/albums/v666/sUBs/CFScript.gif )

Cette manipulation va relancer combofix .
--> Une fenêtre bleue va apparaître: au message qui apparaît "Type 1 to continue, or 2 to abort" : tape 1 puis valide. 

Puis patiente le temps du scan.( Le Bureau va disparaître à plusieurs reprises : c'est normal!) 

!! Ne touches à rien tant que le scan n'est pas terminé !! 

Note : en fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire. 


Une fois le scan achevé, un rapport va s'afficher : poste le accompagné pour analyse ...


( Attention : cette manipe a été fait pour ce PC . Toute réutilisation peut endommager sévèrement le système d'exploitation )

jpp · Answer

OK manip effectuée.

Ci-joint resultat (j'ai encore du renommer combofix), après le reboot pas de croix rouge...
Ca a l'air de marcher pour l'instant.

https://www.cjoint.com/?irmy2s6i2B

sKe69 · Answer

Salut,

il y a du mieux , mais cette salté est encore bien là ... si tu reboot le PC , tout reviendra ...


je croit savoir d'où provient la chose ... un autre fichier systeme est patché ...


analyses les fichiers suivant sur VirusTotal stp :


c:\windows\system32\drivers\beep.sys
c:\windows\SYSTEM32\DLLCACHE
tfs.sys
c:\windows\SYSTEM32\DRIVERS
tfs.sys
c:\windows\SYSTEM32\9670711FF4.sys
c:\windows\system32	ude.inf 
c:\windows\system32\ketuja.ban 
c:\windows\system32\asaso.scr 
c:\windows\system32\kula.vbs 


Poste moi les 8 rapports obtenus et attends la suite ....

jpp · Answer

Les voilà sous le lien suivant.

https://www.cjoint.com/?irnLppt0Ei

Bonne analyse.

sKe69 · Answer

oki ....


voilà comment on va procéder dans un premier temps ...


dans l'ordre :


1- 1-Créer un doc texte sur ton bureau : 
pointe ta souris sur ton bureau , clique droit : va dans "nouveau" et choisis "document texte" . 

* Rends toi sur cette page > https://www.cjoint.com/?irn5PbTEbu

* copie/colle tout le texte qui s'y trouve ( et rien d'autre!) dans le fichier texte que tu viens de créer : 

* Pour sauvegarder, va dans "fichier" et choisis "enregistrer sous ..." et tu le nommes exactement ainsi : 
CFScript puis valide ... ( sauvegarde le bien sur le bureau )


==========================

2- fait la manipe avec l'outil WinFileReplace qui est parfaitement décrite ici :
> https://forum.malekal.com/viewtopic.php?t=19657&start=

tu copieras donc ceci dans le bloc-note pour la restauration :


c:\windows\system32\drivers\beep.sys 
c:\windows\system32\dllcache\beep.sys 
c:\windows\system32\drivers
tfs.sys 
c:\windows\system32\dllcache
tfs.sys 


Déconnecte toi bien après cette manipe ! 


> une fois ceci fait , dis moi comment cela c'est passé et attends mon feu vert avant de faire la suite .... 


========================

3-Nettoyage :

!! Déconnecte toi, ferme toutes tes applications et désactive TOUTES TES DEFENSES ( tu les réactiveras après )  !! 

--->Sur ton bureau, fais glisser avec ta souris le fichier CFScript sur l'icône de ComboFix.exe . 

(Regarde ici : http://img.photobucket.com/albums/v666/sUBs/CFScript.gif )

Cette manipulation va relancer combofix .
--> Une fenêtre bleue va apparaître: au message qui apparaît "Type 1 to continue, or 2 to abort" : tape 1 puis valide. 

Puis patiente le temps du scan.( Le Bureau va disparaître à plusieurs reprises : c'est normal!) 

!! Ne touches à rien tant que le scan n'est pas terminé !! 

Note : en fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire. 


Une fois le scan achevé, un rapport va s'afficher : poste le accompagné pour analyse ...


( Attention : cette manipe a été fait pour ce PC . Toute réutilisation peut endommager sévèrement le système d'exploitation )

jpp · Answer

opération 1 et 2 effectuée, par contre résultat bizarre en ce qui concerne 2 :

décompression des fichiers
beep.sys introuvable dans ce service pack
beep.sys id
ntfs.sys id
ntfs.sys id.
le remplacement peut commencer
êtes vous sur? O/N (répondu oui)
Aucuan fichier n'a été trouvé à l'emplacement prévu
appuyer sur une touche pour quitter.



comme convenu, j'attends tes instructions.

sKe69 · Answer

re,


bon ... 

rends toi ici sur ton PC > c:\windows\ServicePackFiles\i386
tfs.sys

et dis moi si il y a bien le fichier ntfs.sys présent ...

Utilisateur anonyme · Answer

Hello ,

Jolie nouvelle variante ... -(

Si je peux rendre servive ..

Bonne suite .

plopus · Answer

salut

pour suivre

@+

Utilisateur anonyme · Answer

Comme tu dis , 

Belle saloperie .

Bon courage à tous les 2 .

sKe69 · Answer

hello plopus ,



jpp, 

la suite ici > https://forums.commentcamarche.net/forum/affich-13889717-pb-virus-braviax-exe?page=2#40

jpp · Answer

Oui le fichier ntfs.sys est bien présent dans le repertoire indiqué.

sKe69 · Answer

bien ...


dans l'ordre :


1- supprime le CFScript.txt que tu as et fait ceci :

Créer un doc texte sur ton bureau : 
pointe ta souris sur ton bureau , clique droit : va dans "nouveau" et choisis "document texte" . 

* Rends toi sur cette page > https://www.cjoint.com/?irttc1AUUJ

* copie/colle tout le texte qui s'y trouve ( et rien d'autre!) dans le fichier texte que tu viens de créer : 

* Pour sauvegarder, va dans "fichier" et choisis "enregistrer sous ..." et tu le nommes exactement ainsi : 
CFScript puis valide ... ( sauvegarde le bien sur le bureau )


 
====================


2- clique droit sur ce fichier c:\windows\ServicePackFiles\i386
tfs.sys  / choisis "copier" .
* ensuite tu cliques droit sur ton bureau / choisis "coller" afin d'avoir ce fichier "ntfs.sys" sain sous le coude .


* Puis supprimes manuellement et successivement ceux qui sont infectés ici :

c:\windows\system32\drivers
tfs.sys 
c:\windows\system32\dllcache
tfs.sys 

( tu cliques droit dessus / "supprimer" )

puis vide ta corbeille ...


dis moi si la suppression c'est bien passé et je te donne la suite en fonction de ....

jpp · Answer

OK c'est bon, fichiers supprimés et poubelle vidée.

sKe69 · Answer

impec ...


Tu te déconnectes bien maintenant !


dans l'ordre :


1- copie successivement le fichier ntfs.sys sain qui est sur ton bureau dans ces deux dossiers :

c:\windows\system32\drivers

et
 
c:\windows\system32\dllcache


=========================

2- on va passer au nettoyage avec Combofix :

!! ferme toutes tes applications et désactive TOUTES TES DEFENSES ( tu les réactiveras après )  !! 

--->Sur ton bureau, fais glisser avec ta souris le fichier CFScript sur l'icône de ComboFix.exe . 

(Regarde ici : http://img.photobucket.com/albums/v666/sUBs/CFScript.gif )

Cette manipulation va relancer combofix .
--> Une fenêtre bleue va apparaître: au message qui apparaît "Type 1 to continue, or 2 to abort" : tape 1 puis valide. 

Puis patiente le temps du scan.( Le Bureau va disparaître à plusieurs reprises : c'est normal!) 

!! Ne touches à rien tant que le scan n'est pas terminé !! 

Note : en fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire. 


Une fois le scan achevé, un rapport va s'afficher : poste le pour analyse et attends la suite ...


( Attention : cette manipe a été fait pour ce PC . Toute réutilisation peut endommager sévèrement le système d'exploitation )

jpp · Answer

C'est fait, voici le lien du ficher resultat

https://www.cjoint.com/?irwHVMu3er

sKe69 · Answer

bingo !


c'est déjà beaucoup mieux ! .... j'espère que l'on tient le bon bout ! ....


réactive tes défenses et reconnecte toi si ce n'est pas déjà fait ....


dans l'ordre :


1- refais un coup de CCleaner ( registre compris ) .


=======================

2- analyse ceci sur ViruTotal :

c:\windows\system32\DVCStateBkp-{00000004-00000000-00000000-00001102-00000004-10031102}.dat
c:\windows\system32\DVCState-{00000004-00000000-00000000-00001102-00000004-10031102}.dat
c:\windows\system32\drivers\OLD6C.tmp

poste moi les trois rapports obtenus ...

========================

3- Utilise Malwarebytes :

mets le à jour ! ( onglet "mise à jour" ) 


! Déconnecte toi et ferme toutes applications en cours ! 

* Lance Malwarebyte's .

Fais un examen dit "RAPIDE" .

--> Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ). 
--> à la fin tu cliques sur "résultat" . 
--> Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date) pour analyse ...


=======================



4- Refais un scan ZHPDiag, coche bien toutes les options ( sauf la 045 et 061 ), poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...

kevin05 · Answer

Hello 

Pour suivre

Mechante la nouvelle variante...

jpp · Answer

Voilà tous les resultats  
pour virus total (il reste des trucs sur le .tmp ?)

	https://www.cjoint.com/?irxQUbSxQB  

pour malwarebytes 

	https://www.cjoint.com/?irxYeSTLkD

pour ZHPDIAG 
https://www.cjoint.com/?irxSX6dHg6

Fonctionnement normal :-) mais je n'ose y croire...

sKe69 · Answer

re,


dans l'ordre :


1- supprime tout ce qui se trouve dans la quarantaine de Malwarebytes .


======================

2- Utilise OTM :

! Déconnecte toi et ferme toutes tes applications en cours !
 
Double clique sur "OTM.exe" pour ouvrir le prg . 
Puis copie ce qui se trouve en citation ci-dessous,
 

:Files
C:\WINDOWS\orukohuzof.dl
C:\WINDOWS\orukohuzof.dll
C:\WINDOWS\System32\drivers\OLD6C.tmp

:Commands
[purity]
[emptytemp]
[Reboot]


et colle le dans le cadre de gauche de OTM : 
Paste Instructions for items to be moved.
(ne touche à rien d'autre !) 
 
-> clique sur MoveIt! pour lancer la suppression.
-> laisse travailler l'outil ... 

-> une fois finis , un petite fenêtre s'ouvre : clique sur " Yes " .

Ton PC va redémarrer de lui même pour finir la suppression ...

Lors du redémarrage , si on te demande d'autoriser l'exécution d' OTM , accepte ( pour que l'outil finisse son boulot ... ).

-->Poste le contenu du rapport qui se trouve dans le dossier "C:\_OTM\MovedFiles"  
( " xxxx2009_xxxxxx.log "  où les "x" correspondent au jour et à l'heure de l'utilisation  ).


=========================

3- Télécharge Ad-remover ( de C_XX ) sur ton bureau : 

http://sd-1.archive-host.com/membres/up/16506160323759868/AD-R.exe

! Déconnecte toi et ferme toutes applications en cours (Navigateur compris) ! 

• Double clique sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut . 

• Double-clique sur le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .

• Au menu principal choisis directement l'option "L" et tape sur [entrée] .

• Le nettoyage débute >  Laisse travailler l'outil et ne touche à rien !... 

/!\ l'outil donne l'impression qu'il a planté et qu'il ne se passe rien , mais ce n'est pas le cas ! ( le scan est très discret et assez long , donc patience ... ) 


--> Poste le rapport qui apparait à la fin dans ta prochaine réponse pour analyse ...

( Le rapport est sauvegardé aussi sous C:\Ad-Report-CLEAN.log) 
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller ) 


Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus :
(AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 


Aides en images (Installation)   : http://pagesperso-orange.fr/NosTools/tuto_ad_r1.html
Aides en images (Recherche)    : http://pagesperso-orange.fr/NosTools/tuto_ad_r2.html


=========================


4- Refais un scan ZHPDiag, coche bien toutes les options ( sauf la 045 et 061 ), poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...

jpp · Answer

OTM ne marche toujours pas (blocage après suppression des process sur le fond d'ecran). Je l'ai supprimé, telecharge et renommer mais c'est toujours pareil.
Fichier log vide.

J'ai qd même fait le ZHPDIAG 
https://www.cjoint.com/?isaE6TBfQe

sKe69 · Answer

re

1- recommence la manipe de OTM ainsi :

* désactive bien BitDefender le temps de la manipe .

* copie/colle uniquement ceci dans Paste Instructions for items to be moved :

:Files 
C:\WINDOWS\orukohuzof.dl 
C:\WINDOWS\orukohuzof.dll 
C:\WINDOWS\System32\drivers\OLD6C.tmp 



poste moi le rapport obtenu stp ...


=========================

2- fais l'etape 3 avec Ad-Remover que je t'ai demandé ici > https://forums.commentcamarche.net/forum/affich-13889717-pb-virus-braviax-exe?page=3#54


=========================


3- Une fois tout ceci fait , relance un scan ZHPDiag, coche bien toutes les options ( sauf la 045 et 061 ), poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...

jpp · Answer

Bonjour,

on continue :

OTM :
========= FILES ==========
C:\WINDOWS\orukohuzof.dl moved successfully.
File/Folder C:\WINDOWS\orukohuzof.dll not found.
C:\WINDOWS\System32\drivers\OLD6C.tmp moved successfully.
 
OTM by OldTimer - Version 3.0.0.6 log created on 08182009_080100


AD-remove : https://www.cjoint.com/?isiFN42UJC

ZHPDIAG : https://www.cjoint.com/?isiGEz8ZA7

sKe69 · Answer

Salut,

je te conseille de virer toutes ces merdes  :


============== Suspect (Cracks, Serials ... ) ==============

. 
C:\Documents and Settings\jp\Application Data\uTorrent\AVS Video Converter v4.3.1.371[++Final++CrAcK].torrent 
C:\Documents and Settings\jp\Mes documents\JP\pidj\Amond AVI WMV MPEG MOV DIVX FLV XVID MP3 Video Converter v2.4\keygen\keygen.exe 
C:\Documents and Settings\jp\Mes documents\JP\pidj\AnyDVD HD 6.3.0.3\patch si la cl‚ ne fonctionne pas\Patch.exe 
C:\Documents and Settings\jp\Mes documents\JP\pidj\DivX Pro 6.8\Keygen DivX AIO.exe 
C:\Documents and Settings\jp\Mes documents\JP\pidj\IsoBuster Pro 2.3.0.1\Keygen IsoBuster Pro 2.x.x.x.exe 
C:\Documents and Settings\jp\Mes documents\JP\pidj\Reaper.v2.020.WinAll.Incl.Patch-CU\cu.nfo 
C:\Documents and Settings\jp\Mes documents\JP\pidj\Reaper.v2.020.WinAll.Incl.Patch-CU\patch.exe 
C:\Documents and Settings\jp\Mes documents\JP\pidj\WinAVI Video Converter 9.0 (Convert to-from AVI, DVD, more!)\keygen.exe 
C:\Documents and Settings\jp\Mes documents\JP\pidj\Xilisoft Video Converter v3.1\Keygen\keygen.exe.


fait quelques analyse sur VT, tu risques d'avoir de drôle de surprises ....


Et utilise Cijoint et non Cjoint pour les rapports stp ... Car Cjoint ne stocke que temporairement les fichiers ... ;)



bref , 


la suite dans l'ordre ( si le dernier rapport est clean , on pourra finaliser ) :


( ne saute pas d'étape ! si tu rencontres un soucis lors de cette manipe , tu stoppes et tu m'en fais part )


1-Télécharge ToolsCleaner (de A.Rothstein) sur ton Bureau. 
http://pc-system.fr/

Déconnecte toi et ferme bien toutes tes applications en cours .

Lances le . 
*Clique sur Recherche et laisse le scan se terminer (cela peut être long). 
*Clique sur Suppression pour finaliser. 
*Clique sur "quitter" pour générer un rapport ( et pas sur la croix rouge !) :
--> Poste ce rapport : il se trouve à la racine de ton disque dur -> C:\TCleaner.txt . 

Note : Ce petit soft va te nettoyer tout les trucs dont on c'est servi pour la désinfection .
Supprime tout les outils , dossiers ou rapports consernant la désinfection que Toolscleaner2 n'a pas supprimé . 

( garde CCleaner et Malwarebytes : très utiles ! )

======================================

2- Refais un coup de CCleaner ( registre compris ) .

======================================

3- Retélécharge et réinstalle hijackthis ( car supprimé par Toolscleaner2 ) ,

Télécharge et installe le logiciel HijackThis : 

ici https://www.commentcamarche.net/telecharger/securite/11747-hijackthis/
ou ici http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe
ou ici https://www.clubic.com/telecharger-fiche17891-hijackthis.html

-> Clique sur le setup pour lancer l'installe : laisse toi guider et ne modifie pas les paramètres d'installation . 
A la fin de l'installe , le prg ce lance automatiquement : ferme le en cliquant sur la croix rouge . 
Au final, tu dois avoir un raccourci sur ton bureau et aussi un cheminement comme : 
"C:\ program files\Trend Micro\HijackThis\HijackThis.exe " .

( ne fais pas de scan pour le moment ) 

======================================

4- Important :

*Réactive ta restauration :
Clique droit sur poste de travail/propriétés/Restauration système/décoche la case désactiver la restauration, appliquer, OK 
--->Redémarre ton PC ...

( Note : tu peux aussi y accéder via panneau de configuration->" système "->" restauration système " ).


======================================


5- Fais un scan en ligne avec Kaspersky :

Suis les indications de ce tuto > https://www.commentcamarche.net/faq/17751-scanner-en-ligne-avec-kaspersky

Fait un scan du "poste de travail" .
Sauvegarde bien le rapport en ".txt" et poste son contenu dans ta prochaine réponse ...

jpp · Answer

OK c'est noté je suis au boulot, je le ferai ce soir et te tiens au courant.
Tu penses qu'on va y arriver, sinon je peux reinstaller ?

Encore merci.

sKe69 · Answer

re,

Tu penses qu'on va y arriver, sinon je peux reinstaller ?

on y est arrivé !!! ... ^^


là , on paufine le nettoyage , on purge la restauration , on fait quelques vérifes et on finalise ensuite ....


poste moi donc les rapports demandés ... A ce soir ... ;)

jpp · Answer

Me revoilà.

J'ai supprimé tous les fichiers, quelques analyses (cf. lien ci-dessous, effectivement pas joli...)
http://www.cijoint.fr/cjlink.php?file=cj200908/cijKscaUYw.txt

resultat tools cleaner :  http://www.cijoint.fr/cjlink.php?file=cj200908/cijKqmq9DG.txt

Par contre, j'ai un problème avec Kaspersky  et message suivantt :

Échec de la mise à jour Impossible de démarrer le programme. Fermez la fenêtre de Kaspersky Online Scanner 7.0 et redémarrez le programme sur le site de Kaspersky Lab.

Pour mettre à jour Kaspersky Online Scanner 7.0 et analyser votre ordinateur correctement, une connexion Internet permanente est nécessaire. Vérifiez que votre connexion Internet fonctionne. [ERROR: La licence est périmée]

sKe69 · Answer

Salut,

cela provient de chez Kaspersky ...


fait cet autre scan en ligne :

Fais un scan en ligne avec " Panda " :

https://www.pandasecurity.com/?ref=www.pandasoftware.com/products/activescan 

tuto : 
https://www.malekal.com/scan-antivirus-ligne-nod32/#mozTocId237368 


poste moi le rapport obtenu pour analyse ...

jpp · Answer

Le voilà 

http://www.cijoint.fr/cjlink.php?file=cj200908/cijNYazWr9.txt

sKe69 · Answer

bon ...


il faut faire les manipe que je donne à la lettre ! ... tu n'a pas fait la purge de la restauration systeme !...



bref ... la prochaine fois que je te le demanderais, il faudra la faire !....



reste un belle merde ... un dropper de l'infection virtumonde ! 



fais ceci :


Télécharge OTM (de Old_Timer) sur ton Bureau. 

http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/

! Déconnecte toi et ferme toutes tes applications en cours !
 
Double clique sur "OTM.exe" pour ouvrir le prg . 
Puis copie ce qui se trouve en citation ci-dessous,
 


:Files
C:\Documents and Settings\jp\Mes documents\JP\pidj\Adobe Premiere Elements v4.rar[Adobe Premiere Elements v4\CORE KEYGEN\keygen.exe

:Commands
[emptytemp]
[Reboot]


et colle le dans le cadre de gauche de OTM : 
Paste Instructions for items to be moved.
(ne touche à rien d'autre !) 
 
-> clique sur MoveIt! pour lancer la suppression.
-> laisse travailler l'outil ... 

-> une fois finis , un petite fenêtre s'ouvre : clique sur " Yes " .

Ton PC va redémarrer de lui même pour finir la suppression ...

Lors du redémarrage , si on te demande d'autoriser l'exécution d' OTM , accepte ( pour que l'outil finisse son boulot ... ).

-->Poste le contenu du rapport qui se trouve dans le dossier "C:\_OTM\MovedFiles"  
( " xxxx2009_xxxxxx.log "  où les "x" correspondent au jour et à l'heure de l'utilisation  ).




tu as apparemment des restes d'AntiVir ... nettoye les avec cet utilitaire de désinstalle : https://www.avira.com/en/downloads#tools antivir removal tool]

jpp · Answer

Desolé j'ai du raté une etape. Je suis en train de lancer antivir remove tool.

Ci-joint le rapoort OTM 

All processes killed
========== FILES ==========
File/Folder C:\Documents and Settings\jp\Mes documents\JP\pidj\Adobe Premiere Elements v4.rar[Adobe Premiere Elements v4\CORE KEYGEN\keygen.exe not found.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: Administrateur
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes
->FireFox cache emptied: 2880147 bytes
 
User: All Users
 
User: clement
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 78991 bytes
->Java cache emptied: 2380116 bytes
->FireFox cache emptied: 33972468 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32768 bytes
 
User: jp
->Temp folder emptied: 76935898 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Java cache emptied: 127528 bytes
->FireFox cache emptied: 102230199 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\INDEX.DAT scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 49286 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
File delete failed. C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.
->Temporary Internet Files folder emptied: 32902 bytes
 
User: Propriétaire
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 39097 bytes
%systemroot%\System32 .tmp files removed: 14133760 bytes
Windows Temp folder emptied: 173 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 222,14 mb
 
 
OTM by OldTimer - Version 3.0.0.6 log created on 08192009_004228

Files moved on Reboot...

Registry entries deleted on Reboot...

sKe69 · Answer

arf ... OTM n'as pas fonctionné ...


recommence en copiant collant ceci :


:Files 
C:\Documents and Settings\jp\Mes documents\JP\pidj\Adobe Premiere Elements v4.rar


poste le nouveau rapport OTM obtenu ...

jpp · Answer

Cette fois c'est bon.

========== FILES ==========
C:\Documents and Settings\jp\Mes documents\JP\pidj\Adobe Premiere Elements v4.rar moved successfully.
 
OTM by OldTimer - Version 3.0.0.6 log created on 08192009_010420

Utilisateur anonyme · Answer

Hello ,

Bien joué l ami ;) 

@ +

Utilisateur anonyme · Answer

C net , 

Je vais te mp pour un avis de downlod (link) 

le temps de faire des manipes et si tu vas pas au dodo .

jpp · Answer

Bonjour,

après avoir regardé les différents manip, je n'ai pas effectivement installé cette console de recup. J'ai lu le tuto un peu vite...

J'ai mis à jour  Version Console Java à jour > 6 Update 15 
Version Internet Explorer à jour > v 8 

lien rapport :
 http://www.cijoint.fr/cjlink.php?file=cj200908/cijzmYyl3q.txt

Sinon c'est super, tout marche bien.

Petite question subsidiaire : hier soir tard  le site comment ça marche était quasi inaccessible (PB avec smartadserver.com a priori). Y'a une astuce pour s'en passer ?

sKe69 · Answer

salut,

Petite question subsidiaire : hier soir tard le site comment ça marche était quasi inaccessible (PB avec smartadserver.com a priori). Y'a une astuce pour s'en passer ?


aucune idée ... CCM est un site vivant ! ... toujours en chantier ... les bugs sont monnaie courante ... faut faire avec ... ;)




=======================

* On va réparer Windows ... avec ton CD sous le coude , fait cette manipe :

> https://www.pcastuces.com/newsletter/adj/1340.htm


=======================


* fais ceci pour stabiliser et accélérer IE 8 > https://www.commentcamarche.net/faq/17570-internet-explorer-8-lent


========================
========================

une fois ceci fait , enchaine :


1- Ferme toutes tes applications ( navigateur compris ) et déconnecte toi .

Relance Hijackthis mais click sur " Do a scan only " 
Tu vois donc apparaitre le résultat du scan : une multitudes de lignes ,chacunes précédées d'un carré vide . 
Tu vas cliquer sur les carrés des lignes suivantes : 


O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: MUSICMATCH MX Web Player - {d81ca86b-ef63-42af-bee3-4502d9a03c2d} - http://wwws.musicmatch.com/mmz/openWebRadio.html (file missing)



Tu cliques en bas sur le bouton FIX CHECKED et valides .



2- Redémarre l'ordi .
( important pour que certaines modifs faites avec hijakthis soient prises en compte ) 


Puis teste ton PC ainsi que ta navigation sur internet ... Si tout est Ok pour toi , on peut passer à la dernière étape ....

Poste aussi un dernier rapport Hijackthis de contrôle ...

jpp · Answer

OK j'ai optimisé IE.

Avant de reparer, je voudrais te soumettre un autre problème : depuis plusieurs mois, je n'arrive plus à connecter des peripheriques video (appareil photo, webcam) : soit le port USB n'est pas détecté (appareil photo), soit l'installation du driver échoue "données invalides" (webcam).  Ca marche pour des cle USB, lecteur MP3. Ca marche également pour un ancien appareil photo installé avant que le problème ne pose.

J'avais regardé à l'époque sans résultat et je pensais qu'après ce nettoyage ca marcherait mais non c'est toujours pareil.

Du coup, je me dis qu'on pourrait en profiter pour traiter ce pb dans la reparation, si évidemment tu vois facilement de quoi il s'agit.

Sinon je ferai un autre post après.

Merci.

sKe69 · Answer

re,

fait la manipe demandé .... ^^


poste moi le dernier hijack une fois tout fait .... ensuite je te donnerai le check-up final ... si après cela , ces prb persitent , on regardera ensemble ce que l'on peut faire ... ;)

jpp · Answer

C'est fait.
Pas besoin du CD XP (pas de detection de fichiers corrompus).


le lien du rapport hijack :

http://www.cijoint.fr/cjlink.php?file=cj200908/cijb0Pl1Gw.txt

sKe69 · Answer

bien ... suite et fin dans l'ordre : 1- Déconnecte toi et ferme bien toutes tes applications en cours . Lance Toolscleaner2 . *Clique sur Recherche et laisse le scan se terminer (cela peut être long). *Clique sur Suppression pour finaliser. *Clique sur "quitter" pour générer un rapport ( et pas sur la croix rouge !) : ---> Poste ce rapport : il se trouve à la racine de ton disque dur -> C:\TCleaner.txt . Note : Ce petit soft va te nettoyer tout les trucs dont on c'est servi pour la désinfection ( tu n'en as plus besion ! ) . Supprime tout les outils , dossiers ou rapports consernant la désinfection que Toolscleaner2 n'a pas supprimé . Puis enfin supprime Toolscleaner2 ... ================= 2- Refais un coup de CCleaner ( registre compris ) . ================= 3- Fais ce check-up pour finir : A-Re-purge de la restauration système *Désactive ta restauration : Clique droit sur poste de travail/propriétés/Restauration système/coche la case désactiver la restauration, appliquer, OK --->Redémarre ton PC ... *Réactive ta restauration : Clique droit sur poste de travail/propriétés/Restauration système/décoche la case désactiver la restauration, appliquer, OK --->Redémarre ton PC ... ( Note : tu peux aussi y accéder via panneau de configuration->" système "->" restauration système " ). Attention : ne pas toucher au PC pendant qu'il travaille ! B-Nettoyage et Défragmentation de tes Disques *Nettoyage : Clique droit sur "poste de travail" ==>"ouvrir" ==>clique droit sur le disque C ==>Propriétés ==>onglet "Général" Clique sur le bouton "nettoyage de disque", OK . tu le fais pour chacun de tes disques ... *Vérifications des erreurs : Clique droit sur "poste de travail" ==>"ouvrir" ==>clique droit sur le disque C ==>Propriétés ==>onglet "Outil" "Vérifier maintenant", une boîte s'ouvre, cocher les cases : -réparer automatiquement les erreurs... -rechercher et tenter une récupération... --->Démarrer, ok Note : s'il te dis de redémarrer ton Pc pour le faire , tu redémarres et tu laisses faire, cela prend un peu de temps c'est normal tu le fais pour chacun de tes disques ... ensuite toujours dans le même onglet tu choisis : *Défragmentation : "défragmenter maintenant", OK une boîte s'ouvre, tu sélectionnes le disque à défragmenter, et tu cliques sur "analyser", puis après l'analyse, "défragmenter" > OK . Tu le fais pour chacun de tes disques ... Note : si tu as un utilitaire pour défragmenter , utilise le à la place ... ( attention , cela peut durer assez longtemps - plus de dix heures dans certains cas ) C-Créer un point de restauration de ton PC : Aller dans le Menu Démarrer puis dans Programmes, - Ensuite dans Accessoires et enfin dans Outils système, - Choisir "Restauration du système", - Sélectionner "Créer un point de restauration", - Cliquer sur "Suivant", - Entrer un nom pour le point de restauration (ce nom doit être assez évocateur), exemple : << Point restauration sain >> . --> Cliquer sur "Créer" et le point de restauration se créé automatiquement. ---> une fois terminé, dis moi ce que cela a donné et comment va le PC ... =)

jpp · Answer

Tout fait.
lien du rapport : http://www.cijoint.fr/cjlink.php?file=cj200908/cijtayXnLw.txt

Pas de problème tout est OK.

sKe69 · Answer

impec ...


Il te faut absolument un anti-spyware résident pour épauler ton AV . 
Choisi l'un d'entre eux ( c'est du gratos ) :


Télécharger Spyware Terminator :
https://www.commentcamarche.net/telecharger/securite/20947-spyware-terminator/ 
 
Mais en faisant attention ; lors de l'installation, tu dois décocher devant :
"autoriser Web Security Guard"
 
Ne pas accepter le  'Web Security Guard' !! 

Vérifie régulièrement la mise à jour. 
Active la protection en temps réel comme ceci : http://img220.imageshack.us/img220/1985/screenshot269jn3.png 
et comme ceci dans l'onglet "Avancé" http://img223.imageshack.us/img223/19/screenshot270fm3.png (HIPS activé). 

Note ==> Remarque la fonction 'LANGUE' ;) ==> elle est là : http://img146.imageshack.us/img146/8679/screenshot271db0.png 

Tuto Spyware Terminator :
https://www.malekal.com/tutorial-et-guide-spywareterminator/

Note : si tu n'as pas d'antivirus, Spyware Terminator contient un aussi. 
/!\ Si tu as déjà un antivirus, ne pas mettre en service "Clam Antivirus" (1 seul antivirus actif par PC) :
->http://img210.imageshack.us/img210/3191/screenshot272kq3.png )

OU ************************************************

SpywareBlaster + SpywareGuard: 


* SpywareBlaster :
http://www.brightfort.com/spywareblaster.html 

c´est un resident uniquement ( pas de scan possible ) . Il suffit de le mettre a jour de temps en temps car la version gratuite ne le fait pas toute seul , une fois installé et mis a jour tu mets toutes les protections sur "enable" 

tuto : https://www.malekal.com/tutorial-spywareblaster/ 


* SpywareGuard :
SpywareGuard offre une protection en temps réel contre les tentatives d'installation des spywares.
https://www.commentcamarche.net/download/telecharger-34055277-spywareguard
Tuto : https://www.zebulon.fr/dossiers/securite/47-spywareguard.html

( controle les mises à jour / " live update " régulièrement )

==============
==============
==============


Content d'avoir pu te rendre service ... ^^


Potasse ces quelques recommandations :


=> Comportement à adopter avec son PC : http://assiste.com.free.fr/p/abc/a/safe_cex.html 
et pourquoi ( exemple ) : http://assiste.com.free.fr/p/abc/a/zombies_et_botnets.html

=> Surveillance : 
Effectue des scan réguliers de surveillance (une fois tous les 15 jours, par exemple) avec ton antivirus puis avec ton anti-spyware (après les avoir mis à jour bien sur !) et supprime ce qu'ils peuvent trouver (où mets en quarantaine, en pensant à la vider ultérieurement). 

=>  Il faut absolument tenir à jour régulièrement Windows:

Via Internet Explorer ( impératif ), rends toi sur Microsoft Update
http://www.update.microsoft.com/windowsupdate/v6/default.aspx

Effectue toutes les mise à jour critiques proposées.
Tu seras obligé de faire redémarrer ton PC et de retourner à la fonction de mise à jour jusqu'à ce qu'il n'y ait plus rien de signalé.

Par la suite, vérifie que les mises à jours de Windows soient bien en automatiques, pour cela :
Démarrer / Panneau de configuration et dans Centre de sécurité, clique sur Mises à jour automatiques, puis coche Installation automatique (recommandé), en dessous indique une heure où tu es connecté habituellement, puis clique sur Appliquer puis sur OK

=============================================================

=> Il faut mettre a jour la console Java régulièrement aussi : 

( Pourquoi : http://www.secuser.com/vulnerabilite/2008/080305-java.htm )

Donc pour se faire, rends toi sur https://www.java.com/fr/download/manual.jsp et télécharge la dernière version (si ta version actuelle n'est pas à jour) ou ici https://filehippo.com/download_jre_32/?ex=CORE-116.0 
Après avoir installé la dernière version, désinstalle les anciennes versions (de Java) afin d’éliminer les failles de sécurité présentes dans ces anciennes versions. 
via Démarrer / Paramètres / Panneau de config / et dans Ajout/Suppression de programmes navigue jusqu'aux anciennes versions de la console Java qui s'y trouvent, puis clique sur « Supprimer », suis les invites de commandes dans la boite de dialogue qui va s'ouvrir afin d'amener la désinstallation à son terme. 
Fais cela pour chacune d'elles, une à une, fais redémarrer ton PC quand cela te sera demandé . 
Retourne ensuite chez Java ci-dessus et clique sur le bouton "Vérifier l'installation" pour t'assurer que tout est en ordre. 

Autre astuce : https://www.commentcamarche.net/faq/15645-supprimer-les-anciennes-versions-de-java-avec-javara

============================================================= 

=> Afin d’éviter les autres failles de sécurité des différents programmes présents sur ton PC : 

Vérifie tes mises à jours des différents softs régulièrement ici et mets à jour ce qui ne l’est pas. https://www.flexera.com/products/operations/software-vulnerability-management.html 
- Tuto https://www.malekal.com/tester-la-vulnerabilite-de-son-systeme-2/ 
- Autre possibilité, t'abonner gratuitement a "la lettre hebdomadaire de secuser.com" ici http://www.secuser.com/ a gauche en bas de page. 

-> autre très bon soft similaire dans cette astuce : 
https://www.commentcamarche.net/faq/9908-filehippo-app-manager-vos-logiciels-sont-ils-a-jour
 
===========================================================
* le pare- feu de Xp vaut rien , je te conseille fortement dans installer un :
( Important > si votre antivirus fait aussi pare-feu , ne pas en installer un autre ! conflits et plantages assurés ! )

Armor ou Comodo sont très bien ( en anglais mais gratuit )...Tu trouveras tout ce qu'il faut ici :
https://www.commentcamarche.net/telecharger/securite/pare-feu/

tutos :
https://www.malekal.com/tutorial-online-armor-free/
https://www.malekal.com/tutorial-comodo-firewall/

( Attention : pour Comodo 3 , choisir uniquement l'installation du pare-feu seul. Ne pas installer la barre d'outil pour les navigateurs ! )

En deuxieme choix ( gratuit aussi ) :
->Comodo ancienne version 2.4 ( en francais ) : 
http://download.comodo.com/cpf/download/setups/release/languages/CFP_Setup_English_French_2.4.16.174.exe
tuto: https://infomars.fr/forum/index.php?s=908072e48ff7cf0359366440cb26c93f&showtopic=389

->PC Tools Firewall Plus (en français) :
https://fr.norton.com/
Tuto : http://www.6ma.fr/tuto/utilisation-pc-tools-firewall-plus/

(Note: pensez bien à désactiver le pare-feu de Windows avant de lancer l'installe de tout autre pare-feu !)

* teste l'efficacité de ton pare-feu ici ( à titre indicatif ):
http://www.zebulon.fr/outils/scanports/test-securite.php

* tests firewall: http://www.matousec.com/index.html 

=> Un complément au pare-feu pour fermer les ports risqués (dangereux, s’ils restent ouverts) : 

ZebProtect (application ne nécessitant pas d’installation à lancer et paramétrer une unique fois) http://telechargement.zebulon.fr/123.html 

-Tuto https://www.zebulon.fr/dossiers/autres/40-zebprotect.html 

================================================================ 

Pour une meilleur sécurité lorsque tu surfes : 

* Je te conseille d'utiliser le navigateur " FireFox " :
télécharge le ici -> http://www.mozilla-europe.org/fr/
ou -> https://www.commentcamarche.net/telecharger/web-internet/9879-firefox/

( Attention : toujours garder IE sur son PC ! Il est indispensable pour les mises à jour de ton système ainsi que pour pas mal de choses, comme les scan d'antivirus en ligne, ect... )

-> Tutorial pour sécuriser Firefox :
https://www.malekal.com/securiser-le-navigateur-web-firefox-2/
https://forum.zebulon.fr/topic/69628-s%C3%A9curiser-un-peu-plus-firefox/ 

* tu peux installer cet Add-ons : WOT ( gratuit / compatible IE et FireFox )
-> Firefox https://chrome.google.com/webstore/detail/wot-web-of-trust-website/bhmmomiinigofkjcapegjjndpbikblnp - IE https://chrome.google.com/webstore/detail/wot-web-of-trust-website/bhmmomiinigofkjcapegjjndpbikblnp
-> Démo : http://www.mywot.com/fr/demo
Très simple et léger , WOT permet d'avoir un aperçu sur la dangerosité et la fiabilité des sites donnés par les moteurs de recherche tel que Google ou Live Search .
> https://www.commentcamarche.net/faq/15620-wot-web-of-trust-essentiel-pour-l-internaute-avise

* Noscript est un autre "Add-ons" ( pour Firefox ) qui empêche l'exécution de scripts en provenance des sites Web. 
Il stoppe l'installation de logiciels infectieux via flash, java, javascript et d'autres points d'entrée : 
http://www.geekstogo.com/forum/redirect.php?url=http%3A%2F%2Fwww.noscript.net

=================================================================
=> Rappel sur les principales causes d'infection : 

A lire > https://www.malekal.com/fichiers/projetantimalwares/prevention-protection.pdf
( merci aux auteurs de ce pdf )

* L'utilisation de cracks ou keygens est à proscrire, de même que le surf sur les sites de téléchargement de ceux-ci : 

Les dangers des cracks : http://forum.malekal.com/ftopic893.php 

-> Le crack dans toute sa splendeur, journal d'une infection attendue : 
https://forum.zebulon.fr/topic/93281-pr%C3%A9vention-le-crack-dans-toute-sa-splendeur/ 

-> Fléaux du moment par le biais de pseudo crack sur réseau P2P : Virut/Scrible !
> https://www.futura-sciences.com/tech/actualites/informatique-virut-scribble-retour-infection-redoutable-18310/


* Le P2P ( l'utilisation de logiciels comme eMule, Sharazaa, LimeWire, Bit torrent): 

Les conséquences du P2P : https://forum.zebulon.fr/topic/85544-pr%C3%A9vention-le-p2p-et-ses-cons%C3%A9quences/ 

Pourquoi éviter le P2P (emule ,Shareaza, kazza ... ect):
> http://www.libellules.ch/... 
> http://www.speedweb1.org/forum-tesgaz/viewtopic.php?t=1793 
> https://lexpansion.lexpress.fr/actualite-economique/
 

* Faire attention avec les ActiveX :
http://assiste.com.free.fr/p/abc/a/activex_dangers.html
et comment : 
http://assiste.com.free.fr/p/abc/c/anti_activex.html


* Prévention sur deux autres types d'infection d'actualité : 

MSN prévention : 
https://forum.zebulon.fr/topic/130590-infection-par-msn-ou-wlm/
-> autre danger grandissant , le " phishing " (= hameçonnage ) :
http://msnfix.changelog.fr/index.php/2008/05/18/32-alerte
 

Infection par supports amovibles (clefs usb, flash, DD externes ..) :
https://forum.zebulon.fr/topic/131959-infections-par-supports-amovibles/ 
https://forum.malekal.com/viewtopic.php?f=45&t=5544 

* Rappel sur l'utilisation d'une version piratée de Windows :
https://www.commentcamarche.net/faq/2981-j-utilise-une-version-piratee-de-windows

=================================================================

Bon à savoir :

* La "Console de récupération" ( XP ): 
face aux nouvelles menaces (attaque du secteur de boot par exemple), la Console de récupération peut être la seule solution pour pallier à un système très endomagé et particulièrement instable. 
tutoriels ici : 
https://www.pcastuces.com/pratique/windows/xp/console_recuperation/page1.htm .
https://www.informatruc.com

Equivalent Vista : http://www.forum-vista.net/forum/

* Conserve une sauvegarde des fichiers importants ( Sur CD/DVD rom ,DD externe ,ect ...). 

* Ne pas telecharger n'importe quoi, éviter les programes gratuits genre smileys, Macrogaming\SweetIM, Boonty games, ...ect

* Analyser les fichiers reçus/téléchargés :
Pour les adeptes du Peer 2 Peer ( que je déconseille fortement ),toujours analyser les fichiers telechargés avec l'antivirus, l'anti-spyware/malaware du PC avant de les executer ... Cela minimise les risques ( mais ceux-ci restent tout de même présents ! ) 
Ne pas ouvrir les pieces jointes d'un expediteur inconnu et toujours les analyser avant de les ouvrir .
Toujours analyser les fichiers reçus via MSN ou autre avec ton antivirus .

* Idées reçus en sécurité informatique ( très instructif ) > 
http://www.libellules.ch/idees_recues_securite.php

=================================================================
( merci le sioux ) 
 
 
Voili, voilou ...


bonne suite à toi ... =)


A+

jpp · Answer

OK , un très grand merci pour ton aide.
C'est vraiment super ce tu as fait et chapeau pour ta compétence et ta réactivité.

Désormais j'ai un PC sain, sans ton aide j'étais bon pour tout réinstaller et en plus cette expérience m'a permis de comprendre certaines choses (pas tout certes mais c'est déjà pas mal)

Juste un truc, je t'avais parlé de mon problème d'instal de nouveaux peripheriques video USB ? a priori c'est toujours pareil (il faut que je verifie des choses)
Puis je encore t'embeter avec ça , je comprendrais que tu en ai marre :-)
Dois je faire un nouveau post ?

Encore merci et à bientôt.

sKe69 · Answer

re,

Juste un truc, je t'avais parlé de mon problème d'instal de nouveaux peripheriques video USB ? a priori c'est toujours pareil (il faut que je verifie des choses) 
Puis je encore t'embeter avec ça , je comprendrais que tu en ai marre :-) 
Dois je faire un nouveau post ? 


disons jusqu'au niveau matos , je ne suis pas très calé ...^^

Donc je te propose d'ouvrir un nouveau sujet , mais dans le forum approprié > 
Soit https://forums.commentcamarche.net/forum/materiel-informatique-2
Soit https://forums.commentcamarche.net/forum/logiciels-1


bonne chance de ce côté là ... si tu y trouves la soluce , fait moi signe que je me couche moins c** ... ;)


A+

jpp · Answer

Ca marche.
Encore merci.
A+

Pb virus braviax.exe ???

78 réponses

Discussions similaires