PB éradication .win32.Bagle.bra
ecojef
Messages postés
63
Statut
Membre
-
Lyonnais92 Messages postés 25708 Statut Contributeur sécurité -
Lyonnais92 Messages postés 25708 Statut Contributeur sécurité -
Bonjour,
J'ai infecté mon Portable (XP SP2) avec le virus suivant : Trojan-Downloader.Win32.Bagle.bra (d'après Scan ne ligne de Kaspersky).
Le virus à désactivé mon Antivirus, le pare-feu de windows, la restauration du système, la possibilité de démarrer en mode sans échec, semble rendre inopérants la plupart des outils de détection et de diagnostic que j'ai testé (SaveBootrepair - Combofix - HiJackThis - Gmer...) et ce même si je change leur nom avant de les exécuter. Il a désactivé ma connexion Wifi principal, mais pas celle du "Neuf Spot" (je suis chez SFR).
En revanche, Windows démarre normalement (si j'ose dire), le menu exécuter est encore présent dans le menu démarrer, l'accès au registre aussi, la possibilité d'afficher les fichiers cachés également.
J'ai pu constater la présence de srosa.sys (C/Windows/system32/). Bien sûr, son élimination manuelle ne sert à rien, il revient au démarrage....
J'ai bien cherché dans les forum, mais apparemment l'éradication est difficile et je me permets donc de demander de l'aide....
Je remercie tous ceux qui pourront me guider.
J'ai infecté mon Portable (XP SP2) avec le virus suivant : Trojan-Downloader.Win32.Bagle.bra (d'après Scan ne ligne de Kaspersky).
Le virus à désactivé mon Antivirus, le pare-feu de windows, la restauration du système, la possibilité de démarrer en mode sans échec, semble rendre inopérants la plupart des outils de détection et de diagnostic que j'ai testé (SaveBootrepair - Combofix - HiJackThis - Gmer...) et ce même si je change leur nom avant de les exécuter. Il a désactivé ma connexion Wifi principal, mais pas celle du "Neuf Spot" (je suis chez SFR).
En revanche, Windows démarre normalement (si j'ose dire), le menu exécuter est encore présent dans le menu démarrer, l'accès au registre aussi, la possibilité d'afficher les fichiers cachés également.
J'ai pu constater la présence de srosa.sys (C/Windows/system32/). Bien sûr, son élimination manuelle ne sert à rien, il revient au démarrage....
J'ai bien cherché dans les forum, mais apparemment l'éradication est difficile et je me permets donc de demander de l'aide....
Je remercie tous ceux qui pourront me guider.
A voir également:
- PB éradication .win32.Bagle.bra
- Trojan win32 - Forum Virus
- Puadimanager win32/offercore ✓ - Forum Virus
- Puabundler win32 rostpay ✓ - Forum Antivirus
- PUA:Win32/InstallCore detecté par windows sécurité ✓ - Forum Virus
- Win32 pup gen ✓ - Forum Linux / Unix
89 réponses
Hello You :-)
Dans un sens c'est dommage d'avoir supprimer le crack, dans un autre non.
Je veux dire que Chiquitine aurait peut être aimé l'avoir s'il s'agit d'une nouvelle souche.
Je suis le sujet...
Merci.
Dans un sens c'est dommage d'avoir supprimer le crack, dans un autre non.
Je veux dire que Chiquitine aurait peut être aimé l'avoir s'il s'agit d'une nouvelle souche.
Je suis le sujet...
Merci.
ecojef
Messages postés
63
Statut
Membre
le retrouver ne devrait pas être trop difficile
Bonsoir,
pour faire avancer :
Ouvre ce lien : http://www.cijoint.fr/cjlink.php?file=cj200911/cijAz3ewp9.txt
Ouvre le fichier.
Copie dans le Presse-papier son contenu (sélectionne le avec la souris et fais simultanément Ctrl et C)
Déconnecte toi d'Internet et ferme toutes les applications ouvertes.
Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.
Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.
Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.
Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.
Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.
Clique sur "Tous" puis sur "Nettoyer".
Laisse l'outil travailler.
Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immmédiatement.
Le rapport d'exécution va apparaître dans la fenêtre.
Copie le dans ta réponse.
===
Tu enchaines comme ça :
clique sur le raccourci FindyKill présent sur ton Bureau et choisis "Exécuter en tant qu'administrateur" .
• Au menu principal choisis l'option " F " pour français et tape sur [Entrée].
• Au second menu Choisis l'option " 4 " (Désinstaller) et tape sur [Entrée]
===
Tu recommences ce que crapoulou a demandé au post 1 (FindyKill).
pour faire avancer :
Ouvre ce lien : http://www.cijoint.fr/cjlink.php?file=cj200911/cijAz3ewp9.txt
Ouvre le fichier.
Copie dans le Presse-papier son contenu (sélectionne le avec la souris et fais simultanément Ctrl et C)
Déconnecte toi d'Internet et ferme toutes les applications ouvertes.
Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.
Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.
Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.
Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.
Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.
Clique sur "Tous" puis sur "Nettoyer".
Laisse l'outil travailler.
Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immmédiatement.
Le rapport d'exécution va apparaître dans la fenêtre.
Copie le dans ta réponse.
===
Tu enchaines comme ça :
clique sur le raccourci FindyKill présent sur ton Bureau et choisis "Exécuter en tant qu'administrateur" .
• Au menu principal choisis l'option " F " pour français et tape sur [Entrée].
• Au second menu Choisis l'option " 4 " (Désinstaller) et tape sur [Entrée]
===
Tu recommences ce que crapoulou a demandé au post 1 (FindyKill).
merci Lyonnais92 pour ton implication et ton aide
voilà le rapport de ZHPFix :
#################################################################
ZHPFix v1.12.21 by Nicolas Coolman - Rapport de suppression du 16/11/2009 00:33:54
Fichier d'export Registre : C:\ZHPExportRegistry-16-11-2009-00-33-54.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Processus mémoire :
C:\Documents and Settings\jeff\Application Data\hidires\flec003.exe => Fichier supprimé au reboot
Module mémoire :
(Néant)
Clé du Registre :
O41 - Driver: sK9Ou0s (sK9Ou0s) - C:\WINDOWS\system32\srosa2.sys => Clé supprimée avec succès
O64 - Services: CurCS - sK9Ou0s (sK9Ou0s) - LEGACY_SK9OU0S => Clé supprimée avec succès
O64 - Services: CurCS - No object (No service) - LEGACY_SROSA => Clé non supprimée
O64 - Services: CS002 - sK9Ou0s (sK9Ou0s) - LEGACY_SK9OU0S => Clé supprimée avec succès
O64 - Services: CS002 - srosa (srosa) - LEGACY_SROSA => Clé supprimée avec succès
Valeur du Registre :
O4 - HKCU\..\Run: [flec003.exe] C:\Documents and Settings\jeff\Application Data\hidires\flec003.exe => Valeur supprimée avec succès
Elément de données du Registre :
(Néant)
Dossier :
(Néant)
Fichier :
c:\documents and settings\jeff\application data\hidires\flec003.exe => Fichier supprimé au reboot
c:\windows\system32\ban_list.txt => Supprimé et mis en quarantaine
Logiciel :
(Néant)
Script Registre :
(Néant)
Autre :
(Néant)
Récapitulatif :
Processus mémoire : 1
Module mémoire : 0
Clé du Registre : 5
Valeur du Registre : 1
Elément de données du Registre : 0
Dossier : 0
Fichier : 2
Logiciel : 0
Autre : 0
End of the scan
######################################################################
Mais comme tu le vois une clé n'a pas été supprimée. C'est peut être pourquoi quand j'ai voulu lancer FindyKill l'application a aussitôt été stoppée.
Dois-je attendre vos instructions pour ce problème de clé non supprimée, ou dois je essayer les autres porgrammes que me proposais crapoulou ??
voilà le rapport de ZHPFix :
#################################################################
ZHPFix v1.12.21 by Nicolas Coolman - Rapport de suppression du 16/11/2009 00:33:54
Fichier d'export Registre : C:\ZHPExportRegistry-16-11-2009-00-33-54.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Processus mémoire :
C:\Documents and Settings\jeff\Application Data\hidires\flec003.exe => Fichier supprimé au reboot
Module mémoire :
(Néant)
Clé du Registre :
O41 - Driver: sK9Ou0s (sK9Ou0s) - C:\WINDOWS\system32\srosa2.sys => Clé supprimée avec succès
O64 - Services: CurCS - sK9Ou0s (sK9Ou0s) - LEGACY_SK9OU0S => Clé supprimée avec succès
O64 - Services: CurCS - No object (No service) - LEGACY_SROSA => Clé non supprimée
O64 - Services: CS002 - sK9Ou0s (sK9Ou0s) - LEGACY_SK9OU0S => Clé supprimée avec succès
O64 - Services: CS002 - srosa (srosa) - LEGACY_SROSA => Clé supprimée avec succès
Valeur du Registre :
O4 - HKCU\..\Run: [flec003.exe] C:\Documents and Settings\jeff\Application Data\hidires\flec003.exe => Valeur supprimée avec succès
Elément de données du Registre :
(Néant)
Dossier :
(Néant)
Fichier :
c:\documents and settings\jeff\application data\hidires\flec003.exe => Fichier supprimé au reboot
c:\windows\system32\ban_list.txt => Supprimé et mis en quarantaine
Logiciel :
(Néant)
Script Registre :
(Néant)
Autre :
(Néant)
Récapitulatif :
Processus mémoire : 1
Module mémoire : 0
Clé du Registre : 5
Valeur du Registre : 1
Elément de données du Registre : 0
Dossier : 0
Fichier : 2
Logiciel : 0
Autre : 0
End of the scan
######################################################################
Mais comme tu le vois une clé n'a pas été supprimée. C'est peut être pourquoi quand j'ai voulu lancer FindyKill l'application a aussitôt été stoppée.
Dois-je attendre vos instructions pour ce problème de clé non supprimée, ou dois je essayer les autres porgrammes que me proposais crapoulou ??
j'ai oublié de dire, le programme ZHPFix, ne m'a pas demandé de redémarrer, est-ce que cela aurait été nécessaire, ou est ce que ça aurait réinstaller le ver ?
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question
Re,
il faut que tu supprimes tout ce qui a été téléchargé et installé avec FindyKill.
Mais avant, je veux vérifier que l'infection n'est pas reparti au reboot.
Fais exactement comme ça :
Double clique sur le raccourci ZHPDiag sur ton Bureau.
/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.
Clique sur le Tournevis pour activer le menu des options.
Coche les 2 cases non cochées (toutes les cases doivent être cochées)
Clique sur la loupe à gauche pour lancer l'analyse.
Laisse l'outil travailler, il peut être assez long.
Ferme ZHPDiag en fin d'analyse.
Pour transmettre le rapport clique sur ce lien :
http://www.cijoint.fr/
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
Sélectionne le fichier ZHPDiag.txt.
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page.
Copie ce lien dans ta réponse.
il faut que tu supprimes tout ce qui a été téléchargé et installé avec FindyKill.
Mais avant, je veux vérifier que l'infection n'est pas reparti au reboot.
Fais exactement comme ça :
Double clique sur le raccourci ZHPDiag sur ton Bureau.
/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.
Clique sur le Tournevis pour activer le menu des options.
Coche les 2 cases non cochées (toutes les cases doivent être cochées)
Clique sur la loupe à gauche pour lancer l'analyse.
Laisse l'outil travailler, il peut être assez long.
Ferme ZHPDiag en fin d'analyse.
Pour transmettre le rapport clique sur ce lien :
http://www.cijoint.fr/
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
Sélectionne le fichier ZHPDiag.txt.
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page.
Copie ce lien dans ta réponse.
Bon, il est tard et je dois aller me reposer....
Peut être que vous avez déjà fait de même...
Donc, je vais vous dire bonsoir et encore merci, je me reconnecterai demain pour terminer le travail (j'ai l'impression que vous êtes presque parvenus à trouver la solution).
Je vais éteindre l'ordinateur, s'il y a encore quelqu'un et que vous pensez que ce n'est pas faire dites le moi tout de suite svp
Encore merci
Peut être que vous avez déjà fait de même...
Donc, je vais vous dire bonsoir et encore merci, je me reconnecterai demain pour terminer le travail (j'ai l'impression que vous êtes presque parvenus à trouver la solution).
Je vais éteindre l'ordinateur, s'il y a encore quelqu'un et que vous pensez que ce n'est pas faire dites le moi tout de suite svp
Encore merci
Re,
je préfère que tu ne redémarres pas l'ordi.
Par contre, coupe la connexion physique avec Internet.
je préfère que tu ne redémarres pas l'ordi.
Par contre, coupe la connexion physique avec Internet.
Re,
si tu as posté le rapport ZHPDiag, tu peux éteindre l'ordi.
On va voir tout de suite si l'infection est revenue au redémarrage.
A "demain". C'est peut être crapoulou qui reprendra directement (on a parlé ensemble de ce topic).
si tu as posté le rapport ZHPDiag, tu peux éteindre l'ordi.
On va voir tout de suite si l'infection est revenue au redémarrage.
A "demain". C'est peut être crapoulou qui reprendra directement (on a parlé ensemble de ce topic).
Bonjour,
il me semble que tu n'as pas fait exactement comme demandé. En particulier tu n'as pas coché les options O45 et O61 dans ZHPDiag.
Comme je ne sais pas à quel moment tu as fait redémarrer l'ordi, j'ai du mal à interpréter le rapport.
On recommence.
Exactement et dans l'ordre.
Sinon, c'est sûr que l'infection va repartir.
===
Tu désinstalles FindyKill en exécutant l'option ad hoc.
Tu vérifies que la désinstallation à fonctionné. Sinon, tu supprimes les fichiers via l'Explorateur Windows.
===
Double clique sur le raccourci ZHPDiag sur ton Bureau.
/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.
Clique sur le Tournevis.
Clique successivement sur Aucun puis sur Tous.
Vérifie que toutes les cases sont cochées.
Clique sur la loupe pour lancer l'analyse.
Laisse l'outil travailler, il peut être assez long.
Ferme ZHPDiag en fin d'analyse.
Pour transmettre le rapport clique sur ce lien :
http://www.cijoint.fr/
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
Sélectionne le fichier ZHPDiag.txt.
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page.
Copie ce lien dans ta réponse.
===
Double clique sur le raccourci ZHPDiag sur ton Bureau.
/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.
Clique sur le Tournevis.
Clique successivement sur Aucun puis sur Tous.
Vérifie que toutes les cases sont cochées.
Clique sur la "loupe dans le cahier" à droite du Tournevis pour lancer l'analyse MD5.
Laisse l'outil travailler, il peut être assez long.
Ferme ZHPDiag en fin d'analyse.
Pour transmettre le rapport clique sur ce lien :
http://www.cijoint.fr/
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
Sélectionne le fichier ZHPDiag.txt.
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page.
Copie ce lien dans ta réponse.
===
Ouvre ce lien : http://www.cijoint.fr/cjlink.php?file=cj200911/cijAz3ewp9.txt
Ouvre le fichier.
Copie dans le Presse-papier son contenu (sélectionne le avec la souris et fais simultanément Ctrl et C)
Déconnecte toi d'Internet et ferme toutes les applications ouvertes.
Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.
Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.
Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.
Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.
Clique sur "Tous" puis sur "Nettoyer".
Laisse l'outil travailler.
Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immmédiatement.
Le rapport d'exécution va apparaître dans la fenêtre.
Copie le dans ta réponse.
===
Fais redémarrer l'ordi (impératif).
Double clique sur le raccourci ZHPDiag sur ton Bureau.
/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.
Clique sur le Tournevis. Clique sur Aucun
Clique sur la loupe pour lancer l'analyse.
Laisse l'outil travailler, il peut être assez long.
Ferme ZHPDiag en fin d'analyse.
Pour transmettre le rapport clique sur ce lien :
http://www.cijoint.fr/
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
Sélectionne le fichier ZHPDiag.txt.
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page.
Copie ce lien dans ta réponse.
il me semble que tu n'as pas fait exactement comme demandé. En particulier tu n'as pas coché les options O45 et O61 dans ZHPDiag.
Comme je ne sais pas à quel moment tu as fait redémarrer l'ordi, j'ai du mal à interpréter le rapport.
On recommence.
Exactement et dans l'ordre.
Sinon, c'est sûr que l'infection va repartir.
===
Tu désinstalles FindyKill en exécutant l'option ad hoc.
Tu vérifies que la désinstallation à fonctionné. Sinon, tu supprimes les fichiers via l'Explorateur Windows.
===
Double clique sur le raccourci ZHPDiag sur ton Bureau.
/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.
Clique sur le Tournevis.
Clique successivement sur Aucun puis sur Tous.
Vérifie que toutes les cases sont cochées.
Clique sur la loupe pour lancer l'analyse.
Laisse l'outil travailler, il peut être assez long.
Ferme ZHPDiag en fin d'analyse.
Pour transmettre le rapport clique sur ce lien :
http://www.cijoint.fr/
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
Sélectionne le fichier ZHPDiag.txt.
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page.
Copie ce lien dans ta réponse.
===
Double clique sur le raccourci ZHPDiag sur ton Bureau.
/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.
Clique sur le Tournevis.
Clique successivement sur Aucun puis sur Tous.
Vérifie que toutes les cases sont cochées.
Clique sur la "loupe dans le cahier" à droite du Tournevis pour lancer l'analyse MD5.
Laisse l'outil travailler, il peut être assez long.
Ferme ZHPDiag en fin d'analyse.
Pour transmettre le rapport clique sur ce lien :
http://www.cijoint.fr/
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
Sélectionne le fichier ZHPDiag.txt.
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page.
Copie ce lien dans ta réponse.
===
Ouvre ce lien : http://www.cijoint.fr/cjlink.php?file=cj200911/cijAz3ewp9.txt
Ouvre le fichier.
Copie dans le Presse-papier son contenu (sélectionne le avec la souris et fais simultanément Ctrl et C)
Déconnecte toi d'Internet et ferme toutes les applications ouvertes.
Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.
Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.
Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.
Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.
Clique sur "Tous" puis sur "Nettoyer".
Laisse l'outil travailler.
Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immmédiatement.
Le rapport d'exécution va apparaître dans la fenêtre.
Copie le dans ta réponse.
===
Fais redémarrer l'ordi (impératif).
Double clique sur le raccourci ZHPDiag sur ton Bureau.
/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.
Clique sur le Tournevis. Clique sur Aucun
Clique sur la loupe pour lancer l'analyse.
Laisse l'outil travailler, il peut être assez long.
Ferme ZHPDiag en fin d'analyse.
Pour transmettre le rapport clique sur ce lien :
http://www.cijoint.fr/
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
Sélectionne le fichier ZHPDiag.txt.
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page.
Copie ce lien dans ta réponse.
Bonjour Lyonnais92 et merci de reprendre ce topic.
Je vais faire tout ce que tu me demandes, mais il me semble pourtant que j'avais bien suivi la procédure que tu m'avais indiqué hier (cases cochées), la seule chose et que je n'avais peut être pas désinstallé était FindyKill (en fait je ne peux pas vraiment le désinstaller, puisqu'il ne se lance pas, je peux juste effacer le dossier que Findykill crée à la racine quand je clic sur l'executable et effacer l'éxécutable lui même). Sinon le dernier rapport que tu avais reçu (post 38) avait été obtenu avant d'éteindre l'ordinateur. J'ai seulement arrété mon portable infecté pour aller me coucher et je viens donc de le rallumer (bien sûr les symptômes sont toujours là...)
Peu importe, car je reprends tout.
Cependant, tu me demandes de faire deux fois de suite un diagnostic avec ZHPDiag et je pense que je vais poster deux fois le même rapport (?). C'est peut être dû à un copier-coller malencontreux, ou c'est normal. Je vais faire exactement ce que tu me dis (je numérote les rapports dans l'ordre), mais ne t'étonnes pas s'il y a deux fois le même.
C'est reparti......
Je vais faire tout ce que tu me demandes, mais il me semble pourtant que j'avais bien suivi la procédure que tu m'avais indiqué hier (cases cochées), la seule chose et que je n'avais peut être pas désinstallé était FindyKill (en fait je ne peux pas vraiment le désinstaller, puisqu'il ne se lance pas, je peux juste effacer le dossier que Findykill crée à la racine quand je clic sur l'executable et effacer l'éxécutable lui même). Sinon le dernier rapport que tu avais reçu (post 38) avait été obtenu avant d'éteindre l'ordinateur. J'ai seulement arrété mon portable infecté pour aller me coucher et je viens donc de le rallumer (bien sûr les symptômes sont toujours là...)
Peu importe, car je reprends tout.
Cependant, tu me demandes de faire deux fois de suite un diagnostic avec ZHPDiag et je pense que je vais poster deux fois le même rapport (?). C'est peut être dû à un copier-coller malencontreux, ou c'est normal. Je vais faire exactement ce que tu me dis (je numérote les rapports dans l'ordre), mais ne t'étonnes pas s'il y a deux fois le même.
C'est reparti......
Bonjour,
non, il y a 2 loupes, une à gauche et une (plus petite) à droite du tournevis.
Ca donne 2 rapports différents.
non, il y a 2 loupes, une à gauche et une (plus petite) à droite du tournevis.
Ca donne 2 rapports différents.
étape 1 ###############################
Voilà le lien pour le fichier ZHPDiag#4.txt : il s'agit du fichier obtenu après la deuxième analyse sur ZHPDiag. Je n'ai pas le fichier ZHPDiag#3, car après la première analyse, j'ai sauvegardé le mauvais fichier dans le dossier ZHPDiag (en fait ZHPADSRreport.txt) et donc forcément lors de la seconde analyse j'ai écrasé le ZHPDiag.txt existant (je crois que je commence à manquer de sommeil). Mais je pense que ça ne doit pas gêner, enfin je pense....
http://www.cijoint.fr/cjlink.php?file=cj200911/cijISLGJU9.txt
étape 2 ###############################
Voilà le rapport de ZHPFix avant redémarrage de l'ordi :
ZHPFix v1.12.21 by Nicolas Coolman - Rapport de suppression du 16/11/2009 16:13:17
Fichier d'export Registre : C:\ZHPExportRegistry-16-11-2009-16-13-17.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Processus mémoire :
C:\Documents and Settings\jeff\Application Data\hidires\flec003.exe => Fichier supprimé au reboot
Module mémoire :
(Néant)
Clé du Registre :
O64 - Services: CurCS - sK9Ou0s (sK9Ou0s) - LEGACY_SK9OU0S => Clé absente
O64 - Services: CurCS - No object (No service) - LEGACY_SROSA => Clé non supprimée
O64 - Services: CS002 - sK9Ou0s (sK9Ou0s) - LEGACY_SK9OU0S => Clé absente
O64 - Services: CS002 - srosa (srosa) - LEGACY_SROSA => Clé supprimée avec succès
Valeur du Registre :
O4 - HKCU\..\Run: [flec003.exe] C:\Documents and Settings\jeff\Application Data\hidires\flec003.exe => Valeur absente
Elément de données du Registre :
(Néant)
Dossier :
(Néant)
Fichier :
c:\documents and settings\jeff\application data\hidires\flec003.exe => Fichier supprimé au reboot
c:\windows\system32\ban_list.txt => Fichier absent
Logiciel :
(Néant)
Script Registre :
(Néant)
Autre :
(Néant)
Récapitulatif :
Processus mémoire : 1
Module mémoire : 0
Clé du Registre : 4
Valeur du Registre : 1
Elément de données du Registre : 0
Dossier : 0
Fichier : 2
Logiciel : 0
Autre : 0
End of the scan
étape 3 ###############################
voici la lien pour le nouveau diagnostic (ZHPDiag#5), donc après redémarrage et en chosissant option (tournevis) : "aucun"
http://www.cijoint.fr/cjlink.php?file=cj200911/cijUBKTvJp.txt
Voilà le lien pour le fichier ZHPDiag#4.txt : il s'agit du fichier obtenu après la deuxième analyse sur ZHPDiag. Je n'ai pas le fichier ZHPDiag#3, car après la première analyse, j'ai sauvegardé le mauvais fichier dans le dossier ZHPDiag (en fait ZHPADSRreport.txt) et donc forcément lors de la seconde analyse j'ai écrasé le ZHPDiag.txt existant (je crois que je commence à manquer de sommeil). Mais je pense que ça ne doit pas gêner, enfin je pense....
http://www.cijoint.fr/cjlink.php?file=cj200911/cijISLGJU9.txt
étape 2 ###############################
Voilà le rapport de ZHPFix avant redémarrage de l'ordi :
ZHPFix v1.12.21 by Nicolas Coolman - Rapport de suppression du 16/11/2009 16:13:17
Fichier d'export Registre : C:\ZHPExportRegistry-16-11-2009-16-13-17.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Processus mémoire :
C:\Documents and Settings\jeff\Application Data\hidires\flec003.exe => Fichier supprimé au reboot
Module mémoire :
(Néant)
Clé du Registre :
O64 - Services: CurCS - sK9Ou0s (sK9Ou0s) - LEGACY_SK9OU0S => Clé absente
O64 - Services: CurCS - No object (No service) - LEGACY_SROSA => Clé non supprimée
O64 - Services: CS002 - sK9Ou0s (sK9Ou0s) - LEGACY_SK9OU0S => Clé absente
O64 - Services: CS002 - srosa (srosa) - LEGACY_SROSA => Clé supprimée avec succès
Valeur du Registre :
O4 - HKCU\..\Run: [flec003.exe] C:\Documents and Settings\jeff\Application Data\hidires\flec003.exe => Valeur absente
Elément de données du Registre :
(Néant)
Dossier :
(Néant)
Fichier :
c:\documents and settings\jeff\application data\hidires\flec003.exe => Fichier supprimé au reboot
c:\windows\system32\ban_list.txt => Fichier absent
Logiciel :
(Néant)
Script Registre :
(Néant)
Autre :
(Néant)
Récapitulatif :
Processus mémoire : 1
Module mémoire : 0
Clé du Registre : 4
Valeur du Registre : 1
Elément de données du Registre : 0
Dossier : 0
Fichier : 2
Logiciel : 0
Autre : 0
End of the scan
étape 3 ###############################
voici la lien pour le nouveau diagnostic (ZHPDiag#5), donc après redémarrage et en chosissant option (tournevis) : "aucun"
http://www.cijoint.fr/cjlink.php?file=cj200911/cijUBKTvJp.txt
Re,
toujours sans redémarrer l'ordi, tu fais ça :
Double clique sur le raccourci ZHPDiag sur ton Bureau.
/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.
Clique sur le Tournevis.
Clique successivement sur Aucun puis sur Tous.
Vérifie que toutes les cases sont cochées.
Clique sur la "loupe dans le cahier" à droite du Tournevis pour lancer l'analyse MD5.
Laisse l'outil travailler, il peut être assez long.
Ferme ZHPDiag en fin d'analyse.
Pour transmettre le rapport clique sur ce lien :
http://www.cijoint.fr/
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
Sélectionne le fichier ZHPDiag.txt.
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page.
Copie ce lien dans ta réponse.
toujours sans redémarrer l'ordi, tu fais ça :
Double clique sur le raccourci ZHPDiag sur ton Bureau.
/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.
Clique sur le Tournevis.
Clique successivement sur Aucun puis sur Tous.
Vérifie que toutes les cases sont cochées.
Clique sur la "loupe dans le cahier" à droite du Tournevis pour lancer l'analyse MD5.
Laisse l'outil travailler, il peut être assez long.
Ferme ZHPDiag en fin d'analyse.
Pour transmettre le rapport clique sur ce lien :
http://www.cijoint.fr/
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
Sélectionne le fichier ZHPDiag.txt.
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page.
Copie ce lien dans ta réponse.
