Encore infecté ?

Question

Bonjour,
Je viens demander votre aide car je viens de passer un samedi entier à faire des analyses antivirus (spybot, malwarebytes, Kaspersky Virus Removal Tool) et je voudrais être sûr de ne plus être infecté.
Que dois-je faire ?

truecode · Answer

Bonjour ,


• Télécharge [url=https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html]ZHPDiag[/url]
• Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.
• Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
• Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
• Héberge le rapport ZHPDiag.txt sur [url=http://www.cijoint.fr/]ce site[/url], puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

Thetutub21 · Answer

Voici le rapport :
http://www.cijoint.fr/cjlink.php?file=cj201002/cijpIuJ7N4.txt

truecode · Answer

Je vois des choses pas top tu as installer volontairement eurobarre ? 

Fais cela : 

Désactive les logiciels de protection (Antivirus, Antispywares) puis :

Télécharge Combofix sUBs : [url=http://download.bleepingcomputer.com/sUBs/ComboFix.exe]combofix.exe[/url] et sauvegarde le sur ton bureau et pas ailleurs!

Double-clic sur combofix, accepte la licence d'utilisation et laisse toi guider.

Eventuellement, installe la console de récupération comme cela est conseillé

Attends que combofix ait terminé, un rapport sera créé. Poste le rapport.

Tu as le tutorial sur ce lien pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

PS : si Combofix ne se lance pas, renomme le fichier Combofix et retente.

Si pas mieux, tente en mode sans échec sans prise en charge du réseau : Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.

Thetutub21 · Answer

Désolé çà a duré pas mal de temps...
Voici le rapport :
http://www.cijoint.fr/cjlink.php?file=cj201002/cijvFsmEr7.txt

truecode · Answer

Oui mais ca permet de faire le ménage ,   Désinstalle  Ask Toolbar 
Ensuite poste un nouveau rapport avec ZHP diag

Thetutub21 · Answer

J'ai désinstallé Ask toolbar.
Et voici le nouveau rapport :
http://www.cijoint.fr/cjlink.php?file=cj201002/cij8Mk5DZa.txt

truecode · Answer

Désinstalle aussi :
Eurobarre 
DAEMON Tools Toolbar 

Ensuite fais un scan complet avec malware bytes et poste moi le rapport

Thetutub21 · Answer

Malwarebytes n'a rien détecté (après 5 heures de scan...)
Voici quand même le rapport :
http://www.cijoint.fr/cjlink.php?file=cj201002/cijpLeDK51.txt

truecode · Answer

Vérifie que ces dossiers sont supprimés sinon supprime les : 

C:\Program Files\Eurobarre 
C:\Program Files\DAEMON Tools Toolbar

Thetutub21 · Answer

Les deux dossiers sont supprimés.

Thetutub21 · Answer

Je suis toujours infecté car je n'arrive pas à accéder au mode sans échec : J'arrive à l'écran d'invite sans problème mais après mon choix, je reste planter sur un écran noir avec le curseur qui clignote. J'ai supprimé tous les points de restauration mais rien y fait.
Prevx m'indique aussi le fichier kbydhblb.exe situé dans le dossier system32 comme un malware...

truecode · Answer

Bonjour ,

Désoler la semaine je n'ai que peux de disponibilité pour me connecter sur internet a partir de vendredi je suis en vacance ca ira mieux :

Va sur ce site : https://www.virustotal.com/gui/
Et ensuite trouve le fichier kbydhblb.exe qui est dans system32 donc le chemin devrais êter 
C:\Windows\System32\kbydhblb.exe

Puis lance l'analyse et poste le rapport :

Thetutub21 · Answer

Voici le rapport de Virustotal : Fichier kbydhblb.exe reçu le 2010.02.08 15:51:11 (UTC) Résultat: 4/40 (10%) Antivirus Version Dernière mise à jour Résultat a-squared 4.5.0.50 2010.02.08 - AhnLab-V3 5.0.0.2 2010.02.08 - AntiVir 7.9.1.160 2010.02.08 - Antiy-AVL 2.0.3.7 2010.02.08 - Authentium 5.2.0.5 2010.02.08 - Avast 4.8.1351.0 2010.02.08 - AVG 9.0.0.730 2010.02.08 - BitDefender 7.2 2010.02.08 - CAT-QuickHeal 10.00 2010.02.08 - ClamAV 0.96.0.0-git 2010.02.08 - Comodo 3863 2010.02.08 - DrWeb 5.0.1.12222 2010.02.08 - eSafe 7.0.17.0 2010.02.07 - eTrust-Vet 35.2.7290 2010.02.08 - F-Prot 4.5.1.85 2010.02.08 - F-Secure 9.0.15370.0 2010.02.08 - Fortinet 4.0.14.0 2010.02.08 - GData 19 2010.02.08 - Ikarus T3.1.1.80.0 2010.02.08 - Jiangmin 13.0.900 2010.02.08 - K7AntiVirus 7.10.968 2010.02.06 Trojan.Win32.Malware.1 Kaspersky 7.0.0.125 2010.02.08 - McAfee 5885 2010.02.07 - McAfee+Artemis 5885 2010.02.07 - McAfee-GW-Edition 6.8.5 2010.02.08 Heuristic.LooksLike.Win32.SuspiciousPE.C Microsoft 1.5406 2010.02.08 - NOD32 4848 2010.02.08 - Norman 6.04.03 2010.02.08 - nProtect 2009.1.8.0 2010.02.08 - Panda 10.0.2.2 2010.02.07 - PCTools 7.0.3.5 2010.02.08 - Prevx 3.0 2010.02.08 Medium Risk Malware Rising 22.34.00.04 2010.02.08 - Sophos 4.50.0 2010.02.08 Mal/Wintrim-A Sunbelt 3.2.1858.2 2010.02.07 - TheHacker 6.5.1.1.183 2010.02.08 - TrendMicro 9.120.0.1004 2010.02.08 - VBA32 3.12.12.1 2010.02.08 - ViRobot 2010.2.8.2176 2010.02.08 - VirusBuster 5.0.21.0 2010.02.08 - Information additionnelle File size: 169155 bytes MD5...: 173e030aa78836e8aa745290799857df SHA1..: 617921a6e150b8f45f5f6bf43cadcee5a139a0d4 SHA256: 35a3cc3210a33686566e30bfc915f99fd3fee50606d9221f140dc3255e252433 ssdeep: 3072:EbS4EwEfP0cxxMCrL/b+LiZJ557d13s6SKcfind9jvOj1GkjGU9BDU+800w mbuo:EfEwEJxmCr3AUJ557d1/SKyinuj1Gkg/ PEiD..: - PEInfo: PE Structure information ( base data ) entrypointaddress.: 0x1000 timedatestamp.....: 0x4721cbbb (Fri Oct 26 11:12:59 2007) machinetype.......: 0x14c (I386) ( 3 sections ) name viradd virsiz rawdsiz ntrpy md5 .text 0x1000 0x44cd0 0x44e00 7.99 49b9608c5aeb5054b1cf41610bd737c5 .rdata 0x46000 0xf4 0x200 0.00 d41d8cd98f00b204e9800998ecf8427e .data 0x47000 0x1d98 0x1e00 0.00 d41d8cd98f00b204e9800998ecf8427e ( 0 imports ) ( 0 exports ) RDS...: NSRL Reference Data Set - pdfid.: - trid..: Generic Win/DOS Executable (49.9%) DOS Executable Generic (49.8%) Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%) http://info.prevx.com/aboutprogramtext.asp?PX5=98A79653C3A5823A94CA029A26E5270097157E25 sigcheck: publisher....: n/a copyright....: n/a product......: n/a description..: n/a original name: n/a internal name: n/a file version.: n/a comments.....: n/a signers......: - signing date.: - verified.....: Unsigned

Thetutub21 · Answer

Que dois-je faire ?

truecode · Answer

Télécharger http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/ OTMoveIt3 par OldTimer
* Enregistrer ce fichier sur le Bureau.

* Faire un double clic sur OTMoveIt3.exe pour lancer l'exécution de l'outil. (Note: Si vous utilisez Vista, faire un clic droit sur le fichier puis choisir Exécuter en tant qu'administrateur).

* Copier les lignes de la zone "Code" ci-dessous dans le Presse-papiers en les sélectionnant TOUTES puis en appuyant simultanément sur les touches CTRL et C (ou, après les avoir sélectionnées, en faisant un clic droit puis en choisissant Copier):


:processes

explorer.exe

:files
C:\Windows\System32\kbydhblb.exe 

:reg

:commands

[emptytemp]

[start explorer]

[reboot]


* Retourner dans la fenêtre de OTMoveIt3, faire un clic droit dans la zone "Paste List Instruction for Items to be Moved" (sous la barre bleu clair) puis choisir Coller.

* Cliquer sur le bouton rouge Moveit!.

* Fermer OTMoveIt3


Reviens sur le forum, et poste le rapport généré. Celui-ci se trouve ici : C:\_OTMoveIt\MovedFiles, poster le rapport le plus récent.


Note: Si un fichier ou un dossier ne peut pas être déplacé immédiatement, un redémarrage sera peut-être nécessaire afin de terminer le processus de déplacement. Si le redémarrage de la machine vous est demandé, choisir Oui/Yes.

Thetutub21 · Answer

Voici le rapport de OTM :


All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
========== FILES ==========
C:\Windows\System32\kbydhblb.exe moved successfully.
========== REGISTRY ==========
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default User
->Temp folder emptied: 65984 bytes
->Temporary Internet Files folder emptied: 32902 bytes
 
User: HUBBERT
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 574199 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 110654005 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 49286 bytes
->FireFox cache emptied: 3385782 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: NICOLE
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes
 
User: Propriétaire
 
User: THIERRY
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 78991 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 517296 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
Session Manager Temp folder emptied: 826475 bytes
Session Manager Tmp folder emptied: 137196880 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 33170 bytes
RecycleBin emptied: 1937 bytes
 
Total Files Cleaned = 242,00 mb
 
 
OTM by OldTimer - Version 3.1.8.0 log created on 02102010_123340

Files moved on Reboot...

Registry entries deleted on Reboot...

truecode · Answer

Voilà je peux avoir un nouveau rapport ZHP Diag par contre je ne pourrais le regarder que ce soir

Thetutub21 · Answer

Voici le rapport de ZHPDiag :
http://www.cijoint.fr/cjlink.php?file=cj201002/cijDFbgHgr.txt

truecode · Answer

Bonjour

Je ne pourrais que le regarder ce soir je te donne ma réponse demain matin pour te dire si tout va bien

Thetutub21 · Answer

Alors tout va bien ?

truecode · Answer

Bonjour , 

Désoler de ma réponse tardive , il y a toujours un souci c'est que tu as des traces de l'antivirus Norton sur ton pc alors que tu en utilise un autre donc il va falloir le supprimer totalement . 

Voici un tutoriel pour la suppression manuelle ou automatique de Norton 

https://www.commentcamarche.net/faq/3151-desinstaller-norton-symantec

Thetutub21 · Answer

C'est le dernier petit souci ?

truecode · Answer

Oui

Thetutub21 · Answer

Et pour le fait que je n'arrive pas à accéder au mode sans échec ? J'arrive à l'écran d'invite sans problème mais après mon choix, je reste planter sur un écran noir avec le curseur qui clignote. C'est aussi un petit souci çà...

truecode · Answer

Essai déjà de désinstaller totalement Norton il est source d'erreur de nombreux bug .
Tu peux faire un scan en ligne pour détecter une éventuelle infection restante . 
Ensuite essai de faire une réparation système si le problème persiste.

Thetutub21 · Answer

J'ai (enfin) désinstaller totalement Norton. 
Comment fait-on une réparation système ? 
On a besoin du CD de windows je suppose... 
Le problème c'est que xp est préinstallé sur mon ordinateur et j'ai pas de CD de windows...

truecode · Answer

Fait un scan en ligne pour commencer on verra après pour la restauration système : 
Voilà un tuto je te conseille bitdefener ou kaspersky
https://www.malekal.com/scan-antivirus-ligne-nod32/#mozTocId291566

Thetutub21 · Answer

Le scan en ligne de kaspersky est en cours de réactualisation, je ne peut donc pas l'utiliser.
Le "Quickscan" de BitDefender n'a rien détecté.

truecode · Answer

D'accord donc rien d'infectieux il faut voir au niveau de la réparation système avec la commande chkdsk

Thetutub21 · Answer

C'est assez long alors... je pense que je vais essayer çà cette nuit.

Thetutub21 · Answer

Désolé pour cette réponse un peu tardive mais j'ai fais le chkdisk pour mes 2 disques dur et je n'arrive toujours pas à accéder au mode sans échec.

Encore infecté ?

31 réponses

Votre réponse

Discussions similaires

Newsletters