fichier kuhp.dat infecte Résolu

Question

Bonjour, je vous pose mon probleme en attendant une repense des experes , depui que j'ai installer AVAST! 5.0 il me previen de l'infection du fichier kuhp.dat , qui se situe dans le repertoire des fichier temporairs , meme en  l' éffacant il reaparit !!!!  , encore .......j pas trouvé de probleme similaire sur la toile !!!! , merci

Lyonnais92 · Answer

Bonjour,

Télécharge la dernière version de ZHPDiag

Enregistre le sur ton Bureau.

Une fois le téléchargement achevé,fais un double clic sur ZHPDiag.exe et suis les instructions.

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

pour Xp :Double clique sur le raccourci ZHPDiag sur ton Bureau.

pour vista et Seven : fais un clic droit  sur le raccourci ZHPDiag sur ton Bureau et choisis "exécuter en tant qu'administrateur".

/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.

Clique sur la loupe pour lancer l'analyse.

Laisse l'outil travailler, il peut être assez long.

Ferme ZHPDiag en fin d'analyse.


Pour transmettre le rapport clique sur Cijoint

Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).

Sélectionne le fichier ZHPDiag.txt.

Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt

est ajouté dans la page.

Copie ce lien dans ta réponse.

wormdz · Answer

salut  ,  voici le lien du rapport :
http://www.cijoint.fr/cjlink.php?file=cj201002/cijNTjAWTd.txt

Lyonnais92 · Answer

Re,

on commence comme ça :

1) Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

2) Télécharge Malwarebytes' Anti-Malware (MBAM) et enregistre le sur ton Bureau.

hxxp://www.download.com/Malwarebytes-Anti-Malware/3000-8022_4-10804572.html

3) A la fin du téléchargement, ferme toutes les fenêtres et programmes, y compris celui-ci.

4) Double-clique sur l'icône Download_mbam-setup.exe sur ton bureau pour démarrer le programme d'installation.

5) Pendant l'installation, suis les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet). N'apporte aucune modification aux réglages par défaut et, en fin d'installation, vérifie que les options Update Malwarebytes' Anti-Malware et Launch Malwarebytes' Anti-Malware sont cochées.

6) MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse. Comme MBAM se met automatiquement à jour en fin d'installation, clique sur OK pour fermer la boîte de dialogue. La fenêtre principale de MBAM s'affiche :

7) Dans l'onglet analyse, vérifie que "Exécuter une analyse rapide"  est coché et clique sur le bouton Rechercher pour démarrer l'analyse.

8) MBAM analyse ton ordinateur. L'analyse peut prendre un certain temps. Il suffit de vérifier de temps en temps son avancement.

9) A la fin de l'analyse, un message s'affiche indiquant la fin de l'analyse. Clique sur OK pour poursuivre.

10) Si des malwares ont été détectés, leur liste s'affiche.
En cliquant sur Suppression (?) , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

11) MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Ferme le Bloc-notes. (Le rapport peut être retrouvé sous l'onglet Rapports/logs)

12) Ferme MBAM en cliquant sur Quitter.

13) Poste le rapport dans ta réponse

wormdz · Answer

voici se que avast! affiche :
http://www.cijoint.fr/cjlink.php?file=cj201002/cijMKXGRIl.jpg

Lyonnais92 · Answer

Re,

même si il n'a pas réglé ce problème, MBAM a nettoyé des infections sévères, dont un keylogger.

Ca veut dire qu'il faudra que tu changes tous tes mots de passe à la fin de la désinfection.

J'espère que tu n'as pas fait des transactions bancaires avec ton ordi depuis que tu es infecté.

===

Fais redémarrer l'ordi.

Refais tourner ZHPDiag et poste le nouveau rapport.

wormdz · Answer

bonjour ,
merci pour vous repenses , m pour le keyloger c pas un prob , j pas de comptes ni bancaire ni d'autre sur 
se pc :-) ,  mais  pour moi le problème est surtout se fichier , je veu connaître le processus qui le crée , pour bien l'analyseé . 
pour le rapport voici le lien ; http://www.cijoint.fr/cjlink.php?file=cj201002/cijaKOn4UD.txt

Lyonnais92 · Answer

Bonjour,

Ouvre ce lien : http://www.cijoint.fr/cjlink.php?file=cj201002/cij11r61R3.txt

Ouvre le fichier.

Copie dans le Presse-papier son contenu (sélectionne le avec la souris et fais simultanément Ctrl et C)

Déconnecte toi d'Internet et ferme toutes les applications ouvertes.


Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.

Clique sur "Tous" puis sur "Nettoyer".

Laisse l'outil travailler.

Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immédiatement.

Le rapport d'exécution va apparaître dans la fenêtre.

Copie le dans ta réponse.

wormdz · Answer

c fait , voici le rapport :

Processus mémoire :
(Néant)

Module mémoire :

Clé du Registre :
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://aolsvc.aol.com/onlinegames/bejeweled2/popcaploader_v10.cab  => Clé supprimée avec succès
[HKLM\SOFTWARE\Classes\CLSID\{DF780F87-FF2B-4DF8-92D0-73DB16A1543A}]  => Clé supprimée avec succès
[HKCR\CLSID\{DF780F87-FF2B-4DF8-92D0-73DB16A1543A}]  => Clé supprimée avec succès
O20 - Winlogon Notify: mlJyAqpP . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\System32\mlJyAqpP.dll (.not file.)  => Clé supprimée avec succès

Valeur du Registre :
O52 - TDSD: \Drivers32\"midi9"="C:\DOCUME~1
c\LOCALS~1\Temp\kuhp.dat 2nHAPKGEHD" . (.Pas de propriétaire - Pas de description.) -- (.not file.)  => Valeur supprimée 

Elément de données du Registre :

Dossier :

Fichier :
c:\windows\system32\mljyaqpp.dll  => Fichier absent
c:\windows\system32\windrvnt.sys  => Supprimé et mis en quarantaine

Logiciel :

Script Registre :

Autre :

Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 4
Valeur du Registre : 1
Elément de données du Registre : 0
Dossier : 0
Fichier : 2
Logiciel : 0
Autre : 0

End of the scan

wormdz · Answer

re , j remarque que cette line reaparé:
O52 - TDSD: \Drivers32\"midi9"="C:\DOCUME~1
c\LOCALS~1\Temp\kuhp.dat 2nHAPKGEHD" .
chaque  que je la supprime !!

Lyonnais92 · Answer

Re,

comment sais tu qu'elle réapparait ?

===

Télécharge [  http://pagesperso-orange.fr/NosTools/C_XX/SEAF.exe seaf.exe de C__XX ]


hxxp://sd-1.archive-host.com/membres/up/16506160323759868/SF.exe

*Double clique sur SEAF.exe.

*Coche "Chercher également dans le registre".

*Tape kuhp,midi9,2nHAPKGEHD  dans la fenêtre.

*Clique sur Lancer la recherche.

*Patiente quelques minutes(tu peux suivre l'avancement du scan).

*Une fenêtre avec un SEAFlog.txt va s'afficher.

*Copie/colle ce rapport dans ta prochaine réponse.

wormdz · Answer

ben pour le savoir c simple il sufit de rescané .. meme chose que pour le fichie kuhp.dat  .. pour le rapport de seaf c en coure ....

wormdz · Answer

voici le rapport :
1. ========================= SEAF 1.0.0.7 - C_XX
2. 
3. Commencé à: 14:10:48 le 23/02/2010
4. 
5. Valeur(s) recherchée(s):
6. 
7. kuhp
8. midi9
9. 2nHAPKGEHD
10. 
11. 
12. ====== Fichier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
13. 
14. "c:\Documents and Settings
c\Favorites\Fichier kuhp.dat infecte.url" [ ----A---- | 309 ]
15. TC: 22/02/2010,13:54:22 | TM: 22/02/2010,13:54:24 | DA: 23/02/2010,00:00:00
16. 
17. =========================
18. 
19. "c:\Documents and Settings
c\Local Settings\Temporary Internet Files\Content.IE5\NQVMH4U2\affich-16717900-fichier-kuhp-dat-infecte[1]" [ ----A---- | 16202 ]
20. TC: 23/02/2010,14:08:55 | TM: 23/02/2010,14:16:10 | DA: 23/02/2010,00:00:00
21. 
22. =========================
23. 
24. "c:\Documents and Settings
c\Local Settings\Temporary Internet Files\Content.IE5\EFKZMEIQ\affich-16717900-fichier-kuhp-dat-infecte[1]" [ ----A---- | 13150 ]
25. TC: 22/02/2010,16:17:20 | TM: 22/02/2010,16:17:22 | DA: 22/02/2010,00:00:00
26. 
27. =========================
28. 
29. "c:\Documents and Settings
c\Local Settings\Temp\kuhp.dat" [ ----A---- | 28672 ]
30. TC: 28/08/2001,12:00:00 | TM: 28/08/2001,12:00:00 | DA: 23/02/2010,00:00:00
31. 
32. =========================
33. 
34. ====== Dossier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
35. 
36. Aucun dossier trouvé
37. 
38. =========================
39. 
40. Fin à: 14:16:38 le 23/02/2010 ( E.O.F )

wormdz · Answer

j me sui  permait d'ajouter un scan du registre et voici le rapport :
45. ====== Entrée(s) du registre ======
46. 
47. 
48. 
49. [HKEY_CURRENT_USER\Software\Iarsn\TaskInfo_90\Screan]
50. "SearchPattern"="kuhp.dat"
51. 
52. [HKEY_CURRENT_USER\Software\Iarsn\TaskInfo_90\Screan]
53. "SearchPatternLRU_list_items_0"="kuhp.dat"
54. 
55. [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32]
56. "midi9"="C:\DOCUME~1
c\LOCALS~1\Temp\kuhp.dat 2nHAPKGEHD"
57. 
58. [HKEY_USERS\S-1-5-21-1078081533-823518204-725345543-1004\Software\Iarsn\TaskInfo_90\Screan]
59. "SearchPattern"="kuhp.dat"
60. 
61. [HKEY_USERS\S-1-5-21-1078081533-823518204-725345543-1004\Software\Iarsn\TaskInfo_90\Screan]
62. "SearchPatternLRU_list_items_0"="kuhp.dat"
63. 
64. 
65. 
66. [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32]
67. "midi9"="C:\DOCUME~1
c\LOCALS~1\Temp\kuhp.dat 2nHAPKGEHD"
68. 
69. 
70. 
71. [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32]
72. "midi9"="C:\DOCUME~1
c\LOCALS~1\Temp\kuhp.dat 2nHAPKGEHD"
73. 
74. =========================
75. 
76. Fin à: 14:34:33 le 23/02/2010 ( E.O.F )

Lyonnais92 · Answer

Re,

j'avais inclus le scan du registre dans ma demande du post 11.

Pas grave.

D'autant moins que ce scan nous en dit beaucoup.

Visiblement, ce fichier est lié à un logiciel de Iarsn, TaskInfo.

Je ne connais pas ce logiciel, je ne sais pas où tu te l'es procuré.

Par contre, un fichier avec une extension .dat, dans un répertoire temporaire, pour un "driver de son", je trouve ça très bizarre.

Plusieurs possibilités :

- tu désinstalles le logiciel et on vérifie que le fichier et la clé de registre ont disparu

- on supprime les clés de registre identifiées, mais je ne sais pas quelles sont les conséquences sur le logiciel

- on ne fait rien, mais je ne sais pas quels risques de sécurité tu cours.

wormdz · Answer

re bonjour , 

le logiciel TaskInfo. c un gestionnaire de processus que montre et traite les processus system (presque comme le gestionaire de tache windows mais plus daitaillé )
ok pour la premiere solution j désinstallé le programme m rien de changé la cle et toujour la , en  plus le fichier !!!  meme en les effassant ils réapparait .
pour la deuxiemme  rien de change meme prob !!!!!!!!!
pour le risque je c que AVAST! block l'execution du virus , m pour moi c connaitre le processus de l'infection qui et important , au moin pour que d'autre qui n'on pas la meme experience trouve la solution .
pour info j constaté que le fichier kuhp.dat et applé chaque foi que j'execute un fichie exe !

Lyonnais92 · Answer

Bonjour,

tu désinstalles TaskInfo.

Tu fais redémarrer l'ordi.

Tu refais le scan avec SEAF sur kuhp (y compris recherche dans le registre).

Je me demande si l'infection va continuer à utiliser ces clés ou bien va passer par un autre logiciel.

wormdz · Answer

non ,  pour le taskinfo c pas lui le probleme puisque j utiliser se logicielle pour analyse le le processus de l'infection , meme en le desinstalent   les cles rest les meme , le fichier .dat le meme , voici le rapport :

http://www.cijoint.fr/cjlink.php?file=cj201002/cijxpkl1E5.txt

voici le rap du SEAF :
1. ========================= SEAF 1.0.0.7 - C_XX
2. 
3. Commencé à: 10:55:50 le 24/02/2010
4. 
5. Valeur(s) recherchée(s):
6. 
7. kuhp
8. 
9. (!) --- Informations supplémentaires
10. (!) --- Recherche registre
11. 
12. ====== Fichier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
13. 
14. "c:\Documents and Settings
c\Favorites\Fichier kuhp.dat infecte.url" [ ----A---- | 309 ]
15. TC: 22/02/2010,13:54:22 | TM: 22/02/2010,13:54:24 | DA: 24/02/2010,00:00:00
16. 
17. 
18. =========================
19. 
20. ====== Dossier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
21. 
22. Aucun dossier trouvé
23. 
24. 
25. ====== Entrée(s) du registre ======
26. 
27. 
28. 
29. [HKEY_CURRENT_USER\Software\Iarsn\TaskInfo_90\Screan]
30. "SearchPattern"="kuhp.dat"
31. 
32. [HKEY_CURRENT_USER\Software\Iarsn\TaskInfo_90\Screan]
33. "SearchPatternLRU_list_items_0"="kuhp.dat"
34. 
35. [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32]
36. "midi9"="C:\DOCUME~1
c\LOCALS~1\Temp\kuhp.dat 2nHAPKGEHD"
37. 
38. [HKEY_USERS\S-1-5-21-1078081533-823518204-725345543-1004\Software\Iarsn\TaskInfo_90\Screan]
39. "SearchPattern"="kuhp.dat"
40. 
41. [HKEY_USERS\S-1-5-21-1078081533-823518204-725345543-1004\Software\Iarsn\TaskInfo_90\Screan]
42. "SearchPatternLRU_list_items_0"="kuhp.dat"
43. 
44. =========================
45. 
46. Fin à: 11:03:44 le 24/02/2010 ( E.O.F )

pour les lines 32-33 et 41-42 c pas grave c le resulta de la recherche du fichier kuhp dans lr logicielle  taskinfo.

Lyonnais92 · Answer

Re,

bizarre, le fichier n'apparait pas dans le rapport.

===

Désinstalle TaskInfo.

===

Ouvre le Bloc Notes.
Copie le texte en gras ci-dessous :


REGEDIT4

[-HKEY_CURRENT_USER\Software\Iarsn]
[-HKEY_USERS\S-1-5-21-1078081533-823518204-725345543-1004\Software\Iarsn]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32]
 "midi9"=-


Clique sur "Fichier", "Enregistrer sous".
Clique sur Bureau (dans la colonne de gauche)
Dans Nom du fichier tu écris fix.reg
Pour Type tu choisis "tous les fichiers" avec le menu déroulant.
Tu cliques sur Enregistrer.
Tu fermes le Bloc-notes

Sur ton bureau, tu double-clique sur l'icône de Fix.reg
Tu acceptes l'avertissement concernant la fusion
Le fix va travailler sans se manifester.
A la fin, tu vas voir un message disant que la fusion est terminée. Tu valides.

===
Refais un nouveau scan SEAF sur kuhp (sans réinstaller TaskInfo ni redémarrer l'ordi)

Toutes les clés ont disparu ?

Fais redémarrer l'ordi et refais un scan SEAF.

Les clés ont réapparu ?

wormdz · Answer

voici le scan avant le redemarage :
1. ========================= SEAF 1.0.0.7 - C_XX
2. 
3. Commencé à: 13:47:29 le 24/02/2010
4. 
5. Valeur(s) recherchée(s):
6. 
7. kuhp
8. 
9. (!) --- Recherche registre
10. 
11. ====== Fichier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
12. 
13. "c:\Documents and Settings
c\Favorites\Fichier kuhp.dat infecte.url" [ ----A---- | 309 ]
14. TC: 22/02/2010,13:54:22 | TM: 22/02/2010,13:54:24 | DA: 24/02/2010,00:00:00
15. 
16. =========================
17. 
18. "c:\Documents and Settings
c\Local Settings\Temporary Internet Files\Content.IE5\974NLSBC\affich-16717900-fichier-kuhp-dat-infecte[1]" [ ----A---- | 118512 ]
19. TC: 24/02/2010,13:42:10 | TM: 24/02/2010,13:42:32 | DA: 24/02/2010,00:00:00
20. 
21. =========================
22. 
23. "c:\Documents and Settings
c\Local Settings\Temp\kuhp.dat" [ ----A---- | 28672 ]
24. TC: 28/08/2001,12:00:00 | TM: 28/08/2001,12:00:00 | DA: 24/02/2010,00:00:00
25. 
26. =========================
27. 
28. ====== Dossier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
29. 
30. Aucun dossier trouvé
31. 
32. 
33. ====== Entrée(s) du registre ======
34. 
35. Aucune entrée du registre trouvée
36. 
37. =========================
38. 
39. Fin à: 13:53:34 le 24/02/2010 ( E.O.F )

Lyonnais92 · Answer

Re,

les clés ont bien disparu.

Le fichier est réapparu.

Essaye de le supprimer (clic droit et suppression).

Supprime aussi : c:\Documents and Settings
c\Favorites\Fichier kuhp.dat infecte.url

Ensuite, fais redémarrer l'ordi et rescanne avec SEAF qu'on voit où on en est.

wormdz · Answer

et voici le rapport apre le redimarage :
1. ========================= SEAF 1.0.0.7 - C_XX
2. 
3. Commencé à: 14:04:21 le 24/02/2010
4. 
5. Valeur(s) recherchée(s):
6. 
7. kuhp
8. 
9. (!) --- Recherche registre
10. 
11. ====== Fichier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
12. 
13. "c:\Documents and Settings
c\Favorites\Fichier kuhp.dat infecte.url" [ ----A---- | 309 ]
14. TC: 22/02/2010,13:54:22 | TM: 22/02/2010,13:54:24 | DA: 24/02/2010,00:00:00
15. 
16. =========================
17. 
18. "c:\Documents and Settings
c\Local Settings\Temp\kuhp.dat" [ ----A---- | 28672 ]
19. TC: 28/08/2001,12:00:00 | TM: 28/08/2001,12:00:00 | DA: 24/02/2010,00:00:00
20. 
21. =========================
22. 
23. ====== Dossier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
24. 
25. Aucun dossier trouvé
26. 
27. 
28. ====== Entrée(s) du registre ======
29. 
30. Aucune entrée du registre trouvée
31. 
32. =========================
33. 
34. Fin à: 14:12:08 le 24/02/2010 ( E.O.F )

wormdz · Answer

ok , merci frero , je croit que le fichier a disparu , meme la cle , c peut etre du au logicielle !!!!
mais un grand merci de ton aide si precieuse ..........    je c que sa va aide pas mal d'intenaute (j'espaire ).

Lyonnais92 · Answer

Re,

je ne suis plus sûr de à quel message tu réponds (on peut se croiser).


Donc, plus de clés avec le fichier.

Le fichier est là.

Suppression des 2 fichiers par Clic droit et Supprimer.

Vidage de la Corbeille.

Ouverture et fermeture de l'Explorateur Windows.

Vérification que le fichier est bien absent.

Redémarrage de l'ordi dans la foulée.

Rescan SEAF pour voir la nouvelle situation.

wormdz · Answer

c ok , pas de fichier , pas de cle , tous rentre dans l'order , meme avast a arrete c alerte ( c normale tans que le fichier kuhp.dat a etait effacé ).... encore merci .

Lyonnais92 · Answer

Re,

tu as réinstallé TaskInfo ? (tu le télécharges depuis le site de l'éditeur ?).

===
Il y a encore des choses à faire :

mets à jour Internet Explorer, même si tu ne t'en sers pas, c'est une faille de sécurité).

mets aussi à jour Windows Media  (même chose, risque de sécurité).

===

Refais démarrer l'ordi, refais tourner RSIT et poste le rapport dans un lien Cijoint.

===

Fichier kuhp.dat infecte - Page 2

Discussions similaires

Newsletters