Bluestreak Résolu/Fermé

Question

Bonjour , je suis infecté par "Bluestreak".
Je le trouve avec Spybot. Je le supprime mais il revient toujours :s
Merci de votre aide

Configuration: Windows Vista / Firefox 3.0.1

Utilisateur anonyme · Answer

bonjour ,  

tu as l'adresse  du fichier ?   là ou il se trouve dans ton pc ?

lepurlensois62 · Answer

Non désolé :s !!

Utilisateur anonyme · Answer

enlève spybot    mets  kaspersky internet security2010  en version d'essai   essaie de l'enlever  avec ca   c'est plus puissant que spy.

lepurlensois62 · Answer

Ok je vais test

neo*** · Answer

re

suite a ton mp, je vais te faire avancer si tu veux


==> Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection):

* Va dans démarrer puis panneau de configuration 
* Double Clique sur l'icône "Comptes d'utilisateurs" 
* Clique ensuite sur désactiver et valide.


==>Désactiver le TeaTimer de Spybot : (en effet il pourrait nous gener en bloquant certains outils de desinfection)

 => Ouvrir Spybot S&D 
=> Dans le menu "Mode", séléctionner le mode avancé. 
=> onglet "Outils". 
=> Cliquer sur Résident. 
=> Décocher la ligne TeaTimer. 

==>Il y a une infection Lop/Swizzor qui affiche des fenêtres de publicités "CiD". Elle s'installe via les logiciels suivants notamment, en contrepartie de leur dite « gratuité » : 

 Le sponsor de Messenger Plus! 
 Bittorent 
 BitDownload 
 BitGrabber 
 NetPumper 
 BitRoll 
 TorrentQ 
 Torrent101 

Pour la supprimer, fais ceci : 

 Désactive ton antivirus. 

 Télécharge Lop S&D (créé par eric 71) sur ton Bureau : LOP SD
 Clic droit en tant qu'administrateur dessus  pour lancer l'installation 
 Clic droit en tant qu'administrateur sur le raccourci Lop S&D présent sur ton Bureau 
 Sélectionne la langue souhaitée, puis choisis l'option 2 (suppression)
 Patiente jusqu'à la fin du scan 
 Poste le rapport généré 
 Réactive ton antivirus 

Tutoriel pour t'aider

lepurlensois62 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201003/cijZvW9G89.txt

neo*** · Answer

Télécharge Malwarebytes' Anti-Malware 

- Sur la page cliques sur Télécharger Malwarebyte's Anti-Malware 
- Enregistres le sur le bureau 
- Double cliques sur le fichier téléchargé pour lancer le processus d'installation 
- Mets le a jour /!\  
-  Clic droit en tant qu'admin sur l'icône de malwarebytes pour le relancer 
- Dans l'onglet, Recherche, probablement ouvert par défaut, 
- Sélectionne Exécuter un examen complet et Rechercher 
- Si des malwares ont été détectés, cliques sur Afficher les résultats 
- Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
- Colle le rapport ici, il se trouve dans l'onglet rapport/log

Si tu as besoin d'aide regarde ce tutorial 

https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
ps: s'il te demande de redemarrer : fais le !

lepurlensois62 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201003/cijC335PV7.txt
rien n'a été détecté

neo*** · Answer

Tres bien 

* Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag)
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
* Copie/colle les lignes suivantes et place les dans ZHPFix :

O53 - SMSR:HKLM\...\startupreg\AmenStart [Key] . (.Pas de propriétaire - Pas de description.) -- "C:\ProgramData\Blah Find Find.yjmysg"
O64 - Services: CurCS - (.not file.) - aswFsBlk (aswFsBlk) .(.Pas de propriétaire - Pas de description.) - LEGACY_ASWFSBLK
O64 - Services: CurCS - (.not file.) - aswMonFlt (aswMonFlt) .(.Pas de propriétaire - Pas de description.) - LEGACY_ASWMONFLT
O64 - Services: CurCS - (.not file.) - aswRdr (aswRdr) .(.Pas de propriétaire - Pas de description.) - LEGACY_ASWRDR
O64 - Services: CurCS - (.not file.) - avast! Self Protection (aswSP) .(.Pas de propriétaire - Pas de description.) - LEGACY_ASWSP
O64 - Services: CurCS - (.not file.) - avast! Network Shield Support (aswTdi) .(.Pas de propriétaire - Pas de description.) - LEGACY_ASWTDI
O64 - Services: CurCS - (.not file.) - AVG Free8 Network Redirector (AvgTdiX) .(.Pas de propriétaire - Pas de description.) - LEGACY_AVGTDIX
O64 - Services: CurCS - (.not file.) - BDFM (bdfm) .(.Pas de propriétaire - Pas de description.) - LEGACY_BDFM
O64 - Services: CurCS - (.not file.) - bdfsfltr (bdfsfltr) .(.Pas de propriétaire - Pas de description.) - LEGACY_BDFSFLTR
O64 - Services: CurCS - (.not file.) - bdftdif (bdftdif) .(.Pas de propriétaire - Pas de description.) - LEGACY_BDFTDIF
O64 - Services: CurCS - (.not file.) - Symantec Intrusion Prevention Driver (IDSvix86) .(.Pas de propriétaire - Pas de description.) - LEGACY_IDSVIX86
O64 - Services: CurCS - (.not file.) - Kaspersky Lab Boot Guard Driver (klbg) .(.Pas de propriétaire - Pas de description.) - LEGACY_KLBG
O64 - Services: CurCS - (.not file.) - Kaspersky Lab Driver (KLIF) .(.Pas de propriétaire - Pas de description.) - LEGACY_KLIF
O64 - Services: CurCS - (.not file.) - SYMDNS (SYMDNS) .(.Pas de propriétaire - Pas de description.) - LEGACY_SYMDNS
O64 - Services: CurCS - (.not file.) - SymEvent (SymEvent) .(.Pas de propriétaire - Pas de description.) - LEGACY_SYMEVENT
O64 - Services: CurCS - (.not file.) - SYMFW (SYMFW) .(.Pas de propriétaire - Pas de description.) - LEGACY_SYMFW
O64 - Services: CurCS - (.not file.) - SYMNDISV (SYMNDISV) .(.Pas de propriétaire - Pas de description.) - LEGACY_SYMNDISV
O64 - Services: CurCS - (.not file.) - SYMREDRV (SYMREDRV) .(.Pas de propriétaire - Pas de description.) - LEGACY_SYMREDRV
O64 - Services: CurCS - (.not file.) - SYMTDI (SYMTDI) .(.Pas de propriétaire - Pas de description.) - LEGACY_SYMTDI

* Clique sur OK
* Clique sur « Tous », puis sur « Nettoyer »
* Copie/colle la totalité du rapport dans ta prochaine réponse

lepurlensois62 · Answer

sa ne fonctionne pas. Sa marque :"Impossible de créer le fichier "C:\Program Files\ZHPDiag\ZHPFixQuarantine.txt". Accès refusé"

Je pense avoir fait une connerie. j'ai supprimé les liens que tu m'avais dis de dl et les rapports aussi :s

neo*** · Answer

==> Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection):
UAC

* Va dans démarrer puis panneau de configuration 
* Double Clique sur l'icône "Comptes d'utilisateurs" 
* Clique ensuite sur désactiver et valide.

Ensuite relance Zhpfix mais en faisant un clic droit en tant qu'administrateur et fais la suite que je te redonne :

* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
* Copie/colle les lignes suivantes et place les dans ZHPFix :

O53 - SMSR:HKLM\...\startupreg\AmenStart [Key] . (.Pas de propriétaire - Pas de description.) -- "C:\ProgramData\Blah Find Find.yjmysg"
O64 - Services: CurCS - (.not file.) - aswFsBlk (aswFsBlk) .(.Pas de propriétaire - Pas de description.) - LEGACY_ASWFSBLK
O64 - Services: CurCS - (.not file.) - aswMonFlt (aswMonFlt) .(.Pas de propriétaire - Pas de description.) - LEGACY_ASWMONFLT
O64 - Services: CurCS - (.not file.) - aswRdr (aswRdr) .(.Pas de propriétaire - Pas de description.) - LEGACY_ASWRDR
O64 - Services: CurCS - (.not file.) - avast! Self Protection (aswSP) .(.Pas de propriétaire - Pas de description.) - LEGACY_ASWSP
O64 - Services: CurCS - (.not file.) - avast! Network Shield Support (aswTdi) .(.Pas de propriétaire - Pas de description.) - LEGACY_ASWTDI
O64 - Services: CurCS - (.not file.) - AVG Free8 Network Redirector (AvgTdiX) .(.Pas de propriétaire - Pas de description.) - LEGACY_AVGTDIX
O64 - Services: CurCS - (.not file.) - BDFM (bdfm) .(.Pas de propriétaire - Pas de description.) - LEGACY_BDFM
O64 - Services: CurCS - (.not file.) - bdfsfltr (bdfsfltr) .(.Pas de propriétaire - Pas de description.) - LEGACY_BDFSFLTR
O64 - Services: CurCS - (.not file.) - bdftdif (bdftdif) .(.Pas de propriétaire - Pas de description.) - LEGACY_BDFTDIF
O64 - Services: CurCS - (.not file.) - Symantec Intrusion Prevention Driver (IDSvix86) .(.Pas de propriétaire - Pas de description.) - LEGACY_IDSVIX86
O64 - Services: CurCS - (.not file.) - Kaspersky Lab Boot Guard Driver (klbg) .(.Pas de propriétaire - Pas de description.) - LEGACY_KLBG
O64 - Services: CurCS - (.not file.) - Kaspersky Lab Driver (KLIF) .(.Pas de propriétaire - Pas de description.) - LEGACY_KLIF
O64 - Services: CurCS - (.not file.) - SYMDNS (SYMDNS) .(.Pas de propriétaire - Pas de description.) - LEGACY_SYMDNS
O64 - Services: CurCS - (.not file.) - SymEvent (SymEvent) .(.Pas de propriétaire - Pas de description.) - LEGACY_SYMEVENT
O64 - Services: CurCS - (.not file.) - SYMFW (SYMFW) .(.Pas de propriétaire - Pas de description.) - LEGACY_SYMFW
O64 - Services: CurCS - (.not file.) - SYMNDISV (SYMNDISV) .(.Pas de propriétaire - Pas de description.) - LEGACY_SYMNDISV
O64 - Services: CurCS - (.not file.) - SYMREDRV (SYMREDRV) .(.Pas de propriétaire - Pas de description.) - LEGACY_SYMREDRV
O64 - Services: CurCS - (.not file.) - SYMTDI (SYMTDI) .(.Pas de propriétaire - Pas de description.) - LEGACY_SYMTDI

* Clique sur OK
* Clique sur « Tous », puis sur « Nettoyer »
* Copie/colle la totalité du rapport dans ta prochaine réponse

lepurlensois62 · Answer

ZHPFix v1.12.3081  by Nicolas Coolman - Rapport de suppression du 27/03/2010 20:56:26
Fichier d'export Registre : C:\ZHPExportRegistry-27-03-2010-20-56-26.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html


Processus mémoire :
(Néant)

Module mémoire :
(Néant)

Clé du Registre :
O53 - SMSR:HKLM\...\startupreg\AmenStart [Key] . (.Pas de propriétaire - Pas de description.) -- "C:\ProgramData\Blah Find Find.yjmysg"  => Clé supprimée avec succès
O53 - SMSR:HKLM\...\startupreg\AmenStart [Key] . (.Pas de propriétaire - Pas de description.) -- "C:\ProgramData\Blah Find Find.yjmysg"  => Clé absente

Valeur du Registre :
(Néant)

Elément de données du Registre :
(Néant)

Dossier :
(Néant)

Fichier :
c:\programdata\blah find find.yjmysg"  => Fichier absent

Logiciel :
(Néant)

Script Registre :
(Néant)

Autre :
(Néant)


Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 2
Valeur du Registre : 0
Elément de données du Registre : 0
Dossier : 0
Fichier : 1
Logiciel : 0
Autre : 0


End of the scan

neo*** · Answer

On va vérifier aussi tes sources amovibles et les vacciner :

* Telecharge UsbFix (de C_XX & el desaparecido) sur ton bureau

* Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptibles d'avoir été infectées sans les ouvrir
* Double clic sur le raccourci UsbFix présent sur ton bureau
* choisi l'option 2 ( Suppression )
* Ton bureau disparaîtra et le pc redémarrera .
* Au redémarrage , UsbFix scannera ton pc , laisse travailler l'outil.

* Ensuite post le rapport UsbFix.txt qui apparaîtra avec le bureau .
* Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

* :!: UsbFix te proposera peut être d'uploader un dossier compressé à cette adresse
* Ce dossier a été créé par UsbFix et est enregistré sur ton bureau.
* Il faut l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches.
* Merci d'avance pour ta contribution !!

lepurlensois62 · Answer

############################## | UsbFix V6.100 |

User : Guillaume (Administrateurs) # PC-DE-GUILLAUME
Update on 18/03/2010 by El Desaparecido , C_XX & Chimay8
Start at: 21:31:32 | 27/03/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

AMD Athlon(tm) 64 X2 Dual-Core Processor TK-53
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6001 32-bit) # Service Pack 1
Internet Explorer 7.0.6001.18000
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 100,11 Go (25,8 Go free) # NTFS
D:\ -> Disque fixe local # 11,67 Go (2,1 Go free) [PRESARIO_RP] # NTFS
E:\ -> Disque CD-ROM
G:\ -> Disque fixe local # 931,28 Go (659,46 Go free) [DD GUILLAUM] # FAT32

################## | Elements infectieux |

Supprimé ! C:\$Recycle.Bin\S-1-5-21-2792019498-127276021-3321234263-1000 
Supprimé ! C:\$Recycle.Bin\S-1-5-21-2792019498-127276021-3321234263-500 
Supprimé ! C:\$Recycle.Bin\S-1-5-21-3559779116-2649392401-1954536415-500 
Supprimé ! D:\$Recycle.Bin\S-1-5-21-2792019498-127276021-3321234263-1000 
Supprimé ! D:\$Recycle.Bin\S-1-5-21-2792019498-127276021-3321234263-500 

################## | Registre |


################## | Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\{d3516092-9275-11de-a86e-001e6838fa69}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{d3559ddf-3252-11de-aade-001e6838fa69}\Shell\AutoRun\Command  

################## | Listing des fichiers présent |

[24/10/2007 23:47|--a------|74] C:\autoexec.bat 
[18/01/2008 23:45|-rahs----|333203] C:\bootmgr 
[18/09/2006 22:43|--a------|10] C:\config.sys 
[26/02/2009 14:52|-rahs----|0] C:\IO.SYS 
[24/10/2007 23:23|--ah-----|362] C:\IPH.PH 
[21/01/2009 23:48|--a------|1108] C:\MDL 2.0 Debug.txt 
[26/02/2009 14:52|-rahs----|0] C:\MSDOS.SYS 
[?|?|?] C:\pagefile.sys 
[27/03/2010 21:36|--a------|1867] C:\UsbFix.txt 
[27/03/2010 20:56|--a------|874] C:\ZHPExportRegistry-27-03-2010-20-56-26.txt 
[11/09/2005 16:18|---hs----|340] D:\AUTOMODE 
[09/05/2008 20:30|---hs----|13] D:\BLOCK.RIN 
[04/10/2006 00:02|---hs----|438328] D:\bootmgr 
[06/09/2008 12:19|---hs----|891] D:\Desktop.ini 
[10/09/2002 17:14|---hs----|8134] D:\Folder.htt 
[09/05/2008 22:04|--ahs----|936] D:\MASTER.LOG 
[29/01/2007 18:59|---hs----|109342] D:\protect.chinese hong kong 
[29/01/2007 18:59|---hs----|109360] D:\protect.chinese simplified 
[29/01/2007 18:59|---hs----|109342] D:\protect.chinese traditional 
[14/02/2007 19:30|---hs----|111653] D:\protect.czech 
[29/01/2007 18:55|---hs----|109124] D:\protect.danish 
[29/01/2007 18:57|---hs----|109049] D:\protect.dutch 
[29/01/2007 18:55|---hs----|109092] D:\protect.ed 
[29/01/2007 18:55|---hs----|109092] D:\protect.english 
[29/01/2007 18:56|---hs----|109092] D:\protect.finnish 
[29/01/2007 18:56|---hs----|109060] D:\protect.french 
[29/01/2007 18:55|---hs----|109094] D:\protect.german 
[14/02/2007 19:38|---hs----|112541] D:\protect.greek 
[14/02/2007 19:40|---hs----|112375] D:\protect.hebrew 
[28/08/2007 15:57|---hs----|111475] D:\protect.hungarian 
[29/01/2007 18:56|---hs----|108979] D:\protect.italian 
[29/01/2007 18:57|---hs----|109795] D:\protect.japanese 
[29/01/2007 18:57|---hs----|109487] D:\protect.korean 
[14/02/2007 19:44|---hs----|111402] D:\protect.norwegian 
[14/02/2007 19:45|---hs----|111585] D:\protect.polish 
[14/02/2007 19:46|---hs----|111448] D:\protect.portuguese 
[14/02/2007 19:46|---hs----|111697] D:\protect.portuguese brazilian 
[29/01/2007 18:58|---hs----|163804] D:\protect.russian 
[29/01/2007 18:55|---hs----|109016] D:\protect.spanish 
[14/02/2007 19:48|---hs----|111445] D:\protect.swedish 
[14/02/2007 19:49|---hs----|111598] D:\protect.turkish 
[09/05/2008 21:33|-r-hs----|26] D:\RCBoot.sys 
[09/05/2008 21:31|--ahs----|14] D:\USER 
[11/03/2010 16:57|--ahs----|3072] G:\Thumbs.db 

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# D:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# G:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 

################## | Upload | 

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_PC-de-Guillaume.zip : https://www.ionos.fr/?affiliate_id=77097 
Merci pour votre contribution .  

################## | ! Fin du rapport # UsbFix V6.100 ! |

neo*** · Answer

comment va ton pc ??

lepurlensois62 · Answer

Bin écoute il fonctionne bien. Je vais refaire une analyse avec spybot pour voir si il y a encore des choses. Jte tiens au courant. Merci beaucoup

neo*** · Answer

Spybot n'est pas une reference, si tu veux faire une analyse, fais la avec ton antivirus !

lepurlensois62 · Answer

J'ai avira antivir personal !! tu penses que c'est un bon ?
avec spybot , il reste tradedoubler et doubleclick

neo*** · Answer

salut desole pour le delai

Avira est tres performant ;)

Par contre, peux tu reposter un nouveau rapport Zhpdiag stp, je voudrais vérifier quelque chose ?

lepurlensois62 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201003/cij6uot89c.txt

neo*** · Answer

salut ;)

Pour doubleclic et l'autre c'est sans dote des cookies qu'il te trouve, on va les nettoyer dans la suite :

tu as des mises a jour a faire pour contrer certaines failles de securité :

vista : en suivant ceci


MAJ IE8 : https://support.microsoft.com/en-us/office/internet-explorer-help-23360e49-9cd3-4dda-ba52-705336cc0de2?ui=en-US&rs=en-001&ad=US



* Adobe Reader n'est pas à jour, c'est une faille de sécurité. Ouvre le puis va dans aide et rechercher des mises a jour
A cause de ca


Java n'est pas à jour, c'est une faille de sécurité.
Il faut d'abord désinstaller l'ancienne version : Ouvre le menu démarrer --> panneau de configuration --> ajout/suppression de programmes --> sélectionne toutes les versions de java présentes et désinstalle les.
Ensuite, télécharge et installe la nouvelle version depuis le site officiel de java : https://java.com/fr/


* Tu dois aussi mettre à jour tous tes autres programmes pour combler des failles de sécurité... Vérifie les mises disponibles à l'aide de ce petit programme (choisis la version sans installation) : Update Checker 

pourquoi tenir ses programmes a jour

ENSUITE 

Ton pc n'est plus infecté ! 

Il reste quelques petites choses a faire pour finir le nettoyage et pour optimiser ton pc :


==>Sécurité

 Anti-virus : OK


 Anti-spyware : Si tu y tiens garde Spybot mais il n'est plus vraiment utile ..

* En complément, garde MalwareBytes pour son scan de nettoyage performant. 

 Pour naviguer sur internet plus en sécurité et à l'abri des publicités, je te conseille vivement de naviguer sous firefox avec deux extensions : 
AdBlockPlus pour bloquer les publicités ; 

WOT, pour t'avertir des sites web dangereux. 



==> Télécharge ToolsCleaner sur ton Bureau pour nettoyer l'ordi de tous les outils qu'on a utilisé : ToolsCleaner


Lance le, clique sur Recherche et laisse le scan se finir, puis clique sur Suppression pour nettoyer. 
Tu peux aussi supprimer les fichiers temporaires. 
Ensuite, supprime manuellement ToolsCleaner (mets le à la corbeille). 
S'il ne supprime pas tout, supprime manuellement ce qui reste. 



==> Télécharge et installe Ccleaner (si ce n'est déjà fait) : 

Lance CCleaner 
Option --> avancé --> décoche « effacer uniquement les fichiers plus vieux que 48h » 
Puis nettoyeur --> Analyse > Lancer le nettoyage, puis sur OK dans la fenêtre qui s' affiche. 
Enfin, registre --> corrige toutes les erreurs, et recommence jusqu'à ce qu'il ne trouve plus d'erreurs. 

(Tu peux garder ce logiciel et l'utiliser régulièrement). 



==> Pour finir le nettoyage, il faut purger la restauration du système (pour supprimer les points de restauration infectés). 
Menu démarrer : clique droit sur ordinateur : propriétés : protection du système
 Désactiver la restauration du système sur tous les lecteurs 
 Clique sur OK. 

Puis refais la manipulation inverse pour réactiver la restauration système.


 
==> Un peu de lecture avec des informations de prévention et de protection contre les infections (environ 15 minutes de lecture très instructive et utile): 
Prévention et sécurité sur internet et ceci


Bonne continuation et n'hésite pas à poser des questions en cas de besoin ;)

lepurlensois62 · Answer

J'ai mis pack sp2 de vista !! Bien joué ou j'aurais pas du ? ^^

neo*** · Answer

oui biensur pour le sp2, c'est une mise a jour qui comble des failles de sécurité dans le sp1 (entre autre) ;)