Gros problème avec lsas.blaster.keyloger

Question

Bonjour, j'ai eu ce message d'erreur qui s'est affiché sur mon p.c!! 

"AAWTray.exe is infected with worm Lsas.Blaster.Keyloger. This worm is trying to send your credit card details using AAWTray.exe to connect to remote host." 

Ce message apparait par le biais de "Security tool", logiciel que je ne connais pas. J'ai effectivement fait un paiement par internet avec ma carte bancaire (que j'ai d'ailleurs opposé ds la foulée) et je pense avoir contracté le virus en ouvrant l'email de confirmation de paiement!! Depuis mon p.c s'éteint, reçoit plein de message d'erreur, fond d'écran noir, écran bleu avec des messages d'erreur,... bref!!! Mon antivirus (avg 8.0 free) ne détecte rien, j'utilise le par-feu de windows. 

Suite à la lecture de plusieurs réponses d'autre cas semblables au mien j'ai analysé mon p.c avec MalwareByte's Anti-Malware.

J'ai maintenant besoin de quelqu'un qui pourrait comprendre le résumé du scan et me dire quoi faire par la suite car je ne sais pas où j'en suis!!

Merci par avance à celle ou celui qui me viendra en aide car je suis en grosse galère!!

Configuration: Windows 7 / Internet Explorer 7.0

NicoVA · Answer

Salut !

J'espère pour toi que tu n'a pas été débité avec ta CB car security tool est ce que l'on appelle un rogue. C'est un pseudo antivirus qui, comme tu a pu le constater affiche des messages comme quoi tu est infecté ce qui est faux, il modifie ton fond d'écran.

-> Peut tu poster le rapport de MalwareByte's Anti-Malware ?

A+

NicoVA · Answer

Salut !

Nous allons utiliser Rkill de Grinler pour neutraliser les processus de security tool afin de pouvoir exécuter un scan de diagnostique :

1- 

&#x25B6; Télécharge Rkill de Grinler

&#x25B6; Double-cliquez dessus pour le lancer, le logiciel peut prendre du temps ! 

Note : Si vous avez un message qui signale que Rkill est un indésirable, ignorez la et lancez de nouveau Rkill après désactivation du logiciel le considérant comme néfaste.

================

2-

&#x25B6; Télécharge ZHPDiag

&#x25B6; Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.

&#x25B6; Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)

&#x25B6; Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette

&#x25B6; Héberge le rapport ZHPDiag.txt sur ce site, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

A+

Lebouletdunet92 · Answer

Ok ça marche je m'exécute!! Merci pour tout et je te renvoi le rapport

Lebouletdunet92 · Answer

J'ai mis une demi-heure à comprendre le système du site hébergeur, et j'ai eu des problèmes avec le format du fichier donc je ne sais pas si ça a marché!!

C:\Users\Baptiste\Desktop\ZHPDiagrapport.txt

Voila je compte sur toi pour me déchiffrer tous ces hiéroglyphes!!
Merci n'hésite pas à me contacter je reste connecté!!

Lebouletdunet92 · Answer

Bon apparemment ça n'a pas marché!!
Celui-ci à l'air mieux: http://www.cijoint.fr/cjlink.php?file=cj201004/cijI2eiXzZ.txt 
Bon courage et merci

NicoVA · Answer

Salut !

Option 1 - Recherche : 

&#x25B6; Télécharge UsbFix et enregistre-le sur ton bureau

&#x25B6; tutoriel recherche

&#x25B6; Double-clique sur  UsbFix présent sur ton bureau, l'installation se fera automatiquement

&#x25B6; Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

&#x25B6; Choisi  l'option 1 (recherche)

&#x25B6; Laisse travailler l'outil

&#x25B6; Ensuite post le rapport UsbFix.txt qui apparaîtra

* Note : le rapport UsbFix.txt est sauvegardé a la racine du disque

* Note : Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tapes explorer.exe et valides

* Note : "SniffC.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
          Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
          Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

A+

Lebouletdunet92 · Answer

Salut,
voila le rapport de usbfix:

############################## | UsbFix V6.100 |

User : Baptiste (Administrateurs) # BAPTISTE-PC
Update on 18/03/2010 by El Desaparecido , C_XX & Chimay8
Start at: 21:39:49 | 01/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

AMD Athlon(tm) II Dual-Core M300
Microsoft Windows 7 Édition Familiale Premium  (6.1.7600 64-bit) # 
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 74,52 Go (7,09 Go free) [OS] # NTFS
D:\ -> Disque fixe local # 208,92 Go (95,39 Go free) [DATA] # NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque amovible # 118,04 Mo (18,77 Mo free) [UDISK 20X] # FAT32

################## | Elements infectieux |


################## | Registre |


################## | Mountpoints2 |

HKCU\..\..\Explorer\MountPoints2\G
shell\AutoRun\command =G:\LaunchU3.exe -a

HKCU\..\..\Explorer\MountPoints2\{94714d4a-2dd7-11df-96a0-e0cb4e37046f}
shell\AutoRun\command =F:\LaunchU3.exe -a

HKCU\..\..\Explorer\MountPoints2\{9c05bc65-0f53-11df-a89b-806e6f6e6963}
shell\AutoRun\command ="F:\WD SmartWare.exe" autoplay=true

HKCU\..\..\Explorer\MountPoints2\{d38a1c5e-30dd-11df-97ab-e0cb4e37046f}
shell\AutoRun\command =G:\LaunchU3.exe -a

################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné !  

################## | ! Fin du rapport # UsbFix V6.100 ! |

Lebouletdunet92 · Answer

Désolé ça a redémarré!! Du coup je te remets le diagnostic:


############################## | UsbFix V6.100 |

User : Baptiste (Administrateurs) # BAPTISTE-PC
Update on 18/03/2010 by El Desaparecido , C_XX & Chimay8
Start at: 21:39:49 | 01/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

AMD Athlon(tm) II Dual-Core M300
Microsoft Windows 7 Édition Familiale Premium  (6.1.7600 64-bit) # 
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 74,52 Go (7,09 Go free) [OS] # NTFS
D:\ -> Disque fixe local # 208,92 Go (95,39 Go free) [DATA] # NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque amovible # 118,04 Mo (18,77 Mo free) [UDISK 20X] # FAT32

################## | Elements infectieux |


################## | Registre |


################## | Mountpoints2 |

HKCU\..\..\Explorer\MountPoints2\G
shell\AutoRun\command =G:\LaunchU3.exe -a

HKCU\..\..\Explorer\MountPoints2\{94714d4a-2dd7-11df-96a0-e0cb4e37046f}
shell\AutoRun\command =F:\LaunchU3.exe -a

HKCU\..\..\Explorer\MountPoints2\{9c05bc65-0f53-11df-a89b-806e6f6e6963}
shell\AutoRun\command ="F:\WD SmartWare.exe" autoplay=true

HKCU\..\..\Explorer\MountPoints2\{d38a1c5e-30dd-11df-97ab-e0cb4e37046f}
shell\AutoRun\command =G:\LaunchU3.exe -a

################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné !  

################## | ! Fin du rapport # UsbFix V6.100 ! |

merci, j'attends tes prochaines directives

NicoVA · Answer

Option 2 - Nettoyage :

&#x25B6; tutoriel nettoyage

&#x25B6; Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d avoir été infectés sans les ouvrir

&#x25B6; Double clic sur le raccourci UsbFix présent sur ton bureau

&#x25B6; choisi l'option 2 ( Suppression )

&#x25B6; Ton bureau disparaîtra et le pc redémarrera .

&#x25B6; Au redémarrage , UsbFix scannera ton pc , laisse travailler l'outil.

&#x25B6; Ensuite post le rapport UsbFix.txt qui apparaîtra avec le bureau .

&#x25B6; Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

&#x25B6; /!\ UsbFix te proposera d'uploader un dossier compressé à cette adresse : https://www.androidworld.fr/

&#x25B6; Ce dossier a été créé par UsbFix et est enregistré sur ton bureau.

&#x25B6; Merci de l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches.

&#x25B6; Merci d'avance pour ta contribution !!

lebouletdunet92 · Answer

Salut, bon j'ai fait ce que tu m'as demandé mais le site que l'on m'a proposé est https://www.ionos.fr/?affiliate_id=77097 et non pas https://www.androidworld.fr/ . Je ne pense pas que ça change grand chose mais je préfère te le dire
Voila le rappport d'usbfix
############################## | UsbFix V6.100 |

User : Baptiste (Administrateurs) # BAPTISTE-PC
Update on 18/03/2010 by El Desaparecido , C_XX & Chimay8
Start at: 22:13:53 | 01/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

AMD Athlon(tm) II Dual-Core M300
Microsoft Windows 7 Édition Familiale Premium  (6.1.7600 64-bit) # 
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 74,52 Go (7,02 Go free) [OS] # NTFS
D:\ -> Disque fixe local # 208,92 Go (95,39 Go free) [DATA] # NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque amovible # 118,04 Mo (18,77 Mo free) [UDISK 20X] # FAT32

################## | Elements infectieux |

Supprimé ! C:\$Recycle.Bin\S-1-5-20 
Supprimé ! C:\$Recycle.Bin\S-1-5-21-1828000775-3552157334-4013857614-1001 
Supprimé ! D:\$Recycle.Bin\S-1-5-21-1828000775-3552157334-4013857614-1001 
Supprimé ! D:\$Recycle.Bin\S-1-5-21-1828000775-3552157334-4013857614-500 

################## | Registre |


################## | Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\G\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{94714d4a-2dd7-11df-96a0-e0cb4e37046f}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{9c05bc65-0f53-11df-a89b-806e6f6e6963}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{d38a1c5e-30dd-11df-97ab-e0cb4e37046f}\Shell\AutoRun\Command  

################## | Listing des fichiers présent |

[01/04/2010 22:12|--a------|11420] C:\aaw7boot.log 
[15/06/2009 13:11|--a------|54] C:\AdobeReader.log 
[14/07/2009 03:38|-rahs----|383562] C:\bootmgr 
[29/07/2009 08:03|-rahs----|8192] C:\BOOTSECT.BAK 
[09/12/2009 10:57|--a------|13539] C:\devlist.txt 
[09/12/2009 10:57|--a------|9] C:\Finish.log 
[?|?|?] C:\hiberfil.sys 
[09/12/2009 10:39|--a------|743042] C:\inject.log.txt 
[18/09/2009 03:38|--ah-----|1048576] C:\K51AD.BIN 
[18/09/2009 04:07|--a------|18] C:\K51AD_K70AD_WIN7.10 
[02/07/2009 09:17|--a------|37] C:\Nero.Log 
[12/06/2009 03:32|--a------|57] C:\OFFICE2007_L.TXT 
[?|?|?] C:\pagefile.sys 
[08/12/2009 20:17|--a------|146] C:\Pass.txt 
[10/11/2009 05:02|--a------|196] C:\Patch_Win7.log 
[18/09/2009 04:07|--a------|14] C:\RECOVERY.DAT 
[01/04/2010 20:51|--a------|358] C:\rkill.log 
[09/12/2009 10:47|--a------|168] C:\setup.log 
[14/05/2006 10:22|--a------|5] C:\store.log 
[09/12/2009 10:04|--a------|170] C:\SumHidd.txt 
[09/12/2009 10:03|--a------|98] C:\SumOS.txt 
[01/04/2010 22:17|--a------|2535] C:\UsbFix.txt 
[16/09/2009 20:04|--a------|24] C:\v82.txt 
[03/01/2003 12:39|--a------|726896640] D:\Alpha Dog.avi 
[11/02/2009 05:23|--a------|662048768] D:\Arnaque Crime et Botanique.avi 
[18/05/2009 22:05|--a------|733745152] D:\Bangkok.Dangerous.avi 
[28/07/2007 04:20|--a------|732497920] D:\Bleu D'enfer.avi 
[17/09/2007 23:06|--a------|730535936] D:\Chambre 1408.avi 
[18/01/2010 01:27|--a------|735856640] D:\Clones.TRUEFRENCH.DVDRiP.avi 
[09/01/2009 13:19|--a------|734324968] D:\Cram'+b'tisier int'gr'.avi 
[04/12/2005 16:49|--a------|732764160] D:\Dans Tes Reves.avi 
[01/05/2009 20:52|--a------|731874880] D:\Dieudonn' - Mes excuses.avi 
[06/12/2008 04:11|--a------|732876800] D:\frontiere s.avi 
[03/11/2007 02:13|--a------|732502016] D:\Goodbye Bafana.avi 
[15/01/2010 21:24|--a------|733730816] D:\Harcel' by gabygab7519.avi 
[20/06/2009 21:56|--a------|710195946] D:\La coline ... des yeux 2.avi 
[17/01/2009 03:57|--a------|731893760] D:\La nuit nous appartient.avi 
[20/01/2010 23:44|--a------|719034972] D:\landofdead.v0stfr_HDTV.avi 
[14/10/2009 16:08|--a------|733624320] D:\Lascars.avi 
[23/10/2009 02:20|--a------|733990912] D:\Law abiding citizen.avi 
[20/12/2008 20:05|--a------|720384506] D:\Loose change 2.avi 
[04/06/2009 19:23|--a------|733990912] D:\Menace Andromede Part-1 2009.dvd-rip.fr.avi 
[19/03/2009 07:15|--a------|731287552] D:\Mirrors.avi 
[02/12/2006 09:37|--a------|904704] D:\msdia80.dll 
[04/12/2009 20:02|--a------|738899968] D:\Neuilly sa mSre.avi 
[29/07/2009 12:37|--a------|733677568] D:\Nos jours heureux.avi 
[03/07/2009 04:13|--a------|730378240] D:\Notorious B.I.G.avi 
[03/08/2009 19:54|--a------|733761536] D:\Projet Echelon.avi 
[15/03/2010 12:33|--a------|426927] D:\recto[1].jpg 
[12/07/2009 17:35|--a------|738121736] D:\Reussir ou mourir.avi 
[21/02/2008 09:00|--a------|733763584] D:\Shoot Em Up.avi 
[07/08/2009 17:20|--a------|731234304] D:\Spartiosaure.avi 
[05/06/2009 13:01|--a------|734052352] D:\The.Andromeda.Strain.Part.2.FiNAL.FRENCH.DVDRiP.XviD-BaLLanTeAm.avi 
[19/01/2010 23:37|--a------|170496] F:\Livret_MRC_2009_2011(2).xls 
[18/03/2010 01:51|--a------|641270] F:\LIMA.pptx 
[29/03/2010 14:46|--a------|42496] F:\devis charleston.xls 
[30/03/2010 19:44|--a------|334353] F:\TS.docx 
[02/01/2006 00:22|--ahs----|2383872] F:\SIV36.tmp 

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# D:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# F:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 

################## | Upload | 

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_Baptiste-PC.zip : https://www.ionos.fr/?affiliate_id=77097 
Merci pour votre contribution .  

################## | ! Fin du rapport # UsbFix V6.100 ! |

Merci
a+
ps: je n'ai plus qu'un fond d'écran noir, meme la barre des taches et le menu démarrer ont disparus!!

lebouletdunet92 · Answer

Salut NicoVA, je pense que t'es parti te coucher!!

Je vais attendre encore jusqu'à 23h30 et puis je me déconnecterai.
En tout cas merci beaucoup pour tt ce que tu as fait pour moi ce soir.

Je ne sais pas si je pourrai revenir demain car je pars en weekend du coup ça repousserait à lundi ou mardi!!

J'essaierai qd meme de me connecter car j'ai besoin de réparer mon p.c.

Bonne soirée et j'attends tes réponses avec impatience

lebouletdunet92 · Answer

J'ai refait tout le processus avec USBFix car j'avais oublié de vétifié mon disque dur externe.

Voici les 2 rapports (le 1er= recherche; le 2=suppression)


############################## | UsbFix V6.100 |

User : Baptiste (Administrateurs) # BAPTISTE-PC
Update on 18/03/2010 by El Desaparecido , C_XX & Chimay8
Start at: 00:18:19 | 02/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

AMD Athlon(tm) II Dual-Core M300
Microsoft Windows 7 Édition Familiale Premium  (6.1.7600 64-bit) # 
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 74,52 Go (7,03 Go free) [OS] # NTFS
D:\ -> Disque fixe local # 208,92 Go (95,39 Go free) [DATA] # NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque fixe local # 149,04 Go (43,94 Go free) # NTFS
G:\ -> Disque amovible # 118,04 Mo (18,77 Mo free) [UDISK 20X] # FAT32

################## | Elements infectieux |

F:\autorun.inf  

################## | Registre |


################## | Mountpoints2 |


################## | Vaccin |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# D:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# G:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 

################## | ! Fin du rapport # UsbFix V6.100 ! |































le deuxieme:

############################## | UsbFix V6.100 |

User : Baptiste (Administrateurs) # BAPTISTE-PC
Update on 18/03/2010 by El Desaparecido , C_XX & Chimay8
Start at: 00:27:00 | 02/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

AMD Athlon(tm) II Dual-Core M300
Microsoft Windows 7 Édition Familiale Premium  (6.1.7600 64-bit) # 
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 74,52 Go (6,96 Go free) [OS] # NTFS
D:\ -> Disque fixe local # 208,92 Go (95,39 Go free) [DATA] # NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque fixe local # 149,04 Go (43,94 Go free) # NTFS
G:\ -> Disque amovible # 118,04 Mo (18,77 Mo free) [UDISK 20X] # FAT32

################## | Elements infectieux |

Supprimé ! C:\$Recycle.Bin\S-1-5-21-1828000775-3552157334-4013857614-1001 
Supprimé ! D:\$Recycle.Bin\S-1-5-21-1828000775-3552157334-4013857614-1001 
F:\autorun.inf -> fichier appelé : "F:\Autorun.exe /action" ( Absent ! )  
F:\autorun.inf -> fichier appelé : "F:\Autorun.exe /run" ( Absent ! )  
F:\autorun.inf -> fichier appelé : "F:\Autorun.exe /uninstall" ( Absent ! )  
Supprimé ! F:\autorun.inf 
Supprimé ! F:\$Recycle.Bin\S-1-5-21-1828000775-3552157334-4013857614-1001 
Supprimé ! F:\$Recycle.Bin\S-1-5-21-3794840576-637632714-676127072-1000 
Supprimé ! F:\Recycler\S-1-5-21-1249685354-1989041539-1174708361-1005 
Supprimé ! F:\Recycler\S-1-5-21-1786656481-2773379244-2321385018-1006 
Supprimé ! F:\Recycler\S-1-5-21-2147884070-1269074334-4267360673-1005 

################## | Registre |


################## | Mountpoints2 |


################## | Listing des fichiers présent |

[02/04/2010 00:25|--a------|11644] C:\aaw7boot.log 
[15/06/2009 13:11|--a------|54] C:\AdobeReader.log 
[14/07/2009 03:38|-rahs----|383562] C:\bootmgr 
[29/07/2009 08:03|-rahs----|8192] C:\BOOTSECT.BAK 
[09/12/2009 10:57|--a------|13539] C:\devlist.txt 
[09/12/2009 10:57|--a------|9] C:\Finish.log 
[?|?|?] C:\hiberfil.sys 
[09/12/2009 10:39|--a------|743042] C:\inject.log.txt 
[18/09/2009 03:38|--ah-----|1048576] C:\K51AD.BIN 
[18/09/2009 04:07|--a------|18] C:\K51AD_K70AD_WIN7.10 
[02/07/2009 09:17|--a------|37] C:\Nero.Log 
[12/06/2009 03:32|--a------|57] C:\OFFICE2007_L.TXT 
[?|?|?] C:\pagefile.sys 
[08/12/2009 20:17|--a------|146] C:\Pass.txt 
[10/11/2009 05:02|--a------|196] C:\Patch_Win7.log 
[18/09/2009 04:07|--a------|14] C:\RECOVERY.DAT 
[01/04/2010 20:51|--a------|358] C:\rkill.log 
[09/12/2009 10:47|--a------|168] C:\setup.log 
[14/05/2006 10:22|--a------|5] C:\store.log 
[09/12/2009 10:04|--a------|170] C:\SumHidd.txt 
[09/12/2009 10:03|--a------|98] C:\SumOS.txt 
[02/04/2010 00:32|--a------|2718] C:\UsbFix.txt 
[01/04/2010 22:18|--a------|2496] C:\UsbFix_Upload_Me_Baptiste-PC.zip 
[16/09/2009 20:04|--a------|24] C:\v82.txt 
[03/01/2003 12:39|--a------|726896640] D:\Alpha Dog.avi 
[11/02/2009 05:23|--a------|662048768] D:\Arnaque Crime et Botanique.avi 
[18/05/2009 22:05|--a------|733745152] D:\Bangkok.Dangerous.avi 
[28/07/2007 04:20|--a------|732497920] D:\Bleu D'enfer.avi 
[17/09/2007 23:06|--a------|730535936] D:\Chambre 1408.avi 
[18/01/2010 01:27|--a------|735856640] D:\Clones.TRUEFRENCH.DVDRiP.avi 
[09/01/2009 13:19|--a------|734324968] D:\Cram'+b'tisier int'gr'.avi 
[04/12/2005 16:49|--a------|732764160] D:\Dans Tes Reves.avi 
[01/05/2009 20:52|--a------|731874880] D:\Dieudonn' - Mes excuses.avi 
[06/12/2008 04:11|--a------|732876800] D:\frontiere s.avi 
[03/11/2007 02:13|--a------|732502016] D:\Goodbye Bafana.avi 
[15/01/2010 21:24|--a------|733730816] D:\Harcel' by gabygab7519.avi 
[20/06/2009 21:56|--a------|710195946] D:\La coline ... des yeux 2.avi 
[17/01/2009 03:57|--a------|731893760] D:\La nuit nous appartient.avi 
[20/01/2010 23:44|--a------|719034972] D:\landofdead.v0stfr_HDTV.avi 
[14/10/2009 16:08|--a------|733624320] D:\Lascars.avi 
[23/10/2009 02:20|--a------|733990912] D:\Law abiding citizen.avi 
[20/12/2008 20:05|--a------|720384506] D:\Loose change 2.avi 
[04/06/2009 19:23|--a------|733990912] D:\Menace Andromede Part-1 2009.dvd-rip.fr.avi 
[19/03/2009 07:15|--a------|731287552] D:\Mirrors.avi 
[02/12/2006 09:37|--a------|904704] D:\msdia80.dll 
[04/12/2009 20:02|--a------|738899968] D:\Neuilly sa mSre.avi 
[29/07/2009 12:37|--a------|733677568] D:\Nos jours heureux.avi 
[03/07/2009 04:13|--a------|730378240] D:\Notorious B.I.G.avi 
[03/08/2009 19:54|--a------|733761536] D:\Projet Echelon.avi 
[15/03/2010 12:33|--a------|426927] D:\recto[1].jpg 
[12/07/2009 17:35|--a------|738121736] D:\Reussir ou mourir.avi 
[21/02/2008 09:00|--a------|733763584] D:\Shoot Em Up.avi 
[07/08/2009 17:20|--a------|731234304] D:\Spartiosaure.avi 
[05/06/2009 13:01|--a------|734052352] D:\The.Andromeda.Strain.Part.2.FiNAL.FRENCH.DVDRiP.XviD-BaLLanTeAm.avi 
[16/11/2008 13:39|--ah-----|628240] F:\AutoDetect.exe 
[16/11/2008 13:39|--a------|656904] F:\Autorun.exe 
[29/07/2007 13:00|-rah-----|810] F:\Autorun.exe.manifest 
[10/02/2010 14:16|--a------|40960] F:\cv_fanny.doc 
[10/02/2010 14:51|--a------|30720] F:\lettre de motivation fanny.doc 
[22/10/2008 23:55|--a------|5905801] F:\muzikbat.xml 
[16/11/2008 13:39|--a------|271880] F:\StartCeedo.exe 
[19/01/2010 23:37|--a------|170496] G:\Livret_MRC_2009_2011(2).xls 
[18/03/2010 01:51|--a------|641270] G:\LIMA.pptx 
[29/03/2010 14:46|--a------|42496] G:\devis charleston.xls 
[30/03/2010 19:44|--a------|334353] G:\TS.docx 
[02/01/2006 00:22|--ahs----|2383872] G:\SIV36.tmp 

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# D:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# F:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# G:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 

################## | Upload | 

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_Baptiste-PC.zip : https://www.ionos.fr/?affiliate_id=77097 
Merci pour votre contribution .  

################## | ! Fin du rapport # UsbFix V6.100 ! |

Voilà a bientôt j'espère car j'ai encore besoin de tes conseils!!

NicoVA · Answer

Salut ! 

> Rends toi sur VirusTotal  

-> Affiche les fichiers et dossiers cachés  

-> Upload ces fichiers  
 
C:\Windows\Installer\{F0DF4513-3C4C-4EB8-8012-2C5F70AF3988}\_A1DDD39913A1970387B7B3.exe 

-> Copie et colle les liens des rapports dans ta prochaine réponse. 

Je pars dmain jusqu'a mardi pour un long week. Donc je te dis à mardi si on ne se reparle pas. 

A+

lebouletdunet92 · Answer

Salut!!

J'espère que ton weekend se passe bien!! J'ai essayé de faire ce que m'as dit mais je ne sais pas si j'ai bien téléchargé les bons fichiers!!
En tout cas j'ai un rapport...!!

http://www.virustotal.com/analisis/03858c143e8796c8a10aaaa88244d00fb8d10e4b3591d08c97ba995404ba67f3-1270157912

Bonne fin de weekend et merci encore du temps que tu m'accordes
a+

NicoVA · Answer

Salut !

Me re-voilà

Pourrais tu me poster un ZHPdiag ?

A+

lebouletdunet92 · Answer

Salut!

J'espère que ton week end a été bon?!

Voici ce que tu m'as demandé:


http://www.cijoint.fr/cjlink.php?file=cj201004/cijzI5Nr7U.txt 


Bon courage!!

NicoVA · Answer

Salut 

Ouep mon WK a été plutôt bon :)

Pourrais tu me dire si tu a encore le message de security tool concernant worm Lsas.Blaster.Keyloger ?

A+

lebouletdunet92 · Answer

Non je n'ai plus aucun message de sécurity tool depuis les 1ers scans que tu m'as fait faire.

Par contre il reste quelques problèmes!! Le p.c est lent et buggue je pense que je vais le reformater.

De plus l'email à l'origine du virus provient d'un site de séjour de ski (skihorizon). C'est en ouvrant la confirmation de paiement, malgré qu'un message m'a averti avant l'ouverture du potentiel danger (je l'ai ouvert vu que j'attendais cette confirmation et que je connaissais l'expéditeur).
Le problème c'est que j'ai reçu un deuxième email de skihorizon concernant les documents de voyage, mais le même message d'avertissement apparaît. Du coup je n'ose pas ouvrir l'email!!!

Si tu as une idée ou des conseils, n'hésite pas!!

En tout cas encore merci de t'occuper si bien de moi!!

A+

NicoVA · Answer

Salut !   

Voici une cause de tes ralentissements :   
-> System drive C: has 6 GB (8%) free of 75 GB    

Il te reste presque plus de place sur ton DD. Je te conseille de faire de la place.   

Concernant l'email qu'ils t'envoient es ce que c'est une pièce jointe ? 


1-  

 Desactive ton antivirus le temps de la manip ainsi que ton parefeu si présent (car il est detecté a tort comme infection)  

? Télécharge List&Kill'em et enregistre le sur ton bureau  

? Branche clés usb , disques durs externes , mp3 , mp4 , etc..  

? double clique ( clic droit "executer en tant qu'administrateur" pour Vista/7 ) sur le raccourci sur ton bureau pour lancer l'installation  

? coche la case "creer une icone sur le bureau"  

? une fois terminée , clic sur "terminer" et le programme se lancera seul  

? choisis la langue puis choisis l'option 1 = Mode Recherche  

? laisse travailler l'outil  

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal , le programme n'est pas bloqué.  

un rapport du nom de catchme apparait sur ton bureau , ignore-le,ne le poste pas , mais ne le supprime pas pour l instant, le scan n'est pas fini.  

? Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"  

-> tu peux supprimer le rapport catchme.log de ton bureau maintenant.  

A+

lebouletdunet92 · Answer

Salut Nicova

Je suis entrain de télécharger List&Kill'em!!
Pour l'email, oui c'est la pièce jointe qui pose problème!!
Je fais l'analyse avec List&Kill'em et je te poste le rapport!!
Bonne soirée a+

lebouletdunet92 · Answer

voila pour le scan!!

List'em by g3n-h@ckm@n 1.7.0.2

User : Baptiste (Administrateurs) 
Update on 02/04/2010 by g3n-h@ckm@n ::::: 18.00
Start at: 00:03:15 | 08/04/2010

AMD Athlon(tm) II Dual-Core M300
Microsoft Windows 7 Édition Familiale Premium  (6.1.7600 64-bit) # 
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Disabled

C:\ -> Disque fixe local | 74,52 Go (5,94 Go free) [OS] | NTFS
D:\ -> Disque fixe local | 208,92 Go (95,15 Go free) [DATA] | NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque fixe local | 149,04 Go (44,76 Go free) | NTFS
G:\ -> Disque amovible | 118,04 Mo (18,77 Mo free) [UDISK 20X] | FAT32
 
Boot: Normal 
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running 

C:\Program Files (x86)\ASUS\ATK Hotkey\ASLDRSrv.exe
C:\Program Files\ATKGFNEX\GFNEXSrv.exe
C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWService.exe
C:\Program Files (x86)\ASUS\ATK Hotkey\HControl.exe
C:\Program Files (x86)\ASUS\ATK Hotkey\Atouch64.exe
C:\Program Files (x86)\ASUS\ATK Hotkey\ATKOSD.exe
C:\Program Files (x86)\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files (x86)\AVG\AVG9\avgwdsvc.exe
C:\Program Files (x86)\ASUS\ATK Hotkey\KBFiltr.exe
C:\Program Files (x86)\ASUS\ATK Hotkey\WDC.exe
C:\Program Files (x86)\Bonjour\mDNSResponder.exe
C:\Program Files (x86)\ASUS\SmartLogon\sensorsrv.exe
C:\Program Files (x86)\ASUS\ControlDeck\ControlDeckStartUp.exe
C:\Program Files (x86)\ASUS\Wireless Console 3\wcourier.exe
C:\Program Files (x86)\ASUS\ASUS Live Update\ALU.exe
C:\Program Files (x86)\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\Windows\AsScrPro.exe
C:\Program Files (x86)\CyberLink\Power2Go\CLMLSvc.exe
C:\Program Files (x86)\ASUS\ATK Hotkey\HControlUser.exe
C:\Program Files (x86)\ASUS\ATKOSD2\ATKOSD2.exe
C:\Program Files (x86)\ASUS\ATK Media\DMedia.exe
C:\Program Files (x86)\AVG\AVG9\avgtray.exe
C:\Program Files (x86)\iTunes\iTunesHelper.exe
C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWTray.exe
C:\Windows\SysWow64\Macromed\Flash\FlashUtil10c.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\List_Kill'em\List_Kill'em.exe
C:\Windows\SysWOW64\cmd.exe
C:\Program Files (x86)\List_Kill'em\pv.exe

======================
Keys "Run" 
======================

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
msnmsgr	REG_SZ         	"C:\Program Files (x86)\Windows Live\Messenger\msnmsgr.exe" /background
Google Update	REG_SZ         	"C:\Users\Baptiste\AppData\Local\Google\Update\GoogleUpdate.exe" /c

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 
UpdateLBPShortCut	REG_SZ         	"C:\Program Files (x86)\CyberLink\LabelPrint\MUITransfer\MUIStartMenu.exe" "C:\Program Files (x86)\CyberLink\LabelPrint" UpdateWithCreateOnce "Software\CyberLink\LabelPrint\2.5" 
UpdateP2GoShortCut	REG_SZ         	"C:\Program Files (x86)\CyberLink\Power2Go\MUITransfer\MUIStartMenu.exe" "C:\Program Files (x86)\CyberLink\Power2Go" UpdateWithCreateOnce "SOFTWARE\CyberLink\Power2Go\6.0" 
StartCCC	REG_SZ         	"C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun 
HDAudDeck	REG_SZ         	C:\Program Files (x86)\VIA\VIAudioi\VDeck\VDeck.exe -r 
HControlUser	REG_SZ         	C:\Program Files (x86)\ASUS\ATK Hotkey\HControlUser.exe 
ATKOSD2	REG_SZ         	C:\Program Files (x86)\ASUS\ATKOSD2\ATKOSD2.exe 
ATKMEDIA	REG_SZ         	C:\Program Files (x86)\ASUS\ATK Media\DMedia.exe 
AVG9_TRAY	REG_SZ         	C:\PROGRA~2\AVG\AVG9\avgtray.exe 
Adobe ARM	REG_SZ         	"C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe" 
Adobe Reader Speed Launcher	REG_SZ         	"C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe" 
QuickTime Task	REG_SZ         	"C:\Program Files (x86)\QuickTime\QTTask.exe" -atboottime 
iTunesHelper	REG_SZ         	"C:\Program Files (x86)\iTunes\iTunesHelper.exe" 
 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]

=====================
Other Keys
=====================
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System] 
ConsentPromptBehaviorAdmin	REG_DWORD      	5 (0x5) 
ConsentPromptBehaviorUser	REG_DWORD      	3 (0x3) 
EnableInstallerDetection	REG_DWORD      	1 (0x1) 
EnableLUA	REG_DWORD      	1 (0x1) 
EnableSecureUIAPaths	REG_DWORD      	1 (0x1) 
EnableUIADesktopToggle	REG_DWORD      	0 (0x0) 
EnableVirtualization	REG_DWORD      	1 (0x1) 
PromptOnSecureDesktop	REG_DWORD      	1 (0x1) 
ValidateAdminCodeSignatures	REG_DWORD      	0 (0x0) 
dontdisplaylastusername	REG_DWORD      	0 (0x0) 
legalnoticecaption	REG_SZ         	 
legalnoticetext	REG_SZ         	 
scforceoption	REG_DWORD      	0 (0x0) 
shutdownwithoutlogon	REG_DWORD      	1 (0x1) 
undockwithoutlogon	REG_DWORD      	1 (0x1) 
FilterAdministratorToken	REG_DWORD      	0 (0x0) 

===============
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] 
NoDriveAutoRun	REG_DWORD      	255 (0xff) 
NoDriveTypeAutoRun	REG_DWORD      	255 (0xff) 
HonorAutoRunSetting	REG_DWORD      	0 (0x0) 

===============
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer] 
NoActiveDesktop	REG_DWORD      	1 (0x1) 
ForceActiveDesktopOn	REG_DWORD      	0 (0x0) 
NoDriveAutoRun	REG_DWORD      	255 (0xff) 
NoDriveTypeAutoRun	REG_DWORD      	255 (0xff) 
HonorAutoRunSetting	REG_DWORD      	0 (0x0) 

=============== 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

===============

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 
 ReportBootOk	REG_SZ         	1 
 Shell	REG_SZ         	explorer.exe 
 PreCreateKnownFolders	REG_SZ         	{A520A1A4-1780-4FF6-BD18-167343C5AF16} 
 DefaultDomainName	REG_SZ         	 
 DefaultUserName	REG_SZ         	 
 Userinit	REG_SZ         	C:\Windows\system32\userinit.exe, 
 VMApplet	REG_SZ         	SystemPropertiesPerformance.exe /pagefile 
 LegalNoticeCaption	REG_SZ         	 
 LegalNoticeText	REG_SZ         	 

===============


===============

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]

===============
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

===============
ActivX controls
===============

===============
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{22d6f312-b0f6-11d0-94ab-0080c74c7e95}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{26923b43-4d38-484f-9b9e-de460746276c}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{22d6f312-b0f6-11d0-94ab-0080c74c7e95}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{2C7339CF-2B09-4501-B3F3-F3508C9228ED}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{3af36230-a269-11d1-b5bf-0000f8051515}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{44BBA840-CC51-11CF-AAFA-00AA00B6015C}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{44BBA855-CC51-11CF-AAFA-00AA00B6015F}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{45ea75a0-a269-11d1-b5bf-0000f8051515}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{4f645220-306d-11d2-995d-00c04f98bbc9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{5fd399c0-a70a-11d1-9948-00c04f98bbc9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{630b1da0-b465-11d1-9948-00c04f98bbc9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{6BF52A52-394A-11d3-B153-00C04F79FAA6}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{6fab99d0-bab8-11d1-994a-00c04f98bbc9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{7790769C-0471-11d2-AF11-00C04FA35D02}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{7C028AF8-F614-47B3-82DA-BA94E41B1089}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{89820200-ECBD-11cf-8B85-00AA005B4340}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{89820200-ECBD-11cf-8B85-00AA005B4383}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{89B4C1CD-B018-4511-B0A1-5476DBF70820}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{9381D8F2-0288-11D0-9501-00AA00B911A5}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{C6BAF60B-6E91-453F-BFF9-D3789CFEFCDD}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{C9E9A340-D1F1-11D0-821E-444553540600}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{D27CDB6E-AE6D-11CF-96B8-444553540000}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{de5aed00-a4bf-11d1-9948-00c04f98bbc9}]
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{E92B03AB-B707-11d2-9CBD-0000F87A369E}]

==============
BHO :
======
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{3CA2F312-6F6E-4B53-A66E-4E65E497C8C0}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{5C255C8A-E604-49b4-9D64-90988571CECB}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{6EBF7485-159F-4bff-A14F-B9E3AAC4465B}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{9030D464-4C02-4ABF-8ECC-5164760863C6}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{A3BC75A2-1F87-4686-AA43-5347D756017C}]
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\browser helper objects\{E15A8DC0-8516-42A1-81EA-DC94EC1ACF10}]

===
DNS
===

HKLM\SYSTEM\CCS\Services\Tcpip\..\{685537F5-FBD7-41CC-A9C1-06506FD1EA53}: DhcpNameServer=192.168.1.254 
HKLM\SYSTEM\CCS\Services\Tcpip\..\{8D938CF8-425C-4E59-BFDC-CA3FCF8E197E}: DhcpNameServer=192.168.1.254 
HKLM\SYSTEM\CS1\Services\Tcpip\..\{685537F5-FBD7-41CC-A9C1-06506FD1EA53}: DhcpNameServer=192.168.1.254 
HKLM\SYSTEM\CS1\Services\Tcpip\..\{8D938CF8-425C-4E59-BFDC-CA3FCF8E197E}: DhcpNameServer=192.168.1.254 
HKLM\SYSTEM\CS2\Services\Tcpip\..\{685537F5-FBD7-41CC-A9C1-06506FD1EA53}: DhcpNameServer=192.168.1.254 
HKLM\SYSTEM\CS2\Services\Tcpip\..\{8D938CF8-425C-4E59-BFDC-CA3FCF8E197E}: DhcpNameServer=192.168.1.254 
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.254 
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.254 
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.254 

================
Internet Explorer :
================
[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page	REG_SZ         	https://www.msn.com/fr-fr

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page	REG_SZ         	http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome

========
Services
========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services] 

Ndisuio : 0x3 ( OK = 3 )
EapHost : 0x3 ( OK = 2 )
Wlansvc : 0x2 ( OK = 2 )
SharedAccess : 0x4 ( OK = 2 )
windefend : 0x3 ( OK = 2 )
wuauserv : 0x2 ( OK = 2 )
wscsvc : 0x2 ( OK = 2 )

=========
Atapi.sys
=========

%%%% HASHDEEP-1.0
%%%% size,md5,sha256,filename
## Invoked from: C:\Program Files (x86)\List_Kill'em
## C:\> hashdeep.exe C:\Windows\System32\DriverStore\FileRepository\mshdc.inf_amd64_neutral_a69a58a4286f0b22\atapi.sys
## 
24128,02062c0b390b7729edc9e69c680a6f3c,0261683c6dc2706dce491a1cdc954ac9c9e649376ec30760bb4e225e18dc5273,C:\Windows\System32\DriverStore\FileRepository\mshdc.inf_amd64_neutral_a69a58a4286f0b22\atapi.sys
%%%% HASHDEEP-1.0
%%%% size,md5,sha256,filename
## Invoked from: C:\Program Files (x86)\List_Kill'em
## C:\> hashdeep.exe C:\Windows\winsxs\amd64_mshdc.inf_31bf3856ad364e35_6.1.7600.16385_none_392d19c13b3ad543\atapi.sys
## 
24128,02062c0b390b7729edc9e69c680a6f3c,0261683c6dc2706dce491a1cdc954ac9c9e649376ec30760bb4e225e18dc5273,C:\Windows\winsxs\amd64_mshdc.inf_31bf3856ad364e35_6.1.7600.16385_none_392d19c13b3ad543\atapi.sys

Référence :
==========

Win 2000_SP2   : ff953a8f08ca3f822127654375786bbe
Win 2000_SP4   : 8c718aa8c77041b3285d55a0ce980867
Win XP_32b     : a64013e98426e1877cb653685c5c0009
Win XP_SP2_32b : CDFE4411A69C224BD1D11B2DA92DAC51
Win XP_SP3_32b : 9F3A2F5AA6875C72BF062C712CFA2674
Vista_32b      : e03e8c99d15d0381e02743c36afc7c6f
Vista_SP1_32b  : 2d9c903dc76a66813d350a562de40ed9
Vista_SP2_32b  : 1F05B78AB91C9075565A9D8A4B880BC4
Vista_SP2_64b  : 1898FAE8E07D97F2F6C2D5326C633FAC
Windows 7_32b  : 80C40F7FDFC376E4C5FEEC28B41C119E
Windows 7_64b  : 02062C0B390B7729EDC9E69C680A6F3C
Windows 7_32b_Ultimate : 338c86357871c167a96ab976519bf59e
 
=======
Drive :
=======


¤¤¤¤¤¤¤¤¤¤ Files/folders :

Present !! : C:\ProgramData\{40BF1E83-20EB-11D8-97C5-0009C5020658}.log  
Present !! : C:\ProgramData\{C59C179C-668D-49A9-B6EA-0121CCFC1243}.log  
Present !! : C:\ProgramData\FullRemove.exe  
Present !! : C:\ProgramData\hpzinstall.log  
Present !! : C:\ProgramData\{40BF1E83-20EB-11D8-97C5-0009C5020658}.log  
Present !! : C:\ProgramData\{C59C179C-668D-49A9-B6EA-0121CCFC1243}.log  
Present !! : C:\ProgramData\FullRemove.exe  
Present !! : C:\ProgramData\hpzinstall.log  
Present !! : C:\ProgramData\{40BF1E83-20EB-11D8-97C5-0009C5020658}.log  
Present !! : C:\ProgramData\{C59C179C-668D-49A9-B6EA-0121CCFC1243}.log  
Present !! : C:\ProgramData\FullRemove.exe  
Present !! : C:\ProgramData\hpzinstall.log  
Present !! : C:\ProgramData\{40BF1E83-20EB-11D8-97C5-0009C5020658}.log  
Present !! : C:\ProgramData\{C59C179C-668D-49A9-B6EA-0121CCFC1243}.log  
Present !! : C:\Users\Baptiste\AppData\Local\GDIPFONTCACHEV1.DAT  
Present !! : C:\Users\Baptiste\LOCAL Settings\Temp\GoogleUpdateSetup.exe16a50f4  
Present !! : C:\Users\Baptiste\LOCAL Settings\Temp\GoogleUpdateSetup.exe1517499  
 
¤¤¤¤¤¤¤¤¤¤ Keys : 


============


Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: error reading MBR 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center] 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

End of scan :  1:28:04,85 

a+ et merci

NicoVA · Answer

Salut

relance List_Kill'em mais cette fois choisi l'option 2 = Clean.

-> Pour l'email, enregistre la pièce jointe sur ton bureau /!\  sans l'ouvrir /!\

-> Rends toi sur VirusTotal 

-> Envoie la pièce jointe puis colle le rapport dans ta prochaine réponse.

A+

lebouletdunet92 · Answer

Salut NicoVa

J'ai "cleané" avec list&kill'em, voici le rapport:

Kill'em by g3n-h@ckm@n 1.7.0.3 
 
User : Baptiste (Administrateurs) 
Update on 08/04/2010 by g3n-h@ckm@n ::::: 03.30
Start at: 20:02:27 | 08/04/2010

AMD Athlon(tm) II Dual-Core M300
Microsoft Windows 7 Édition Familiale Premium  (6.1.7600 64-bit) # 
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Enabled

C:\ -> Disque fixe local | 74,52 Go (5,78 Go free) [OS] | NTFS
D:\ -> Disque fixe local | 208,92 Go (95,15 Go free) [DATA] | NTFS
E:\ -> Disque CD-ROM
 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes running
 
C:\Program Files (x86)\ASUS\ATK Hotkey\ASLDRSrv.exe
C:\Program Files\ATKGFNEX\GFNEXSrv.exe
C:\Program Files (x86)\ASUS\SmartLogon\smartlogon.exe
C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWService.exe
C:\Program Files (x86)\ASUS\ATK Hotkey\HControl.exe
C:\Program Files (x86)\ASUS\ATK Hotkey\Atouch64.exe
C:\Program Files (x86)\ASUS\ATK Hotkey\ATKOSD.exe
C:\Program Files (x86)\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files (x86)\AVG\AVG9\avgwdsvc.exe
C:\Program Files (x86)\ASUS\ATK Hotkey\KBFiltr.exe
C:\Program Files (x86)\ASUS\ATK Hotkey\WDC.exe
C:\Program Files (x86)\Bonjour\mDNSResponder.exe
C:\Program Files (x86)\ASUS\SmartLogon\sensorsrv.exe
C:\Program Files (x86)\ASUS\Wireless Console 3\wcourier.exe
C:\Program Files (x86)\ASUS\ASUS Live Update\ALU.exe
C:\Program Files (x86)\ASUS\ControlDeck\ControlDeckStartUp.exe
C:\Program Files (x86)\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\Windows\SysWOW64\runonce.exe
C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe
C:\Windows\AsScrPro.exe
C:\Windows\SysWOW64\cmd.exe
C:\Program Files (x86)\CyberLink\Power2Go\CLMLSvc.exe
C:\Program Files (x86)\List_Kill'em\ERUNT.EXE
C:\Program Files (x86)\List_Kill'em\pv.exe
 
Detections : 
========== 
 

¤¤¤¤¤¤¤¤¤¤ Files/folders : 

Quarantined & Deleted !! : C:\ProgramData\{40BF1E83-20EB-11D8-97C5-0009C5020658}.log 
Quarantined & Deleted !! : C:\ProgramData\{C59C179C-668D-49A9-B6EA-0121CCFC1243}.log 
Quarantined & Deleted !! : C:\ProgramData\FullRemove.exe 
Quarantined & Deleted !! : C:\ProgramData\hpzinstall.log 
 
Quarantined & Deleted !! : C:\Users\Baptiste\AppData\Local\GDIPFONTCACHEV1.DAT 
Quarantined & Deleted !! : C:\Users\Baptiste\LOCAL Settings\Temp\GoogleUpdateSetup.exe16a50f4 
Quarantined & Deleted !! : C:\Users\Baptiste\LOCAL Settings\Temp\GoogleUpdateSetup.exe1517499 
Quarantined & Deleted !! : C:\Users\Baptiste\LOCAL Settings\Temp\catchme.dll 
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$I3YHY7W.lnk   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$I41GD67.pdf   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$I4MKG8I.lnk   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$IBRZEZG.docx   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$IIQSUKY.JPG   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$ILTAQCR.exe   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$IM2ODY9.JPG   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$IRIN9OB.JPG   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$ISHLD9W.lnk   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$IWPPQPT.docx   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$R3YHY7W.lnk   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$R41GD67.pdf   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$R4MKG8I.lnk   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$RBRZEZG.docx   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$RIQSUKY.JPG   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$RLTAQCR.exe   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$RM2ODY9.JPG   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$RRIN9OB.JPG   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$RSHLD9W.lnk   
Deleted !! : C:\$Recycle.bin\S-1-5-21-1828000775-3552157334-4013857614-1001\$RWPPQPT.docx   
 
==============
host file OK !
==============

========
Registry
========

=================
Internet Explorer
=================

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page	REG_SZ         	https://www.msn.com/fr-fr/?ocid=iehp
Local Page	REG_SZ         	C:\WINDOWS\system32\blank.htm
Default_Search_URL	REG_SZ         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
Default_Page_URL	REG_SZ         	https://www.msn.com/fr-fr/?ocid=iehp
Search Page	REG_SZ         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page	REG_SZ         	https://www.google.com/?gws_rd=ssl
Local Page	REG_SZ         	C:\WINDOWS\system32\blank.htm
Search Page	REG_SZ         	http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

===============
Security Center
===============

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center] 
FirstRunDisabled	REG_DWORD      	1 (0x1) 
AntiVirusDisableNotify	REG_DWORD      	0 (0x0) 
FirewallDisableNotify	REG_DWORD      	0 (0x0) 
UpdatesDisableNotify	REG_DWORD      	0 (0x0) 
AntiVirusOverride	REG_DWORD      	1 (0x1) 
FirewallOverride	REG_DWORD      	1 (0x1) 
========
Services
=========

 Ndisuio : Start = 3   
 EapHost : Start = 2   
 Wlansvc : Start = 2   
 SharedAccess : Start = 2   
 windefend : Start = 3   
 wuauserv : Start = 2   
 wscsvc : Start = 2   

============
Disk Cleaned
============
 
=================
anti-ver blaster : OK !! 
=================

================
Prefetch cleaned 
================
 
 
 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
 
maintenant je m'occupe de ma pièce jointe!!
merci

lebouletdunet92 · Answer

Putain j'ai fait le boulet avec l'email!! Ce n'était pas la pièce jointe mais le message lui-même le problème!!

Du coup qd j'ai voulu enregistré la pièce jointe sur le bureau j'ai "affiché le contenu" et le message s'est ouvert!! Je ne suis pas sûr d'avoir été réinfecté mais bon... je flippe un peu!

Que me conseilles-tu d'utiliser pour rescanner mon ordi pour voir si je suis infecté (malware, virus total,...)?!! Désolé.............

A+ encore merci

lebouletdunet92 · Answer

Salut!!

Voila le résultat!! http://www.cijoint.fr/cjlink.php?file=cj201004/cijy6tJ1z0.txt 

Pour la pièce jointe ce n'est pas la peine je pense car elle correspond au logo de la société expéditrice!!

Voila j'attends ton diagnostic pour ZHPdiag!!

lebouletdunet92 · Answer

Et merci!!

NicoVA · Answer

Salut !

-> Lance ZHPfix soit par le raccourci présent sur ton bureau ou via ZHPdiag ( dans ce cas clique sur le bouclier vert )

-> Clique sur le H bleu ( "coller les lignes Helper" )

-> Copie ceci

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified   
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified   


-> Colle le dans ZHPfix

-> copie et colle le rapport de ZHPfix

===============

-> Refait un scan complet avec malwarebyte's et n'oublie pas de le mettre à jour !

A +

lebouletdunet92 · Answer

Salut NicoVa!!

Désolé je n'étais pas chez moi ce week end!!

Je ne comprends pas ta manip:

-> Copie ceci

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified 
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified 


-> Colle le dans ZHPfix 

-> copie et colle le rapport de ZHPfix !!

J'ouvre ZHPfix, je clique sur le H bleu, j'y colle tes 2 lignes (y'a les 2 même au-dessus d'ailleurs) et après rien ne se passe donc cmt je dois faire pr obtenir le rapport que tu me demandes?? 

A + et bonne soirée

NicoVA · Answer

Meaculpa. 

Je te redonne la manip car j'ai omis deux choses : 

-> Lance ZHPfix soit par le raccourci présent sur ton bureau ou via ZHPdiag ( dans ce cas clique sur le bouclier vert ) 

-> Clique sur le H bleu ( "coller les lignes Helper" ) 

-> Copie ceci 
 
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified
 

-> Colle le dans ZHPfix 

-> Clique sur OK puis sur TOUS et enfin sur NETTOYER 

-> copie et colle le rapport de ZHPfix

lebouletdunet92 · Answer

Ah ok!! Mais bon j'avais déjà essayé une manip de ce genre mais ça ne marche pas!! J'ai un message d'erreur!!

 "Impossible de créer le fichier "C:\Program Files(x86)\ZHPDiag\ZHPFixQuarantine.txt". Accès refusé

Je pense que ça vient du fait que j'ai essayé de faire de la place sur mon disque dur et du coup j'ai déplacé des fichiers!!

Sinon je peux refaire la manip avec zhpdiag et zhpfix??

NicoVA · Answer

Salut

Rends toi ici et copie ce qui s'y trouve dans ZHPfix et fait la même procédure.

A+

lebouletdunet92 · Answer

Ca ne marche toujours pas!! Il ya toujours le meme message d'erreur qui s'affiche qd je vreux faire "nettoyer"!!
 A+

NicoVA · Answer

Bon c'est pas grave.

&#x25B6; Télécharge malwarebyte's anti-malware

&#x25B6; Un tutoriel sera à ta disposition pour l'installer et l'utiliser correctement.
 
&#x25B6; Fais la mise à jour du logiciel (elle se fait normalement à l'installation)

&#x25B6; Lance une analyse complète en cliquant sur "<gras>Exécuter un examen complet"

&#x25B6; Sélectionnes les disques que tu veux analyser et cliques sur "Lancer l'examen"

&#x25B6; L'analyse peut durer un bon moment.....

&#x25B6; Une fois l'analyse terminée, cliques sur "OK" puis sur "Afficher les résultats"

&#x25B6; Vérifies que tout est bien coché et cliques sur "Supprimer la sélection" => et ensuite sur "OK"

&#x25B6; Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum


* Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Faites le en cliquant sur "oui" à la question posée

A+

lebouletdunet92 · Answer

Voila le resultat:

Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Version de la base de données: 3981

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

13/04/2010 00:08:56
mbam-log-2010-04-13 (00-08-56).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 222930
Temps écoulé: 55 minute(s), 49 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)


Bonne soirée a+ et merci

NicoVA · Answer

Salut !

Peut tu me refaire un ZHPdiag de contrôle ?


A+

lebouletdunet92 · Answer

Salut NicoVA!!
Bien sûr que je peux te refaire un ZHPdiag!!

Tu trouveras le rapport ici:
 http://www.cijoint.fr/cjlink.php?file=cj201004/cij6FLYBhx.txt 

Merci a+

NicoVA · Answer

On va réessayer pour ZHPfix, je pense savoir d'ou cela vient : 

-> Lance ZHPfix soit par le raccourci présent sur ton bureau ou via ZHPdiag ( dans ce cas clique sur le bouclier vert ) en faisant clic doirt -> Exécuter en tant qu'administrateur 

-> Clique sur le H bleu ( "coller les lignes Helper" ) 

-> Copie ceci 
 
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride

-> Colle le dans ZHPfix 

-> Clique sur [ OK ] puis sur [ TOUS ] et enfin sur [ NETTOYER ] 

-> copie et colle le rapport de ZHPfix 

A+

lebouletdunet92 · Answer

Ca ne marche toujours pas!! Veux-tu que je réinstalle ZHPfix??

lebouletdunet92 · Answer

Ok merci!!

Le p.c a l'air d'aller bien mais je me restreins un peu. Je ferais du tri une fois ce problème réglé.

A 2m1

NicoVA · Answer

Bon on va essayer ceci : 

? Lance ZHPdiag 

? Refait un scan avec celui-ci 

? Clique sur l'icône représentant un bouclier vert (« ZHPfix ») 

? Clique sur [ OK ] 

? Coche les cases devant les lignes suivantes : 

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified 
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified 

? Clique sur [ OK ] puis sur [ NETTOYER ] 

a+

lebouletdunet92 · Answer

Salut!!

Toujours le même problème!! Qd je clique sur "nettoyer", un message d'erreur s'affiche me disant en gros que l'accès à la querantaine de ZHPFix m'est refusé!!

Bonne soirée j'attends tes conseils!! Merci A+

NicoVA · Answer

Salut !

Option 1 - Recherche : 

&#x25B6; Télécharge FindyKill et enregistre-le sur ton bureau

&#x25B6; Double clic sur le raccourci FindyKill sur ton bureau, l'installation se fera automatiquement

&#x25B6; Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

&#x25B6; Au menu principal,choisi l option 1 (Recherche)

&#x25B6; Patiente un peu, l'analyse peut durer quelques minutes

&#x25B6; Post le rapport FindyKill.txt

 * Note : le rapport FindyKill.txt est sauvegardé a la racine du disque

A+

lebouletdunet92 · Answer

Salut!!

 Bon j'ai du nouveau!! J'ai réussi à faire la manip que tu m'as demandé en passant par ZHPdiag (en tant qu' administrateur etc) mais il me demande de supprimer pleins de logiciels important tel que office 2007 windows installer, et des logiciels ASUS,...!! Je pe valider sans risque ou pas car ça me parît super important comme logiciel, sachant que je n'ai jamais "réinstallé un p.c par le bios"??!!

Bonne soirée a+

lebouletdunet92 · Answer

putain j'ai bien fait de te demander!! qu'est-ce que je fais dans ce cas là??

NicoVA · Answer

? Lance ZHPdiag 

? Refait un scan avec celui-ci 

? Clique sur l'icône représentant un bouclier vert (« ZHPfix ») 

? Clique sur [ OK ] 

? Coche les cases devant les lignes suivantes : 

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified 
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified 

? Clique sur  [ NETTOYER ]  

/!\ NE CLIQUE PAS SUR TOUS /!\

lebouletdunet92 · Answer

Ok ça marche merci, je le fais tt de suite!! Je suppose que je te poste le rapport ensuite?? 

A tte

lebouletdunet92 · Answer

Voila!!

Processus mémoire :
(Néant)

Module mémoire :
(Néant)

Clé du Registre :
(Néant)

Valeur du Registre :
(Néant)

Elément de données du Registre :
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified  => Donnée supprimée avec succès
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified  => Donnée supprimée avec succès

Dossier :
(Néant)

Fichier :
(Néant)

Logiciel :
(Néant)

Script Registre :
(Néant)

Autre :
(Néant)


Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 0
Valeur du Registre : 0
Elément de données du Registre : 2
Dossier : 0
Fichier : 0
Logiciel : 0
Autre : 0


End of the scan

lebouletdunet92 · Answer

J'espère que j'ai pas fait de boulette avec la manip précédente car il m'a demandé confirmation pour certaines suppressions mais peut etre pa pour tous!!

Il y a moyen de retrouver les scans d'avant ??

NicoVA · Answer

Tu n'a pas fait de boulette ;)

On peut finaliser  :

1: Toolscleaner2

Pour supprimer toutes les traces des logiciels qui ont servi à traiter les infections spécifiques : 

&#x25B6; Télécharge Toolscleaner2 sur ton Bureau 

&#9824; Sous XP : Double-clique sur ToolsCleaner2.exe
&#9824; Sous Vista : Fais un clic droit sur ToolsCleaner2.exe et sélectionne "Exécuter en tant qu'administrateur"

&#x25B6; Clique sur Recherche et laisse le scan se terminer.
&#x25B6; Clique sur Suppression pour finaliser.
&#x25B6; Tu peux, si tu le souhaites, te servir des Options facultatives.
&#x25B6; Clique sur Quitter, pour que le rapport puisse se créer.
&#x25B6; Le rapport (TCleaner.txt) se trouve à la racine de votre disque dur (C:\)...colle le dans ta réponse

------------------------------------------------------------------------

2: Nettoyage des fichiers temporaires

Télécharge ATF CLEANER par Atribune

&#9824; Sous XP : Double-clique sur ATF-Cleaner.exe 
&#9824; Sous Vista : Fais un clic droit sur ATF-Cleaner.exe et choisis " Exécuter en tant qu'administrateur "

&#x25B6; Voici un Tutorial  pour bien l'utiliser

------------------------------------------------------------------------

3: Ccleaner

&#x25B6; Télécharge Ccleaner

&#x25B6; Tutorial ICI

------------------------------------------------------------------------

4: Purger la restauration système

&#9824; Sous XP

&#8594; Désactiver la restauration du système

&#9830; Clic droit sur le Poste de travail&#8658;  Propriétés &#8658; Onglet Restauration du système &#8658; coche la case Désactiver la Restauration du système sur tous les lecteurs &#8658; Appliquer &#8658; Ok

&#8594; Ré-activer la restauration du système

&#9830; Suis le même chemin &#8658; décoche la case Désactiver la Restauration du système sur tous les lecteurs &#8658; Appliquer


 &#9824; Sous Vista/Seven

&#8594; Désactiver la restauration du système

&#9830; Clique droit sur Ordinateur &#8658;Propriétés &#8658; Paramètres système avancés &#8658; onglet Protection du Système &#8658;
Décoche tes partitions, un message de confirmation va apparaître  clique sur Désactiver la protection du système  &#8658; Appliquer &#8658; OK. 

&#8594; Ré-activer la restauration du système

&#9830; Suis le même chemin , décoche Désactiver la protection du système
  &#8658; Appliquer
 &#8658; OK. 

 Redemare le PC 

------------------------------------------------------------------------

5: Créer un point de restauration 

 &#8658; Sous XP et VISTA

------------------------------------------------------------------------

6: Mises à Jour importantes

 &#9824; Pour Windows

&#9830; Rends toi ICI

&#9830; Ferme toutes les applications en cours

 &#9824; Télécharge Update Checker

 &#9824; Voici un tutorial pour t'aider

--> Regarde ceci qui est très intéréssant

------------------------------------------------------------------------

7: Hijackthis de TrendMicro

 &#9824; Télécharge Hijackthis de TredMicro 

 &#9824; Fais un double-clic sur HJTInstall.exe

 &#9824; Clique sur Install puis sur I Accept

 &#9824; Clique sur do a system scan and save the logfile

 &#9824; Copie et colle le contenu du log qui apparaitera

 &#9824; Tutorial animée ( De baltrap34 merci ! )

lebouletdunet92 · Answer

Salut NicoVa!! 

Bon c cool, je vais enfin pouvoir te lâcher la grappe!!

Ca a l'air un peu long et vu que je pars en vacances 2m1 matin j'ai pa mal de petits trucs à faire!! Je te ferai tout ça en rentrant donc dimanche prochain!! Ca te laisse une semaine de répit!!

En tout cas merci beaucoup pour tout le mal que tu te donnes!!

A la semaine prochaine et bon weekend

lebouletdunet92 · Answer

Salut NicoVa!! Cmt tu vas depuis tout ce tps??!!

Désolé pour ce long moment sans nouvelle mais je suis rentré de vacances un peu + tard que prévu et j'ai eu  des petites bricoles à faire!! Bref on s'en fout un peu.

Mais je ne t'oublie pas et je te promet de finaliser tout ça le plus tôt possible (courant de la semaine). En attendant bon courage pour tes cours!!
A+

lebouletdunet92 · Answer

Salut Nicova, voila pour toolscleaner


[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

--> Recherche: 

C:\UsbFix.txt: trouvé !
C:\UsbFix: trouvé !
C:\Program Files (x86)\ZHPDiag: trouvé !
C:\Program Files (x86)\List_Kill'em\catchme.exe: trouvé !
C:\Program Files (x86)\List_Kill'em\mbr.log: trouvé !
C:\Program Files (x86)\List_Kill'em\mbr.exe: trouvé !
C:\Program Files (x86)\ZHPDiag\ZHPdiag.exe: trouvé !
C:\Users\Baptiste\AppData\Local\VirtualStore\Program Files (x86)\ZHPDiag: trouvé !
C:\Users\Baptiste\AppData\Roaming\Microsoft\Windows\Recent\UsbFix.lnk: trouvé !
C:\Users\Baptiste\Desktop\UsbFix.exe: trouvé !

---------------------------------
--> Suppression: 

C:\Program Files (x86)\List_Kill'em\catchme.exe: supprimé !
C:\Program Files (x86)\ZHPDiag\ZHPdiag.exe: supprimé !
C:\UsbFix.txt: supprimé !
C:\Program Files (x86)\List_Kill'em\mbr.log: supprimé !
C:\Program Files (x86)\List_Kill'em\mbr.exe: supprimé !
C:\Users\Baptiste\AppData\Roaming\Microsoft\Windows\Recent\UsbFix.lnk: supprimé !
C:\Users\Baptiste\Desktop\UsbFix.exe: supprimé !
C:\UsbFix: supprimé !
C:\Program Files (x86)\ZHPDiag: supprimé !
C:\Users\Baptiste\AppData\Local\VirtualStore\Program Files (x86)\ZHPDiag: supprimé !


A+

lebouletdunet92 · Answer

Par ctre j'arrive pas à télécharger ATFcleaner!! Ton lien me dit:"Invalid ID, numbers (0-9) only!"

J'attends tes instructions!!

A+

lebouletdunet92 · Answer

Salut NicoVa!! Alors quoi de neuf après tout ce temps??

Peux-tu me mettre le lien pour que je puisse double-cliquer sur HJTInstall.exe. J'ai essayé de l'installer par mes propres moyens et je ne peux pas "l' exécuter en tant qu'administrateur" et je n'ai pas d'accès au rapport!!

Merci d'avance
A+

lebouletdunet92 · Answer

Ok merci c nikel par ce lien!!
Voici le rapport:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:40:28, on 03/06/2010
Platform: Unknown Windows (WinNT 6.01.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16385)
Boot mode: Normal

Running processes:
C:\Program Files (x86)\ASUS\SmartLogon\sensorsrv.exe
C:\Program Files (x86)\ASUS\Wireless Console 3\wcourier.exe
C:\Program Files (x86)\ASUS\ControlDeck\ControlDeckStartUp.exe
C:\Program Files (x86)\ASUS\ASUS Live Update\ALU.exe
C:\Windows\AsScrPro.exe
C:\Program Files (x86)\CyberLink\Power2Go\CLMLSvc.exe
C:\Program Files (x86)\ASUS\ATK Hotkey\HControlUser.exe
C:\Program Files (x86)\ASUS\ATKOSD2\ATKOSD2.exe
C:\Program Files (x86)\ASUS\ATK Media\DMedia.exe
C:\Program Files (x86)\AVG\AVG9\avgtray.exe
C:\Program Files (x86)\iTunes\iTunesHelper.exe
C:\Program Files (x86)\Windows Live\Messenger\msnmsgr.exe
C:\Program Files (x86)\Windows Live\Contacts\wlcomm.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Windows\SysWow64\Macromed\Flash\FlashUtil10c.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://asus.msn.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Windows Internet Explorer
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - URLSearchHook: AVG Security Toolbar BHO - {A3BC75A2-1F87-4686-AA43-5347D756017C} - C:\Program Files (x86)\AVG\AVG9\Toolbar\IEToolbar.dll
R3 - URLSearchHook: (no name) - *{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files (x86)\AVG\AVG9\avgssie.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Program Files (x86)\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live ID - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: AVG Security Toolbar BHO - {A3BC75A2-1F87-4686-AA43-5347D756017C} - C:\Program Files (x86)\AVG\AVG9\Toolbar\IEToolbar.dll
O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Program Files (x86)\Windows Live\Toolbar\wltcore.dll
O3 - Toolbar: AVG Security Toolbar - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - C:\Program Files (x86)\AVG\AVG9\Toolbar\IEToolbar.dll
O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Program Files (x86)\Windows Live\Toolbar\wltcore.dll
O4 - HKLM\..\Run: [UpdateLBPShortCut] "C:\Program Files (x86)\CyberLink\LabelPrint\MUITransfer\MUIStartMenu.exe" "C:\Program Files (x86)\CyberLink\LabelPrint" UpdateWithCreateOnce "Software\CyberLink\LabelPrint\2.5"
O4 - HKLM\..\Run: [UpdateP2GoShortCut] "C:\Program Files (x86)\CyberLink\Power2Go\MUITransfer\MUIStartMenu.exe" "C:\Program Files (x86)\CyberLink\Power2Go" UpdateWithCreateOnce "SOFTWARE\CyberLink\Power2Go\6.0"
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [HDAudDeck] C:\Program Files (x86)\VIA\VIAudioi\VDeck\VDeck.exe -r
O4 - HKLM\..\Run: [HControlUser] C:\Program Files (x86)\ASUS\ATK Hotkey\HControlUser.exe
O4 - HKLM\..\Run: [ATKOSD2] C:\Program Files (x86)\ASUS\ATKOSD2\ATKOSD2.exe
O4 - HKLM\..\Run: [ATKMEDIA] C:\Program Files (x86)\ASUS\ATK Media\DMedia.exe
O4 - HKLM\..\Run: [AVG9_TRAY] C:\PROGRA~2\AVG\AVG9\avgtray.exe
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files (x86)\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files (x86)\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Program Files (x86)\Common Files\Apple\Mobile Device Support\AppleSyncNotifier.exe
O4 - HKCU\..\Run: [Google Update] "C:\Users\Baptiste\AppData\Local\Google\Update\GoogleUpdate.exe" /c
O4 - HKCU\..\Run: [FileHippo.com] "C:\Program Files (x86)\FileHippo.com\UpdateChecker.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVICE RÉSEAU')
O4 - Global Startup: FancyStart daemon.lnk = ?
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~2\MICROS~1\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~2\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~1\Office12\REFIEBAR.DLL
O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll
O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll
O13 - Gopher Prefix: 
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files (x86)\AVG\AVG9\avgpp.dll
O23 - Service: AFBAgent - Unknown owner - C:\Windows\system32\FBAgent.exe (file missing)
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: AMD External Events Utility - Unknown owner - C:\Windows\system32\atiesrxx.exe (file missing)
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files (x86)\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: ASLDR Service (ASLDRService) - ASUS - C:\Program Files (x86)\ASUS\ATK Hotkey\ASLDRSrv.exe
O23 - Service: ATKGFNEX Service (ATKGFNEXSrv) - Unknown owner - C:\Program Files\ATKGFNEX\GFNEXSrv.exe
O23 - Service: AVG Free WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - C:\Program Files (x86)\AVG\AVG9\avgwdsvc.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files (x86)\Bonjour\mDNSResponder.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Program Files (x86)\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32
etlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Oberon Media Game Console service (OberonGameConsoleService) - Unknown owner - C:\Program Files (x86)\Asus\Game Park\GameConsole\OberonGameConsoleService.exe
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

lebouletdunet92 · Answer

Est-ce que je dois supprimé les éléments trouvés ou pas??

NicoVA · Answer

salut

tu relance Hijackthis clique sur do a system scan only, coche ces lignes et clique sur Fix Checked 

R3 - URLSearchHook: (no name) - *{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files (x86)\iTunes\iTunesHelper.exe"    
O4 - Global Startup: FancyStart daemon.lnk = ?
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe"   
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files (x86)\QuickTime\QTTask.exe" -atboottime 

Et c'est tout bon !

Ravi d'avoir pu t'aider :)

A+

lebouletdunet92 · Answer

Bon ba super encore mille merci de m'avoir accordé tout ce tps et toutes ces réponses!! 

Compte sur moi pour te recommander et revenir te voir en cas de problème!! Non je déconne je te laisse tranquille!!

Bonne continuation et bonne carrière dans l'informatique!!

Encore merci

lebouletdunet92 · Answer

Je trouve pas comment mettre que le problème est résolu donc je te laisse le faire si tu le sais!! A toi la gloire!!

Gros problème avec lsas.blaster.keyloger

59 réponses

Votre réponse

Newsletters