Win32 malware-gen Résolu/Fermé

Question

Depuis hier mon antivirus avast me signale tout les 5 minutes que j'ai un virus sur mon ordinateur, je le supprime mais il revien toujours. Ce virus s'appelle "Win32 malware-gen".
Merci de m'aidez.
a+

Smart91 · Answer

Bonjour,

On va analyser ton PC
Sous VISTA : Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection)
 
Télécharge RSIT et mets l'exécutable sur ton Bureau. ==>http://images.malwareremoval.com/random/RSIT.exe 
Ferme toutes les applications et déconnecte toi dinternet 
Lance RSIT: 
- Une première fenêtre s'ouvre avec en titre : " Disclaimer of warranty " . 
- Devant l'option "List files/folders created ..." , tu choisis : 1 months
- Clique ensuite sur " Continue " pour lancer l'analyse ...
- Si l'outil HijackThis n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu s'il te le demande) et tu devras accepter la licence.
 
Le scan démarre et ne touche pas au PC ... 
Une fois l'analyse terminée, deux fichiers texte s'ouvriront (avec le bloc-note). 
Poste le contenu de " log.txt " (c'est celui qui apparait à l'écran), ainsi que de " info.txt " (que tu verras dans la barre des tâches), 
Tu peux utiliser www.cijoint.fr pour mettre un lien vers les deux rapports 

PS: Pour info les rapports se trouvent dans C:\rsit 

Smart

Utilisateur anonyme · Answer

bonjours , 
telecharge ceci : 

hijackthis et fais un scan puis , poste moi le scan.

mbam puis fais un scan . (c'est un anti malwere.)

et enfin , zhpdiag (on s'en servira pas obligatoirement , c'est de la precaution donc pas de scan tout de suite .

Fasiler · Answer

Logfile of random's system information tool 1.06 (written by random/random)
Run by UTILISATEUR at 2010-04-07 13:12:23
Microsoft Windows XP Professionnel Service Pack 3
System drive C: has 44 GB (73%) free of 60 GB
Total RAM: 895 MB (54% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:12:36, on 07/04/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Orange\Systray\SystrayApp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\AlertModule\0\AlertModule.exe
C:\DOCUME~1\UTILIS~1.AR\LOCALS~1\Temp\lssas.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\msiexec.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\svchost.exe
C:\Documents and Settings\UTILISATEUR.AR\Bureau\RSIT.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\Program Files	rend micro\UTILISATEUR.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\Program Files\Orange\SearchURLHook\SearchPageURL.dll
R3 - URLSearchHook: myBabylon English4 Toolbar - {fc600575-3013-4e8e-941c-4b00dafce730} - C:\Program Files\myBabylon_English4	bmyB0.dll
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: myBabylon English4 Toolbar - {fc600575-3013-4e8e-941c-4b00dafce730} - C:\Program Files\myBabylon_English4	bmyB0.dll
O3 - Toolbar: myBabylon English4 Toolbar - {fc600575-3013-4e8e-941c-4b00dafce730} - C:\Program Files\myBabylon_English4	bmyB0.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [ORAHSSSessionManager] C:\Program Files\Orange\SessionManager\SessionManager.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [SystrayORAHSS] "C:\Program Files\Orange\Systray\SystrayApp.exe"
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe"
O4 - HKLM\..\Run: [Google Updater] C:\DOCUME~1\UTILIS~1.AR\LOCALS~1\Temp\lssas.exe
O4 - HKCU\..\Run: [Google Updater] C:\DOCUME~1\UTILIS~1.AR\LOCALS~1\Temp\lssas.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Démarrage rapide de HP Photosmart Premier.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/player/DivXBrowserPlugin.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: FsUsbExService - Teruten - C:\WINDOWS\system32\FsUsbExService.Exe
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom SA - C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
O23 - Service: HP Port Resolver - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBPRO.EXE
O23 - Service: HP Status Server - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBOID.EXE
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

Fasiler · Answer

Voila et maintenant? =)
Au fait merci de t'occuper de moi.

Utilisateur anonyme · Answer

c'est bien le scan hijackthis ?

Fasiler · Answer

C'est le scan que j'ai fait avec le logiciel RSIT.

Fasiler · Answer

Celui que ma demander de faire Smart91.

Utilisateur anonyme · Answer

ok , celui ci , je ne le metrise pas ... 
je laisse smart91 t'aider . 
si jamais , tu n'as pas de reponse etc ... , previens moi et fais le scan de hijackthis . 

bonne chance .

Smart91 · Answer

- Rends-toi à cette adresse afin de télécharger AD-Remover (créé par C_XX) : https://www.androidworld.fr/ 
- Clique sur [b]TÉLÉCHARGER/b et enregistre-le sur ton bureau. 
- Double clique sur le fichier d'installation de AD-Remover, le programme s'installera automatiquement.  
- Au menu principal choisi l'option "Nettoyage" et tape sur [entrée] . 
- Laisse travailler l'outil et ne touche à rien ... 
- Poste le rapport qui apparait à la fin. (Le rapport est sauvegardé aussi sous C:\Ad-report.log) 
(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

Note : 
Process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

Smart

Fasiler · Answer

.
======= RAPPORT D'AD-REMOVER 2.0.0.0,B | UNIQUEMENT XP/VISTA/7 =======
.
Mis à jour par C_XX le 31/03/10 à 21:30
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html
.
Lancé à: 13:31:20 le 07/04/2010 | Mode normal | Option: CLEAN
Exécuté de: C:\Ad-Remover\ADR.exe
SE: Microsoft® Windows XP(TM)  Service Pack 3 - X86
Nom du PC: AR | Utilisateur actuel: UTILISATEUR (Administrateur)
.
============== ÉLÉMENT(S) NEUTRALISÉ(S) ==============
.
.
C:\DOCUME~1\UTILIS~1.AR\LOCALS~1\Temp\liveplayer_exe.dat
C:\DOCUME~1\UTILIS~1.AR\LOCALS~1\Temp\liveplayer_skin.dat

(!) -- Fichiers temporaires supprimés.
.
HKCU\Software\fcn
HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}
HKCU\Software\PopCap
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
noooff
HKLM\Software\PopCap
.
(Orpheline) BHO: {02478D38-C3F9-4efb-9B51-7695ECA05670} (CLSID manquant)
.
============== SCAN ADDITIONNEL ==============
.
* Mozilla FireFox Version 3.0.19 (fr) *
.
C:\Documents and Settings\UTILISATEUR.AR\..\c6r8tnn6.default\prefs.js - browser.download.lastDir: D:\Yeliz\Photos, images
C:\Documents and Settings\UTILISATEUR.AR\..\c6r8tnn6.default\prefs.js - browser.startup.homepage: hxxp://www.google.com
C:\Documents and Settings\UTILISATEUR.AR\..\c6r8tnn6.default\prefs.js - browser.startup.homepage_override.mstone: rv:1.9.0.19
C:\Documents and Settings\UTILISATEUR.AR\..\c6r8tnn6.default\prefs.js - keyword.URL: hxxp://www.searcheo.fr/renseignement?search&q=
C:\Documents and Settings\UTILISATEUR.AR\..\c6r8tnn6.default\prefs.js - privacy.popups.showBrowserMessage, false
.
.
* Internet Explorer Version 8.0.6001.18702 *
.
[HKCU\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Search Asst: no
.
[HKLM\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/
.
[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
.
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm
.
========================================
.
C:\DOCUME~1\UTILIS~1.AR\LOCALS~1\Temp: 4 Fichier(s), 318 Dossier(s)
C:\WINDOWS	emp: 3 Fichier(s), 89 Dossier(s)
Temporary Internet Files: 0 Fichier(s), 20 Dossier(s)
.
C:\Ad-Remover\Quarantine: 2 Fichier(s)
C:\Ad-Remover\Backup: 13 Fichier(s)
.
C:\Ad-Report-CLEAN[1].txt - 3076 Octet(s)
.
Fin à: 13:39:20, 07/04/2010
.
============== E.O.F - CLEAN[1] ==============

Smart91 · Answer

OK. On avance. 

/!\ Utilisateur de Vista : Ne pas oublier de désactiver l'UAC juste le temps de désinfection de ton pc, il sera à réactiver plus tard : 
Tuto :https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac  

Télécharge Malwarebytes 

- Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement. 
- Fais la mise à jour du logiciel (elle se fait normalement à l'installation)  
-Lance une analyse complète en cliquant sur "Exécuter un examen complet" 
- Sélectionne les disques que tu veux analyser et clique sur "Lancer l'examen" 
- L'analyse peut durer un bon moment..... 
- Une fois l'analyse terminée, clique sur "OK" puis sur "Afficher les résultats" 
- Vérifie que tout est bien coché et clique sur "Supprimer la sélection" => et ensuite sur "OK" 
- Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum 

* Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Fais le en cliquant sur "oui" à la question posée 

Smart 
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

Fasiler · Answer

Dois-je sélectionner tout les disques?
Et après avoir fini l'analyse et avoir efface les fichiers infecté dois-je redémarrer mon ordinateur ?
Le redémarrage prend-il bcp de temps ?

Smart91 · Answer

Fais le sur le disque system C: pour le moment. Poste le rapport avant de redemarrer le PC

Smart

Fasiler · Answer

ok mais si on me force a le redémarrer. Si j'ai pas le choix

Fasiler · Answer

C pas prêt d'être finis je crois que ça va me prendre un peut beaucoup de temps sa fait déjà 10 minutes.

Fasiler · Answer

On avance bien ?

Fasiler · Answer

Complet et j'ai choisi C:\

Fasiler · Answer

Est-ce que c'est grave si j'ai déjà 4 fichiers infectés :/

Fasiler · Answer

Ok jsuis passer a 8 fichiers infectés, j'ai peur ^^

Fasiler · Answer

Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Version de la base de données: 3962

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

07/04/2010 14:38:00
mbam-log-2010-04-07 (14-38-00).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 188481
Temps écoulé: 43 minute(s), 8 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 4
Valeur(s) du Registre infectée(s): 3
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 1
Fichier(s) infecté(s): 8

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> No action taken.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> No action taken.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\google updater (Backdoor.IRCBot) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\google updater (Backdoor.IRCBot) -> No action taken.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Agent) -> Data: c:\windows\system32\sdra64.exe -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Agent) -> Data: system32\sdra64.exe -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.Userinit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) Good: (Userinit.exe) -> No action taken.

Dossier(s) infecté(s):
C:\WINDOWS\system32\lowsec (Stolen.data) -> No action taken.

Fichier(s) infecté(s):
C:\System Volume Information\_restore{633F3542-C6B4-4772-8334-27DDD7E290C5}\RP115\A0026514.exe (Adware.Gibmedia) -> No action taken.
C:\System Volume Information\_restore{633F3542-C6B4-4772-8334-27DDD7E290C5}\RP115\A0026515.dll (Adware.Gibmedia) -> No action taken.
C:\System Volume Information\_restore{633F3542-C6B4-4772-8334-27DDD7E290C5}\RP115\A0026516.dll (Adware.Gibmedia) -> No action taken.
C:\System Volume Information\_restore{633F3542-C6B4-4772-8334-27DDD7E290C5}\RP115\A0026517.exe (Adware.Gibmedia) -> No action taken.
C:\WINDOWS\system32\sdra64.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> No action taken.
C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> No action taken.
C:\Documents and Settings\UTILISATEUR.AR\Local Settings\Temp\lssas.exe (Backdoor.IRCBot) -> No action taken.






Voila dois-je supprimer la selection ?

Smart91 · Answer

Oui tout à fait
Vérifie que tout est bien coché et clique sur "Supprimer la sélection" => et ensuite sur "OK"
- Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum

* Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Fais le en cliquant sur "oui" à la question posée

Smart

Fasiler · Answer

Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Version de la base de données: 3962

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

07/04/2010 14:46:09
mbam-log-2010-04-07 (14-46-09).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 188481
Temps écoulé: 43 minute(s), 8 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 4
Valeur(s) du Registre infectée(s): 3
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 1
Fichier(s) infecté(s): 8

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network\uid (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\google updater (Backdoor.IRCBot) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\google updater (Backdoor.IRCBot) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Agent) -> Data: c:\windows\system32\sdra64.exe -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Agent) -> Data: system32\sdra64.exe -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.Userinit) -> Bad: (C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\sdra64.exe,) Good: (Userinit.exe) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
C:\WINDOWS\system32\lowsec (Stolen.data) -> Delete on reboot.

Fichier(s) infecté(s):
C:\System Volume Information\_restore{633F3542-C6B4-4772-8334-27DDD7E290C5}\RP115\A0026514.exe (Adware.Gibmedia) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{633F3542-C6B4-4772-8334-27DDD7E290C5}\RP115\A0026515.dll (Adware.Gibmedia) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{633F3542-C6B4-4772-8334-27DDD7E290C5}\RP115\A0026516.dll (Adware.Gibmedia) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{633F3542-C6B4-4772-8334-27DDD7E290C5}\RP115\A0026517.exe (Adware.Gibmedia) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\sdra64.exe (Trojan.Agent) -> Delete on reboot.
C:\WINDOWS\system32\lowsec\local.ds (Stolen.data) -> Delete on reboot.
C:\WINDOWS\system32\lowsec\user.ds (Stolen.data) -> Delete on reboot.
C:\Documents and Settings\UTILISATEUR.AR\Local Settings\Temp\lssas.exe (Backdoor.IRCBot) -> Delete on reboot.



Ils me disent impossible de supprimer certains éléments. Un fichier rapport a été enrgistrer dans le dossier Logs. Il me disent de redémarrer je dit ou ou nn?

Smart91 · Answer

Bien sûr il faut redémmarrer car un vius sera supprimé au démarrage. 
Ensuite tu refais un RSIT et tu postes les deux rapports.  
C'est pour vérifier si il reste encore des traces. 

Smart 
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

Fasiler · Answer

ok a+

Fasiler · Answer

Salut je suis en de faire le RSIT mais il y qu'un seul rapport.

Fasiler · Answer

train Logfile of random's system information tool 1.06 (written by random/random)
Run by UTILISATEUR at 2010-04-07 15:08:47
Microsoft Windows XP Professionnel Service Pack 3
System drive C: has 46 GB (76%) free of 60 GB
Total RAM: 895 MB (45% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:08:53, on 07/04/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Orange\Systray\SystrayApp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\AlertModule\0\AlertModule.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\FsUsbExService.Exe
C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\msiexec.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Documents and Settings\UTILISATEUR.AR\Bureau\RSIT.exe
C:\Program Files	rend micro\UTILISATEUR.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\Program Files\Orange\SearchURLHook\SearchPageURL.dll
R3 - URLSearchHook: myBabylon English4 Toolbar - {fc600575-3013-4e8e-941c-4b00dafce730} - C:\Program Files\myBabylon_English4	bmyB0.dll
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: myBabylon English4 Toolbar - {fc600575-3013-4e8e-941c-4b00dafce730} - C:\Program Files\myBabylon_English4	bmyB0.dll
O3 - Toolbar: myBabylon English4 Toolbar - {fc600575-3013-4e8e-941c-4b00dafce730} - C:\Program Files\myBabylon_English4	bmyB0.dll
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [ORAHSSSessionManager] C:\Program Files\Orange\SessionManager\SessionManager.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [SystrayORAHSS] "C:\Program Files\Orange\Systray\SystrayApp.exe"
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Program Files\Unlocker\UnlockerAssistant.exe"
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Démarrage rapide de HP Photosmart Premier.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/player/DivXBrowserPlugin.cab
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: FsUsbExService - Teruten - C:\WINDOWS\system32\FsUsbExService.Exe
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom SA - C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
O23 - Service: HP Port Resolver - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBPRO.EXE
O23 - Service: HP Status Server - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBOID.EXE
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

Fasiler · Answer

Voila c'est celui la

Fasiler · Answer

Merci beaucoup de t'être occuper de moi j'aurais rien su faire sans toi =DDD.

Fasiler · Answer

En allumant mon ordinateur j'ai eu un message comme quoi mon par-feu n'était pas activer dois-je l'activer.

Smart91 · Answer

Lance  Hijackthis. Tu le trouveras ici: C:\Program Files	rend micro\UTILISATEUR.exe
Tu doubles clic sur Utilisateur. Ensuite tu fais DO a scan only et tu coches les lignes suivantes:
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe    => Ahead®Nero Burning Rom
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"    => Cyberlynk®PowerDVD
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime    => Apple®Quick Time
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe    => Hewlett-Packard®Software Update Scheduler
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install    => NVidia®nView
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE    => Realtek Semiconductor®HD Audio Sound Effect Manager
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"    => Adobe®Acrobat Reader
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe    => Microsoft®Windows CTF Loader
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')    => Microsoft®Windows NT
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')    => Microsoft®Windows NT
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')    => Microsoft®Windows NT
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')    => Microsoft®Windows NT
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE    => Microsoft®Office
Ensuite tu fais fix checked

Voilà la désinfection est terminée

Mets à jour Avast: http://www.commentcamarche.net/telecharger/telecharger-151-avast
On va prger ton PC des outils que je t'ai fait télécharger:
1. Désinstalle RSIT et HijackThis et AD Remover 

Télécharge Toolscleaner sur ton Bureau: 
- Double-clique sur ToolsCleaner2.exe et laisse le travailler 
- Clique sur Recherche et laisse le scan se terminer. 
- Clique sur Suppression pour finaliser. 
- Tu peux, si tu le souhaites, te servir des Options facultatives. 
- Clique sur Quitter, pour que le rapport puisse se créer. 
- Le rapport (TCleaner.txt) se trouve à la racine du disque dur (C:\)...colle le dans ta prochaine réponse. 


2. Télécharge et installe CCleaner (N'installe pas la Yahoo Toolbar) : 
- Lance-le. Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc.... 
- Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage. 
- Ensuite, choisis Registre, puis Chercher des erreurs. Une fois terminé, répare toutes les erreurs (Sauvegarde la base de registre). 

3.Désactiver la restauration système et céer un point de restauration 
Dans la barre des tâches de Windows, clique sur Démarrer. 
Clique avec le bouton droit de la souris sur Poste de travail puis clique sur Propriétés. 
Dans l'onglet Restauration du système, coche "Désactiver la Restauration du système" 
Clique sur Appliquer. 
Ensuite décoche "Désactiver la restauration du systeme" 
Clique sur appliquer puis ok 
Créer un point de restauration en cliquant sur démarrer => tous les programmes => accessoires => outils systeme => restauration du système => créer un point de restauration => tu mets un nom (par exemple : PR après désinfection) puis tu valides

Quelques conseils de Prévention

Conserve MBAM. Il te servira à scanner les fichiers douteux en complément de l'antivirus et scanne le disque dur régulièrement. 

Tu avais plusieurs barres d'outils dont certaines infectées que tu as dû installer en même temps qu'un autre programme gratuit ou payant d'ailleurs et qu'il faut faire attention de bien décocher une case avant de cliquer sur suivant pour ne pas installer ce genre de toolbar. 
Pour ton information va sur le le lien ci-dessous: 
Les Toolbars ce n'est pas obligatoires 

Voici un dossier complet sur le prévention et protection, il est absolument à lire (avec Adobe Reader ou Foxit Reader) : 
Prévention et Protection

Sois plus vigilant(e) sur Internet à l'avenir

Smart

Smart91 · Answer

J'ai oublié de te dire de vider la quarantaine de MBAM

Smart

Fasiler · Answer

J'ai supprimer tout ce que tu a fait télécharger et j'ai une autre question dois-je activer mon par-feu

Fasiler · Answer

Ohhh non il et revenu, sa continue
Comment vider la quarantaine de MBAM?

Smart91 · Answer

Il est revenu?
Pour vider la quarantaine de MBAM. Ouvres MBAM > Onglet Quarantaine > Tout supprimer.
Est-ce que tu as mis avast à jour ?

Smart

Fasiler · Answer

C'est bon j'ai vider la quarantaine ^^.
Donc c'est bon maintenant je crois ?????????
Réponds stp

Fasiler · Answer

Non je ne l'ai pas mis.
Je le fait tt de suite

^^Marie^^ · Answer

Bonjour faliser

Serait bien de poster les rapports demandés au lieu d'ouvrir de multiples discussions.

Fasiler · Answer

Alors smart pêut tu me dire ce que je dois faire maintenant

sKe69 · Answer

re,


@Smart91,


dans le dernier RSIT :

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{60b221b0-47d0-11de-a8b2-000c7639605d}] 
shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuGab.EXe 


> possible infection via support amovible ... ;-)



Bonne suite à vous ....


A+


=)

Fasiler · Answer

Ok merci je commence le scan

Smart91 · Answer

Je t'avais demander de passer à la version 5 d'avast. L'as-tu fait. Et ensuite tu fais un scan avec Avast. Et tu postes le rapport

Smart

Fasiler · Answer

J'ai fait le scan il n'y a aucun virus " aucune menace détecté"

Fasiler · Answer

J'ai lancé le scan je crois bien que sa va prendre 5mn environ.
Dès que le scan ce termine je te poste illico presto le rapport ;).
Merci

Smart91 · Answer

M^^eme si tu n'as pls lalerte j'ai encore qulelque chose à vérifier. Télécharge UsbFix et enregistre le sur ton bur Tutoriel Recherche /!\ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptibles d'avoir été infectées sans les ouvrir - Double clic sur le raccourci UsbFix sur ton bureau, l'installation se fera automatiquement Si tu es sous Vista: - Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisis "éxécuter en tant qu'administrateur" sous Vista - Dans le menu principal choisis l'option "F" pour français et tape sur [entrée] . - Dans le second menu choisis l'option "1" (Recherche) et tape sur [entrée] - Laisse travailler l outil. - Ensuite post le rapport UsbFix.txt qui apparaitra. Note : Ce rapport UsbFix.txt est sauvegardé à la racine du disque. (C:\UsbFix.txt) (CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller) Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html

Fasiler · Answer

OK de toute façon j'ai une clé usb kingston qui a virus dedans je crois, car quand je la branche rien ne se passe et il y a une alerte bon je t'envoie le rapport bientôt.

Fasiler · Answer

############################## | UsbFix V6.100 |

User : UTILISATEUR (Administrateurs) # AR
Update on 18/03/2010 by El Desaparecido , C_XX & Chimay8
Start at: 21:47:37 | 08/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

AMD Sempron(tm) Processor LE-1250
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Enabled
AV : avast! Antivirus 5.0.83886542 [ Enabled | Updated ]

C:\ -> Disque fixe local # 58,59 Go (46,45 Go free) # NTFS
D:\ -> Disque fixe local # 407,16 Go (398,47 Go free) # NTFS
E:\ -> Disque amovible # 3,76 Go (3,75 Go free) [KINGSTON] # FAT32
I:\ -> Disque fixe local # 48,83 Go (45,5 Go free) # NTFS
J:\ -> Disque fixe local # 62,95 Go (62,81 Go free) # NTFS

################## | Elements infectieux |

C:\WINDOWS\Tasks\At1.job  
C:\WINDOWS\Tasks\At2.job  
C:\WINDOWS\Tasks\At3.job  
C:\WINDOWS\Tasks\At4.job  
C:\WINDOWS\Tasks\At5.job  
C:\WINDOWS\Tasks\At6.job  
C:\WINDOWS\Tasks\At7.job  
C:\WINDOWS\Tasks\At8.job  
C:\WINDOWS\Tasks\At9.job  
C:\WINDOWS\Tasks\At1.job  
C:\WINDOWS\Tasks\At10.job  
C:\WINDOWS\Tasks\At11.job  
C:\WINDOWS\Tasks\At12.job  
C:\WINDOWS\Tasks\At13.job  
C:\WINDOWS\Tasks\At14.job  
C:\WINDOWS\Tasks\At15.job  
C:\WINDOWS\Tasks\At16.job  
C:\WINDOWS\Tasks\At17.job  
C:\WINDOWS\Tasks\At18.job  
C:\WINDOWS\Tasks\At19.job  
C:\WINDOWS\Tasks\At2.job  
C:\WINDOWS\Tasks\At20.job  
C:\WINDOWS\Tasks\At21.job  
C:\WINDOWS\Tasks\At22.job  
C:\WINDOWS\Tasks\At23.job  
C:\WINDOWS\Tasks\At24.job  
C:\WINDOWS\Tasks\At25.job  
C:\WINDOWS\Tasks\At26.job  
C:\WINDOWS\Tasks\At27.job  
C:\WINDOWS\Tasks\At28.job  
C:\WINDOWS\Tasks\At29.job  
C:\WINDOWS\Tasks\At3.job  
C:\WINDOWS\Tasks\At30.job  
C:\WINDOWS\Tasks\At31.job  
C:\WINDOWS\Tasks\At32.job  
C:\WINDOWS\Tasks\At33.job  
C:\WINDOWS\Tasks\At34.job  
C:\WINDOWS\Tasks\At35.job  
C:\WINDOWS\Tasks\At36.job  
C:\WINDOWS\Tasks\At37.job  
C:\WINDOWS\Tasks\At38.job  
C:\WINDOWS\Tasks\At39.job  
C:\WINDOWS\Tasks\At4.job  
C:\WINDOWS\Tasks\At40.job  
C:\WINDOWS\Tasks\At41.job  
C:\WINDOWS\Tasks\At42.job  
C:\WINDOWS\Tasks\At43.job  
C:\WINDOWS\Tasks\At44.job  
C:\WINDOWS\Tasks\At45.job  
C:\WINDOWS\Tasks\At46.job  
C:\WINDOWS\Tasks\At47.job  
C:\WINDOWS\Tasks\At48.job  
C:\WINDOWS\Tasks\At5.job  
C:\WINDOWS\Tasks\At6.job  
C:\WINDOWS\Tasks\At7.job  
C:\WINDOWS\Tasks\At8.job  
C:\WINDOWS\Tasks\At9.job  
E:\autorun.inf  
E:\boaqaa.exe  
E:\boaqaa.scr  
E:\Documents         .lnk  
E:\Music         .lnk  
E:\New Folder         .lnk  
E:\Passwords         .lnk  
E:\Pictures         .lnk  
E:\Video         .lnk  

################## | Registre |


################## | Mountpoints2 |

HKCU\..\..\Explorer\MountPoints2\{60b221b0-47d0-11de-a8b2-000c7639605d}
Shell\AutoRun\command =C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuGab.EXe

################## | Vaccin |


################## | ! Fin du rapport # UsbFix V6.100 ! |

Smart91 · Answer

On va faire le nettoyageet la vaccination
tutoriel nettoyage

- Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectés sans les ouvrir
- Double clic sur le raccourci UsbFix présent sur ton bureau
- Choisis l'option 2 ( Suppression )
-Ton bureau disparaîtra et le pc redémarrera .
- Au redémarrage , UsbFix scannera ton pc , laisse travailler l'outil.
- Ensuite post le rapport UsbFix.txt qui apparaîtra avec le bureau .
- Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.(C:\UsbFix.txt )
- (CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

UsbFix te proposera d'envoyer un dossier compressé à cette adresse : https://www.ionos.fr/?affiliate_id=77097
Ce dossier a été créé par UsbFix et est enregistré sur ton bureau.
Merci de l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches.

- Il faut sélectionner "UsbFix" dans le menu déroulant
- Merci d'avance pour ta contribution !!

Smart

gen-hackman · Answer

bonjour , une question :

ton pc demarre-t-il en mode sans echec ?

gen-hackman · Answer

peut-etre que les peripheriques sont en first boot
ou l'infection est vraiment costaud ^^

Fasiler · Answer

Alors smart dit moi je fait ce que m'a dit gen?

Smart91 · Answer

Oui tout à fait. Fais d'abord la manip proposée par gen  

Et si cela ne vat pas et comme je pense que tu as un HP,  donc en pressant F9 au démarrage, tu pourras choisir de booter sur le DD en laissant la clé Usb branchée.  

Edit; désolé pour le retard de ma réponse mais j'étais très occipé aujourd'hui  

Smart   
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

Fasiler · Answer

Salut voici le rapport de usbfix avec l'option 4:



############################## | UsbFix V6.100 |

User : UTILISATEUR () # AR
Update on 18/03/2010 by El Desaparecido , C_XX & Chimay8
Start at: 19:27:46 | 09/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

AMD Sempron(tm) Processor LE-1250
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Enabled
AV : avast! Antivirus 5.0.83886542 [ Enabled | Updated ]

C:\ -> Disque fixe local # 58,59 Go (47,14 Go free) # NTFS
D:\ -> Disque fixe local # 407,16 Go (398,47 Go free) # NTFS
E:\ -> Disque amovible
H:\ -> Disque amovible
I:\ -> Disque fixe local # 48,83 Go (45,5 Go free) # NTFS
J:\ -> Disque fixe local # 62,95 Go (62,81 Go free) # NTFS

################## | Elements infectieux |

Supprimé ! C:\WINDOWS\Tasks\At1.job 
Supprimé ! C:\WINDOWS\Tasks\At2.job 
Supprimé ! C:\WINDOWS\Tasks\At3.job 
Supprimé ! C:\WINDOWS\Tasks\At4.job 
Supprimé ! C:\WINDOWS\Tasks\At5.job 
Supprimé ! C:\WINDOWS\Tasks\At6.job 
Supprimé ! C:\WINDOWS\Tasks\At7.job 
Supprimé ! C:\WINDOWS\Tasks\At8.job 
Supprimé ! C:\WINDOWS\Tasks\At9.job 
Supprimé ! C:\WINDOWS\Tasks\At10.job 
Supprimé ! C:\WINDOWS\Tasks\At11.job 
Supprimé ! C:\WINDOWS\Tasks\At12.job 
Supprimé ! C:\WINDOWS\Tasks\At13.job 
Supprimé ! C:\WINDOWS\Tasks\At14.job 
Supprimé ! C:\WINDOWS\Tasks\At15.job 
Supprimé ! C:\WINDOWS\Tasks\At16.job 
Supprimé ! C:\WINDOWS\Tasks\At17.job 
Supprimé ! C:\WINDOWS\Tasks\At18.job 
Supprimé ! C:\WINDOWS\Tasks\At19.job 
Supprimé ! C:\WINDOWS\Tasks\At20.job 
Supprimé ! C:\WINDOWS\Tasks\At21.job 
Supprimé ! C:\WINDOWS\Tasks\At22.job 
Supprimé ! C:\WINDOWS\Tasks\At23.job 
Supprimé ! C:\WINDOWS\Tasks\At24.job 
Supprimé ! C:\WINDOWS\Tasks\At25.job 
Supprimé ! C:\WINDOWS\Tasks\At26.job 
Supprimé ! C:\WINDOWS\Tasks\At27.job 
Supprimé ! C:\WINDOWS\Tasks\At28.job 
Supprimé ! C:\WINDOWS\Tasks\At29.job 
Supprimé ! C:\WINDOWS\Tasks\At30.job 
Supprimé ! C:\WINDOWS\Tasks\At31.job 
Supprimé ! C:\WINDOWS\Tasks\At32.job 
Supprimé ! C:\WINDOWS\Tasks\At33.job 
Supprimé ! C:\WINDOWS\Tasks\At34.job 
Supprimé ! C:\WINDOWS\Tasks\At35.job 
Supprimé ! C:\WINDOWS\Tasks\At36.job 
Supprimé ! C:\WINDOWS\Tasks\At37.job 
Supprimé ! C:\WINDOWS\Tasks\At38.job 
Supprimé ! C:\WINDOWS\Tasks\At39.job 
Supprimé ! C:\WINDOWS\Tasks\At40.job 
Supprimé ! C:\WINDOWS\Tasks\At41.job 
Supprimé ! C:\WINDOWS\Tasks\At42.job 
Supprimé ! C:\WINDOWS\Tasks\At43.job 
Supprimé ! C:\WINDOWS\Tasks\At44.job 
Supprimé ! C:\WINDOWS\Tasks\At45.job 
Supprimé ! C:\WINDOWS\Tasks\At46.job 
Supprimé ! C:\WINDOWS\Tasks\At47.job 
Supprimé ! C:\WINDOWS\Tasks\At48.job 
Supprimé ! C:\Recycler\S-1-5-21-1390067357-162531612-725345543-1005 
Supprimé ! C:\Recycler\S-1-5-21-515967899-308236825-725345543-1005 
Supprimé ! D:\Recycler\S-1-5-21-1390067357-162531612-725345543-1005 
Supprimé ! D:\Recycler\S-1-5-21-515967899-308236825-725345543-1005 
Supprimé ! F:\autorun.inf 
Supprimé ! F:\boaqaa.exe 
Supprimé ! F:\boaqaa.scr 
Supprimé ! F:\Documents         .lnk 
Supprimé ! F:\Music         .lnk 
Supprimé ! F:\New Folder         .lnk 
Supprimé ! F:\Passwords         .lnk 
Supprimé ! F:\Pictures         .lnk 
Supprimé ! F:\Video         .lnk 
Supprimé ! I:\Recycler\S-1-5-21-1390067357-162531612-725345543-1005 
Supprimé ! J:\Recycler\S-1-5-21-1390067357-162531612-725345543-1005 

################## | Registre |


################## | Mountpoints2 |


################## | Listing des fichiers présent |

[07/04/2010 13:39|--a------|3202] C:\Ad-Report-CLEAN[1].txt 
[26/12/2008 11:32|--a------|0] C:\AUTOEXEC.BAT 
[29/07/2009 23:48|---hs----|327] C:\boot.ini 
[30/08/2002 14:00|-rahs----|4952] C:\Bootfont.bin 
[26/12/2008 11:32|--a------|0] C:\CONFIG.SYS 
[15/11/2009 13:08|--a------|48] C:\error.log 
[26/12/2008 11:32|-rahs----|0] C:\IO.SYS 
[26/12/2008 11:32|-rahs----|0] C:\MSDOS.SYS 
[03/08/2004 22:38|-rahs----|47564] C:\NTDETECT.COM 
[27/12/2008 11:20|-rahs----|252240] C:
tldr 
[?|?|?] C:\pagefile.sys 
[25/12/2009 22:23|--a------|87] C:\Setup.log 
[07/04/2010 15:49|--a------|585] C:\TCleaner.txt 
[09/04/2010 19:50|--a------|4183] C:\UsbFix.txt 
[23/10/2009 16:37|--ahs----|83] D:\desktop.ini 
[16/03/2010 01:10|--a------|40448] D:\Le document propos' pr'sente les r'sultats de dosages en continu sur 24 heures des taux de LH et de testost'rone.doc 
[15/09/2009 22:40|--a------|822] D:\Mes dossiers de partage.lnk 
[22/03/2010 16:24|--a------|24064] D:\Musique a t'l'charger !.doc 
[16/03/2010 01:11|--a------|1374720] D:\Normal.dot 
[26/12/2008 13:36|--a------|104] D:\Poste de travail.lnk 
[15/01/2010 22:40|--a------|1883] D:\Samsung New PC Studio.lnk 
[06/03/2010 14:38|--a------|372] D:\spider.sav 
[18/02/2010 14:36|--ahs----|17408] D:\Thumbs.db 
[12/02/2010 15:17|--a------|1266] D:\voeu.htm 
[14/03/2010 20:40|--ah-----|162] D:\~$sique a t'l'charger !.doc 
[06/05/2008 21:29|--a------|1584901] F:\SecureTraveler User's Manual.pdf 
[17/07/2008 23:05|--a------|937782] F:\SecureTraveler.exe 
[25/12/2008 00:35|--a------|0] I:\AUTOEXEC.BAT 
[01/01/2003 02:14|-rahs----|215] I:\boot.ini 
[02/03/2006 14:00|-rahs----|4952] I:\Bootfont.bin 
[25/12/2008 00:35|--a------|0] I:\CONFIG.SYS 
[01/01/2003 01:15|--ahs----|1073270784] I:\hiberfil.sys 
[25/12/2008 00:35|-rahs----|0] I:\IO.SYS 
[25/12/2008 00:35|-rahs----|0] I:\MSDOS.SYS 
[02/03/2006 14:00|-rahs----|47564] I:\NTDETECT.COM 
[02/03/2006 14:00|-rahs----|251712] I:
tldr 

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# D:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# F:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# I:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# J:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 

################## | Upload | 

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_AR.zip : https://www.ionos.fr/?affiliate_id=77097 
Merci pour votre contribution .  

################## | ! Fin du rapport # UsbFix V6.100 ! |

gen-hackman · Answer

il redemarre normalement en mode normal aveec la clé usb inserée ?

ensuite , 
tu peux poursuivre smart.... 
?G3?-?@¢??@?(TM)©®?

Fasiler · Answer

Que dois-je faire maintenant pour en finir avec le virus "win32malware-gen".
Est-ce qu'il c'est effacer en même temps que la clé usb ce nettoie?
Merci de me rep.

gen-hackman · Answer

as-tu envoyé le dossier zippé à l'auteur d'USBFix comme indique ?

Fasiler · Answer

oui

Smart91 · Answer

Tu as toujours les alertes avast même avec la nouvelle version ?
Sinon refait un RSIT et poste le rapport

Smart

Fasiler · Answer

Logfile of random's system information tool 1.06 (written by random/random)
Run by UTILISATEUR at 2010-04-09 21:16:32
Microsoft Windows XP Professionnel Service Pack 3
System drive C: has 47 GB (79%) free of 60 GB
Total RAM: 895 MB (36% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:16:37, on 09/04/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Orange\SessionManager\SessionManager.exe
C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Java\jre6\bin\jusched .exe
C:\Program Files\Orange\Systray\SystrayApp .exe
C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\AlertModule\0\AlertModule.exe
C:\WINDOWS\system32\FsUsbExService.Exe
C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\UTILISATEUR.AR\Bureau\RSIT.exe
C:\Program Files	rend micro\UTILISATEUR.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Windows Internet Explorer
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: Search Class - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - C:\Program Files\Orange\SearchURLHook\SearchPageURL.dll
R3 - URLSearchHook: myBabylon English4 Toolbar - {fc600575-3013-4e8e-941c-4b00dafce730} - C:\Program Files\myBabylon_English4	bmyB0.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: myBabylon English4 Toolbar - {fc600575-3013-4e8e-941c-4b00dafce730} - C:\Program Files\myBabylon_English4	bmyB0.dll
O3 - Toolbar: myBabylon English4 Toolbar - {fc600575-3013-4e8e-941c-4b00dafce730} - C:\Program Files\myBabylon_English4	bmyB0.dll
O4 - HKLM\..\Run: [ORAHSSSessionManager] C:\Program Files\Orange\SessionManager\SessionManager.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [SystrayORAHSS] "C:\Program Files\Orange\Systray\SystrayApp.exe"
O4 - HKLM\..\Run: [avast5] C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe /nogui
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/player/DivXBrowserPlugin.cab
O20 - Winlogon Notify: cbssreg - C:\Documents and Settings\All Users.WINDOWS\Documents\Settings\cbss.dll
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: FsUsbExService - Teruten - C:\WINDOWS\system32\FsUsbExService.Exe
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom SA - C:\PROGRA~1\FICHIE~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
O23 - Service: HP Port Resolver - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBPRO.EXE
O23 - Service: HP Status Server - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBOID.EXE
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe

Smart91 · Answer

OK. pour le rapport, je vais l'analyser mais tu ne m'as pas dit si tu avais toujours l'alerte par avast

Smart

Fasiler · Answer

j'ai toujours l'alerte par avast !

Smart91 · Answer

OK mais je viens de voir de voir que tu as des toolbars que tu n'avais plus, il y a une infection qui date du 8 avril
tu as dû faire un tour sur des sites qu'il ne faut pas.
Il faut recommencer.
Moi je veux bien t'aider mais si entre temps tu ne prends pas les précautions qu'il faut cela va être impossible.

- Rends-toi à cette adresse afin de télécharger AD-Remover (créé par C_XX) : https://www.androidworld.fr/ 
- Clique sur [b]TÉLÉCHARGER/b et enregistre-le sur ton bureau. 
- Double clique sur le fichier d'installation de AD-Remover, le programme s'installera automatiquement.  
- Au menu principal choisi l'option "Nettoyage" et tape sur [entrée] . 
- Laisse travailler l'outil et ne touche à rien ... 
- Poste le rapport qui apparait à la fin. (Le rapport est sauvegardé aussi sous C:\Ad-report.log) 
(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

Note : 
Process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

Smart

Fasiler · Answer

(!) -- Fichiers temporaires supprimés.
.
.
.
============== SCAN ADDITIONNEL ==============
.
* Mozilla FireFox Version 3.0.19 (fr) *
.
C:\Documents and Settings\UTILISATEUR.AR\..\c6r8tnn6.default\prefs.js - browser.download.lastDir: D:\elem\Robes
C:\Documents and Settings\UTILISATEUR.AR\..\c6r8tnn6.default\prefs.js - browser.startup.homepage: hxxp://www.google.com
C:\Documents and Settings\UTILISATEUR.AR\..\c6r8tnn6.default\prefs.js - browser.startup.homepage_override.mstone: rv:1.9.0.19
C:\Documents and Settings\UTILISATEUR.AR\..\c6r8tnn6.default\prefs.js - keyword.URL: hxxp://www.searcheo.fr/renseignement?search&q=
C:\Documents and Settings\UTILISATEUR.AR\..\c6r8tnn6.default\prefs.js - privacy.popups.showBrowserMessage, false
.
.
* Internet Explorer Version 8.0.6001.18702 *
.
[HKCU\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Search Asst: no
.
[HKLM\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/
.
[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
.
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm
.
========================================
.
C:\DOCUME~1\UTILIS~1.AR\LOCALS~1\Temp: 2 Fichier(s), 17 Dossier(s)
C:\WINDOWS	emp: 3 Fichier(s), 309 Dossier(s)
Temporary Internet Files: 4 Fichier(s), 4 Dossier(s)
.
C:\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Ad-Remover\Backup: 13 Fichier(s)
.
C:\Ad-Report-CLEAN[1].txt - 3202 Octet(s)
C:\Ad-Report-CLEAN[2].txt - 2693 Octet(s)
.
Fin à: 22:16:01, 09/04/2010
.
============== E.O.F - CLEAN[2] ==============

Fasiler · Answer

Cela veut dire que pendant les manipulations que tu me recommande, il faut que je ne rentre nul par a part ce que tu me dit de faire ?

gen-hackman · Answer

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

&#9654 Télécharge List_Kill'em et enregistre le sur ton bureau 

double clique ( clic droit "executer en tant qu'administrateur" pour Vista/7 ) sur le raccourci sur ton bureau pour lancer l'installation

une fois terminée , clic sur "terminer" et le programme se lancera seul

choisis l'option Search

un icone blanc et noir va s'afficher sur le bureau , il te servira à relancer le programme par la suite.
un autre rouge et noir te servira a desinstaller le prog a la fin de la desinfection.

&#9654 laisse travailler l'outil

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal , le programme n'est pas bloqué.

un rapport du nom de catchme apparait sur ton bureau , ignore-le,ne le poste pas , , il s'auto supprimera a la fin du scan

&#9654 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

Fasiler · Answer

J'ai remarqué kil y a un nouveau virus qui s'appelle "Win32:VB-OHY[Drp]".
Il est placé dans Usbfix.
Comment ça ce fait.
J'en ai marre.

Fasiler · Answer

Hey smart plus de probleme le virus ne reviens plus depuis avant hier.
Merci de t'etre occupé de moi aller a+.
;)

Win32 malware-gen

66 réponses

Discussions similaires