TR/Hijacker.Gen

Question

Salut la Communauté !

Mon ordi est victime d'une attaque de virus.  J'ai abandonné Avast pour Antivir, multiplié les scan et voici ce qui en ressort: je ne peux plus utiliser google chrome et voici le nom de la bébête qui ne cesse de changer de place :

Dans le fichier 'C:\WINDOWS\Temp\yivv.tmp\svchost.exe'
un virus ou un programme indésirable 'TR/Hijacker.Gen' [trojan] a été détecté.

Quelqu'un peut-il m'aider? 

Configuration: Windows XP / Internet Explorer 8.0

Utilisateur anonyme · Answer

Salut,

On va analyser ton PC :
* Télécharge RSIT de Random/Random, et enregistre le sur ton Bureau.

* Sous XP : Double clique sur RSIT.exe
* Sous Vista/7 : Fais un clic droit sur RSIT.exe et sélectionne "Exécuter en tant qu'administrateur"

* Clique sur Continue à l'écran Disclaimer.

* Si l'outil HijackThis n'est pas présent sur ton PC, RSIT le téléchargera (autorise l'accès dans ton pare-feu s'il te le demande) et tu devras accepter la licence en cliquant sur le bouton accept.

* Une fois le scan terminé, deux rapports vont apparaître : poste les dans deux messages séparés.

&#9650; Les rapports sont sauvegardés dans C:\rsit\info.txt et C:\rsit\log.txt

&#9658; Aide en images

Bix91 · Answer

Salut Sansfilet. Merci.

Bon impossible de t'envoyer les rapports sur le site. Je les copie mais ils ne sont pas envoyés. ça se complique ;-).

Utilisateur anonyme · Answer

Fais comme ceci pour les transmettre :

* Va sur le site ci-joint.fr

* Clique sur le bouton parcourir

* Recherche le fichier log.txt qui se trouve dans le dossier C:\rsit et clique sur Ouvrir

* Clique sur le bouton "Cliquez ici pour déposer le fichier"

* Copie ensuite le lien qui est affiché dans ta réponse.

Refais la manipulation avec le fichier info.txt

Bix91 · Answer

Merci pour cette astuce au passage ;-):

http://www.cijoint.fr/cjlink.php?file=cj201004/cijYeQiFwm.txt

http://www.cijoint.fr/cjlink.php?file=cj201004/cijOMix6uV.txt

Utilisateur anonyme · Answer

Bien, ya du boulot, dans l'ordre :

Note : l'adware Navipromo est installé par les programmes suivants :
* Funky Emoticons
* Game Attack
* go-astro
* GoRecord
* HotTVPlayer / HotTVPlayer & Paris Hilton
* Live-Player
* MailSkinner
* Messenger Skinner
* Instant Access
* InternetGameBox
* Official Emule (Version d'Emule modifiée)
* Original Solitaire
* SuperSexPlayer
* Speed Downloading
* Sudoplanet
* Webmediaplayer

Fais ce qui suit :

* Télécharge sur le bureau Navilog1 

* Sous XP : Double clique sur Navilog1.exe
* Sous Vista/7 : Fais un clic droit sur Navilog1.exe et sélectionne "Exécuter en tant qu'administrateur"

* Tape 1 pour choisir la langue française et valide avec la touche Entrée

* Appuie sur une touche aux 3 fenêtres d'avertissement

* Choisis "Recherche/Désinfection automatique" en appuyant sur la touche 1 et valide avec la touche Entrée

* Patiente pendant que l'outil fait son travail

* Appuie sur une touche à la fin du scan et laisse le PC redémarrer

* Un rapport va s'ouvrir au démarrage du PC, copie/colle le rapport dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\cleannavi.txt


Puis :

* Télécharge et enregistre le fichier sur ton bureau Ad-Remover

* Double clique sur AD-R.exe

* Au menu principal choisis l'option "Nettoyer"

* Patiente pendant que l'outil fait son travail

* Un rapport va s'ouvrir, copie/colle le dans ta réponse

? Le rapport est sauvegardé dans C:\Ad-report.log

Note :
Process.exe est détecté par certains antivirus comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.

Bix91 · Answer

Fix Navipromo version 4.0.8 commencé le 12/04/2010 19:45:22.62

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!

Outil exécuté depuis C:
avilog1

Mise à jour le 09.03.2010 à 18h00 par IL-MAFIOSO

Microsoft Windows XP Édition familiale ( v5.1.2600 ) Service Pack 3
X86-based PC ( Multiprocessor Free :               Intel(R) Pentium(R) 4 CPU 2.40GHz )
BIOS : BIOS Date: 06/26/03 12:40:38 Ver: 08.00.08
USER : vincent ( Administrator )
BOOT : Normal boot

Antivirus : AntiVir Desktop 9.0.1.32 (Activated)


A:\ (USB)
C:\ (Local Disk) - NTFS - Total:27 Go (Free:2 Go)
D:\ (Local Disk) - NTFS - Total:83 Go (Free:12 Go)
E:\ (CD or DVD)
F:\ (CD or DVD)


Recherche executée en mode normal 

Nettoyage exécuté au redémarrage de l'ordinateur


c:\docume~1\vincent\menudm~1\progra~1\WebMediaPlayer supprimé !


Nettoyage contenu C:\WINDOWS\Temp effectué !
Nettoyage contenu C:\Documents and Settings\vincent\locals~1\Temp effectué !


*** Sauvegarde du Registre vers dossier Safebackup ***

sauvegarde du Registre réalisée avec succès !

*** Nettoyage Registre ***

Nettoyage Registre Ok




*** Scan terminé 12/04/2010 19:51:10.73 ***

Bix91 · Answer

et pour la 2è manip:

.
======= RAPPORT D'AD-REMOVER 2.0.0.0,B | UNIQUEMENT XP/VISTA/7 =======
.
Mis à jour par C_XX le 31/03/10 à 21:30
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html
.
Lancé à: 19:54:52 le 12/04/2010 | Mode normal | Option: CLEAN
Exécuté de: C:\Ad-Remover\ADR.exe
SE: Microsoft® Windows XP(TM)  Service Pack 3 - X86
Nom du PC: ESTEBAN | Utilisateur actuel: vincent (Administrateur)
.
============== ÉLÉMENT(S) NEUTRALISÉ(S) ==============
.
.
C:\Documents and Settings\All Users\Application Data\Kiwee Toolbar2
C:\Documents and Settings\vincent\Application Data\EoRezo
C:\Documents and Settings\vincent\Application Data\pdfforge
C:\Documents and Settings\vincent\Application Data\Search Settings
C:\Program Files\Mozilla FireFox\extensions\{B922D405-6D13-4A2B-AE89-08A030DA4402}
C:\Program Files\Mozilla FireFox\extensions\search@searchsettings.com
C:\Program Files\pdfforge Toolbar
C:\Program Files\Trymedia

(!) -- Fichiers temporaires supprimés.
.
HKCU\Software\AppDataLow\Software\pdfforge
HKCU\Software\EoRezo
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{B922D405-6D13-4A2B-AE89-08A030DA4402}
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{64F56FC1-1272-44CD-BA6E-39723696E350}
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{B922D405-6D13-4A2B-AE89-08A030DA4402}
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
HKCU\Software\Search Settings
HKCU\Software\WebMediaPlayer
HKLM\Software\Classes\CLSID\{4260e0cc-0f75-462e-88a3-1e05c248bf4c}
HKLM\Software\Classes\CLSID\{B922D405-6D13-4A2B-AE89-08A030DA4402}
HKLM\Software\Classes\CLSID\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
HKLM\Software\Classes\Interface\{B0D071A1-36B3-4757-A126-14C89C56013A}
HKLM\Software\Microsoft\Code Store Database\Distribution Units\CabBuilder
HKLM\Software\Microsoft\Shared Tools\MSConfig\startupreg\Instant Access
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{B922D405-6D13-4A2B-AE89-08A030DA4402}
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
HKLM\Software\pdfforge
HKLM\Software\Search Settings
HKLM\Software\Trymedia Systems
HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{6638A9DE-0745-4292-8A2E-AE530E7B9B3F}
HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks|{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
HKLM\Software\Microsoft\Internet Explorer\Toolbar|{B922D405-6D13-4A2B-AE89-08A030DA4402}
HKLM\Software\Microsoft\Windows\CurrentVersion\Run|SearchSettings
HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDLLs|C:\Program Files\pdfforge Toolbar\SearchSettings.dll
HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDLLs|C:\Program Files\pdfforge Toolbar\SearchSettings.exe
.
(Orpheline) BHO: {5C255C8A-E604-49b4-9D64-90988571CECB} (CLSID manquant)
.
============== SCAN ADDITIONNEL ==============
.
* Mozilla FireFox Version 3.5.7 (fr) *
.
C:\Documents and Settings\vincent\..\pi99brlj.default\prefs.js - browser.download.lastDir: D:
C:\Documents and Settings\vincent\..\pi99brlj.default\prefs.js - browser.search.defaultenginename: Yahoo
C:\Documents and Settings\vincent\..\pi99brlj.default\prefs.js - browser.search.defaulturl: hxxp://search.live.com/results.aspx?FORM=IEFM1&q=
C:\Documents and Settings\vincent\..\pi99brlj.default\prefs.js - browser.search.selectedEngine: Google
C:\Documents and Settings\vincent\..\pi99brlj.default\prefs.js - browser.startup.homepage: hxxp://go.microsoft.com/fwlink/?LinkId=69157
C:\Documents and Settings\vincent\..\pi99brlj.default\prefs.js - browser.startup.homepage_override.mstone: rv:1.9.1.7
C:\Documents and Settings\vincent\..\pi99brlj.default\prefs.js - keyword.URL: hxxp://fr.search.yahoo.com/search?fr=greentree_ff1&ei=utf-8&type=971163&p=
.
.
* Internet Explorer Version 8.0.6001.18702 *
.
[HKCU\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
.
[HKLM\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/
.
[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
.
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm
.
============== SUSPECT(S) ==============
.
C:\Documents and Settings\vincent\Application Data\Azureus	orrents\How.I.Met.Your.Mother.S05E07.The.Rough.Patch.HDTV.XviD-FQM [mininova].torrent
.
========================================
.
C:\DOCUME~1\vincent\LOCALS~1\Temp: 3 Fichier(s), 3 Dossier(s)
C:\WINDOWS	emp: 3 Fichier(s), 3 Dossier(s)
Temporary Internet Files: 2 Fichier(s), 9 Dossier(s)
.
C:\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Ad-Remover\Backup: 14 Fichier(s)
.
C:\Ad-Report-CLEAN[1].txt - 5559 Octet(s)
.
Fin à: 20:03:47, 12/04/2010
.
============== E.O.F - CLEAN[1] ==============

Utilisateur anonyme · Answer

Bien, merci de refaire un rapport RSIT (seul le fichier log.txt s'ouvrira) et de le poster via le site ci-joint

Bix91 · Answer

Rapport Rist à suivre :

http://www.cijoint.fr/cjlink.php?file=cj201004/cijZ0BOxgw.txt

Utilisateur anonyme · Answer

&#9679; Télécharge OTM (de Old_Timer) sur ton Bureau

&#9679; Sous XP : Double clique sur OTM.exe
&#9679; Sous Vista : Fais un clic droit sur OTM.exe et sélectionne "Exécuter en tant qu'administrateur"

&#9679; Copie la liste ci-dessous et colle-la dans le cadre jaune (celui de gauche) de OTM sous Paste Instructions for Items to be Moved





:Services

:files
C:\WINDOWS	asks\At1.job
C:\WINDOWS	asks\At10.job
C:\WINDOWS	asks\At11.job
C:\WINDOWS	asks\At12.job
C:\WINDOWS	asks\At13.job
C:\WINDOWS	asks\At14.job
C:\WINDOWS	asks\At15.job
C:\WINDOWS	asks\At16.job
C:\WINDOWS	asks\At17.job
C:\WINDOWS	asks\At18.job
C:\WINDOWS	asks\At19.job
C:\WINDOWS	asks\At2.job
C:\WINDOWS	asks\At20.job
C:\WINDOWS	asks\At21.job
C:\WINDOWS	asks\At22.job
C:\WINDOWS	asks\At23.job
C:\WINDOWS	asks\At24.job
C:\WINDOWS	asks\At25.job
C:\WINDOWS	asks\At26.job
C:\WINDOWS	asks\At27.job
C:\WINDOWS	asks\At28.job
C:\WINDOWS	asks\At29.job
C:\WINDOWS	asks\At3.job
C:\WINDOWS	asks\At30.job
C:\WINDOWS	asks\At31.job
C:\WINDOWS	asks\At32.job
C:\WINDOWS	asks\At33.job
C:\WINDOWS	asks\At34.job
C:\WINDOWS	asks\At35.job
C:\WINDOWS	asks\At36.job
C:\WINDOWS	asks\At37.job
C:\WINDOWS	asks\At38.job
C:\WINDOWS	asks\At39.job
C:\WINDOWS	asks\At4.job
C:\WINDOWS	asks\At40.job
C:\WINDOWS	asks\At41.job
C:\WINDOWS	asks\At42.job
C:\WINDOWS	asks\At43.job
C:\WINDOWS	asks\At44.job
C:\WINDOWS	asks\At45.job
C:\WINDOWS	asks\At46.job
C:\WINDOWS	asks\At47.job
C:\WINDOWS	asks\At48.job
C:\WINDOWS	asks\At5.job
C:\WINDOWS	asks\At6.job
C:\WINDOWS	asks\At7.job
C:\WINDOWS	asks\At8.job
C:\WINDOWS	asks\At9.job
C:\Documents and Settings\vincent\Application Data\erase_me167856.exe
C:\Documents and Settings\vincent\Application Data\erase_me113380.exe
C:\Documents and Settings\vincent\Application Data\erase_me019142.exe
C:\Documents and Settings\vincent\Application Data\qwertylkd.exe
C:\Documents and Settings\vincent\Application Data\erase_me082228.exe
C:\Documents and Settings\vincent\Application Data\erase_me708228.exe
C:\Documents and Settings\vincent\Application C:\WINDOWS\smss.exe.tmp

:reg

:commands
[emptytemp]




&#9679; Clique sur le bouton MoveIt! pour lancer la suppression.

&#9679; Clique sur le bouton YES pour redémarrer le PC

&#9679; Un rapport s'ouvre au redémarrage du PC, copie/colle le dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\_OTM\MovedFiles

Bix91 · Answer

Voici le rapport :

All processes killed
========== SERVICES/DRIVERS ==========
========== FILES ==========
C:\WINDOWS	asks\At1.job moved successfully.
C:\WINDOWS	asks\At10.job moved successfully.
C:\WINDOWS	asks\At11.job moved successfully.
C:\WINDOWS	asks\At12.job moved successfully.
C:\WINDOWS	asks\At13.job moved successfully.
C:\WINDOWS	asks\At14.job moved successfully.
C:\WINDOWS	asks\At15.job moved successfully.
C:\WINDOWS	asks\At16.job moved successfully.
C:\WINDOWS	asks\At17.job moved successfully.
C:\WINDOWS	asks\At18.job moved successfully.
C:\WINDOWS	asks\At19.job moved successfully.
C:\WINDOWS	asks\At2.job moved successfully.
C:\WINDOWS	asks\At20.job moved successfully.
C:\WINDOWS	asks\At21.job moved successfully.
C:\WINDOWS	asks\At22.job moved successfully.
C:\WINDOWS	asks\At23.job moved successfully.
C:\WINDOWS	asks\At24.job moved successfully.
C:\WINDOWS	asks\At25.job moved successfully.
C:\WINDOWS	asks\At26.job moved successfully.
C:\WINDOWS	asks\At27.job moved successfully.
C:\WINDOWS	asks\At28.job moved successfully.
C:\WINDOWS	asks\At29.job moved successfully.
C:\WINDOWS	asks\At3.job moved successfully.
C:\WINDOWS	asks\At30.job moved successfully.
C:\WINDOWS	asks\At31.job moved successfully.
C:\WINDOWS	asks\At32.job moved successfully.
C:\WINDOWS	asks\At33.job moved successfully.
C:\WINDOWS	asks\At34.job moved successfully.
C:\WINDOWS	asks\At35.job moved successfully.
C:\WINDOWS	asks\At36.job moved successfully.
C:\WINDOWS	asks\At37.job moved successfully.
C:\WINDOWS	asks\At38.job moved successfully.
C:\WINDOWS	asks\At39.job moved successfully.
C:\WINDOWS	asks\At4.job moved successfully.
C:\WINDOWS	asks\At40.job moved successfully.
C:\WINDOWS	asks\At41.job moved successfully.
C:\WINDOWS	asks\At42.job moved successfully.
C:\WINDOWS	asks\At43.job moved successfully.
C:\WINDOWS	asks\At44.job moved successfully.
C:\WINDOWS	asks\At45.job moved successfully.
C:\WINDOWS	asks\At46.job moved successfully.
C:\WINDOWS	asks\At47.job moved successfully.
C:\WINDOWS	asks\At48.job moved successfully.
C:\WINDOWS	asks\At5.job moved successfully.
C:\WINDOWS	asks\At6.job moved successfully.
C:\WINDOWS	asks\At7.job moved successfully.
C:\WINDOWS	asks\At8.job moved successfully.
C:\WINDOWS	asks\At9.job moved successfully.
C:\Documents and Settings\vincent\Application Data\erase_me167856.exe moved successfully.
C:\Documents and Settings\vincent\Application Data\erase_me113380.exe moved successfully.
C:\Documents and Settings\vincent\Application Data\erase_me019142.exe moved successfully.
C:\Documents and Settings\vincent\Application Data\qwertylkd.exe moved successfully.
C:\Documents and Settings\vincent\Application Data\erase_me082228.exe moved successfully.
C:\Documents and Settings\vincent\Application Data\erase_me708228.exe moved successfully.
File/Folder C:\Documents and Settings\vincent\Application C:\WINDOWS\smss.exe.tmp not found.
========== REGISTRY ==========
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default User
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 84 bytes
 
User: Invité
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33294 bytes
 
User: LocalService
->Temp folder emptied: 66016 bytes
->Temporary Internet Files folder emptied: 2386059 bytes
->FireFox cache emptied: 3458864 bytes
->Google Chrome cache emptied: 5896928 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 37553242 bytes
->Flash cache emptied: 936 bytes
 
User: Propriétaire
 
User: vincent
->Temp folder emptied: 286305 bytes
->Temporary Internet Files folder emptied: 7650397 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 15644238 bytes
->Google Chrome cache emptied: 557424 bytes
->Apple Safari cache emptied: 4335924 bytes
->Flash cache emptied: 1497 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 477555 bytes
%systemroot%\System32 .tmp files removed: 5597696 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 9910 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 23933358 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 330444 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 103.00 mb
 
 
OTM by OldTimer - Version 3.1.10.1 log created on 04132010_183054

Files moved on Reboot...
File C:\Documents and Settings\vincent\Local Settings\Temp\~DFB157.tmp not found!
File C:\Documents and Settings\vincent\Local Settings\Temp\~DFB210.tmp not found!
File C:\Documents and Settings\vincent\Local Settings\Temp\~DFB4BF.tmp not found!
File C:\Documents and Settings\vincent\Local Settings\Temp\~DFB569.tmp not found!
File C:\Documents and Settings\vincent\Local Settings\Temp\~DFBD2D.tmp not found!
File C:\Documents and Settings\vincent\Local Settings\Temp\~DFBD83.tmp not found!
C:\Documents and Settings\vincent\Local Settings\Temporary Internet Files\Content.IE5\IR23XC28\affich-17343174-tr-hijacker-gen[1].htm moved successfully.
C:\Documents and Settings\vincent\Local Settings\Temporary Internet Files\AntiPhishing\2CEDBFBC-DBA8-43AA-B1FD-CC8E6316E3E2.dat moved successfully.

Registry entries deleted on Reboot...

Utilisateur anonyme · Answer

Très bien, la suite.

Je vois que tu as Malwarebytes d'installé, fais ceci :

&#9679; Lance MBAM et télécharge les mises à jour

&#9679; Va dans l'onglet Recherche, choisis "Exécuter un examen complet" puis clique sur Rechercher
Note : le scan peut durer plusieurs heures en fonction de la quantité de données présente sur ton PC

&#9679; A la fin du scan, clique sur Afficher les résultats

&#9679; Coche tous les éléments détectés puis clique sur Supprimer la sélection

&#9679; S'il t'est demandé de redémarrer, clique sur Yes

&#9679; Un rapport va s'ouvrir, copie/colle le dans ta réponse

&#9650; Le rapport se trouve dans l'onglet Rapports/Logs de MBAM

Bix91 · Answer

Voici le rapport:

Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Version de la base de données: 3985

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

13/04/2010 23:10:05
mbam-log-2010-04-13 (23-10-05).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 211953
Temps écoulé: 1 heure(s), 11 minute(s), 51 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Documents and Settings\vincent\Application Data\erase_me957334.exe (Trojan.Agent) -> Quarantined and deleted successfully.

Utilisateur anonyme · Answer

Ok, peux-tu refaire un RSIT pour vérifier.

Tu peux également lancer un scan de Antivir.
Pense juste à activer la recherche de rootkit en cliquant sur Configuration, sur Mode expert et en cochant la case Rech. Rootkit au dém. de la recherche.

http://sd-2.archive-host.com/membres/up/200691265947653694/Antivir-rootkit.jpg

Bix91 · Answer

Avira AntiVir Personal
Date de création du fichier de rapport : mercredi 14 avril 2010 12:29

La recherche porte sur 1993817 souches de virus.

Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus
Numéro de série : 0000149996-ADJIE-0000001
Plateforme : Windows XP
Version de Windows : (Service Pack 3) [5.1.2600]
Mode Boot : Démarré normalement
Identifiant : SYSTEM
Nom de l'ordinateur : ESTEBAN

Informations de version :
BUILD.DAT : 9.0.0.75 21698 Bytes 22/01/2010 23:14:00
AVSCAN.EXE : 9.0.3.10 466689 Bytes 09/04/2010 21:01:00
AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 09:21:02
LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 10:35:11
LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 09:21:31
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 21:00:51
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19/11/2009 21:00:54
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20/01/2010 21:00:55
VBASE003.VDF : 7.10.3.75 996864 Bytes 26/01/2010 21:00:55
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05/03/2010 21:00:56
VBASE005.VDF : 7.10.4.204 2048 Bytes 05/03/2010 21:00:56
VBASE006.VDF : 7.10.4.205 2048 Bytes 05/03/2010 21:00:56
VBASE007.VDF : 7.10.4.206 2048 Bytes 05/03/2010 21:00:56
VBASE008.VDF : 7.10.4.207 2048 Bytes 05/03/2010 21:00:56
VBASE009.VDF : 7.10.4.208 2048 Bytes 05/03/2010 21:00:56
VBASE010.VDF : 7.10.4.209 2048 Bytes 05/03/2010 21:00:56
VBASE011.VDF : 7.10.4.210 2048 Bytes 05/03/2010 21:00:56
VBASE012.VDF : 7.10.4.211 2048 Bytes 05/03/2010 21:00:56
VBASE013.VDF : 7.10.4.242 153088 Bytes 08/03/2010 21:00:56
VBASE014.VDF : 7.10.5.17 99328 Bytes 10/03/2010 21:00:56
VBASE015.VDF : 7.10.5.44 107008 Bytes 11/03/2010 21:00:56
VBASE016.VDF : 7.10.5.69 92672 Bytes 12/03/2010 21:00:56
VBASE017.VDF : 7.10.5.91 119808 Bytes 15/03/2010 21:00:56
VBASE018.VDF : 7.10.5.121 112640 Bytes 18/03/2010 21:00:56
VBASE019.VDF : 7.10.5.138 139776 Bytes 18/03/2010 21:00:57
VBASE020.VDF : 7.10.5.164 113152 Bytes 22/03/2010 21:00:57
VBASE021.VDF : 7.10.5.182 108032 Bytes 23/03/2010 21:00:57
VBASE022.VDF : 7.10.5.199 123904 Bytes 24/03/2010 21:00:57
VBASE023.VDF : 7.10.5.217 279552 Bytes 25/03/2010 21:00:57
VBASE024.VDF : 7.10.5.234 202240 Bytes 26/03/2010 21:00:57
VBASE025.VDF : 7.10.5.254 187904 Bytes 30/03/2010 21:00:57
VBASE026.VDF : 7.10.6.18 130560 Bytes 01/04/2010 21:00:57
VBASE027.VDF : 7.10.6.34 136192 Bytes 06/04/2010 21:00:57
VBASE028.VDF : 7.10.6.44 232448 Bytes 07/04/2010 21:00:57
VBASE029.VDF : 7.10.6.60 124416 Bytes 12/04/2010 16:27:42
VBASE030.VDF : 7.10.6.61 2048 Bytes 12/04/2010 16:27:43
VBASE031.VDF : 7.10.6.68 71168 Bytes 13/04/2010 16:27:43
Version du moteur : 8.2.1.210
AEVDF.DLL : 8.1.1.3 106868 Bytes 09/04/2010 21:01:00
AESCRIPT.DLL : 8.1.3.24 1282425 Bytes 09/04/2010 21:00:59
AESCN.DLL : 8.1.5.0 127347 Bytes 09/04/2010 21:00:59
AESBX.DLL : 8.1.2.1 254323 Bytes 09/04/2010 21:01:00
AERDL.DLL : 8.1.4.3 541043 Bytes 09/04/2010 21:00:59
AEPACK.DLL : 8.2.1.1 426358 Bytes 09/04/2010 21:00:59
AEOFFICE.DLL : 8.1.0.41 201083 Bytes 09/04/2010 21:00:59
AEHEUR.DLL : 8.1.1.16 2503031 Bytes 09/04/2010 21:00:59
AEHELP.DLL : 8.1.11.3 242039 Bytes 09/04/2010 21:00:58
AEGEN.DLL : 8.1.3.6 373108 Bytes 09/04/2010 21:00:58
AEEMU.DLL : 8.1.1.0 393587 Bytes 09/04/2010 21:00:58
AECORE.DLL : 8.1.13.1 188790 Bytes 09/04/2010 21:00:58
AEBB.DLL : 8.1.0.3 53618 Bytes 09/10/2008 13:32:40
AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 07:47:30
AVPREF.DLL : 9.0.3.0 44289 Bytes 09/04/2010 21:01:00
AVREP.DLL : 8.0.0.7 159784 Bytes 09/04/2010 21:01:00
AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 14:24:42
AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 14:05:22
AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 09:36:37
SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 14:03:49
SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 07:20:57
NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 14:40:59
RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 09/04/2010 21:00:45
RCTEXT.DLL : 9.0.73.0 88321 Bytes 09/04/2010 21:00:45

Configuration pour la recherche actuelle :
Nom de la tâche...............................: Contrôle intégral du système
Fichier de configuration......................: c:\program files\avira\antivir desktop\sysscan.avp
Documentation.................................: bas
Action principale.............................: interactif
Action secondaire.............................: ignorer
Recherche sur les secteurs d'amorçage maître..: marche
Recherche sur les secteurs d'amorçage.........: marche
Secteurs d'amorçage...........................: C:, D:,
Recherche dans les programmes actifs..........: marche
Recherche en cours sur l'enregistrement.......: marche
Recherche de Rootkits.........................: marche
Contrôle d'intégrité de fichiers système......: arrêt
Fichier mode de recherche.....................: Tous les fichiers
Recherche sur les archives....................: marche
Limiter la profondeur de récursivité..........: 20
Archive Smart Extensions......................: marche
Heuristique de macrovirus.....................: marche
Heuristique fichier...........................: moyen

Début de la recherche : mercredi 14 avril 2010 12:29

La recherche d'objets cachés commence.
'62596' objets ont été contrôlés, '0' objets cachés ont été trouvés.

La recherche sur les processus démarrés commence :
Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés
Processus de recherche 'iexplore.exe' - '1' module(s) sont contrôlés
Processus de recherche 'iexplore.exe' - '1' module(s) sont contrôlés
Processus de recherche 'avcenter.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'msiexec.exe' - '1' module(s) sont contrôlés
Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés
Processus de recherche 'UPnPFramework.exe' - '1' module(s) sont contrôlés
Processus de recherche 'sv_httpd.exe' - '1' module(s) sont contrôlés
Processus de recherche 'PicAppSrv.exe' - '1' module(s) sont contrôlés
Processus de recherche 'SSSvr.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'SeaPort.exe' - '1' module(s) sont contrôlés
Processus de recherche 'nvsvc32.exe' - '1' module(s) sont contrôlés
Processus de recherche 'jqs.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'bgsvcgen.exe' - '1' module(s) sont contrôlés
Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés
Processus de recherche 'soffice.bin' - '1' module(s) sont contrôlés
Processus de recherche 'soffice.exe' - '1' module(s) sont contrôlés
Processus de recherche 'LogitechDesktopMessenger.exe' - '1' module(s) sont contrôlés
Processus de recherche 'hpqtra08.exe' - '1' module(s) sont contrôlés
Processus de recherche 'QuickDCF2.exe' - '1' module(s) sont contrôlés
Processus de recherche 'dslmon.exe' - '1' module(s) sont contrôlés
Processus de recherche 'ctfmon.exe' - '1' module(s) sont contrôlés
Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés
Processus de recherche 'autoclk.exe' - '1' module(s) sont contrôlés
Processus de recherche 'ezSP_Px.exe' - '1' module(s) sont contrôlés
Processus de recherche 'AGRSMMSG.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés
Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés
Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés
Processus de recherche 'services.exe' - '1' module(s) sont contrôlés
Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés
Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés
Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés
'43' processus ont été contrôlés avec '43' modules

La recherche sur les secteurs d'amorçage maître commence :
Secteur d'amorçage maître HD0
[INFO] Aucun virus trouvé !

La recherche sur les secteurs d'amorçage commence :
Secteur d'amorçage 'C:\'
[INFO] Aucun virus trouvé !
Secteur d'amorçage 'D:\'
[INFO] Aucun virus trouvé !

La recherche sur les renvois aux fichiers exécutables (registre) commence :
Le registre a été contrôlé ( '67' fichiers).

La recherche sur les fichiers sélectionnés commence :

Recherche débutant dans 'C:\' <VAIO>
C:\hiberfil.sys
[AVERTISSEMENT] Impossible d'ouvrir le fichier !
[REMARQUE] Ce fichier est un fichier système Windows.
[REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche.
C:\pagefile.sys
[AVERTISSEMENT] Impossible d'ouvrir le fichier !
[REMARQUE] Ce fichier est un fichier système Windows.
[REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche.
C:\Documents and Settings\vincent\Local Settings\Application Data\Temp\{930B66D7-A103-4933-9136-B3F937B38B03}
[AVERTISSEMENT] Impossible de lire le fichier !
C:\_OTM\MovedFiles\04132010_183054\C_Documents and Settings\vincent\Application Data\erase_me167856.exe
[RESULTAT] Contient le cheval de Troie TR/VBKrypt.IZ.1
Recherche débutant dans 'D:\' <VAIO>

Début de la désinfection :
C:\_OTM\MovedFiles\04132010_183054\C_Documents and Settings\vincent\Application Data\erase_me167856.exe
[RESULTAT] Contient le cheval de Troie TR/VBKrypt.IZ.1
[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c26ace9.qua' !

Fin de la recherche : mercredi 14 avril 2010 13:52
Temps nécessaire: 1:12:08 Heure(s)

La recherche a été effectuée intégralement

10557 Les répertoires ont été contrôlés
449748 Des fichiers ont été contrôlés
1 Des virus ou programmes indésirables ont été trouvés
0 Des fichiers ont été classés comme suspects
0 Des fichiers ont été supprimés
0 Des virus ou programmes indésirables ont été réparés
1 Les fichiers ont été déplacés dans la quarantaine
0 Les fichiers ont été renommés
2 Impossible de contrôler des fichiers
449745 Fichiers non infectés
9044 Les archives ont été contrôlées
3 Avertissements
3 Consignes
62596 Des objets ont été contrôlés lors du Rootkitscan
0 Des objets cachés ont été trouvés

et le rapport:
http://www.cijoint.fr/cjlink.php?file=cj201004/cij3KC21k1.txt

Bix91 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201004/cij3KC21k1.txt

Avira AntiVir Personal
Date de création du fichier de rapport : mercredi 14 avril 2010 12:29

La recherche porte sur 1993817 souches de virus.

Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus
Numéro de série : 0000149996-ADJIE-0000001
Plateforme : Windows XP
Version de Windows : (Service Pack 3) [5.1.2600]
Mode Boot : Démarré normalement
Identifiant : SYSTEM
Nom de l'ordinateur : ESTEBAN

Informations de version :
BUILD.DAT : 9.0.0.75 21698 Bytes 22/01/2010 23:14:00
AVSCAN.EXE : 9.0.3.10 466689 Bytes 09/04/2010 21:01:00
AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 09:21:02
LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 10:35:11
LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 09:21:31
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 21:00:51
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19/11/2009 21:00:54
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20/01/2010 21:00:55
VBASE003.VDF : 7.10.3.75 996864 Bytes 26/01/2010 21:00:55
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05/03/2010 21:00:56
VBASE005.VDF : 7.10.4.204 2048 Bytes 05/03/2010 21:00:56
VBASE006.VDF : 7.10.4.205 2048 Bytes 05/03/2010 21:00:56
VBASE007.VDF : 7.10.4.206 2048 Bytes 05/03/2010 21:00:56
VBASE008.VDF : 7.10.4.207 2048 Bytes 05/03/2010 21:00:56
VBASE009.VDF : 7.10.4.208 2048 Bytes 05/03/2010 21:00:56
VBASE010.VDF : 7.10.4.209 2048 Bytes 05/03/2010 21:00:56
VBASE011.VDF : 7.10.4.210 2048 Bytes 05/03/2010 21:00:56
VBASE012.VDF : 7.10.4.211 2048 Bytes 05/03/2010 21:00:56
VBASE013.VDF : 7.10.4.242 153088 Bytes 08/03/2010 21:00:56
VBASE014.VDF : 7.10.5.17 99328 Bytes 10/03/2010 21:00:56
VBASE015.VDF : 7.10.5.44 107008 Bytes 11/03/2010 21:00:56
VBASE016.VDF : 7.10.5.69 92672 Bytes 12/03/2010 21:00:56
VBASE017.VDF : 7.10.5.91 119808 Bytes 15/03/2010 21:00:56
VBASE018.VDF : 7.10.5.121 112640 Bytes 18/03/2010 21:00:56
VBASE019.VDF : 7.10.5.138 139776 Bytes 18/03/2010 21:00:57
VBASE020.VDF : 7.10.5.164 113152 Bytes 22/03/2010 21:00:57
VBASE021.VDF : 7.10.5.182 108032 Bytes 23/03/2010 21:00:57
VBASE022.VDF : 7.10.5.199 123904 Bytes 24/03/2010 21:00:57
VBASE023.VDF : 7.10.5.217 279552 Bytes 25/03/2010 21:00:57
VBASE024.VDF : 7.10.5.234 202240 Bytes 26/03/2010 21:00:57
VBASE025.VDF : 7.10.5.254 187904 Bytes 30/03/2010 21:00:57
VBASE026.VDF : 7.10.6.18 130560 Bytes 01/04/2010 21:00:57
VBASE027.VDF : 7.10.6.34 136192 Bytes 06/04/2010 21:00:57
VBASE028.VDF : 7.10.6.44 232448 Bytes 07/04/2010 21:00:57
VBASE029.VDF : 7.10.6.60 124416 Bytes 12/04/2010 16:27:42
VBASE030.VDF : 7.10.6.61 2048 Bytes 12/04/2010 16:27:43
VBASE031.VDF : 7.10.6.68 71168 Bytes 13/04/2010 16:27:43
Version du moteur : 8.2.1.210
AEVDF.DLL : 8.1.1.3 106868 Bytes 09/04/2010 21:01:00
AESCRIPT.DLL : 8.1.3.24 1282425 Bytes 09/04/2010 21:00:59
AESCN.DLL : 8.1.5.0 127347 Bytes 09/04/2010 21:00:59
AESBX.DLL : 8.1.2.1 254323 Bytes 09/04/2010 21:01:00
AERDL.DLL : 8.1.4.3 541043 Bytes 09/04/2010 21:00:59
AEPACK.DLL : 8.2.1.1 426358 Bytes 09/04/2010 21:00:59
AEOFFICE.DLL : 8.1.0.41 201083 Bytes 09/04/2010 21:00:59
AEHEUR.DLL : 8.1.1.16 2503031 Bytes 09/04/2010 21:00:59
AEHELP.DLL : 8.1.11.3 242039 Bytes 09/04/2010 21:00:58
AEGEN.DLL : 8.1.3.6 373108 Bytes 09/04/2010 21:00:58
AEEMU.DLL : 8.1.1.0 393587 Bytes 09/04/2010 21:00:58
AECORE.DLL : 8.1.13.1 188790 Bytes 09/04/2010 21:00:58
AEBB.DLL : 8.1.0.3 53618 Bytes 09/10/2008 13:32:40
AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 07:47:30
AVPREF.DLL : 9.0.3.0 44289 Bytes 09/04/2010 21:01:00
AVREP.DLL : 8.0.0.7 159784 Bytes 09/04/2010 21:01:00
AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 14:24:42
AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 14:05:22
AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 09:36:37
SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 14:03:49
SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 07:20:57
NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 14:40:59
RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 09/04/2010 21:00:45
RCTEXT.DLL : 9.0.73.0 88321 Bytes 09/04/2010 21:00:45

Configuration pour la recherche actuelle :
Nom de la tâche...............................: Contrôle intégral du système
Fichier de configuration......................: c:\program files\avira\antivir desktop\sysscan.avp
Documentation.................................: bas
Action principale.............................: interactif
Action secondaire.............................: ignorer
Recherche sur les secteurs d'amorçage maître..: marche
Recherche sur les secteurs d'amorçage.........: marche
Secteurs d'amorçage...........................: C:, D:,
Recherche dans les programmes actifs..........: marche
Recherche en cours sur l'enregistrement.......: marche
Recherche de Rootkits.........................: marche
Contrôle d'intégrité de fichiers système......: arrêt
Fichier mode de recherche.....................: Tous les fichiers
Recherche sur les archives....................: marche
Limiter la profondeur de récursivité..........: 20
Archive Smart Extensions......................: marche
Heuristique de macrovirus.....................: marche
Heuristique fichier...........................: moyen

Début de la recherche : mercredi 14 avril 2010 12:29

La recherche d'objets cachés commence.
'62596' objets ont été contrôlés, '0' objets cachés ont été trouvés.

La recherche sur les processus démarrés commence :
Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés
Processus de recherche 'iexplore.exe' - '1' module(s) sont contrôlés
Processus de recherche 'iexplore.exe' - '1' module(s) sont contrôlés
Processus de recherche 'avcenter.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'msiexec.exe' - '1' module(s) sont contrôlés
Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés
Processus de recherche 'UPnPFramework.exe' - '1' module(s) sont contrôlés
Processus de recherche 'sv_httpd.exe' - '1' module(s) sont contrôlés
Processus de recherche 'PicAppSrv.exe' - '1' module(s) sont contrôlés
Processus de recherche 'SSSvr.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'SeaPort.exe' - '1' module(s) sont contrôlés
Processus de recherche 'nvsvc32.exe' - '1' module(s) sont contrôlés
Processus de recherche 'jqs.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'bgsvcgen.exe' - '1' module(s) sont contrôlés
Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés
Processus de recherche 'soffice.bin' - '1' module(s) sont contrôlés
Processus de recherche 'soffice.exe' - '1' module(s) sont contrôlés
Processus de recherche 'LogitechDesktopMessenger.exe' - '1' module(s) sont contrôlés
Processus de recherche 'hpqtra08.exe' - '1' module(s) sont contrôlés
Processus de recherche 'QuickDCF2.exe' - '1' module(s) sont contrôlés
Processus de recherche 'dslmon.exe' - '1' module(s) sont contrôlés
Processus de recherche 'ctfmon.exe' - '1' module(s) sont contrôlés
Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés
Processus de recherche 'autoclk.exe' - '1' module(s) sont contrôlés
Processus de recherche 'ezSP_Px.exe' - '1' module(s) sont contrôlés
Processus de recherche 'AGRSMMSG.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés
Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés
Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés
Processus de recherche 'services.exe' - '1' module(s) sont contrôlés
Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés
Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés
Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés
'43' processus ont été contrôlés avec '43' modules

La recherche sur les secteurs d'amorçage maître commence :
Secteur d'amorçage maître HD0
[INFO] Aucun virus trouvé !

La recherche sur les secteurs d'amorçage commence :
Secteur d'amorçage 'C:\'
[INFO] Aucun virus trouvé !
Secteur d'amorçage 'D:\'
[INFO] Aucun virus trouvé !

La recherche sur les renvois aux fichiers exécutables (registre) commence :
Le registre a été contrôlé ( '67' fichiers).

La recherche sur les fichiers sélectionnés commence :

Recherche débutant dans 'C:\' <VAIO>
C:\hiberfil.sys
[AVERTISSEMENT] Impossible d'ouvrir le fichier !
[REMARQUE] Ce fichier est un fichier système Windows.
[REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche.
C:\pagefile.sys
[AVERTISSEMENT] Impossible d'ouvrir le fichier !
[REMARQUE] Ce fichier est un fichier système Windows.
[REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche.
C:\Documents and Settings\vincent\Local Settings\Application Data\Temp\{930B66D7-A103-4933-9136-B3F937B38B03}
[AVERTISSEMENT] Impossible de lire le fichier !
C:\_OTM\MovedFiles\04132010_183054\C_Documents and Settings\vincent\Application Data\erase_me167856.exe
[RESULTAT] Contient le cheval de Troie TR/VBKrypt.IZ.1
Recherche débutant dans 'D:\' <VAIO>

Début de la désinfection :
C:\_OTM\MovedFiles\04132010_183054\C_Documents and Settings\vincent\Application Data\erase_me167856.exe
[RESULTAT] Contient le cheval de Troie TR/VBKrypt.IZ.1
[REMARQUE] Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c26ace9.qua' !

Fin de la recherche : mercredi 14 avril 2010 13:52
Temps nécessaire: 1:12:08 Heure(s)

La recherche a été effectuée intégralement

10557 Les répertoires ont été contrôlés
449748 Des fichiers ont été contrôlés
1 Des virus ou programmes indésirables ont été trouvés
0 Des fichiers ont été classés comme suspects
0 Des fichiers ont été supprimés
0 Des virus ou programmes indésirables ont été réparés
1 Les fichiers ont été déplacés dans la quarantaine
0 Les fichiers ont été renommés
2 Impossible de contrôler des fichiers
449745 Fichiers non infectés
9044 Les archives ont été contrôlées
3 Avertissements
3 Consignes
62596 Des objets ont été contrôlés lors du Rootkitscan
0 Des objets cachés ont été trouvés

Utilisateur anonyme · Answer

Bien, ton PC me paraît clean.

Le virus détecté par Antivir correspond à un fichier que l'on avait supprimer précédemment.

As-tu encore des problèmes ?
Si c'est OK pour toi, on pourra passer à la suite.

Bix91 · Answer

Alors je viens d'avoir cette alerte:

Dans le fichier 'C:\System Volume Information\_restore{07D9872D-CA27-41CD-BF02-E601D6E72B23}\RP1633\A0369643.exe'
un virus ou un programme indésirable 'TR/VBKrypt.IZ.1' [trojan] a été détecté.
Action exécutée : Refuser l'accès

Et le moteur de recherche google chrome ne fonctionne toujours pas en dépit de sa réinstallation.

Merci encore.

Bix91 · Answer

et d'autres encore:

ans le fichier 'C:\Documents and Settings\vincent\Local Settings\Temporary Internet Files\Content.IE5\DHN63BQ1\206a457a98f15361eaa8c95f52c93646721c3008411[1].js'
un virus ou un programme indésirable 'JS/FakeAV.62361' [virus] a été détecté.
Action exécutée : Refuser l'accès

Dans le fichier 'C:\Documents and Settings\vincent\Local Settings\Temporary Internet Files\Content.IE5\DHN63BQ1\206a457a98f15361eaa8c95f52c93646721c3008411[1].js'
un virus ou un programme indésirable 'JS/FakeAV.62361' [virus] a été détecté.
Action exécutée : Déplacer le fichier en quarantaine

Souvent sur explorer, des spams ou autres fenêtres s'ouvrent inopinément

Utilisateur anonyme · Answer

Ok, rien de bien grave, dans la restauration système et dans le cache de Internet Explorer.

Je te donne la suite dans la soirée.

Utilisateur anonyme · Answer

&#9679; Sous XP : Double clique sur HijackThis qui se trouve ici ==> C:\Program Files	rend micro\.exe
&#9679; Sous Vista/7 : Fais un clic droit et choisis exécuter en tant qu'administrateur sur HijackThis qui se trouve ici ==> C:\Programmes	rend micro\.exe

&#9679; Clique sur Do a system Scan only

&#9679; Coche les cases suivantes (si elles sont présentes) :




O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [REGSHAVE] C:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUN
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Program Files\Fichiers communs\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask  .exe" -atboottime
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE





&#9679; Clique sur Fix checked puis sur "Oui" dans la fenêtre d'avertissement

&#9679; Ferme HijackThis


On va supprimer les différents outils utilisés :

&#9679; Télécharge ToolsCleaner sur ton Bureau

&#9679; Sous XP : Double clique sur ToolCleaner2.exe
&#9679; Sous Vista/7 : Fais un clic droit sur ToolCleaner2.exe et sélectionne "Exécuter en tant qu'administrateur"

&#9679; Clique sur Recherche et patiente pendant le scan

&#9679; Clique sur Suppression pour supprimer les outils

&#9679; Clique sur Quitter, un rapport va s'ouvrir, copie/colle le dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\TCleaner.txt


Tu peux supprimer ToolsCleaner2.exe

Bix91 · Answer

Voici le rapport Tcleaner

[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

--> Recherche: 

C:\cleannavi.txt: trouvé !
C:\_OTM: trouvé !
C:\Navilog1: trouvé !
C:\Rsit: trouvé !
C:\Ad-remover: trouvé !
C:\Ad-Remover\Backup\Ad-R.exe: trouvé !
C:\Documents and Settings\vincent\Bureau\OTM.exe: trouvé !
C:\Documents and Settings\vincent\Bureau\Navilog1.exe: trouvé !
C:\Documents and Settings\vincent\Bureau\Ad-R.exe: trouvé !
C:\Documents and Settings\vincent\Bureau\Rsit.exe: trouvé !
C:\Navilog1\Navilog1.bat: trouvé !
C:\Program Files\Trend Micro\HijackThis.exe: trouvé !
C:\Program Files\Trend Micro\hijackthis.log: trouvé !
C:\Program Files\Trend Micro\HijackThis: trouvé !
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe: trouvé !
C:\Program Files\Trend Micro\HijackThis\hijackthis.log: trouvé !

---------------------------------
--> Suppression: 

C:\Ad-Remover\Backup\Ad-R.exe: supprimé !
C:\Documents and Settings\vincent\Bureau\OTM.exe: supprimé !
C:\Documents and Settings\vincent\Bureau\Navilog1.exe: supprimé !
C:\Documents and Settings\vincent\Bureau\Ad-R.exe: supprimé !
C:\Navilog1\Navilog1.bat: supprimé !
C:\Program Files\Trend Micro\HijackThis.exe: supprimé !
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe: supprimé !
C:\cleannavi.txt: supprimé !
C:\Documents and Settings\vincent\Bureau\Rsit.exe: supprimé !
C:\Program Files\Trend Micro\hijackthis.log: supprimé !
C:\Program Files\Trend Micro\HijackThis\hijackthis.log: supprimé !
C:\_OTM: supprimé !
C:\Navilog1: supprimé !
C:\Rsit: supprimé !
C:\Ad-remover: supprimé !
C:\Program Files\Trend Micro\HijackThis: supprimé !

Utilisateur anonyme · Answer

Parfait, on continue :

Suppression des points de restauration :
&#9679; Clique sur Démarrer
&#9679; Clique droit sur Poste de travail
&#9679; Clique sur Propriétés
&#9679; Clique sur l'onglet Restauration du système
&#9679; Clique sur Restauration système
&#9679; Coche la case Désactiver la Restauration du système sur tous les lecteurs
&#9679; Clique sur Appliquer
&#9679; Clique sur Oui au message "Voulez-vous vraiment déactiver la restauration système ?"
&#9679; Décoche la case Désactiver la Restauration du système sur tous les lecteurs
&#9679; Clique sur Appliquer
&#9679; Clique sur OK

Création d'un nouveau point de restauration :
&#9679; Clique sur Démarrer
&#9679; Clique sur Programmes
&#9679; Clique sur Accessoires
&#9679; Clique sur Outils système
&#9679; Clique sur Restauration système
&#9679; Active la restauration si un message le demande
&#9679; Sélectionne Créer un point de restauration
&#9679; Clique sur Suivant
&#9679; Entre une Description
&#9679; Clique sur Créer
&#9679; Clique sur Fermer


Nettoyage des fichiers temporaires et de la base de registre :

&#9679; Télécharge Ccleaner

&#9679; Lance l'installation en double cliquant sur le fichier téléchargé

&#9679; Laisse les options par défaut lors de l'installation

&#9679; Lance Ccleaner

&#9679; Clique sur le bouton Nettoyer et clique sur OK dans la fenêtre d'avertissement

&#9679; Clique sur l'onglet Registre

&#9679; Clique sur le bouton Chercher les erreurs

&#9679; Clique sur le bouton Corriger les erreurs sélectionnées

&#9679; Refais la recherche d'erreurs jusqu'à ce qu'il n'en trouve plus

Bix91 · Answer

Voilà j'ai faite toutes ces démarches. Une seule erreur avec Ccleaner que je n'arrive pas à réparer, qui revient à chaque lancement, appelée "extension de fichiers non utilisés".

Utilisateur anonyme · Answer

C'est pas grave pour l'erreur restante.

On passe aux mises à jour :

Java : 

    &#9679; Télécharge JavaRa.zip
 
    &#9679; Décompresse le fichier sur ton bureau (clique droit > Extraire tout.)
 
    &#9679; Double-clique sur le répertoire JavaRa obtenu.
 
    &#9679; Puis double-clique sur le fichier JavaRa.exe (le .exe peut ne pas s'afficher)
 
    &#9679; Clique sur Search For Updates.
 
    &#9679; Sélectionne Update Using jucheck.exe puis clique sur Search.
 
    &#9679; Autorise le processus à se connecter s'il te le demande, clique sur Install et suis les instructions d'installation. Cela prendra quelques minutes.
 
    &#9679; Quand l'installation est terminée, revient à l'écran de JavaRa et clique sur Remove Older Versions.
 
    &#9679; Clique sur Oui pour confirmer. L'outil va travailler, clique ensuite sur Ok, puis une deuxième fois sur Ok.
 
    &#9679; Un rapport va s'ouvrir, copie-colle le dans ta prochaine réponse.
 
    * Note : le rapport se trouve aussi là : ( C:\JavaRa.log )
 
    &#9679; Ferme l'application
    

Acrobat Reader :

&#9679; Lance Acrobat Reader

&#9679; Va dans le menu Aide puis clique sur Rechercher les mises à jour

&#9679; Clique sur Télécharger et installer les mises à jour et laisse les mises s'installer


Firefox :

Va sur le site de Firefox pour télécharger la dernière version et installe la.

Bix91 · Answer

JavaRa 1.15 Removal Log.

Report follows after line.

------------------------------------

The JavaRa removal process was started on Thu Apr 15 22:37:11 2010

Found and removed: C:\Program Files\Java\j2re1.4.2

Found and removed: C:\Program Files\Java\jre1.6.0_02

Found and removed: C:\Program Files\Java\jre1.6.0_03

JavaRa 1.15 Removal Log.

Report follows after line.

------------------------------------

The JavaRa removal process was started on Thu Apr 15 22:38:59 2010

Bix91 · Answer

Ok pour les téléchargements.

Utilisateur anonyme · Answer

Bien, suite et fin alors :

Pour garder tes logiciels à jour, tu peux utiliser régulièrement Update Checker comme ceci :

&#9679; Télécharge Update Checker de FileHippo.com sur ton bureau

&#9679; Exécute UpdateChecker.exe et patiente pendant qu'il vérifie les versions de tes logiciels installés

&#9679; Une page internet va s'ouvrir avec les mises à jour disponible

&#9679; Clique sur les flèches vertes pour accéder aux nouvelles mises à jour que tu souhaites installer (n'installe pas les programmes betas)

Tu peux garder Malwarebytes et Ccleaner afin de faire un scan de temps en temps avec.


Je te conseille ces extensions pour améliorer la sécurité de Firefox :

&#9679; WOT (Web Of Trust) : cette extension permettra de savoir, quand tu accèdes à un site ou en faisant une recherche sur Google, s'il s'agit d'un site de confiance ou au contraire à éviter.
Lien de l'extension : https://addons.mozilla.org/fr/firefox/addon/wot-safe-browsing-tool/

&#9679; Adblock Plus : cette extension permet de bloquer les pages ou bannières publicitaires. Cela permet de ne pas être envahit par toutes les publicités et accélère l'accès aux pages web.
Lien de l'extension : https://addons.mozilla.org/fr/firefox/addon/adblock-plus/



A savoir :

Le plus grand risque d'infection, c'est toi.

Réfléchi avant d'ouvrir un mail, de télécharger un fichier, de cliquer sur un lien ou d'aller sur un réseau P2P.

Garde ton système d'exploitation ainsi que tous tes logiciels à jour.

Un peu de lecture : Sécuriser son ordinateur (merci à Malekal)


Si tu n'as plus d'autre question/problème, nous avons terminé.
Merci de mettre, dans ce cas là, le sujet en résolu.

Bix91 · Answer

Merci pour ces précieux conseils et pour ton temps.

Mais un souci revient...

Dans le fichier 'C:\WINDOWS\Temp\qfpo.tmp\svchost.exe'
un virus ou un programme indésirable 'TR/Hijacker.Gen' [trojan] a été détecté.
Action exécutée : Refuser l'accès

Utilisateur anonyme · Answer

C'est bizarre il n'avait pas été détecté par le scan Antivir, il est donc revenu..

&#9679;  Télécharge OTM (de Old_Timer) sur ton Bureau

&#9679; Sous XP : Double clique sur OTM.exe
&#9679; Sous Vista : Fais un clic droit sur OTM.exe et sélectionne "Exécuter en tant qu'administrateur"

&#9679; Copie la liste ci-dessous et colle-la dans le cadre jaune (celui de gauche) de OTM sous Paste Instructions for Items to be Moved





:Services

:files
C:\Windows	emp

:reg

:commands
[emptytemp]




&#9679; Clique sur le bouton MoveIt! pour lancer la suppression.

&#9679; Clique sur le bouton YES pour redémarrer le PC

&#9679; Un rapport s'ouvre au redémarrage du PC, copie/colle le dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\_OTM\MovedFiles


Puis refais un rapport RSIT comme ceci :

&#9679; Télécharge RSIT de Random/Random, et enregistre le sur ton Bureau.

&#9679; Sous XP : Double clique sur RSIT.exe
&#9679; Sous Vista/7 : Fais un clic droit sur RSIT.exe et sélectionne "Exécuter en tant qu'administrateur"

&#9679; Clique sur Continue à l'écran Disclaimer.

&#9679; Si l'outil HijackThis n'est pas présent sur ton PC, RSIT le téléchargera (autorise l'accès dans ton pare-feu s'il te le demande) et tu devras accepter la licence en cliquant sur le bouton accept.

&#9679; Une fois le scan terminé, deux rapports vont apparaître : poste les dans deux messages séparés.

&#9650; Les rapports sont sauvegardés dans C:sit\info.txt et C:sit\log.txt

&#9658; Aide en images

Bix91 · Answer

All processes killed
========== SERVICES/DRIVERS ==========
========== FILES ==========
C:\Windows\Temp\yxvw.tmp folder moved successfully.
C:\Windows\Temp\yscm.tmp folder moved successfully.
C:\Windows\Temp\yeoj.tmp folder moved successfully.
C:\Windows\Temp\xwug.tmp folder moved successfully.
C:\Windows\Temp\xnkm.tmp folder moved successfully.
C:\Windows\Temp\xlyt.tmp folder moved successfully.
C:\Windows\Temp\xgie.tmp folder moved successfully.
C:\Windows\Temp\wnui.tmp folder moved successfully.
C:\Windows\Temp\wfqk.tmp folder moved successfully.
C:\Windows\Temp\wevp.tmp folder moved successfully.
C:\Windows\Temp\wdas.tmp folder moved successfully.
C:\Windows\Temp\wcvl.tmp folder moved successfully.
C:\Windows\Temp\vqym.tmp folder moved successfully.
C:\Windows\Temp\vlca.tmp folder moved successfully.
C:\Windows\Temp\virt.tmp folder moved successfully.
C:\Windows\Temp\viop.tmp folder moved successfully.
C:\Windows\Temp\vgcb.tmp folder moved successfully.
C:\Windows\Temp\uviv.tmp folder moved successfully.
C:\Windows\Temp\upyq.tmp folder moved successfully.
C:\Windows\Temp\ukwr.tmp folder moved successfully.
C:\Windows\Temp	rci.tmp folder moved successfully.
C:\Windows\Temp	lhx.tmp folder moved successfully.
C:\Windows\Temp	ftk.tmp folder moved successfully.
C:\Windows\Temp\swuk.tmp folder moved successfully.
C:\Windows\Temp\suxn.tmp folder moved successfully.
C:\Windows\Temp\srdp.tmp folder moved successfully.
C:\Windows\Temp\sblk.tmp folder moved successfully.
C:\Windows\Tempqhc.tmp folder moved successfully.
C:\Windows\Tempmde.tmp folder moved successfully.
C:\Windows\Tempjbf.tmp folder moved successfully.
C:\Windows\Tempato.tmp folder moved successfully.
C:\Windows\Temp\qinf.tmp folder moved successfully.
C:\Windows\Temp\qgwp.tmp folder moved successfully.
C:\Windows\Temp\qfpo.tmp folder moved successfully.
C:\Windows\Temp\pydo.tmp folder moved successfully.
C:\Windows\Temp\ptlg.tmp folder moved successfully.
C:\Windows\Temp\oqoe.tmp folder moved successfully.
C:\Windows\Temp\onfl.tmp folder moved successfully.
C:\Windows\Temp\ofhr.tmp folder moved successfully.
C:\Windows\Temp\odpy.tmp folder moved successfully.
C:\Windows\Temp
ypw.tmp folder moved successfully.
C:\Windows\Temp
poh.tmp folder moved successfully.
C:\Windows\Temp
olc.tmp folder moved successfully.
C:\Windows\Temp
mxg.tmp folder moved successfully.
C:\Windows\Temp
iaw.tmp folder moved successfully.
C:\Windows\Temp\mxhk.tmp folder moved successfully.
C:\Windows\Temp\mtja.tmp folder moved successfully.
C:\Windows\Temp\mgbd.tmp folder moved successfully.
C:\Windows\Temp\mebh.tmp folder moved successfully.
C:\Windows\Temp\mand.tmp folder moved successfully.
C:\Windows\Temp\lpeu.tmp folder moved successfully.
C:\Windows\Temp\lllx.tmp folder moved successfully.
C:\Windows\Temp\llei.tmp folder moved successfully.
C:\Windows\Temp\lftn.tmp folder moved successfully.
C:\Windows\Temp\lfdw.tmp folder moved successfully.
C:\Windows\Temp\lebr.tmp folder moved successfully.
C:\Windows\Temp\lbnn.tmp folder moved successfully.
C:\Windows\Temp\laup.tmp folder moved successfully.
C:\Windows\Temp\kvbw.tmp folder moved successfully.
C:\Windows\Temp\jtru.tmp folder moved successfully.
C:\Windows\Temp\joga.tmp folder moved successfully.
C:\Windows\Temp\jmfu.tmp folder moved successfully.
C:\Windows\Temp\jkmj.tmp folder moved successfully.
C:\Windows\Temp\jhnj.tmp folder moved successfully.
C:\Windows\Temp\jfsv.tmp folder moved successfully.
C:\Windows\Temp\jayu.tmp folder moved successfully.
C:\Windows\Temp\iqgk.tmp folder moved successfully.
C:\Windows\Temp\hrtr.tmp folder moved successfully.
C:\Windows\Temp\hrjn.tmp folder moved successfully.
C:\Windows\Temp\hpdu.tmp folder moved successfully.
C:\Windows\Temp\hexf.tmp folder moved successfully.
C:\Windows\Temp\hbak.tmp folder moved successfully.
C:\Windows\Temp\grdl.tmp folder moved successfully.
C:\Windows\Temp\gktm.tmp folder moved successfully.
C:\Windows\Temp\ggah.tmp folder moved successfully.
C:\Windows\Temp\gcda.tmp folder moved successfully.
C:\Windows\Temp\gacr.tmp folder moved successfully.
C:\Windows\Temp\ffcg.tmp folder moved successfully.
C:\Windows\Temp\fanl.tmp folder moved successfully.
C:\Windows\Temp\eqgg.tmp folder moved successfully.
C:\Windows\Temp\ehsx.tmp folder moved successfully.
C:\Windows\Temp\eajy.tmp folder moved successfully.
C:\Windows\Temp\dykv.tmp folder moved successfully.
C:\Windows\Temp\dmkc.tmp folder moved successfully.
C:\Windows\Temp\dgcy.tmp folder moved successfully.
C:\Windows\Temp\dfpe.tmp folder moved successfully.
C:\Windows\Temp\cwxs.tmp folder moved successfully.
C:\Windows\Temp\cmup.tmp folder moved successfully.
C:\Windows\Temp\cdsr.tmp folder moved successfully.
C:\Windows\Temp\cdqe.tmp folder moved successfully.
C:\Windows\Temp\bwrj.tmp folder moved successfully.
C:\Windows\Temp\boes.tmp folder moved successfully.
C:\Windows\Temp\bhes.tmp folder moved successfully.
C:\Windows\Temp\avyj.tmp folder moved successfully.
C:\Windows\Temp\anlm.tmp folder moved successfully.
C:\Windows\Temp\agvb.tmp folder moved successfully.
C:\Windows\Temp folder moved successfully.
========== REGISTRY ==========
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default User
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 0 bytes
 
User: Invité
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->FireFox cache emptied: 0 bytes
->Google Chrome cache emptied: 0 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 50017773 bytes
->Flash cache emptied: 1156 bytes
 
User: Propriétaire
 
User: vincent
->Temp folder emptied: 6874783 bytes
->Temporary Internet Files folder emptied: 11302499 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 84308692 bytes
->Google Chrome cache emptied: 557424 bytes
->Apple Safari cache emptied: 0 bytes
->Flash cache emptied: 2322 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 0 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 146.00 mb
 
 
OTM by OldTimer - Version 3.1.10.1 log created on 04162010_171536

Files moved on Reboot...
File C:\Documents and Settings\vincent\Local Settings\Temp\~DF5E72.tmp not found!
File C:\Documents and Settings\vincent\Local Settings\Temp\~DF5E8A.tmp not found!
File C:\Documents and Settings\vincent\Local Settings\Temp\~DF5EFD.tmp not found!
File C:\Documents and Settings\vincent\Local Settings\Temp\~DF5F15.tmp not found!
File C:\Documents and Settings\vincent\Local Settings\Temp\~DF5F68.tmp not found!
File C:\Documents and Settings\vincent\Local Settings\Temp\~DF5F83.tmp not found!
C:\Documents and Settings\vincent\Local Settings\Temporary Internet Files\Content.IE5\CQKVJY7R\affich-17343174-tr-hijacker-gen[1].htm moved successfully.
C:\Documents and Settings\vincent\Local Settings\Temporary Internet Files\AntiPhishing\2CEDBFBC-DBA8-43AA-B1FD-CC8E6316E3E2.dat moved successfully.

Registry entries deleted on Reboot...

Bix91 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201004/cijN98EqSf.txt

http://www.cijoint.fr/cjlink.php?file=cj201004/cijpgxIzfb.txt

Utilisateur anonyme · Answer

Bien, je pense avoir trouvé l'origine du problème.

Tu as branché entre temps une clé USB qui devait être infectée.

Fais çà :

Note : tu as une infection qui se propage par les disques amovibles.

&#9679; Télécharge USBFix (de El Desaparecido et C_XX) sur ton Bureau

&#9679; Sous XP : Double clique sur UsbFix.exe
&#9679; Sous Vista/7 : Fais un clic droit sur UsbFix.exe et sélectionne "Exécuter en tant qu'administrateur"

&#9679; Appuie sur la touche F pour sélectionner le français et valide avec la touche Entrée.

&#9679; Choisis l'option "Recherche" en appuyant sur la touche 1 et valide avec la touche Entrée

&#9679; Branche à ton PC tes disques amovibles (clé USB, disque dur externe, lecteur MP3, téléphone, etc...) susceptibles d'avoir été infectés sans les ouvrir quand l'outil te le demande et clique sur le bouton OK

&#9679; Patiente pendant que l'outil travaille

&#9679; A la fin du scan un rapport va s'ouvrir, copie/colle le dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\UsbFix.txt

Note :
    Process.exe est détecté par certains antivirus comme étant un RiskTool.
    Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.

Tutoriel recherche en images

Bix91 · Answer

C'est une bonne piste. J'ai laissé pour 15 jours (vacances obligent ;-) ) ma clé USB à mon bureau. Je suivrai donc ta procédure dans 2 bonnes semaines à moins que je peux la lancer maintenant et la refaire lorsque je récupererai ma clé.

Merci encore beaucoup. Et bon week end

Utilisateur anonyme · Answer

Oui, tu peux déjà faire la manip, il faudra effectivement la refaire quand tu auras ta clé.

Tu confirmes donc que tu as branché cette clé hier ou avant-hier ?
Cà expliquerait la réinfection.

Bix91 · Answer

Effectivement, il me semble avoir utilisé ma clé au meme moment que la réapparition du problème. Voici le rapport du scan sans la clé.

############################## | UsbFix V6.104 |

User : vincent (Administrateurs) # ESTEBAN
Update on 14/04/2010 by El Desaparecido , C_XX & Chimay8
Start at: 08:13:06 | 17/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

              Intel(R) Pentium(R) 4 CPU 2.40GHz
Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Enabled
AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]

A:\ -> Lecteur de disquettes 3 ½ pouces
C:\ -> Disque fixe local # 27.95 Go (3.54 Go free) [VAIO] # NTFS
D:\ -> Disque fixe local # 83.84 Go (18.85 Go free) [VAIO] # NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque CD-ROM
G:\ -> Disque fixe local # 298.02 Go (234.81 Go free) [IOMEGA_HDD] # FAT32

################## | Elements infectieux |

C:\Documents and Settings\vincent
ew.txt  
C:\WINDOWS\System32\autorun.inf  

################## | Registre |



################## | Mountpoints2 |

HKCU\..\..\Explorer\MountPoints2\{664cdb98-4838-11de-9fd6-000c6e7d2807}
Shell\AutoRun\command =G:\ji83j.exe 
Shell\open\Command =G:\ji83j.exe 

################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné !  

################## | ! Fin du rapport # UsbFix V6.104 ! |

Utilisateur anonyme · Answer

On passe au nettoyage :

&#9679; Relance UsbFix.exe

&#9679; Appuie sur la touche F pour sélectionner le français et valide avec la touche Entrée.

&#9679; Choisis l'option "Suppression" en appuyant sur la touche 2 et valide avec la touche Entrée

&#9679; Branche à ton PC tes disques amovibles (clé USB, disque dur externe, lecteur MP3, téléphone, etc...) susceptibles d'avoir été infectés sans les ouvrir quand l'outil te le demande et clique sur le bouton OK

&#9679; Patiente pendant que l'outil travaille

&#9679; A la fin de la suppression un rapport va s'ouvrir, copie/colle le dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\UsbFix.txt

Tutoriel suppression en images

Bix91 · Answer

############################## | UsbFix V6.104 |

User : vincent (Administrateurs) # ESTEBAN
Update on 14/04/2010 by El Desaparecido , C_XX & Chimay8
Start at: 11:03:30 | 19/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

              Intel(R) Pentium(R) 4 CPU 2.40GHz
Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Enabled
AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]

A:\ -> Lecteur de disquettes 3 ½ pouces
C:\ -> Disque fixe local # 27.95 Go (3.49 Go free) [VAIO] # NTFS
D:\ -> Disque fixe local # 83.84 Go (18.85 Go free) [VAIO] # NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque CD-ROM
G:\ -> Disque fixe local # 298.02 Go (234.81 Go free) [IOMEGA_HDD] # FAT32

################## | Elements infectieux |

Supprimé ! C:\Documents and Settings\vincent
ew.txt 
Supprimé ! C:\WINDOWS\System32\autorun.inf 
Supprimé ! C:\Recycler\S-1-5-21-2458190287-3183998140-411923388-1005 
Supprimé ! C:\Recycler\S-1-5-21-2458190287-3183998140-411923388-501 
Supprimé ! D:\Recycler\S-1-5-21-2458190287-3183998140-411923388-1005 

################## | Registre |


################## | Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\{664cdb98-4838-11de-9fd6-000c6e7d2807}\Shell\AutoRun\Command  

################## | Listing des fichiers présent |

[11/07/2007 19:36|--a------|186] C:\.stat 
[12/04/2010 20:03|--a------|5685] C:\Ad-Report-CLEAN[1].txt 
[10/04/2003 01:51|--a------|0] C:\AUTOEXEC.BAT 
[02/02/2005 09:11|-r-hs----|4092202] C:\AVG6DB_F.DAT 
[01/11/2005 23:36|-r-hs----|7515426] C:\AVG7DB_F.DAT 
[25/05/2007 19:36|-rahs----|216] C:\boot.ini 
[30/08/2002 14:00|-rahs----|4952] C:\Bootfont.bin 
[10/04/2003 01:51|--a------|0] C:\CONFIG.SYS 
[?|?|?] C:\hiberfil.sys 
[08/02/2010 17:17|--ah-----|390] C:\hpothb07.dat 
[08/02/2010 17:17|--ah-----|1479] C:\hpothb07.tif 
[10/04/2003 01:51|-rahs----|0] C:\IO.SYS 
[15/04/2010 22:38|--a------|493] C:\JavaRa.log 
[10/04/2003 01:51|-rahs----|0] C:\MSDOS.SYS 
[29/11/2004 21:56|-rahs----|47564] C:\NTDETECT.COM 
[14/11/2008 13:37|-rahs----|252240] C:
tldr 
[?|?|?] C:\pagefile.sys 
[14/04/2010 22:00|--a------|1643] C:\TCleaner.txt 
[08/11/2007 20:57|--ahs----|3072] C:\Thumbs.db 
[19/04/2010 11:17|--a------|2331] C:\UsbFix.txt 
[10/11/2004 09:18|-r-hs----|2262] D:\AVG6DB_F.DAT 
[03/03/2006 20:34|--a------|354] D:\Films.lnk 
[08/02/2010 17:17|--ah-----|130] D:\hpothb07.dat 
[06/06/2009 07:50|--ah-----|253] D:\hpothb07.tif 
[28/01/2010 20:53|--ahs----|3072] D:\Thumbs.db 
[11/08/2009 17:19|--a------|311] G:\Musique Disk D.lnk 
[20/03/2009 18:06|--a------|448702592] G:\X12-30194.exe 

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# D:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# G:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 

################## | Upload | 

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_ESTEBAN.zip : https://www.ionos.fr/?affiliate_id=77097 
Merci pour votre contribution .  

################## | ! Fin du rapport # UsbFix V6.104 ! |

Utilisateur anonyme · Answer

Bien, refais un rapport RSIT stp.

Bix91 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201004/cijlKX8eJL.txt

Utilisateur anonyme · Answer

Ok, tout à l'air OK maintenant.

Voici la suite :

Installe cette mise à jour de Windows qui désactive l'autorun des clés USB :


Puis, on va supprimer les différents outils utilisés :

&#9679; Télécharge ToolsCleaner sur ton Bureau

&#9679; Sous XP : Double clique sur ToolCleaner2.exe
&#9679; Sous Vista/7 : Fais un clic droit sur ToolCleaner2.exe et sélectionne "Exécuter en tant qu'administrateur"

&#9679; Clique sur Recherche et patiente pendant le scan

&#9679; Clique sur Suppression pour supprimer les outils

&#9679; Clique sur Quitter, un rapport va s'ouvrir, copie/colle le dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\TCleaner.txt


Tu peux supprimer ToolsCleaner2.exe


Enfin, quand tu auras récupéré la clé USB infectée, tu feras ceci :


&#9679; Télécharge USBFix (de El Desaparecido et C_XX) sur ton Bureau

&#9679; Sous XP : Double clique sur UsbFix.exe
&#9679; Sous Vista/7 : Fais un clic droit sur UsbFix.exe et sélectionne "Exécuter en tant qu'administrateur"

&#9679; Appuie sur la touche F pour sélectionner le français et valide avec la touche Entrée.

&#9679; Choisis l'option "Suppression" en appuyant sur la touche 2 et valide avec la touche Entrée

&#9679; Branche à ton PC tes disques amovibles (clé USB, disque dur externe, lecteur MP3, téléphone, etc...) susceptibles d'avoir été infectés sans les ouvrir quand l'outil te le demande et clique sur le bouton OK

&#9679; Patiente pendant que l'outil travaille

&#9679; A la fin de la suppression un rapport va s'ouvrir, copie/colle le dans ta réponse

&#9650; Le rapport est sauvegardé dans C:\UsbFix.txt

Tutoriel suppression en images


Après çà, nous en aurons fini. :)

Bix91 · Answer

[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

--> Recherche: 

C:\UsbFix.txt: trouvé !
C:\_OTM: trouvé !
C:\UsbFix: trouvé !
C:\Rsit: trouvé !
C:\Documents and Settings\vincent\Bureau\OTM.exe: trouvé !
C:\Documents and Settings\vincent\Bureau\UsbFix.exe: trouvé !
C:\Documents and Settings\vincent\Bureau\Rsit.exe: trouvé !
C:\Program Files\Trend Micro\HijackThis.exe: trouvé !
C:\Program Files\Trend Micro\hijackthis.log: trouvé !

---------------------------------
--> Suppression: 

C:\Documents and Settings\vincent\Bureau\OTM.exe: supprimé !
C:\Program Files\Trend Micro\HijackThis.exe: supprimé !
C:\UsbFix.txt: supprimé !
C:\Documents and Settings\vincent\Bureau\UsbFix.exe: supprimé !
C:\Documents and Settings\vincent\Bureau\Rsit.exe: supprimé !
C:\Program Files\Trend Micro\hijackthis.log: supprimé !
C:\_OTM: supprimé !
C:\UsbFix: supprimé !
C:\Rsit: supprimé !


Bon sinon Antivir me signale toujours la présence de ce truc toutes les 4 minutes:

Dans le fichier 'C:\WINDOWS\TEMP\evjb.tmp\svchost.exe'
un virus ou un programme indésirable 'TR/Hijacker.Gen' [trojan] a été détecté.
Action exécutée : Refuser l'accès

Dans le fichier 'C:\WINDOWS\TEMP\yaft.tmp\svchost.exe'
un virus ou un programme indésirable 'TR/Hijacker.Gen' [trojan] a été détecté.
Action exécutée : Refuser l'accès

Utilisateur anonyme · Answer

Étrange, fais ce qui suit :

&#9679; Télécharge gmer sur ton bureau à partir de ce lien ==> http://www.gmer.net/#files en cliquant sur le bouton "Download EXE".
Note : le fichier téléchargé aura un nom aléatoire, c'est normal, garde ce nom

&#9679; Lance gmer à partir du fichier au nom aléatoire

&#9679; Un scan va se lancer dès le lancement, laisse le faire.

&#9679; Si il détecte tout de suite le rootkit, il va te proposer de scanner le PC en entier, accepte.
&#9679; Sinon, coche sur la droite les cases "Services", "Registry" et "Files" et clique sur le bouton scan

&#9679; Laisse travailler l'outil

&#9679; A la fin du scan, clique sur le bouton Save... et enregistre le rapport sur ton bureau

&#9679; Copie/colle le contenu du rapport dans ta réponse

TR/Hijacker.Gen

43 réponses

Discussions similaires

Newsletters