alerte avast: fichier svchost.exe Résolu/Fermé

Question

Bonjour,
depuis ce matin avast m'envoie des alertes sur un virus en mettant qu'il s'agit d'un logiciel malveillant Win32/Malware-gen et il ne peut pas réparer, et si je mets en quarantaine ou que je supprime le fichier l'alerte revient quand même un quart d'heure après.
Le nom du fichier diffère à chaque fois par exemple l'avant dernier c'était 
C:\Windows\Temp\qsor.tmp\svchost.exe
et le dernier : C:\Windows\Temp\oipv.tmp\svchost.exe
J'ai lancé Malwarebytes et il n'a rien trouvé.
Si quelqu'un pouvait m'aider car je n'y connais rien, et ces alertes tous les quarts d'heure c'est vraiment inquiétant

Configuration: Windows vista / Firefox 3.6.3

dada62160 · Answer

30 secondes de recherches : https://forums.commentcamarche.net/forum/affich-2017412-svchost-exe

Utilisateur anonyme · Answer

Bonjour  mayflower

Pour de plus amples informations, fait ceci stp

Ouvre ce lien et télécharge ZHPDiag de Nicolas Coolman : 

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Ou

https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

Serveur N°2
 
Une fois le téléchargement achevé, dé zippe le fichier obtenu et place ZHPDiag.exe sur ton Bureau.

Double-clique sur l'icône pour lancer le programme. Sous Vista ou Seven clic droit «  exécuter en tant que administrateur »


Clique sur la loupe pour lancer l'analyse.

Laisse l'outil travailler, il peut être assez long. 

Ferme ZHPDiag en fin d'analyse. 


Pour transmettre le rapport clique sur ce lien : 

http://www.cijoint.fr/index.php
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag). 

Sélectionne le fichier ZHPDiag.txt. 

Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt 

est ajouté dans la page. 

Copie ce lien dans ta réponse.

Merci

@+

ep44 · Answer

Ça c'est de la réponse !    

Infection  TDSS TLD 3 pas facile à traiter mais je vais te guider pour ça :    

je vais te faire utiliser un outil puissant suit les à la lettre les instructions.   

    &#9674; &#9674; &#9674; Télécharge Combofix depuis l'un des liens ci-dessous: &#9674; &#9674; &#9674;

      Lien 1
      Lien 2

      &#9830; IMPORTANT !!! Enregistre ComboFix.exe sur ton Bureau

    &#9830; Désactive tes applications antivirus et anti-spyware, en général via un clic droit sur l'icône de la Zone de notification. Sinon, elles risquent d'interférer avec nos outils

    &#9830; Fait un double clic sur combofix.exe et suit les invites.

    &#9830; Lors de son exécution, ComboFix va vérifier si la Console de récupération Microsoft Windows est installée. Avec des infections comme celles d'aujourd'hui, il est fortement conseillé de l'avoir pré-installée sur ton PC avant toute suppression de nuisibles. Elle te permettra de démarrer dans un mode spécial, de récupération (réparation), qui nous permet de vous aider plus facilement si jamais ton ordinateur rencontre un problème après une tentative de nettoyage.

 &#9830; Suit les invites pour permettre à ComboFix de télécharger et installer la Console de récupération Microsoft Windows, et lorsque cela vous est demandé, acceptez le Contrat de Licence Utilisateur Final pour installer la Console de récupération Microsoft Windows.

     &#9674; &#9674;  Note importante: Si la Console de récupération Microsoft Windows est déjà installée, ComboFix continuera ses procédures de suppression de nuisibles.

&#9830; Une fois fait clique sur Oui/Yes, pour poursuivre avec la recherche de nuisibles.

&#9830; Lorsque l'outil aura terminé, il affichera un rapport, copie le contenu de C:\ComboFix.txt dans votre prochaine réponse.

C'est généralement lorsque le disque dur plante qu'on se rend compte qu'on a oublié de le sauvegarder.

Utilisateur anonyme · Answer

Re

Passe a  Ceci
Merci

@+

mayflower · Answer

merci beaucoup à tous de vouloir m'aider, voilà le CR de ComboFix en espérant que ça n'est pas trop grave (je n'ai pas compris ce qu'était "kitty have a snack" :  

ComboFix 10-04-21.01 - Mimi 24/04/2010  16:24:30.1.2 - x86  
Microsoft® Windows Vista(TM) Édition Familiale Premium   6.0.6002.2.1252.33.1036.18.3062.1783 [GMT 2:00]  
Lancé depuis: c:\users\Mimi\Downloads\ComboFix.exe  
SP: Spybot - Search and Destroy *disabled* (Outdated) {ED588FAF-1B8F-43B4-ACA8-8E3C85DADBE9}  
.  

((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))  
.  

c:\$recycle.bin\S-1-5-21-3439835839-1429783917-1240170184-500  
C:\ErrLog.txt  
c:\users\Mimi\AppData\Roaming\.#  
c:\users\Mimi\AppData\Roaming\Desktopicon  
c:\users\Mimi\AppData\Roaming\Desktopicon\config.ini  
c:\users\Mimi\AppData\Roaming\Desktopicon\eBayShortcuts.exe  
c:\users\Mimi\AppData\Roaming\Microsoft\Windows\Recent_NEW_Time_Management_Game_[AllSmartGas.pif  
c:\users\Mimi\AppData\Roaming\Microsoft\Windows\Recent
Une copie infectée de c:\windows\system32\drivers\volmgr.sys a été trouvée et désinfectée   
Copie restaurée à partir de - Kitty had a snack :p   
.  
(((((((((((((((((((((((((((((((((((((((   Pilotes/Services   )))))))))))))))))))))))))))))))))))))))))))))))))  
.  

-------\Service_Boonty Games  


(((((((((((((((((((((((((((((   Fichiers créés du 2010-03-24 au 2010-04-24  ))))))))))))))))))))))))))))))))))))  
.  

2010-04-24 14:32 . 2010-04-24 14:32 -------- d-----w- c:\users\Mimi\AppData\Local	emp  
2010-04-24 14:32 . 2010-04-24 14:32 -------- d-----w- c:\users\Default\AppData\Local	emp  
2010-04-24 13:39 . 2010-04-24 13:39 -------- d-----w- c:\program files\ZHPDiag  
2010-04-24 11:56 . 2010-04-24 11:56 -------- d-----w- c:\users\Mimi\AppData\Roaming\Malwarebytes  
2010-04-24 11:56 . 2010-04-24 11:56 -------- d-----w- c:\programdata\Malwarebytes  
2010-04-21 18:36 . 2010-04-24 07:02 -------- d-----w- c:\users\Mimi\AppData\Local\adslTV  
2010-04-16 12:08 . 2010-04-16 12:08 -------- d-----w- c:\program files\Alawar Entertainment  
2010-04-14 06:15 . 2010-02-18 14:07 3600776 ----a-w- c:\windows\system32
tkrnlpa.exe  
2010-04-14 06:15 . 2010-02-18 14:07 3548040 ----a-w- c:\windows\system32
toskrnl.exe  
2010-04-14 06:15 . 2010-03-04 17:33 430080 ----a-w- c:\windows\system32\vbscript.dll  
2010-04-14 06:15 . 2010-02-23 11:10 212992 ----a-w- c:\windows\system32\drivers\mrxsmb10.sys  
2010-04-14 06:15 . 2010-02-23 11:10 79360 ----a-w- c:\windows\system32\drivers\mrxsmb20.sys  
2010-04-14 06:15 . 2010-02-23 11:10 106496 ----a-w- c:\windows\system32\drivers\mrxsmb.sys  
2010-04-14 06:15 . 2010-02-18 14:07 904576 ----a-w- c:\windows\system32\drivers	cpip.sys  
2010-04-14 06:15 . 2010-02-18 13:30 200704 ----a-w- c:\windows\system32\iphlpsvc.dll  
2010-04-14 06:15 . 2010-02-18 11:28 25088 ----a-w- c:\windows\system32\drivers	unnel.sys  
2010-04-14 06:15 . 2009-12-23 11:33 172032 ----a-w- c:\windows\system32\wintrust.dll  
2010-04-14 06:15 . 2010-01-13 17:34 98304 ----a-w- c:\windows\system32\cabview.dll  
2010-04-09 07:07 . 2010-04-20 11:40 -------- d-----w- c:\program files\World of Warcraft  
2010-04-08 09:36 . 2010-04-08 09:47 -------- d-----w- c:\programdata\Blizzard Entertainment  
2010-04-08 07:27 . 2010-04-09 07:19 -------- d-----w- c:\users\Public\Games  
2010-03-31 11:11 . 2010-03-09 15:42 834048 ----a-w- c:\windows\system32\wininet.dll  
2010-03-31 11:11 . 2010-03-09 16:25 78336 ----a-w- c:\windows\system32\ieencode.dll  

.  
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))  
.  
2010-04-24 14:34 . 2008-06-19 12:15 220444 ----a-w- c:\programdata
vModes.dat  
2010-04-24 14:30 . 2008-06-19 21:27 669566 ----a-w- c:\windows\system32\perfh00C.dat  
2010-04-24 14:30 . 2008-06-19 21:27 123556 ----a-w- c:\windows\system32\perfc00C.dat  
2010-04-24 14:12 . 2008-12-11 12:47 -------- d-----w- c:\users\Mimi\AppData\Roaming\DNA  
2010-04-24 11:24 . 2008-09-11 15:13 -------- d-----w- c:\programdata\Spybot - Search & Destroy  
2010-04-23 12:33 . 2008-12-11 12:47 -------- d-----w- c:\users\Mimi\AppData\Roaming\BitTorrent  
2010-04-21 18:36 . 2008-09-10 19:25 -------- d-----w- c:\program files\adslTV  
2010-04-21 18:32 . 2008-09-10 19:25 -------- d-----w- c:\users\Mimi\AppData\Roaming\vlc  
2010-04-17 11:31 . 2009-07-27 11:53 -------- d-----w- c:\programdata\AlawarWrapper  
2010-04-16 12:07 . 2009-08-03 14:49 -------- d-----w- c:\program files\Safari  
2010-04-16 12:01 . 2010-04-16 12:01 79144 ----a-w- c:\programdata\Apple Computer\Installer Cache\Safari 5.31.22.7\SetupAdmin.exe  
2010-04-14 06:22 . 2006-11-02 11:18 -------- d-----w- c:\program files\Windows Mail  
2010-04-14 06:18 . 2008-06-19 12:46 -------- d-----w- c:\programdata\Microsoft Help  
2010-03-29 11:43 . 2009-03-07 13:20 -------- d-----w- c:\users\Mimi\AppData\Roaming\SpinTop Games  
2010-03-09 11:42 . 2010-03-09 11:42 -------- d-----w- c:\users\Mimi\AppData\Roaming\Gamelab  
2010-03-08 12:33 . 2009-10-02 06:58 -------- d-----w- c:\program files\Games  
2010-02-27 07:42 . 2008-09-10 06:27 76392 ----a-w- c:\users\Mimi\AppData\Local\GDIPFONTCACHEV1.DAT  
2010-02-24 08:16 . 2009-10-04 10:02 181632 ------w- c:\windows\system32\MpSigStub.exe  
2010-02-20 23:06 . 2010-03-12 07:21 24064 ----a-w- c:\windows\system32
shhttp.dll  
2010-02-20 23:05 . 2010-03-12 07:21 30720 ----a-w- c:\windows\system32\httpapi.dll  
2010-02-20 20:53 . 2010-03-12 07:21 411648 ----a-w- c:\windows\system32\drivers\http.sys  
2010-02-12 10:32 . 2010-03-01 07:34 293376 ----a-w- c:\windows\system32\browserchoice.exe  
2010-01-25 12:00 . 2010-02-27 07:22 471552 ----a-w- c:\windows\system32\secproc_isv.dll  
2010-01-25 12:00 . 2010-02-27 07:22 152576 ----a-w- c:\windows\system32\secproc_ssp_isv.dll  
2010-01-25 12:00 . 2010-02-27 07:22 152064 ----a-w- c:\windows\system32\secproc_ssp.dll  
2010-01-25 12:00 . 2010-02-27 07:22 471552 ----a-w- c:\windows\system32\secproc.dll  
2010-01-25 11:58 . 2010-02-27 07:22 332288 ----a-w- c:\windows\system32\msdrm.dll  
2010-01-25 08:21 . 2010-02-27 07:22 526336 ----a-w- c:\windows\system32\RMActivate_isv.exe  
2010-01-25 08:21 . 2010-02-27 07:22 346624 ----a-w- c:\windows\system32\RMActivate_ssp_isv.exe  
2010-01-25 08:21 . 2010-02-27 07:22 518144 ----a-w- c:\windows\system32\RMActivate.exe  
2010-01-25 08:21 . 2010-02-27 07:22 347136 ----a-w- c:\windows\system32\RMActivate_ssp.exe  
2008-06-19 21:31 . 2008-06-19 21:31 8192 --sha-w- c:\windows\Users\Default\NTUSER.DAT  
.  

(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))  
.  
.  
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés   
REGEDIT4  

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]  
"SmpcSys"="c:\program files\Packard Bell\SetUpMyPC\SmpSys.exe" [2008-02-04 1038136]  
"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2008-01-21 125952]  
"IncrediMail"="c:\program files\IncrediMail\bin\IncMail.exe" [2009-02-02 251264]  
"BitTorrent DNA"="c:\users\Mimi\Program Files\DNA\btdna.exe" [2009-11-13 323392]  
"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-01-26 2144088]  

c:\users\Mimi\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\  
ashDisp - Raccourci.lnk - c:\program files\Alwil Software\Avast4\ashDisp.exe [2009-9-6 81000]  
FastStone Capture.lnk - c:\program files\FastStone Capture\FSCapture.exe [2008-10-15 1010688]  

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]  
"EnableUIADesktopToggle"= 0 (0x0)  

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]  
"aux2"=wdmaud.drv  

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WinDefend]  
@="Service"  

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]  
2008-10-14 23:04 39792 ----a-w- c:\program files\Adobe\Reader 8.0\Readereader_sl.exe  

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools Lite]  
2008-07-24 15:02 490952 ----a-w- c:\program files\DAEMON Tools Lite\daemon.exe  

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DeskSpace]  
2008-02-10 08:41 1184256 ----a-w- c:\program files\DeskSpace\deskspace.exe  

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\EA Core]  
2009-09-03 21:17 3342336 ----a-w- c:\program files\Electronic Arts\EADM\Core.exe  

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HP Software Update]  
2008-03-25 20:27 49152 ----a-w- c:\program files\HP\HP Software Update\hpwuSchd2.exe  

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\hpqSRMon]  
2008-08-20 09:54 150016 ----a-w- c:\program files\HP\Digital Imaging\bin\HpqSRmon.exe  

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}]  
2008-02-28 15:07 1828136 ----a-w- c:\program files\Common Files\Nero\Lib\NMIndexStoreSvr.exe  

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]  
2009-09-04 23:54 417792 ----a-w- c:\program files\QuickTime\QTTask.exe  

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]  
"DisableMonitoring"=dword:00000001  

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]  
"DisableMonitoring"=dword:00000001  

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]  
"DisableMonitoring"=dword:00000001  

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]  
"VistaSp2"=hex(b):45,18,83,50,b6,e5,c9,01  

R3 nmwcdnsu;Nokia USB Flashing Phone Parent;c:\windows\system32\drivers
mwcdnsu.sys [2009-03-19 136704]  
R3 nmwcdnsuc;Nokia USB Flashing Generic;c:\windows\system32\drivers
mwcdnsuc.sys [2009-03-19 8320]  
R3 npggsvc;nProtect GameGuard Service;c:\windows\system32\GameMon.des [2009-09-03 3347280]  
R3 WSDPrintDevice;Prise en charge de l'impression WSD via UMB;c:\windows\system32\DRIVERS\WSDPrint.sys [2008-01-21 16896]  
R4 sptd;sptd;c:\windows\system32\Drivers\sptd.sys [2008-09-17 717296]  
S1 aswSP;avast! Self Protection; [x]  
S2 aswFsBlk;aswFsBlk;c:\windows\system32\DRIVERS\aswFsBlk.sys [2009-11-24 20560]  
S2 aswMonFlt;aswMonFlt;c:\windows\system32\DRIVERS\aswMonFlt.sys [2009-11-24 53328]  
S2 BT848;Conexant's BtPCI WDM Video Capture;c:\windows\system32\DRIVERS\BT848.sys [2009-04-07 371349]  
S2 SBSDWSCService;SBSD Security Center Service;c:\program files\Spybot - Search & Destroy\SDWinSec.exe [2009-01-26 1153368]  
S3 A310;AVerMedia A310 DVB-T;c:\windows\system32\DRIVERS\AVerA310USB.sys [2007-08-19 26496]  
S3 BDASwCap;AVerMedia A310 BDA DVBT Capture Device;c:\windows\system32\drivers\AVerA310Cap.sys [2007-08-19 42496]  
S3 itecir;ITECIR Infrared Receiver;c:\windows\system32\DRIVERS\itecir.sys [2007-01-08 46592]  


[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]  
HPZ12 REG_MULTI_SZ    Pml Driver HPZ12 Net Driver HPZ12  
LocalServiceAndNoImpersonation REG_MULTI_SZ    FontCache  
HPService REG_MULTI_SZ    HPSLPSVC  
hpdevmgmt REG_MULTI_SZ    hpqcxs08  
.  
Contenu du dossier 'Tâches planifiées'  

2010-04-24 c:\windows\Tasks\Extension de garantie-Mimi.job  
- c:\program files\Packard Bell\SetupmyPC\PBCarNot.exe [2008-06-19 10:13]  
.  
.  
------- Examen supplémentaire -------  
.  
uStart Page = hxxp://mystart.incredimail.com/  
mStart Page = hxxp://eo.st  
uInternet Settings,ProxyOverride = *.local  
IE: &Add animation to IncrediMail Style Box - c:\program files\IncrediMail\binesources\WebMenuImg.htm  
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000  
FF - ProfilePath - c:\users\Mimi\AppData\Roaming\Mozilla\Firefox\Profiles0vjtvo4.default\  
FF - prefs.js: browser.search.defaulturl - hxxp://www.bing.com/search?FORM=VIATDF&PC=VIATDF&q=  
FF - prefs.js: browser.search.selectedEngine - Google  
FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/  
FF - prefs.js: keyword.URL - hxxp://www.google.com/search?btnI=I%27m+Feeling+Lucky&q=   
FF - plugin: c:\program files\Microsoft\Office Live
pOLW.dll  
FF - plugin: c:\program files\Mozilla Firefox\plugins
p-mswmp.dll  
FF - plugin: c:\program files\Mozilla Firefox\plugins
pbittorrent.dll  
FF - plugin: c:\program files\Windows Live\Photo Gallery\NPWLPG.dll  
FF - plugin: c:\users\Mimi\Program Files\DNA\plugins
pbtdna.dll  
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\  
.  
- - - - ORPHELINS SUPPRIMES - - - -  

HKLM-Run-Malwarebytes Anti-Malware (reboot) - c:\program files\Malwarebytes' Anti-Malware\mbam.exe  
MSConfigStartUp-iTunesHelper - c:\program files\iTunes\iTunesHelper.exe  
AddRemove-Active WebCam - c:\program files\Active WebCam\PY_UNINSTAL.EXE SOFTWARE\PySoft\Act_WebCam  
AddRemove-AVerMedia A310 (MiniCard, DVB-T) - c:\program files\AVerMedia\AVerMedia A310 (MiniCard  



**************************************************************************  
Recherche de processus cachés ...   

Recherche d'éléments en démarrage automatique cachés ...   

Recherche de fichiers cachés ...   

Scan terminé avec succès  
Fichiers cachés:   

**************************************************************************  

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services
pggsvc]  
"ImagePath"="c:\windows\system32\GameMon.des -service"  
.  
--------------------- CLES DE REGISTRE BLOQUEES ---------------------  

[HKEY_USERS\S-1-5-21-590227869-547796766-1065380527-1000\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{9922F856-0869-6DA2-55D9-17E0AC8645EB}*]  
"oafahafaadmjjdhllfcdelkflldgal"=hex:6a,61,61,6a,61,63,63,6a,63,6e,6e,63,66,65,  
   64,64,61,6c,6b,62,00,8b  
"pappfloadlgjmhkpnionmaaomilklcnd"=hex:6a,61,61,6a,61,63,63,6a,63,6e,6e,63,66,  
   65,64,64,61,6c,6b,62,00,8b  

[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]  
@Denied: (A) (Users)  
@Denied: (A) (Everyone)  
@Allowed: (B 1 2 3 4 5) (S-1-5-20)  
"BlindDial"=dword:00000000  
.  
--------------------- DLLs chargées dans les processus actifs ---------------------  

- - - - - - - > 'Explorer.exe'(1516)  
c:\program files\Bonjour\mdnsNSP.dll  
c:\windows\System32
etshell.dll  
c:\program files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll  
c:\progra~1\SPYBOT~1\SDHelper.dll  
c:\program files\Common Files\Nero\Lib\MediaLibraryNSE.dll  
.  
------------------------ Autres processus actifs ------------------------  
.  
c:\windows\system32
vvsvc.exe  
c:\program files\Alwil Software\Avast4\aswUpdSv.exe  
c:\program files\Alwil Software\Avast4\ashServ.exe  
c:\windows\system32undll32.exe  
c:\program files\Adobe\Photoshop Elements 6.0\PhotoshopElementsFileAgent.exe  
c:\program files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe  
c:\program files\Bonjour\mDNSResponder.exe  
c:\program files\Intel\Intel Matrix Storage Manager\Iaantmon.exe  
c:\program files\Nero\Nero8\Nero BackItUp\NBService.exe  
c:\windows\system32\IoctlSvc.exe  
c:\program files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe  
c:\program files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE  
c:\progra~1\COMMON~1\X10\Common\x10nets.exe  
c:\program files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe  
c:\program files\Alwil Software\Avast4\ashMaiSv.exe  
c:\program files\Alwil Software\Avast4\ashWebSv.exe  
c:\windows\system32\conime.exe  
c:\?\c:\windows\system32\wbem\WMIADAP.EXE  
c:\windows\system32\DllHost.exe  
.  
**************************************************************************  
.  
Heure de fin: 2010-04-24  16:41:50 - La machine a redémarré  
ComboFix-quarantined-files.txt  2010-04-24 14:41  

Avant-CF: 146 751 037 440 octets libres  
Après-CF: 146 464 587 776 octets libres  

- - End Of File - - 5E9412DC34DBDCA8BCD7E01B0F297ACB

Utilisateur anonyme · Answer

Re 

UAC désactivé:

1)Désactiver le TeaTimer de Spybot (Merci à Nico):  

Pour désactiver le TeaTimer :  
=> Ouvrir Spybot S&D  
=> Dans le menu "Mode", sélectionner le mode avancé.  
=> Une fenêtre demande confirmation cliquer sur "oui".  
=> Une fois le mode avancé actif, ouvrir l'onglet "Outils".  
=> Cliquer sur Résident.  
=> La partie Résident comporte deux lignes qui sont normalement cochées :  

*Résident "SDHelper" (bloqueur de téléchargements nuisibles pour Internet Explorer) actif.  
* Résident "TeaTimer" (Protection des réglages système fondamentaux) actif.  

=> Décocher la ligne TeaTimer.  
=> Redémarrer Spybot (le fermer et le rouvrir)  
=> Retourner dans le menu Résident et vérifier qu'il soit bien désactivé. 


2) # Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.  
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.  
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.  


Télécharge et install UsbFix de El Desaparecido , C_XX & Chimay8 
Ici : :  http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe 
Tutorial de Malekal_Morte si besoin, merci à lui : https://www.malekal.com/usbfix-supprimer-virus-usb/  

 Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir 
  

#  Clic droit "Exécuter en tant qu'administrateur" sur le raccourci UsbFix présent sur ton bureau.  

# Choisi l  option 2 (Suppression)  

# Laisse travailler l outil.  

# Ensuite post le rapport UsbFix.txt qui apparaîtra.  

# Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )  

( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller ) 



3)* Télécharge Ad-remover ( de C_XX ) sur ton bureau :  

http://pagesperso-orange.fr/NosTools/C_XX/AD-R.exe 

! Déconnecte toi et ferme toutes applications en cours !  

* Double clique ou clic droit (exécuter en tant que admin...sur Vista et Windows7)  sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut.  

* Double-clique ou clic droit (exécuter en tant que admin...sur Vista) sur le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil . 
  
* Au menu principal choisis l'option  "Nettoyer" 
  et sur [entrée]  . 

* Laisse travailler l'outil et ne touche à rien ...  

--> Poste le rapport qui apparaît à la fin , sur le forum ... 

( Le rapport est sauvegardé aussi sous C:\Ad-report.log )  
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )  

Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.  
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.  
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.  

Aides en images (Installation) : http://pagesperso-orange.fr/NosTools/ad_remover.html images (Recherche):    http://pagesperso-orange.fr/NosTools/tuto_adr_2.html 



Poste les rapports au fur et à mesure ;merci 
On a tous été un jour débutant dans quelque chose. 
Mais le savoir est la récompense de l'assiduité.

ep44 · Answer

Bonjour Guillaume, je ne m'adressais pas à toi mais à la réponse de dada62160 30 secondes de recherches : http://www.commentcamarche.net/forum/affich-2017412-svchost-exe Plutôt moyen comme réponse, non ? Ceci dit je te laisse avec mayflower :) mayflower nous dit : Le nom du fichier diffère à chaque fois par exemple l'avant dernier c'était C:\Windows\Temp\qsor.tmp\svchost.exe C:\Windows\Temp\oipv.tmp\svchost.exe https://forum.malekal.com/viewtopic.php?t=22604&start= Bonne suite :)

mayflower · Answer

je n'avais aucun périphérique de ce type branché, mon PC est partagé mais avec un mac et donc je ne pense pas que ça risque grand chose du côté mac. 
Pour ce qui est de Ad-remover, voilà le rapport : 

. 
======= RAPPORT D'AD-REMOVER 2.0.0.0,C | UNIQUEMENT XP/VISTA/7 ======= 
. 
Mis à jour par C_XX le 22/04/10 à 19:00 
Contact: AdRemover.contact@gmail.com 
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html 
. 
Lancé à: 17:03:23 le 24/04/2010 | Mode normal | Option: CLEAN 
Exécuté de: C:\Ad-Remover\ADR.exe 
SE: Microsoft® Windows Vista(TM) HomePremium Service Pack 2 - X86 
Nom du PC: XXXXXXX (Packard Bell BV EasyNote SB87) 
Utilisateur actuel: Mimi (Administrateur) 
. 
============== ÉLÉMENT(S) NEUTRALISÉ(S) ============== 
. 
. 
C:\Program Files\EoRezo 
C:\ProgramData\Trymedia 
C:\Users\Mimi\AppData\Local\gqumk.bat 
C:\Users\Mimi\AppData\Roaming\EoRezo 
C:\Users\Mimi\AppData\Roaming\ItsLabel 

(!) -- Fichiers temporaires supprimés. 
. 
(non copiés ici) 
. 
======================================== 
. 
C:\Users\Mimi\AppData\Local\Temp: 0 Fichier(s), 5 Dossier(s) 
C:\Windows	emp: 2 Fichier(s), 2 Dossier(s) 
C:\Users\Mimi\AppData\Roaming\Microsoft\Windows\Cookies: 2 Fichier(s), 2 Dossier(s) 
Temporary Internet Files: 2 Fichier(s), 4 Dossier(s) 
. 
C:\Ad-Remover\Quarantine: 47 Fichier(s) 
C:\Ad-Remover\Backup: 15 Fichier(s) 
. 
C:\Ad-Report-CLEAN[1].txt - 6923 Octet(s) 
. 
Fin à: 17:08:50, 24/04/2010 
. 
============== E.O.F - CLEAN[1] ==============

mayflower · Answer

plus de réponse ? c'est que tout va bien ?

Je n'ai plus aucun message d'alerte de virus d'Avast, ouf,  par contre j'ai toujours le message "alerte de sécurité Windows" (bouclier rouge barré)  qui me dit qu'il n'a trouvé aucun antivirus d'installé alors que Avast a priori semble fonctionner.

Utilisateur anonyme · Answer

Re

Tu es prié de faire ce qu'il t'est demandé ,merci
Donc fait UsbFix et poste moi le rapport...

Ce n'est pas fini,malgré que tu penses que tout va bien.
@+

mayflower · Answer

tu es gentil de me prier mais comme dit dans mon message précédent : JE NE PEUX PAS... ce logiciel me demande au lancement d'insérer une clé usb ou un disque externe et JE N'EN AI PAS et il ne me propose pas d'autres alternatives. Vu que mon PC est un portable je n'ai aucun périf de stockage puisque je stocke soit sur DVD soit sur mon mac.

Pour le problème de sécurité j'ai mis l'option de choisir moi-même l'antivirus comme ça je n'ai plus l'alerte. Si ça n'est pas la bonne manipe, me dire ce qu'il faut faire.
Merci

Utilisateur anonyme · Answer

Re

Tu peux le lancer sans support externe branché...
@+

mayflower · Answer

############################## | UsbFix V6.108 |

User : Mimi (Administrateurs) # XXXXX
Update on 23/04/2010 by El Desaparecido , C_XX & Chimay8
Start at: 08:58:03 | 25/04/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Intel(R) Core(TM)2 Duo CPU     T8300  @ 2.40GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 7.0.6002.18005
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 286,09 Go (138,12 Go free) [HDD] # NTFS
D:\ -> Disque CD-ROM
E:\ -> Disque CD-ROM
F:\ -> Disque CD-ROM

################## | Elements infectieux |

Supprimé ! C:\$Recycle.Bin\S-1-5-21-590227869-547796766-1065380527-1000 

################## | Registre |


################## | Mountpoints2 |


################## | Listing des fichiers présent |

[24/04/2010 17:08|--a------|7049] C:\Ad-Report-CLEAN[1].txt 
[18/09/2006 23:43|--a------|24] C:\autoexec.bat 
[11/04/2009 08:36|-rahs----|333257] C:\bootmgr 
[19/06/2008 23:21|-ra-s----|8192] C:\BOOTSECT.BAK 
[24/04/2010 16:41|--a------|16151] C:\ComboFix.txt 
[18/09/2006 23:43|--a------|10] C:\config.sys 
[23/04/2008 17:10|--a------|2916] C:\files.crc 
[?|?|?] C:\hiberfil.sys 
[25/10/2008 22:49|-rahs----|0] C:\IO.SYS 
[25/10/2008 22:49|-rahs----|0] C:\MSDOS.SYS 
[?|?|?] C:\pagefile.sys 
[19/06/2008 14:03|--a------|86] C:\setup.log 
[25/04/2010 09:01|--a------|1434] C:\UsbFix.txt 
[24/04/2010 20:31|--a------|1219] C:\UsbFix_Upload_Me_XXXXXX.zip 

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 

################## | Upload | 

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_XXXXXXXXzip : https://www.ionos.fr/?affiliate_id=77097 
Merci pour votre contribution .  

################## | ! Fin du rapport # UsbFix V6.108 ! |

Utilisateur anonyme · Answer

Bonjour Il y avait bien une infection par support amovible... 1)Envoie ce fichier comme demandé ,ensuite supprime le. Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_XXXXXXXXzip : https://www.ionos.fr/?affiliate_id=77097 Merci pour votre contribution . 2)Télécharges Toolscleaner afin de supprimer les logiciels de désinfection inutiles ---> Télécharge Toolscleaner sur ton Bureau. https://www.commentcamarche.net/telecharger/securite/22061-toolscleaner/ * Double-clique sur ToolsCleaner2.exe(ou clic droit « exécuter en tant que administrateur » pour Vista et Seven)pour le lancer. * Clique sur Recherche et laisse le scan agir. * Clique sur Suppression pour finaliser. * Tu peux, si tu le souhaites, te servir des Options Facultatives. * Clique sur Quitter pour obtenir le rapport. * Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\). 3)C - Ccleaner : https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/ .enregistres le sur le bureau .double-cliques sur le fichier pour lancer l'installation .sur la fenêtre de l'installation langage bien choisir français et OK .cliques sur suivant .lis la licence et j'accepte .cliques sur suivant .la tu ne gardes de coché que mettre un raccourci sur le bureau et puis contrôler automatiquement les mises à jour de Ccleaner .cliques sur installer .cliques sur fermer .double-cliques sur l'icône de Ccleaner pour l'ouvrir .une fois ouvert tu cliques sur option et puis avancé .tu décoches effacer uniquement les fichiers, du dossier temp de windows plus vieux que 48 heures .cliques sur nettoyeur .cliques sur windows et dans la colonne avancé . coches la première case vieilles données du perfetch ce qui te donnes la case vielles données du perfetch et la case avancé qui c'est coché automatiquement mais que celle-la .cliques sur analyse une fois l'analyse terminé .cliques sur lancer le nettoyage et sur la demande de confirmation OK il vas falloir que tu le refasses une autre fois une fois fini vérifies en appuyant de nouveau sur analyse pour être sur qu'il n'y est plus rien .clique maintenant sur registre et puis sur rechercher les erreurs .laisse tout coché et clique sur réparer les erreurs sélectionnées .il te demande de sauvegarder OUI .tu lui donnes un nom pour pouvoir la retrouver et enregistre .clique sur corriger toutes les erreurs sélectionnées et sur la demande de confirmation OK .il supprime et fermer tu vérifies en relançant rechercher les erreurs .tu retournes dans option et tu recoches la case effacer uniquement les fichiers, du dossier temp de windows plus vieux que 48 heures et sur nettoyeur, windows sous avancé tu décoches la première case vieilles données du perfetch .tu peux fermer Ccleaner. Tuto : https://jesses.pagesperso-orange.fr/Docs/Logiciels/CCleaner.htm 4)Purge la restauration sur Vista. Comment faire : https://www.commentcamarche.net/faq/13214-vista-desactiver-reactiver-la-restauration-systeme-de-vista @+

mayflower · Answer

[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

--> Recherche: 

C:\Combofix.txt: trouvé !
C:\UsbFix.txt: trouvé !
C:\Qoobox: trouvé !
C:\Program Files\ZHPDiag: trouvé !
C:\Program Files\Trend Micro\HijackThis: trouvé !
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe: trouvé !
C:\Program Files\Trend Micro\HijackThis\hijackthis.log: trouvé !
C:\Program Files\ZHPDiag\ZHPdiag.exe: trouvé !
C:\Program Files\ZHPDiag\mbr.exe: trouvé !
C:\Users\Mimi\Downloads\ComboFix.exe: trouvé !
C:\Windows\mbr.exe: trouvé !

---------------------------------
--> Suppression: 

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe: supprimé !
C:\Program Files\ZHPDiag\ZHPdiag.exe: supprimé !
C:\Users\Mimi\Downloads\ComboFix.exe: ERREUR DE SUPPRESSION !!
C:\Combofix.txt: supprimé !
C:\UsbFix.txt: supprimé !
C:\Program Files\Trend Micro\HijackThis\hijackthis.log: supprimé !
C:\Program Files\ZHPDiag\mbr.exe: supprimé !
C:\Windows\mbr.exe: supprimé !
C:\Qoobox: supprimé !
C:\Program Files\ZHPDiag: supprimé !
C:\Program Files\Trend Micro\HijackThis: supprimé !

Utilisateur anonyme · Answer

Re

Supprime ce fichier manuellement:
C:\Users\Mimi\Downloads\ComboFix.exe: ERREUR DE SUPPRESSION !!

@+

mayflower · Answer

c'est fait....

Utilisateur anonyme · Answer

Re

Tu as tout fait?

Donc je te propose de clore ce post.

@+

mayflower · Answer

si je peux j'aimerais poser une dernière question : j'ai acheté Avast, j'ai toutes les semaines, si ce n'est plus, des mises à jour  Windows defense, j'ai SpyBot d'installé, alors comment mon ordi a pu être infecté comme ça, et si Avast a détecté une fois le PC infecté pourquoi rien n'empêche l'infection ?   

Je pense que ça vient d'une installation téléchargée hier sur le net et n'arrivant pas à installer, j'ai jeté le fichier mais de toute évidence cela avait libéré le trojan et Avast l'a détecté pratiquement de suite mais n'a pas pu ni réparer ni supprimer.   

Tu me dis que ça vient d'u support amovible et je ne vois pas comment vu que je n'en utilise pas et que je suis la seule à me servir de mon ordi, à moins que tu ne considères le mac qui est partagé avec le PC comme support amovible. 

et aussi mon mac est connceté à internet via éthernet mais le portable PC est connecté au net en wifi via le mac (routeur). Est-ce que quelqu'un aurait pu m'infecter via ma liaison wifi ?

Utilisateur anonyme · Answer

Re

Comme tu viens de le préciser;un faux logiciel et te voilà contaminé;donc on ne télécharge pas n'importe quoi sans en avoir vérifier la source.
Un antivirus n'est pas infaillible...
La personne qui utilise son PC avec vigilance peut aider...
Concernant cette infection Usb ; peut être déployée par ce même faux logiciel;ou un reste d'une infection.

@+

mayflower · Answer

Pas toujours facile de vérifier les sources... 

Juste pour répondre brièvement à une remarque qui m'a été faite au début sur la recherche avant de poster sur Google (je ne suis pas intervenue avant pour ne pas parasiter les messages de procédure de désinfection), cela a été ma 1re action et je suis tombée sur une réponse disant de passer malwarebytes ce que j'ai fait et ce qui n'a rien donné. Ensuite sur les autres réponses il y avait, comme Guillaume5188  m'a fait faire, des tests personnalisés et donc inapplicables pour mon cas.

En tout cas  merci infiniment à ceux qui ont eu la gentillesse de m'aider sans essayer de renvoyer la patate chaude vers Google ;-)

Alerte avast: fichier svchost.exe

21 réponses

Discussions similaires