Chevaux de Troie et ouverture de fenêtres Fermé

Question

Bonsoir. J'ai depuis quelques jours reçu des chevaux de Troie par l'intermédiaire d'une clé usb, J'ai fait plusieurs analyses et désinfections avec Antivir, Panda, CCleaner, Bitdefender, Virus Total. Il n'y a théoriquement plus beaucoup de menaces même si je reçois parfois une alerte, pourtant j'ai toujours une ouverture intempestive de fenêtres internet explorer.
Je ne sais donc pas quoi faire pour remédier au problème.

Merci de votre aide!

Configuration: Windows Vista / Firefox 3.6.3

crapoulou · Answer

Salut, Tu as bien un seul antivirus installé sur ton PC au moins ?! ****** Pour établir un diagnostic plus en profondeur de ton PC : Télécharge Random's System Information Tool (RSIT) de random/random et enregistre l'exécutable sur le Bureau. = = = = >>> En cliquant ici <<< = = = = * Double clique sur RSIT.exe pour le lancer. * Une première fenêtre s'ouvre, clique alors sur Continue (Disclaimer). * Si la dernière version de HijackThis n'est pas détectée sur ton PC, RSIT le téléchargera et te demandera d'accepter la licence. * Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront (probablement avec le bloc-notes). * Poste le contenu de log.txt.

hami11 · Answer

A la base j'avais juste Antivir et depuis 2 jours Panda cohabite.
J'ai le rapport mais je n'arrive pas à le poster. Le message ne veut pas se poster.

crapoulou · Answer

En effet, tu es bien infecté et je n'arrive pas non plus à le poster non plus. Désactive l'UAC (User Account Control) le temps de la désinfection. Démarrer > Panneau de configuration > Comptes d'utilisateurs > Désactiver le contrôle des comptes d'utilisateur. (Manipulation inverse pour le remettre en fin de désinfection). (Cela va permettre aux outils de désinfection de travailler correctement). ********* Tu es infecté par un ver qui se propage dans ton ordinateur par support amovibles (clé USB, disquettes, appareils photos numériques, disques durs externes, ...) Télécharge et installe UsbFix de C_XX & El desaparecido : = = = = >>> En cliquant ici <<< = = = = Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectés sans les ouvrir ! * Clique droit sur le raccourci UsbFix présent sur ton bureau et sélectionne "Exécuter en tant qu'administrateur". * Choisis ensuite l'option 1 (Recherche) * Laisse travailler l'outil. * Ensuite poste le rapport UsbFix.txt qui apparaîtra. Notes : - Le rapport UsbFix.txt est sauvegardé a la racine du disque. (C:\UsbFix.txt) (CTRL+A Pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller sur le forum). - "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

crapoulou · Answer

Très bien !

Nettoyage avec UsbFix :

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectés sans les ouvrir !

* Relance UsbFix par un clic droit sur le raccourci UsbFix présent sur ton bureau et en sélectionnant "Exécuter en tant qu'administrateur".
* Choisis l'option 2 (Suppression)
* Ton bureau disparaîtra et le PC redémarrera.
* Au redémarrage, UsbFix scannera ton PC. Laisse travailler l'outil.
* Ensuite poste l'intégralité du rapport UsbFix.txt qui apparaîtra avec le bureau.

Note :
Le rapport UsbFix.txt est sauvegardé a la racine du disque. (C:\UsbFix.txt)

crapoulou · Answer

Télécharge Malwarebytes' Anti-Malware = = = = >>> En cliquant ici <<< = = = = - Enregistre le sur le bureau - Double clique sur le fichier téléchargé pour lancer le processus d'installation - Lorsqu'il te le sera demandé, mets à jour Malwarebytes anti malware - Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes - Une fois la mise à jour terminée, ferme Malwarebytes - Double-clique sur l'icône de malwarebytes pour le relancer - Dans l'onglet, Recherche, probablement ouvert par défaut, - Sélectionne Exécuter un examen complet - Clique sur Rechercher - Le scan démarre - A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur `Afficher les résultats' pour afficher tous les objets trouvés. - Clique sur Ok pour poursuivre. - Si des malwares ont été détectés, cliques sur Afficher les résultats - Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. - Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. - Rends toi dans l'onglet rapport/log - Tu clique dessus pour l'afficher. - Une fois affiché, cliques sur édition en haut du bloc notes, et puis sur sélectionner tout - Tu recliques sur édition et puis sur copier et tu reviens sur le forum et dans ta réponse - Tu clique droit dans le cadre de la réponse et coller Si tu as besoin d'aide regarde ce tutorial [https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

hami11 · Answer

Alors certains éléments n'ont pu être supprimés.
Voici le rapport

Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Version de la base de données: 4043

Windows 6.0.6002 Service Pack 2
Internet Explorer 7.0.6002.18005

28/04/2010 06:53:39
mbam-log-2010-04-28 (06-53-39).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 342274
Temps écoulé: 5 heure(s), 23 minute(s), 24 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 4
Valeur(s) du Registre infectée(s): 7
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 1
Fichier(s) infecté(s): 41

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\Software\YVIBBBHA8C (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\XML (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Handle (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\QZAIB7KITK (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\mcexecwin (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\hsf87sdhfush87fsufhuie3fddf (Trojan.Downloader) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\canaveral (Trojan.Downloader) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell (Worm.AutoRun) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run	est321 (Worm.AutoRun) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\winid (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\hsf87efjhdsf87f3jfsdi7fhsujfd (Trojan.Downloader) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\fresdg.exe,C:\Users\Hadrien\AppData\Roaming\kyrnmy.exe,explorer.exe,C:\Users\Hadrien\csrss.exe) Good: (Explorer.exe) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455 (Worm.AutoRun) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
C:\$RECYCLE.BIN\S-1-5-21-1792653465-392304458-2896977966-1000\$R87MBTE.exe (Trojan.Ertfor) -> Quarantined and deleted successfully.
C:\$RECYCLE.BIN\S-1-5-21-1792653465-392304458-2896977966-1000\$R0AZBS6.exe (Trojan.Inject) -> Quarantined and deleted successfully.
C:\$RECYCLE.BIN\S-1-5-21-1792653465-392304458-2896977966-1000\$REOP3F8.dll (Trojan.Ertfor) -> Quarantined and deleted successfully.
C:\$RECYCLE.BIN\S-1-5-21-1792653465-392304458-2896977966-1000\$ROF150P.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\$RECYCLE.BIN\S-1-5-21-1792653465-392304458-2896977966-1000\$RANFP0I.exe (Trojan.Ertfor) -> Quarantined and deleted successfully.
C:\$RECYCLE.BIN\S-1-5-21-1792653465-392304458-2896977966-1000\$RBAC4HZ.exe (Trojan.Ertfor) -> Quarantined and deleted successfully.
C:\$RECYCLE.BIN\S-1-5-21-1792653465-392304458-2896977966-1000\$RCWW7AI.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\$RECYCLE.BIN\S-1-5-21-1792653465-392304458-2896977966-1000\$RDA4RE8.dll (Trojan.Ertfor) -> Quarantined and deleted successfully.
C:\$RECYCLE.BIN\S-1-5-21-1792653465-392304458-2896977966-1000\$RPO20QP.exe (Trojan.Inject) -> Quarantined and deleted successfully.
C:\$RECYCLE.BIN\S-1-5-21-1792653465-392304458-2896977966-1000\$RL5MZZL.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\$RECYCLE.BIN\S-1-5-21-1792653465-392304458-2896977966-1000\$RN3RRZC.dll (Trojan.Ertfor) -> Quarantined and deleted successfully.
C:\$RECYCLE.BIN\S-1-5-21-1792653465-392304458-2896977966-1000\$RN56DM9.exe (Trojan.Ertfor) -> Quarantined and deleted successfully.
C:\$RECYCLE.BIN\S-1-5-21-1792653465-392304458-2896977966-1000\$RZ8179Z.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp	mp71.exe (Trojan.Inject) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\user.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\ho1df8d9.exe (Trojan.Ertfor) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\sbzp40omd.exe (Trojan.Ertfor) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\install.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\m7006m.exe (Trojan.Ertfor) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\mdm.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\zpbvgk.exe (Trojan.Ertfor) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\csrss.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\debug.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\vfnfi.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\vmpyjg90w.dll (Trojan.Ertfor) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\win.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\avp32.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp
otepad.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\ovx4x1v8rznfdonh.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\smss.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\spoolsv.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\system.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp	askmgr.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\setup.exe (Trojan.Clicker) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Local\Temp\Temp1_u.zip\u.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Windows\System32\driversnmhcp.sys (Rootkit.Agent) -> Quarantined and deleted successfully.
C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1455\Desktop.ini (Worm.AutoRun) -> Quarantined and deleted successfully.
C:\Users\Hadrien\AppData\Roaming\kyrnmy.exe (Trojan.Agent) -> Delete on reboot.
C:\Users\Hadrien\AppData\Local\Temp\isfwff.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Users\Hadrien\csrss.exe (Trojan.Agent) -> Delete on reboot.
C:\Users\Hadrien\AppData\Local\Temp\jisfije9fjoiee.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.

crapoulou · Answer

1) Affiche les fichiers et dossiers cachés :

Affiche les fichiers et dossiers cachés :
Dans Mes documents, Outils, Options des dossiers, Onglet Affichage, coche Afficher les fichiers et dossiers cachés.

*********

2) Que contiennent ces dossiers ?
C:\RECYCLER(120) (Avec une parenthèse et un chiffre dedans).

*********

3) Comment va le PC ?

crapoulou · Answer

Fais ceci stp :

################## | Upload |

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_PC-de-Hadrien.zip : https://www.ionos.fr/?affiliate_id=77097
Merci pour votre contribution .

crapoulou · Answer

Fais une analyse complète avec Antivir que tu auras préalablement mis à jour stp.

hami11 · Answer

Je poste le rapport Antivir: Un cheval de Troie a été trouvé dans le système mais n'a pas pu être supprimé. Antivir m'a informé que la menace était faible. Avira AntiVir Personal Date de création du fichier de rapport : samedi 1 mai 2010 17:16 La recherche porte sur 2062283 souches de virus. Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus Numéro de série : 0000149996-ADJIE-0000001 Plateforme : Windows Vista Version de Windows : (Service Pack 2) [6.0.6002] Mode Boot : Démarré normalement Identifiant : SYSTEM Nom de l'ordinateur : PC-DE-HADRIEN Informations de version : BUILD.DAT : 9.0.0.75 21698 Bytes 22/01/2010 23:14:00 AVSCAN.EXE : 9.0.3.10 466689 Bytes 13/10/2009 10:25:46 AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 09:21:02 LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 10:35:11 LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 09:21:31 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 06:35:52 VBASE001.VDF : 7.10.1.0 1372672 Bytes 19/11/2009 13:21:05 VBASE002.VDF : 7.10.3.1 3143680 Bytes 20/01/2010 18:33:54 VBASE003.VDF : 7.10.3.75 996864 Bytes 26/01/2010 20:45:19 VBASE004.VDF : 7.10.4.203 1579008 Bytes 05/03/2010 19:29:51 VBASE005.VDF : 7.10.6.82 2494464 Bytes 15/04/2010 09:09:35 VBASE006.VDF : 7.10.6.83 2048 Bytes 15/04/2010 09:09:35 VBASE007.VDF : 7.10.6.84 2048 Bytes 15/04/2010 09:09:36 VBASE008.VDF : 7.10.6.85 2048 Bytes 15/04/2010 09:09:36 VBASE009.VDF : 7.10.6.86 2048 Bytes 15/04/2010 09:09:36 VBASE010.VDF : 7.10.6.87 2048 Bytes 15/04/2010 09:09:36 VBASE011.VDF : 7.10.6.88 2048 Bytes 15/04/2010 09:09:37 VBASE012.VDF : 7.10.6.89 2048 Bytes 15/04/2010 09:09:37 VBASE013.VDF : 7.10.6.90 2048 Bytes 15/04/2010 09:09:37 VBASE014.VDF : 7.10.6.123 126464 Bytes 19/04/2010 09:09:20 VBASE015.VDF : 7.10.6.152 123392 Bytes 21/04/2010 16:27:29 VBASE016.VDF : 7.10.6.178 122880 Bytes 22/04/2010 18:23:08 VBASE017.VDF : 7.10.6.206 120320 Bytes 26/04/2010 18:29:21 VBASE018.VDF : 7.10.6.232 99328 Bytes 28/04/2010 22:58:52 VBASE019.VDF : 7.10.7.2 155648 Bytes 30/04/2010 09:29:47 VBASE020.VDF : 7.10.7.3 2048 Bytes 30/04/2010 09:29:47 VBASE021.VDF : 7.10.7.4 2048 Bytes 30/04/2010 09:29:47 VBASE022.VDF : 7.10.7.5 2048 Bytes 30/04/2010 09:29:48 VBASE023.VDF : 7.10.7.6 2048 Bytes 30/04/2010 09:29:48 VBASE024.VDF : 7.10.7.7 2048 Bytes 30/04/2010 09:29:48 VBASE025.VDF : 7.10.7.8 2048 Bytes 30/04/2010 09:29:48 VBASE026.VDF : 7.10.7.9 2048 Bytes 30/04/2010 09:29:48 VBASE027.VDF : 7.10.7.10 2048 Bytes 30/04/2010 09:29:48 VBASE028.VDF : 7.10.7.11 2048 Bytes 30/04/2010 09:29:48 VBASE029.VDF : 7.10.7.12 2048 Bytes 30/04/2010 09:29:48 VBASE030.VDF : 7.10.7.13 2048 Bytes 30/04/2010 09:29:48 VBASE031.VDF : 7.10.7.16 43520 Bytes 30/04/2010 09:29:49 Version du moteur : 8.2.1.224 AEVDF.DLL : 8.1.2.0 106868 Bytes 23/04/2010 18:23:12 AESCRIPT.DLL : 8.1.3.27 1294714 Bytes 23/04/2010 18:23:12 AESCN.DLL : 8.1.5.0 127347 Bytes 25/02/2010 19:14:35 AESBX.DLL : 8.1.3.1 254324 Bytes 23/04/2010 18:23:12 AERDL.DLL : 8.1.4.6 541043 Bytes 17/04/2010 09:09:51 AEPACK.DLL : 8.2.1.1 426358 Bytes 19/03/2010 23:09:17 AEOFFICE.DLL : 8.1.0.41 201083 Bytes 17/03/2010 20:32:02 AEHEUR.DLL : 8.1.1.24 2613623 Bytes 17/04/2010 09:09:51 AEHELP.DLL : 8.1.11.3 242039 Bytes 01/04/2010 18:37:00 AEGEN.DLL : 8.1.3.7 373106 Bytes 17/04/2010 09:09:48 AEEMU.DLL : 8.1.2.0 393588 Bytes 23/04/2010 18:23:11 AECORE.DLL : 8.1.13.1 188790 Bytes 01/04/2010 18:36:55 AEBB.DLL : 8.1.1.0 53618 Bytes 23/04/2010 18:23:11 AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 07:47:30 AVPREF.DLL : 9.0.3.0 44289 Bytes 26/08/2009 14:13:31 AVREP.DLL : 8.0.0.7 159784 Bytes 17/02/2010 19:03:55 AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 14:24:42 AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 14:05:22 AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 09:36:37 SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 14:03:49 SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 07:20:57 NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 14:40:59 RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 17/06/2009 12:44:26 RCTEXT.DLL : 9.0.73.0 88321 Bytes 02/11/2009 15:58:32 Configuration pour la recherche actuelle : Nom de la tâche...............................: Contrôle intégral du système Fichier de configuration......................: c:\program files\avira\antivir desktop\sysscan.avp Documentation.................................: bas Action principale.............................: interactif Action secondaire.............................: ignorer Recherche sur les secteurs d'amorçage maître..: marche Recherche sur les secteurs d'amorçage.........: marche Secteurs d'amorçage...........................: C:, D:, Recherche dans les programmes actifs..........: marche Recherche en cours sur l'enregistrement.......: marche Recherche de Rootkits.........................: marche Contrôle d'intégrité de fichiers système......: arrêt Fichier mode de recherche.....................: Tous les fichiers Recherche sur les archives....................: marche Limiter la profondeur de récursivité..........: 20 Archive Smart Extensions......................: marche Heuristique de macrovirus.....................: marche Heuristique fichier...........................: moyen Catégories de dangers divergentes.............: +PFS,+SPR, Début de la recherche : samedi 1 mai 2010 17:16 La recherche d'objets cachés commence. HKEY_LOCAL_MACHINE\System\ControlSet001\Services nmhcp ype [INFO] L'entrée d'enregistrement n'est pas visible. HKEY_LOCAL_MACHINE\System\ControlSet001\Services nmhcp\start [INFO] L'entrée d'enregistrement n'est pas visible. HKEY_LOCAL_MACHINE\System\ControlSet001\Services nmhcp\errorcontrol [INFO] L'entrée d'enregistrement n'est pas visible. HKEY_LOCAL_MACHINE\System\ControlSet001\Services nmhcp\group [INFO] L'entrée d'enregistrement n'est pas visible. HKEY_LOCAL_MACHINE\System\ControlSet001\Services nmhcp tf4p6tj2 [INFO] L'entrée d'enregistrement n'est pas visible. HKEY_LOCAL_MACHINE\System\ControlSet001\Services nmhcp\um3d2dl1y3 [INFO] L'entrée d'enregistrement n'est pas visible. HKEY_LOCAL_MACHINE\System\ControlSet001\Services nmhcp\shva5nx2g [INFO] L'entrée d'enregistrement n'est pas visible. '125630' objets ont été contrôlés, '7' objets cachés ont été trouvés. La recherche sur les processus démarrés commence : Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés Processus de recherche 'firefox.exe' - '1' module(s) sont contrôlés Processus de recherche 'wuauclt.exe' - '1' module(s) sont contrôlés Processus de recherche 'wlcomm.exe' - '1' module(s) sont contrôlés Processus de recherche 'skypePM.exe' - '1' module(s) sont contrôlés Processus de recherche 'iPodService.exe' - '1' module(s) sont contrôlés Processus de recherche 'sidebar.exe' - '1' module(s) sont contrôlés Processus de recherche 'RtkBtMnt.exe' - '1' module(s) sont contrôlés Processus de recherche 'ApntEx.exe' - '1' module(s) sont contrôlés Processus de recherche 'ApMsgFwd.exe' - '1' module(s) sont contrôlés Processus de recherche 'Mise-a-jour-LiveSearch.exe' - '1' module(s) sont contrôlés Processus de recherche 'eRAgent.exe' - '1' module(s) sont contrôlés Processus de recherche 'Acer.Empowering.Framework.Supervisor.ex' - '1' module(s) sont contrôlés Processus de recherche 'ePower_DMC.exe' - '1' module(s) sont contrôlés Processus de recherche 'eNMTray.exe' - '1' module(s) sont contrôlés Processus de recherche 'ehmsas.exe' - '1' module(s) sont contrôlés Processus de recherche 'Notification-LiveSearch.exe' - '1' module(s) sont contrôlés Processus de recherche 'uTorrent.exe' - '1' module(s) sont contrôlés Processus de recherche 'daemon.exe' - '1' module(s) sont contrôlés Processus de recherche 'Skype.exe' - '1' module(s) sont contrôlés Processus de recherche 'ehtray.exe' - '1' module(s) sont contrôlés Processus de recherche 'taskeng.exe' - '1' module(s) sont contrôlés Processus de recherche 'msnmsgr.exe' - '1' module(s) sont contrôlés Processus de recherche 'sidebar.exe' - '1' module(s) sont contrôlés Processus de recherche 'CardDetector.exe' - '1' module(s) sont contrôlés Processus de recherche 'iTunesHelper.exe' - '1' module(s) sont contrôlés Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés Processus de recherche 'jusched.exe' - '1' module(s) sont contrôlés Processus de recherche 'RtHDVCpl.exe' - '1' module(s) sont contrôlés Processus de recherche 'aolsoftware.exe' - '1' module(s) sont contrôlés Processus de recherche 'QTTask.exe' - '1' module(s) sont contrôlés Processus de recherche 'eAudio.exe' - '1' module(s) sont contrôlés Processus de recherche 'Apoint.exe' - '1' module(s) sont contrôlés Processus de recherche 'IAAnotif.exe' - '1' module(s) sont contrôlés Processus de recherche 'PMVService.exe' - '1' module(s) sont contrôlés Processus de recherche 'LManager.exe' - '1' module(s) sont contrôlés Processus de recherche 'unsecapp.exe' - '1' module(s) sont contrôlés Processus de recherche 'WmiPrvSE.exe' - '1' module(s) sont contrôlés Processus de recherche 'WmiPrvSE.exe' - '1' module(s) sont contrôlés Processus de recherche 'ePowerSvc.exe' - '1' module(s) sont contrôlés Processus de recherche 'capuserv.exe' - '1' module(s) sont contrôlés Processus de recherche 'eRecoveryService.exe' - '1' module(s) sont contrôlés Processus de recherche 'XAudio.exe' - '1' module(s) sont contrôlés Processus de recherche 'SearchIndexer.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'wanmpsvc.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'SeaPort.exe' - '1' module(s) sont contrôlés Processus de recherche 'RichVideo.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'PnkBstrB.exe' - '1' module(s) sont contrôlés Processus de recherche 'PnkBstrA.exe' - '1' module(s) sont contrôlés Processus de recherche 'MobilityService.exe' - '1' module(s) sont contrôlés Processus de recherche 'LSSrvc.exe' - '1' module(s) sont contrôlés Processus de recherche 'IAANTmon.exe' - '1' module(s) sont contrôlés Processus de recherche 'FTRTSVC.exe' - '1' module(s) sont contrôlés Processus de recherche 'eNet Service.exe' - '1' module(s) sont contrôlés Processus de recherche 'eLockServ.exe' - '1' module(s) sont contrôlés Processus de recherche 'eDSService.exe' - '1' module(s) sont contrôlés Processus de recherche 'mDNSResponder.exe' - '1' module(s) sont contrôlés Processus de recherche 'AppleMobileDeviceService.exe' - '1' module(s) sont contrôlés Processus de recherche 'BR040286.exe' - '1' module(s) sont contrôlés Processus de recherche 'AOLacsd.exe' - '1' module(s) sont contrôlés Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés Processus de recherche 'ALaunchSvc.exe' - '1' module(s) sont contrôlés Processus de recherche 'eDSLoader.exe' - '1' module(s) sont contrôlés Processus de recherche 'MSASCui.exe' - '1' module(s) sont contrôlés Processus de recherche 'taskeng.exe' - '1' module(s) sont contrôlés Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés Processus de recherche 'dwm.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés Processus de recherche 'nvvsvc.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'SLsvc.exe' - '1' module(s) sont contrôlés Processus de recherche 'audiodg.exe' - '0' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'nvvsvc.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'lsm.exe' - '1' module(s) sont contrôlés Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés Processus de recherche 'services.exe' - '1' module(s) sont contrôlés Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés Processus de recherche 'wininit.exe' - '1' module(s) sont contrôlés Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés '93' processus ont été contrôlés avec '93' modules La recherche sur les secteurs d'amorçage maître commence : Secteur d'amorçage maître HD0 [INFO] Aucun virus trouvé ! La recherche sur les secteurs d'amorçage commence : Secteur d'amorçage 'C:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'D:\' [INFO] Aucun virus trouvé ! La recherche sur les renvois aux fichiers exécutables (registre) commence : Le registre a été contrôlé ( '58' fichiers). La recherche sur les fichiers sélectionnés commence : Recherche débutant dans 'C:\' C:\hiberfil.sys [AVERTISSEMENT] Impossible d'ouvrir le fichier ! [REMARQUE] Ce fichier est un fichier système Windows. [REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche. C:\pagefile.sys [AVERTISSEMENT] Impossible d'ouvrir le fichier ! [REMARQUE] Ce fichier est un fichier système Windows. [REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche. C:\Windows\System32\drivers nmhcp.sys [RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen [AVERTISSEMENT] Impossible d'ouvrir le fichier ! C:\Windows\System32\drivers\sptd.sys [AVERTISSEMENT] Impossible d'ouvrir le fichier ! Recherche débutant dans 'D:\' Début de la désinfection : C:\Windows\System32\drivers nmhcp.sys [RESULTAT] Contient le cheval de Troie TR/Rootkit.Gen [AVERTISSEMENT] Erreur lors de la création d'une copie de sécurité du fichier. Le fichier n'a pas été supprimé. Code d'erreur : 26004 [AVERTISSEMENT] Impossible de trouver le fichier source. [REMARQUE] Tentative en cours d'exécuter l'action à l'aide de la bibliothèque ARK. [AVERTISSEMENT] Erreur dans la bibliothèque ARK Fin de la recherche : samedi 1 mai 2010 20:16 Temps nécessaire: 2:31:08 Heure(s) La recherche a été effectuée intégralement 28244 Les répertoires ont été contrôlés 733013 Des fichiers ont été contrôlés 1 Des virus ou programmes indésirables ont été trouvés 0 Des fichiers ont été classés comme suspects 0 Des fichiers ont été supprimés 0 Des virus ou programmes indésirables ont été réparés 0 Les fichiers ont été déplacés dans la quarantaine 0 Les fichiers ont été renommés 4 Impossible de contrôler des fichiers 733008 Fichiers non infectés 9544 Les archives ont été contrôlées 4 Avertissements 3 Consignes 125630 Des objets ont été contrôlés lors du Rootkitscan 7 Des objets cachés ont été trouvés

crapoulou · Answer

Télécharge Combofix : = = = = >>> En cliquant ici <<< = = = = * On va enregistrer ce fichier sur le Bureau : pour cela, sur le panneau de gauche, clique sur le Bureau. * Clique enfin sur le bouton Enregistrer en bas de page à droite. * Assure toi que tous les programmes sont fermés avant de lancer le fix ! Ne lance pas le fix tout de suite ! * Fais un clic droit sur combofix.exe et sélectionne "Exécuter en mode administrateur". * Clique sur Oui au message de Limitation de Garantie qui s'affiche. * Il est possible que ton pare-feu te demande si tu acceptes ou non l'accès de nircmd.cfexe à la zone sure : accepte ! Note : Ne ferme pas la fenêtre qui vient de s'ouvrir , tu te retrouverais avec un bureau vide ! * Lorsque le scan est terminé, un rapport sera généré : poste en le contenu dans ton prochain message. * Note : Le rapport se trouve également là : C:\ComboFix.txt

crapoulou · Answer

Tu as des traces d'un ancien antivirus : Norton. Suis cette procédure pour supprimer toutes les traces de Norton : = = = =>>> En cliquant ici <<<= = = = Tu ne fais bien entendu pas l'étape 3 de la réinstallation. ***************** Tu semble avoir des traces de Panda antivirus aussi ! Désinstalle-le ! ***************** Si tu as bien envoyé le fichier à USBFix, supprime ce fichier : C:\UsbFix_Upload_Me_PC-de-Hadrien.zip ***************** /!\ Procédure réservée à hami11. Ne tentez pas de la reproduire si vous avez un problème similaire sous peine de planter votre machine /!\ Télécharge OTM (de Old_Timer) sur ton Bureau. = = = = >>> En cliquant ici <<< = = = = Une fois installé sur le bureau, clique droit sur OTM.exe puis `Exécuter en tant qu'administrateur`pour le lancer. Copie la liste qui se trouve en gras ci-dessous, et colle-la dans le cadre de gauche de OTMoveIt : Paste Instructions for Items to be moved. :Procedureis: :reg [-HKEY_LOCAL_MACHINE\System\ControlSet001\Services\rnmhcp] [-HKEY_LOCAL_MACHINE\System\ControlSet002\Services\rnmhcp] [-HKEY_LOCAL_MACHINE\System\ControlSet003\Services\rnmhcp] [-HKEY_LOCAL_MACHINE\System\ControlSet004\Services\rnmhcp] [-HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\rnmhcp] :Commands [purity] [emptytemp] [Reboot] Clique sur MoveIt! pour lancer la suppression. Après avoir fait Moveit!, une fenêtre s'affiche : "The system requires a reboot to finish removing files. Do you want to reboot now ?" Réponds Yes. Le résultat apparaîtra dans le cadre "Results". Clique sur Exit pour fermer. Poste le rapport situé dans C:\_OTMoveIt\MovedFiles.

crapoulou · Answer

On va faire autrement.

- Crée un nouveau document texte : clic droit de souris sur le bureau => Nouveau => Document Texte, et copie/colle dedans les lignes suivantes :

KillAll::

Registry::
[-HKEY_LOCAL_MACHINE\System\ControlSet001\Services\rnmhcp]
[-HKEY_LOCAL_MACHINE\System\ControlSet002\Services\rnmhcp]
[-HKEY_LOCAL_MACHINE\System\ControlSet003\Services\rnmhcp]
[-HKEY_LOCAL_MACHINE\System\ControlSet004\Services\rnmhcp]
[-HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\rnmhcp]

- Enregistre ce fichier sous le nom CFScript (Type du fichier : tous les fichiers) 
- Ferme tous tes navigateurs web (donc copie ou imprime les instructions suivantes avant si besoin est). 
- Désactive ton antivirus et tes autres protections résidentes (ex : Spybot) si tu en as (c'est important). 
- Fait un glisser/déposer de ce fichier CFScript sur le programme ComboFix.exe comme sur cette image ICI

(Explications du glisser/coller : Clique sur le fichier CFScript, maintient le doigt enfoncé et glisse la souris pour que l'icône du CFScript vienne recouvrir l'icône de Combofix. Relâche alors le bouton de la souris). 
- Combofix va démarrer puis une fenêtre bleue va apparaître. Au message qui s'affiche (Type 1 to continue, or 2 to abort) : tape 1 puis valide. 
- Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal ! 
- Ne touche à rien tant que le scan n'est pas terminé sinon le PC peut planter ! 
- Une fois le scan achevé, un rapport va s'afficher: poste le stp. 
PS : Si le fichier ne s'ouvre pas, il se trouve ici => C:\ComboFix.txt 
PS2 : Il peut s'avérer que le rapport Combofix soit trop long pour être supporter par CCM.net. Dans ce cas utilise ce service http://www.cijoint.fr pour me l'envoyer (dépose le fichier puis poste le lien sur le forum).

Chevaux de Troie et ouverture de fenêtres

13 réponses

Discussions similaires