Supprime ave.exe

Résolu/Fermé
Fabb24 Messages postés 531 Date d'inscription mercredi 6 août 2008 Statut Membre Dernière intervention 13 août 2011 - 28 avril 2010 à 11:23
 Utilisateur anonyme - 28 avril 2010 à 12:42
Bonjour à tous, j'ai été infecter pour un trojant ou autre virus : "Ave.exe".

"Problème rencontré par ce virus : Fausses alertes de sécurité dans l'espoir de vous faire télécharger un faux antivirus qui n'est rien d'autre qu'une arnaque. En scannant votre machine, il vous fera croire que tous vos programmes sont infectés. "



j'ai donc trouver ce tuto pour le supprimer : http://www.commentcamarche.net/faq/26874-supprimer-av-exe-trojan-fakeavalert

j'ai donc installé AD-r et fait un scan.



Comme conseillé dans le tuto, je vous poste le rapport du logiciel pour savoir si je doit continuer le nettoyage :


n .
======= RAPPORT D'AD-REMOVER 2.0.0.0,C | UNIQUEMENT XP/VISTA/7 =======
.
Mis à jour par C_XX le 27/04/10 à 22:00
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html
.
Lancé à: 11:16:45 le 28/04/2010 | Mode normal | Option: SCAN
Exécuté de: C:\Ad-Remover\ADR.exe
SE: Microsoft® Windows 7(TM) HomePremium - X64
Nom du PC: FAB-PC
Utilisateur actuel: FAB
.
============== ÉLÉMENT(S) TROUVÉ(S) ==============
.
Service: *Application Updater*
.
C:\Program Files (x86)\Application Updater
C:\Program Files (x86)\pdfforge Toolbar
C:\Program Files (x86)\Smart-Ads-Solutions
C:\Users\FAB\AppData\LocalLow\pdfforge
C:\Users\FAB\AppData\LocalLow\Search Settings
C:\Users\FAB\AppData\LocalLow\Smart-Ads-Solutions
C:\Windows\system32\aukydfqpzkcg.exe
C:\Windows\SysWow64\dudhyajvyvn.dll
.
HKCU\Software\AppDataLow\software\{0DCA7F4F-2C38-059B-4279-1C41B07C7363}
HKCU\Software\AppDataLow\Software\pdfforge
HKCU\Software\Microsoft\Internet Explorer\LowRegistry\Search Settings
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{6856113C-3BF3-3D90-25FF-3AB94F212ED7}
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{B922D405-6D13-4A2B-AE89-08A030DA4402}
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{6856113C-3BF3-3D90-25FF-3AB94F212ED7}
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{B922D405-6D13-4A2B-AE89-08A030DA4402}
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
HKCU\Software\Search Settings
HKCU\Software\Smart-Ads-Solutions
HKLM\Software\Application Updater
HKLM\Software\Classes\AppID\{A9722A0D-365F-47D2-B70B-37D046316D99}
HKLM\Software\Classes\CLSID\{6856113C-3BF3-3D90-25FF-3AB94F212ED7}
HKLM\Software\Classes\CLSID\{B922D405-6D13-4A2B-AE89-08A030DA4402}
HKLM\Software\Classes\CLSID\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6856113C-3BF3-3D90-25FF-3AB94F212ED7}
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{79319DEF-9B07-4039-9BC4-416A16785F9D}
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{B922D405-6D13-4A2B-AE89-08A030DA4402}
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\aukydfqpzkcg
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Smart-Ads-Solutions
HKLM\Software\pdfforge
HKLM\Software\Search Settings
HKLM\Software\Smart-Ads-Solutions
HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks|{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
HKLM\Software\Microsoft\Internet Explorer\Toolbar|{B922D405-6D13-4A2B-AE89-08A030DA4402}
HKLM\Software\Microsoft\Windows\CurrentVersion\Run|SearchSettings
HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDLLs|C:\Program Files (x86)\Application Updater\ApplicationUpdater.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDLLs|C:\Program Files (x86)\pdfforge Toolbar\SearchSettings.dll
HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDLLs|C:\Program Files (x86)\pdfforge Toolbar\SearchSettings.exe
.
.
============== SCAN ADDITIONNEL ==============
.
.
* Internet Explorer Version 8.0.7600.16385 *
.
[HKCU\Software\Microsoft\Internet Explorer\Main]
.
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search Page: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Show_ToolBar: yes
Start Page: hxxp://go.microsoft.com/fwlink/?LinkId=69157
.
[HKLM\Software\Microsoft\Internet Explorer\Main]
.
AutoHide: yes
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=69157
Default_Search_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Delete_Temp_Files_On_Exit: yes
Local Page: C:\Windows\SysWOW64\blank.htm
Search Page: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Start Page: hxxp://go.microsoft.com/fwlink/?LinkId=69157
.
[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
.
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm
.
========================================
.
C:\Users\FAB\AppData\Local\Temp: 17 Fichier(s), 29 Dossier(s)
C:\Windows\temp: 23 Fichier(s), 12 Dossier(s)
C:\Users\FAB\AppData\Roaming\Microsoft\Windows\Cookies: 31 Fichier(s), 2 Dossier(s)
Temporary Internet Files: 465 Fichier(s), 23 Dossier(s)
.
C:\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Ad-Remover\Backup: 1 Fichier(s)
.
C:\Ad-Report-SCAN[1].txt - 4642 Octet(s)
.
Fin à: 11:19:16, 28/04/2010
.
============== E.O.F - SCAN[1] ==============




Ps, j'avais pris une solution (certes radicale), j'ai tenter de formater mon PC avec le cd de windows seven. Mais impossible. l'option formater reste grisée.


merci beaucoup de votre aide !

13 réponses

Utilisateur anonyme
28 avril 2010 à 11:33
Bonjour,

Repasse l'outil en utilisant "Nettoyer" et poste le rapport ici

Reboote la machine et fais ceci

============= ZHPDIAG =============
* Télécharger ZHPDIAG

* Suivre les instructions lors de l'installation, lancement automatiquement à la fin.
* Cliquer sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistrer le rapport sur le Bureau à l'aide de l'icône représentant une disquette
* Sauvegarder le rapport ici: cijoint et coller le lien dans la réponse sur ce forum
0
Fabb24 Messages postés 531 Date d'inscription mercredi 6 août 2008 Statut Membre Dernière intervention 13 août 2011 41
28 avril 2010 à 11:44
Alors voici déjà le rapport du nettoyage avec AD-r

http://www.cijoint.fr/cjlink.php?file=cj201004/cijzQhRuYx.txt


Après redémarrage, le trojant est toujours là. (le faux firewall se lance et analyse le pc et m'envois sur une page internet pour acheter leur m...e. Et j'ai toujours des bulles de notification du faux firewall qui disent que mon pc est infecté).


Sinon je test ZHPDIAG et jenvoi le rapport !!!


Merci beaucoup de votre aide !!
0
Fabb24 Messages postés 531 Date d'inscription mercredi 6 août 2008 Statut Membre Dernière intervention 13 août 2011 41
28 avril 2010 à 11:48
voici le rapport de ZHPDIAG

http://www.cijoint.fr/cjlink.php?file=cj201004/cij8rUPzHZ.txt


Merci :)
0
Utilisateur anonyme
28 avril 2010 à 11:52
================== MalwareBytes =====================

Telecharger MalwareBytes (Qui peut être conservé)
* (NB : S'il manque"COMCTL32.OCX" lors de l'installation, alors le télécharger ici)
* L'enregistrer sur le bureau
* Double cliquer sur le fichier téléchargé pour lancer le processus d'installation.
* Dans l'onglet "mise à jour", cliquer sur le bouton Recherche de mise à jour
* Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, accepter
* Une fois la mise à jour terminé
* Sélectionner l'onglet, Recherche
* Sélectionner Exécuter un examen rapide
* Cliquer sur Rechercher
* Le scan démarre.
* A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement.
* Cliquer sur Afficher les résultats pour afficher tous les objets trouvés.
* Cliquer sur Ok pour poursuivre.
* Si des malwares ont été détectés, cliquer sur Afficher les résultats
* Sélectionner tout (ou laisser cochés) et cliquer sur Supprimer la sélection.
* Malwarebytes va détruire les fichiers et clés de registre et en faire une copie dans la quarantaine.
* Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
* Sélectionner l'onglet rapport/log
* Une fois le rapport affiché
* Taper Ctrl A pour tout sélectionner
* Taper Ctrl C pour tout copier
* Revenir sur le forum et dans la prochaine réponse taper CTRL V pour tout coller.

Si besoin d'aide regarder ces tutoriels :
Aide
Autre aide
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Fabb24 Messages postés 531 Date d'inscription mercredi 6 août 2008 Statut Membre Dernière intervention 13 août 2011 41
28 avril 2010 à 12:01
Alors voila il a trouver 10 erreurs

http://www.hostingpics.net/viewer.php?id=2032232010_04_28_11_59_25.png


et voici le rapport :


Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Version de la base de données: 4044

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

28/04/2010 11:56:07
mbam-log-2010-04-28 (11-56-07).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 109639
Temps écoulé: 1 minute(s), 21 seconde(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 2
Valeur(s) du Registre infectée(s): 2
Elément(s) de données du Registre infecté(s): 2
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 3

Processus mémoire infecté(s):
C:\Users\FAB\AppData\Local\ave.exe (Rogue.MultipleAV) -> Unloaded process successfully.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\adhlpr.adhlpr (Adware.Adrotator) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\adhlpr.adhlpr.1.0 (Adware.Adrotator) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\.exe\shell\open\command\(default) (Hijack.ExeFile) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\secfile\shell\open\command\(default) (Rogue.MultipleAV) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command\(default) (Hijack.StartMenuInternet) -> Bad: ("C:\Users\FAB\AppData\Local\ave.exe" /START "C:\Program Files (x86)\Internet Explorer\iexplore.exe") Good: (iexplore.exe) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\.exe\(default) (Hijacked.exeFile) -> Bad: (secfile) Good: (exefile) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Users\FAB\Local Settings\Application Data\Windows Server\rhhlty.dll (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Users\FAB\Local Settings\Application Data\ave.exe (Rogue.MultipleAV) -> Quarantined and deleted successfully.
C:\Users\FAB\AppData\Local\ave.exe (Rogue.MultipleAV) -> Quarantined and deleted successfully.






il me demande de redémarrer mon pc. je redémarre et jarriv
0
Fabb24 Messages postés 531 Date d'inscription mercredi 6 août 2008 Statut Membre Dernière intervention 13 août 2011 41
28 avril 2010 à 12:05
après redémarrage, je n'ai plus ces fenêtre de scan et de faux antivirus a la c.. !!


:)



pensez-vous que le problème est résolu ???
0
Utilisateur anonyme
28 avril 2010 à 12:06
Ok,

Supprime les rapports ZHPDIAG.TXT présents sur ta machine.

Relance ZHPDIAG et poste le nouveau rapport sur cijoint
0
Fabb24 Messages postés 531 Date d'inscription mercredi 6 août 2008 Statut Membre Dernière intervention 13 août 2011 41
28 avril 2010 à 12:09
voici le deuxième rapport :

http://www.cijoint.fr/cjlink.php?file=cj201004/cijKbpkA1W.txt
0
Utilisateur anonyme
28 avril 2010 à 12:18
============= ZHPFIX =============
* Lancer ZHPDIAG
* Cliquer sur l'icône représentant un bouclier vert
* Dans la nouvelle fenêtre qui s'ouvre ZHPFIX, cliquer sur le H bleu "Coller les lignes Helper"
* Copier/coller dans la fenetre jaune ceci

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoActiveDesktopChanges: Modified
O66 - EventLog: ID=1002 (Application Hang) - (.Pas de propriétaire - Pas de description.) -- C:\Program Files (x86)\Adobe\Adobe Illustrator CS4\Support (.not file.)
O66 - EventLog: ID=1000 (Application Error) - (.Pas de propriétaire - Pas de description.) -- C:\Users\FAB\AppData\Local\Temp\esoarxcmnw.exe (.not file.)


* Cliquer sur OK, la fenêtre change d'aspect.
* Cliquer en bas de la fenêtre sur tous puis sur nettoyer
* Fermer la fenêtre ZHPFIX
* Rebooter la machine faire un nouveau rapport ZHPDIAG. </gras>
0
Fabb24 Messages postés 531 Date d'inscription mercredi 6 août 2008 Statut Membre Dernière intervention 13 août 2011 41
28 avril 2010 à 12:26
Alors j'ai fait la manip avec ZHPFIX

et voici et nouveau rapport de ZHPDIAG après redémarrage

http://www.cijoint.fr/cjlink.php?file=cj201004/cijzEVdDDl.txt
0
Utilisateur anonyme
28 avril 2010 à 12:29
OK, je ne vois plus rien hormis une clef de registre suspect qui pointe sur rien.

Comme ce n'est que suspect, on laisse dans l'état pour l'instant.

Comment va la machine ? Selon ta réponse on continue ou on finalise (encore une ou deux manips pour que ce soit clean).
0
Fabb24 Messages postés 531 Date d'inscription mercredi 6 août 2008 Statut Membre Dernière intervention 13 août 2011 41
28 avril 2010 à 12:36
Ba pour l'instant tout est nikel !

La machine ne subit plus ces fenêtre, pubs ou bulle de notification intempestive. :)

Top !!



En tous cas grand merci à vous !!

C'est vraiment très agréable d'être guidé aussi précisément, et d'avoir des réponses aussi réactives !!!


Si je récent des soucis aujourd'hui je riposterai un message.

Merci beaucoup
0
Oki,

Tu peux rouler. Je met la file en résolu. A PAS bientôt ;)
Si il n'y a pas de solution c'est qu'il n'y a pas de problème.
0