TR/agent.W.4106 Fermé

Question

Bonjour, 

Hier, mon antivirus a détecté un cheval de troie : TR/agent.W.4106, comment dois-je procéder pour m'en débarrasser?

merci pour vos réponses
KLR

booddha · Answer

Bonjour

============= ZHPDIAG =============
I) Uniquement sous Vista et Seven, désactiver l' UAC (à réactiver après la désinfection)
Sous XP, passer directement au dernier paragraphe concernant le téléchargement de ZHPDIAG]

* Sous Vista : ? Désactiver le contrôle des comptes utilisateurs
* Cliquer sur Démarrer puis sur panneau de configuration
* Double Cliquer sur l'icône Comptes d'utilisateurs
* Cliquer ensuite sur désactiver et valider.
* Redémarrer le PC 
---------------------------------------------------
* Sous Seven : ? Désactiver le contrôle des comptes utilisateurs
* Cliquer sur Démarrer puis sur panneau de configuration
* Cliquer sur Comptes et protection des utilisateurs puis sur Comptes d'utilisateurs.
* Cliquer sur Modifier les paramètres de contrôle de compte d'utilisateur.
* Une fenêtre apparait avec un curseur vertical à 4 positions.
* Noter sur quelle position le curseur se trouve. En fin de désinfection, il faudra repositionner ce curseur sur la même position.
* Glisser le curseur sur la positon du bas Ne jamais m'avertir
* Cliquer sur OK et confirmer une dernière fois son identité.
* Redémarrer le PC 
--------------------------------------------------
* Télécharger ZHPDIAG

* Suivre les instructions lors de l'installation, lancement automatiquement à la fin.
* Cliquer sur l'icône représentant un tournevis.
* Cliquer sur Tous en bas de la fenêtre.
* Cliquer sur l'icône représentant une loupe (« Lancer le diagnostic »).
* Enregistrer le rapport sur le Bureau à l'aide de l'icône représentant une disquette.
* Sauvegarder le rapport ici: cijoint et coller le lien dans la réponse sur ce forum

KLR37 · Answer

J'ai effectué toutes les démarches, voici le lien du rapport : 
http://www.cijoint.fr/cjlink.php?file=cj201004/cijbNG9GpF.txt

KLR

booddha · Answer

C'est Askbar considéré comme malware

Fais ceci

===================  AD-Remover ======================
* Télécharger AD-Remover sur le Bureau. (Merci à C_XX)

Miroir

/!\ Se Déconnecter d'internet et fermer toutes applications en cours /!\

Désactiver provisoirement et seulement le temps de l'utilisation de ADremover, la protection en temps réel de l'antivirus et des Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.

- Sous XP, double-cliquer sur l'icône Ad-remover située sur le Bureau ou par clic droit et "exécuter en tant qu'administrateur sous Vista et Seven..
- Sur la page, cliquer sur le bouton « NETTOYER »
- Confirmer lancement du scan
- Laisser travailler l'outil.
- Poster le rapport qui apparaît à la fin en réponse sur ce forum.

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt)

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller)

KLR37 · Answer

voici le rapport : 
.
======= RAPPORT D'AD-REMOVER 2.0.0.0,C | UNIQUEMENT XP/VISTA/7 =======
.
Mis à jour par C_XX le 27/04/10 à 22:00
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html
.
Lancé à: 14:47:12 le 29/04/2010 | Mode normal | Option: CLEAN
Exécuté de: C:\Ad-Remover\ADR.exe
SE: Microsoft® Windows Vista(TM) HomePremium  - X86
Nom du PC: PC-DE-KLR (Sony Corporation VGN-FZ11Z)
Utilisateur actuel: KLR
.
============== ÉLÉMENT(S) NEUTRALISÉ(S) ==============
.
.
C:\Program Files\Ask.com
C:\Program Files\Mozilla FireFox\extensions\{B922D405-6D13-4A2B-AE89-08A030DA4402}
C:\Program Files\Mozilla FireFox\extensions\search@searchsettings.com
C:\Program Files\pdfforge Toolbar
C:\Users\KLR\AppData\LocalLow\AskToolbar
C:\Users\KLR\AppData\LocalLow\pdfforge
C:\Users\KLR\AppData\LocalLow\Search Settings
[b]ERREUR SUPPRESSION !!/b : C:\Users\KLR\AppData\Roaming\Mozilla\FireFox\Profiles\joowdptu.default\extensions	oolbar@ask.com
C:\Windows\Installer\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
C:\Windows\system32\Tasks\Scheduled Update for Ask Toolbar

(!) -- Fichiers temporaires supprimés.
.
HKCU\Software\AppDataLow\AskToolbarInfo
HKCU\Software\AppDataLow\Software\AskToolbar
HKCU\Software\AppDataLow\Software\pdfforge
HKCU\Software\Ask.com
HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
HKCU\Software\Microsoft\Internet Explorer\LowRegistry\Search Settings
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{B922D405-6D13-4A2B-AE89-08A030DA4402}
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}
HKCU\Software\Search Settings
HKLM\Software\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
HKLM\Software\Classes\AppID\GenericAskToolbar.DLL
HKLM\Software\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}
HKLM\Software\Classes\CLSID\{B922D405-6D13-4A2B-AE89-08A030DA4402}
HKLM\Software\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}
HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd
HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd.1
HKLM\Software\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF
HKLM\Software\Classes\Installer\Products\A6EB8FE4C9986914497E92C7F5A702E3
HKLM\Software\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
HKLM\Software\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
HKLM\Software\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
HKLM\Software\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{B922D405-6D13-4A2B-AE89-08A030DA4402}
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Scheduled Update for Ask Toolbar
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{B922D405-6D13-4A2B-AE89-08A030DA4402}
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}
HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Userdata\S-1-5-18\Products\A28B4D68DEBAA244EB686953B7074FEF
HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Userdata\S-1-5-18\Products\A6EB8FE4C9986914497E92C7F5A702E3
HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{4EF8BE6A-899C-4196-94E7-297C5F7A203E}
HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
HKLM\Software\pdfforge
HKLM\Software\Search Settings
HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}
HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks|{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
HKLM\Software\Microsoft\Internet Explorer\Toolbar|{B922D405-6D13-4A2B-AE89-08A030DA4402}
HKLM\Software\Microsoft\Internet Explorer\Toolbar|{D4027C7F-154A-4066-A1AD-4243D8127440}
HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDLLs|C:\Program Files\Ask.com\GenericAskToolbar.dll
.
(Orpheline) BHO: {5C255C8A-E604-49b4-9D64-90988571CECB} (CLSID manquant)
.
============== SCAN ADDITIONNEL ==============
.
* Mozilla FireFox Version 3.6 (fr) *
.
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.download.dir: C:\Users\KLR\Downloads
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.download.lastDir: C:\Users\KLR\Desktop
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.search.defaultenginename: Google
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.search.defaulturl: hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.search.selectedEngine: Google
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.startup.homepage_override.mstone: rv:1.9.2
.
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.cbid", "J7");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.default-channel-url-mask", "hxxp://www.ask.com/web?q={query}&o={o}&l={l}&qsrc={qsrc}");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.first-launch-url", "hxxp://g.msn.com/5mefr_fr/11");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.fresh-install", false);
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.l", "dis");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.last-config-req", "1272453734884");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.locale", "fr_FR");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.o", "14979");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.overlay-reloaded-using-restart", true);
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.qsrc", "2871");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.r", "2");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.enabledItems", "toolbar@ask.com:3.5.0.145,{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}:1.1.3,{ABDE892B-13A8-4d1b-88E6-365A6E755758}:1.1.3,{972ce4c6-7e08-4474-a285-3208198ce6fd}:3.6");
.
* Internet Explorer Version 7.0.6000.16386 *
.
[HKCU\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Search Asst: no
.
[HKLM\Software\Microsoft\Internet Explorer\Main]
.
AutoHide: yes
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: %SystemRoot%\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/
.
[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
.
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm
.
========================================
.
C:\Users\KLR\AppData\Local\Temp: 2 Fichier(s), 7 Dossier(s)
C:\Windows	emp: 2 Fichier(s), 0 Dossier(s)
C:\Users\KLR\AppData\Roaming\Microsoft\Windows\Cookies: 2 Fichier(s), 2 Dossier(s)
Temporary Internet Files: 2 Fichier(s), 9 Dossier(s)
.
C:\Ad-Remover\Quarantine: 86 Fichier(s)
C:\Ad-Remover\Backup: 16 Fichier(s)
.
C:\Ad-Report-CLEAN[1].txt - 7815 Octet(s)
.
Fin à: 14:52:30, 29/04/2010
.
============== E.O.F - CLEAN[1] ==============

booddha · Answer

OK

Fais ceci

Efface les rapports ZHPDIAG présents sur ta machine

Relance la machine et reposte un nouveau rapport ZHPDIAG selon la procédure déjà donnée.

KLR37 · Answer

Voici le nouveau rapport : 
http://www.cijoint.fr/cjlink.php?file=cj201004/cij7Px0lnm.txt
KLR

booddha · Answer

Tu as bien lancer AD-Remover par un clique/droit et exécuter en tant qu'administrateur ?

KLR37 · Answer

Ah non, je recommence et je t'envoie le rapport juste après.

KLR37 · Answer

Voici le rappport : 

.
====== RAPPORT D'AD-REMOVER 2.0.0.0,D | UNIQUEMENT XP/VISTA/7 =======
.
Mis à jour par C_XX le 29/04/10 à 18:00
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html
.
Lancé à: 15:18:47 le 30/04/2010 | Mode normal | Option: CLEAN
Exécuté de: C:\Ad-Remover\ADR.exe
SE: Microsoft® Windows Vista(TM) HomePremium  - X86
Nom du PC: PC-DE-KLR (Sony Corporation VGN-FZ11Z)
Utilisateur actuel: KLR
.
============== ÉLÉMENT(S) NEUTRALISÉ(S) ==============
.
.

(!) -- Fichiers temporaires supprimés.
.
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Scheduled Update for Ask Toolbar
.
(Orpheline) BHO: {5C255C8A-E604-49b4-9D64-90988571CECB} (CLSID manquant)
.
============== SCAN ADDITIONNEL ==============
.
* Mozilla FireFox Version 3.6 (fr) *
.
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.download.dir: C:\Users\KLR\Downloads
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.download.lastDir: C:\Users\KLR\Desktop
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.search.defaultenginename: Google
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.search.defaulturl: hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.search.selectedEngine: Google
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.startup.homepage_override.mstone: rv:1.9.2
.
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.cbid", "J7");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.default-channel-url-mask", "hxxp://fr.ask.com/web?q={query}&qsrc={qsrc}&o={o}&l={l}");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.first-launch-url", "hxxp://g.msn.com/5mefr_fr/11");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.fresh-install", false);
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.l", "dis");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.last-config-req", "1272544187169");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.locale", "fr_FR");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.o", "14979");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.overlay-reloaded-using-restart", true);
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.qsrc", "2871");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.r", "2");
.
* Internet Explorer Version 7.0.6000.16386 *
.
[HKCU\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Search Asst: no
.
[HKLM\Software\Microsoft\Internet Explorer\Main]
.
AutoHide: yes
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: %SystemRoot%\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/
.
[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
.
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm
.
========================================
.
C:\Ad-Remover\Quarantine: 86 Fichier(s)
C:\Ad-Remover\Backup: 29 Fichier(s)
.
C:\Ad-Report-CLEAN[1].txt - 7941 Octet(s)
C:\Ad-Report-CLEAN[2].txt - 3912 Octet(s)
.
Fin à: 15:23:05, 30/04/2010
.
============== E.O.F - CLEAN[2] ==============

booddha · Answer

Ok, 
Supprime les rapports ZHPDIAG.txt présents sur la machine.

Reboote et refais un nouveau rapport ZHPDIAG en suivant la procédure déjà donnée.

KLR37 · Answer

Voici le lien du nouveau rapport : 

http://www.cijoint.fr/cjlink.php?file=cj201004/cij4kwx3Gd.txt

KLr

booddha · Answer

Il reste des traces, 

refais Ad-Remover option nettoyer sans oublier de le lancer avec un click/droit "Executer en tant qu'administrateur".

Poste le rapport

Reboote

Supprime les anciens rapports ZHPDIAG.TXT

Remet un rapport ZHPDIAG sur CiJoint

KLR37 · Answer

le rapport  : 
.
======= RAPPORT D'AD-REMOVER 2.0.0.0,D | UNIQUEMENT XP/VISTA/7 =======
.
Mis à jour par C_XX le 29/04/10 à 18:00
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html
.
Lancé à: 11:03:26 le 01/05/2010 | Mode normal | Option: CLEAN
Exécuté de: C:\Ad-Remover\ADR.exe
SE: Microsoft® Windows Vista(TM) HomePremium  - X86
Nom du PC: PC-DE-KLR (Sony Corporation VGN-FZ11Z)
Utilisateur actuel: KLR
.
============== ÉLÉMENT(S) NEUTRALISÉ(S) ==============
.
.

(!) -- Fichiers temporaires supprimés.
.
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Scheduled Update for Ask Toolbar
.
(Orpheline) BHO: {5C255C8A-E604-49b4-9D64-90988571CECB} (CLSID manquant)
.
============== SCAN ADDITIONNEL ==============
.
* Mozilla FireFox Version 3.6 (fr) *
.
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.download.dir: C:\Users\KLR\Downloads
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.download.lastDir: C:\Users\KLR\Desktop
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.search.defaultenginename: Google
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.search.defaulturl: hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.search.selectedEngine: Google
C:\Users\KLR\..\joowdptu.default\prefs.js - browser.startup.homepage_override.mstone: rv:1.9.2
.
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.cbid", "J7");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.default-channel-url-mask", "hxxp://fr.ask.com/web?q={query}&qsrc={qsrc}&o={o}&l={l}");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.first-launch-url", "hxxp://g.msn.com/5mefr_fr/11");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.fresh-install", false);
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.l", "dis");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.last-config-req", "1272544187169");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.locale", "fr_FR");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.o", "14979");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.overlay-reloaded-using-restart", true);
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.qsrc", "2871");
EFFACÉ: C:\Users\KLR\..\joowdptu.default\prefs.js - user_pref("extensions.asktb.r", "2");
.
* Internet Explorer Version 7.0.6000.16386 *
.
[HKCU\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Search Asst: no
.
[HKLM\Software\Microsoft\Internet Explorer\Main]
.
AutoHide: yes
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: %SystemRoot%\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/
.
[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
.
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm
.
========================================
.
C:\Ad-Remover\Quarantine: 86 Fichier(s)
C:\Ad-Remover\Backup: 44 Fichier(s)
.
C:\Ad-Report-CLEAN[1].txt - 7941 Octet(s)
C:\Ad-Report-CLEAN[2].txt - 4038 Octet(s)
C:\Ad-Report-CLEAN[3].txt - 3955 Octet(s)
.
Fin à: 11:07:37, 01/05/2010
.
============== E.O.F - CLEAN[3] ==============

booddha · Answer

Ok, c'est pas celle que je voulais mais bon, l'outil à bossé

==================  MalwareBytes =====================

Telecharger MalwareBytes (Qui peut être conservé)
* (NB : S'il manque"COMCTL32.OCX" lors de l'installation, alors le télécharger ici) 
* L'enregistrer sur le bureau
* Double cliquer sur le fichier téléchargé pour lancer le processus d'installation.
* Sous XP double/cliquer sur le programme pour le lancer.
* Vista ou Seven Cliquer/droit sur le programme et le lancer "En tant qu'administrateur"
* Dans l'onglet "mise à jour", cliquer sur le bouton Recherche de mise à jour
* Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, accepter
* Une fois la mise à jour terminé
* Sélectionner l'onglet, Recherche
* Sélectionner Exécuter un examen rapide
* Cliquer sur Rechercher
* Le scan démarre.
* A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. 
* Cliquer sur Afficher les résultats pour afficher tous les objets trouvés.
* Cliquer sur Ok pour poursuivre.
* Si des malwares ont été détectés, cliquer sur Afficher les résultats
* Sélectionner tout (ou laisser cochés) et cliquer sur Supprimer la sélection.
* Malwarebytes va détruire les fichiers et clés de registre et en faire une copie dans la quarantaine.
* Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
* Sélectionner l'onglet rapport/log
* Une fois le rapport affiché
* Taper Ctrl A pour tout sélectionner
* Taper Ctrl C pour tout copier
* Revenir sur le forum et dans la prochaine réponse taper CTRL V pour tout coller.

Si besoin d'aide regarder ces tutoriels :
Aide
Autre aide

==================================

Supprime les rapports ZHPDIAG.txt présents sur la machine.

Reboote et refais un nouveau rapport ZHPDIAG en suivant la procédure déjà donnée.

KLR37 · Answer

J'avais déjà Maleware bytes, je fais des scans régulièrement. Aucun nuisible n'a été détecté, ce la veut -il dire que le virus a totalement disparu dos je faire d'autres choses?

Merci

booddha · Answer

J'attends le rapport MalwaresBytes passé AUJOURD'HUI et suivant la procédure donnée et le rapport ZhpDiag comme indiqué dans la procédure précédente. 

Quand ce sera clean, je te le dirais, ne t'inquiètes pas. 
Si il n'y a pas de solution c'est qu'il n'y a pas de problème.

KLR37 · Answer

ok j'avais pas compris que tu voulais le rapport même si aucun nuisible n'avait été détecté, le voici : 

Malwarebytes' Anti-Malware 1.44
Version de la base de données: 3645
Windows 6.0.6000
Internet Explorer 7.0.6000.16386

01/05/2010 12:21:35
mbam-log-2010-05-01 (12-21-35).txt

Type de recherche: Examen rapide
Eléments examinés: 103574
Temps écoulé: 5 minute(s), 12 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

booddha · Answer

Ok
Ca ne coute rien de vérifier, le nouveau rapport ZHPDIAG maintenant

klr37 · Answer

le voici : 

http://www.cijoint.fr/cjlink.php?file=cj201005/cij4cMArVu.txt

korn · Answer

PS : Ton infection est récente . Ta version de MBAM n'est pas à jour 1.44 ( 1.46 aujourd'hui .. Mets le à jour en enchainant un scan complet .

booddha · Answer

Tu es réinfecté par une tool bar

===================== ToolBar S&D ==================

Note : Présence d'une ToolBar infectieuse. Les Toolbars son généralement proposées en accompagnement d'autres logiciels à leur installation.
Lors d'une installation d'un logiciel, prendre le temps de lire les options d'installation et décocher les programmes additionnels inutiles (ne pas cliquer bêtement sur "suivant"). 

* Télécharge ToolBar S&D ( de Eric_71/Team IDN ) sur ton bureau :

* Tuto

* Se déconnecter et fermer toutes tes applications en cours le temps de la manipe !!

* Sous XP, double-cliquer sur ToolBar SD.exe pour lancer l'outil ou sous Vista et 7 cliquer/droit et éxécuter en tant qu'administrateur et se laisser guider ...
--> Taper directement sur 2 ( option " suppression " ) puis taper sur [Entrée].

Le nettoyage commence .

* ne rien toucher lors de la suppression !

* Un rapport sera généré à la fin du processus : poster son contenu dans la prochaine réponse
accompagné d'un nouveau rapport ZHPDIAG après avoir rebooter la machine pour analyse ...

( le rapport est en outre sauvegardé ici -> C:\TB.txt )

booddha · Answer

Suis obligé de m'absenter pour un moment  Fais la procédure au-dessus si c'est pas fait
Si il n'y a pas de solution c'est qu'il n'y a pas de problème.

klr37 · Answer

merci beaucoup, voici le rapport du toolbar : 

   -----------\  ToolBar S&D 1.2.9   XP/Vista

   Microsoft® Windows Vista(TM) Édition Familiale Premium  ( v6.0.6000 ) 
   X86-based PC ( Multiprocessor Free : Intel(R) Core(TM)2 Duo CPU     T7300  @ 2.00GHz )
   BIOS : Ver 1.00PARTTBL
   USER : KLR ( Administrator )
   BOOT : Normal boot
   Antivirus : AntiVir Desktop 9.0.1.32 (Activated)
   C:\ (Local Disk) - NTFS - Total:176 Go (Free:99 Go)
   D:\ (USB)
   E:\ (USB)
   F:\ (CD or DVD)

   "C:\ToolBar SD" ( MAJ : 22-08-2009|18:42 )
   Option : [2] ( 02/05/2010|18:21 )

   [ UAC => 1 ]

   -----------\  Recherche de Fichiers / Dossiers ...


   -----------\  [..\Internet Explorer\Main]

   [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
   "Local Page"="C:\Windows\system32\blank.htm"
   "Start Page"="https://www.msn.com/fr-fr"
   "Search Bar"="http://go.microsoft.com/fwlink/?linkid=54896"
   "Default_search_url"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
   "Default_page_url"="http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome"
   "Url"="http://go.microsoft.com/fwlink/?LinkId=75720"

   [HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
   "Start Page"="https://www.msn.com/fr-fr/"
   "Default_Page_URL"="http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome"
   "Default_Search_URL"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
   "Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
   "Search bar"="http://www.bing.com/spresults.aspx"


   --------------------\  Recherche d'autres infections


   Aucune autre infection trouvée  !

   [ UAC => 1 ]


   1 - "C:\ToolBar SD\TB_1.txt" - 02/05/2010|18:21 - Option : [2]

   -----------\  Fin du rapport a 18:21:47,29

et le lien ZHPdiag : 
http://www.cijoint.fr/cjlink.php?file=cj201005/cij15wgk8z.txt

j'ai l'impression qu'il reste une infection

TR/agent.W.4106

23 réponses

Discussions similaires