A l'aide ! fenêtres internet inopinées Résolu

Question

Bonjour,
je pense que mon pc a un ou plusieurs virus (mlwr  Himr5 ?)
ça se traduit par des fenêtres internet qui s'ouvrent toutes seules (sites de roncontres etc...
comment puis je nettoyer mon pc ...
je suis novice ...
merci !

Configuration: Windows XP / Firefox 3.6.3

moment de grace · Answer

bonjour

Télécharge ZHPDiag ( de Nicolas coolman ). 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 

(outil de diagnostic)

 Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )
 
Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin pour vista ) 

Clique sur la loupe en haut à gauche, puis laisse l'outil scanner. 

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau. 

Rend toi sur Cjoint : http://www.cijoint.fr/ 

Clique sur "Parcourir " dans la partie " Joindre un fichier[...] " 

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau 

Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message


si soucis avec ci joint. fr => utiliser https://www.cjoint.com/

moment de grace · Answer

vu

si ca coince toujours

fais ceci alors

Télécharge rkill 

Enregistre-le sur ton Bureau
Double-clique sur l'icone rkill ( pour Vista/Seven clic-droit Exécuter en tant qu'Administrateur)
Un bref écran noir t'indiquera que le tool s'est correctement exécuter, s'il ne lance pas
change de lien de téléchargement en utilisant le suivant à partir d'ici:
https://download.bleepingcomputer.com/grinler/rkill.exe 
https://download.bleepingcomputer.com/grinler/rkill.exe 

Rkill COM: Rkill COM: 
https://download.bleepingcomputer.com/grinler/rkill.com
 https://download.bleepingcomputer.com/grinler/rkill.com 

Rkill SCR: Rkill RCS: 
https://download.bleepingcomputer.com/grinler/rkill.scr 
https://download.bleepingcomputer.com/grinler/rkill.scr 

Rkill PIF: Rkill PIF: 
http://download.bleepingcomputer.com/grinler/rkill.pif 
http://download.bleepingcomputer.com/grinler/rkill.pif

une fois qu'il aura terminé

relances à nouveau ZHPdiag

moment de grace · Answer

ok

vu que tu es inscrite tu peux accéder à mon profil en cliquant sur mon pseudo

envoies moi le rapport en deux fois en mp

moment de grace · Answer

oui

voici le lien de ton ZHP

http://www.cijoint.fr/cjlink.php?file=cj201004/cijLDH11jX.txt

tres infectée

Attention, avant de commencer, lit attentivement la procédure, et imprime la 

Aide à l'utilisation
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix



Télécharge ComboFix de sUBs  sur ton Bureau : 

http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

/!\ Déconnecte-toi du net et DESACTIVES TOUTES LES DEFENSES, antivirus et antispyware y compris /!\ 

---> Double-clique sur ComboFix.exe 
Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter 

SURTOUT INSTALLES LA CONSOLE DE RECUPERATION 
(si il te propose de l'installer remets provisoirement internet)

---> Mets-le en langue française F 
Tape sur la touche 1 (Yes) pour démarrer le scan. 

Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC 

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire. 

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu 

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\ 

Note : Le rapport se trouve également là : C:\ComboFix.txt

moment de grace · Answer

oui lance combo et installes la console de récuperation s'il te le propose

moment de grace · Answer

pas de rapport  c'est ennuyeux

on continue

/!\ Il faut impérativement désactiver tous tes logiciels de protection pour utiliser ce programme/!\ 

* Télécharge mbr.exe de Gmer ici : http://www2.gmer.net/mbr/mbr.exe et enregistre le fichier sur le Bureau. 
* Merci à Malekal pour le tutoriel 
* Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident) 
* Double clique sur mbr.exe 
* Un rapport sera généré : mbr.log 
* En cas d'infection, ce message "MBR rootkit code detected" va apparaitre. 
* Pour supprimer le rootkit aller dans le menu Démarrer=> Exécuter et tapez la commande en gras: "%userprofile%\Bureau\mbr" -f 
* (veuillez à bien respecter les guillemets) 
* Dans le mbr.log cette ligne apparaitra "original MBR restored successfully !" 
* Réactive tes protections .Poste ce rapport et supprime le ensuite. 

o Pour vérifier désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident) 
o Relance mbr.exe 
o Réactive tes protections. 
o Le nouveau mbr.log devrait être celui-ci : 
o Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net 
o device: opened successfully 
user: MBR read successfully 
kernel: MBR read successfully 
user & kernel MBR OK

moment de grace · Answer

ok

on refait un nouveau rapport ZHPdiag pour voir où on en ai

postes ici le lien

mais excetionnellement ce soir envoies moi le aussi en mp en deux parties pur qu'il passe

moment de grace · Answer

ok

on va faire autrement

* Télécharge Random's System Information Tool (RSIT) de Random/Random. 

(outil de diagnostic)

http://images.malwareremoval.com/random/RSIT.exe 

* Enregistre le sur ton Bureau. 

* Double clique sur RSIT.exe pour lancer l'outil. 

* Clique sur "Continue" à l'écran Disclaimer. 

* Si l'outil HijackThis n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu s'il te le demande) 

et tu devras accepter la licence. 

* Une fois le scan terminé, deux rapports vont apparaître : poste les (par "j'ai une réponse") dans deux messages séparés stp


s'ils ne passent pas (attendre quelques secondes) le faire en 2 parties

Les rapports se trouvent à cet endroit: 
C:\rsit\info.txt 
C:\rsit\log.txt

moment de grace · Answer

ok

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection) 

 Télécharge List_Kill'em et enregistre le sur ton bureau
http://sd-1.archive-host.com/...

double clique ( clic droit "executer en tant qu'administrateur" pour Vista/7 ) sur le raccourci sur ton bureau pour lancer l'installation 

Laisse coché : 

- Executer Shortcut 
- Executer List_Kill'em 

une fois terminée , clic sur "terminer" et le programme se lancera seul 

choisis l'option Search 

 laisse travailler l'outil 

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal , le programme n'est pas bloqué. 

Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

moment de grace · Answer

regardes là si tu trouves ton bonheur

https://forums.commentcamarche.net/forum/affich-4035015-mot-passe-trend-micro-office-scan

belbe · Answer

le scan en est à 30 % j'attends la fin et je posterais le rapport ... on pourra continuer plus tard en fonction de ta dispo
quand ça sera réglé il faudra que tu me dises ce que je dois faire pour être mieux protéger

belbe · Answer

je décroche pour ce soir ,merci pour ton aide !

belbe · Answer

voici le lien pour le log combo

http://www.cijoint.fr/cjlink.php?file=cj201005/cijkwqCgrk.txt

moment de grace · Answer

ok

avec le rapport combo ca change tout

et cela confirme ta sur infection

1)

/!\ Il faut impérativement désactiver tous tes logiciels de protection pour utiliser ce programme/!\ 
* Télécharge mbr.exe de Gmer ici : http://www2.gmer.net/mbr/mbr.exe et enregistre le fichier sur le Bureau. 
* Merci à Malekal pour le tutoriel 
* Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident) 
* Double clique sur mbr.exe 
* Un rapport sera généré : mbr.log 
* En cas d'infection, ce message "MBR rootkit code detected" va apparaitre. 
* Pour supprimer le rootkit aller dans le menu Démarrer=> Exécuter et tapez la commande en gras: "%userprofile%\Bureau\mbr" -f 
* (veuillez à bien respecter les guillemets) 
* Dans le mbr.log cette ligne apparaitra "original MBR restored successfully !" 
* Réactive tes protections .Poste ce rapport et supprime le ensuite. 

o Pour vérifier désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident) 
o Relance mbr.exe 
o Réactive tes protections. 
o Le nouveau mbr.log devrait être celui-ci : 
o Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net 
o device: opened successfully 
user: MBR read successfully 
kernel: MBR read successfully 
user & kernel MBR OK

.........................

2)

beaucoup de fichiers douteux


Rends toi sur ce site : 

https://www.virustotal.com/gui/ 

Clique sur parcourir et cherche ce fichier : 

c:\windows\system32\drivers
dis.sys

 c:\windows\system32\dllcache
dis.sys

c:\windows\system32\ffdfotqb^.exe

c:\documents and settings\arinibe.PCP-ARINI\ffdfotqb^.exe

c:\documents and settings\All Users\Application Data\4CSi5nb3.dat

c:\windows\Fonts\Qm165pCH0.com

c:\documents and settings\All Users\Application Data\PKP_DLdw.DAT 

c:\windows\system32\45F242165E.sys

c:\documents and settings\arinibe.PCP-ARINI\Application Data\Mozilla\plugins
pgoogletalk.dll 



Clique sur Send File. 

Un rapport va s'élaborer ligne à ligne. 

Attends la fin. Il doit comprendre la taille du fichier envoyé. 

Sauvegarde le rapport avec le bloc-note. 

Copie le dans ta réponse.

Si tu ne trouves pas le fichier alors

Affiche tous les fichiers et dossiers : 

Pour cela : 
Clique sur démarrer/panneau de configuration/option des dossiers/affichage 

Cocher afficher les dossiers cachés

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)" 

Décocher masquer les extensions dont le type est connu 

Puis fais «appliquer» pour valider les changements. 

Et OK

moment de grace · Answer

oui  un par un et indiques moi le nom du fichier pour chaque rapport que je m'y retrouve

moment de grace · Answer

ok

on va procéder par ordre..

/!\ ATTENTION /!\ Le script qui suit a été écrit spécialement pour belbe, il n'est pas transposable sur un autre ordinateur ! 

crées un sur ton bureau un nouveau fichier bloc note que tu nommeras CFScript
Copies y ce texte dedans et enregistres le

KillAll::

File::

c:\windows\system32\ffdfotqb^.exe 

c:\documents and settings\arinibe.PCP-ARINI\ffdfotqb^.exe


SkipFix::



* Désactive tes logiciels de protection 
* Fais un glisser/déposer de ce fichier CFScript.txt sur le fichier Combofix.exe (comme le lien suivant) 
http://apu.mabul.org/up/apu/2008/09/06/img-2258535my8h.gif 
* Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé. 
* Une fois le scan achevé, un rapport va s'afficher: poste son contenu. 
* Si le fichier ne s'ouvre pas, il se trouve ici ? C:\ComboFix.txt

moment de grace · Answer

ton atapi aussi semble patché

retentes killem qui ne doit pas durer deux heures

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

? Télécharge List_Kill'em et enregistre le sur ton bureau

http://sd-1.archive-host.com/...

double clique ( clic droit "executer en tant qu'administrateur" pour Vista/7 ) sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

 Executer Shortcut
 Executer List_Kill'em

une fois terminée , clic sur "terminer" et le programme se lancera seul

choisis l'option Search

laisse travailler l'outil

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal , le programme n'est pas bloqué.

 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

moment de grace · Answer

1)

Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau. 
mais cette fois-ci : 

choisis l'option CLEAN
ton PC va redemarrer, 

laisse travailler l'outil. 

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau , 

colle le contenu dans ta reponse

............................

2)

/!\ Il faut impérativement désactiver tous tes logiciels de protection pour utiliser ce programme/!\ 


? Télécharge : Gmer (by Przemyslaw Gmerek) 

http://www.gmer.net/



? Dezippe gmer ,cliques sur l'onglet rootkit,lances le scan,des lignes rouges vont apparaitre. 

? Les lignes rouges indiquent la presence d'un rootkit.Postes moi le rapport gmer (cliques sur copy,puis vas dans demarrer ,puis ouvres le bloc note,vas dans edition et cliques sur coller,le rapport gmer va apparaitre,postes moi le)

moment de grace · Answer

Rends toi sur ce site : 

https://www.virustotal.com/gui/ 

Clique sur parcourir et cherche ce fichier : 

C:\WINDOWS\system32\drivers\atapi.sys
C:\WINDOWS\system32\drivers\cd20xrnt.sys


Clique sur Send File. 

Un rapport va s'élaborer ligne à ligne. 

Attends la fin. Il doit comprendre la taille du fichier envoyé. 

Sauvegarde le rapport avec le bloc-note. 

Copie le dans ta réponse.

Si tu ne trouves pas le fichier alors

Affiche tous les fichiers et dossiers : 

Pour cela : 
Clique sur démarrer/panneau de configuration/option des dossiers/affichage 

Cocher afficher les dossiers cachés

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)" 

Décocher masquer les extensions dont le type est connu 

Puis fais «appliquer» pour valider les changements. 

Et OK

moment de grace · Answer

ok

on fait le point

comment va le pc depuis ces manips ?

moment de grace · Answer

tes impressions comptent dans le diagnostic

et ton sujet n'est pas des plus simple

j'ai encore un truc qui me chiffonne

Télécharge SEAF ( de C__XX ) sur ton bureau : 

ici http://pagesperso-orange.fr/NosTools/C_XX/SEAF.exe 


* Double clique sur "SEAF.exe" ( clique droit et "Exécuter en tant qu'administrateur" pour Vista / 7 ) pour lancer l'outil. 

* Dans l'encardré blanc " Entrez ci dessous...." copie/colle ceci : 


   ndis.sys             



* Au niveau des " options des fichiers ", fait les réglages suivant : 
> A "Calculer le checksum" , choisis : MD5 
> Coche la case devant " Info. supplémentaire ". 
> Coche la case devant " Afficher les ADS " 

* Au niveau des " options du registre " : 
> coche " chercher également dans le registre " 

( ne touche à aucun autre réglage ) 

* Clique sur " Lancer la recherche " et laisse travailler l'outil ... 
( cela peut-être plus ou moins long suivant les cas ). 

--> Une fois terminé, une fenêtre avec un log .txt va s'afficher. Enregistre ce rapport de façon à le retrouver facilement ( sur le bureau par exemple ). Sinon il sera en outre sauvegardé à la racine de ton disque dur ( ici > C:\SEAFLog.txt )

moment de grace · Answer

tout marche mieux en somme...

(sourire)


/!\ ATTENTION /!\ Le script qui suit a été écrit spécialement pour belbe, il n'est pas transposable sur un autre ordinateur ! 

crées un sur ton bureau un nouveau fichier bloc note que tu nommeras CFScript
Copies y ce texte dedans et enregistres le

KillAll::


Registry::

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\]
"d"=-

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\sys]
"a"=-

[HKEY_USERS\S-1-5-21-3957422101-1937398478-1157501511-1007\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\]
"d"=-

[HKEY_USERS\S-1-5-21-3957422101-1937398478-1157501511-1007\Software\Microsoft\Windows\CurrentVersion\Explorer\ComDlg32\OpenSaveMRU\sys]
"a"=-




SkipFix::



* Désactive tes logiciels de protection 
* Fais un glisser/déposer de ce fichier CFScript.txt sur le fichier Combofix.exe (comme le lien suivant) 
http://apu.mabul.org/up/apu/2008/09/06/ ... 35my8h.gif 
* Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé. 
* Une fois le scan achevé, un rapport va s'afficher: poste son contenu. 
* Si le fichier ne s'ouvre pas, il se trouve ici ? C:\ComboFix.txt

moment de grace · Answer

j'aimerai bien qu'on finisse aussi...

fais un nouveau rapport ZHPdiag et postes ici le lien de cijoint stp

belbe · Answer

Rapport de ZHPDiag v1.25.1415 par Nicolas Coolman
Run by arinibe at 02/05/2010 12:01:12
Web site :  http://www.premiumorange.com/zeb-help-process/zhpdiag.html

---\ Web Browser
MSIE: Internet Explorer v8.0.6001.18702
MFIE: Mozilla Firefox (3.6.3)

---\ System Information
Platform : Microsoft Windows XP (5.1.2600) Service Pack 2
Processor: x86 Family 6 Model 15 Stepping 6, GenuineIntel
Operating System: 32 Bits
Boot mode: Normal (Normal boot)
Total RAM: 1014 MB (40% free)
System drive C: has 26 GB (51%) free of 50 GB

---\ Logged in mode
Computer Name: PCP-ARINI
User Name: arinibe
Unselected Option:  O1,O45,O61,O65
Logged in as Administrator

---\ DOS/Devices
C:\ Hard drive, Flash drive, Thumb drive (Free 26 Go of 50 Go)
D:\ CD-ROM drive (Not Inserted)


---\ Security Center & Tools Informations
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: OK
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusDisableNotify: OK
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallDisableNotify: OK
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: OK
[HKLM\SOFTWARE\Microsoft\Security Center] UpdatesDisableNotify: OK
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] AntiSpywareOverride: OK
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] AntiVirusOverride: OK
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] AntiVirusDisableNotify: OK
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] FirewallDisableNotify: OK
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] FirewallOverride: OK
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] UpdatesDisableNotify: OK
[HKLM\SOFTWARE\Microsoft\Security Center\Svc] UacDisableNotify: OK

belbe · Answer

---\ Processus lancés
[MD5.C2ACDD30D91C33CF478E57DBEBA8D08E] - (.ScriptLogic Software Corporation - ScriptLogic.CBM.UserExperience.exe.) -- C:\Program Files\ScriptLogic\Desktop Authority\Client Files\8.08003.58725\CBM\ScriptLogic.CBM.UserExperience.exe   [132608]
[MD5.5584247B568C2E53934873F4B655FE6A] - (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe   [15360]
[MD5.18B4B12358EFCF68D76812058A26181F] - (.Microsoft Corporation - Windows Live Messenger.) -- C:\Program Files\Windows Live\Messenger\msnmsgr.exe   [3883856]
[MD5.1BD6C2F707A275CB7C16FD99FE0F31CA] - (.Microsoft Corporation - Generic Host Process for Win32 Services.) -- C:\WINDOWS\System32\svchost.exe   [14336]
[MD5.BF5B5A479B70EDC2CE4B5112D846EE54] - (.Microsoft Corporation - CCM Executive.) -- C:\WINDOWS\system32\CCM\Ccmexec.exe   [570368]
[MD5.4921CB1FAE6978D44A91D0D65D93FA57] - (.Pas de propriétaire - CLCapSvc Module.) -- c:\APPS\Powercinema\Kernel\TV\CLCapSvc.exe   [221266]
[MD5.BFB1A491B7CFAFBD35220537EEE92760] - (.Pas de propriétaire - CLSched Module.) -- c:\APPS\Powercinema\Kernel\TV\CLSched.exe   [110672]
[MD5.BC2DDAF478AAF92F237FB52E35EB53D6] - (.Cyberlink - NT CLMLServer.) -- C:\Program Files\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe   [61440]
[MD5.51A24094F076961A7FF73E5F7E991D68] - (.Microsoft Corporation - Applications Services et Contrôleur.) -- C:\WINDOWS\system32\services.exe   [111104]
[MD5.69202C049779AE09470370F163363F13] - (.Pas de propriétaire - Pas de description.) -- c:\APPS\HIDSERVICE\HIDSERVICE.exe   [49152]
[MD5.11F714F85530A2BD134074DC30E99FCA] - (.Microsoft Corporation - Machine Debug Manager.) -- C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.exe   [322120]
[MD5.9F3744A5C6F49291A7A685040A013399] - (.Microsoft Corporation - LSA Shell (Export Version).) -- C:\WINDOWS\system32\lsass.exe   [13312]
[MD5.64E413BA0C529AA40C3924BBCC4153DB] - (.Pas de propriétaire - nTitles PSIService.) -- C:\WINDOWS\system32\PSIService.exe   [174656]
[MD5.AB5D68BEF32A14C1E2765E8CD36369E6] - (.ScriptLogic Software Corporation - ScriptLogic.CBM.Agent.exe.) -- C:\Program Files\ScriptLogic\Desktop Authority\Client Files\8.08003.58725\CBM\ScriptLogic.CBM.Agent.exe   [398848]
[MD5.48F5E906270698EC930CE88095C559FC] - (.ScriptLogic Software Corporation - SlClient.exe.) -- C:\Program Files\ScriptLogic\Desktop Authority\Client Files\8.08003.58725\SLClient.exe   [556384]
[MD5.DA81EC57ACD4CDC3D4C51CF3D409AF9F] - (.Microsoft Corporation - Spooler SubSystem App.) -- C:\WINDOWS\system32\spoolsv.exe   [57856]
[MD5.FBD16717FD68B206C4CE3BB3C9EE5CB3] - (.TomTom - Windows Service for TomTom HOME.) -- C:\Program Files\TomTom HOME 2\TomTomHOMEService.exe   [92008]
[MD5.C65BDF0E5B5413D4FD939068666E564A] - (.Microsoft Corporation - User Profile Hive Cleanup Service.) -- C:\Program Files\UPHClean\uphclean.exe   [192573]
[MD5.857FE9A5CD0E33280C21D63E3D2FAA69] - (.Microsoft Corporation - Systems Management Server.) -- C:\WINDOWS\system32\CCM\CLICOMP\RemCtrl\Wuser32.exe   [241664]


---\ Pages de recherche d'Internet Explorer (R1)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.google.com/toolbar/ie8/sidebar.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = https://www.bing.com/?toHttps=1&redig=8F3F334EA60E4B1CB4D040DCFE393A89{SUB_RFC1766}/srchasst/srchasst.htm


---\ Internet Explorer URLSearchHook (R3)
R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} . (.Microsoft Corporation - Internet Explorer.) (8.00.6001.18876 (longhorn_ie8_gdr.091218-1700)) -- C:\WINDOWS\system32\ieframe.dll

moment de grace · Answer

supprimes le rapport  ZHPdiag.txt que tu as

et refais en un de nouveau, envoies le moi par mail

j'ai recu à priori le même qu'au depart !!!!

moment de grace · Answer

ZHP

http://www.cijoint.fr/cjlink.php?file=cj201005/cijnhyAezG.txt


c'est mieux 

mais on dirai qu'il se réinfecte à chaque fois 

1) 


Relance ZHPDiag ( Clic droit " Executer en tant qu'administrateur " sous vista ) , fais un scan puis cette fois-ci cliques sur l'icone en forme d'écusson vert " ZHPFix ".  

ZHPFix se lancera, clique maintenant sur le " H " bleu ( coller les lignes helper ) puis copie/colle ces lignes  

O21 - SSODL: GootkitSSO - {4ECC4D9D-1030-4A10-B328-C6FB1E294402} . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\System32\msxsltsso.dll      
[HKCU\Software\M5T8QL3YW3]      
O44 - LFC:[MD5.3FDC8EA99760EFBBE231313BD14878DC] - 02/05/2010 - 10:22:12 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\System32\msxsltsso.dll   [42496]      
O64 - Services: CurCS - (.not file.) - szkg5 (szkg5)  .(.Pas de propriétaire - Pas de description.) - LEGACY_SZKG5      
O64 - Services: CurCS - (.not file.) - szkgfs (szkgfs)  .(.Pas de propriétaire - Pas de description.) - LEGACY_SZKGFS     
 O44 - LFC:[MD5.C475F13A6F36D376CF6D73C144FD8325] - 30/04/2010 - 17:52:15 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\System32\o.sys   [4736] 
 O58 - SDL:[MD5.C475F13A6F36D376CF6D73C144FD8325] - 30/04/2010 - 17:52:15 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\o.sys 


Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".  

Copie/Colle le rapport à l'écran dans ton prochain message 

( ce rapport est sauvegardé dans ce dossier  C:\Program files\ZHPDiag\ZHPFixReport.txt )  

.................................. 

2) 

Relance ZHPDiag ( Clic droit " Executer en tant qu'administrateur " sous vista ) , fais un scan puis cette fois-ci cliques sur l'icone en forme d'écusson vert " ZHPFix ".  

ZHPFix se lancera, clique maintenant sur le " H " bleu ( coller les lignes helper ) puis copie/colle ces lignes  

MBRFix 


Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".  

Copie/Colle le rapport à l'écran dans ton prochain message 

( ce rapport est sauvegardé dans ce dossier  C:\Program files\ZHPDiag\ZHPFixReport.txt )  



Je cherche beaucoup...et maintenant je trouve !  
(sourire)

moment de grace · Answer

postes ceci stp

ZHPFixReport.txt

moment de grace · Answer

parfait

tu peux faire l'étape 2

moment de grace · Answer

ok

redemarres le pc

supprimes l'ancien rapport ZHPdiag et refais en un de nouveau que tu m'envoies par mail

je veux voir si ca tient

plopus · Answer

salut

pour avancer  :


Télécharge SEAF ( de C__XX ) sur ton bureau :

ici http://pagesperso-orange.fr/NosTools/C_XX/SEAF.exe


* Double clique sur "SEAF.exe" ( clique droit et "Exécuter en tant qu'administrateur" pour Vista / 7 ) pour lancer l'outil.

* Dans l'encardré blanc " Entrez ci dessous...." copie/colle ceci :


cd20xrnt.sys  
atapy.sys



* Au niveau des " options des fichiers ", fait les réglages suivant :
> A "Calculer le checksum" , choisis : MD5
> Coche la case devant " Info. supplémentaire ".
> Coche la case devant " Afficher les ADS "

* Au niveau des " options du registre " :
> coche " chercher également dans le registre "

( ne touche à aucun autre réglage )

* Clique sur " Lancer la recherche " et laisse travailler l'outil ...
( cela peut-être plus ou moins long suivant les cas ).

--> Une fois terminé, une fenêtre avec un log .txt va s'afficher. Enregistre ce rapport de façon à le retrouver facilement ( sur le bureau par exemple ). Sinon il sera en outre sauvegardé à la racine de ton disque dur ( ici > C:\SEAFLog.txt )

moment de grace · Answer

Télécharges WinFileReplace  

http://fradesch.perso.cegetel.net/transf/WinFileReplace.exe

Fermez tous les programmes et double-cliquez sur l'icône WinFileReplace 
Au lancement un menu apparaît  
Appuyez sur la touche F puis Entrée  
Le programme se lance et verifie votre version de Windows. 
Le bloc-note s'ouvre 
Copies le texte en gras  

c:\WINDOWS\system32\drivers
dis.sys 
 


Fermez le bloc-note et enregistrer les changements. 
accepter le contrat d'utilisateur de Microsoft en cliquant sur le bouton J'accepte 
confirmer la restauration du fichier en appuyant sur la touche o et Entrée 
laisser travailler l'outil 
Une fois le remplacement effectué, il vous est demandé de redémarrer l'ordinateur, appuyez sur la touche o puis Entrée pour redémarrer l'ordinateur 
Au redémarrage, un rapport s'ouvre, postes son contenu ici 


Je cherche beaucoup...et maintenant je trouve !  
(sourire)

moment de grace · Answer

ok

fais ceci  https://forums.commentcamarche.net/forum/affich-17568291-a-l-aide-fenetres-internet-inopinees?page=2#124

moment de grace · Answer

mets à jour XP

http://www.windowsupdate.com/windowsupdate/v6/default.aspx

ou

https://www.commentcamarche.net/telecharger/systemes-d-exploitation/20759-sp3-windows-xp/

ca aidera

moment de grace · Answer

*telecharges http://ottools.noahdfear.net/OTLPE_Network.iso 

» utilise ton utilitaire de gravure pour graver l'image , il faut utiliser l'option fichier\ graver iso \ graver image, ça peut etre different en fonction des utilitaires de gravures , mais le principe reste le meme.Ne pas graver comme disk de données [u]/!\[/u] 


exemple avec burner: http://senduit.com/b2a494 | à dezipper avant de le lançer!(clcic droit executer en tant qu'administrateur avec Vista) 

*cocher dans advanced options : close disc(finalize) et eject after write|erase 

[img]http://imagesup.org/image[/img] 
http://imagesup.org/image 

exemple Nero: 

[img]http://imagesup.org/image[/img] 
http://imagesup.org/image 

[img]http://imagesup.org/image[/img] 
http://imagesup.org/image 

cliquer ouvrir pour demarrer la gravure 


* demarrer sur le cdrom crée de Reatogo|OTLPE  , voir exemple: https://forum.malekal.com/viewtopic.php?t=9447&start= 

[img]http://imagesup.org/image[/img] 
http://imagesup.org/image 

[img]http://imagesup.org/image[/img] 
http://imagesup.org/image 

[img]http://imagesup.org/image[/img] 
http://imagesup.org/image 

[img]http://imagesup.org/image[/img] 
http://imagesup.org/image 

* une fois le bureau de reatogo chargé , tu lances OTLPE , l'icone jaune 

* Double-click sur l'icone OTLPE 
* quand demandé "Do you wish to load the remote registry", select Yes 
* quand demandé "Do you wish to load remote user profile(s) for scanning", select Yes 
* verifier que "Automatically Load All Remaining Users" est sélectionné et press OK 

[img]http://imagesup.org/image[/img] 
http://imagesup.org/image 

o sous Custom Scan box [img]http://imagesup.org/image[/img] copie_colle le contenu du cadre ci dessous: 


netsvcs 
msconfig 
safebootminimal 
safebootnetwork 
activex 
drivers32 
%ALLUSERSPROFILE%\Application Data\*. 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%APPDATA%\*. 
%APPDATA%\*.exe /s 
%SYSTEMDRIVE%\*.exe 
/md5start 
cd20xrnt.sys                                                                            
NDIS.sys  
atapi.sys 
/md5stop 
%systemroot%\*. /mp /s 
%systemroot%\system32\*.dll /lockedfiles 
%systemroot%\Tasks\*.job /lockedfiles 
%systemroot%\system32\drivers\*.sys /lockedfiles 
%systemroot%\System32\config\*.sav 
CREATERESTOREPOINT 


* clic Run Scan pour demarrer le scan. 
* une fois terminé , le fichier se trouve là C:\OTL.txt 
* copie_colle le contenu dans ta prochaine reponse 


Je cherche beaucoup...et maintenant je trouve !  
(sourire)

moment de grace · Answer

avant d'utiliser le cdlive que tu as téléchargé, il te faudrait faire une manip supplémentaire

à savoir obtenir et comparer un code appelé MD5 de l'archive recupéré

suis ce lien qui explique la manoeuvre


https://forum.malekal.com/viewtopic.php?t=25240&start=#p208568

moment de grace · Answer

leur réponse est de retélécharger l'iso à nouveau....

belbe · Answer

je viens d'avoir une fenêtre qui s'est afichée
AKM antivirus pro 2010...
 Bref ça continue ....

angie · Answer

telecharges files.zip qui contient cd20xrnt.sys et ndis.sys

http://senduit.com/e00f5f

» tu dezippes l'archive et tu copies_colles les 2 fichiers sys à la racine de ton disk !!!pas ailleurs 

donc c:
dis.sys et c:\cd20xrnt.sys

puis :

* relançe le live cd une fois le bureau de reatogo chargé , tu lances OTLPE , l'icone jaune

* Double-click sur l'icone OTLPE
* quand demandé "Do you wish to load the remote registry", select Yes
* quand demandé "Do you wish to load remote user profile(s) for scanning", select Yes
* verifier que "Automatically Load All Remaining Users" est sélectionné et press OK

[img]http://imagesup.org/image[/img]
http://imagesup.org/image

o sous Custom Scan box [img]http://imagesup.org/image[/img] copie_colle le contenu du cadre ci dessous et clic RUNFIX , poste le rapport qui s'affichera:

[quote]
:OTL
DRV - [2010/04/30 12:52:15 | 000,004,736 | ---- | M] () [Kernel | Auto] -- C:\WINDOWS\system32\o.sys -- (k)
:files
C:\WINDOWS\System32\msxsltsso.dll
C:\WINDOWS\system32\drivers\cd20xrnt.sys|c:\cd20xrnt.sys /replace
C:\WINDOWS\system32\dllcache
dis.sys|c:
dis.sys /replace
C:\WINDOWS\system32\drivers
dis.sys|c:
dis.sys /replace
[/quote]

» tu posteras le rapport qui s'affiche

» redemarre sous windows , et relançe ComboFix et poste le rapport en fin de routine

angie · Answer

pfff! vous prenez pas les balises bbcode 

apres avoir fait precedemment ,donc tu copies_colles ci dessous et tu clics RUNFIX 

:OTL
DRV - [2010/04/30 12:52:15 | 000,004,736 | ---- | M] () [Kernel | Auto] -- C:\WINDOWS\system32\o.sys -- (k)
:files
C:\WINDOWS\System32\msxsltsso.dll
C:\WINDOWS\system32\drivers\cd20xrnt.sys|c:\cd20xrnt.sys /replace
C:\WINDOWS\system32\dllcache
dis.sys|c:
dis.sys /replace
C:\WINDOWS\system32\drivers
dis.sys|c:
dis.sys /replace

plopus · Answer

salut 

juste pour dire que tu n'est pas seul, quelqu'un va venir t'aider. 

akm antivirus est un rogue ne l'ecoute pas

reste avec nous  :)

angie · Answer

pourquoi n'as tu pas mis justement ces 2 fichiers sur une clé usb , que tu aurais copié_collé sous Reatogo dans My computer... c:\ , fait le et pas ailleurs!!!!!!!! le but est de les avoir en c:\ , peu importe que tu les copies_colles depuis windows ou depuis Reatogo , ils doivent etre en c:\ 

c:
dis.sys et c:\cd20xrnt.sys 

une fois que c'est fait.



* Double-click sur l'icone OTLPE
* quand demandé "Do you wish to load the remote registry", select Yes
* quand demandé "Do you wish to load remote user profile(s) for scanning", select Yes
* verifier que "Automatically Load All Remaining Users" est sélectionné et press OK


http://imagesup.org/image

o sous Custom Scan box copie_colle le tout ci dessous et clic RUNFIX



:OTL
SRV - [2010/05/08 07:09:26 | 000,028,160 | ---- | M] () [Auto] -- C:\Program Files\svchost.exe -- (AdbUpd)
SRV - [2009/03/21 10:20:10 | 000,224,214 | RHS- | M] () [Auto] -- C:\WINDOWS\system32\oujpfi.dll -- (swbtvudo)
SRV - [2004/08/05 09:00:00 | 000,114,176 | ---- | M] () [Auto] -- C:\WINDOWS\system32\kemohgf.dll -- (sfyufkix)
DRV - [2004/08/05 09:00:00 | 000,023,424 | ---- | M] () [Kernel | Boot] -- C:\WINDOWS\system32\drivers	pmwjqbr.sys -- (tpmwjqbr)
DRV - [2010/04/30 12:52:15 | 000,004,736 | ---- | M] () [Kernel | Auto] -- C:\WINDOWS\system32\o.sys -- (k) 
O2 - BHO: (no name) - {667AB5C2-FC2E-44BA-A7BF-DF216DBCC52f} - C:\WINDOWS\system32\dryojrzx.dll ()
O2 - BHO: (ADC PlugIn) - {77DC0Baa-3235-4ba9-8BE8-aa9EB678FA02} - C:\Program Files\adc32.dll (ASC - AntiSpyware)
O2 - BHO: () - {93124928-EAE3-482B-8A8E-F6C7F420EA62} - C:\WINDOWS\system32\kemohgf.dll ()
O4 - HKLM..\Run: [MsXSLT] C:\WINDOWS\system32\msxslt3.exe ()
O4 - HKLM..\Run: [WinDLL (service.exe)] C:\WINDOWS\service.exe ()
O4 - HKU\arinibe.PCP-ARINI_ON_C..\Run: [novavapp] C:\Documents and Settings\arinibe.PCP-ARINI\Application Data\Microsoft\Internet Explorer\ccso.exe ()
O4 - HKU\arinibe.PCP-ARINI_ON_C..\Run: [novavappr] C:\Documents and Settings\arinibe.PCP-ARINI\Application Data\Microsoft\Internet Explorer\ccss.exe ()
:files
C:\Documents and Settings\arinibe.PCP-ARINI\Application Data\Microsoft\Internet Explorer\ccso.exe
C:\AKM Antivirus 2010 Pro
C:\Program Files\scdata
C:\Documents and Settings\LocalService\Bureau\AKM Antivirus 2010 Pro.lnk
C:\Documents and Settings\arinibe.PCP-ARINI\b.exe
C:\Documents and Settings\arinibe.PCP-ARINI\a.exe
C:\WINDOWS\System32\qqqqqqqq.vmx
C:\WINDOWS\system32\msxslt3.exe
C:\WINDOWS\service.exe
C:\WINDOWS\system32\kemohgf.dll
C:\Program Files\adc32.dll
C:\WINDOWS\System32\msxsltsso.dll
C:\WINDOWS\system32\drivers\cd20xrnt.sys|c:\cd20xrnt.sys /replace
C:\WINDOWS\system32\dllcache
dis.sys|c:
dis.sys /replace
C:\WINDOWS\system32\drivers
dis.sys|c:
dis.sys /replace









tu conserves le rapport qui s'affiche que tu copies_colles dans ta prochaine reponse et tu relançes ComboFix , tu postes le rapport en fin de routine.

angie · Answer

fait avec une clé usb comme expliqué

belbe · Answer

si je te lisais moins vite j'aurais vu que tu m'avais dit clé USB et pas disque externe... tes explications étaient pourtant claires .

voici les deux fichiers 
http://www.cijoint.fr/cjlink.php?file=cj201005/cijxoWTWry.txt 
http://www.cijoint.fr/cjlink.php?file=cj201005/cijJT8vE0S.txt

angie · Answer

OTL logfile created on: 5/8/2010 4:25:20 PM - Run << belbe -  8 mai 2010 à 16:02

OTL logfile created on: 5/8/2010 4:25:20 PM - Run << belbe - 8 mai 2010 à 21:24 

du coup tu as remis les 2 memes rapport OTLPE , on ne peut pas constater de differences, tu n'as pas posté le rapport suite au RUNFIX.
mais je pense que tu as réussi l'opération .

j'ai un peu de mal à poster sur CCM , aussi je te crée un lien chez Malekal pour faire la suite, tu repondra là bas:

https://forum.malekal.com/viewtopic.php?t=25490&start=

Merci

belbe · Answer

Tout fonctionne,
merci à celles et ceux qui m'ont aidé,
si je dois faire autre chose ...
vos conseils sont les bienvenus

A l'aide ! fenêtres internet inopinées

46 réponses

Discussions similaires

Newsletters