Security essentials 2010

bonjour ,une chose :

c'est une erreur d'avoir Passé Malwarebytes avant qu'il soit demandé....

pourquoi ? :

parce que c'est un outil generaliste qui ne traite pas les infections en profondeur

bon ben puisqu'on l'a decouvert on va faire autre chose avant le diag :

Télécharge Navilog1 depuis-ce lien

▶ Enregistrer la cible (du lien) sous... et enregistre-le sur ton bureau.
▶ Ensuite double clique sur navilog1.exe pour lancer l'installation.

Une fois l'installation terminée, le fix s'exécutera automatiquement.

▶ Au menu principal, Fais le choix 1 >> Recherche / suppression automatique

Patiente jusqu'au message :
*** Analyse Termine le ..... ***

>>>>> Le fix peut durer une dizaine de minutes ;)

▶ Appuie sur une touche le bloc note va s'ouvrir.

▶ Copie-colle le rapport ici.

c'est bien la preuve de ce que je viens de te dire ^^

▶ Télécharge Ad-remover ( de C_XX ) sur ton bureau :

▶ Déconnecte toi et ferme toutes applications en cours !

▶ Double clique sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut .

▶ Double-clique sur le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .

▶ Au menu principal choisis "option clean " et tape sur [entrée] .

▶ Laisse travailler l'outil et ne touche à rien ...

▶ Poste le rapport qui apparait à la fin , sur le forum ...

( Le rapport est sauvegardé aussi sous C:\Ad-report.log )
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

▶ Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

salut lol ca me rapelle le ZX81 avec les premiers languages basic ^^

as tu acces au gestionnaire des taches ?

merci de ta réponse gen-hackman
Bon le ZX 81, premier contact avec ce qui pouvait s'appeller un micro, c'était en 1985, 25 ans quand même, si on continue, on va se faire traiter de dinosaures!!
Le ctrl+alt+sup me donne la même réponse que pour toutes les autres actions que j'essaye : "Application cannot be executed. This file is infected. Please active antivirus software"
Donc non je n'ai pas accès au gestionnaire de tâche
j'essaie de suite la restauration du système via le panneau de config
merci a+

Alors il semblerait que la restauration du système, que je cherchais desesperement dans les options proposées par la touche F8 au démarrage, fonctionne.
Il me reste deux questions
Est-ce que je peux avoir confiance dans mon disque ainsi restauré, et dans les fichiers que je suis emmené à échanger par mail ou clé usb?
Est-il utile d'installer un antimalware, comme j'ai pu le lire ailleur dans les forums de comment ça marche?
Merci d'avance pour les réponses

oui il avait 1Ko de RAM extensible avec une cartouche groose comme une grosse boite d'allumette à 16 voire 32 Ko pour les plus grosses ^^

quel delire ce......pc...^^

bon sinon il faut quand meme faire un diag du pc

▶ Télécharge ZHPDiag (de Nicolas Coolman)

ou :ZHPDiag

▶ Enregistre le sur ton Bureau.

Une fois le téléchargement achevé,

▶ lance ZHPDiag.exe et clique sur Unzip dans la fenêtre qui s'ouvre.

▶ Clique sur le tournevis puis sur Tous pour cocher toutes les cases des options.

▶ Clique sur la loupe pour lancer l'analyse.

A la fin de l'analyse,

▶ clique sur l'appareil photo et enregistre le rapport sur ton Bureau.

Pour me le transmettre clique sur ce lien :

http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier C:\Documents and settings\le_nom_de_ta_session\.ZHPDiag.txt

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cj200905/cib7SU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.

Bonjour,
hier soir avant de m'absenter, j'ai lancé antimalwarebytes, je te poste le bloc note:
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4069

Windows 5.1.2600 Service Pack 2
Internet Explorer 8.0.6001.18702

06/05/2010 08:24:07
mbam-log-2010-05-06 (08-24-07).txt

Type d'examen: Examen complet (C:\|E:\|)
Elément(s) analysé(s): 352687
Temps écoulé: 1 heure(s), 44 minute(s), 4 seconde(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 11
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 4
Fichier(s) infecté(s): 34

Processus mémoire infecté(s):
C:\documents and settings\earl de noailly.earl-41c1b7f1f2\local settings\application data\pjktnpx.exe (Adware.Navipromo.H) -> Unloaded process successfully.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{00iw6t7b-w6ol-a6py-2465-nf745a0e3u15} (Generic.Bot.H) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\mssarph.mssarpbho (Adware.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\mssarph.mssarpbho.1 (Adware.BHO) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\SystemCertificates\TrustedPublisher\Certificates\93eb9fd3ea40f221e990e3e71343e6d47d3fa0c0 (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{2f77cdb7-d730-4b5c-a64f-1515df0bfb12} (Adware.BHO) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{2f77cdb7-d730-4b5c-a64f-1515df0bfb12} (Adware.BHO) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\fcn (Rogue.Residue) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\EoRezo (Rogue.Eorezo) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Cerberus (Backdoor.Trace) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\{433AE4C6-62FF-4488-88F4-CB7ABE1E3AED} (Adware.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\mssarph.DLL (Adware.BHO) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\pjktnpx (Adware.Navipromo.H) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
C:\Program Files\MyWaySA (Adware.MyWebSearch) -> Quarantined and deleted successfully.
C:\Program Files\MyWaySA\SrchAsDe (Adware.MyWebSearch) -> Quarantined and deleted successfully.
C:\Program Files\SudoPlanet (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Documents and Settings\EARL DE NOAILLY\Menu Démarrer\Programmes\SudoPlanet (Adware.EGDAccess) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
C:\Documents and Settings\EARL de NOAILLY.EARL-41C1B7F1F2\Local Settings\Application Data\pjktnpx_navps.dat (Adware.Navipromo.H) -> Quarantined and deleted successfully.
C:\Documents and Settings\EARL de NOAILLY.EARL-41C1B7F1F2\Local Settings\Application Data\pjktnpx_nav.dat (Adware.Navipromo.H) -> Quarantined and deleted successfully.
C:\Documents and Settings\EARL de NOAILLY.EARL-41C1B7F1F2\Local Settings\Application Data\pjktnpx.dat (Adware.Navipromo.H) -> Quarantined and deleted successfully.
C:\Documents and Settings\EARL de NOAILLY.EARL-41C1B7F1F2\Local Settings\Application Data\pjktnpx.exe (Adware.Navipromo.H) -> Quarantined and deleted successfully.
C:\Documents and Settings\EARL de NOAILLY.EARL-41C1B7F1F2\Local Settings\Application Data\rososgb_navps.dat (Adware.Navipromo.H) -> Quarantined and deleted successfully.
C:\Documents and Settings\EARL de NOAILLY.EARL-41C1B7F1F2\Local Settings\Application Data\rososgb.dat (Adware.Navipromo.H) -> Quarantined and deleted successfully.
C:\Documents and Settings\EARL de NOAILLY.EARL-41C1B7F1F2\Local Settings\Temp\11.tmp (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Documents and Settings\EARL de NOAILLY.EARL-41C1B7F1F2\Local Settings\Temp\msgpl_f464.exe (Adware.Agent) -> Quarantined and deleted successfully.
C:\Program Files\SudoPlanet\SudoPlanet.dll (Rogue.SudoPlanet) -> Quarantined and deleted successfully.
C:\RECYCLER\S-1-5-21-1275210071-1897051121-682003330-1004\Dc197\keygen.exe (Trojan.Orsam) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{7FECF170-9BB0-4EB3-A3E7-2315EC137D7B}\RP350\A0055318.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{7FECF170-9BB0-4EB3-A3E7-2315EC137D7B}\RP350\A0055376.sys (Rootkit.Agent) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{7FECF170-9BB0-4EB3-A3E7-2315EC137D7B}\RP350\A0055377.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1155\A0138581.dll (Rogue.MessengerSkinner) -> Quarantined and deleted successfully.
C:\WINDOWS\temp\~TM18.tmp (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\temp\~TM374.tmp (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\drivers\gomkp.sys (Rootkit.Agent) -> Quarantined and deleted successfully.
C:\Program Files\SudoPlanet\Conditions générales.url (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Program Files\SudoPlanet\Confidentialité.url (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Program Files\SudoPlanet\uninst.exe (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Program Files\SudoPlanet\Website.url (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Documents and Settings\EARL DE NOAILLY\Menu Démarrer\Programmes\SudoPlanet\Conditions générales.lnk (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Documents and Settings\EARL DE NOAILLY\Menu Démarrer\Programmes\SudoPlanet\Confidentialité.lnk (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Documents and Settings\EARL DE NOAILLY\Menu Démarrer\Programmes\SudoPlanet\SudoPlanet.lnk (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\Documents and Settings\EARL DE NOAILLY\Menu Démarrer\Programmes\SudoPlanet\Website.lnk (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\captura.bmp (Malware.Traces) -> Quarantined and deleted successfully.
C:\codigo1.bmp (Malware.Traces) -> Quarantined and deleted successfully.
C:\codigo2.bmp (Malware.Traces) -> Quarantined and deleted successfully.
C:\codigo3.bmp (Malware.Traces) -> Quarantined and deleted successfully.
C:\codigo4.bmp (Malware.Traces) -> Quarantined and deleted successfully.
C:\error.bmp (Malware.Traces) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\warnings.html (Malware.Trace) -> Quarantined and deleted successfully.
C:\Documents and Settings\EARL DE NOAILLY\Bureau\SudoPlanet.lnk (Rogue.SudoPlanet) -> Quarantined and deleted successfully.
C:\Documents and Settings\EARL de NOAILLY.EARL-41C1B7F1F2\Application Data\avdrn.dat (Malware.Trace) -> Quarantined and deleted successfully.

Est-ce que je dois en plus appliquer la procédure que tu m'as proposé?
Merci encore

Bon novilog a fait son boulot, et je te copie le bloc note
Mais au préalable, question : comment se fait-il que j'ai encore au moment du démarrage une fenetre fugitive (écran noir type commande dos) avec une adresse contenant "orezo" alors qu'il est sensé avoir été detecté comme un maleware et éliminé par antimalwarebytes?
Merci

Fix Navipromo version 4.0.8 commencé le 06/05/2010 19:56:32,75

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!

Outil exécuté depuis C:\navilog1

Mise à jour le 09.03.2010 à 18h00 par IL-MAFIOSO

Microsoft Windows XP Édition familiale ( v5.1.2600 ) Service Pack 2
X86-based PC ( Multiprocessor Free : Intel(R) Pentium(R) 4 CPU 3.00GHz )
BIOS : Phoenix ROM BIOS PLUS Version 1.10 A02
USER : EARL de NOAILLY ( Administrator )
BOOT : Normal boot

Antivirus : Bitdefender Antivirus 8.0 (Activated)

C:\ (Local Disk) - NTFS - Total:145 Go (Free:89 Go)
D:\ (CD or DVD) - CDFS - Total:0 Go (Free:0 Go)
E:\ (USB)

Recherche executée en mode normal

Nettoyage exécuté au redémarrage de l'ordinateur

Nettoyage contenu C:\WINDOWS\Temp effectué !
Nettoyage contenu C:\Documents and Settings\EARL de NOAILLY.EARL-41C1B7F1F2\locals~1\Temp effectué !

*** Sauvegarde du Registre vers dossier Safebackup ***

sauvegarde du Registre réalisée avec succès !

*** Nettoyage Registre ***

Nettoyage Registre Ok

*** Scan terminé 06/05/2010 20:27:09,04 ***

C'est parti pour la dernière fois de la journée!!

======= RAPPORT D'AD-REMOVER 2.0.0.0,D | UNIQUEMENT XP/VISTA/7 =======
.
Mis à jour par C_XX le 01/05/10 à 19:50
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html
.
Lancé à: 23:09:54 le 06/05/2010 | Mode normal | Option: CLEAN
Exécuté de: C:\Ad-Remover\ADR.exe
SE: Microsoft® Windows XP(TM) Service Pack 2 - X86
Nom du PC: EARL-41C1B7F1F2
Utilisateur actuel: EARL de NOAILLY
.
============== ÉLÉMENT(S) NEUTRALISÉ(S) ==============
.
.
C:\Documents and Settings\Coline.DCDFPZ1J\Application Data\Viewpoint
C:\Documents and Settings\EARL de NOAILLY.EARL-41C1B7F1F2\Application Data\EoRezo
C:\Documents and Settings\EARL DE NOAILLY\Application Data\Viewpoint
C:\Documents and Settings\EARL DE NOAILLY\Local Settings\Temp\AskBarDis
C:\Program Files\AskBarDis
C:\Program Files\Mozilla FireFox\Components\AskSearch.js
C:\Program Files\SweetIM

(!) -- Fichiers temporaires supprimés.
.
HKCU\Software\EoRezo
HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35B-6118-11DC-9C72-001320C79847}
HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35C-6118-11DC-9C72-001320C79847}
HKCU\Software\SweetIM
HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\SoftwareUpdate_is1
HKLM\Software\SweetIM
HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}
HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{EEE6C35B-6118-11DC-9C72-001320C79847}
HKLM\Software\Microsoft\Windows\CurrentVersion\Run|Eoengine
HKLM\Software\Microsoft\Windows\CurrentVersion\Run|Softwarehelper
.
(Orpheline) HKLM,Run - Cerberus - C:\WINDOWS\007\crack.exe (Fichier manquant)
(Orpheline) HKCU,Run - Cerberus2 - C:\WINDOWS\007\crack.exe (Fichier manquant)
(Orpheline) BHO: {5C255C8A-E604-49b4-9D64-90988571CECB} (CLSID manquant)
(Orpheline) HKLM,Uninstall - ShockwaveFlash - C:\WINDOWS\system32\Macromed\Flash\FlashUtil9b.exe (Fichier manquant)
.
============== SCAN ADDITIONNEL ==============
.
.
* Internet Explorer Version 8.0.6001.18702 *
.
[HKCU\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Custom Search URL: 1
.
[HKLM\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/
.
[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
.
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm
.
========================================
.
C:\Ad-Remover\Quarantine: 2 Fichier(s)
C:\Ad-Remover\Backup: 13 Fichier(s)
.
C:\Ad-Report-CLEAN[1].txt - 3347 Octet(s)
.
Fin à: 23:24:05, 06/05/2010
.
============== E.O.F - CLEAN[1] ==============

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

▶ Télécharge List_Kill'em

List_Kill'em

List_Kill'em

et enregistre le sur ton bureau

double clique ( clic droit "executer en tant qu'administrateur" pour Vista/7 ) sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

♦ Executer Shortcut
♦ Executer List_Kill'em

une fois terminée , clic sur "terminer" et le programme se lancera seul

choisis l'option Search

▶ laisse travailler l'outil

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal , le programme n'est pas bloqué.

▶ Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

Bonjour,
alors j'ai fait tout bien comme tu m'as dit, hier matin j'ai lancé "List kill'em" et hier soir à mon retour, il était bloqué sur la fenetre à fond blanc avec "patience..."
Bon, j'ai quand même arrété mon micro, en attente de nouvelles instructions...
Merci, et bon WE

salut essaie en mode sans echec.......

Salut gen_hackman

De retour devant mon ordi que j'ai un peu laissé tombé depuis quelques semaines, j'ai relancé list kill em en mode sans echec. J'ai copié le rapport sur cette réponse, mais apparement, je n'arrive pas à valider ma réponse. J'aimerais pourtant, pour aller au bout du processus, que tu puisses te pencher sur ce rapport... Peux tu me donner une adresse ou le déposer?
Merci d'avance de ta réponse

bonsoir

depose-le sur cijoint.fr et donne le lien obtenu en echange

Bonjour gen_hackman
j'ai posté le rapport list kill em sur cijoint.fr
voici le lien
http://www.cijoint.fr/cjlink.php?file=cj201005/cij3QmWYWA.txt

Actuellement, mon pc est trés lent, au démarrage, un processus l'occupe à plein temps. Quand il le libère, ça va un peu mieux, mais souvent il bloque sur internet explorer (qu'il faut d'ailleurs ouvrir en 3 ou 4 fois!) et quand il est planté, impossible même d'atteindre le gestionnaire de tâches. Parfois il emet un couinement désagréable : seul solution : arrêt manuel!
Vive le progrés!!

Merci d'avance pour ce que tu peux faire...

salut désolé depannage oblige

tu peux faire l'option 2

salut,
tu es tout excusé,
bon mais ça veut dire quoi l'option 2?

salut option clean pardon

bonjour gen-hackman
j'ai pris un peu de temps pour lancer l'option "clean", et qu'elle arrive au bout sans planter!
je l'ai posté sur cijoint, voici le lien
http://www.cijoint.fr/cjlink.php?file=cj201006/cij74xFtZI.txt
merci encore et j'attends de nouvelles instructions.

ok tu as apparemment un fichier systeme patché on va verifier ca

▶ Télécharge : Gmer (by Przemyslaw Gmerek) et enregistre-le sur ton bureau

Desactive toutes tes protections le temps du scan de gMer

Pour XP => double clique sur gmer.exe
Pour Vista et 7 => clique droit "executer en tant que...."

▶ Dezippe gmer ,cliques sur l'onglet rootkit,lances le scan,des lignes rouges vont apparaitre.

▶ Les lignes rouges indiquent la presence d'un rootkit.Postes moi le rapport gmer (cliques sur copy,puis vas dans demarrer ,puis ouvres le bloc note,vas dans edition et cliques sur coller,le rapport gmer va apparaitre,postes moi le)

Ensuite

▶ sur les lignes rouge:

▶ Services:cliques droit delete service
▶ Process:cliques droit kill process
▶ Adl ,file:cliques droit delete files