Vooceheque.exe Fermé

Question

Bonjour, 

Je suis désolé si je ne suis pas au bon endroit, mais je savais pas vraiment où aller, et puis ici c'est "windows", donc voila. 
J'ai un processus qui se lance au démarrage, puis qui reste là, et qui s'appelle "vooceheque.exe". J'ai tapé le nom dans google, même sans l'extension, mais aucun résultat. J'en viens à me dire que c'est un truc qu'a inventé mon ordi. L'ennui, c'est qu'au démarrage, il prend pas mal de mon UC (c'est ça qui a attiré mon attention) et, bon sang, il y en a... trois ! (tout à l'heure y'en avait 4 !) Les mêmes, oui oui, vooceheque.exe, utilisateur : (moi), et ils prennent chacun un peu plus de 2000Ko de mémoire. 

Ah tiens, et maintenant que je m'en rend compte, j'ai aussi 8 svchost.exe. Des trucs importants je sais, mais autant, j'en suis pas sûr, d'autant plus que un seul vient du "SYSTEM", et un seul (un autre, sans utilisateur), utilise près de 28000Ko. Mais bon, ça c'est pas grave. 

Non ce qui me posait problème surtout c'est ce vooceheque que je sais pas d'où il sort, voila. Merci de votre aide si vous avez des renseignements, et dites si y'a besoin de plus de renseignements de ma part. 

EDIT : je rajoute que, dans l'onglet "démarrage" de msconfig, on me dit que le processus vient direct du dossier "system32".

Configuration: Windows XP Ed. Familiale 2002 SP3 
Dell Inspiron 
Pentium 
1.8GHz 
1Go de RAM

dédétraqué · Answer

Salut tommyvercetti


On va vérifier cela, télécharge RSIT (de random/random) sur le bureau ici :
http://images.malwareremoval.com/random/RSIT.exe

- Double clique sur RSIT.exe qui est sur le bureau
- Clique sur Continue dans la fenêtre
- RSIT téléchargera HijackThis si il n'est pas présent où détecté, alors il faudra accepter la licence
- Poste le contenue des deux rapports, log.txt et info.txt(réduit dans la barre des tâches) à la fin de l'analyse

Utilise cjoint.com pour poster en lien tes rapports :
https://www.cjoint.com/

- Clique sur Parcourir pour aller chercher le rapport C:\rsit\log.txt
- Clique sur Ouvrir ensuite sur Créer le lien Cjoint

- Fais un copier/coller du lien qui est devant Le lien a été créé: dans ta prochaine réponse.

Et fais la même chose avec l'autre rapport C:\rsit\info.txt


@++  :)

tommyvercetti · Answer

Merci ! 
Donc, voila le log : https://www.cjoint.com/?flsaoCsVGz 
Et voila l'info : https://www.cjoint.com/?flsbInUy1S 

Le 18 avril... je suis revenu sur cet ordi le 17 après les vacances, c'est pour ça qu'il n'y a rien de créé avant, et je sais plus si le jour même j'ai allumé l'ordi ou le lendemain (sûrement), mais j'avais pas mal de problèmes de virus que j'ai résolus non sans mal. Je sais pas s'il peut m'en rester encore. C'est vrai qu'Antivir m'en trouve un quand j'analyse ; en général dans "systeme volume information", que je supprime à chaque fois. C'est jamais le même. 
Et tout ça c'était au sortir d'une longue crise virale avant les vacances. Ce sont peut-être des séquelles. Ou pas. 

Merci de votre aide en tout cas.

(edit : je remarque aussi un "sylaquoz.exe" dans les trucs créés. J'ai remarqué ce processus au démarrage de windows, rapidement, il prend blindé d'UC, puis il semble s'arrêter. Je précise que le bureau reste vide au démarrage pendant un temps anormal il me semble, avant que toutes les icones et la barre de tâches apparaisse.)

dédétraqué · Answer

Salut tommyvercetti 


Télécharge OTM (de Old_Timer) sur le bureau :

http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/


Double-clique sur OTM.exe sur le bureau

- Copie le texte qui se trouve en gras ci-dessous et colle le dans le cadre de gauche de OTM nommé Paste Instructions for Items to be Moved

 :services 
ezaaqh
hwxqlrg
nrnmlqal
tsarlk
adkfubda
aiucuyejeacefx
efuahohgoeeid2qo

:reg 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"jyzorooc"=-
"soopegu"=-
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{d913b43e-e1cc-11de-b576-001422ac4d21}] 

:files 
C:\WINDOWS\system32\vooceheque.exe
C:\WINDOWS\system32
oroozigoo.exe
C:\WINDOWS\system32\sylaquoz.exe
C:\WINDOWS\system32\jesij.exe

:commands 
[emptytemp] 

- Clique sur MoveIt! pour lancer la suppression.
- Ferme OTM

Ton PC va redémarrer pour finir la suppression, si il ne le fais pas lui-même, redémarre le.

Poste le rapport de OTMoveIt qui se trouve dans C:\_OTM\MovedFiles.


-----


Mettre MalwareByte's Anti-Malware à jour

---

- Redémarre en mode sans échec :

Au redémarrage de ton PC tapote sur la touche F8 ou F5, sur l'écran suivant déplace toi avec les flèches de direction et choisis Mode sans échec. Choisis ta session habituelle et non la session Administrateur

---

- Double clique sur le raccourci de MalwareByte's Anti-Malware qui est sur le bureau.
- Sélectionne Exécuter un examen complet si ce n'est pas déjà fait
- clique sur Rechercher

- Une fois le scan terminé, une fenêtre s'ouvre, clique sur  sur OK

- Si MalwareByte's n'a rien détecté, clique sur OK  Un rapport va apparaître ferme-le.

- Si MalwareByte's a détecté des infections, clique sur Afficher les résultats  ensuite sur Supprimer la sélection

- Enregistre le rapport sur ton Bureau comme cela il sera plus facile à retrouver, poste ensuite ce rapport.

Note : Si MalwareByte's  a besoin de redémarrer pour terminer la suppression, accepte en cliquant sur OK

Tutoriel pour MalwareByte's ici : 
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/


@++   :)

tommyvercetti · Answer

Bonsoir... 
Bon. J'ai un problème, là. -__- 
Tout d'abord, je vais joindre les logs. 
Celui de OTM : https://www.cjoint.com/?fnbfvUkZMB 
Celui de mbam : https://www.cjoint.com/?fnbgvKJweA 

Voila. J'ai supprimé le truc trouvé, j'ai redémarré, et c'est là que j'ai eu la surprise : oui, s'est affichée, en mode normal, la page d'accueil avec le choix de session (je n'en ai qu'une) exactement comme le mode sans échec, mais avec les graphismes normaux. J'ouvre donc ma session, et là, graphismes normaux encore, sauf que tout est comme en mode sans échec (peu de processus, que dalle dans la zone de notification, à peine plus de 130 de mémoire utilisée, etc.) Finallement, en essayant de lancer firefox, me suis aperçu que internet était aussi comme en mode sans échec (HS donc). J'ai essayé de redémarrer : pareil. Je suis donc actuellement en mode sans échec avec prise en charge réseau. 
Alors bon sang que se passe-t-il ?! J'ai bien remarqué que OTM semblait avoir trouvé les trucs étranges ; dans moved files j'ai vu vooceheque, et sylaquoz (et d'autres). Mais je ne comprends rien et ça m'énerve. Pourriez-vous me préciser en quoi consiste ce programme, ce qu'il a fait, et les conclusions que vous tirez des résultats ? Merci. Ah oui, et comment retrouver mon mode normal, aussi. ^^

edit : bon, je me suis calmé et j'ai fait "redémarrer avec les derniers trucs qui marchent bien" (je sais plus exactement le nom) dans l'écran du choix de mode, et tout est revenu normal... Je n'ai plus vooceheque dans les processus (comme j'avais déjà remarqué après l'analyse de OTM), je ne sais pas si c'est réparé... mais j'aimerais toujours savoir ce qu'a fait ce programme sur mon ordi, et qu'est-ce que vous en déduisez.

dédétraqué · Answer

Salut tommyvercetti


Bizarre ça, supprime ce dossier C:\rsit

Refais un scan avec RSIT et poste le rapport log.txt et info.txt à la fin de l'analyse

Le rapport est dans le dossier ici C:\rsit


@++   :)

tommyvercetti · Answer

Bonjour,
Voila.
log : https://www.cjoint.com/?fnlTsoK8mz
info : https://www.cjoint.com/?fnlTFjE5I2