Your system is infected

Salut,
Tes rapports RSIT ont été fait après le passage de MBAM.

Fais ceci :

Suppression avec AD-R :

Télécharge AD-R (de C_XX ) sur ton bureau :
= = = =>>> En cliquant ici <<<= = = =

/!\ Déconnecte-toi et ferme toutes applications en cours, désactive ton antivirus le temps de la manipulation/!\

* Exécute AD-R.
* Au menu principal clique sur le bouton "Nettoyer".
* Poste le rapport qui apparaît à la fin.
(Le rapport est sauvegardé aussi sous Ad-Report-CLEAN[1].txt)

***********

Puis génère un nouveau rapport RSIT stp (log.txt uniquement sera créé).

Va dans démarrer, tous les programmes, démarrage et clic droit sur wwwzuc32.exe > Supprimer.

********

/!\ Procédure réservée à Alex07. Ne tentez pas de la reproduire si vous avez un problème similaire sous peine de planter votre machine /!\
Télécharge OTM (de Old_Timer) sur ton Bureau.
= = = = >>> En cliquant ici <<< = = = =
Une fois installé sur le bureau, double-clique sur OTMoveIt.exe pour le lancer.
Copie la liste qui se trouve en gras ci-dessous, et colle-la dans le cadre de gauche de OTMoveIt :
Paste Instructions for Items to be moved.

:Procedure is:

:reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"Notification Packages"=hex(7):73,00,63,00,65,00,63,00,6c,00,69,00,00,00,00,00
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"=-
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"LVCOMSX"=-
"SoundMan"=-
"QuickTime Task"=-

:Commands
[purity]
[emptytemp]
[Reboot]

Clique sur MoveIt! pour lancer la suppression.
Après avoir fait Moveit!, une fenêtre s'affiche :
"The system requires a reboot to finish removing files. Do you want to reboot now ?"
Réponds Yes.
Le résultat apparaîtra dans le cadre "Results".
Clique sur Exit pour fermer.
Poste le rapport situé dans C:\_OTMoveIt\MovedFiles.

Voilà ce que j'obtiens :

http://www.cijoint.fr/cjlink.php?file=cj201005/cijuSDM9fb.txt

Merci !

Ce n'est pas parce que le PC va mieux que l'on a terminé.

- Télécharge HijackThis
= = = = >>> En cliquant ici <<< = = = =

- Enregistre "HJTInstall.exe" sur ton bureau.
- Fais un double-clic (gauche) sur HJTInstall.exe afin de lancer l'installation
- Clique sur Install ensuite sur "I Accept".
- Clique sur "Do a scan system and save log file".
- Le bloc-notes s'ouvrira, fais un copier - coller de tout son contenu ici dans ta prochaine réponse.

Merci pour ta patience.

Voici le log :
http://www.cijoint.fr/cjlink.php?file=cj201005/cijsi3BvQw.txt

Relance Hijackthis.
Il se situe ici :


Clique sur "Do a system scan only".
Coche ces lignes :

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O23 - Service: Boonty Games - BOONTY - C:\Program Files\Fichiers communs\BOONTY Shared\Service\Boonty.exe

Clique ensuite sur fix checked.
Ferme Hijackthis.

*******

Fais une analyse complète de ton système avec Avast que tu auras préalablement mis à jour.

La barre des tâches ne répond toujours pas. Et Avast me dit que le "serveur ne répond pas" quand je lui demande de se mettre à jour...

L'analyse Avast est en cours.
C'est bien possible que mon PC soit encrassé... Il doit dater de 2007 et il n'a pas été formaté, mais je vais bientôt le faire.

Très bien.

Pour supprimer toutes les traces des logiciels qui ont servi à traiter les infections spécifiques :

Télécharge Toolscleaner sur ton Bureau
= = = =>>> En cliquant ici <<<= = = =
* Double-clique sur ToolsCleaner2.exe et laisse le travailler
* Clique sur Recherche et laisse le scan se terminer.
* Clique sur Suppression pour finaliser.
* Tu peux, si tu le souhaites, te servir des Options facultatives.
* Clique sur Quitter, pour que le rapport puisse se créer.
* Le rapport (TCleaner.txt) se trouve à la racine de votre disque dur (C:\)...colle le dans ta réponse.

*********************

Mets à jour Adobe Acrobat Reader en téléchargeant la version 9 = = = =>>> En cliquant ici <<<= = = = Il faut le faire car c'est une faille de sécurité de ne pas le tenir à jour.

*********************

Mets à jour Windows en installant le service pack 3 de XP :
http://www.microsoft.com/downloads/details.aspx?displaylang=fr&FamilyID=2fcde6ce-b5fb-4488-8c50-fe22559d164e

*********************

Tu peux garder Malwarebytes anti malware en tant qu'anti malware, il est très efficace. (Même s'il ne résout pas tous les problèmes, bien entendu ... !)
Par contre, il n'a pas de scan résident en mode gratuit ! Il faut donc pour l'utiliser le lancer, faire les mises à jour et faire un scan complet après.

*********************

* Télécharge Ccleaner Slim :
= = = = >>> En cliquant ici <<< = = = =

* Installe le.
* Choisis l'onglet Nettoyeur

Quitte ton navigateur Internet avant de le lancer, décoche la dernière case (Avancé si elle est cochée) puis clique sur "lancer le nettoyage" quand il aura terminé le scan cliques en bas à droite sur "lancer le nettoyage" et accepte par oui.
Attention, il risque de vider ta corbeille : si tu veux récupérer des fichiers effacés par erreur, mieux vaut le faire maintenant.

* Choisis l'onglet Registre

- Clique sur Chercher des erreurs
- Une fois la recherche terminée, clic sur Réparer les erreurs sélectionnées (par défaut, tout est sélectionné, laisse comme ça)
- Au message Voulez-vous sauvegarder les changements faits dans le registre, réponds Oui et enregistre le fichier au format « .reg » en le nommant par la date par exemple en le mettant sur le bureau. Puis continue.
- A la fenêtre qui s'ouvre ensuite, clique sur Corriger toutes les erreurs sélectionnées puis OK
- Recommence jusqu'à ce qu'aucune erreur n'apparaisse (ou une seule récurrente).
- Ferme Ccleaner.

* Tutoriel en images ICI si besoin.

Note : La sauvegarde utilisée permet de remettre tel que la base était avant la manipulation au cas où il y aurait des soucis mais cela ne m'est jamais arrivé ! Il vaut mieux prendre des précautions, c'est tout. ;-)

Merci pour ces indications. Je pars ce WE. Au retour, je formaterais peut-être le pc. Je te tiens au courant.

Me revoilà !
Je l'ai ouvert et j'ai enlevé de la poussière (en enlevant le ventilateur), mais la barre des taches se bloque toujours. Alors je voudrais formater et réinstaller XP. Le problème et que je n'ai pas de CD de réinstallation (comme 90% des gens ^^). Ce PC a été acheté en 2002 je crois et en 2007 il est parti en réparation, XP a été réinstallé. Y'a marqué "NEC Computers" sur l'étiquette de la licence. J'ai demandé à un copain un CD d'installation de Windows mais c'est un OEM, ça marchera pas avec ma licence ? Je suis peut-être un peu confuse.

Je me suis absentée un moment et le problème n'est toujours pas réglé.

J'ai fait tout ce que tu m'avais dis de faire et la barre des tâches et l'explorateur ne répondent toujours pas. Je peux pas faire CTRL ALT SUPPR ni touche Windows + R... Une fois sur deux j'arrive pas à accéder au mode sans échec. Et là il affiche un écran bleu et redémarre. Je vais tout débrancher, ça avait réglé le problème l'autre fois.

Génère un nouveau rapport RSIT stp.

Voilà !

info.txt
http://www.cijoint.fr/cjlink.php?file=cj201006/cijV5AqEMf.txt

log.txt
http://www.cijoint.fr/cjlink.php?file=cj201006/cijrI67RZv.txt

Tu as un modem de la marque US Robotics ? (Simple vérification)
Rien de méchant sur ces rapports, on va aller plus loin.

**********

/!\ Procédure réservée à Alex07. Ne tentez pas de la reproduire si vous avez un problème similaire sous peine de planter votre machine /!\
Télécharge OTM (de Old_Timer) sur ton Bureau.
= = = = >>> En cliquant ici <<< = = = =
Une fois installé sur le bureau, double-clique sur OTM.exe pour le lancer.
Copie la liste qui se trouve en gras ci-dessous, et colle-la dans le cadre de gauche de OTM :
Paste Instructions for Items to be moved.

:Procedure is:

:reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskMgr"=0
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"NoActiveDesktopChanges"=0

:Commands
[purity]
[emptytemp]
[Reboot]

Clique sur MoveIt! pour lancer la suppression.
Après avoir fait Moveit!, une fenêtre s'affiche :
"The system requires a reboot to finish removing files. Do you want to reboot now ?"
Réponds Yes.
Le résultat apparaîtra dans le cadre "Results".
Clique sur Exit pour fermer.
Poste le rapport situé dans C:\_OTMoveIt\MovedFiles.

************

Télécharge ZHPDiag sur ton bureau :

= = = = =>>>En cliquant ici <<<= = = = = =

Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions pour l'installer.
N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer ou lance le automatiquement lors de la fin de l'installation.

/!\ L'outil crée 2 icônes ZHPDiag et ZHPFix /!\

Si une fenêtre de licencs SigCheck s'ouvre... accepte, si tu as un parefeu qui demande si SigCheck tente de se connecter à internet, accepte également.

Clique sur le tournevis en haut à droite de ZHPDiag et clique sur "Tous" pour cocher toutes les cases.
Clique sur la loupe pour lancer l'analyse.
Laisse l'outil travailler, il peut être assez long, c'est normal.
Enregistre le rapport (icône de la Disquette) sur ton PC (repère où tu l'as enregistré).
Ferme ZHPDiag en fin d'analyse.

Pour transmettre le rapport clique sur ce lien :
http://www.cijoint.fr/
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
Sélectionne le fichier ZHPDiag.txt.
Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page. Copie ce lien dans ta réponse.

Aide en images pour poster un rapport sur cijoint.

La suppression des fichiers temporaires a dû faire du bien au PC !
Je m'en doutais, un petit rootkit se ballade ! TDSS.

Fais un clic droit ici :
= = = = >>> En cliquant ici <<< = = = =

* Dans le menu qui se déroule, choisis "Enregistrer la cible du lien sous" (si tu utilises Firefox) et "Enregistrer la cible sous" (si tu utilises Internet Explorer)
* Une fenêtre va s'ouvrir: dans le champ Nom du fichier (en bas), tape ceci > combo-fix --> le tiret est important. <--
* On va enregistrer ce fichier sur le Bureau : pour cela, sur le panneau de gauche, clique sur le Bureau.
* Clique enfin sur le bouton Enregistrer en bas de page à droite.
* Assure toi que tous les programmes sont fermés avant de lancer le fix ! Ne lance pas le fix tout de suite !
Il faut que t'installe la Console de Récupération Windows si ce n'est pas fait (pour pouvoir démarrer en mode sans échec, ... et avoir un démarrage sélectif). Si tu es sûr de l'avoir, continue à l'étape suivante, si non, suis cette procédure pour l'installer avec le CD d'installation Windows en cliquant ICI. Si tu n'as pas le CD, ComboFix contient une procédure d'installation de la Console de Récupération Windows en téléchargeant un fichier depuis Microsoft. Pour l'installer sans CD, suis ces instructions :
- Clique ICI pour aller sur le site Web de Microsoft.
- Sur cette page, descendez jusqu'à "Téléchargement du fichier programme des disquettes d'installation" et cliquez sur le téléchargement correspondant à votre version de Windows XP (Édition familiale ou Professionnel) et au Service Pack que vous avez installé. Lorsque vous avez cliqué sur le lien de téléchargement du fichier, vérifiez que ce dernier sera enregistré directement sur votre Bureau. Si vous utilisez Windows XP Service Pack 3 (SP3), sélectionnez le téléchargement Service Pack 2. Si vous utilisez Windows XP Media Center, sélectionnez le téléchargement Windows XP Pro Service Pack 2.
* Fait un double clique sur combofix.exe.
* Clique sur Oui au message de Limitation de Garantie qui s'affiche.
* Il est possible que ton parefeu te demande si tu acceptes ou non l'accès de nircmd.cfexe à la zone sure: accepte!
* Note: Ne ferme pas la fenêtre qui vient de s'ouvrir , tu te retrouverais avec un bureau vide !
* Lorsque le scan est terminé, un rapport sera généré : poste en le contenu dans ton prochain message.
* Note : Le rapport se trouve également là : C:\ComboFix.txt

AVERTISSEMENT - LA CONSOLE DE RÉCUPÉRATION N'EST PAS INSTALLÉE SUR CETTE MACHINE !!
A tes risques et périls !

**********

Je regarde ce rapport chez moi ce soir.
Bonne après-midi.

Je pars après demain pour un mois. J'espère qu'on résoudra le problème demain soir :)

Cela va être dur, je ne serai pas là demain soir... !

Analyse ces fichiers :

c:\windows\system32\64DFE936A9.sys
c:\windows\system32\bits\qmgr.dll

Sur le site de virustotal :
https://www.virustotal.com/gui/

Parcourir > Sélectionne ton fichier > Analyser, patiente que l'analyse soit terminée.

Poste bien les rapports en m'indiquant à chaque rapport envoyé le nom du fichier concerné !

(Si VirusTotal indique que le fichier a déjà été analysé, clique sur le bouton Ré-analyse le fichier maintenant).

************

/!\ Pour les personnes ayant les mêmes problèmes ou similaires /!\
Cette manipulation est spécifique au PC de l'utilisateur ayant créé cette discussion. La reproduire sur un autre ordinateur pourrait endommager le système.

Avec Combofix :
- Crée un nouveau document texte : clique droit de souris sur le bureau => Nouveau => Document Texte, et copie/colle dedans les lignes suivantes :

File::
c:\windows\system32\config\systemprofile\Application Data\qvjsge.dat

- Enregistre ce fichier sous le nom CFScript (Type du fichier : tous les fichiers)
- Ferme tous tes navigateurs web (donc copie ou imprime les instructions suivantes avant si besoin est).
- Désactive ton antivirus et tes autres protections résidentes (ex : Spybot) si tu en as (c'est important).
- Fais un glisser/déposer de ce fichier CFScript sur le programme ComboFix.exe comme sur cette image ICI

(Explications du glisser/coller : Clique sur le fichier CFScript, maintient le doigt enfoncé et glisse la souris pour que l'icône du CFScript vienne recouvrir l'icône de Combofix. Relâche alors le bouton de la souris).
- Combofix va démarrer puis une fenêtre bleue va apparaître. Au message qui s'affiche (Type 1 to continue, or 2 to abort) : tape 1 puis valide.
- Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal !
- Ne touche à rien tant que le scan n'est pas terminé sinon le PC peut planter !
- Une fois le scan achevé, un rapport va s'afficher: poste le stp.
PS : Si le fichier ne s'ouvre pas, il se trouve ici => C:\ComboFix.txt