PC infecté par un faux anti-spyware

Question

Bonjour, 

Mon PC est infecté par un faux anti-spyware (Antispyware Soft) depuis quelques jours. J'ai lu pas mal de topics et de fiches pratiques sur CommentCaMarche.net à ce sujet.

J'ai donc essayé de supprimer ce spyware avec Malwarebytes' Anti-Malware, UsbFix, CCleaner et mon anti-virus Avira AntiVir. Il y a pas mal de virus/spyware qui ont été supprimés mais il me semble que tout n'est pas encore clean.

En particulier, au démarrage, il y a toujours un message d'erreur qui apparaît :

"Erreur de chargement de sshnas21.dll"

CCleaner me signale également une erreur dans la registry mais ne parvient pas à la corriger/supprimer.

Pouvez-vous m'aider à nettoyer complètement mon PC ?

Merci d'avance de votre aide

le druide · Answer

Salut,

ce poste devrais t'aider à supprimer Erreur de chargement de sshnas21.dll > https://forums.commentcamarche.net/forum/affich-15566793-sshnas-dll-non-trouve-au-demarrage

tagadaBouzou · Answer

Salut,

Merci !
En fait j'avais déjà vu ce poste.
J'ai re-vérifié ... et j'ai rien trouvé, ni dans msconfig > démarrage, ni dans la registry.

Aurais-tu une autre solution?

J'ai lu plusieurs postes où ils utilisent Combofix sUBs. Mais je n'ose pas l'utiliser sans conseil et quelqu'un capable de comprendre le rapport qu'il génère.

Merci d'avance

Guillaume5188 · Answer

Re

Pour de plus amples informations, fait ceci stp

Ouvre ce lien et télécharge ZHPDiag de Nicolas Coolman : 

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Ou

https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

Serveur N°2
 
Une fois le téléchargement achevé, dé zippe le fichier obtenu et place ZHPDiag.exe sur ton Bureau.

Double-clique sur l'icône pour lancer le programme. Sous Vista ou Seven clic droit «  exécuter en tant que administrateur »


Clique sur la loupe pour lancer l'analyse.

Laisse l'outil travailler, il peut être assez long. 

Ferme ZHPDiag en fin d'analyse. 


Pour transmettre le rapport clique sur ce lien : 

http://www.cijoint.fr/index.php
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag). 

Sélectionne le fichier ZHPDiag.txt. 

Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt 

est ajouté dans la page. 

Copie ce lien dans ta réponse.

Merci

@+

tagadaBouzou · Answer

Guillaume5188,

Merci de m'aider !
Voici le rapport ZHDiag :  http://www.cijoint.fr/cjlink.php?file=cj201005/cij0a7lD3N.txt

a+

Guillaume5188 · Answer

Re

1- Utilsation de l'outil ZHPFix : 

> Lance  ZHPFix depuis le raccourci du bureau. Sous Vista :Clic droit sur l'icône ZHPFix.exe  
 « Exécuter en tant qu'administrateur »

* Une fois l'outil ZHPFix ouvert, clique sur le bouton [ H] ( "coller les lignes Helper" ) . 

* Dans l'encadré principal (qui est vierge), copie/colle tout le texte qui se trouve ci-dessous  (et rien d'autre !) : 

MBRfix



Vérifie bien que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre. 

* Puis clique sur le bouton [ OK] . 
> À ce moment là, il apparaîtra au début de chaque ligne une petite case vide.  Ne touche plus à rien !  

!! Déconnecte toi, désactive tes défenses (anti-virus, anti-spyware ) et ferme bien toutes autres applications ( navigateurs compris ) !! 


* Clique sur le bouton [ Tous]. Vérifie que toutes les lignes soient bien cochées. 

* Enfin clique sur le bouton [ Nettoyer]. 


-> laisse travailler l'outil et ne touche à rien ... 


-> Si il t'est demandé de redémarrer le PC pour finir le nettoyage, fais le ! 

Une fois terminé, un nouveau rapport s'affiche : poste le contenu de ce dernier dans ta prochaine réponse ... 

( ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ ZHPFixReport.txt ) 

Pense à réactiver tes défenses !...

@+

tagadaBouzou · Answer

Tout s'est passé extrêmement vite. Est-ce normal ?
Voici le rapport :

ZHPFix v1.12.3102  by Nicolas Coolman - Rapport de suppression du 29.05.2010 12:17:43
Fichier Registre : 
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

Processus mémoire :
(Néant)

Module mémoire :
(Néant)

Clé du Registre :
(Néant)

Valeur du Registre :
(Néant)

Elément de données du Registre :
(Néant)

Préférences navigateur :
(Néant)

Dossier :
(Néant)

Fichier :
(Néant)

Logiciel :
(Néant)

Script Registre :
(Néant)

Master Boot Record :
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll ataport.SYS pciide.sys PCIIDEX.SYS atapi.sys 
kernel: MBR read successfully
user & kernel MBR OK 
 


Autre :
(Néant)


Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 0
Valeur du Registre : 0
Elément de données du Registre : 0
Dossier : 0
Fichier : 0
Logiciel : 0
Master Boot Record : 9
Préférences navigateur : 0
Autre : 0


End of the scan

Guillaume5188 · Answer

Re

Lance Ccleaner et tiens moi au courant;merci

@+

tagadaBouzou · Answer

J'ai toujours la même clé de registre signalée comme erreur qui ne peut pas être corrigée/supprimée: 

{HKEY_CLASSES_ROOT\{80b8c23c-16e0-4cd8-bbc3-cecec9a78b79}

Et j'ai toujours le même message d'erreur au démarrage concernant sshnas21.dll

A plus

Guillaume5188 · Answer

Re

Poste moi le rapport Usbfix.txt;merci

@+

tagadaBouzou · Answer

Voici le rapport UsbFix (option2 : suppression) :


############################## | UsbFix V6.114 |

User : Admin (Administrateurs) # PC-MOMO
Update on 17/05/2010 by El Desaparecido , C_XX & Chimay8
Start at: 14:21:58 | 29.05.2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Intel(R) Core(TM)2 Duo CPU     E6750  @ 2.66GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6001 32-bit) # Service Pack 1
Internet Explorer 7.0.6001.18000
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 78.12 Go (23.74 Go free) [Programmes] # NTFS
D:\ -> Disque fixe local # 219.96 Go (186.57 Go free) [Données] # NTFS
E:\ -> Disque CD-ROM
G:\ -> Disque fixe local # 931.51 Go (842 Go free) [SAMSUNG] # NTFS

################## | Elements infectieux |

Supprimé ! C:\$Recycle.Bin\S-1-5-21-3240770719-1462910811-450145600-1000 
Supprimé ! C:\$Recycle.Bin\S-1-5-21-3240770719-1462910811-450145600-1002 
Supprimé ! C:\$Recycle.Bin\S-1-5-21-3240770719-1462910811-450145600-1003 
Supprimé ! D:\$Recycle.Bin\S-1-5-21-3240770719-1462910811-450145600-1000 
Supprimé ! D:\$Recycle.Bin\S-1-5-21-3240770719-1462910811-450145600-1002 
Supprimé ! D:\$Recycle.Bin\S-1-5-21-3240770719-1462910811-450145600-1003 
Supprimé ! G:\$Recycle.Bin\S-1-5-21-3240770719-1462910811-450145600-1000 
Supprimé ! G:\$Recycle.Bin\S-1-5-21-3240770719-1462910811-450145600-1002 
Supprimé ! G:\$Recycle.Bin\S-1-5-21-3240770719-1462910811-450145600-1003 

################## | Registre |


################## | Mountpoints2 |


################## | Listing des fichiers présent |

[29.05.2010 10:37|--a------|3580] C:\Ad-Report-CLEAN[1].txt 
[18.09.2006 23:43|--a------|24] C:\autoexec.bat 
[19.01.2008 09:45|-rahs----|333203] C:\bootmgr 
[28.01.2008 22:11|-ra-s----|8192] C:\BOOTSECT.BAK 
[29.05.2010 10:27|--a------|880] C:\cleannavi.txt 
[18.09.2006 23:43|--a------|10] C:\config.sys 
[02.04.2007 16:10|--a------|45126] C:\Dolby.ico 
[?|?|?] C:\hiberfil.sys 
[02.02.2008 15:52|-rahs----|0] C:\IO.SYS 
[02.02.2008 15:52|-rahs----|0] C:\MSDOS.SYS 
[?|?|?] C:\pagefile.sys 
[24.05.2010 12:53|--a------|352] C:\rkill.log 
[28.01.2008 23:22|--a------|172] C:\SigmaTel.log 
[29.05.2010 14:24|--a------|2187] C:\UsbFix.txt 
[29.05.2010 10:14|--a------|244991] C:\UsbFix_Upload_Me_pc-momo.zip 
[16.08.2008 15:45|-ra------|528] D:\MediaID.bin 
[24.03.2010 00:02|-ra------|528] G:\MediaID.bin 

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# D:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# G:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 

################## | Upload | 

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_pc-momo.zip : https://www.ionos.fr/?affiliate_id=77097 
Merci pour votre contribution .  

################## | ! Fin du rapport # UsbFix V6.114 ! |

Guillaume5188 · Answer

Re

Ok ;passons aux mises à jour.

Windows Update>>>Vista SP2 et IE 8
On verra la suite après.

@+

tagadaBouzou · Answer

J'ai installé IE8, par contre Windows Update ne me propose pas Vista SP2. Est-ce que je dois le télécharger manuellement (par ex. depuis 01net.com) ? Est-ce bien raisonnable ? 

J'ai Avira AntiVir (version gratuite) installé. Est-ce que je dois garder Windows Defender activé ? 

Merci de ton aide et de tes conseils

tagadaBouzou · Answer

En fait il semble que Vista SP2 ne m'était pas proposé car je n'avais pas installé la mise à jour Office Genuine.

Je vais donc installer Vista SP2

A plus

tagadaBouzou · Answer

Voilà ... 
Vista SP2 et IE8 sont installés ...

Guillaume5188 · Answer

Re

On nettoie avant:

Télécharges Toolscleaner afin de supprimer les logiciels de désinfection inutiles 

 ---> Télécharge Toolscleaner  sur ton Bureau.
https://www.commentcamarche.net/telecharger/securite/22061-toolscleaner/
* Double-clique sur ToolsCleaner2.exe(ou clic droit « exécuter en tant que administrateur » pour Vista et Seven)pour le lancer. 
* Clique sur Recherche et laisse le scan agir. 
* Clique sur Suppression pour finaliser. 
* Tu peux, si tu le souhaites, te servir des Options Facultatives. 
* Clique sur Quitter pour obtenir le rapport. 
* Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\).

@+

tagadaBouzou · Answer

Voilà : 

[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ] 

--> Recherche:  

C:\cleannavi.txt: trouvé ! 
C:\UsbFix.txt: trouvé ! 
C:\Navilog1: trouvé ! 
C:\UsbFix: trouvé ! 
C:\Ad-remover: trouvé ! 
C:\Navilog1\Navilog1.bat: trouvé ! 
C:\Program Files\Navilog1: trouvé ! 
C:\Program Files\ZHPDiag: trouvé ! 
C:\Program Files\ZHPDiag\ZHPdiag.exe: trouvé ! 
C:\Program Files\ZHPDiag\catchme.exe: trouvé ! 
C:\Program Files\ZHPDiag\mbr.log: trouvé ! 
C:\Program Files\ZHPDiag\mbr.exe: trouvé ! 
C:\Users\Admin\Desktop\AntiSpyware\Navilog1.exe: trouvé ! 
C:\Users\Admin\Desktop\AntiSpyware\Ad-R.exe: trouvé ! 
C:\Users\Admin\Desktop\AntiSpyware\UsbFix.exe: trouvé ! 

--------------------------------- 
--> Suppression:  

C:\Navilog1\Navilog1.bat: supprimé ! 
C:\Program Files\ZHPDiag\ZHPdiag.exe: supprimé ! 
C:\Program Files\ZHPDiag\catchme.exe: supprimé ! 
C:\Users\Admin\Desktop\AntiSpyware\Navilog1.exe: supprimé ! 
C:\Users\Admin\Desktop\AntiSpyware\Ad-R.exe: supprimé ! 
C:\cleannavi.txt: supprimé ! 
C:\UsbFix.txt: supprimé ! 
C:\Program Files\ZHPDiag\mbr.log: supprimé ! 
C:\Program Files\ZHPDiag\mbr.exe: supprimé ! 
C:\Users\Admin\Desktop\AntiSpyware\UsbFix.exe: supprimé ! 
C:\Navilog1: supprimé ! 
C:\UsbFix: supprimé ! 
C:\Ad-remover: supprimé ! 
C:\Program Files\Navilog1: supprimé ! 
C:\Program Files\ZHPDiag: supprimé ! 


Pourquoi faut-il supprimer tous ces tools ? 

A demain pour la suite ... je dois quitter mon PC pour la soirée ... ;-)
Merci pour ton aide

Guillaume5188 · Answer

Re

Tout simplement pour repartir d'une situation saine et sans alertes de quarantaines diverses.

Donc on reprend:

1)Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection): 
https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac 
* Va dans démarrer puis panneau de configuration 
* Double Clique sur l'icône "Comptes d'utilisateurs" 
* Clique ensuite sur désactiver et valide.

2) # Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 


Télécharge et install UsbFix de El Desaparecido , C_XX & Chimay8
Ici : :  http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe
Tutorial de Malekal_Morte si besoin, merci à lui : https://www.malekal.com/usbfix-supprimer-virus-usb/ 

 Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d avoir été infectés sans les ouvrir
 

#  Clic droit "Exécuter en tant qu'administrateur" sur le raccourci UsbFix présent sur ton bureau. 

# Choisi l  option 2 (Suppression) 

# Laisse travailler l outil. 

# Ensuite post le rapport UsbFix.txt qui apparaîtra. 

# Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. (C:\UsbFix.txt) 

(CTRL+A Pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller)


@+

tagadaBouzou · Answer

Salut Guillaume5188,

Voici le rapport (il manque l'iPod de ma fille et un lecteur MP3 Cowon ne s'est pas reconnecté au redémarrage du PC par UsbFix. Faut-il relancer UsbFix?) :


############################## | UsbFix V6.115 |

User : Admin (Administrateurs) # PC-MOMO
Update on 27/05/2010 by El Desaparecido , C_XX & Chimay8
Start at: 12:05:53 | 30.05.2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Intel(R) Core(TM)2 Duo CPU     E6750  @ 2.66GHz
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 32-bit) # Service Pack 2
Internet Explorer 8.0.6001.18904
Windows Firewall Status : Enabled

C:\ -> Disque fixe local # 78.12 Go (32.17 Go free) [Programmes] # NTFS
D:\ -> Disque fixe local # 219.96 Go (185.92 Go free) [Données] # NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque amovible # 243.88 Mo (243.77 Mo free) # FAT
G:\ -> Disque fixe local # 931.51 Go (841.23 Go free) [SAMSUNG] # NTFS

################## | Elements infectieux |

Supprimé ! C:\$Recycle.Bin\S-1-5-21-3240770719-1462910811-450145600-1001 
Supprimé ! C:\$Recycle.Bin\S-1-5-21-3240770719-1462910811-450145600-1003 
Supprimé ! D:\$Recycle.Bin\S-1-5-21-3240770719-1462910811-450145600-1001 
Supprimé ! D:\$Recycle.Bin\S-1-5-21-3240770719-1462910811-450145600-1003 
Supprimé ! G:\$Recycle.Bin\S-1-5-21-3240770719-1462910811-450145600-1001 
Supprimé ! G:\$Recycle.Bin\S-1-5-21-3240770719-1462910811-450145600-1003 

################## | Registre |


################## | Mountpoints2 |


################## | Listing des fichiers présent |

[18.09.2006 23:43|--a------|24] C:\autoexec.bat 
[11.04.2009 08:36|-rahs----|333257] C:\bootmgr 
[28.01.2008 22:11|-ra-s----|8192] C:\BOOTSECT.BAK 
[18.09.2006 23:43|--a------|10] C:\config.sys 
[02.04.2007 16:10|--a------|45126] C:\Dolby.ico 
[?|?|?] C:\hiberfil.sys 
[02.02.2008 15:52|-rahs----|0] C:\IO.SYS 
[02.02.2008 15:52|-rahs----|0] C:\MSDOS.SYS 
[?|?|?] C:\pagefile.sys 
[28.01.2008 23:22|--a------|172] C:\SigmaTel.log 
[29.05.2010 17:05|--a------|1351] C:\TCleaner.txt 
[30.05.2010 12:09|--a------|1914] C:\UsbFix.txt 
[16.08.2008 15:45|-ra------|528] D:\MediaID.bin 
[24.03.2010 00:02|-ra------|528] G:\MediaID.bin 

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# D:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# F:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 
# G:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido). 

################## | Upload | 

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_pc-momo.zip : https://www.ionos.fr/?affiliate_id=77097 
Merci pour votre contribution .  

################## | ! Fin du rapport # UsbFix V6.115 ! |


Merci de ton aide

Guillaume5188 · Answer

Bonjour

Télécharge combofix : http://download.bleepingcomputer.com/sUBs/ComboFix.exe 
Ou ici : https://forospyware.com 
>Renomme le pour l'enregistrer sur ton bureau en  asdehi (tout simplement pour que l'infection ne le contre pas)
-> Double clique combofix.exe.(ou clic droit sous vista «  exécuter en tant que... » )
-> Tape sur la touche 1 (Yes) pour démarrer le scan. 
-> Lorsque le scan sera complété, un rapport apparaîtra. Copie/colle ce rapport dans ta prochaine réponse. 

NOTE : Le rapport se trouve également ici : C:\Combofix.txt 

 Avant d'utiliser ComboFix :  

->  Déconnecte toi d'Internet et referme les fenêtres de tous les programmes en cours.  

->  Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 

Une fois fait, sur ton bureau double-clic sur Combofix.exe ; (ou clic droit sous vista « exécuter en tant que... »)

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc. 


- Installe le console de récupération comme demandé ;utile en cas de plantage

- Attention Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programme. Risque de figer l'ordinateur 

- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt) 

-> Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 

-> Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message. 

/!\  Ne touche à rien tant que le scan n'est pas terminé.  /!\ : risque de figer l'ordinateur (plantage complet) 


::Si combofix détecte quelque chose et de demande a redémarrer tu acceptes

@+

tagadaBouzou · Answer

Voici le rapport Combofix : 
http://www.cijoint.fr/cjlink.php?file=cj201005/cijL45FoMQ.txt

Pour info, Combofix m'indiquait que le scan antispyware de Avira AntiVir était actif alors qu'il était bien désactivé, comme l'indiquait d'ailleurs également le Centre de Sécurité de Windows.

A plus

Guillaume5188 · Answer

Re

1)Supprime ce fichier asdehi.exe sur ton bureau.

2)Repasse Tools cleaner pour supprimer tous les outils utilisés dernièrement.

3)Je te propose de relire et de faire ceci

Il n'y a pas d'autres solutions...

@+

tagadaBouzou · Answer

Comme il fallait s'y attendre, je ne trouve toujours pas sshnas21.dll ni dans msconfig ni dans le registre.

Que faire ?
J'ai vraiment l'impression de tourner en rond.

Il doit bien y avoir une autre solution ...

A plus

PC infecté par un faux anti-spyware - Page 2

Newsletters