Infecté, pubs et McAfee planté

Question

Bonjour, voila je ne sais pas comment j'ai été infecté, au début McAfee bloquait plusieurs chevaux de troie, puis il m'avertis que des connexions veulent s'établir. Je les bloquait toutes et elles provenaient d'un répertoire Temp.  

Mais j'ai quand même été infecté. J'ai coupé ma connexion internet, mon pc s'est ensuite tout d'un coup éteint.  

Au redémarrage, il manquait un fichier du systeme32, internet explorer se lançait mais sans réussite car j'ai coupé la connexion et plusieurs programmes ont planté.  
J'ai ensuite lancé une récupération système, et il n'y a plus de soucis au redémarrage. Mais McAfee plante, il m'annonce que je suis infecté de 5 chevaux de troie mais n'arrive pas à lancer l'analyse.  

Je précise que le fichier au démarrage que windows ne retrouvais plus était sshnas.dll

Je vous remercie d'avance pour votre aide.  



Configuration: Windows Seven 64 bits

-----                                                                                                                               -----

ep44 · Answer

Bonjour, 

Commence par ceci 

&#9674;&#9674;&#9674; Télécharge OTL sur ton Bureau. &#9674;&#9674;&#9674;

       &#9830; Double-clique sur l'icône pour le lancer. Assure toi que toutes les autres fenêtres de Windows soient fermées et de le laisser travailler.
       &#9830; Lorsque la fenêtre apparaît, cochez Rapport minimal sous Rapport en haut de la fenêtre.
       &#9830; Coche les cases Recherche Lop et Recherche purity. en bas de la fenêtre:
       &#9830; Sous la zone Personnalisation, copie/colle ceci :

    netsvcs
%SYSTEMDRIVE%\*.exe
/md5start
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
iaStor.sys
nvstor.sys
atapi.sys
cdrom.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\*. /mp /s
CREATERESTOREPOINT




      &#9830;Clique sur le bouton Analyse. Ne chance aucun paramètre si on ne te l'a pas demandé. L'analyse prendra peu de temps.
       &#9830; Une fois l'analyse terminée, cela ouvrira deux fenêtres du Bloc-notes Windows : OTL.txt et Extras.txt. Ils sont sauvegardés au même endroit que OtL.
       &#9830; Copie/colle (Éditer -> Sélectionner Tout, Éditer -> Copier) le contenu des deux fichiers ici, un par message stp.

Utiliser https://www.cjoint.com/  pour poster les rapports.
Merci

1formatik77 · Answer

Voici les fichiers :

OTL.txt : http://cjoint.com/data/fCwF1PBk8m.htm

Extras.txt : http://cjoint.com/data/fCwGx1hqh4.htm

Et Merci encore.

ep44 · Answer

&#9830; Relance OTL.exe.

&#9830; Sous l'onglet Personnalisation en bas de la fenêtre, copie-colle le texte suivant (Ne le modifie pas):


:OTL
O2 - BHO: (BywifiBHO Class) - {C4743D3E-20D7-4B52-84F2-5E4E277B2D82} - C:\Program Files (x86)\Bywifi\bywifiie.dll (bywifi.com)     
[2010/03/01 02:08:00 | 000,000,536 | ---- | C] () -- C:\Windows\_delis32.ini     

:Commands
[emptytemp]
[start explorer]
[Reboot]

&#9830; Puis clique sur le bouton Correction en haut de la fenêtre.
&#9830; Laisse le programme travailler, redémarre une fois le fix terminé.
&#9830; Enfin, poste un nouveau log OTL2  (cette fois, ne coche pas les cases LOP Check et Purity).


&#9674;&#9674;&#9674; Télécharge  Ccleaner &#9674;&#9674;&#9674;

&#9830; Aide toi de ce tuto pour l'utiliser 
http://www.swl1f.net/viewtopic.php?f=14&t=69



&#9674;&#9674;&#9674; Télécharge Malwarebytes &#9674;&#9674;&#9674;

Une aide pour l'installation 
http://www.swl1f.net/viewtopic.php?f=14&t=68


&#9830; Installe le 
&#9830; Lance malwarebytes
&#9830; Clique pour commencer sur Mise à jour et ensuite sur Rechercher des mises à jour
&#9830; Coche "Exécuter un examen complet"
&#9830; Si tu es en présence d'une infection à la fin de l'examen clique sur "ok"
&#9830; Clique sur Supprimer la sélection
&#9830; Pour poster le rapport Clique sur l'onglet Rapports/Logs, sélectionne celui t'intéresse et clique sur Ouvrir
&#9830; Fait copier coller et poste le rapport 

Utiliser https://www.cjoint.com/  pour poster les rapports.
Merci

1formatik77 · Answer

Voici le rapport de Ccleaner : https://www.cjoint.com/?fDwZtAQv3p

Et celui de Malwarebytes : https://www.cjoint.com/?fDw0v2f22F

Merci.

ep44 · Answer

Très bien, 

fait ce qui suit stp 

&#9674;&#9674;&#9674; Télécharge ZHPDiag de Nicolas Coolman&#9674;&#9674;&#9674;

&#9830; Sauvegarde-le sur le Bureau.

&#9830; Double-clique sur ZHPDiag.exe afin de lancer ZHPDiag.
&#9830; Coche toutes les options et clique sur le bouton Lancer le diagnostic.
&#9830; Lorsque l'analyse sera terminée, un fichier au format texte s'affiche dans la zone résultat de droite.
  &#9830; Clique sur le bouton Sauvegarder le fichier sous et valide ZHPDiag.Txt, si tu souhaites le conserver.
 &#9830; Copie le résultat dans le Presse-Papier de Windows.
  &#9830; Colle le résultat dans le forum avec ta prochaine réponse.


Utiliser http://www.cijoint.fr/index.php   pour poster les rapports.
Merci

1formatik77 · Answer

Voici le Rapport http://www.cijoint.fr/cj201005/cijudurNbE.txt

Et Merci encore !

ep44 · Answer

&#9830; Relance ZHPDiag et relance un scan, un fois le scan fini clique sur le bouclier vert ZHPFix.
&#9830; Ensuite clique sur le H "Coller les lignes Helper"
&#9830; Copie colle ces lignes dans la fenêtre


[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoActiveDesktopChanges: Modified     
O2 - BHO: Sky-Banners Browser Enhancer gplzaecv - {6E0D4C17-3CCC-4930-A573-D965155D998A} . (.Pas de propriétaire - Pas de description.) -- C:\Windows\SysWow64\gplzaecv.dll 
O2 - BHO: Street-Ads Browser Enhancer bqepebsm - {824907F9-E737-4D91-AC14-7160E89E7169} . (.Pas de propriétaire - Pas de description.) -- C:\Windows\SysWow64\bqepebsm.dll 
O2 - BHO: C:\Windows\SysWow64\r7858z.dll - {C7BA40A1-74F2-52BD-F411-04B15A2C8953} . (.Pas de propriétaire - Pas de description.) -- C:\Windows\SysWow64\r7858z.dll 
O4 - HKLM\..\Run: [MChk] . (.Pas de propriétaire - Pas de description.) -- C:\Windows\system32\grdqztgi.exe     
O42 - Logiciel: Performance Platform Voguecash - (.Pas de propriétaire.) [HKLM]     
O42 - Logiciel: Sky-Banners browser enhancer - (.Pas de propriétaire.) [HKLM]     
O42 - Logiciel: Street-Ads Browser Enhancer - (.Pas de propriétaire.) [HKLM]     
[HKCU\Software\Sky-Banners]     
[HKCU\Software\Street-Ads]     
[HKLM\Software\Sky-Banners]     
[HKLM\Software\Street-Ads]     
[HKCU\Software\Conduit]     
[HKLM\Software\Conduit]     



&#9830;Tu cliques ensuite sur "Tous" (ou tu coches la ligne), puis sur "Nettoyer"
ZHPFix va générer un rapport, envoie le pour vérification.

Utiliser http://www.cijoint.fr/index.php  pour poster les rapports.
Merci 

ensuite 

&#9674;&#9674;&#9674; Fait un scan en ligne avec Kaspersky &#9674;&#9674;&#9674;
   
&#9830; Une fois la fenêtre du scanner en ligne ouverte :
&#9830; Prendre connaissance de ce qui est indiqué dans la partie "information" et clique sur "j'accepte".
(Si tu es sur IE, on va te demander de télécharger un contrôle Active X, accepte)
 
&#9830;   Le "téléchargement et la mise à jour du programme" se lance .
 
&#9830; Ensuite la "mise à jour de la base de données" se fait, patiente jusqu'à ce que se soit fini ( ceci peut-être relativement long ).
 
&#9830; Une fois fini, le scanner est prêt.
&#9830; Dans l'onglet "Analyser" clique sur Poste de travail afin de faire une analyse complète du système
Une fois le scan terminé, le résultat s'affiche.
     
&#9830; Clique sur "enregistrer rapport" pour faire une sauvegarde de ce dernier et post-le.

Poste le rapport de Kaspersky.

1formatik77 · Answer

Voici le rapport de ZHPDiag http://www.cijoint.fr/cj201005/cijuc7do6U.txt

ep44 · Answer

Très bien passe au scan en ligne

1formatik77 · Answer

Je n'arrive pas à terminer le scan, ça prend énormément de temps et quand je reviens le pc à redémarrer !

Est-ce le fait que mon antivirus n'est pas désactivé ? J'ai McAfee, je ne sais pas si on peut le désactiver!

Merci.

ep44 · Answer

Bonjour, 

Tu peux faire effectivement une tentative avec ton antivirus désactiver, a voir ?
Sinon fait un scan avec ton antivirus et dit moi ce qui en découle.

1formatik77 · Answer

Voici le résultat du scan de mon antivirus, j'ai fait une capture d'écran car je ne pouvais pas copier coller !

https://nsm03.casimages.com/img/2010/05/31/100531072529125466140506.png

Merci.

ep44 · Answer

ok peut tu faire ce qui suit :

Bonjour,    

Je vais te guider pour vérifier cela,   

Pour commencer  :   

&#9674;&#9674;TéléchargeDDS de sUBs DDS de sUBs sur ton Bureau.  

L'outil ne nécessite pas d'installation.   

 	&#9830; Lance-le en cliquant sur l'icône dds.scr   
 	&#9830; Le scan ne doit pas dépasser trois minutes.   
 	&#9830; Un premier rapport va s'ouvrir que tu enregistreras sous DDS.txt par défaut sur le bureau.   
 	&#9830; Il te sera demandé si tu veux faire le scan optionnel.   
 	&#9830; Accepte par Oui   
 	&#9830; Un nouveau rapport s'ouvre que tu enregistres sous Attach.txt sur le bureau.   
 	&#9830; Tu ne le fourniras que si nécessaire.   
 	&#9830; Poste le rapport DDS.txt   

Ensuite    


 &#9674;&#9674; Télécharge Hijackthis (de Trend Micro) sur ton Bureau.  


   	&#9830; Double clique sur HJTInstall.exe pour lancer l'installation.   
    	&#9830; Clique sur Install.   
        &#9830; Double clique sur le raccourci d'HijackThis qui vient d'être créé pour le lancer. (Clique droit -> lancer en tant qu'admin si sous Vista)   
     	&#9830; Accepte la licence en cliquant sur Yes.   
    	&#9830; Clique sur Do a system scan and save a logfile.   
    	&#9830; Poste ici le rapport généré.   


Note : Le rapport se trouve également ici : C:\Program Files\Trend Micro\Hijackthis\Hijackthis.log   


Utiliser http://www.cijoint.fr/index.php   pour poster les rapports.
Merci

1formatik77 · Answer

Voici le fichier DDS http://www.cijoint.fr/cj201005/cijHpxiwOn.txt 
le fichier Attach http://www.cijoint.fr/cj201005/cijC1oGzV8.txt 

Et Enfin le rapport Hijackthis http://www.cijoint.fr/cj201005/cijf8bUNyz.txt
-----                                                                                                                               -----

ep44 · Answer

Relance HijackThis et clique sur "Do a system scan only"
Ensuite recherche ces lignes et coches les cases si présentent.

O4 - HKLM\..\Run: [skb] rundll32 "gplzaecv.dll",,Run 
O9 - Extra button: Bywifi: Video Downloader - {09E90109-A9AA-4980-BCEF-76F8D924E902} - C:\Program Files\Bywifi\bywifici.exe (file missing) 
O9 - Extra 'Tools' menuitem: Bywifi: Video Downloader - {09E90109-A9AA-4980-BCEF-76F8D924E902} - C:\Program Files\Bywifi\bywifici.exe (file missing) 
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file) 
O9 - Extra button: Bywifi: Video Downloader - {09E90109-A9AA-4980-BCEF-76F8D924E902} - C:\Program Files\Bywifi\bywifici.exe (file missing) (HKCU) 
O9 - Extra 'Tools' menuitem: Bywifi: Video Downloader - {09E90109-A9AA-4980-BCEF-76F8D924E902} - C:\Program Files\Bywifi\bywifici.exe (file missing) (HKCU) 


Une fois coché, ferme toutes les fenêtres et applications et clique sur "Fix checked" 


Ensuite refais un scan avec Malwarebytes et poste ce rapportsOublie pas de faire une mise à jour avant de lancer le scan.

fait un scan en ligne

avec bitdefender et colle le rapport

https://www.bitdefender.com/toolbox/

Scan à faire sous Internet Explorer

Poste le résultat

1formatik77 · Answer

Voici le rapport MalwareBytes :

http://www.cijoint.fr/cj201006/cijJiqwQZ4.txt

Je suis toujours infecté =(

ep44 · Answer

Bonsoir, 

Désolé pour l'attente à cette réponse :)

Peux tu relancer malwarebytes et si il trouve encore quelques choses il te faut appliquer les actions pour exécuter la suppression.

Refais ensuite un scan avec Hijackthis

1formatik77 · Answer

J'ai supprimé ce que MalwaresBytes a trouvé, et voici le rapport d'Hijackthis

http://www.cijoint.fr/cj201006/cijdIH7kh8.txt

Merci encore.

ep44 · Answer

Bonsoir, 

Relance HijackThis et clique sur "Do a system scan only"
Ensuite recherche ces lignes et coches les cases si présentent.

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:5555       

Une fois coché, ferme toutes les fenêtres et applications et clique sur "Fix checked"


&#9674;&#9674;&#9674; Fait un scan en ligne avec Kaspersky &#9674;&#9674;&#9674;
   
Il me faut le rapport avec les néfastes qu'il trouve pour que je puisse te faire faire la suppression

1formatik77 · Answer

Bonjour, n'aurais-tu pas un programme qui serait pareil que le scan en ligne, car je n'arrive jamais à terminer le scan, tout mes navigateurs web plantent avant la fin !

Merci

ep44 · Answer

ok essaye ce qui suit :
https://www.bitdefender.com/toolbox/

Scan à faire sous Internet Explorer

1formatik77 · Answer

Voici le rapport de Bitdefender :

https://nsm03.casimages.com/img/2010/06/06/100606011746125466173508.png

ep44 · Answer

ok fait ce qui suit :

  &#9674; &#9674; &#9674; Télécharge Combofix depuis l'un des liens ci-dessous: &#9674; &#9674; &#9674;

      Lien 1
      Lien 2

      &#9830; IMPORTANT !!! Enregistre ComboFix.exe sur ton Bureau

    &#9830; Désactive tes applications antivirus et anti-spyware, en général via un clic droit sur l'icône de la Zone de notification. Sinon, elles risquent d'interférer avec nos outils

    &#9830; Fait un double clic sur combofix.exe et suit les invites.

    &#9830; Lors de son exécution, ComboFix va vérifier si la Console de récupération Microsoft Windows est installée. Avec des infections comme celles d'aujourd'hui, il est fortement conseillé de l'avoir pré-installée sur ton PC avant toute suppression de nuisibles. Elle te permettra de démarrer dans un mode spécial, de récupération (réparation), qui nous permet de vous aider plus facilement si jamais ton ordinateur rencontre un problème après une tentative de nettoyage.

 &#9830; Suit les invites pour permettre à ComboFix de télécharger et installer la Console de récupération Microsoft Windows, et lorsque cela vous est demandé, acceptez le Contrat de Licence Utilisateur Final pour installer la Console de récupération Microsoft Windows.

     &#9674; &#9674;  Note importante: Si la Console de récupération Microsoft Windows est déjà installée, ComboFix continuera ses procédures de suppression de nuisibles.

&#9830; Une fois fait clique sur Oui/Yes, pour poursuivre avec la recherche de nuisibles.

&#9830; Lorsque l'outil aura terminé, il affichera un rapport, copie le contenu de C:\ComboFix.txt dans votre prochaine réponse.

1formatik77 · Answer

Re-Bonjour, ComboFix n'est pas compatible avec mon système d'exploitation.
J'ai un Windows 7 64 bits.

Un message d'erreur dit qu'il ne fonctionne qu'avec windows 2000 et XP

Merci encore.

ep44 · Answer

Bonsoir, 

Peux tu refaire un scan avec OTL

1formatik77 · Answer

Voici le rapport : 

http://www.cijoint.fr/cj201006/cijxRvHN6J.txt

ep44 · Answer

Bonsoir,

je ne vois pus rien de néfastes dans ton rapport.

Peux-tu refais un scan avec ton antivirus, et ensuite un scan en ligne et si il te trouve des néfastes il me faut ces lignes pour les éradiquer.

Infecté, pubs et McAfee planté

27 réponses

Votre réponse

Discussions similaires

Newsletters