Virus, analyse apres traitement personnel

Plop -  
Bonjour,

Hier soir, au cour de balades hasardeuses, j'ai été infecté en masse (plein de fenêtres, d'erreur, d'installation, de "votre pc est infecté, cliquez ici pour télécharger blablabla", ...). J'ai, je pense, complètement nettoyé mon pc mais j'aimerai être sur de cela, je dois par exemple utiliser en autre ma cb et je n'aimerai pas que cela finisse mal !

Voici exactement ce que j'ai fait :

- nettoyage manuel des clé run de local user et machine dans le registre.
(actuellement clean)

- nettoyage de msconfig.
(actuellement clean)

- utilisation de l'antivirus Antivir.
(actuellement clean)

- utilisation de spybot.
(actuellement clean)

- utilisation de Ccleaner.
(actuellement clean)

- utilisation de Hijackthis.
(actuellement clean)

- utilisation de Sophos anti root kit.
(clean mais reste deux clé hiden dans le registre impossible a supprimer)

- suppression d'un module IE a l'origine de pop de pub, fait a la barbare (suppression de tout dossiers contenant et de toute valeur dans le registre s'y rapportant)

Tout ces outils émettaient pas mal de positif au début mais semble a présent ok. J'ai également trouvé lors de mes recherche des fichiers log contenant des informations comme des adresse visité apres infections et une multitude de code incompréhensible, je les ai simplement supprimé, quel sont les risques ?)
Dans le doute, si quelqu'un pouvait me confirmer et / ou analyser la chose pour être sur que tout soit propre, je lui en serai extrêmement reconnaissant ^^

Voila, merci d'avance.

(ps : j'oubliais : systeme windows 7 enregistré et a jour, navigateurs a jour)

12 réponses

  1. Utilisateur anonyme
    Bonjour
    On va faire un diagnostic du PC pour voir
    * Télécharge ZHPDiag (de Nicolas Coolman)
    https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
    * Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.
    * Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
    * Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
    Héberge le rapport ICI
    0
    1. Plop
      Merci pour votre intervention, voici le rapport : http://www.cijoint.fr/cjlink.php?file=cj201006/cijPlxu3gH.txt
      0
      1. Utilisateur anonyme
        Tu dois désactiver le TeaTimer de Spybot, car il va gêner les outils:
        * Ouvre Spybot S&D
        * Dans le menu Mode, séléctionne le mode avancé.
        * Une fenêtre demande confirmation clique sur oui.
        * Une fois le mode avancé actif, va dans l'onglet Outils.
        * Clique sur Résident.
        * La partie Résident comporte deux lignes qui sont normalement cochées :
        =>Résident "SDHelper" (bloqueur de téléchargements nuisibles pour Internet Explorer) actif.
        =>Résident "TeaTimer" (Protection des réglages système fondamentaux) actif
        * Décoche la ligne TeaTimer.
        * Redémarre Spybot (le fermer et le réouvrir)
        * Retourne dans le menu Résident et vérifie qu'il soit bien désactivé.

        Télécharge UsbFix (de El Desaparecido, C_XX) sur ton bureau­
        https://www.ionos.fr/?affiliate_id=77097

        # Clic droit sur UsbFix présent sur ton bureau, et clique sur
        exécuter en tant qu'administrateur        , puis clique sur exécuter
        pour lancer l'installation qui se fera automatiquement

        # Clique sur Suppression

        # Branche toutes tes sources et données externes (clé USB, disque dur
        externe...) sans les ouvrir sur ton PC, et clique sur OK

        # La suppression est lancée. Le bureau va disparaitre, c'est normal

        # Une fois le nettoyage terminé, le bureau va réapparaitre, et il se
        pourrai que ton navigateur s'ouvre à la page d'upload de l'outil te
        demandant d'envoyer le fichier UsbFix_Upload_Me

        # Clique sur Parcourir pour aller chercher le fichier
        compressé qui se trouve à la racine du disque

        # Dans le menu déroulant, sélectionne UsbFix, et clique sur Envoyer
        le fichier

        # Ensuite poste le rapport UsbFix.txt qui apparaitra avec le bureau .

        # Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

        ( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )
        0
        1. Plop
          Re bonjour,

          J'ai du partir bosser hier et pas rallumer le pc depuis. Ce matin, je navigue en vitesse avec mon café, je visite 2 forum de reparation scooter et sur la page de recherche google, m'appretant a entrer sur un 3eme forum, alerte antivir ... je me croyais débarrassé ...

          - Dans le fichier 'C:\Windows\SysWOW64\dkfphttp.exe'
          un virus ou un programme indésirable 'TR/Agent.ked' [trojan] a été détecté.
          Action exécutée : Refuser l'accès

          - Dans le fichier 'C:\Users\Root\AppData\Roaming\B005BB3768324E212BDFB3AB5A3A8BE7\setupupdater0000.exe'
          un virus ou un programme indésirable 'TR/Spy.1066496' [trojan] a été détecté.
          Action exécutée : Refuser l'accès

          Après une dizaine d'alerte a la suite, j'ai supprimé le premier uniquement.

          Pour ce qui concerne UsbFix, je n'ai pour le moment pas de support de stockage sous la main (HD chez les parents et clé usb perdu ...).

          J'ai donc executé l'outil sans dont voici le rapport : 

          ############################## | UsbFix 7.006 | [Suppression]

Utilisateur: Root (Administrateur) # TERMINAL [Acer Aspire X3810]
Mis à jour le 07/06/10 par El Desaparecido / C_XX
Lancé à 06:05:56 | 10/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: Intel(R) Core(TM)2 Quad CPU Q8200 @ 2.33GHz
CPU 2: Intel(R) Core(TM)2 Quad CPU Q8200 @ 2.33GHz
Microsoft Windows 7 Édition Intégrale  (6.1.7600 64-Bit) # 
Internet Explorer 8.0.7600.16385

Pare-feu Windows: Activé

RAM -> 6143 Mo 
C:\ (%systemdrive%) -> Disque fixe # 50 Go (1 Go libre(s) - 3%) [] # NTFS
D:\ -> Disque fixe # 339 Go (267 Go libre(s) - 79%) [ACER] # NTFS
E:\ -> Disque fixe # 289 Go (200 Go libre(s) - 69%) [] # NTFS
F:\ -> CD-ROM
G:\ -> CD-ROM

################## | Éléments infectieux |

Supprimé! C:\$Recycle.Bin\S-1-5-21-1287859500-1086115341-159484589-1001
Supprimé! D:\$Recycle.Bin\S-1-5-21-1287859500-1086115341-159484589-1001
Supprimé! D:\$Recycle.Bin\S-1-5-21-2948747653-3998238355-1587161964-500
Supprimé! D:\$Recycle.Bin\S-1-5-21-3285753246-719386732-2888185050-1000
Supprimé! E:\$Recycle.Bin\S-1-5-21-1287859500-1086115341-159484589-1001

################## | Registre |

Supprimé! HKCU\Software\Microsoft\Handle

################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{1220db54-cac6-11de-8408-001f16f08756}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{ad0caa71-9f86-11de-8474-806e6f6e6963}

################## | Listing |

[10/06/2010 - 06:08:47 | SHD ] 	C:\$Recycle.Bin
[02/01/2010 - 19:56:07 | D ] 	C:\AV_LOGS
[22/05/2010 - 20:09:04 | A | 1099] 	C:\colorbox.log
[14/07/2009 - 07:08:56 | SHD ] 	C:\Documents and Settings
[10/06/2010 - 05:46:21 | ASH | 4831186944] 	C:\hiberfil.sys
[12/10/2009 - 18:21:50 | D ] 	C:\Intel
[13/05/2010 - 08:31:14 | A | 17232350] 	C:\mcdbp.log
[10/06/2010 - 05:46:27 | ASH | 6441586688] 	C:\pagefile.sys
[14/07/2009 - 05:20:08 | D ] 	C:\PerfLogs
[13/05/2010 - 08:24:51 | RD ] 	C:\Program Files
[09/06/2010 - 16:01:15 | RD ] 	C:\Program Files (x86)
[31/03/2010 - 21:51:11 | HD ] 	C:\ProgramData
[12/09/2009 - 12:33:18 | SHD ] 	C:\Recovery
[09/06/2010 - 15:56:54 | SHD ] 	C:\System Volume Information
[10/06/2010 - 06:08:45 | D ] 	C:\UsbFix
[10/06/2010 - 06:08:49 | A | 2292] 	C:\UsbFix.txt
[12/09/2009 - 12:33:29 | RD ] 	C:\Users
[09/06/2010 - 14:07:27 | D ] 	C:\Windows
[10/06/2010 - 06:08:47 | SHD ] 	D:\$Recycle.Bin
[12/09/2009 - 10:13:15 | HD ] 	D:\ACER
[12/09/2009 - 08:15:01 | D ] 	D:\ACERNB
[10/05/2010 - 20:43:59 | A | 11047820] 	D:\Allods-EU_Francais.exe
[10/05/2010 - 21:32:29 | A | 2611342860] 	D:\allods-v6-francais_JeuxVideo.com_14531.zip
[22/12/2009 - 20:02:48 | D ] 	D:\AR3
[14/04/2009 - 02:26:52 | AD ] 	D:\Book
[12/09/2009 - 13:25:30 | SHD ] 	D:\Boot
[14/07/2009 - 03:38:58 | RASH | 383562] 	D:\bootmgr
[12/09/2009 - 13:25:31 | RASH | 8192] 	D:\BOOTSECT.BAK
[11/05/2010 - 07:59:46 | D ] 	D:\box
[02/12/2009 - 19:21:53 | D ] 	D:\C&C 3
[04/01/2010 - 13:23:16 | D ] 	D:\CLIPART
[06/01/2010 - 08:05:17 | D ] 	D:\Document Themes 12
[02/11/2006 - 17:42:17 | SHD ] 	D:\Documents and Settings
[14/04/2009 - 01:07:04 | D ] 	D:\Intel
[04/01/2010 - 13:20:59 | D ] 	D:\MEDIA
[14/04/2009 - 01:35:50 | RHD ] 	D:\MSOCache
[09/06/2010 - 06:37:47 | D ] 	D:\Office12
[21/01/2008 - 05:04:13 | D ] 	D:\PerfLogs
[12/09/2009 - 08:19:16 | RD ] 	D:\Program Files
[12/09/2009 - 08:29:43 | RD ] 	D:\Program Files (x86)
[12/09/2009 - 08:34:59 | HD ] 	D:\ProgramData
[12/09/2009 - 08:02:41 | A | 2637] 	D:\RHDSetup.log
[18/03/2010 - 09:26:29 | D ] 	D:\save hd
[01/11/2009 - 15:21:24 | D ] 	D:\seven
[04/01/2010 - 13:21:07 | D ] 	D:\Stationery
[12/09/2009 - 08:29:37 | SHD ] 	D:\System Volume Information
[04/01/2010 - 13:23:18 | D ] 	D:\Templates
[12/09/2009 - 08:12:59 | RD ] 	D:\Users
[12/09/2009 - 12:01:03 | D ] 	D:\Windows
[02/06/2010 - 23:25:57 | D ] 	D:\World of Warcraft
[10/06/2010 - 06:08:47 | SHD ] 	E:\$RECYCLE.BIN
[13/11/2009 - 13:23:26 | D ] 	E:\C&CGenerals_Zero hour
[13/11/2009 - 18:17:26 | D ] 	E:\Command & Conquer 3.Les guerres du Tiberium
[20/11/2009 - 22:06:55 | A | 8239804416] 	E:\Command and Conquer 3 - Les guerres du tiberium.iso
[27/11/2009 - 10:46:06 | A | 3984588800] 	E:\Command and Conquer 3 - Les guerres du tiberium.part1.rar
[27/11/2009 - 11:08:52 | A | 3984588800] 	E:\Command and Conquer 3 - Les guerres du tiberium.part2.rar
[27/11/2009 - 11:09:10 | A | 30997029] 	E:\Command and Conquer 3 - Les guerres du tiberium.part3.rar
[13/11/2009 - 13:26:32 | A | 230657236] 	E:\Command.And.Conquer.3.Kanes.Wrath.French.AddOn.Skullptura.rar
[13/11/2009 - 13:26:29 | A | 1707526914] 	E:\Command.And.Conquer.3.Kanes.Wrath.Full-Rip.Multi-6.Skullptura.rar
[30/03/2010 - 22:43:13 | D ] 	E:\Fake Webcam 5.1 + Serial [h33t] [SoftFullDownload]
[30/03/2010 - 23:51:05 | D ] 	E:\Fake Webcam 6.1 + Keygen
[01/11/2009 - 12:02:14 | D ] 	E:\Genesis Rising
[15/09/2009 - 17:07:12 | D ] 	E:\Jeux
[13/03/2009 - 22:59:17 | A | 5736566784] 	E:\rld-r3e1.iso
[27/12/2009 - 20:09:48 | D ] 	E:\save externe
[13/11/2009 - 19:52:11 | D ] 	E:\SCS
[08/11/2009 - 13:58:58 | D ] 	E:\simcity
[08/11/2009 - 13:05:50 | D ] 	E:\SimCity 4 Deluxe + Crack
[01/05/2010 - 15:10:04 | A | 4183228416] 	E:\Spore Complet fr.iso
[12/09/2009 - 12:26:59 | SHD ] 	E:\System Volume Information
[09/01/2010 - 13:39:19 | A | 3005054976] 	E:\Windows 2008 R2 incl CRACK! (Genuine).iso
[24/01/2010 - 21:47:18 | A | 465] 	E:\Windows 7 Key.txt
[30/10/2009 - 08:13:01 | D ] 	E:\World of Warcraft
[06/12/2009 - 15:22:24 | D ] 	E:\[PC-Rip English] Command And Conquer 3 Tiberium Wars Kane Ed. v1.02 Full Game by Skullptura

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
E:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_TERMINAL.zip
https://www.ionos.fr/?affiliate_id=77097
Merci de votre contribution.

################## | E.O.F |
          0
          2. Plop
            J'ai, suite a la détection de ce matin, relancé un scan antivir et re positif ...

            - objet : setupupdater000.exe TR/Spy.1066496 action : réparer
            Le fichier 'C:\Users\Root\AppData\Roaming\B005BB3768324E212BDFB3AB5A3A8BE7\setupupdater0000.exe'
            contenait un virus ou un programme indésirable 'TR/Spy.1066496' [trojan].
            Action(s) exécutée(s) :
            Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c8478c0.qua' !

            Il s'agit donc du deuxieme positif precedement mentionné.
            0
            1. Utilisateur anonyme
              * Lance ZHPFix (tu dois avoir un raccourci sur ton Bureau, sinon tu peux le lancer à partir de ZHPDiag). Pour le lancer, tu fait clic droit dessus, et sur
              exécuter en tant qu'administrateur
              * Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
              * Copie/colle la ligne suivante et place la dans ZHPFix :

              [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoActiveDesktopChanges: Modified
              O2 - BHO: wiseHelper Class - {BA794852-44E2-4eab-8F00-4A570B36CB27} . (.Pas de propriétaire - Pas de description.) -- (.not file.)
              O2 - BHO: (no name) - {DDA7D5D6-D573-E692-A945-D8764E11C8AB} . (.Pas de propriétaire - Pas de description.) -- (.not file.)
              [HKCU\Software\V71IQL7HI7]

              * Clique sur « Tous », puis sur « Nettoyer »
              * Copie/colle la totalité du rapport dans ta prochaine réponse
              0
              1. Plop
                Re,

                Operation effectué, voici le rapport : 

                ZHPFix v1.12.3104  by Nicolas Coolman - Rapport de suppression du 10/06/2010 16:00:49
Fichier d'export Registre : C:\ZHPExportRegistry-10-06-2010-16-00-49.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

Processus mémoire :
(Néant)

Module mémoire :
(Néant)

Clé du Registre :
O2 - BHO: wiseHelper Class - {BA794852-44E2-4eab-8F00-4A570B36CB27} . (.Pas de propriétaire - Pas de description.) -- (.not file.)  => Clé supprimée avec succès
O2 - BHO: (no name) - {DDA7D5D6-D573-E692-A945-D8764E11C8AB} . (.Pas de propriétaire - Pas de description.) -- (.not file.)  => Clé supprimée avec succès
HKCU\Software\V71IQL7HI7  => Clé supprimée avec succès

Valeur du Registre :
(Néant)

Elément de données du Registre :
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoActiveDesktopChanges: Modified  => Donnée supprimée avec succès

Préférences navigateur :
(Néant)

Dossier :
(Néant)

Fichier :
(Néant)

Logiciel :
(Néant)

Script Registre :
(Néant)

Master Boot Record :
(Néant)

Autre :
(Néant)


Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 3
Valeur du Registre : 0
Elément de données du Registre : 1
Dossier : 0
Fichier : 0
Logiciel : 0
Master Boot Record : 0
Préférences navigateur : 0
Autre : 0


End of the scan
                0
                1. Utilisateur anonyme
                  On va nettoyer d'éventuelles traces d'infections avec Malwarebytes

                  Télécharge malwarebytes' anti-malware
                  https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/
                  Enregistre le sur le bureau
                  Double-clique sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation
                  Si la pare-feu demande l'autorisation de se connecter pour malwarebytes, accepte
                  Il va se mettre à jour une fois faite
                  Va dans l'onglet recherche
                  Sélectionne exécuter un examen complet
                  Clique sur rechercher
                  Le scan démarre
                  A la fin de l'analyse, le message s'affiche: L'examen s'est terminé normalement.
                  Clique sur afficher les résultats pour afficher les objets trouvés
                  Clique sur OK pour pousuivre
                  Si des malwares ont été détectés, cliquer sur afficher les résultats
                  Sélectionne tout (ou laisser coché)
                  Clique sur supprimer la sélection
                  Malwarebytes va détruire les fichiers et les clés de registre et en mettre une
                  copie dans la quarantaine
                  Malewarebytes va ouvrir le bloc-note et y copier le rapport
                  Redémarre le PC
                  Une fois redémarré, double-clique sur Malewarebytes
                  Va dans l'onglet rapport/log
                  Clique dessus pour l'afficher une fois affiché, cliquer sur édition en haut du
                  bloc-note puis sur sélectionner tout
                  Revient sur édition, puis sur copier et revient sur le forum et dans ta réponse
                  Clic droit dans le cadre de la réponse et coller
                  0
                  1. Plop
                    Re,

                    Voici le rapport : 

                    Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4188

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

11/06/2010 17:55:29
mbam-log-2010-06-11 (17-55-29).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 123853
Temps écoulé: 3 minute(s), 0 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 3
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\AppID\{38061edc-40bb-4618-a8da-e56353347e6d} (Adware.EZlife) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\{7b6a2552-e65b-4a9e-add4-c45577ffd8fd} (Adware.EZLife) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\AppDataLow\HavingFunOnline (Adware.BHO.FL) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\jswtepfqxhupea (Trojan.Agent) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Windows\System32\rkuxwhuoasoinjzxw.exe (Adware.Adrotator) -> Quarantined and deleted successfully.
                    0
                    1. Utilisateur anonyme
                      Bonjour
                      Vide la quarantaine de Malwarebytes
                      Toujours des alertes ?
                      0
                      1. Plop
                        Re bonjour,

                        Pour le moment non, plus d'alerte, je ferai quelques scan pour voir demain matin au cas ou, du reste ça devrai etre propre a present ?

                        En tout cas Merci beaucoup pour ce soutiens ^^
                        0
                        1. Utilisateur anonyme
                          Bonjour,
                          Tu feras un scan complet avec ton anti-virus
                          0

                          Discussions similaires

                          Nouveau tag ajouté | Nouvelle option activé sans permission?
                          BountyFullChest

                          1 réponse
                          Huawei P8 Lite "nouveau tag ajouté"
                          ArianeKathleen

                          25 réponses
                          Nouveau tag ajouté - Utilité
                          Eerfers

                          1 réponse
                          Google Chrome "  Échec de l'analyse antivirus "
                          jmpower

                          18 réponses
                          " Échec de l'analyse antivirus " la solution.
                          bazfile

                          0 réponse