Bonjour, je poste à nouveau car mon problème n'est toujours pas résolu. Comme on me l'a conseillé, j'ai fait une analyse avec Malwarebytes qui a détecté 11 éléments infectés et les a nettoyés. Mais chaque fois que je me connecte à internet les informations suivantes apparaissent dans l'historique de Norton Internet Security : -L'adresse IP a disparu de l'adaptateur internet ADSL et n'est plus protégée -Connecté à un réseau protégé (0.0.0.0) -L'adresse IP a disparu de l'adaptateur carte microsoft 6to4 #5 et n'est plus protégée -Une instance de « C:\window\system32\spoolsv.exe » se prépare à accéder à Internet -Une instance de « C:\window\system32\csrss.exe » se prépare à accéder à Internet Ces infos sont apparues le 23 mai après 55 de l'une ou l'autre de ces « infos » listées dans l'historique de sécurité Norton : -Le blocage des ports inutilisés a bloqué des communications. Connexion TCP entrante de 95.78.10.74, service local. Port 40952 -La règle « Bloquer par défaut SMB microsoft Windows 2000 » a bloqué (79.44.211.21, port 445) Connexion TCP entrante. Hier soir, ces 55 infos n'apparaissaient plus dans l'historique de sécurité Norton... Je n'ose plus utiliser mon ordi ! Comment comprendre que l'adresse IP s'est subitement mise à disparaître du modem et de la carte microsoft ? Cela veut-il dire que mon ordi est piraté ? Quelqu'un a t'il une idée ? Je vous remercie. A la maison, ma configuration est: Windows Vista / Firefox 3.6.3

Ordi piraté? [Résolu]

Réponse 1 / 10

sKe69 Messages postés 21360 Date d'inscription samedi 15 mars 2008 Statut Contributeur sécurité Dernière intervention 30 décembre 2012 463
Modifié par sKe69 le 16/06/2010 à 11:15

Hello,

on va regarder cela ....

tout d'abors , il me faut un diagnostique précis du PC ... fait ce qui suit :

Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau :

-> https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

!! déconnecte toi et ferme toutes tes applications en cours !!

> Double-clique sur "ZHPDiag.exe" ( avec Vista/Seven faire clique droit / "executer en tant qu'admin..." ) pour lancer l'installation de l'outil et laisse toi guider. Ne modifie pas les paramètres d'installe et coche bien la case "créer une icone sur le bureau" afin d'avoir les raccourcis "ZHPDiag" et "ZHPFix" .

> A la fin de l'installe , laisse bien la case "executer ZHPDiag" cochée et clique sur "Terminer " > l'outil se lancera donc automatiquement .

> Une fois ZHPDiag ouvert, clique sur le bouton "option" en haut sur la droite .
( celui avec le tournevis )

Une liste apparait dans l'encadré principal > coche toutes les lignes sauf les 045 et 061 ( important ! ) .

> clique sur le bouton "calendrier" qui est en haut à droite : choisis 30 days

> Puis clique sur le bouton de "la loupe" ( en haut à gauche ) pour lancer le scan .

Laisses travailler l'outil ...
( cela peut-être relativement long . Si ton antivirus émet des alertes lors du scan, ignore les pour le moment , ne mets rien en quarantaine ! )

> Une fois terminé, le rapport obtenu ( ZHPDiag.txt ) est sauvegardé sur ton bureau.

Ferme le programme ...

-> Pour me faire parvenir ce rapport, rends toi sur ce site : http://www.cijoint.fr/

* Clique sur "parcourir" et va jusqu'au rapport ZHPDiag.txt qui est sauvegardé sur le bureau .
* Clique ensuite sur "cliquer ici pour déposer le fichier" et patiente ...
* Une fois l'upload finit , un lien apparait > copie/colle le dans ta prochaine réponse stp ....

"Baby, I'm going on an airplane, And I don't know if I'll be back again"
IMPORTANT : ne vous croyez pas tiré d'affaire tant qu'on ne
vous l'a pas dit !

Little Gazelle
16 juin 2010 à 23:45

Bonsoir sKe69 ou bonjour !

Je te remercie.
J'ai suivi tes instructions. Le rapport ZHPDiag se trouve là :

http://www.cijoint.fr/cjlink.php?file=cj201006/cijVOIajWf.txt

J'ose espérer que ce rapport laisse entrevoir un début de solution ...

Réponse 2 / 10

sKe69 Messages postés 21360 Date d'inscription samedi 15 mars 2008 Statut Contributeur sécurité Dernière intervention 30 décembre 2012 463
16 juin 2010 à 23:52

bon ....

pas grand chose dans ce rapport ! ... A part que ton PC n'est pas à jour ( on s'occupera de cela à la fin )

on va tout de même vérifier ceci :

1- protocole à suivre pour Windows Vista :

*Désactiver le contrôle des comptes utilisateurs ou UAC (le réactiver seulement à la fin de la désinfection) :

Aller dans "démarrer" puis "panneau de configuration" :
--->Sur la droite de la fenêtre , cliques sur " affichage classique "
--->Double-Cliquer sur l'icône "Comptes d'utilisateurs"
--->Cliquer ensuite sur "Activer ou désactiver le contrôle ..." .
--->Décocher la case "utlisiser le contrôle ..." et cliquer sur OK .
--->Redémarrer le PC !

Tutos :
http://pagesperso-orange.fr/NosTools/uac_vista.html
https://forum.malekal.com/viewtopic.php?f=59&t=6517

* Important :
Pour installer ou pour lancer les outils, que tu utiliseras au court de la désinfection, fais toujours ainsi :
clique DROIT ( sur le setup d'installe ou sur l'outil ) -> choisis " Exécuter entant qu'administrateur " .
Fais ceci systématiquement ! ...

une fois ceci fait et pris en compte , fait la suite ...

====================

2- Télécharge UsbFix ( de C_XX, Chimay8 & El desaparecido ) sur ton bureau :

ici http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe
ou ici https://www.ionos.fr/?affiliate_id=77097

! Déconnecte toi d'internet, désactive ton antivirus et ferme toutes applications en cours !

Impératif :
Branche toutes tes unités externes à ton PC (clé USB, DD externe, flash disk, lecteur MP3,carte SD, etc...) succeptibles d'avoir été infectés ( mais sans les ouvrir ! ) .

# Clique droit / executer en tant qu'admin..." sur UsbFix.exe présent sur ton bureau pour lancer l'outil.

# Clique sur le bouton [ Recherche ] .

# Laisse travailler l'outil et ne touche à rien pendant le scan .

# Une fois terminé, poste le rapport UsbFix.txt qui apparaitra.

Le rapport est en outre sauvegardé à la racine du disque maitre ( C:\UsbFix.txt ).

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Note :
"Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

Site de l'auteur > http://pagesperso-orange.fr/NosTools/usbfix.html

Little Gazelle
17 juin 2010 à 22:30

Bonsoir sKe69

Voici le rapport UsbFix. Je n'y connais rien mais la section « éléments infectieux » m'inquiète ...

Durant le scan UsbFix a tenté d'accéder aux données de processus mais l'accès a été bloqué. Est-il important qu'UsbFix ait accès à ces données?

############################## | UsbFix 7.011 | [Recherche]

Utilisateur: Ghislaine (Administrateur) # PC-DE-GHISLAINE [Compaq-Presario VG035AA-ABF CQ5112FR]
Mis à jour le 17/06/2010 par El Desaparecido / C_XX
Lancé à 21:23:33 | 17/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: Pentium(R) Dual-Core CPU E5200 @ 2.50GHz
CPU 2: Pentium(R) Dual-Core CPU E5200 @ 2.50GHz
Microsoft® Windows Vista(TM) Édition Familiale Basique (6.0.6001 32-Bit) # Service Pack 1
Internet Explorer 7.0.6001.18000

Pare-feu Windows: Désactivé /!\
RAM -> 3316 Mo
C:\ (%systemdrive%) -> Disque fixe # 687 Go (560 Go libre(s) - 81%) [COMPAQ] # NTFS
D:\ -> Disque fixe # 11 Go (2 Go libre(s) - 14%) [FACTORY_IMAGE] # NTFS
E:\ -> CD-ROM
H:\ -> Disque fixe # 233 Go (229 Go libre(s) - 98%) [LACIE] # FAT32
I:\ -> Disque amovible # 489 Mo (474 Mo libre(s) - 97%) [] # FAT

################## | Éléments infectieux |

Présent! C:\$Recycle.Bin\S-1-5-21-1591991336-4103408991-2534766967-1000
Présent! C:\$Recycle.Bin\S-1-5-21-1591991336-4103408991-2534766967-500
Présent! C:\$Recycle.Bin\S-1-5-21-1885355273-2221160008-2718125810-500
Présent! C:\$Recycle.Bin\S-1-5-21-3249487005-1785671283-1924181950-1000
Présent! D:\$Recycle.Bin\S-1-5-21-1591991336-4103408991-2534766967-1000
Présent! D:\$Recycle.Bin\S-1-5-21-1591991336-4103408991-2534766967-500
Présent! D:\$Recycle.Bin\S-1-5-21-3249487005-1785671283-1924181950-1000

################## | Registre |

Présent! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System|DisableTaskMgr

################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\{9e036ccb-cef4-11de-9568-000000000000}
Shell\Auto\Command = cmd /C launch.bat
Shell\AutoRun\Command = C:\Windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL cmd /C launch.bat

################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |

Réponse 3 / 10

sKe69 Messages postés 21360 Date d'inscription samedi 15 mars 2008 Statut Contributeur sécurité Dernière intervention 30 décembre 2012 463
17 juin 2010 à 23:10

Re,

Durant le scan UsbFix a tenté d'accéder aux données de processus mais l'accès a été bloqué

merci de bien désactiver l'antivirus comme demandé pour que l'outil puisse faire correctement son job !

la suite dans l'ordre :

1- ! Déconnecte toi d'internet et ferme toutes applications en cours !

Impératif :
Branche toutes tes unités externes à ton PC (clé USB, DD externe, flash disk, lecteur MP3,carte SD, etc...) succeptibles d'avoir été infectés ( mais sans les ouvrir ! ) .

# Clique droit / "executer en tant qu'admin..." sur UsbFix.exe présent sur ton bureau pour lancer l'outil .

# Cette fois ci , tu cliques sur le bouton [ Suppression ].

> Ton bureau disparaitra et le pc redémarrera ( c'est normal ).

# Une fois terminé, poste le nouveau rapport UsbFix.txt qui apparaitra avec le bureau .

( Le rapport est en outre sauvegardé à la racine du disque maitre > C:\UsbFix.txt ).

/!\ Une fois le rapport posté , redémarre de suite ton PC pour que l'outil finisse le nettoyage !

Note : Si le Bureau ne réapparait pas, presse Ctrl + Alt + Suppr pour ouvrir le Gestionnaire des Tâches > Onglet "Fichier" , "Nouvelle tâche" , tape explorer.exe et valide )

=======================

2- Refais un scan ZHPDiag "en tant qu'admin..." .

* coche bien toutes les options ( sauf la 045 et 061 ),

* au niveau du bouton "calendrier" choisis > 30 days

> poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...

Little Gazelle
18 juin 2010 à 21:03

Bonsoir, j'ai suivi toutes les instructions. Norton Internet Security était entièrement désactivé et pourtant, UsbFix n'a pas pu avoir accès aux données de processus. Je ne sais pas ce que je dois faire pour autoriser cet accès !

Voici le rapport UsbFix :

############################## | UsbFix 7.011 | [Suppression]

Utilisateur: Ghislaine (Administrateur) # PC-DE-GHISLAINE [Compaq-Presario VG035AA-ABF CQ5112FR]
Mis à jour le 17/06/2010 par El Desaparecido / C_XX
Lancé à 20:28:28 | 18/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: Pentium(R) Dual-Core CPU E5200 @ 2.50GHz
CPU 2: Pentium(R) Dual-Core CPU E5200 @ 2.50GHz
Microsoft® Windows Vista(TM) Édition Familiale Basique (6.0.6001 32-Bit) # Service Pack 1
Internet Explorer 7.0.6001.18000

Pare-feu Windows: Désactivé /!\
RAM -> 3316 Mo
C:\ (%systemdrive%) -> Disque fixe # 687 Go (559 Go libre(s) - 81%) [COMPAQ] # NTFS
D:\ -> Disque fixe # 11 Go (2 Go libre(s) - 14%) [FACTORY_IMAGE] # NTFS
E:\ -> CD-ROM
H:\ -> Disque fixe # 233 Go (229 Go libre(s) - 98%) [LACIE] # FAT32
I:\ -> Disque amovible # 489 Mo (474 Mo libre(s) - 97%) [] # FAT

################## | Éléments infectieux |

Supprimé! C:\$Recycle.Bin\S-1-5-21-1591991336-4103408991-2534766967-1000
Supprimé! C:\$Recycle.Bin\S-1-5-21-1591991336-4103408991-2534766967-500
Supprimé! C:\$Recycle.Bin\S-1-5-21-1885355273-2221160008-2718125810-500
Supprimé! C:\$Recycle.Bin\S-1-5-21-3249487005-1785671283-1924181950-1000
Supprimé! D:\$Recycle.Bin\S-1-5-21-1591991336-4103408991-2534766967-1000
Supprimé! D:\$Recycle.Bin\S-1-5-21-1591991336-4103408991-2534766967-500
Supprimé! D:\$Recycle.Bin\S-1-5-21-3249487005-1785671283-1924181950-1000

################## | Registre |

Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System|DisableTaskMgr

################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{9e036ccb-cef4-11de-9568-000000000000}

################## | Listing |

[18/06/2010 - 20:30:45 | SHD ] C:\$Recycle.Bin
[18/09/2006 - 23:43:36 | A | 24] C:\autoexec.bat
[20/06/2009 - 04:08:06 | SHD ] C:\Boot
[21/01/2008 - 04:34:29 | RASH | 333203] C:\bootmgr
[20/06/2009 - 04:08:08 | RAS | 8192] C:\BOOTSECT.BAK
[18/09/2006 - 23:43:37 | A | 10] C:\config.sys
[02/11/2006 - 14:59:44 | SHD ] C:\Documents and Settings
[18/06/2010 - 19:48:01 | ASH | 3478315008] C:\hiberfil.sys
[17/10/2009 - 15:19:33 | HD ] C:\hp
[19/06/2009 - 19:13:34 | D ] C:\Intel
[18/06/2010 - 19:48:00 | ASH | 3791929344] C:\pagefile.sys
[21/01/2008 - 04:43:50 | D ] C:\PerfLogs
[15/06/2010 - 19:07:59 | D ] C:\Program Files
[06/06/2010 - 22:34:10 | HD ] C:\ProgramData
[18/06/2010 - 19:48:34 | SHD ] C:\System Volume Information
[13/01/2010 - 17:10:03 | D ] C:\Temp
[19/06/2009 - 19:25:46 | A | 349] C:\updatedatfix.log
[18/06/2010 - 20:30:45 | D ] C:\UsbFix
[17/06/2010 - 21:17:28 | A | 1973] C:\UsbFix 17 juin 2010.txt
[18/06/2010 - 20:28:28 | A | 2733] C:\UsbFix.txt
[17/10/2009 - 13:01:36 | RD ] C:\Users
[03/11/2009 - 10:16:38 | D ] C:\Windows
[26/08/2008 - 14:37:52 | A | 458] C:\Windows Sidebar
[18/06/2010 - 20:30:45 | SHD ] D:\$RECYCLE.BIN
[22/06/2007 - 17:44:20 | SH | 438328] D:\boo.mgr
[20/06/2009 - 06:26:20 | RSHD ] D:\boot
[19/01/2008 - 00:45:46 | SH | 333203] D:\bootmgr
[28/03/2008 - 19:54:00 | SH | 1242] D:\Desktop.ini
[20/06/2009 - 06:26:25 | RSHD ] D:\hp
[13/06/2010 - 19:32:23 | ASH | 197] D:\MASTER.LOG
[20/06/2009 - 06:26:25 | ASHD ] D:\PC-Doctor for Win PE
[11/02/2009 - 16:47:48 | ASH | 422] D:\pcdr.ini
[20/06/2009 - 06:26:20 | RSHD ] D:\PRELOAD
[19/06/2007 - 16:22:02 | SH | 112102] D:\protect.arabic
[19/06/2007 - 16:22:06 | SH | 109016] D:\protect.catalan
[19/06/2007 - 16:22:18 | SH | 109342] D:\protect.chinese hong kong
[19/06/2007 - 16:22:16 | SH | 109360] D:\protect.chinese simplified
[19/06/2007 - 16:22:18 | SH | 109342] D:\protect.chinese traditional
[04/07/2007 - 12:31:56 | SH | 111514] D:\protect.czech
[19/06/2007 - 16:22:04 | SH | 109124] D:\protect.danish
[19/06/2007 - 16:22:12 | SH | 109049] D:\protect.dutch
[19/06/2007 - 16:22:06 | SH | 109092] D:\protect.english
[19/06/2007 - 16:22:06 | SH | 109092] D:\protect.finnish
[19/06/2007 - 16:22:06 | SH | 109060] D:\protect.french
[19/06/2007 - 16:22:04 | SH | 109094] D:\protect.german
[04/07/2007 - 12:33:04 | SH | 112496] D:\protect.greek
[04/07/2007 - 12:36:08 | SH | 112439] D:\protect.hebrew
[19/06/2007 - 16:22:08 | SH | 108979] D:\protect.italian
[19/06/2007 - 16:22:10 | SH | 109795] D:\protect.japanese
[19/06/2007 - 16:22:10 | SH | 109487] D:\protect.korean
[04/07/2007 - 12:39:18 | SH | 111341] D:\protect.norwegian
[04/07/2007 - 12:39:54 | SH | 111520] D:\protect.polish
[04/07/2007 - 12:41:00 | SH | 111396] D:\protect.portuguese
[04/07/2007 - 12:40:26 | SH | 111645] D:\protect.portuguese brazilian
[19/06/2007 - 16:22:14 | SH | 163804] D:\protect.russian
[05/07/2007 - 11:32:26 | SH | 111738] D:\protect.serbian latin
[04/07/2007 - 12:46:48 | SH | 111733] D:\protect.slovak
[19/06/2007 - 16:22:06 | SH | 109016] D:\protect.spanish
[04/07/2007 - 12:43:52 | SH | 111384] D:\protect.swedish
[04/07/2007 - 12:45:02 | SH | 111608] D:\protect.turkish
[20/06/2009 - 06:26:20 | RD ] D:\RECOVERY
[20/06/2009 - 06:26:20 | SH | 44] D:\RESTORE.INI
[20/06/2009 - 06:26:20 | RSHD ] D:\SOURCES
[18/06/2010 - 19:48:34 | SHD ] D:\System Volume Information
[17/10/2009 - 14:01:40 | SHD ] H:\$RECYCLE.BIN
[03/01/2010 - 20:27:18 | D ] H:\COMPAQ
[21/10/2009 - 13:43:58 | A | 444928] I:\Modem ADSL Sagem F.doc
[21/10/2009 - 15:32:26 | D ] I:\Fast800B
[04/05/2010 - 17:13:12 | D ] I:\Boulot
[19/03/2010 - 22:08:32 | D ] I:\Boulot docs divers
[15/06/2010 - 21:14:16 | A | 34304] I:\Aide + ZHPDiag.wps
[15/06/2010 - 21:24:06 | A | 255080] I:\ZHPDiag rapport juin 2010.wps
[16/06/2010 - 10:50:02 | A | 21504] I:\CCM.doc
[17/06/2010 - 17:53:38 | A | 22528] I:\Aide CCM.doc
[17/06/2010 - 19:12:40 | A | 20992] I:\Aide CCM.wps
[18/06/2010 - 17:10:54 | A | 22016] I:\Aide 18 juin.doc
[18/06/2010 - 17:55:18 | A | 20480] I:\B&J.doc

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
H:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
I:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_PC-DE-GHISLAINE.zip
https://www.ionos.fr/?affiliate_id=77097
Merci de votre contribution.

################## | E.O.F |

Little Gazelle
18 juin 2010 à 21:44

Re bonsoir,
j'ai mis le rapport ZHPDiag sur ci-joint :

http://www.cijoint.fr/cjlink.php?file=cj201006/cijPLvEuNN.txt

Et je constate avec désespoir que dès que je me connecte à internet, les infos suivantes apparaissent toujours dans l'historique de sécurité Norton.

-Protection de votre connexion à un réseau nouvellement détecté sur votre adaptateur « Internet ADSL »
-Connecté à un réseau protégé (0.0.0.0)
-Connecté à un réseau protégé ((111) adsl)
-Connecté à un réseau protégé ((111) adsl)
-Connecté à un réseau protégé ((111) adsl)
-Protection de votre connexion à un réseau nouvellement détecté sur l'adaptateur « carte microsoft 6to4 #5 »
-L'adresse IP a disparu de l'adaptateur internet ADSL et n'est plus protégée
-L'adresse IP a disparu de l'adaptateur carte microsoft 6to4 #5 et n'est plus protégée
-Connecté à un réseau protégé (0.0.0.0)

Little Gazelle
18 juin 2010 à 22:18

J'ai pris la liberté de faire une nouvelle recherche avec UsbFix, voici le résultat.

Bien que Norton Internet Security soit entièrement désactivé, UsbFix ne peut toujours pas accéder aux données de processus et je ne sais toujours pas quoi faire pour l'y autoriser !

############################## | UsbFix 7.011 | [Recherche]

Utilisateur: Ghislaine (Administrateur) # PC-DE-GHISLAINE [Compaq-Presario VG035AA-ABF CQ5112FR]
Mis à jour le 17/06/2010 par El Desaparecido / C_XX
Lancé à 21:57:52 | 18/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: Pentium(R) Dual-Core CPU E5200 @ 2.50GHz
CPU 2: Pentium(R) Dual-Core CPU E5200 @ 2.50GHz
Microsoft® Windows Vista(TM) Édition Familiale Basique (6.0.6001 32-Bit) # Service Pack 1
Internet Explorer 7.0.6001.18000

Pare-feu Windows: Désactivé /!\
RAM -> 3316 Mo
C:\ (%systemdrive%) -> Disque fixe # 687 Go (559 Go libre(s) - 81%) [COMPAQ] # NTFS
D:\ -> Disque fixe # 11 Go (2 Go libre(s) - 14%) [FACTORY_IMAGE] # NTFS
E:\ -> CD-ROM
H:\ -> Disque fixe # 233 Go (229 Go libre(s) - 98%) [LACIE] # FAT32
I:\ -> Disque amovible # 489 Mo (474 Mo libre(s) - 97%) [] # FAT

################## | Éléments infectieux |

Présent! C:\$Recycle.Bin\S-1-5-21-1591991336-4103408991-2534766967-1000
Présent! D:\$Recycle.Bin\S-1-5-21-1591991336-4103408991-2534766967-1000

################## | Registre |

################## | Mountpoints2 |

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
H:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
I:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | E.O.F |

Réponse 4 / 10

sKe69 Messages postés 21360 Date d'inscription samedi 15 mars 2008 Statut Contributeur sécurité Dernière intervention 30 décembre 2012 463
21 juin 2010 à 08:59

hello,

on est OK au niveau de UsbFix ...

fait ceci maintenant :

1- Télécharges Malwarebytes' :
ici https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/
ou ici : http://www.malwarebytes.org/mbam.php
ou ici : http://www.malwarebytes.org/mbam/program/mbam-setup.exe

* Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'instale ) et mets le à jour .

(NB : S'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : https://www.malekal.com/tutorial-aboutbuster/ )

* Potasse le tuto pour te familiariser avec le prg :
https://forum.pcastuces.com/sujet.asp?f=31&s=3
( cela dis, il est très simple d'utilisation ).

! Déconnecte toi et ferme toutes applications en cours !

* Lance Malwarebytes' .

Fais un examen dit "RAPIDE" .

--> Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
--> à la fin tu cliques sur "résultat" .
--> Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes', le dernier en date) pour analyse ...

===========================

2- Refais un scan ZHPDiag " en tant qu'admin..." .

* coche bien toutes les options ( sauf la 045 et 061 ),

* au niveau du bouton "calendrier" choisis > 30 days

> poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...

Little Gazelle
22 juin 2010 à 18:28

Bonjour sKe69,

Je ne suis pas sûre que nous soyons OK au niveau de UsbFix ...

Après la désinfection, je suis allée sur internet.
Dans l'historique de sécurité Norton, les mêmes infos apparaissent toujours :

-Protection de votre connexion à un réseau nouvellement détecté sur votre adaptateur
« Internet ADSL »
-Connecté à un réseau protégé (0.0.0.0)
-Connecté à un réseau protégé ((111) adsl)
-Connecté à un réseau protégé ((111) adsl)
-Connecté à un réseau protégé ((111) adsl)
-Protection de votre connexion à un réseau nouvellement détecté sur l'adaptateur « carte microsoft 6to4 #5 »
-L'adresse IP a disparu de l'adaptateur internet ADSL et n'est plus protégée
-L'adresse IP a disparu de l'adaptateur carte microsoft 6to4 #5 et n'est plus protégée
-Connecté à un réseau protégé (0.0.0.0)

J'ai fait un nouveau scan avec UsbFix, deux « lignes » qu'il dit avoir supprimées lors de la désinfection sont toujours présentes. Voir le rapport ci-dessous.

D'autre part, j'ai fait un scan rapide + un scan complet avec Malwarebytes, les deux ont donné zéro élément infecté.

Dernier Rapport UsbFix :

############################## | UsbFix 7.011 | [Recherche]

Utilisateur: Ghislaine (Administrateur) # PC-DE-GHISLAINE [Compaq-Presario VG035AA-ABF CQ5112FR]
Mis à jour le 17/06/2010 par El Desaparecido / C_XX
Lancé à 21:57:52 | 18/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: Pentium(R) Dual-Core CPU E5200 @ 2.50GHz
CPU 2: Pentium(R) Dual-Core CPU E5200 @ 2.50GHz
Microsoft® Windows Vista(TM) Édition Familiale Basique (6.0.6001 32-Bit) # Service Pack 1
Internet Explorer 7.0.6001.18000

Pare-feu Windows: Désactivé /!\
RAM -> 3316 Mo
C:\ (%systemdrive%) -> Disque fixe # 687 Go (559 Go libre(s) - 81%) [COMPAQ] # NTFS
D:\ -> Disque fixe # 11 Go (2 Go libre(s) - 14%) [FACTORY_IMAGE] # NTFS
E:\ -> CD-ROM
H:\ -> Disque fixe # 233 Go (229 Go libre(s) - 98%) [LACIE] # FAT32
I:\ -> Disque amovible # 489 Mo (474 Mo libre(s) - 97%) [] # FAT

################## | Éléments infectieux |

Présent! C:\$Recycle.Bin\S-1-5-21-1591991336-4103408991-2534766967-1000
Présent! D:\$Recycle.Bin\S-1-5-21-1591991336-4103408991-2534766967-1000

################## | Registre |

################## | Mountpoints2 |

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
H:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
I:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | E.O.F |

Réponse 5 / 10

sKe69 Messages postés 21360 Date d'inscription samedi 15 mars 2008 Statut Contributeur sécurité Dernière intervention 30 décembre 2012 463
Modifié par sKe69 le 22/06/2010 à 18:45

re,

pour moi c'est nickel ....

les éléments trouvé dans les poubelles :

Présent! C:\$Recycle.Bin\S-1-5-21-1591991336-4103408991-2534766967-1000
Présent! D:\$Recycle.Bin\S-1-5-21-1591991336-4103408991-2534766967-1000

sont des FP ....

l'essentielle est en gras ici :

-Connecté à un réseau protégé (0.0.0.0)
-Connecté à un réseau protégé ((111) adsl)
-Connecté à un réseau protégé ((111) adsl)
-Connecté à un réseau protégé ((111) adsl)
-Protection de votre connexion à un réseau nouvellement détecté sur l'adaptateur « carte microsoft 6to4 #5 »
-L'adresse IP a disparu de l'adaptateur internet ADSL et n'est plus protégée
-L'adresse IP a disparu de l'adaptateur carte microsoft 6to4 #5 et n'est plus protégée
-Connecté à un réseau protégé (0.0.0.0)

il ne faut pas chercher des noises là où il n'y en as pas .... ^^

fait tout de même ce qui suit :

Télécharge ComboFix (de sUBs) sur ton Bureau (et pas ailleurs !):

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

--------------------------------- [ ! ATTENTION ! ] ------------------------------------------
* Ferme tes applications en cours ( ainsi que ton navigateur ) .
* DESACTIVE TOUTES TES DEFENSES (anti-virus, garde anti spy-ware, pare-feu) le temps de la manipe .
En effet, activés, ils pourraient gêner fortement la procédure de recherche et de nettoyage de l'outil ( voir planter le PC )...Tu les réactiveras donc après !
->Important : si tu rencontres des difficultés à ce niveau là, fais m'en part avant de poursuivre ...
* Tuto ( aide ) ici : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix
* Note : pour XP, il est IMPERATIF d'installer la Console de Récupération de Windows si l'outil le demande ( voir tuto ci-dessus ).
--------------------------------- [ ! ATTENTION ! ] ------------------------------------------

Ensuite :
> Double-clique sur l'icône "Combofix.exe" pour lancer l'outil .
> A la fenêtre "DISCLAIMER..." , clique sur "oui" et laisse travailler ...

-- Pour XP, l' installation de la Console de Récupération sera demandé :
* Laisse toi guider et fais l'installe de la "console de récupération" ( en anglais, "Windows Recovery Console" ) lorsque l'outil te le demandera ( important ! ).
image > http://img.photobucket.com/albums/v706/ried7/RcAuto1.gif
*Une fois la console installée,
image > http://img.photobucket.com/albums/v706/ried7/whatnext.png
Déconnecte toi si possible avant de cliquer sur "yes" pour lancer le scan --

Notes importantes :
-> n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait figer l'ordi .
-> Il se peut que le PC redémarre de lui même ( pour finaliser le nettoyage ) , laisse le faire .
-> Si l'outil t'anonce ceci : "combofix a détecté la présence de rootkit et a besoin de faire redémarer votre machine", tu acceptes.
-> Si après un reboot éventuel , ton antivirus s'affole lorsque travail encore Combofix , ignore les alertes ! ( ne supprime rien et ne mets rien en quarantaine )

Le rapport sera crée ici : C:\Combofix.txt

Réactive bien tes défenses .

Poste le rapport Combofix pour analyse ...

"Baby, I'm going on an airplane, And I don't know if I'll be back again"
IMPORTANT : ne vous croyez pas tiré d'affaire tant qu'on ne
vous l'a pas dit !

Little Gazelle
22 juin 2010 à 23:29

Hello ! Nickel? OK ! De toute façon, je n'y connais rien !

Mais cette info, -Connecté à un réseau protégé (0.0.0.0)
je ne l'avais jamais vue avant le mois dernier. Et ce soir, je me suis aperçue que toutes ces infos concernant l'adresse IP, les connexions à un réseau protégé ou encore les blocages de connexion TCP entrantes (55 le 23 mai, 70 le 2 juin). Il n'y en a pas une seule de listée dans l'historique de sécurité complet avant le 3 juin ... Je suppose que c'est normal !

Concernant ComboFix. J'ai réussi à l'utiliser !
Cela dit, je n'ai pas pu l'installer sur le bureau et je n'ai eu d'autre choix que de le lancer depuis les téléchargements ! (A la maison, j'utilise Vista)

Après son passage, je n'ai pas pu ouvrir open office.
Raison : tentative d'opération non autorisée sur une clé du registre marquée pour suppression ...

J'ai redémarré l'ordi, il a fallu 3 bonnes minutes pour que le voyant de l'ADSL passe du rouge au vert ce qui est inhabituel... Pour le moment, je n'ai pas eu d'autres difficultés.

J'ai posté le rapport de ComboFix sur ci-joint :

http://www.cijoint.fr/cjlink.php?file=cj201006/cijSfPYOXM.txt

Bonne lecture !

Réponse 6 / 10

sKe69 Messages postés 21360 Date d'inscription samedi 15 mars 2008 Statut Contributeur sécurité Dernière intervention 30 décembre 2012 463
Modifié par sKe69 le 23/06/2010 à 00:04

bien ....

Cela dit, je n'ai pas pu l'installer sur le bureau et je n'ai eu d'autre choix que de le lancer depuis les téléchargements !

je ne vois pas pourquoi , j 'ai Vista et je peux choisir n'importe quelle destination pour enrgistrer un fichier téléchargé ... Ou encore , rien n'empêche de le déplacer du dossier "Downloads" vers le bureau ...

Bref, RAS dans le rapport Combo ...

on va finaliser .... dans l'ordre :

( ne saute pas d'étape ! si tu rencontres un soucis lors de cette manipe , tu stoppes et tu m'en fais part )

1-Télécharge ToolsCleaner (de A.Rothstein) sur ton Bureau.
http://pc-system.fr/

Déconnecte toi et ferme bien toutes tes applications en cours .

Clique droit sur le prg et choisis "exécuter en tant qu' Administrateur" pour le lancer.

* Clique sur Recherche et laisse le scan se terminer (cela peut être long).
* Clique sur Suppression pour finaliser.
* Clique sur "quitter" pour générer un rapport ( et pas sur la croix rouge !) :

--> Poste ce rapport : il se trouve à la racine de ton disque dur -> C:\TCleaner.txt .

Note : Ce petit soft va te nettoyer tout les trucs dont on c'est servi pour la désinfection .
Supprime tout les outils , dossiers ou rapports consernant la désinfection que Toolscleaner2 n'a pas supprimé .

( garde Malwarebytes : très utiles ! )

=====================

2- Télécharge et installe la dernière version de CCleaner :
https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/
ou https://www.pcastuces.com/logitheque/ccleaner.htm
Ce logiciel va permettre de supprimer tous les fichiers temporaires et de corriger ton registre .
Lors de l'installation:
-choisis bien "français" en langue .
-avant de cliquer sur le bouton "installer", décoche toutes les "options supplémentaires" sauf les 2 premières.

Un tuto ( aide ):
http://perso.orange.fr/jesses/Docs/Logiciels/CCleaner.htm

---> Utilisation:
*Décocher dans le menu Options - sous-menu Avancé :
Effacer uniquement les fichiers, du dossier temp de Windows, plus vieux que 48 heures .

! déconnecte toi et ferme toutes applications en cours !

* va dans "nettoyeur" : fais -analyse- puis -nettoyage-
* va dans "registre" : fais -chercher les erreurs- et -réparer toutes les erreurs-
( plusieurs fois jusqu'à ce qu'il n'y est plus d'erreur ) .

( CCleaner : soft à garder sur son PC , super utile pour de bons nettoyages ... )

=====================

3- Télécharge et installe le logiciel HijackThis :

ici https://www.commentcamarche.net/telecharger/securite/11747-hijackthis/
ou ici http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe
ou ici https://www.clubic.com/telecharger-fiche17891-hijackthis.html

-> Clique sur le setup pour lancer l'installe : laisse toi guider et ne modifie pas les paramètres d'installation .
A la fin de l'installe , le prg ce lance automatiquement : ferme le en cliquant sur la croix rouge .
Au final, tu dois avoir un raccourci sur ton bureau et aussi un cheminement comme :
"C:\ program files\Trend Micro\HijackThis\HijackThis.exe " .

( ne fais pas de scan pour le moment )

=====================

4- Important :
Purge de la restauration système
-->Désactive ta restauration :
Dans démarrer, clique droit sur ordinateur/propriétés/protection du système : décoche la case devant ton disk dur maitre ( pour toi -> C ) , valide, applique et OK
Redémarre ton PC ...

-->Réactive ta restauration :
Clique droit sur ordinateur/propriétés/protection du système : coche la case devant ton disk dur maitre , valide, applique et OK
Redémarre ton PC ...

( tuto : https://www.commentcamarche.net/faq/13214-vista-desactiver-reactiver-la-restauration-systeme-de-vista )

=====================

5- Fais ce scan en ligne pour vérifier :

( ne rien faire d'autre avec le PC durant le scan ! )

Fais un scan en ligne avec " Panda " :

> https://www.pandasecurity.com/en/homeusers/online-antivirus/?ref=activescan
( clique sur "scan your PC now" )

tuto :
https://www.malekal.com/scan-antivirus-ligne-nod32/#mozTocId237368

poste moi le rapport obtenu pour analyse ...

"Baby, I'm going on an airplane, And I don't know if I'll be back again"
IMPORTANT : ne vous croyez pas tiré d'affaire tant qu'on ne
vous l'a pas dit !

Little Gazelle
23 juin 2010 à 23:08

Bonsoir, j'ai réussi à mettre Toolscleaner sur le bureau !
Mais comme il le dit dans son rapport, il n'a pas pu supprimer ça : C:\Users\Ghislaine\Downloads\ComboFix.exe

J'ai trouvé ComboFix dans les téléchargements mais quand j'ai voulu le supprimer, windows m'a dit :
si vous supprimez ce programme, il est possible que les fichiers qui lui sont associés ne puissent plus être ouverts. Cette opération ne peut pas être annulée.

Je supprime quand même?! ...

[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

--> Recherche:

C:\Combofix.txt: trouvé !
C:\UsbFix.txt: trouvé !
C:\Combofix: trouvé !
C:\Qoobox: trouvé !
C:\UsbFix: trouvé !
C:\Program Files\ZHPDiag: trouvé !
C:\Program Files\ZHPDiag\ZHPdiag.exe: trouvé !
C:\Program Files\ZHPDiag\catchme.exe: trouvé !
C:\Program Files\ZHPDiag\mbr.log: trouvé !
C:\Program Files\ZHPDiag\mbr.exe: trouvé !
C:\Qoobox\Quarantine\catchme.log: trouvé !
C:\UsbFix\UsbFix.exe: trouvé !
C:\Users\Ghislaine\AppData\Roaming\Microsoft\Windows\Recent\UsbFix.lnk: trouvé !
C:\Users\Ghislaine\Downloads\ComboFix.exe: trouvé !
C:\Users\Ghislaine\Downloads\UsbFix.exe: trouvé !
C:\Windows\mbr.exe: trouvé !

---------------------------------
--> Suppression:

C:\Program Files\ZHPDiag\ZHPdiag.exe: supprimé !
C:\Program Files\ZHPDiag\catchme.exe: supprimé !
C:\Users\Ghislaine\Downloads\ComboFix.exe: ERREUR DE SUPPRESSION !!
C:\Combofix.txt: supprimé !
C:\UsbFix.txt: supprimé !
C:\Program Files\ZHPDiag\mbr.log: supprimé !
C:\Program Files\ZHPDiag\mbr.exe: supprimé !
C:\Qoobox\Quarantine\catchme.log: supprimé !
C:\UsbFix\UsbFix.exe: supprimé !
C:\Users\Ghislaine\AppData\Roaming\Microsoft\Windows\Recent\UsbFix.lnk: supprimé !
C:\Users\Ghislaine\Downloads\UsbFix.exe: supprimé !
C:\Windows\mbr.exe: supprimé !
C:\Combofix: supprimé !
C:\Qoobox: supprimé !
C:\UsbFix: supprimé !
C:\Program Files\ZHPDiag: supprimé !

sKe69 Messages postés 21360 Date d'inscription samedi 15 mars 2008 Statut Contributeur sécurité Dernière intervention 30 décembre 2012 463
23 juin 2010 à 23:13

re,

1- déplace ComboFix sur ton bureau !

2- puis fait ceci pour le virer proprement

Clique sur " Démarrer " -> " Executer "( ou combine la touche Windows + R ) -> copie/colle cette ligne :

ComboFix /uninstall

( laisse l'espace entre "Combofix" et "/uninstall" )

-> Valide ... l'outil se relancera et se supprimera de lui-même ....

puis fait le reste de la manipe ....

Little Gazelle
24 juin 2010 à 00:58

OK ComboFix a été supprimé.

Je suppose que IEXPLORE.EXE a un rapport avec l'action que tu m'as demandé d'exécuter ... J'ai pas noté ce qu'en a pensé Norton mais ça lui a pas plu !

D'autre part, je viens de passer ¼ d'heure sur internet. Je regarde l'historique de sécurité et je découvre 70 blocages de connexion TCP entrantes. C'est normal 70 tentatives de connexions en si peu de temps?! C'est QUOI tous ces trucs qui veulent entrer chez moi ??? !!! C'est pareil chez tout le monde?!
C'est chaque fois le même port : 34642. Il y a quoi d'intéressant dans ce port? Du rhum, des femmes et d'la bière?!

Je tombe de fatigue, je continuerai demain.

Bonne nuit !

sKe69 Messages postés 21360 Date d'inscription samedi 15 mars 2008 Statut Contributeur sécurité Dernière intervention 30 décembre 2012 463
Modifié par sKe69 le 24/06/2010 à 01:05

re,

Je regarde l'historique de sécurité et je découvre 70 blocages de connexion TCP entrantes

bah c'est le par feu de Norton qui fait son job ... ni plus ni moins ... ^^"

j'attends la suite donc ...

A demain ...

Little Gazelle
24 juin 2010 à 21:58

Bonsoir !
CCleaner est passé, il a trouvé 231 fichiers à supprimer. Il a proposé une sauvegarde des clés du registre que j'ai acceptée parce que ... 231 fichiers à supprimer?! Il a dû emporter Internet Explorer parce que je ne le trouve plus nulle part !

Pour le scan Panda en ligne, je n'ai absolument RIEN désactivé de Norton. Résultat, dans l'historique de sécurité, sont listés une vingtaine d'accès non autorisés bloqués ...
Acteur : C:\WINDOWS\SYSTEM32\DLLHOST.EXE
Cible : à chaque fois un truc Norton ou Symantec

Est-il absolument impératif de désactiver Norton pendant ce scan?
Et mon ordi va passer plus d'une heure sur internet sans la moindre protection??? Avec tous ces machins inconnus qui demandent à entrer dont SMB Microsoft Windows 2000 dont je ne sais même pas ce que c'est ! NIET !

D'autre part, j'ai laissé mon ordi allumé, tout seul, déconnecté d'internet. A mon retour, une trentaine de minutes plus tard, il avait sombré dans une veille tellement profonde que le modem était éteint et que j'ai dû redémarrer l'ordi pour pouvoir aller sur internet.
Je suppose que c'est normal?!

Rapport du Panda :
;***********************************************************************************************************************************************************************************
ANALYSIS: 2010-06-24 21:22:19
PROTECTIONS: 1
MALWARE: 0
SUSPECTS: 1
;***********************************************************************************************************************************************************************************
PROTECTIONS
Description Version Active Updated
;===================================================================================================================================================================================
Norton Internet Security Yes Yes
;===================================================================================================================================================================================
MALWARE
Id Description Type Active Severity Disinfectable Disinfected Location
;===================================================================================================================================================================================
;===================================================================================================================================================================================
SUSPECTS
Sent Location
;===================================================================================================================================================================================
No c:\windows\system32\ezshellstart.exe
;===================================================================================================================================================================================
VULNERABILITIES
Id Severity Description
;===================================================================================================================================================================================
;===================================================================================================================================================================================

Réponse 7 / 10

sKe69 Messages postés 21360 Date d'inscription samedi 15 mars 2008 Statut Contributeur sécurité Dernière intervention 30 décembre 2012 463
24 juin 2010 à 22:39

yop,

pour info sur DLLHOST.EXE

> https://www.commentcamarche.net/contents/858-dllhost-dllhost-exe
> https://www.generation-nt.com/

C'est légitime ...

RAS sur le rapport de Panda ...

on finalise donc ... dans l'ordre :

1- Mets à jour ce qui suit, c'est important ( des versions pas à jours = failles de sécurité ) :

Version Adobe Reader à jour > v 9.3.2

-> désinstalle avant l'ancienne version via le panneau de config./"Ajout et suppression de programmes" (pour XP) ou " Programmes et fonctionnalités " (pour Vista) .
-> Note : si tu as une imprimante ,éteinds la et débranche la du PC avant de faire la mise à jour.
-> télécharge et installe la dernière version ici :
https://www.commentcamarche.net/telecharger/bureautique/2625-adobe-reader/

=========================

2- Fais une mise à jours de ton Système via panneau de config / "Windows Update" :
-> fais toutes les mises à jour disponibles, surtout les dites "critiques" et "importantes" ( Vista SP2 , Internet Exporer 8 ect ... ).
-> tu les télécharges , puis une fois celles-ci téléchargées , lance les installations ( il te sera surement demandé de redémarrer le PC pour finir les installes ...).

-> il faudra sûrement recommencer l'opération plusieurs fois pour que tout soit fait !

Astuce ici :
https://www.commentcamarche.net/faq/273-windows-update-toutes-versions

Note :
ferme toutes applications en cours et ne fais rien d'autre avec le PC lors de la mise à jour du système .

============================

3- Une fois tout ceci fait , utilise hijackthis ainsi ,

tuto pour utilisation :
Regarde ici, c'est parfaitement expliqué en images (merci balltrap34),
http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm
( Ne fixe encore AUCUNE ligne, cela pourrait empêcher ton PC de fonctionner correctement )

> !! Déconnecte toi et ferme toutes tes applications en cours !!

Clique sur le raccourci du bureau pour lancer le prg :
fais un scan HijackThis en cliquant sur : "Do a system scan and save a logfile"

---> Poste le rapport généré pour analyse ...

Little Gazelle
25 juin 2010 à 21:09

Bonsoir !
J'ai mis adobe reader à jour, puis j'ai fait toutes les mises à jour Windows. Enfin, j'ai lancé HijackThis dont tu trouveras le rapport ici :
http://www.cijoint.fr/cjlink.php?file=cj201006/cijJRTjZn9.txt

J'ai aussi eu l'idée saugrenue de changer le modem ... ça ne change rien lors de la connexion à Internet. L'adresse IP est modifiée, puis n'est plus protégée etc... ET JE TROUVE PAS ÇA NORMAL !!!!

Réponse 8 / 10

sKe69 Messages postés 21360 Date d'inscription samedi 15 mars 2008 Statut Contributeur sécurité Dernière intervention 30 décembre 2012 463
Modifié par sKe69 le 25/06/2010 à 21:34

re,

J'ai aussi eu l'idée saugrenue de changer le modem ... ça ne change rien lors de la connexion à Internet. L' adresse IP est modifiée

Normal , une adresse IP par défaut n'est pas FIXE ! ... Une IP fixe est éventuelement utille si il y a plusieurs "unités" sur un même réseau ...

ceci devrait éclairer tes lenternes et stopper la parano > https://www.commentcamarche.net/faq/1887-securite-ip-statique-fixe-ou-dynamique

IP dynamique ( qui change ) = sécurité !

bref, la suite :

1- Ferme toutes tes applications ( navigateur compris ) et déconnecte toi .

Relance Hijackthis "en tant qu'admin..."mais click sur " Do a scan only "
Tu vois donc apparaitre le résultat du scan : une multitudes de lignes ,chacunes précédées d'un carré vide .
Tu vas cliquer sur les carrés des lignes suivantes :

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - Startup: OpenOffice.org 3.1.lnk = C:\Program Files\OpenOffice.org 3\program\quickstart.exe

Tu cliques en bas sur le bouton FIX CHECKED et valides .

2- Redémarre l'ordi .
( important pour que certaines modifs faites avec hijakthis soient prises en compte )

Puis teste ton PC ainsi que ta navigation sur internet ... Si tout est Ok pour toi , on peut passer à la dernière étape ....

> Poste aussi un dernier rapport Hijackthis de contrôle ...

"Baby, I'm going on an airplane, And I don't know if I'll be back again"
IMPORTANT : ne vous croyez pas tiré d'affaire tant qu'on ne
vous l'a pas dit !

Little Gazelle
26 juin 2010 à 02:10

Parano moi?! Peut être bien ...
Je consulte très rarement l'historique de sécurité et je n'avais jamais remarqué que l'adresse IP changeait constamment ni qu'il pouvait y avoir 70 connexions entrantes bloquées à la suite ! Et ces infos sont régulièrement effacées de l'historique.

Il y avait un problème avec open office? Il plantait souvent à l'ouverture mais récupérait toujours les documents.

J'ai voulu regarder des images prises sur internet et engrangées dans ... mes images ! Elles ont besoin d'IE8 pour s'ouvrir, il plante systématiquement et j'ai dû redémarrer l'ordi à chaque fois. Ces jours derniers, j'ai pu regarder ces images sans que ça plante.
Si je vais sur internet avec IE8, il fonctionne.

Pour le reste ça a l'air d'aller...

Le dernier rapport Hijackthis est là :

http://www.cijoint.fr/cjlink.php?file=cj201006/cijbLpIaGk.odt

Bonne nuit !

Réponse 9 / 10

sKe69 Messages postés 21360 Date d'inscription samedi 15 mars 2008 Statut Contributeur sécurité Dernière intervention 30 décembre 2012 463
26 juin 2010 à 08:57

hello,

suite et FIN dans l'ordre :

1- Déconnecte toi et ferme bien toutes tes applications en cours .

Clique droit sur ToolsCleaner et choisis "exécuter en tant qu' Administrateur" pour le lancer.

* Clique sur Recherche et laisse le scan se terminer (cela peut être long).
* Clique sur Suppression pour finaliser.
* Clique sur "quitter" pour générer un rapport ( et pas sur la croix rouge !) :

--> Poste ce rapport : il se trouve à la racine de ton disque dur -> C:\TCleaner.txt .

=====================

2- Refais un coup de CCleaner ( registre compris ) .

=====================

3- Fait ce check-up pour finir :

Attention : ne pas toucher au PC pendant qu'il travaille !

A-Nettoyage et Défragmentation de tes Disques
* Nettoyage
Clique droit sur "ordinateur" ==>"ouvrir" ==>clique droit sur le disque C ==>Propriétés ==>onglet "Général"
Clique sur le bouton "nettoyage de disque", OK
tu le fais pour chacun de tes disques durs ...

* Vérifications des erreurs
Clique droit sur "ordinateur" ==>"ouvrir" ==>clique droit sur le disque C ==>Propriétés ==>onglet "Outil" .
clique sur "Vérifier maintenant", une boîte s'ouvre, cocher les cases :
-"réparer automatiquement les erreurs..."
-"rechercher et tenter une récupération..."
Démarrer, ok
s'il te dis de redémarrer ton Pc pour le faire , tu redémarres et tu laisses faire, cela prend un peu de temps c'est normal .
Tu le fais pour chacun de tes disques ...

Ensuite toujours dans le même onglet tu choisis :
* Défragmentation
"défragmenter maintenant", OK
une boîte s'ouvre, tu sélectionnes le disque à défragmenter, et tu cliques sur "analyser", puis après l'analyse, "défragmenter" > OK
tu le fais pour chacun de tes disques ...

Note : si tu as un utilitaire pour défragmenter , utilise le à la place ...
( attention , cela peut durer assez longtemps - plus d'une dix heure dans certains cas )

B-Créer un point de restauration de ton PC :

Aller dans le Menu Démarrer puis dans Programmes,
- Ensuite dans Accessoires et enfin dans Outils système,
- Choisir "Restauration du système",
- pour créer un point de restauration cliques sur : "ouvrer protection système" .
-->dans cette nouvelle fenêtre Cliquer en bas à gauche sur " créer " .
- Entrer un nom pour le point de restauration (ce nom doit être assez évocateur), exemple :
<< Point restauration sain >> .

--> Cliquer sur "Créer" et le point de restauration se créé automatiquement.

---> une fois terminé, dis moi ce que cela a donné et comment va le PC ... =)

Little Gazelle
27 juin 2010 à 23:45

Bonsoir !
AAAARRRGGH ! Tout petit ras le bol des ordis et autres trucs informatiques ce soir...
Aujourd'hui, je n'ai rien fait ! Sauf mettre à jour Firefox, puis, comme il me l'a lui même suggéré Adobe Flash Player.

1 ou 2 heures plus tard, Norton me demande de redémarrer l'ordi pour permettre la suppression d'un risque de sécurité important ...

Dans l'historique, j'ai vu qu'il a détecté :

-softtokn3.dll (WS. Reputation 1)
-freebl3.dll (WS. Reputation 1)
-nssdbm3.dll (WS. Reputation 1)

comme étant des menaces réseau insight et les a supprimé.

Ces 3 trucs ont été téléchargés avec Firefox.
Processus téléchargé :
C:\program files\mozilla firefox\softtokn3.dll
C:\program files\mozilla firefox\freebl3.dll
C:\program files\mozilla firefox\nssdbm3.dll

Depuis, firefox ne fonctionne plus ! Quand je le lance, j'obtiens une page blanche appelée 'sans titre' et je ne peux afficher aucun de mes sites favoris ni même un moteur de recherche.

Je cherche encore un peu, puis, je vire l'unité centrale par la fenêtre ....
Une autre suggestion ?

sKe69 Messages postés 21360 Date d'inscription samedi 15 mars 2008 Statut Contributeur sécurité Dernière intervention 30 décembre 2012 463
Modifié par sKe69 le 28/06/2010 à 08:19

hello,

réinstalle FireFox et ignore ces fichiers au niveau de ton Norton de m**de ... :)))

( se sont des "Faux Positifs" )

puis poursuit la manipe ...

j'attends les dernières news et le rapport de Toolscleaner ...

Little Gazelle
29 juin 2010 à 01:40

Norton de m**de ? ... J'ai déjà lu ça quelque part ...
J'ai quand même réussi à lui faire accepter la dernière version de Firefox.

Et je prends quoi à la place de Norton?
On m'a conseillé : Nod32, Kapersky, Avast et tout récemment Antivir ...
N'y connaissant rien, j'ai reconduit le machin qui était sur l'ordi à l'origine.

J'ai pas fini la vérification des erreurs ? ordi intouchable pendant près de 2h30 !!!!
Je continue dès que possible, moi aussi faut que je travaille sur l'ordi !

Bonne nuit !

[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

--> Recherche:

C:\Program Files\Trend Micro\HijackThis: trouvé !
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe: trouvé !
C:\Program Files\Trend Micro\HijackThis\hijackthis.log: trouvé !
C:\ProgramData\Microsoft\Windows\Start Menu\Programmes\HijackThis: trouvé !
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\HijackThis: trouvé !
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\HijackThis\HijackThis.lnk: trouvé !
C:\Users\All Users\Microsoft\Windows\Start Menu\Programmes\HijackThis: trouvé !
C:\Users\All Users\Microsoft\Windows\Start Menu\Programs\HijackThis: trouvé !
C:\Users\All Users\Microsoft\Windows\Start Menu\Programs\HijackThis\HijackThis.lnk: trouvé !
C:\Users\Ghislaine\AppData\Local\VirtualStore\Program Files\Trend Micro\HijackThis: trouvé !
C:\Users\Ghislaine\AppData\Local\VirtualStore\Program Files\Trend Micro\HijackThis\hijackthis.log: trouvé !
C:\Users\Ghislaine\Desktop\HijackThis.lnk: trouvé !
C:\Users\Ghislaine\Downloads\HJTInstall.exe: trouvé !

---------------------------------
--> Suppression:

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe: supprimé !
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\HijackThis\HijackThis.lnk: supprimé !
C:\Users\Ghislaine\Desktop\HijackThis.lnk: supprimé !
C:\Users\Ghislaine\Downloads\HJTInstall.exe: supprimé !
C:\Program Files\Trend Micro\HijackThis\hijackthis.log: supprimé !
C:\Users\Ghislaine\AppData\Local\VirtualStore\Program Files\Trend Micro\HijackThis\hijackthis.log: supprimé !
C:\Program Files\Trend Micro\HijackThis: supprimé !
C:\ProgramData\Microsoft\Windows\Start Menu\Programmes\HijackThis: ERREUR DE SUPPRESSION !!
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\HijackThis: supprimé !
C:\Users\Ghislaine\AppData\Local\VirtualStore\Program Files\Trend Micro\HijackThis: supprimé !

sKe69 Messages postés 21360 Date d'inscription samedi 15 mars 2008 Statut Contributeur sécurité Dernière intervention 30 décembre 2012 463
Modifié par sKe69 le 29/06/2010 à 08:49

hello,

On m'a conseillé : Nod32, Kapersky, Avast et tout récemment Antivir ...
N'y connaissant rien, j'ai reconduit le machin qui était sur l'ordi à l'origine.

si tu payes la licence , garde le ! ... parcontre une fois l'abonnement terminé , ne le reconduit pas, désinstalle le proprement .

Pour ton prochain AV , je te conseille en payant Kaspersky, ou en gratuit AntiVir ( la version payante est pas mal non plus ) ...

dis moi une fois tout check-up terminé ...

Little Gazelle
4 juil. 2010 à 09:33

Bonjour,
j'ai été kidnappée par des extra-terrestres mais il m'ont relâchée et j'ai enfin pu poursuivre et terminer les opérations.
Après la vérification des erreurs qui a pris presque 3 heures pour C, j'ai fait défragmenter chacun des disques. Je m'attendais à ce que ça prenne plusieurs heures mais quand je suis passée voir comment allait l'ordi au bout d'une heure, il était plongé dans un profond sommeil ! Je suppose qu'il avait terminé le travail demandé !
Enfin, j'ai créé un point de restauration.

Que dire après un mois passé à traquer un pirate inexistant?!
L'ordi est globalement plus rapide.
Quant à open office, il s'ouvre plus rapidement et n'a pas déconné récemment.
Je n'ai rien remarqué d'autre !

En avons-nous terminé maintenant?

Réponse 10 / 10

sKe69 Messages postés 21360 Date d'inscription samedi 15 mars 2008 Statut Contributeur sécurité Dernière intervention 30 décembre 2012 463
4 juil. 2010 à 09:39

hello,

on est OK ....

content d'avoir pu te rendre service ...

Potasse ces quelques recommandations :

=> Comportement à adopter avec son PC : http://assiste.com.free.fr/p/abc/a/safe_cex.html
et pourquoi ( exemple ) : http://assiste.com.free.fr/p/abc/a/zombies_et_botnets.html

=> Surveillance :
Effectue des scan réguliers de surveillance (une fois tous les 15 jours, par exemple) avec ton antivirus puis avec ton anti-spyware (après les avoir mis à jour bien sur !) et supprime ce qu'ils peuvent trouver (où mets en quarantaine, en pensant à la vider ultérieurement).

=> Il faut absolument tenir à jour régulièrement Windows:

Via Internet Explorer ( impératif ), rends toi sur Microsoft Update
http://www.update.microsoft.com/windowsupdate/v6/default.aspx

Effectue toutes les mise à jour critiques proposées.
Tu seras obligé de faire redémarrer ton PC et de retourner à la fonction de mise à jour jusqu'à ce qu'il n'y ait plus rien de signalé.

Par la suite, vérifie que les mises à jours de Windows soient bien en automatiques, pour cela :
Démarrer / Panneau de configuration et dans Centre de sécurité, clique sur Mises à jour automatiques, puis coche Installation automatique (recommandé), en dessous indique une heure où tu es connecté habituellement, puis clique sur Appliquer puis sur OK

==================================================

=> Il faut mettre a jour la console Java régulièrement aussi :

( Pourquoi : http://www.secuser.com/vulnerabilite/2008/080305-java.htm )

Donc pour se faire, rends toi sur https://www.java.com/fr/download/manual.jsp et télécharge la dernière version (si ta version actuelle n'est pas à jour) ou ici https://filehippo.com/download_jre_32/?ex=CORE-116.0
Après avoir installé la dernière version, désinstalle les anciennes versions (de Java) afin d'éliminer les failles de sécurité présentes dans ces anciennes versions.
via Démarrer / Paramètres / Panneau de config / et dans Ajout/Suppression de programmes navigue jusqu'aux anciennes versions de la console Java qui s'y trouvent, puis clique sur « Supprimer », suis les invites de commandes dans la boite de dialogue qui va s'ouvrir afin d'amener la désinstallation à son terme.
Fais cela pour chacune d'elles, une à une, fais redémarrer ton PC quand cela te sera demandé .
Retourne ensuite chez Java ci-dessus et clique sur le bouton "Vérifier l'installation" pour t'assurer que tout est en ordre.

Autre astuce : https://www.commentcamarche.net/faq/15645-supprimer-les-anciennes-versions-de-java-avec-javara

==================================================

=> Afin d'éviter les autres failles de sécurité des différents programmes présents sur ton PC :

Vérifie tes mises à jours des différents softs régulièrement ici et mets à jour ce qui ne l'est pas. https://www.flexera.com/products/operations/software-vulnerability-management.html
- Tuto https://www.malekal.com/tester-la-vulnerabilite-de-son-systeme-2/
- Autre possibilité, t'abonner gratuitement a "la lettre hebdomadaire de secuser.com" ici http://www.secuser.com/ a gauche en bas de page.

-> autre très bon soft similaire dans cette astuce :
https://www.commentcamarche.net/faq/9908-filehippo-app-manager-vos-logiciels-sont-ils-a-jour

==================================================

* teste l'efficacité de ton pare-feu ici ( à titre indicatif ):
http://www.zebulon.fr/outils/scanports/test-securite.php

* tests firewall: http://www.matousec.com/index.html

=> Un complément au pare-feu pour fermer les ports risqués (dangereux, s'ils restent ouverts) :

ZebProtect (application ne nécessitant pas d'installation à lancer et paramétrer une unique fois) http://telechargement.zebulon.fr/123.html

-Tuto https://www.zebulon.fr/dossiers/autres/40-zebprotect.html

==================================================

Pour une meilleur sécurité lorsque tu surfes :

* Je te conseille d'utiliser le navigateur " FireFox " :
télécharge le ici -> http://www.mozilla-europe.org/fr/
ou -> https://www.commentcamarche.net/telecharger/web-internet/9879-firefox/

( Attention : toujours garder IE sur son PC ! Il est indispensable pour les mises à jour de ton système ainsi que pour pas mal de choses, comme les scan d'antivirus en ligne, ect... )

-> Tutorial pour sécuriser Firefox :
https://www.malekal.com/securiser-le-navigateur-web-firefox-2/
https://forum.zebulon.fr/topic/69628-s%C3%A9curiser-un-peu-plus-firefox/

* tu peux installer cet Add-ons : WOT ( gratuit / compatible IE et FireFox )
-> Firefox https://chrome.google.com/webstore/detail/wot-web-of-trust-website/bhmmomiinigofkjcapegjjndpbikblnp - IE https://chrome.google.com/webstore/detail/wot-web-of-trust-website/bhmmomiinigofkjcapegjjndpbikblnp
-> Démo : http://www.mywot.com/fr/demo
Très simple et léger , WOT permet d'avoir un aperçu sur la dangerosité et la fiabilité des sites donnés par les moteurs de recherche tel que Google ou Live Search .
> https://www.commentcamarche.net/faq/15620-wot-web-of-trust-essentiel-pour-l-internaute-avise

* Noscript est un autre "Add-ons" ( pour Firefox ) qui empêche l'exécution de scripts en provenance des sites Web.
Il stoppe l'installation de logiciels infectieux via flash, java, javascript et d'autres points d'entrée :
http://www.geekstogo.com/forum/redirect.php?url=http%3A%2F%2Fwww.noscript.net
https://addons.mozilla.org/fr/firefox/addon/noscript/

==================================================

=> Rappel sur les principales causes d'infection :

A lire > https://www.malekal.com/fichiers/projetantimalwares/ProjetAntiMalware.pdf
( merci aux auteurs de ce pdf )

* L'utilisation de cracks ou keygens est à proscrire, de même que le surf sur les sites de téléchargement de ceux-ci :

Les dangers des cracks :
https://forum.malekal.com/viewtopic.php?t=893&start=

-> Le crack dans toute sa splendeur, journal d'une infection attendue :
https://forum.zebulon.fr/topic/93281-pr%C3%A9vention-le-crack-dans-toute-sa-splendeur/

-> Fléaux du moment par le biais de pseudo crack sur réseau P2P : Virut/Scrible !
> https://www.futura-sciences.com/tech/actualites/informatique-virut-scribble-retour-infection-redoutable-18310/

* Le P2P ( l'utilisation de logiciels comme eMule, Sharazaa, LimeWire, Bit torrent):

Les conséquences du P2P : https://forum.zebulon.fr/topic/85544-pr%C3%A9vention-le-p2p-et-ses-cons%C3%A9quences/

Pourquoi éviter le P2P (emule ,Shareaza, kazza ... ect):
> http://www.libellules.ch/...
> http://www.speedweb1.org/forum-tesgaz/viewtopic.php?t=1793
> https://lexpansion.lexpress.fr/actualite-economique/

* Faire attention avec les ActiveX :
http://assiste.com.free.fr/p/abc/a/activex_dangers.html
et comment :
http://assiste.com.free.fr/p/abc/c/anti_activex.html

* Prévention sur deux autres types d'infection d'actualité :

MSN prévention :
https://forum.zebulon.fr/topic/130590-infection-par-msn-ou-wlm/
-> autre danger grandissant , le " phishing " (= hameçonnage ) :
http://msnfix.changelog.fr/index.php/2008/05/18/32-alerte

Infection par supports amovibles (clefs usb, flash, DD externes ..) :
https://forum.zebulon.fr/topic/131959-infections-par-supports-amovibles/
https://forum.malekal.com/viewtopic.php?f=45&t=5544

* Rappel sur l'utilisation d'une version piratée de Windows :
https://www.commentcamarche.net/faq/2981-j-utilise-une-version-piratee-de-windows

==================================================

Bon à savoir :

* La "Console de récupération" ( XP ):
face aux nouvelles menaces (attaque du secteur de boot par exemple), la Console de récupération peut être la seule solution pour pallier à un système très endomagé et particulièrement instable.
tutoriels ici :
https://www.pcastuces.com/pratique/windows/xp/console_recuperation/page1.htm .
https://www.informatruc.com

Equivalent Vista : http://www.forum-vista.net/forum/

* Conserve une sauvegarde des fichiers importants ( Sur CD/DVD rom ,DD externe ,ect ...).

* Ne pas telecharger n'importe quoi, éviter les programes gratuits genre smileys, Macrogaming\SweetIM, Boonty games, ...ect

* Analyser les fichiers reçus/téléchargés :
Pour les adeptes du Peer 2 Peer ( que je déconseille fortement ),toujours analyser les fichiers telechargés avec l'antivirus, l'anti-spyware/malaware du PC avant de les executer ... Cela minimise les risques ( mais ceux-ci restent tout de même présents ! )
Ne pas ouvrir les pieces jointes d'un expediteur inconnu et toujours les analyser avant de les ouvrir .
Toujours analyser les fichiers reçus via MSN ou autre avec ton antivirus .

* Utiliser un "compte limité" > http://b.marlow.free.fr/compte_limite.html

* Idées reçus en sécurité informatique ( très instructif ) >
http://www.libellules.ch/idees_recues_securite.php

==================================================

Voilà ....

Bonne suite à toi ... =)

A+

Little Gazelle
4 juil. 2010 à 20:42

Euh... merci pour les devoirs de vacances ! Je m'attendais pas à en avoir autant mais le fait est que je ne peux pas rester dans un tel état d'ignorance en ce qui concerne la sécurité de mon ordi !

Je te remercie pour ton aide, tes explications étaient claires et bien détaillées.

Bel été !

sKe69 Messages postés 21360 Date d'inscription samedi 15 mars 2008 Statut Contributeur sécurité Dernière intervention 30 décembre 2012 463
4 juil. 2010 à 20:44

bonnes vacances à toi également ...

( note : c'est nullement des devoirs ! .. mais de l'information ... ; ) )

A+

Ordi piraté?

10 réponses

Discussions similaires