Problème avec un Trojan

Salut, on va vérifier ça :

-+-+-+-+-> ZHPDiag <-+-+-+-+-

[x] Nous allons effectuer un diagnostic de ton ordinateur, pour ce faire, télécharge ZHPDiag ( de Nicolas Coolman ).

[x] Exécute l'installateur ( /!\ Coche la case " créer une icône sur le bureau /!\ ) puis lance le une fois l'installation terminée.

[x] Clique sur l'icône en forme de loupe en haut à gauche ( Lancer le diagnostic ).

[x] Une fois l'analyse terminée, clique sur l'icône en forme de disquette bleue puis sauvegarde le fichier sur ton bureau.

[x] Rend toi sur cjoint puis clique sur " Choisissez un fichier ".

[x] Sélectionne le fichier ZHPDiag.txt présent sur ton bureau, puis clique sur " Ouvrir ".

[x] Clique ensuite sur " Créer le lien cjoint " puis copie/colle dans ta prochaine réponse le lien créé.

Ok, merci beaucoup de ta réponse. Mais lorsque je lance le diagnostic, arrivé à 47% ça me marque : "Violation d'accès à l'adresse 004097B1 dans le module 'SHPDiag.exe'. Lecture de l'adresse FFFFFFFF".

Et ensuite il ne se passe plus rien ... Je suis obligé de fermé le logiciel.

Tu es sous vista/seven ?

Si oui, lance l'installation en tant qu'administrateur ( clic droit -> exécuter en tant .. )

Oui je suis sous vista. J'ai fais "exécuter en tant qu'administrateur" mais le même problème est survenue ...

Tu n'es pas le seul à avoir ce problème, ca doit être interne à ZHPDiag.

On va utiliser autre chose :

-+-+-+-+-> RSIT <-+-+-+-+-

[x] Télécharge RSIT ( de random/random ) sur ton bureau.

[x] Lance le ( Utilisateurs de vista/seven -> Clic droit puis [Exécuter en tant qu'administrateur] )

[x] Clique sur [Continue] à l'écran disclaimer. Hijackthis va être téléchargé et tu devras accepter la license.

[x] Une fois l'analyse terminée, deux rapports s'ouvriront ( log.txt et info.txt ).

[x] Rends toi sur cjoint.

Note : Les deux fichiers sont sauvegardés dans le dossier C:\rsit.

[x] Clique sur [Choisissez un fichier] et séléctionne le fichier log.txt.

[x] Clique ensuite sur [Ouvrir] puis sur [Créer le lien cjoint].

[x] Renouvelle l'opération mais cette fois ci avec le fichier info.txt.

[x] Poste les deux liens cjoint créés dans ta prochaine réponse.

Note : un tutoriel est disponible ici.

Oki merci, je sais pas trop ce que ça fait mais j'ai tout fait. J'attend donc =) Merci encore

Ah je suis trop bète, j'avais pas lu jusqu'en bas ...
Voici les 2 liens créés : http://cjoint.com/data/gzrqauFyoi.htm
et : : https://www.cjoint.com/?gzrqKbdnRt

Re,

-+-+-+-+-> Navilog <-+-+-+-+-

Note : Ton PC est victime de l'infection navipromo/magic.control , tu trouveras plus d'informations sur cette infection ici.

[x] Télécharge Navilog sur ton bureau.

[x] Si ton antivirus s'affole, désactive le momentanément.

[x] Lance navilog ( sous vista/7 -> Clic droit puis " Exécuter en tant qu'administrateur " )

[x] Choisis l'option 1 ( Français ), suis les instructions puis choisis l'option 1 ( Recherche / Désinfection automatique )

[x] Patiente pendant le scan. A la fin du scan, appuie sur une touche.

[x] Un rapport va s'ouvrir, copie/colle son contenu dans ton prochain message.

[x] Note : Le rapport est sauvegardé sous C:\Cleannavi.txt.

-+-+-+-+-> AD-Remover <-+-+-+-+-

[x] Télécharge AD-Remover ( de C_XX ).

[x] Lance AD-Remover puis choisis l'option " Nettoyer ".

Note : Utilisateurs de vista/seven -> Clic droit sur "Ad-R.exe" puis " Exécuter en tant qu'administrateur "

[x] Patiente pendant le scan, un rapport s'ouvrira ensuite. Poste son contenu dans ton prochain message

[x] Note : Le rapport se trouve également sous C:\Ad-Report-CLEAN.txt

Voici le contenue en ce qui concerne Navilog :

Fix Navipromo version 4.0.9 commencé le 25/06/2010 19:11:19,02

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!

Outil exécuté depuis C:\navilog1

Mise à jour le 21.06.2010 à 18h00 par IL-MAFIOSO

Microsoft® Windows Vista(TM) Édition Familiale Premium ( v6.0.6000 )
X86-based PC ( Multiprocessor Free : AMD Athlon(tm) 64 X2 Dual Core Processor 4400+ )
BIOS : Phoenix - AwardBIOS v6.00PG
USER : geoffrey ( Not Administrator ! )
BOOT : Normal boot

Antivirus : G Data AntiVirus 2011 21.0 (Not Activated)

C:\ (Local Disk) - NTFS - Total:290 Go (Free:71 Go)
D:\ (Local Disk) - NTFS - Total:7 Go (Free:1 Go)
E:\ (CD or DVD)
F:\ (CD or DVD)
H:\ (USB)
I:\ (USB)
J:\ (USB)
K:\ (USB)

Recherche executée en mode normal

Nettoyage exécuté au redémarrage de l'ordinateur

C:\Users\geoffrey\AppData\Local\icprf.bat supprimé !
C:\Users\geoffrey\AppData\Local\oecemik.dat supprimé !
C:\Users\geoffrey\AppData\Local\oecemik_nav.dat supprimé !
C:\Users\geoffrey\AppData\Local\oecemik_navps.dat supprimé !

Nettoyage contenu C:\Windows\Temp effectué !
Nettoyage contenu C:\Users\geoffrey\AppData\Local\Temp effectué !

*** Sauvegarde du Registre vers dossier Safebackup ***

sauvegarde du Registre réalisée avec succès !

*** Nettoyage Registre ***

Nettoyage Registre Ok

Certificat Egroup supprimé !
Certificat Electronic-Group supprimé !
Certificat OOO-Favorit supprimé !

Voici ensuite le contenue concernant AD-remover :

======= RAPPORT D'AD-REMOVER 2.0.0.1,C | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 23/06/10 à 19:20
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 19:27:45 le 25/06/2010, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium (X86)
geoffrey@PC-DE-GEOFFREY (Compaq-Presario GG690AA-ABF SR5110FR)

============== ACTION(S) ==============

0,Dossier supprimé: C:\Windows\Installer\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
0,Fichier supprimé: C:\Windows\system32\Tasks\Scheduled Update for Ask Toolbar
0,Dossier supprimé: C:\Users\geoffrey\AppData\Roaming\Mozilla\FireFox\Profiles\prlbse50.default\extensions\toolbar@ask.com
0,Dossier supprimé: C:\Program Files\Ask.com
0,Dossier supprimé: C:\Users\geoffrey\AppData\Local\AskToolbar
0,Dossier supprimé: C:\Users\geoffrey\AppData\LocalLow\AskToolbar
0,Dossier supprimé: C:\Users\geoffrey\AppData\Roaming\WhenU
0,Dossier supprimé: C:\Program Files\Common Files\WhenU
3,Fichier supprimé: C:\Windows\Installer\272062.msi
3,Fichier supprimé: C:\Users\geoffrey\AppData\Local\yokqqkw.bat

(!) -- Fichiers temporaires supprimés.

-- Fichier ouvert: C:\Users\geoffrey\AppData\Roaming\Mozilla\FireFox\Profiles\prlbse50.default\Prefs.js --
Ligne supprimée: user_pref("CT2269050.SearchEngine", "Search||hxxp://search.conduit.com/Results.aspx?q=UCM_SEARCH_TER...
Ligne supprimée: user_pref("CT2269050.SearchFromAddressBarUrl", "hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT226...
Ligne supprimée: user_pref("extensions.asktb.cbid", "HS");
Ligne supprimée: user_pref("extensions.asktb.default-channel-url-mask", "hxxp://www.ask.com/web?q={query}&o={o}&l={l}...
Ligne supprimée: user_pref("extensions.asktb.first-launch-url", "hxxp://www.limewire.com/client_redirect/?page=suppor...
Ligne supprimée: user_pref("extensions.asktb.fresh-install", false);
Ligne supprimée: user_pref("extensions.asktb.l", "dis");
Ligne supprimée: user_pref("extensions.asktb.last-config-req", "1277400315309");
Ligne supprimée: user_pref("extensions.asktb.locale", "en_US");
Ligne supprimée: user_pref("extensions.asktb.o", "15753");
Ligne supprimée: user_pref("extensions.asktb.overlay-reloaded-using-restart", true);
Ligne supprimée: user_pref("extensions.asktb.qsrc", "2871");
Ligne supprimée: user_pref("extensions.asktb.r", "6");
Ligne supprimée: user_pref("extensions.asktb.to", "15885");
Ligne supprimée: user_pref("extensions.enabledItems", "toolbar@ask.com:3.6.6.117,{b9db16a4-6edc-47ec-a1f4-b86292ed211...
-- Fichier Fermé --

1,Clé supprimée: HKLM\Software\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{9473559B-50FC-4A8A-829B-E152E8D6A307}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{B6F229D5-D789-4F31-9CB1-2C17AEEECCBB}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}
1,Clé supprimée: HKLM\Software\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
1,Clé supprimée: HKLM\Software\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
1,Clé supprimée: HKLM\Software\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
1,Clé supprimée: HKLM\Software\Classes\Interface\{AF55160D-CDE1-4A8B-8001-66DA06BEE740}
1,Clé supprimée: HKLM\Software\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
1,Clé supprimée: HKLM\Software\Classes\TypeLib\{9720DE03-5820-4059-B4A4-639D5E52BD09}
1,Clé supprimée: HKLM\Software\Classes\TypeLib\{A56FE01C-77C4-4F5E-8198-E4B72207890A}
0,Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd
0,Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd.1
0,Clé supprimée: HKLM\Software\Classes\hbmain.commband
0,Clé supprimée: HKLM\Software\Classes\hbmain.commband.1
0,Clé supprimée: HKLM\Software\Classes\hbr.hbmain
0,Clé supprimée: HKLM\Software\Classes\hbr.hbmain.1
0,Clé supprimée: HKLM\Software\Classes\hostie.bho
0,Clé supprimée: HKLM\Software\Classes\hostie.bho.1
0,Clé supprimée: HKLM\Software\Classes\AppID\GenericAskToolbar.DLL
1,Clé supprimée: HKLM\Software\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
0,Clé supprimée: HKLM\Software\Conduit
0,Clé supprimée: HKLM\Software\ZangoToolbar
0,Clé supprimée: HKCU\Software\Ask.com
0,Clé supprimée: HKCU\Software\AskToolbar
0,Clé supprimée: HKCU\Software\MediaHoldings
0,Clé supprimée: HKCU\Software\PopCap
0,Clé supprimée: HKCU\Software\AppDataLow\AskToolbarInfo
0,Clé supprimée: HKCU\Software\AppDataLow\Software\AskToolbar
3,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}
3,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
3,Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
0,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB}
0,Erreur suppression clé: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Scheduled Update for Ask Toolbar (Error code: 1)

0,Valeur supprimée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{D4027C7F-154A-4066-A1AD-4243D8127440}
0,Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}

============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.5.9 (fr)] **

-- C:\Users\geoffrey\AppData\Roaming\Mozilla\FireFox\Profiles\prlbse50.default\Prefs.js --
browser.download.lastDir, C:\\Users\\geoffrey\\Pictures
browser.startup.homepage_override.mstone, rv:1.9.1.9

-- C:\Users\catherine\AppData\Roaming\Mozilla\FireFox\Profiles\edi5v4lo.default\Prefs.js --
browser.startup.homepage_override.mstone, rv:1.9.1.9

========================================

** Internet Explorer Version [7.0.6000.17037] **

[HKCU\Software\Microsoft\Internet Explorer\Main]
AutoHide: yes
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\Main]
AutoHide: yes
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 199 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 17 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 25/06/2010 (7550 Octet(s))

Fin à: 19:49:07, 25/06/2010

============== E.O.F ==============

On continue :

-+-+-+-+-> Malwarebytes' Anti-Malware <-+-+-+-+-

[x] Télécharge Malwarebytes' Anti-malware sur ton bureau.

[x] Installe le en laissant les options par défaut ( Cocher seulement " Créer une icône sur le bureau " )

[x] A la fin de l'installation, MBAM se mettra à jour automatiquement puis s'exécutera.

[x] Une fois lancé, clique sur " Exécuter un examen complet " puis sur " Rechercher "

[x] Sélectionne tout tes disques locaux et amovibles

[x] Patiente pendant toute la durée du scan, puis clique sur " Ok " une fois l'analyse effectuée.

[x] Clique ensuite sur " Afficher les résultats " puis sur " Supprimer la sélection ". Valide ensuite par " Ok ".

[x] MBAM ouvrira un rapport, copie/colle son contenu dans ta prochaine réponse.

[x] Tu peux ensuite vider la quarantaine de MBAM.

[x] Note : MBAM t'invitera peut être à redémarrer ton PC, fais le. Le rapport se trouve dans la partie " Rapports/Logs " de MBAM.

[x] Si tu as des soucis, un tutoriel est disponible à cette adresse.