problème avec un Trojan Fermé

Question

Bonjour, 
Je tiens d'abord à dire que je n'ai aucunes connaissances en informatique (17 ans).
Alors voilà mon problème, depuis 2 / 3 jours j'ai mon antivirus qui n'arrête pas de m'envoyer des message d'alerte car il a trouvé un virus.
Ce dernier est : TR Hijack.Gen

J'ai regardé d'autres sujets à propos de ce virus mais honnêtement, je n'ai pas compris ce qu'il fallait faire.

Si vous pouviez me dire comment faire pour supprimer ce truck je vous en serais très reconnaissant =)

(Je ne sais pas du tout de quelles informations vous avez besoin mais, si vous avez un peu de temps à me consacrer, je suis près à faire ce que je peux pour l'enlever)

Xplode · Answer

Salut, on va vérifier ça :

-+-+-+-+-> ZHPDiag <-+-+-+-+-


[x] Nous allons effectuer un diagnostic de ton ordinateur, pour ce faire, télécharge ZHPDiag ( de Nicolas Coolman ).

[x] Exécute l'installateur ( /!\ Coche la case " créer une icône sur le bureau /!\ ) puis lance le une fois l'installation terminée.

[x] Clique sur l'icône en forme de loupe en haut à gauche ( Lancer le diagnostic ).

[x] Une fois l'analyse terminée, clique sur l'icône en forme de disquette bleue puis sauvegarde le fichier sur ton bureau.

[x] Rend toi sur cjoint puis clique sur " Choisissez un fichier ".

[x] Sélectionne le fichier ZHPDiag.txt présent sur ton bureau, puis clique sur " Ouvrir ".

[x] Clique ensuite sur " Créer le lien cjoint " puis copie/colle dans ta prochaine réponse le lien créé.

Geo · Answer

Ok, merci beaucoup de ta réponse. Mais lorsque je lance le diagnostic, arrivé à 47% ça me marque : "Violation d'accès à l'adresse 004097B1 dans le module 'SHPDiag.exe'. Lecture de l'adresse FFFFFFFF".

Et ensuite il ne se passe plus rien ... Je suis obligé de fermé le logiciel.

Xplode · Answer

Tu es sous vista/seven ?

Si oui, lance l'installation en tant qu'administrateur ( clic droit -> exécuter en tant .. )

Geo · Answer

Oui je suis sous vista. J'ai fais "exécuter en tant qu'administrateur" mais le même problème est survenue ...

Xplode · Answer

Tu n'es pas le seul à avoir ce problème, ca doit être interne à ZHPDiag.

On va utiliser autre chose :

-+-+-+-+-> RSIT <-+-+-+-+-


[x] Télécharge RSIT ( de random/random ) sur ton bureau.

[x] Lance le ( Utilisateurs de vista/seven -> Clic droit puis [Exécuter en tant qu'administrateur] )

[x] Clique sur [Continue] à l'écran disclaimer. Hijackthis va être téléchargé et tu devras accepter la license.

[x] Une fois l'analyse terminée, deux rapports s'ouvriront ( log.txt et info.txt ).

[x] Rends toi sur cjoint.

Note : Les deux fichiers sont sauvegardés dans le dossier C:\rsit.

[x] Clique sur [Choisissez un fichier] et séléctionne le fichier log.txt.

[x] Clique ensuite sur [Ouvrir] puis sur [Créer le lien cjoint].

[x] Renouvelle l'opération mais cette fois ci avec le fichier info.txt.

[x] Poste les deux liens cjoint créés dans ta prochaine réponse.

Note : un tutoriel est disponible ici.

Geo · Answer

Oki merci, je sais pas trop ce que ça fait mais j'ai tout fait. J'attend donc =) Merci encore

Geo · Answer

Ah je suis trop bète, j'avais pas lu jusqu'en bas ...
Voici les 2 liens créés : http://cjoint.com/data/gzrqauFyoi.htm
et : :	https://www.cjoint.com/?gzrqKbdnRt

Xplode · Answer

Re, -+-+-+-+-> Navilog <-+-+-+-+- Note : Ton PC est victime de l'infection navipromo/magic.control , tu trouveras plus d'informations sur cette infection ici. [x] Télécharge Navilog sur ton bureau. [x] Si ton antivirus s'affole, désactive le momentanément. [x] Lance navilog ( sous vista/7 -> Clic droit puis " Exécuter en tant qu'administrateur " ) [x] Choisis l'option 1 ( Français ), suis les instructions puis choisis l'option 1 ( Recherche / Désinfection automatique ) [x] Patiente pendant le scan. A la fin du scan, appuie sur une touche. [x] Un rapport va s'ouvrir, copie/colle son contenu dans ton prochain message. [x] Note : Le rapport est sauvegardé sous C:\Cleannavi.txt. -+-+-+-+-> AD-Remover <-+-+-+-+- [x] Télécharge AD-Remover ( de C_XX ). [x] Lance AD-Remover puis choisis l'option " Nettoyer ". Note : Utilisateurs de vista/seven -> Clic droit sur "Ad-R.exe" puis " Exécuter en tant qu'administrateur " [x] Patiente pendant le scan, un rapport s'ouvrira ensuite. Poste son contenu dans ton prochain message [x] Note : Le rapport se trouve également sous C:\Ad-Report-CLEAN.txt

Geo · Answer

Voici le contenue en ce qui concerne Navilog : 

Fix Navipromo version 4.0.9 commencé le 25/06/2010 19:11:19,02

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!

Outil exécuté depuis C:
avilog1

Mise à jour le 21.06.2010 à 18h00 par IL-MAFIOSO

Microsoft® Windows Vista(TM) Édition Familiale Premium  ( v6.0.6000 ) 
X86-based PC ( Multiprocessor Free : AMD Athlon(tm) 64 X2 Dual Core Processor 4400+ )
BIOS : Phoenix - AwardBIOS v6.00PG
USER : geoffrey ( Not Administrator ! )
BOOT : Normal boot

Antivirus : G Data AntiVirus 2011 21.0 (Not Activated)


C:\ (Local Disk) - NTFS - Total:290 Go (Free:71 Go)
D:\ (Local Disk) - NTFS - Total:7 Go (Free:1 Go)
E:\ (CD or DVD)
F:\ (CD or DVD)
H:\ (USB)
I:\ (USB)
J:\ (USB)
K:\ (USB)


Recherche executée en mode normal 

Nettoyage exécuté au redémarrage de l'ordinateur


C:\Users\geoffrey\AppData\Local\icprf.bat supprimé !
C:\Users\geoffrey\AppData\Local\oecemik.dat supprimé !
C:\Users\geoffrey\AppData\Local\oecemik_nav.dat supprimé !
C:\Users\geoffrey\AppData\Local\oecemik_navps.dat supprimé !


Nettoyage contenu C:\Windows\Temp effectué !
Nettoyage contenu C:\Users\geoffrey\AppData\Local\Temp effectué !


*** Sauvegarde du Registre vers dossier Safebackup ***

sauvegarde du Registre réalisée avec succès !

*** Nettoyage Registre ***

Nettoyage Registre Ok

Certificat Egroup supprimé !
Certificat Electronic-Group supprimé !
Certificat OOO-Favorit supprimé !



Voici ensuite le contenue concernant AD-remover :

======= RAPPORT D'AD-REMOVER 2.0.0.1,C | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 23/06/10 à 19:20
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 19:27:45 le 25/06/2010, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium   (X86) 
geoffrey@PC-DE-GEOFFREY (Compaq-Presario GG690AA-ABF SR5110FR) 
 
============== ACTION(S) ==============


0,Dossier supprimé: C:\Windows\Installer\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
0,Fichier supprimé: C:\Windows\system32\Tasks\Scheduled Update for Ask Toolbar
0,Dossier supprimé: C:\Users\geoffrey\AppData\Roaming\Mozilla\FireFox\Profiles\prlbse50.default\extensions	oolbar@ask.com
0,Dossier supprimé: C:\Program Files\Ask.com
0,Dossier supprimé: C:\Users\geoffrey\AppData\Local\AskToolbar
0,Dossier supprimé: C:\Users\geoffrey\AppData\LocalLow\AskToolbar
0,Dossier supprimé: C:\Users\geoffrey\AppData\Roaming\WhenU
0,Dossier supprimé: C:\Program Files\Common Files\WhenU
3,Fichier supprimé: C:\Windows\Installer\272062.msi  
3,Fichier supprimé: C:\Users\geoffrey\AppData\Local\yokqqkw.bat

(!) -- Fichiers temporaires supprimés.


-- Fichier ouvert: C:\Users\geoffrey\AppData\Roaming\Mozilla\FireFox\Profiles\prlbse50.default\Prefs.js --
Ligne supprimée: user_pref("CT2269050.SearchEngine", "Search||hxxp://search.conduit.com/Results.aspx?q=UCM_SEARCH_TER... 
Ligne supprimée: user_pref("CT2269050.SearchFromAddressBarUrl", "hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT226... 
Ligne supprimée: user_pref("extensions.asktb.cbid", "HS"); 
Ligne supprimée: user_pref("extensions.asktb.default-channel-url-mask", "hxxp://www.ask.com/web?q={query}&o={o}&l={l}... 
Ligne supprimée: user_pref("extensions.asktb.first-launch-url", "hxxp://www.limewire.com/client_redirect/?page=suppor... 
Ligne supprimée: user_pref("extensions.asktb.fresh-install", false); 
Ligne supprimée: user_pref("extensions.asktb.l", "dis"); 
Ligne supprimée: user_pref("extensions.asktb.last-config-req", "1277400315309"); 
Ligne supprimée: user_pref("extensions.asktb.locale", "en_US"); 
Ligne supprimée: user_pref("extensions.asktb.o", "15753"); 
Ligne supprimée: user_pref("extensions.asktb.overlay-reloaded-using-restart", true); 
Ligne supprimée: user_pref("extensions.asktb.qsrc", "2871"); 
Ligne supprimée: user_pref("extensions.asktb.r", "6"); 
Ligne supprimée: user_pref("extensions.asktb.to", "15885"); 
Ligne supprimée: user_pref("extensions.enabledItems", "toolbar@ask.com:3.6.6.117,{b9db16a4-6edc-47ec-a1f4-b86292ed211... 
-- Fichier Fermé --
 

1,Clé supprimée: HKLM\Software\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{9473559B-50FC-4A8A-829B-E152E8D6A307}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{B6F229D5-D789-4F31-9CB1-2C17AEEECCBB}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}
1,Clé supprimée: HKLM\Software\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
1,Clé supprimée: HKLM\Software\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
1,Clé supprimée: HKLM\Software\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
1,Clé supprimée: HKLM\Software\Classes\Interface\{AF55160D-CDE1-4A8B-8001-66DA06BEE740}
1,Clé supprimée: HKLM\Software\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
1,Clé supprimée: HKLM\Software\Classes\TypeLib\{9720DE03-5820-4059-B4A4-639D5E52BD09}
1,Clé supprimée: HKLM\Software\Classes\TypeLib\{A56FE01C-77C4-4F5E-8198-E4B72207890A}
0,Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd
0,Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd.1
0,Clé supprimée: HKLM\Software\Classes\hbmain.commband
0,Clé supprimée: HKLM\Software\Classes\hbmain.commband.1
0,Clé supprimée: HKLM\Software\Classes\hbr.hbmain
0,Clé supprimée: HKLM\Software\Classes\hbr.hbmain.1
0,Clé supprimée: HKLM\Software\Classes\hostie.bho
0,Clé supprimée: HKLM\Software\Classes\hostie.bho.1
0,Clé supprimée: HKLM\Software\Classes\AppID\GenericAskToolbar.DLL
1,Clé supprimée: HKLM\Software\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
0,Clé supprimée: HKLM\Software\Conduit
0,Clé supprimée: HKLM\Software\ZangoToolbar
0,Clé supprimée: HKCU\Software\Ask.com
0,Clé supprimée: HKCU\Software\AskToolbar
0,Clé supprimée: HKCU\Software\MediaHoldings
0,Clé supprimée: HKCU\Software\PopCap
0,Clé supprimée: HKCU\Software\AppDataLow\AskToolbarInfo
0,Clé supprimée: HKCU\Software\AppDataLow\Software\AskToolbar
3,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}
3,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
3,Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
0,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB}
0,Erreur suppression clé: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Scheduled Update for Ask Toolbar (Error code: 1)

0,Valeur supprimée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{D4027C7F-154A-4066-A1AD-4243D8127440}
0,Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}


============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.5.9 (fr)] **

-- C:\Users\geoffrey\AppData\Roaming\Mozilla\FireFox\Profiles\prlbse50.default\Prefs.js --
browser.download.lastDir, C:\Users\geoffrey\Pictures
browser.startup.homepage_override.mstone, rv:1.9.1.9

-- C:\Users\catherine\AppData\Roaming\Mozilla\FireFox\Profiles\edi5v4lo.default\Prefs.js --
browser.startup.homepage_override.mstone, rv:1.9.1.9

========================================

** Internet Explorer Version [7.0.6000.17037] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 199 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 17 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 25/06/2010 (7550 Octet(s)) 

Fin à: 19:49:07, 25/06/2010 
 
============== E.O.F ==============

Xplode · Answer

On continue :

-+-+-+-+-> Malwarebytes' Anti-Malware <-+-+-+-+-


[x] Télécharge Malwarebytes' Anti-malware sur ton bureau.

[x] Installe le en laissant les options par défaut ( Cocher seulement " Créer une icône sur le bureau " )

[x] A la fin de l'installation, MBAM se mettra à jour automatiquement puis s'exécutera.

[x] Une fois lancé, clique sur " Exécuter un examen complet " puis sur " Rechercher "

[x] Sélectionne tout tes disques locaux et amovibles

[x] Patiente pendant toute la durée du scan, puis clique sur " Ok " une fois l'analyse effectuée.

[x] Clique ensuite sur " Afficher les résultats " puis sur " Supprimer la sélection ". Valide ensuite par " Ok ".

[x] MBAM ouvrira un rapport, copie/colle son contenu dans ta prochaine réponse.

[x] Tu peux ensuite vider la quarantaine de MBAM.

[x] Note : MBAM t'invitera peut être à redémarrer ton PC, fais le. Le rapport se trouve dans la partie " Rapports/Logs " de MBAM.

[x] Si tu as des soucis, un tutoriel est disponible à cette adresse.

Problème avec un Trojan

10 réponses

Discussions similaires