IE cachée, baisse du volume et process system Résolu

Question

Bonsoir a tous, je viens à vous car je rencontre de sérieux soucis avec l'ordinateur de ma mère actuellement. Elle a fait appel a moi car je suis plus a même de m'occuper de ses problèmes, mais j'avoue sêcher...

D'une part, lors d'un scan minutieux avast, je trouve des infections sur des processus systèmes, comme services.exe . Forcément, cela pose quelque problèmes car d'une part il est impossible de kill ces process, et d'autre part, ils sont présents même en mode sans échec.

D'autre part, le volume se baisse automatiquement au bout de quelques minutes ( OS : Windows xp), en réalité, c'est seulement la glissière de "Son wave" qui se met a 0. J'ai réinstallé les drivers audio non sans problèmes, mais après avoir réussi, le problème était toujours présent.
C'est a ce moment que j'ai entendu en remontant le volume le son d'une pub betclick souvent présente sur les sites webs ( un genre de haletement de chien). J'me suis donc intéressé aux processus ouvert, et j'ai vu que deux instances d'internet explorer étaient lancées et étaient cachées. 

Serait-il possible d'avoir un peu d'aide pour ces problèmes un poil "génants" ? Merci.

sKe69 · Answer

hello,  


infection sérieuse et coriace ( TR\Vilsel - Whistler Bootkit ) ... 


je trouve des infections sur des processus systèmes, comme services.exe 
 
> où très exactement se trouve ce process selon ton antivirus ?



/!\ Pour le bon déroulement de la désinfection :
* Ne pas utiliser ce PC autrement que pour venir ici poursuivre la désinfection .  
* N'entreprends rien avec le PC sans mon autorisation et suis à la lettre les procédures qui vont suivre .  
* Prends bien connaisance de l'ensemble de ces procédures avant de te lancer .  
* Si tu as un quelconque problème n'hésite pas à m'en faire part ( évite les prises de décision hasardeuses ).  



commence par faire ceci pour avoir un diagnostique précis du PC :   



Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau :  

-> https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html  


!! déconnecte toi et ferme toutes tes applications en cours !!   


> Double-clique sur "ZHPDiag.exe" ( avec Vista/Seven faire clique droit / "executer en tant qu'admin..." ) pour lancer l'installation de l'outil et laisse toi guider. Ne modifie pas les paramètres d'installe et coche bien la case "créer une icone sur le bureau" afin d'avoir les raccourcis "ZHPDiag" et "ZHPFix" .    

> A la fin de l'installe , laisse bien la case "executer ZHPDiag" cochée et clique sur "Terminer " > l'outil se lancera donc automatiquement .  

> Une fois ZHPDiag ouvert, clique sur le bouton "option" en haut sur la droite .  
( celui avec le tournevis )  

Une liste apparait dans l'encadré principal > coche toutes les lignes sauf les 045 et 061 ( important ! ) .  

> clique sur le bouton "calendrier" qui est en haut à droite : choisis 30 days  

> Puis clique sur le bouton de "la loupe" ( en haut à gauche ) pour lancer le scan .  


Laisses travailler l'outil ... ( cela peut-être relativement long )  


> Une fois terminé, le rapport obtenu ( ZHPDiag.txt ) est sauvegardé sur ton bureau.   

Ferme le programme ...   



-> Pour me faire parvenir ce rapport, rends toi sur ce site : http://www.cijoint.fr/   

* Clique sur "parcourir" et va jusqu'au rapport ZHPDiag.txt qui est sauvegardé sur le bureau .   
* Clique ensuite sur "cliquer ici pour déposer le fichier" et patiente ...   
* Une fois l'upload finit , un lien apparait > copie/colle le dans ta prochaine réponse stp ....   


"Baby, I'm going on an airplane, And I don't know if I'll be back again"  
IMPORTANT : ne vous croyez pas tiré d'affaire tant qu'on ne   
vous l'a pas dit !

Pimouss_Epita · Answer

Merci Ske69 de te préoccuper de mon problème.

Avast situe :

Services.exe comme étant une haute menace (Win32:Cycler-Q[Trj]) situé :
C:\System Volume Information\Microsoft\services.exe

L'autre process étant virusé étant "smss.exe".

Voici le lient cijoint :
http://www.cijoint.fr/cjlink.php?file=cj201007/cijrjZy7Yl.txt

Merci encore de l'aide apportée !

sKe69 · Answer

bien .... 



infection via support amovible en plus ... Y a du boulot ... ^^" 




commence par ceci dans l'ordre : 



1- Désonstalle proprement Ad-Aware depuis le panneau de config / "ajout et supp de prg " . 

Inutile face aux nouvelles menaces ... de plus il alourdit le systeme et la navigation ... 



====================== 


2- Utilisation de l'outil ZHPFix : 

* Copie le tout le texte présent dans l'encadré ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C ) 


C:\System Volume Information\Microsoft\services.exe  
C:\System Volume Information\Microsoft\smss.exe  
C:\System Volume Information\Microsoft 
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy-2:2321 
O64 - Services: CurCS - (.not file.) - SAVRTPEL (SAVRTPEL)  .(.Pas de propriétaire - Pas de description.) - LEGACY_SAVRTPEL    
O64 - Services: CurCS - (.not file.) - SYMTDI (SYMTDI)  .(.Pas de propriétaire - Pas de description.) - LEGACY_SYMTDI  
O43 - CFD:Common File Directory ----D- C:\Program Files\Symantec       
[HKCU\Software\Symantec] 
[HKLM\Software\Symantec] 


Puis Lance ZHPFix depuis le raccouci du bureau . 

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .  

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent . 

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre. 
 
* Puis clique sur le bouton [ OK ] . 
> à ce moment là , il apparaitra au début de chaque ligne une petite case vide .  

Ne touche plus à rien ! 

!! Déconnecte toi, désactive tes défenses ( anti-virus,anti-spyware ) et ferme bien toutes autres applications ( navigateurs compris ) !! 


* Clique sur le bouton [ Tous ] . Vérifies que toutes les lignes soient bien cochées . 

* Enfin clique sur le bouton [ Nettoyer ] . 


-> laisse travailler l'outil et ne touche à rien ... 


-> Si il t'est demandé de redémarrer le PC pour finir le nettoyage , fais le ! 

Une fois terminé , un nouveau rapport s'affiche : poste le contenu de ce dernier dans ta prochaine réponse ... 

( ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ZHPFixReport.txt ) 
  
 Pense à réactiver tes défenses !...  



============================ 

3-  Télécharge bootkit_remover : 
> http://www.esagelab.com/files/bootkit_remover.rar 

* Extrait le contenu de l'archive sur ton bureau. 
* ! Désactive ton antivirus et ferme toutes applications en cours !  
* Lance l'outil. 
* Une fenêtre noir type DOS va apparaitre > copie/colle tout le contenu de cette dernière dans ta prochaine réponse pour analyse ... 


note : 
pour copier/coller cette fenêtre, cliquer droit sur la fenêtre DOS / choisir "sélectionné tout"  

En image ici > http://img37.imageshack.us/img37/3338/br1n.jpg 

Un fois le rapport sélectionné, il faut taper de suite sur [entrée] et le rapport est directement "copier" .... 

Il suffit ensuite de le "coller" sur le forum ... 


"Baby, I'm going on an airplane, And I don't know if I'll be back again" 
IMPORTANT : ne vous croyez pas tiré d'affaire tant qu'on ne  
vous l'a pas dit !

Pimouss_Epita · Answer

Voici le rapport cijoint du Fix : http://www.cijoint.fr/cjlink.php?file=cj201007/cijuwGQmH8.txt Et voici le copié/collé de la fenetre remover.exe Bootkit Remover version 1.0.0.1 (c) 2009 eSage Lab www.esagelab.com \.\C: -> \.\PhysicalDrive0 MD5: bfa611d5fe300f883a84a4fd7447f26b Size Device Name MBR Status -------------------------------------------- 74 GB \.\PhysicalDrive0 Unknown boot code Unknown boot code has been found on some of your physical disks. To inspect the boot code manually, dump the master boot sector: remover.exe dump [output_file] To disinfect the master boot sector, use the following command: remover.exe fix Press any key to quit...

sKe69 · Answer

bon ... 



la suite : 


Créer un doc texte sur ton bureau :  

* Pointe ta souris sur ton bureau , clique droit : va dans "nouveau" et choisis "document texte" .  

* Ensuite copie/colle le texte ci-dessous ( et rien d'autre ! ) dans le fichier texte que tu viens de créer :  


@ECHO OFF 
START remover.exe fix \.\PhysicalDrive0 
EXIT 


* Sauvegarde le document sur ton bureau :  
Va sur "fichier"/"enregistrer sous" :  
-> Nom du fichier, tu tapes : fix.bat  
Type de fichier, tu choisis : "tous les fichiers"  
-> clique sur "enregistrer"  
( le .bat à la fin est important )  

! Désactive ton antivirus et ferme toutes applications en cours !  

* Double clique sur fix.bat > ça doit ouvrir une fenêtre noir qui va se refermer.  

* Une fois finit, une nouvelle fenêtre noir type DOS va apparaitre > copie/colle tout le contenu de cette dernière dans ta prochaine réponse pour analyse et attends la suite ... 


Note :
si après avoir lancer fix.bat, une fenêtre apparait avec le message suivant : 
Its strongly recommended to reboot immediately after the disinfection 
Otherwise the malicious boot code can be restored by the trojan etc... 
> clique sur [Yes] afin que l'outil redémarre le PC et qu'il puisse terminer le nettoyage .



"Baby, I'm going on an airplane, And I don't know if I'll be back again" 
IMPORTANT : ne vous croyez pas tiré d'affaire tant qu'on ne  
vous l'a pas dit !

pimouss_epita · Answer

Voici le contenu de la fenetre DOS :

Bootkit Remover version 1.0.0.1
(c) 2009 eSage Lab
www.esagelab.com

Restoring boot code at \.\PhysicalDrive0...
OK

Press any key to quit...

sKe69 · Answer

bien ...


on est Ok de ce côté là ...


Tiens moi aucourant si tu as de nouveau des alertes d' Avast concernant les process services.exe et smss.exe


autre chose , c'est quoi ce prg exactement > cwRsync Server  ? ...



On continue ... dans l'ordre :


1- Avoir accès aux fichiers cachés :
 
Va dans Menu Démarrer->Poste de travail->Outils->Options des dossiers...->Affichage 
* "Afficher les fichiers et dossiers cachés" ---> coché 
* "Masquer les extensions des fichiers dont le type est connu" ---> décoché 
* "masquer les fichiers du système" ---> décoché
-> valide la modif ( "appliquer" puis "ok" ).
( tu remetteras les paramètres de départ une fois la désinfection terminée , pas avant ... ) 




2- Rends toi sur ce site : 

https://www.virustotal.com/gui/ 

Copies ce qui suit et colles le dans l'espace pour la recherche ( ou clique sur "parcourir" et va jusqu'au fichier demandé )  : 
C:\Program Files\cwRsyncServer\bin\rsync.exe

Clique sur Send File ( = " Envoyer le fichier " ). 

Un rapport va s'élaborer ligne à ligne. 

Attends bien la fin ... Il doit comprendre la taille du fichier envoyé. 

Sauvegarde le rapport avec le bloc-note. 

Copie le dans ta prochaine réponse ... 

( Si VirusTotal indique que le fichier a déjà été analysé, clique sur le bouton Ré-analyse le fichier maintenant )

petit tuto > https://www.commentcamarche.net/faq/8633-legitimite-d-un-fichier-ou-processus-douteux#les-bonnes-adresses


Fais de même pour :

C:\Documents and Settings\SvcwRsync\Application Data\Microsoft\jyquofes.exe  

Poste moi donc ces 2 rapports ( surtout le début avec le listing des AV , et en précisant bien au début de chacuns à quel fichier ils correspondent ) et fait la suite ...


=============================

3- Télécharge UsbFix ( de C_XX, Chimay8 & El desaparecido ) sur ton bureau : 

ici http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe 
ou ici https://www.ionos.fr/?affiliate_id=77097

! Déconnecte toi d'internet, désactive ton antivirus et ferme toutes applications en cours ! 


Impératif : 
Branche toutes tes unités externes à ton PC (clé USB, DD externe, flash disk, lecteur MP3,carte SD, etc...) succeptibles d'avoir été infectés ( mais sans les ouvrir ! ) .  


# Double clique sur UsbFix.exe présent sur ton bureau pour lancer l'outil. 

# Clique sur le bouton [ Recherche ] . 

# Laisse travailler l'outil et ne touche à rien pendant le scan . 

# Une fois terminé, poste le rapport UsbFix.txt qui apparaitra. 

Le rapport est en outre sauvegardé à la racine du disque maitre ( C:\UsbFix.txt ). 

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )  


Note :  
"Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.  
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.  
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 


Site de l'auteur > http://pagesperso-orange.fr/NosTools/usbfix.html

pimouss_epita · Answer

Voici le compte rendu pour l'analyse de rsync.exe par virustotal:

Antivirus	Version	Dernière mise à jour	Résultat
a-squared	5.0.0.31	2010.07.12	-
AhnLab-V3	2010.07.13.00	2010.07.12	-
AntiVir	8.2.4.10	2010.07.12	-
Antiy-AVL	2.0.3.7	2010.07.12	-
Authentium	5.2.0.5	2010.07.12	-
Avast	4.8.1351.0	2010.07.12	-
Avast5	5.0.332.0	2010.07.12	-
AVG	9.0.0.836	2010.07.12	-
BitDefender	7.2	2010.07.12	-
CAT-QuickHeal	11.00	2010.07.12	-
ClamAV	0.96.0.3-git	2010.07.12	-
Comodo	5407	2010.07.12	-
DrWeb	5.0.2.03300	2010.07.12	-
eSafe	7.0.17.0	2010.07.11	-
eTrust-Vet	36.1.7700	2010.07.12	-
F-Prot	4.6.1.107	2010.07.11	-
F-Secure	9.0.15370.0	2010.07.12	-
Fortinet	4.1.143.0	2010.07.11	-
GData	21	2010.07.12	-
Ikarus	T3.1.1.84.0	2010.07.12	-
Jiangmin	13.0.900	2010.07.12	-
Kaspersky	7.0.0.125	2010.07.12	-
McAfee	5.400.0.1158	2010.07.12	-
McAfee-GW-Edition	2010.1	2010.07.12	-
Microsoft	1.5902	2010.07.12	-
NOD32	5273	2010.07.12	-
Norman	6.05.11	2010.07.12	-
nProtect	2010-07-12.01	2010.07.12	-
Panda	10.0.2.7	2010.07.12	-
PCTools	7.0.3.5	2010.07.12	-
Prevx	3.0	2010.07.12	-
Rising	22.56.00.04	2010.07.12	-
Sophos	4.55.0	2010.07.12	-
Sunbelt	6571	2010.07.12	-
SUPERAntiSpyware	4.40.0.1006	2010.07.12	-
Symantec	20101.1.0.89	2010.07.12	-
TheHacker	6.5.2.1.312	2010.07.12	-
TrendMicro	9.120.0.1004	2010.07.12	-
TrendMicro-HouseCall	9.120.0.1004	2010.07.12	-
VBA32	3.12.12.6	2010.07.12	-
ViRobot	2010.7.12.3932	2010.07.12	-
VirusBuster	5.0.27.0	2010.07.12	-
Information additionnelle
File size: 260608 bytes
MD5...: 606852391343a319746db8daa1a114c9
SHA1..: 03fb6f4418f9c7e145046f986d7d2febf9a31027
SHA256: 36aadfa2686ee8227f92ca5530c59feb2d6a064397a5e9c0771a0a124e64b435
ssdeep: 6144:/UHNAtdMD78N3HcCtXgyW6h+mHHHTB05mhbMqrFTB8:6NAjq7c3HcgQytHr
rFT
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1000
timedatestamp.....: 0x434c4922 (Tue Oct 11 23:22:10 2005)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x31c20 0x31e00 6.30 f4f73ffc43d23c83f2883371e1b88535
.data 0x33000 0x15f0 0x1600 2.61 5850c577294cdde831edea5df861acb3
.rdata 0x35000 0xb190 0xb200 6.15 ba3d41c9b2d65933bdcbb499a1ad19c9
.bss 0x41000 0x30e0 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.idata 0x45000 0xfd8 0x1000 4.82 6cb3d6e18f3eaa36deea81b54eb4dbca

( 2 imports ) 
> cygwin1.dll: __errno, __getreent, __main, _ctype_, _exit, _fcntl64, _fopen64, _fstat64, _ftruncate64, _getegid32, _geteuid32, _getgrgid32, _getgrnam32, _getgroups32, _getpwuid32, _getuid32, _impure_ptr, _lchown32, _lseek64, _lstat64, _mknod32, _open64, _setgid32, _setgroups32, _setuid32, _stat64, accept, access, asctime, asprintf, atof, atoi, bind, calloc, chdir, chmod, chroot, close, closedir, connect, cygwin_internal, dll_crt0__FP11per_process, dup, dup2, execvp, exit, fchmod, fclose, fflush, fork, fprintf, fputc, fread, free, fwrite, getc, getcwd, getenv, gethostbyaddr, gethostbyname, getpass, getpeername, getpgrp, getpid, getpwnam, getservbyname, getservbyport, getsockname, getsockopt, gettimeofday, glob, globfree, h_errno, inet_ntop, inet_pton, kill, link, listen, localtime, mallinfo, malloc, memcpy, memmove, memset, mkdir, mkstemp, opendir, openlog, qsort, read, readdir, readlink, realloc, rename, rmdir, select, setlocale, setmode, setsid, setsockopt, shutdown, signal, sleep, snprintf, socket, socketpair, sprintf, sscanf, strcasecmp, strchr, strcmp, strcpy, strdup, strerror, strftime, strlcat, strlcpy, strlen, strncasecmp, strncmp, strncpy, strpbrk, strrchr, strspn, strstr, strtod, strtok, strtol, symlink, sysconf, syslog, system, tcgetpgrp, time, umask, unlink, utime, vsnprintf, waitpid, write
> KERNEL32.dll: GetModuleHandleA

( 0 exports ) 
RDS...: NSRL Reference Data Set
-
pdfid.: -
trid..: Win32 Executable MS Visual C++ 5.0 (50.3%)
Win32 Executable MS Visual C++ (generic) (31.2%)
Win32 Executable Generic (7.0%)
Win32 Dynamic Link Library (generic) (6.2%)
Win16/32 Executable Delphi generic (1.7%)
sigcheck:
publisher....: n/a
copyright....: n/a
product......: n/a
description..: n/a
original name: n/a
internal name: n/a
file version.: n/a
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned


Je ne trouve pas le second fichier dont tu as parlé (ni en fichier visible, ni en fichier caché).

Pour cwRsync Server, je ne suis pas sur de ce que c'est. L'ordinateur était la station de travail de mon paternel avant, mais je crois savoir qu'il s'agit de ce que son service informatique avait mis sur son ordinateur. 

Pour usbfix, je ne pourrais faire cela que demain, n'ayant pas acces aux périphériques externes ce soir.

Merci déja pour ton aide plus que bienvenue !!!

sKe69 · Answer

oki ... 


donc pour demain , le rapport d'UsbFix ... 

Puis dans la foulée , désinstalle ce fameux prg depuis le panneau de config / "ajout et supp de prg" > cwRsync Server 




A demain .... 


"Baby, I'm going on an airplane, And I don't know if I'll be back again" 
IMPORTANT : ne vous croyez pas tiré d'affaire tant qu'on ne  
vous l'a pas dit !

pimouss_epita · Answer

Voici le rapport usbfix. Il me manque un DD externe que je n'aurais que ce soir.


############################## | UsbFix 7.016 | [Recherche]

Utilisateur: Pascale (Administrateur) # THIS [ ]
Mis à jour le 05/07/10 par El Desaparecido / C_XX
Lancé à 11:00:17 | 13/07/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU:  Intel(R) Pentium(R) M processor 1.60GHz
Microsoft Windows XP Édition familiale (5.1.2600 32-Bit) # Service Pack 3
Internet Explorer 6.0.2900.5512

Pare-feu Windows: Activé
Antivirus: avast! Antivirus 5.0.83886674 [(!) Disabled | Updated]
RAM -> 511 Mo 
C:\ (%systemdrive%) -> Disque fixe # 75 Go (38 Go libre(s) - 51%) [] # NTFS
D:\ -> CD-ROM
E:\ -> Disque fixe # 2 Go (2 Go libre(s) - 100%) [AEFCO] # FAT32
F:\ -> Disque amovible # 31 Mo (1 Mo libre(s) - 3%) [] # FAT
G:\ -> Disque fixe # 149 Go (97 Go libre(s) - 65%) [WD Passport] # FAT32

################## | Éléments infectieux |

Présent! F:\msvcr71.dll

################## | Registre |


################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\{73545120-1982-11df-a135-0000f0726f3f}
Shell\AutoRun\Command = E:\ZASLUZUJES///vrhpravi.exe
Shell\explore\Command = E:\ZASLUZUJES///vrhpravi.exe
Shell\open\Command = E:\ZASLUZUJES///vrhpravi.exe

HKCU\.\.\.\.\Explorer\MountPoints2\{e1d2eef1-2461-11df-a139-0000f0726f3f}
Shell\AutoRun\Command = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL aDMinIStrateur.exE


################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |



Petite question. lors du branchement une menace a été détectée et mise en quarantaine, auqu'un risque d'infection supplémentaire ?
Autre chose. Mon ordinateur a moi est sans doute déja rentré en contact avec ces disques/cles. Est il probablement infecté ?

sKe69 · Answer

Hello, 


Autre chose. Mon ordinateur a moi est sans doute déja rentré en contact avec ces disques/cles. Est il probablement infecté ?


> il y a de forte chance ! ... on vera cela après ... 

montre moi si possible ce qu'a mit ton AV en quarataine ... 



Tu referas la manipe suivante avec ton DD externe qui manque dès que possible .... 



Dans l'ordre : 


1- ! Déconnecte toi d'internet, désactive ton antivirus et ferme toutes applications en cours ! 

Impératif : 
Branche toutes tes unités externes à ton PC (clé USB, DD externe, flash disk, lecteur MP3,carte SD, etc...) succeptibles d'avoir été infectés ( mais sans les ouvrir ! ) .  

# Double clique sur UsbFix.exe présent sur ton bureau pour lancer l'outil . 

# Cette fois ci , tu cliques sur le bouton [ Suppression ]. 

> Ton bureau disparaitra et le pc redémarrera ( c'est normal ). 

# Une fois terminé,  poste le nouveau rapport UsbFix.txt qui apparaitra avec le bureau . 

( Le rapport est en outre sauvegardé à la racine du disque maitre > C:\UsbFix.txt ). 

/!\ Une fois le rapport posté , redémarre de suite ton PC pour que l'outil finisse le nettoyage ! 


Note : Si le Bureau ne réapparait pas, presse Ctrl + Alt + Suppr pour ouvrir le Gestionnaire des Tâches > Onglet "Fichier" , "Nouvelle tâche" , tape explorer.exe et valide )  


========================== 

2- Refais un scan ZHPDiag . 

* coche bien toutes les options ( sauf la 045 et 061 ),  

* au niveau du bouton "calendrier" choisis > 30 days 

> poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...  





"Baby, I'm going on an airplane, And I don't know if I'll be back again" 
IMPORTANT : ne vous croyez pas tiré d'affaire tant qu'on ne  
vous l'a pas dit !

Pimouss_Epita · Answer

Pour Avast : Cheval de troie bloqué Objet : C:\UsbFix\UsbFix.exe|>>>>>AUTOIT SCRIPT<<<<<< Infection : Win32:VB-JI[Trj] Action : Mise en quarantaine Enfin c'est sans doute la menace dont tu m'avais parlé.

pimouss_epita · Answer

Lien cijoint Zhpdiag : 
http://www.cijoint.fr/cjlink.php?file=cj201007/cijWm71Lcd.txt 

Rapport du fix :

############################## | UsbFix 7.016 | [Suppression]

Utilisateur: Pascale (Administrateur) # THIS [ ]
Mis à jour le 05/07/10 par El Desaparecido / C_XX
Lancé à 11:34:21 | 13/07/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU:  Intel(R) Pentium(R) M processor 1.60GHz
Microsoft Windows XP Édition familiale (5.1.2600 32-Bit) # Service Pack 3
Internet Explorer 6.0.2900.5512

Pare-feu Windows: Activé
Antivirus: avast! Antivirus 5.0.83886674 [(!) Disabled | Updated]
RAM -> 511 Mo 
C:\ (%systemdrive%) -> Disque fixe # 75 Go (38 Go libre(s) - 51%) [] # NTFS
D:\ -> CD-ROM
E:\ -> Disque fixe # 2 Go (2 Go libre(s) - 100%) [AEFCO] # FAT32
F:\ -> Disque amovible # 31 Mo (1 Mo libre(s) - 3%) [] # FAT
G:\ -> Disque fixe # 149 Go (97 Go libre(s) - 65%) [WD Passport] # FAT32

################## | Éléments infectieux |

Supprimé! F:\msvcr71.dll

################## | Registre |


################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{73545120-1982-11df-a135-0000f0726f3f}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{e1d2eef1-2461-11df-a139-0000f0726f3f}

################## | Listing |

[22/03/2008 - 08:28:32 | D ] 	C:\1db14ce5decb5688d621000aa5ab
[26/12/2006 - 22:02:56 | D ] 	C:\3f4944f5be7d2c0711b6cd99f6628953
[01/02/2005 - 12:46:19 | D ] 	C:\Adobe
[18/08/2005 - 16:29:55 | D ] 	C:\ATILF-TLFI
[27/05/2004 - 09:14:06 | A | 0] 	C:\AUTOEXEC.BAT
[10/07/2010 - 18:08:52 | RASH | 216] 	C:\boot.ini
[24/04/2003 - 13:00:00 | RASH | 4952] 	C:\Bootfont.bin
[12/03/2005 - 12:18:15 | HD ] 	C:\CanoScan
[27/05/2004 - 09:14:06 | A | 0] 	C:\CONFIG.SYS
[11/10/2006 - 17:28:45 | D ] 	C:\Dell
[28/02/2006 - 19:24:43 | D ] 	C:\DHO
[25/12/2009 - 12:26:38 | D ] 	C:\Documents and Settings
[13/07/2010 - 11:30:27 | ASH | 535875584] 	C:\hiberfil.sys
[02/07/2006 - 08:12:14 | A | 1119] 	C:\INSTALL.LOG
[27/05/2004 - 09:14:06 | RASH | 0] 	C:\IO.SYS
[01/02/2005 - 12:46:50 | D ] 	C:\KPCMS
[23/04/2008 - 16:20:50 | D ] 	C:\Logs
[27/05/2004 - 09:14:06 | RASH | 0] 	C:\MSDOS.SYS
[31/01/2005 - 10:28:12 | RASH | 47564] 	C:\NTDETECT.COM
[25/12/2009 - 12:50:05 | RASH | 252240] 	C:
tldr
[13/07/2010 - 11:30:26 | ASH | 805306368] 	C:\pagefile.sys
[12/07/2010 - 21:31:34 | RD ] 	C:\Program Files
[13/07/2010 - 11:38:20 | SHD ] 	C:\RECYCLER
[20/06/2010 - 12:13:12 | SHD ] 	C:\System Volume Information
[24/05/2001 - 11:59:30 | A | 162304] 	C:\UNWISE.EXE
[13/07/2010 - 11:38:21 | D ] 	C:\UsbFix
[13/07/2010 - 11:38:24 | A | 967] 	C:\UsbFix.txt
[13/07/2010 - 00:01:09 | D ] 	C:\WINDOWS
[12/07/2010 - 21:31:34 | A | 71728] 	C:\ZHPExportRegistry-12-07-2010-21-31-34.txt
[11/07/2010 - 16:07:52 | A | 87552] 	E:\Tableau chimio prev CNGOF 10.doc
[17/06/2009 - 08:58:16 | A | 223443] 	E:\Prev Horm KdS ASCO Visvanathan JCO 09.pdf
[20/06/2010 - 15:20:54 | A | 56832] 	E:\SYNTHESE PREV KdS  PREP CNGOF.doc.doc
[13/07/2010 - 11:38:22 | SHD ] 	E:\Recycled
[13/07/2010 - 11:38:22 | SHD ] 	E:\System Volume Information
[22/11/2009 - 17:59:52 | D ] 	F:\scans tel
[06/09/2009 - 13:16:20 | SHD ] 	F:\Recycled
[27/09/2009 - 16:24:04 | A | 545792] 	F:\Tumeurs bénignes ov F K 09.ppt
[03/10/2009 - 15:32:50 | A | 194560] 	F:\Cas cliniques FAR Fet K 09.ppt
[02/10/2009 - 17:41:24 | A | 230400] 	F:\Cas clinique FAR Fet K 09 synthèse.ppt
[04/10/2009 - 16:43:26 | A | 188416] 	F:\Article Photo FAR Indemnes V4.doc
[08/10/2009 - 16:51:06 | A | 139776] 	F:\Cas cliniques FAR Fet K 09-2.ppt
[10/10/2009 - 17:58:26 | A | 2463744] 	F:\Hormones et Hormono-dépendance 09.ppt
[11/06/2010 - 14:27:42 | RSHD ] 	F:\RECYCLER
[23/09/2009 - 12:58:50 | AH | 4096] 	F:\._.Trashes
[23/09/2009 - 12:58:50 | HD ] 	F:\.Trashes
[23/09/2009 - 12:58:50 | HD ] 	F:\.fseventsd
[23/09/2009 - 12:59:06 | AH | 0] 	F:\._Contraception ap 40 CHV 09.ppt
[24/01/2010 - 17:29:26 | A | 207872] 	F:\Article Photo FAR Indemnes V5.doc
[14/02/2010 - 16:56:12 | A | 220160] 	F:\Figures article V5.doc
[14/02/2010 - 16:49:24 | A | 97280] 	F:\Article Photo FAR Indemnes V5, relu DSL.doc
[14/02/2010 - 16:56:52 | A | 209920] 	F:\REUNION GFAR 18 02 10.ppt
[28/02/2010 - 17:34:04 | A | 519168] 	F:\Désir grossesse contracept SGP 10.ppt
[08/03/2010 - 11:27:30 | A | 241152] 	F:\Figures article V6.doc
[08/03/2010 - 11:16:28 | A | 113664] 	F:\Article Photo FAR Indemnes V6.doc
[20/01/2010 - 08:13:34 | A | 616448] 	F:\Suivi et tolérance Htt adj  La Réunion 08.ppt
[24/05/2010 - 16:08:52 | A | 96768] 	F:\Article Photo FAR Indemnes V7.doc
[24/05/2010 - 16:05:12 | A | 99328] 	F:\Tableaux V7.doc
[24/05/2010 - 16:03:52 | A | 70656] 	F:\Figures articles V7.doc
[13/05/2010 - 17:24:20 | A | 879104] 	F:\La DMP P This Juin 10.ppt
[27/04/2010 - 14:25:48 | A | 1723392] 	F:\Prise en charge FAR Juin 2010.ppt
[11/06/2010 - 14:27:34 | RSHD ] 	F:\ZASLUZUJES
[20/06/2010 - 12:00:54 | A | 55296] 	F:\SYNTHESE PREV KdS  PREP CNGOF.doc.doc
[22/06/2010 - 15:57:56 | A | 11409408] 	F:\Prise en charge FAR Juin 2010 AT PT.ppt
[20/10/2007 - 17:47:28 | SHD ] 	G:\System Volume Information
[08/12/2007 - 11:25:52 | SHD ] 	G:\$RECYCLE.BIN
[09/12/2007 - 18:38:38 | SHD ] 	G:\Recycled
[26/12/2007 - 16:36:18 | D ] 	G:\Pascale
[29/12/2009 - 17:05:28 | D ] 	G:\Chouchou
[31/12/2009 - 13:16:36 | D ] 	G:\Divers
[11/01/2010 - 10:40:52 | D ] 	G:\DATASAVE
[11/01/2010 - 10:50:18 | D ] 	G:\DATASAVE_1
[15/01/2010 - 08:10:28 | D ] 	G:\DATASAVE_2

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
E:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
F:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
G:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_THIS.zip
https://www.ionos.fr/?affiliate_id=77097
Merci de votre contribution.

################## | E.O.F |

sKe69 · Answer

bon ....


en faite Avast shoote une parti de l'outil UsbFix !


donc faut recommencer ! ...


* supprime la version d' UsbFix que tu as  
* puis retélécharge le ( important ! )
* DESACTIVE Avast !
* relance l'ensemble de cette manipe >  https://forums.commentcamarche.net/forum/affich-18467851-ie-cachee-baisse-du-volume-et-process-system#11


Poste les nouveaux rapports obtenus ...
( réactive Avast une fois fait )

Pimouss_Epita · Answer

En réalité pour pouvoir utiliser usbfix, j'ai été obligé de faire cette manip ( et même désactiver avast avant même la fin du DL sinon il n'arrivait même pas jusqu'a chez moi) :)

sKe69 · Answer

Ok ...



fait ceci stp :


toujours tes unités externes branchées au PC ! 


Télécharge SystemLook de jpshortstuff sur ton bureau :

http://images.malwareremoval.com/jpshortstuff/SystemLook.exe


* Double-clique sur "SystemLook.exe" pour lancer l'outil .

-> Copies/colle le texte ci-dessous dans la fenêtre :


:dir
F:\ZASLUZUJES 


* Clique sur le bouton [Look] pour lancer l'examen .

Laisse travailler ...

* Quand il est terminé, une fenêtre du Bloc-notes s'ouvre avec le résultat du scan. 

-> Poste ce rapport dans ta prochaine réponse pour analyse ...


 ( Note : Le rapport est en outre sauvegardé sur ton bureau / "SystemLook.txt" )

pimouss_epita · Answer

SystemLook v1.0 by jpshortstuff (11.01.10)
Log created at 12:34 on 13/07/2010 by Pascale (Administrator - Elevation successful)

========== dir ==========

F:\ZASLUZUJES - Parameters: "(none)"

---Files---
Desktop.ini	--ahs- 64 bytes	[13:27 11/06/2010]	[13:27 11/06/2010]

---Folders---
None found.

-=End Of File=-

sKe69 · Answer

bien ....



fait ce qui suit dans l'ordre :



1- toujours tes unités externes branchées au PC !


Télécharge OTM (de Old_Timer) sur ton Bureau. 

http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/

 
Double clique sur "OTM.exe" pour ouvrir le prg . 
Puis copie ce qui se trouve en citation ci-dessous,
 

:Files
F:\ZASLUZUJES 

:Commands
[purity]
[emptytemp]
[Reboot]


et colle le dans le cadre de gauche de OTM : 
Paste Instructions for items to be moved.
(ne touche à rien d'autre !) 

! Déconnecte toi et ferme toutes tes applications en cours ! ( navigateurs compris )

-> clique sur MoveIt! pour lancer la suppression.
-> laisse travailler l'outil ... 

-> une fois finis , un petite fenêtre s'ouvre : clique sur " Yes " .

Ton PC va redémarrer de lui même pour finir la suppression ...

Lors du redémarrage , si on te demande d'autoriser l'exécution d' OTM , accepte ( pour que l'outil finisse son boulot ... ).

-->Poste le contenu du rapport qui se trouve dans le dossier "C:\_OTM\MovedFiles"  
( " xxxx2010_xxxxxx.log "  où les "x" correspondent au jour et à l'heure de l'utilisation  ).



============================

2- Télécharge et installe la dernière version de  CCleaner :
https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/
ou https://www.pcastuces.com/logitheque/ccleaner.htm 
Ce logiciel va permettre de supprimer tous les fichiers temporaires et de corriger ton registre . 
Lors de l'installation: 
-choisis bien "français" en langue . 
-avant de cliquer sur le bouton "installer", décoche toutes les "options supplémentaires" sauf les 2 premières. 

Un tuto ( aide ): 
https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/


--> Utilisation:
*Décocher dans le menu Options - sous-menu Avancé : 
Effacer uniquement les fichiers, du dossier temp de Windows, plus vieux que 48 heures .

! Déconnecte toi et ferme toutes applications en cours !

* va dans "nettoyeur" : fais -analyse- puis -nettoyage- 
* va dans "registre" : fais -chercher les erreurs- et -réparer toutes les erreurs- 
( plusieurs fois jusqu'à ce qu'il n'y est plus d'erreur ) . 

( CCleaner : soft à garder sur son PC , super utile pour de bons nettoyages ... ) 


============================

3- Télécharges Malwarebytes' : 
ici https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/
ou ici : http://www.malwarebytes.org/mbam.php
ou ici : http://www.malwarebytes.org/mbam/program/mbam-setup.exe

 
* Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'instale ) et mets le à jour  ( onglet "mise à jour"). 

(NB : S'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : https://www.malekal.com/tutorial-aboutbuster/ )

* Potasse le tuto pour te familiariser avec le prg : 
https://forum.pcastuces.com/sujet.asp?f=31&s=3
( cela dis, il est très simple d'utilisation ).

! Déconnecte toi et ferme toutes applications en cours ! 

* Lance Malwarebytes' .

Fais un examen dit "RAPIDE" .

--> Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ). 
--> à la fin tu cliques sur "résultat" . 
--> Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes', le dernier en date) pour analyse ...


=========================

4- Refais un scan ZHPDiag .

* coche bien toutes les options ( sauf la 045 et 061 ), 

* au niveau du bouton "calendrier" choisis > 30 days

> poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...

pimouss_epita · Answer

All processes killed
========== FILES ==========
F:\ZASLUZUJES folder moved successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: Administrateur
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 49286 bytes
 
User: All Users
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 49152 bytes
 
User: hervé this
->Temp folder emptied: 350194 bytes
->Temporary Internet Files folder emptied: 3941486052 bytes
->Java cache emptied: 1143857 bytes
->FireFox cache emptied: 56300686 bytes
->Flash cache emptied: 1383 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32902 bytes
 
User: MsS
->Temp folder emptied: 99290149 bytes
->Temporary Internet Files folder emptied: 29537863 bytes
->FireFox cache emptied: 2754518 bytes
->Flash cache emptied: 2298 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 592 bytes
 
User: Pascale
->Temp folder emptied: 12217057 bytes
->Temporary Internet Files folder emptied: 49286 bytes
->FireFox cache emptied: 31207649 bytes
->Google Chrome cache emptied: 15564102 bytes
->Flash cache emptied: 1929093 bytes
 
User: Propriétaire
 
User: SvcwRsync
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 49286 bytes
->Flash cache emptied: 348 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 39097 bytes
%systemroot%\System32 .tmp files removed: 3072 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 1049943 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 73256446 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 4 069,00 mb
 
 
OTM by OldTimer - Version 3.1.14.0 log created on 07132010_152224

Files moved on Reboot...
File move failed. C:\WINDOWS	emp\_avast5_\Webshlock.txt scheduled to be moved on reboot.

Registry entries deleted on Reboot...

pimouss_Epita · Answer

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4309

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

13/07/2010 16:07:49
mbam-log-2010-07-13 (16-07-49).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 164934
Temps écoulé: 8 minute(s), 29 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 2
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{549b5ca7-4a86-11d7-a4df-000874180bb3} (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{549b5ca7-4a86-11d7-a4df-000874180bb3} (Trojan.Agent) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\System volume information\Microsoft\services.exe (Trojan.Cycler) -> Quarantined and deleted successfully.
C:\System volume information\Microsoft\smss.exe (Trojan.Cycler) -> Quarantined and deleted successfully.

sKe69 · Answer

vu


un nouveau ZHPdiag maintenant ....

pimouss_Epita · Answer

http://www.cijoint.fr/cjlink.php?file=cj201007/cij7gG8XAW.txt

Voila le rapport Zhpdiag

sKe69 · Answer

re,


désinstalle ce prg comme je te l'avais demandé > cwRsync Server 


on vois dans le rapport MBAM que les process infectieux services.exe et smss.exe était de retour ... j'espère que le mbr n'est pas de nouveau réinfecté ....


donc pour vérifier , refait ceci :


! Désactive ton antivirus et ferme toutes applications en cours ! 
* Lance bootkit_remover  .
* Une fenêtre noir type DOS va apparaitre > copie/colle tout le contenu de cette dernière dans ta prochaine réponse pour analyse ...


note :
pour copier/coller cette fenêtre, cliquer droit sur la fenêtre DOS / choisir "sélectionné tout" 

En image ici > http://img37.imageshack.us/img37/3338/br1n.jpg

Un fois le rapport sélectionné, il faut taper de suite sur [entrée] et le rapport est directement "copier" ....

Il suffit ensuite de le "coller" sur le forum ...

pimouss_Epita · Answer

Voici le rapport de bootkit_remover Bootkit Remover version 1.0.0.1 (c) 2009 eSage Lab www.esagelab.com \.\C: -> \.\PhysicalDrive0 MD5: 6def5ffcbcdbdb4082f1015625e597bd \.\E: -> \.\PhysicalDrive3 MD5: 8eef808c853f1866ffda2d5fc9e4fa85 \.\G: -> \.\PhysicalDrive2 MD5: 0e0c1ca2f6caf5cf23569ed10f08fea9 Size Device Name MBR Status -------------------------------------------- 74 GB \.\PhysicalDrive0 OK (DOS/Win32 Boot code found) 1 GB \.\PhysicalDrive3 Unknown boot code 149 GB \.\PhysicalDrive2 Unknown boot code Unknown boot code has been found on some of your physical disks. To inspect the boot code manually, dump the master boot sector: remover.exe dump [output_file] To disinfect the master boot sector, use the following command: remover.exe fix Press any key to quit...

sKe69 · Answer

Bon ...


cela m'a l'air OK .... 



ultime vérife pour cette infection Trojan.Cycler . 



dans l'ordre : 


1- Télécharge OTM (de Old_Timer) sur ton Bureau.  

http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/ 

  
Double clique sur "OTM.exe" pour ouvrir le prg .  
Puis copie ce qui se trouve en citation ci-dessous, 
  

:Files 
C:\System volume information\Microsoft 

:Commands 
[purity] 
[emptytemp] 
[Reboot]


et colle le dans le cadre de gauche de OTM :  
Paste Instructions for items to be moved. 
(ne touche à rien d'autre !)  

! Déconnecte toi et ferme toutes tes applications en cours ! ( navigateurs compris ) 

-> clique sur MoveIt! pour lancer la suppression. 
-> laisse travailler l'outil ...  

-> une fois finis , un petite fenêtre s'ouvre : clique sur " Yes " . 

Ton PC va redémarrer de lui même pour finir la suppression ... 

Lors du redémarrage , si on te demande d'autoriser l'exécution d' OTM , accepte ( pour que l'outil finisse son boulot ... ). 

-->Poste le contenu du rapport qui se trouve dans le dossier "C:\_OTM\MovedFiles"   
( " xxxx2010_xxxxxx.log "  où les "x" correspondent au jour et à l'heure de l'utilisation  ). 


============================== 

2- relance un examen "RAPIDE" avec Malwarebytes. 

Supprime tout ce qu'il peuencore trouver et poste moi le rapport de scan obtenu .... 


========================= 

3- Refais un scan ZHPDiag . 

* coche bien toutes les options ( sauf la 045 et 061 ),  

* au niveau du bouton "calendrier" choisis > 30 days 

> poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...  



"Baby, I'm going on an airplane, And I don't know if I'll be back again" 
IMPORTANT : ne vous croyez pas tiré d'affaire tant qu'on ne  
vous l'a pas dit !

pimouss_epita · Answer

Hop alors voila les rapports :


All processes killed
========== FILES ==========
File/Folder C:\System volume information\Microsoft not found.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: Administrateur
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: All Users
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: hervé this
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: MsS
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: Pascale
->Temp folder emptied: 440 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->FireFox cache emptied: 0 bytes
->Google Chrome cache emptied: 13758258 bytes
->Flash cache emptied: 343 bytes
 
User: Propriétaire
 
User: SvcwRsync
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 664 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 0 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 13,00 mb
 
 
OTM by OldTimer - Version 3.1.14.0 log created on 07142010_112722

Files moved on Reboot...
File move failed. C:\WINDOWS	emp\_avast5_\Webshlock.txt scheduled to be moved on reboot.

Registry entries deleted on Reboot...


---------------------------------------------------------------


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4309

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

14/07/2010 11:38:35
mbam-log-2010-07-14 (11-38-35).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 164855
Temps écoulé: 8 minute(s), 31 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)


---------------------------------------------

Et voici le lien cijoint :

http://www.cijoint.fr/cjlink.php?file=cj201007/cijGT9kRFv.txt

sKe69 · Answer

hello, 


impec .... 



on continue .... dans l'ordre : 



1- Utilisation de l'outil ZHPFix : 

* Copie le tout le texte présent dans l'encadré ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C ) 


C:\Documents and Settings\SvcwRsync\Application Data\Microsoft\jyquofes.exe 
O23 - Service: BCL easyPDF SDK Loader (i271ei1a) . (.Pas de propriétaire - Pas de description.) - C:\Documents and Settings\SvcwRsync\Application Data\Microsoft\jyquofes.exe 
C:\Documents and Settings\SvcwRsync 
O44 - LFC:[MD5.2F6F132A1FCBA53A586012A33E3AD961] - 13/07/2010 - 11:38:27 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\UsbFix_Upload_Me_THIS.zip   [184442] 
O47 - AAKE:Key Export SP - "C:\Program Files\cwRsyncServer\bin\rsync.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- C:\Program Files\cwRsyncServer\bin\rsync.exe 
O64 - Services: CurCS - (.not file.) - BCL easyPDF SDK Loader (i271ei1a)  .(.Pas de propriétaire - Pas de description.) - LEGACY_I271EI1A 
O64 - Services: CurCS - (.not file.) - SmartLinkService (udi295aoeiyvse)  .(.Pas de propriétaire - Pas de description.) - LEGACY_UDI295AOEIYVSE 


Puis Lance ZHPFix depuis le raccouci du bureau . 

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .  

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent . 

Vérifie : 
- que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre. 
- que les lignes soient disposées les unes en dessous des autres . 

* Puis clique sur le bouton [ OK ] . 
> à ce moment là , il apparaitra au début de chaque ligne une petite case vide .  

Ne touche plus à rien ! 

!! Déconnecte toi, désactive tes défenses ( anti-virus,anti-spyware ) et ferme bien toutes autres applications ( navigateurs compris ) !! 


* Clique sur le bouton [ Tous ] . Vérifies que toutes les lignes soient bien cochées . 

* Enfin clique sur le bouton [ Nettoyer ] . 


-> laisse travailler l'outil et ne touche à rien ... 


-> Si il t'est demandé de redémarrer le PC pour finir le nettoyage , fais le ! 

Une fois terminé , un nouveau rapport s'affiche : poste le contenu de ce dernier dans ta prochaine réponse ... 

( ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ZHPFixReport.txt ) 
  
 Pense à réactiver tes défenses !...  


================================= 

2- Télécharge Ad-remover ( de C_XX ) sur ton bureau :  

ici http://pagesperso-orange.fr/NosTools/C_XX/AD-R.exe 
ou ici https://www.androidworld.fr/  

! Déconnecte toi, désactive ton anti-virus et ferme toutes applications en cours (Navigateur compris) !  

* Double clique sur Ad-remover.exe qui est sur ton bureau pour lancer l'outil . 
  
* Une fois l'outil ouvert, clique sur le bouton [Scanner] . 

* Laisse travailler l'outil et ne touche à rien ...  


--> Poste le rapport qui apparait à la fin dans ta prochaine pour analyse ... 


( Le rapport est sauvegardé aussi sous C:\Ad-report-SCAN.log )  
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )  



"Baby, I'm going on an airplane, And I don't know if I'll be back again" 
IMPORTANT : ne vous croyez pas tiré d'affaire tant qu'on ne  
vous l'a pas dit !

pimouss_epita · Answer

Rapport de ZHPFix v1.12.3120 par Nicolas Coolman, Update du 11/07/2010
Fichier d'export Registre : C:\ZHPExportRegistry-14-07-2010-15-55-32.txt
Run by Pascale at 14/07/2010 15:55:33
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Processus mémoire ==========
C:\Documents and Settings\SvcwRsync\Application Data\Microsoft\jyquofes.exe  => Fichier absent

========== Clé du Registre ==========
O23 - Service: BCL easyPDF SDK Loader (i271ei1a) . (.Pas de propriétaire - Pas de description.) - C:\Documents and Settings\SvcwRsync\Application Data\Microsoft\jyquofes.exe  => Clé absente
O64 - Services: CurCS - (.not file.) - BCL easyPDF SDK Loader (i271ei1a)  .(.Pas de propriétaire - Pas de description.) - LEGACY_I271EI1A  => Clé supprimée avec succès
O64 - Services: CurCS - (.not file.) - SmartLinkService (udi295aoeiyvse)  .(.Pas de propriétaire - Pas de description.) - LEGACY_UDI295AOEIYVSE  => Clé supprimée avec succès

========== Valeur du Registre ==========
O47 - AAKE:Key Export SP - "C:\Program Files\cwRsyncServer\binsync.exe" [Enabled] .(.) (.not file.) -- C:\Program Files\cwRsyncServer\binsync.exe  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\Program Files\cwRsyncServer\binsync.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- C:\Program Files\cwRsyncServer\binsync.exe  => Valeur absente

========== Dossier ==========
c:\documents and settings\svcwrsync  => Fichier supprimé au reboot

========== Fichier ==========
c:\usbfix_upload_me_this.zip  => Supprimé et mis en quarantaine


========== Récapitulatif ==========
1 : Processus mémoire
3 : Clé du Registre
2 : Valeur du Registre
1 : Dossier
1 : Fichier


End of the scan


-----------------------------------------


======= RAPPORT D'AD-REMOVER 2.0.0.1,C | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 23/06/10 à 19:20
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (SCAN [1]) -> Lancé à 15:59:18 le 14/07/2010, Mode normal

Microsoft Windows XP Édition familiale Service Pack 3 (X86) 
Pascale@THIS ( ) 
 
============== RECHERCHE ==============




============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.0.19 (fr)] **

-- C:\Documents and Settings\Pascale\Application Data\Mozilla\FireFox\Profiles\m6ebrivb.default\Prefs.js --
browser.startup.homepage_override.mstone, rv:1.9.0.19

-- C:\Documents and Settings\hervé this\Application Data\Mozilla\FireFox\Profiles\h4wbfnh3.default\Prefs.js --
browser.download.lastDir, E:\Hervé\Partage\Ecrite\Rapports, thèses\Scientifiques\rapports\C Liénard\colorimétrie...
browser.startup.homepage, hxxp://www.google.fr/
browser.startup.homepage_override.mstone, rv:1.8.1.16

-- C:\Documents and Settings\MsS\Application Data\Mozilla\FireFox\Profiles\fzkmq1ut.default\Prefs.js --
browser.startup.homepage_override.mstone, rv:1.8.1.14

========================================

** Internet Explorer Version [6.0.2900.5512] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Enable Browser Extensions: no
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 2 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 2 Fichier(s)

C:\Ad-Report-SCAN[1].txt - 14/07/2010 (446 Octet(s)) 

Fin à: 16:02:39, 14/07/2010 
 
============== E.O.F ============== 

Voila pour les deux rapports.

sKe69 · Answer

bien ....


c'est OK ...


Fait ce qui suit dans l'ordre ( si le dernier rapport est clean , on pourra finaliser ) :


( ne saute pas d'étape ! si tu rencontres un soucis lors de cette manipe , tu stoppes et tu m'en fais part )


1- Utilisation de l'outil ZHPFix :

> Lance ZHPFix depuis le raccourci du bureau .

* Une fois l'outil ZHPFix ouvert :

!! ferme tes autres applications en cours !!


A- Clique sur le bouton " Nettoyeur de tools " ( le grand A rouge ) . Des lignes pré-cochées apparaissent alors dans l'encadré principal .

Là tu décoches la case devant ZHPDiag ! 


> Enfin clique en bas sur "Nettoyer" . 


laisse travailler l'outil ... une fois terminé , un nouveau rapport apparait dans l'encadré principal .

-> Copie/colle le contenu de ce rapport pour analyse ... 

( il est également sauvegardé ici : C:\Program files\ZHPFix\ZHPFixReport.txt) 

Note : si il t'est demandé de redémarrer le PC pour finir le nettoyage , fait le ! 



B- Clique sur le bouton en haut à droite " Vider la quarantaine " ( la poubelle vide ). 

Au message de confirmation , clique sur "Ok" .


Puis ferme ZHPFix ...
 

======================================

2- Refais un coup de CCleaner ( registre compris ) .


======================================

3- Télécharge et installe le logiciel HijackThis : 

ici https://www.commentcamarche.net/telecharger/securite/11747-hijackthis/
ou ici http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe
ou ici https://www.clubic.com/telecharger-fiche17891-hijackthis.html

-> Clique sur le setup pour lancer l'installe : laisse toi guider et ne modifie pas les paramètres d'installation . 
A la fin de l'installe , le prg ce lance automatiquement : ferme le en cliquant sur la croix rouge . 
Au final, tu dois avoir un raccourci sur ton bureau et aussi un cheminement comme : 
"C:\ program files\Trend Micro\HijackThis\HijackThis.exe " .

( ne fais pas de scan pour le moment ) 

======================================

4- Important :
Purge de la restauration système 
*Désactive ta restauration :
Clique droit sur poste de travail/propriétés/Restauration système/coche la case désactiver la restauration, appliquer, OK 
---> Redémarre ton PC ...

*Réactive ta restauration :
Clique droit sur poste de travail/propriétés/Restauration système/décoche la case désactiver la restauration, appliquer, OK 
--->Redémarre ton PC ...

( Note : tu peux aussi y accéder via panneau de configuration->" système "->" restauration système " ).


======================================

5- Fais ce scan en ligne pour vérifier :

( ne rien faire d'autre avec le PC durant le scan ! )

Fais un scan en ligne avec " Panda " :

> https://www.pandasecurity.com/en/homeusers/online-antivirus/?ref=activescan
( clique sur "scan your PC now" )

tuto : 
https://www.malekal.com/scan-antivirus-ligne-nod32/#mozTocId237368 


poste moi le rapport obtenu pour analyse ...

Pimouss_Epita · Answer

http://www.cijoint.fr/cjlink.php?file=cj201007/cijGWXVe6f.txt

Voici le rapport du scan "Panda"

sKe69 · Answer

hello,


RAS ... supprime les set-up d'usbFix qui trainent stp ! ... ( il seront de tout manière obsolete d'ici quelques semaines ) ...


Analyse tout même le fichier suivant sur ViruTotal :

c:\atilf-tlfi\progs\showp.exe


Poste le rapport obtenu stp ...

pimouss_epita · Answer

Fichier showp.exe reçu le 2010.07.16 00:05:19 (UTC)
Situation actuelle: terminé 
Résultat: 3/42 (7.15%)
  Formaté
Impression des résultats  
Antivirus	Version	Dernière mise à jour	Résultat
a-squared	5.0.0.31	2010.07.15	-
AhnLab-V3	2010.07.16.00	2010.07.15	-
AntiVir	8.2.4.12	2010.07.15	-
Antiy-AVL	2.0.3.7	2010.07.15	-
Authentium	5.2.0.5	2010.07.15	-
Avast	4.8.1351.0	2010.07.15	-
Avast5	5.0.332.0	2010.07.15	-
AVG	9.0.0.836	2010.07.15	-
BitDefender	7.2	2010.07.16	-
CAT-QuickHeal	11.00	2010.07.15	-
ClamAV	0.96.0.3-git	2010.07.15	-
Comodo	5441	2010.07.16	-
DrWeb	5.0.2.03300	2010.07.16	-
eSafe	7.0.17.0	2010.07.15	-
eTrust-Vet	36.1.7710	2010.07.15	-
F-Prot	4.6.1.107	2010.07.15	-
F-Secure	9.0.15370.0	2010.07.15	-
Fortinet	4.1.143.0	2010.07.15	-
GData	21	2010.07.16	-
Ikarus	T3.1.1.84.0	2010.07.15	-
Jiangmin	13.0.900	2010.07.15	-
Kaspersky	7.0.0.125	2010.07.16	-
McAfee	5.400.0.1158	2010.07.16	-
McAfee-GW-Edition	2010.1	2010.07.15	-
Microsoft	1.5902	2010.07.15	-
NOD32	5282	2010.07.15	-
Norman	6.05.11	2010.07.15	W32/Smalltroj.MTJM
nProtect	2010-07-15.02	2010.07.15	-
Panda	10.0.2.7	2010.07.15	Suspicious file
PCTools	7.0.3.5	2010.07.16	-
Prevx	3.0	2010.07.16	Medium Risk Malware
Rising	22.56.03.04	2010.07.15	-
Sophos	4.55.0	2010.07.16	-
Sunbelt	6590	2010.07.16	-
SUPERAntiSpyware	4.40.0.1006	2010.07.16	-
Symantec	20101.1.1.7	2010.07.15	-
TheHacker	6.5.2.1.316	2010.07.15	-
TrendMicro	9.120.0.1004	2010.07.15	-
TrendMicro-HouseCall	9.120.0.1004	2010.07.16	-
VBA32	3.12.12.6	2010.07.15	-
ViRobot	2010.7.12.3932	2010.07.15	-
VirusBuster	5.0.27.0	2010.07.15	-
Information additionnelle
File size: 49152 bytes
MD5...: 60739b605a159ebd8da5945a30f26b9c
SHA1..: f76ecce5784fb000338a77793f1c0cc15c83484e
SHA256: 4630e7db8d72bfbc0caf720366a777311826ca8b290dc19699ffedded413cced

sKe69 · Answer

hello,


cela sent plutôt le "FauxPositif" pour ce fichier ... ;)



Donc si tu n'as plus de soucis , on finalise .... dans l'ordre :



1- Mets à jour ce qui suit, c'est important ( des versions pas à jours = failles de sécurité ) :

Version Console Java à jour > 6 Update 20
Version Adobe Reader à jour > v 9.3.3
Version Internet Explorer à jour > v 8
Version FireFox à jour > v 3.6.6


* pour la console Java :
-> désinstalle toutes les versions antérieurs  via le panneau de config./"Ajout et suppression de programmes" (pour XP) ou " Programmes et fonctionnalités " (pour Vista) .

tes anciennes versions sont :
Java 2 Runtime Environment, SE v1.4.2_03 
Java 2 Runtime Environment, SE v1.4.2_04 

-> Puis télécharge et installe la dernière version ici :
https://www.commentcamarche.net/telecharger/developpement/12917-java-runtime-environment/
ou https://www.java.com/fr/

( Autre astuce pour faire cette maj ainsi que la suppression des anciennes versions 
avec l'outil Javara : https://www.commentcamarche.net/faq/15645-supprimer-les-anciennes-versions-de-java-avec-javara )

-> Enfin contrôle ceci : 
Démarrer > Panneau de configuration > Icône Java > onglet Mise à jour > cocher la case "Automatiser la détection des mises à jour".



* Adobe Reader :
-> désinstalle avant l'ancienne version via le panneau de config./"Ajout et suppression de programmes" (pour XP) ou " Programmes et fonctionnalités " (pour Vista) .
-> Note : si tu as une imprimante ,éteinds la et débranche la du PC avant de faire la mise à jour.
-> télécharge et installe la dernière version ici : 
https://www.commentcamarche.net/telecharger/bureautique/2625-adobe-reader/



* Internet Explorer :
Même si tu utilises un autre Navigateur , il faut tenir IE à jour ! ( sinon faille de sécurité ) .
->Télécharge le ici : https://support.microsoft.com/fr-fr/allproducts
ou ici : https://www.commentcamarche.net/telecharger/web-internet/12477-internet-explorer-11/


 ! Ferme toutes applications en cours ( navigateurs compris ), désactive toutes tes défenses ( antivirus , pare feu , guarde anti-spyware ...), et en restant connecté !

> puis lance l'installe de IE8 et laisse toi guider ...( regarde bien le du tuto ci-dessous )

->Pourquoi mettre à jours IE et tuto ici :
https://forum.malekal.com/viewtopic.php?f=45&t=12405



 * FireFox :
Télécharge et installe la dernière version ici > http://www.mozilla-europe.org/fr/
 

=============================

2- Une fois tout ceci fait, utilise Hijackthis ainsi ,

tuto pour utilisation :
Regarde ici, c'est parfaitement expliqué en images (merci balltrap34), 
http://perso.orange.fr/rginformatique/section%20virus/demohijack.htm 
( Ne fixe encore AUCUNE ligne, cela pourrait empêcher ton PC de fonctionner correctement )

>  !! Déconnecte toi et ferme toutes tes applications en cours !! 

Clique sur le raccourci du bureau pour lancer le prg : 
fais un scan HijackThis en cliquant sur : "Do a system scan and save a logfile" 

---> Poste le rapport généré pour analyse ...

pimouss_epita · Answer

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:31:49, on 17/07/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32
vsvc32.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\System32\wbem\wmiapsrv.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\ltmoh\Ltmoh.exe
C:\WINDOWS\system32	askswitch.exe
C:\WINDOWS\system32\fast.exe
C:\Program Files\ScanSoft\OmniPageSE\opware32.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe
C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe
C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe
C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\SAMSUNG\MagicKBD\MagicKBD.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Nikon\PictureProject\NkbMonitor.exe
C:\Program Files\Intel\Wireless\Bin\Dot1XCfg.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = https://support.microsoft.com/en-US/topic/internet-explorer-downloads-d49e1f0d-571c-9a7b-d97e-be248806ca70
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.update.microsoft.com/windowsupdate/v6/default.aspx
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_0.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - (no file)
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_0.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [LtMoh] C:\Program Files\ltmoh\Ltmoh.exe
O4 - HKLM\..\Run: [MagicKeyboard] C:\Program Files\SAMSUNG\MagicKBD\PreMKBD.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\system32	askswitch.exe
O4 - HKLM\..\Run: [BackgroundSwitcher] C:\WINDOWS\system32\bgswitch.exe
O4 - HKLM\..\Run: [FastUser] C:\WINDOWS\system32\fast.exe
O4 - HKLM\..\Run: [Omnipage] C:\Program Files\ScanSoft\OmniPageSE\opware32.exe
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [avast5] C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe /nogui
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\Pascale\Local Settings\Application Data\Google\Update\GoogleUpdate.exe" /c
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: NkbMonitor.exe.lnk = C:\Program Files\Nikon\PictureProject\NkbMonitor.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .cdx: C:\Program Files\Internet Explorer\PLUGINS\Npcdp32.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{C9C6037D-9FEF-4F17-8C67-74C67672AF4C}: NameServer = 192.168.2.6
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = college-de-france.fr,inapg.fr
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = college-de-france.fr,inapg.fr
O23 - Service: avast! Antivirus - AVAST Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Mail Scanner - AVAST Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Web Scanner - AVAST Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

sKe69 · Answer

bonjour,


1- Ferme toutes tes applications ( navigateur compris ) et déconnecte toi .

Relance Hijackthis mais click sur " Do a scan only " 
Tu vois donc apparaitre le résultat du scan : une multitudes de lignes ,chacunes précédées d'un carré vide . 
Tu vas cliquer sur les carrés des lignes suivantes : 


O2 - BHO: (no name) - {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} - (no file) 

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe 
O4 - HKLM\..\Run: [Omnipage] C:\Program Files\ScanSoft\OmniPageSE\opware32.exe 
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime 
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe" 
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe 
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE LOCAL') 
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SERVICE RÉSEAU') 
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') 
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') 



Tu cliques en bas sur le bouton FIX CHECKED et valides .



2- Redémarre l'ordi .
( important pour que certaines modifs faites avec hijakthis soient prises en compte ) 


Puis teste ton PC ainsi que ta navigation sur internet ... Si tout est Ok pour toi , on peut passer à la dernière étape ....

> Poste aussi un dernier rapport Hijackthis de contrôle ...

pimouss_epita · Answer

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:13:38, on 18/07/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32
vsvc32.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\System32\wbem\wmiapsrv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\ltmoh\Ltmoh.exe
C:\WINDOWS\system32	askswitch.exe
C:\WINDOWS\system32\fast.exe
C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe
C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe
C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe
C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe
C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe
C:\Program Files\SAMSUNG\MagicKBD\MagicKBD.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Nikon\PictureProject\NkbMonitor.exe
C:\Program Files\Intel\Wireless\Bin\Dot1XCfg.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Pascale\Local Settings\Application Data\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Pascale\Local Settings\Application Data\Google\Chrome\Application\chrome.exe
C:\Documents and Settings\Pascale\Local Settings\Application Data\Google\Chrome\Application\chrome.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = https://support.microsoft.com/en-US/topic/internet-explorer-downloads-d49e1f0d-571c-9a7b-d97e-be248806ca70
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.update.microsoft.com/windowsupdate/v6/default.aspx
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_0.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_5_7_0.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [LtMoh] C:\Program Files\ltmoh\Ltmoh.exe
O4 - HKLM\..\Run: [MagicKeyboard] C:\Program Files\SAMSUNG\MagicKBD\PreMKBD.exe
O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\system32	askswitch.exe
O4 - HKLM\..\Run: [BackgroundSwitcher] C:\WINDOWS\system32\bgswitch.exe
O4 - HKLM\..\Run: [FastUser] C:\WINDOWS\system32\fast.exe
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Fichiers communs\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [avast5] C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe /nogui
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\Pascale\Local Settings\Application Data\Google\Update\GoogleUpdate.exe" /c
O4 - Global Startup: NkbMonitor.exe.lnk = C:\Program Files\Nikon\PictureProject\NkbMonitor.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .cdx: C:\Program Files\Internet Explorer\PLUGINS\Npcdp32.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{C9C6037D-9FEF-4F17-8C67-74C67672AF4C}: NameServer = 192.168.2.6
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: SearchList = college-de-france.fr,inapg.fr
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: SearchList = college-de-france.fr,inapg.fr
O23 - Service: avast! Antivirus - AVAST Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Mail Scanner - AVAST Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Web Scanner - AVAST Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32
vsvc32.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

sKe69 · Answer

oki .... suite et fin dans l'ordre : 1-Télécharge ToolsCleaner (de A.Rothstein) sur ton Bureau. http://pc-system.fr/ Déconnecte toi et ferme bien toutes tes applications en cours . Lances le . *Clique sur Recherche et laisse le scan se terminer (cela peut être long). *Clique sur Suppression pour finaliser. *Clique sur "quitter" pour générer un rapport ( et pas sur la croix rouge !) : --> Poste ce rapport : il se trouve à la racine de ton disque dur -> C:\TCleaner.txt . Note : Ce petit soft va te nettoyer tout les trucs dont on c'est servi pour la désinfection . Supprime tout les outils , dossiers ou rapports consernant la désinfection que Toolscleaner2 n'a pas supprimé . ( garde CCleaner et Malwarebytes : très utiles ! ) ====================================== 2- Refais un coup de CCleaner ( registre compris ) . ====================================== 3- fait ce check up pour finir : Attention : ne pas toucher au PC pendant qu'il travaille ! A-Nettoyage et Défragmentation de tes Disques *Nettoyage : Clique droit sur "poste de travail" ==>"ouvrir" ==>clique droit sur le disque C ==>Propriétés ==>onglet "Général" Clique sur le bouton "nettoyage de disque", OK . tu le fais pour chacun de tes disques ... *Vérifications des erreurs : Clique droit sur "poste de travail" ==>"ouvrir" ==>clique droit sur le disque C ==>Propriétés ==>onglet "Outil" "Vérifier maintenant", une boîte s'ouvre, cocher les cases : -réparer automatiquement les erreurs... -rechercher et tenter une récupération... --->Démarrer, ok Note : s'il te dis de redémarrer ton Pc pour le faire , tu redémarres et tu laisses faire, cela prend un peu de temps c'est normal tu le fais pour chacun de tes disques ... ensuite toujours dans le même onglet tu choisis : *Défragmentation : "défragmenter maintenant", OK une boîte s'ouvre, tu sélectionnes le disque à défragmenter, et tu cliques sur "analyser", puis après l'analyse, "défragmenter" > OK . Tu le fais pour chacun de tes disques ... Note : si tu as un utilitaire pour défragmenter , utilise le à la place ... ( attention , cela peut durer assez longtemps - plus de dix heures dans certains cas ) B-Créer un point de restauration de ton PC : Aller dans le Menu Démarrer puis dans Programmes, - Ensuite dans Accessoires et enfin dans Outils système, - Choisir "Restauration du système", - Sélectionner "Créer un point de restauration", - Cliquer sur "Suivant", - Entrer un nom pour le point de restauration (ce nom doit être assez évocateur), exemple : << Point restauration sain >> . --> Cliquer sur "Créer" et le point de restauration se créé automatiquement. ---> une fois terminé, dis moi ce que cela a donné et comment va le PC ... =)

pimouss_epita · Answer

http://www.cijoint.fr/cjlink.php?file=cj201007/cijK49ASYk.txt
Voici le rapport Tcleaner

pimouss_epita · Answer

Tout ce qui était a faire est finit, l'ordinateur se porte plutot bien, je n'ai plus de fenetre internet explorer cachée qui baisse le son de mon ordinateur.

Apparemment tout est okay, enfin j'espere :D

Un énooorme merci a toi, pour avoir passé autant de temps a m'aider !

sKe69 · Answer

hello,


content d'avoir pu te rendre service ... ^^


Potasse ces quelques recommandations :


=> Comportement à adopter avec son PC : http://assiste.com.free.fr/p/abc/a/safe_cex.html 
et pourquoi ( exemple ) : http://assiste.com.free.fr/p/abc/a/zombies_et_botnets.html

=> Surveillance : 
Effectue des scan réguliers de surveillance (une fois tous les 15 jours, par exemple) avec ton antivirus puis avec ton anti-spyware (après les avoir mis à jour bien sur !) et supprime ce qu'ils peuvent trouver (où mets en quarantaine, en pensant à la vider ultérieurement). 

=>  Il faut absolument tenir à jour régulièrement Windows:

Via Internet Explorer ( impératif ), rends toi sur Microsoft Update
http://www.update.microsoft.com/windowsupdate/v6/default.aspx

Effectue toutes les mise à jour critiques proposées.
Tu seras obligé de faire redémarrer ton PC et de retourner à la fonction de mise à jour jusqu'à ce qu'il n'y ait plus rien de signalé.

Par la suite, vérifie que les mises à jours de Windows soient bien en automatiques, pour cela :
Démarrer / Panneau de configuration et dans Centre de sécurité, clique sur Mises à jour automatiques, puis coche Installation automatique (recommandé), en dessous indique une heure où tu es connecté habituellement, puis clique sur Appliquer puis sur OK

==================================================

=> Il faut mettre a jour la console Java régulièrement aussi : 

( Pourquoi : http://www.secuser.com/vulnerabilite/2008/080305-java.htm )

Donc pour se faire, rends toi sur https://www.java.com/fr/download/manual.jsp et télécharge la dernière version (si ta version actuelle n'est pas à jour) ou ici https://filehippo.com/download_jre_32/?ex=CORE-116.0 
Après avoir installé la dernière version, désinstalle les anciennes versions (de Java) afin d'éliminer les failles de sécurité présentes dans ces anciennes versions. 
via Démarrer / Paramètres / Panneau de config / et dans Ajout/Suppression de programmes navigue jusqu'aux anciennes versions de la console Java qui s'y trouvent, puis clique sur « Supprimer », suis les invites de commandes dans la boite de dialogue qui va s'ouvrir afin d'amener la désinstallation à son terme. 
Fais cela pour chacune d'elles, une à une, fais redémarrer ton PC quand cela te sera demandé . 
Retourne ensuite chez Java ci-dessus et clique sur le bouton "Vérifier l'installation" pour t'assurer que tout est en ordre. 

Autre astuce : https://www.commentcamarche.net/faq/15645-supprimer-les-anciennes-versions-de-java-avec-javara

==================================================

=> Afin d'éviter les autres failles de sécurité des différents programmes présents sur ton PC : 

Vérifie tes mises à jours des différents softs régulièrement ici et mets à jour ce qui ne l'est pas. https://www.flexera.com/products/operations/software-vulnerability-management.html 
- Tuto https://www.malekal.com/tester-la-vulnerabilite-de-son-systeme-2/ 
- Autre possibilité, t'abonner gratuitement a "la lettre hebdomadaire de secuser.com" ici http://www.secuser.com/ a gauche en bas de page. 

-> autre très bon soft similaire dans cette astuce : 
https://www.commentcamarche.net/faq/9908-filehippo-app-manager-vos-logiciels-sont-ils-a-jour
 
==================================================

* le pare- feu de Xp vaut rien , je te conseille fortement dans installer un :
( Important > si votre antivirus fait aussi pare-feu , ne pas en installer un autre ! conflits et plantages assurés ! )

Armor ou Comodo sont très bien ( en anglais mais gratuit )...Tu trouveras tout ce qu'il faut ici :
https://www.commentcamarche.net/telecharger/securite/pare-feu/

tutos :
https://www.malekal.com/tutorial-online-armor-free/
https://www.malekal.com/tutorial-comodo-firewall/

( Attention : pour Comodo 3 , choisir uniquement l'installation du pare-feu seul. Ne pas installer la barre d'outil pour les navigateurs ! )

En deuxieme choix ( gratuit aussi ) :
->Comodo ancienne version 2.4 ( en francais ) : 
http://download.comodo.com/cpf/download/setups/release/languages/CFP_Setup_English_French_2.4.16.174.exe
tuto: https://infomars.fr/forum/index.php?s=908072e48ff7cf0359366440cb26c93f&showtopic=389

->PC Tools Firewall Plus (en français) :
https://fr.norton.com/
Tuto : http://www.6ma.fr/tuto/utilisation-pc-tools-firewall-plus/

(Note: pensez bien à désactiver le pare-feu de Windows avant de lancer l'installe de tout autre pare-feu !)

* teste l'efficacité de ton pare-feu ici ( à titre indicatif ):
http://www.zebulon.fr/outils/scanports/test-securite.php

* tests firewall: http://www.matousec.com/index.html 

=> Un complément au pare-feu pour fermer les ports risqués (dangereux, s'ils restent ouverts) : 

ZebProtect (application ne nécessitant pas d'installation à lancer et paramétrer une unique fois) http://telechargement.zebulon.fr/123.html 

-Tuto https://www.zebulon.fr/dossiers/autres/40-zebprotect.html 

==================================================

Pour une meilleur sécurité lorsque tu surfes : 

* Je te conseille d'utiliser le navigateur " FireFox " :
télécharge le ici -> http://www.mozilla-europe.org/fr/
ou -> https://www.commentcamarche.net/telecharger/web-internet/9879-firefox/

( Attention : toujours garder IE sur son PC ! Il est indispensable pour les mises à jour de ton système ainsi que pour pas mal de choses, comme les scan d'antivirus en ligne, ect... )

-> Tutorial pour sécuriser Firefox :
https://www.malekal.com/securiser-le-navigateur-web-firefox-2/
https://forum.zebulon.fr/topic/69628-s%C3%A9curiser-un-peu-plus-firefox/ 

* tu peux installer cet Add-ons : WOT ( gratuit / compatible IE et FireFox )
-> Firefox https://chrome.google.com/webstore/detail/wot-web-of-trust-website/bhmmomiinigofkjcapegjjndpbikblnp - IE https://chrome.google.com/webstore/detail/wot-web-of-trust-website/bhmmomiinigofkjcapegjjndpbikblnp
-> Démo : http://www.mywot.com/fr/demo
Très simple et léger , WOT permet d'avoir un aperçu sur la dangerosité et la fiabilité des sites donnés par les moteurs de recherche tel que Google ou Live Search .
> https://www.commentcamarche.net/faq/15620-wot-web-of-trust-essentiel-pour-l-internaute-avise

* Noscript est un autre "Add-ons" ( pour Firefox ) qui empêche l'exécution de scripts en provenance des sites Web. 
Il stoppe l'installation de logiciels infectieux via flash, java, javascript et d'autres points d'entrée : 
http://www.geekstogo.com/forum/redirect.php?url=http%3A%2F%2Fwww.noscript.net
https://addons.mozilla.org/fr/firefox/addon/noscript/

==================================================

=> Rappel sur les principales causes d'infection : 

A lire > https://www.malekal.com/fichiers/projetantimalwares/ProjetAntiMalware.pdf
( merci aux auteurs de ce pdf )

* L'utilisation de cracks ou keygens est à proscrire, de même que le surf sur les sites de téléchargement de ceux-ci : 

Les dangers des cracks : 
https://forum.malekal.com/viewtopic.php?t=893&start=

-> Le crack dans toute sa splendeur, journal d'une infection attendue : 
https://forum.zebulon.fr/topic/93281-pr%C3%A9vention-le-crack-dans-toute-sa-splendeur/ 

-> Fléaux du moment par le biais de pseudo crack sur réseau P2P : Virut/Scrible !
> https://www.futura-sciences.com/tech/actualites/informatique-virut-scribble-retour-infection-redoutable-18310/


* Le P2P ( l'utilisation de logiciels comme eMule, Sharazaa, LimeWire, Bit torrent): 

Les conséquences du P2P : https://forum.zebulon.fr/topic/85544-pr%C3%A9vention-le-p2p-et-ses-cons%C3%A9quences/ 

Pourquoi éviter le P2P (emule ,Shareaza, kazza ... ect):
> http://www.libellules.ch/... 
> http://www.speedweb1.org/forum-tesgaz/viewtopic.php?t=1793 
> https://lexpansion.lexpress.fr/actualite-economique/
 

* Faire attention avec les ActiveX :
http://assiste.com.free.fr/p/abc/a/activex_dangers.html
et comment : 
http://assiste.com.free.fr/p/abc/c/anti_activex.html


* Prévention sur deux autres types d'infection d'actualité : 

MSN prévention : 
https://forum.zebulon.fr/topic/130590-infection-par-msn-ou-wlm/
-> autre danger grandissant , le " phishing " (= hameçonnage ) :
http://msnfix.changelog.fr/index.php/2008/05/18/32-alerte
 

Infection par supports amovibles (clefs usb, flash, DD externes ..) :
https://forum.zebulon.fr/topic/131959-infections-par-supports-amovibles/ 
https://forum.malekal.com/viewtopic.php?f=45&t=5544 

* Rappel sur l'utilisation d'une version piratée de Windows :
https://www.commentcamarche.net/faq/2981-j-utilise-une-version-piratee-de-windows

==================================================

Bon à savoir :

* La "Console de récupération" ( XP ): 
face aux nouvelles menaces (attaque du secteur de boot par exemple), la Console de récupération peut être la seule solution pour pallier à un système très endomagé et particulièrement instable. 
tutoriels ici : 
https://www.pcastuces.com/pratique/windows/xp/console_recuperation/page1.htm .
https://www.informatruc.com

Equivalent Vista : http://www.forum-vista.net/forum/

* Conserve une sauvegarde des fichiers importants ( Sur CD/DVD rom ,DD externe ,ect ...). 

* Ne pas telecharger n'importe quoi, éviter les programes gratuits genre smileys, Macrogaming\SweetIM, Boonty games, ...ect

* Analyser les fichiers reçus/téléchargés :
Pour les adeptes du Peer 2 Peer ( que je déconseille fortement ),toujours analyser les fichiers telechargés avec l'antivirus, l'anti-spyware/malaware du PC avant de les executer ... Cela minimise les risques ( mais ceux-ci restent tout de même présents ! ) 
Ne pas ouvrir les pieces jointes d'un expediteur inconnu et toujours les analyser avant de les ouvrir .
Toujours analyser les fichiers reçus via MSN ou autre avec ton antivirus .

* Utiliser un "compte limité" > http://b.marlow.free.fr/compte_limite.html

* Idées reçus en sécurité informatique ( très instructif ) > 
http://www.libellules.ch/idees_recues_securite.php

==================================================


voili, voilou ...


Bonne suite à toi et bon surf ... =)


A+

pimouss_epita · Answer

J'te remercie pour ces conseils, j'en applique un bon paquet déja mais je transmettrais a ma mère aussi, vu que le laptop infecté était le sien, histoire qu'elle comprenne un peu ce qu'il faut ou ce qu'il ne faut pas faire :)

Bon courage pour la suite, et encore un énorme merci.

IE cachée, baisse du volume et process system - Page 3

Discussions similaires

Newsletters