Virus Fenêtres intempestives Hijackthis Résolu

Question

Bonjour, 

J'ai depuis quelques jours des fenêtres intempestives qui s'ouvrent toutes seules lorsque je surfe sur le net avec Internet Explorer.
Cela devient vraiment agaçant!
Or je ne sais pas du tout comment m'en débarasser. J'ai déjà effectué plusieurs scans de Avast, Ad-Aware ou Spybot ! Mais rien n'y fait !

Voilà donc un rapport HijackThis (beaucoup utilise ça sur les autres forums... :) ).
Merci de m'aider à trouver une solution, ne sachant pas quoi faire de ce rapport.

Si vous avez carrément d'autres solutions je suis preneur.

Merci beaucoup, en attente d'une réponse xD

Rapport :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:48:13, on 16/08/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.17055)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Fichiers communs\Apple\Mobile Device Support\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe
C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe
C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe
C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe
C:\Program Files\QuickTime\QTTask.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Creative\MediaSource\Detector\CTDetect.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\HP\Digital Imaging\bin\hpqimzone.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
C:\Program Files\Fichiers communs\Teleca Shared\Generic.exe
C:\Program Files\Sony Ericsson\Mobile2\Mobile Phone Monitor\epmworker.exe
C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\JEAN CLAUDE\Local Settings\Temporary Internet Files\Content.IE5\EV5M130C\HiJackThis[1].exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = https://www.bing.com/?FORM=TOOLBR&cc=fr&toHttps=1&redig=4527FFF1C12746FC9EDB535C75E80ECC
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\Program Files\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe" /startoptions
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Fichiers communs\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\FICHIE~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Program Files\Fichiers communs\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [DNS7reminder] "C:\Program Files\Nuance\NaturallySpeaking10\Ereg\Ereg.exe" -r "C:\Documents and Settings\All Users\Application Data\Nuance\NaturallySpeaking10\Ereg.ini
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Fichiers communs\Real\Update_OBealsched.exe"  -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Creative Detector] C:\Program Files\Creative\MediaSource\Detector\CTDetect.exe /R
O4 - HKCU\..\Run: [Picasa Media Detector] C:\Program Files\Picasa2\PicasaMediaDetector.exe
O4 - HKCU\..\Run: [EA Core] "C:\Program Files\Electronic Arts\EADM\Core.exe" -silent
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Démarrage rapide du logiciel HP Image Zone.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Office2K\Office\OSA9.EXE
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: Ouvrir dans un nouvel onglet d'arrière-plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/229?52241ac4e9bb4ad8833959b392b77f98
O8 - Extra context menu item: Ouvrir dans un nouvel onglet de premier plan - res://C:\Program Files\Windows Live Toolbar\Components\fr-fr\msntabres.dll.mui/230?52241ac4e9bb4ad8833959b392b77f98
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls/2008.10.10_v5.5.8/FacebookPhotoUploader5.cab
O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab
O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - https://www.nvidia.com/content/DriverDownload/srl/2.0.0.1/sysreqlab2.cab
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/player/DivXBrowserPlugin.cab
O16 - DPF: {87AF076E-D86D-4E87-ADDD-F05804E1F150} (VirginMega.DMFacade.Interface) - https://www.virginmega.fr/DownloadManager/Release/Prod/DownMan.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab
O16 - DPF: {C45B1500-7B63-47C2-AB25-C28CB46AFDEE} (MediaBar) - http://sib1.od2.com/common/musicmanager/installation/MusicManagerPlugin.CAB
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O16 - DPF: {E77F23EB-E7AB-4502-8F37-247DBAF1A147} (Windows Live Hotmail Photo Upload Tool) - http://gfx2.hotmail.com/mail/w4/m3/photouploadcontrol/MSNPUpld.cab
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Fichiers communs\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Program Files\WinPcappcapd.exe

fred08700 · Answer

bonjour

hijackthis ne montre rien , de plus , il est dépassé . Fais celui-ci

&#9679 Télécharges ZHPDiag ( de Nicolas coolman ).

	&#9679 Double clique sur le fichier d'installation, puis installes le avec les paramètres par défaut ( N'oublies pas de cocher " Créer une icône sur le bureau " )

	&#9679 Lances ZHPDiag en double cliquant sur l'icône présente sur ton bureau

	&#9679 Cliques sur la loupe en haut à gauche, puis laisse l'outil scanner.

	&#9679 Une fois le scan terminé, cliques sur l'icône en forme de disquette et enregistres le fichier sur ton bureau.

	&#9679 Rends toi sur http://www.cijoint.fr/

	&#9679 Cliques sur " Parcourir " dans la partie " Joindre un fichier[...] "

	&#9679 Séléctionnes le rapport ZHPdiag.txt qui se trouve sur ton bureau

	&#9679 Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message

Robinioc · Answer

Le site cijoints ne fonctionnant pas (impossible d'afficher la page une fois le fichier déposé), je vais vous copier-coller le rapport ZHPDiag.

Merci d'avance pour vos conseils :)

fred08700 · Answer

essayer ce site d'hébergement : http://ww38.toofiles.com/fr/documents-upload.html

Robinioc · Answer

http://ww38.toofiles.com/fr/oip/documents/doc/rapportdezhpdiag.html

voilà voilà
merci ;)

fred08700 · Answer

bien

 Supprimes Spybot : devenu obsolète . Regardes ici pour le désinstaller proprement 

supprimes aussi Ad-Aware 

ensuite

  &#9679 Télécharges Malwarebytes			

(NB : S'il te manque"COMCTL32.OCX" lors de l'installe, alors télécharge le ici : 
https://www.malekal.com/tutorial-aboutbuster/

   &#9679 Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement.			

    &#9679 Fais la mise à jour du logiciel (elle se fait normalement à l'installation)			

    &#9679 Lance une analyse complète en cliquant sur "Exécuter un examen complet"			

    &#9679 Sélectionnes les disques que tu veux analyser et cliques sur "Lancer l'examen"			

    &#9679 L'analyse peut durer un bon moment.....			

    &#9679 Une fois l'analyse terminée, cliques sur "OK" puis sur "Afficher les résultats"		

    &#9679 Vérifies que tout est bien coché et cliques sur "Supprimer la sélection" => et ensuite sur "OK"		

    &#9679 Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum		

&#9679 Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Faites le en cliquant sur "oui" à la question posée		


Les créateurs d'infections utilisent les emplacements des fichiers système pour hébérger les infections, d'où les fichiers . dll ou exe dans ces series d'infections.		
MABM est très régulièrement mis à jour pour ne pas supprimer les fichiers légitimes de windows, donc pas de craintes de ce côté là.

Robinioc · Answer

Voilà le rapport de Malwarebytes : :)

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4439

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.11

17/08/2010 14:35:08
mbam-log-2010-08-17 (14-35-08).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 268934
Temps écoulé: 2 heure(s), 34 minute(s), 8 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\Control Panel\don't load\wscui.cpl (Hijack.SecurityCenter) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Documents and Settings\JEAN CLAUDE\Application Data\avdrn.dat (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\Sysvxd.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.

fred08700 · Answer

bonjour

relances malwarebytes et vides la quarantaine

et refais un scan zhpdiag , stp

Robinioc · Answer

voilà le nouveau rapport après avoir vidé la quarantaine : 

http://www.cijoint.fr/cjlink.php?file=cj201008/cij2x7vjeL.doc 

Merci beaucoup encore pour tous ces conseils...

fred08700 · Answer

bonsoir

présence de rootkit , on va s'en occuper , mais déjà fait dans cet ordre :

Utilisation de ZHPfix

*fais un copié des lignes en gras suivantes 

----------------------------------------------------------
O47 - AAKE:Key Export SP - "C:\WINDOWS\system32\drivers\svchost.exe" [Disabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- C:\WINDOWS\system32\drivers\svchost.exe    
O51 - MPSK:{3fd1810e-db1e-11dc-97b3-000fea849a65}\Shell\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL fun.xls.exe (.not file.)   
O64 - Services: CurCS - (.not file.) - erssdd (erssdd)  .(.Pas de propriétaire - Pas de description.) - LEGACY_ERSSDD    
O47 - AAKE:Key Export SP - "C:\games\RedFaction\rf.exe" [Disabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- C:\games\RedFaction\rf.exe
O47 - AAKE:Key Export SP - "C:\games\RedFaction\RedFaction.exe" [Disabled] .(.Volition, Inc. - Red Faction Launcher.) (.not file.) -- C:\games\RedFaction\RedFaction.exe
[HKCU\Software\?? ?? ???? ????? ??? ?? ????]
O23 - Service: Lavasoft Ad-Aware Service (Lavasoft Ad-Aware Service) . (.Lavasoft - Ad-Aware Service Application.) - C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
O42 - Logiciel: Ad-Aware - (.Lavasoft.) [HKLM] -- Ad-Aware    
O42 - Logiciel: Ad-Aware - (.Lavasoft.) [HKLM] -- {DED53B0B-B67C-4244-AE6A-D6FD3C28D1EF}    
O42 - Logiciel: Panda ActiveScan 2.0 - (.Panda Security.) [HKLM] -- ActiveScan 2.0   
[HKLM\Software\Panda Software]    
O43 - CFD:Common File Directory ----D- C:\Program Files\Norton Security Scan
O43 - CFD:Common File Directory ----D- C:\Program Files\Panda Security   
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls/2008.10.10_v5.5.8/FacebookPhotoUploader5.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://download.microsoft.com/download/5/b/0/5b0d4654-aa20-495c-b89f-c1c34c691085/LegitCheckControl.cab
O16 - DPF: {233C1507-6A77-46A4-9443-F871F945D258} (Shockwave ActiveX Control) - http://fpdownload.macromedia.com/get/shockwave/cabs/director/sw.cab
O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab    
O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - https://www.nvidia.com/content/DriverDownload/srl/2.0.0.1/sysreqlab2.cab
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/player/DivXBrowserPlugin.cab
O16 - DPF: {87AF076E-D86D-4E87-ADDD-F05804E1F150} (VirginMega.DMFacade.Interface) - https://www.virginmega.fr/DownloadManager/Release/Prod/DownMan.cab    => www.virginmega.fr
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} () - http://fpdownload.macromedia.com/get/flashplayer/current/polarbear/ultrashim.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab
O16 - DPF: {C45B1500-7B63-47C2-AB25-C28CB46AFDEE} (MediaBar) - http://sib1.od2.com/common/musicmanager/installation/MusicManagerPlugin.CAB
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} () - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab    
O16 - DPF: {E77F23EB-E7AB-4502-8F37-247DBAF1A147} (Windows Live Hotmail Photo Upload Tool) - http://gfx2.hotmail.com/mail/w4/m3/photouploadcontrol/MSNPUpld.cab    
[HKCU\Software\Symantec]
[HKLM\Software\Symantec]
----------------------------------------------------------
/!\ Utilisateurs de vista/7 , cette manipulation est à effectuer en tant qu'administrateur ( Clic droit -> [Exécuter en tant qu'administrateur] ) /!\ 

* Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag- écusson vert-)
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
* Le texte que tu as copié sera présent 
* Clique sur « Tous », puis sur « Nettoyer »
* Copie/colle la totalité du rapport dans ta prochaine réponse

ensuite

* Télécharge : Gmer (by Przemyslaw Gmerek) et enregistre-le sur ton bureau

Désactive toutes tes protections le temps du scan de gMer

Pour XP => double clique sur gmer.exe
Pour Vista et 7 => clique droit "executer en tant que...."

* Dezippe gmer ,cliques sur l'onglet rootkit,lances le scan,des lignes rouges vont apparaitre.

* Les lignes rouges indiquent la présence d'un rootkit.Postes moi le rapport gmer (cliques sur copy,puis vas dans démarrer ,puis ouvres le bloc note,vas dans édition et cliques sur coller,le rapport gmer va apparaitre,postes moi le)

Ensuite

* sur les lignes rouge:

* Services:cliques droit delete service
* Process:cliques droit kill process
* Adl ,file:cliques droit delete files

Robinioc · Answer

Rapport de ZHPFix v1.12.3134 par Nicolas Coolman, Update du 12/08/2010
Fichier d'export Registre : C:\ZHPExportRegistry-18-08-2010-11-10-19.txt
Run by JEAN CLAUDE at 18/08/2010 11:10:19
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé(s) du Registre ==========
O51 - MPSK:{3fd1810e-db1e-11dc-97b3-000fea849a65}\Shell\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL fun.xls.exe (.not file.)  => Clé absente
O64 - Services: CurCS - (.not file.) - erssdd (erssdd) .(.Pas de propriétaire - Pas de description.) - LEGACY_ERSSDD  => Clé absente
HKCU\Software\?? ?? ???? ????? ??? ?? ????  => Clé absente
O23 - Service: Lavasoft Ad-Aware Service (Lavasoft Ad-Aware Service) . (.Lavasoft - Ad-Aware Service Application.) - C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe  => Clé absente
HKLM\Software\Panda Software  => Clé absente
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab  => Clé supprimée avec succès
[HKLM\SOFTWARE\Classes\CLSID\{00B71CFB-6864-4346-A978-C0A14556272C}]  => Clé supprimée avec succès
[HKCR\CLSID\{00B71CFB-6864-4346-A978-C0A14556272C}]  => Clé supprimée avec succès
O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5 Control) - http://upload.facebook.com/controls/2008.10.10_v5.5.8/FacebookPhotoUploader5.cab  => Clé supprimée avec succès
[HKLM\SOFTWARE\Classes\CLSID\{0CCA191D-13A6-4E29-B746-314DEE697D83}]  => Clé supprimée avec succès
[HKCR\CLSID\{0CCA191D-13A6-4E29-B746-314DEE697D83}]  => Clé supprimée avec succès
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab  => Clé supprimée avec succès
[HKLM\SOFTWARE\Classes\CLSID\{166B1BCA-3F9C-11CF-8075-444553540000}]  => Clé supprimée avec succès
[HKCR\CLSID\{166B1BCA-3F9C-11CF-8075-444553540000}]  => Clé supprimée avec succès
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - https://www.microsoft.com/en-us/download  => Clé supprimée avec succès
[HKLM\SOFTWARE\Classes\CLSID\{17492023-C23A-453E-A040-C7C580BBF700}]  => Clé supprimée avec succès
[HKCR\CLSID\{17492023-C23A-453E-A040-C7C580BBF700}]  => Clé supprimée avec succès
O16 - DPF: {233C1507-6A77-46A4-9443-F871F945D258} (Shockwave ActiveX Control) - http://fpdownload.macromedia.com/get/shockwave/cabs/director/sw.cab  => Clé supprimée avec succès
[HKLM\SOFTWARE\Classes\CLSID\{233C1507-6A77-46A4-9443-F871F945D258}]  => Clé supprimée avec succès
[HKCR\CLSID\{233C1507-6A77-46A4-9443-F871F945D258}]  => Clé supprimée avec succès
O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab  => Clé absente
O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - https://www.nvidia.com/content/DriverDownload/srl/2.0.0.1/sysreqlab2.cab  => Clé supprimée avec succès
[HKLM\SOFTWARE\Classes\CLSID\{67A5F8DC-1A4B-4D66-9F24-A704AD929EEE}]  => Clé supprimée avec succès
[HKCR\CLSID\{67A5F8DC-1A4B-4D66-9F24-A704AD929EEE}]  => Clé supprimée avec succès
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/player/DivXBrowserPlugin.cab  => Clé supprimée avec succès
[HKLM\SOFTWARE\Classes\CLSID\{67DABFBF-D0AB-41FA-9C46-CC0F21721616}]  => Clé supprimée avec succès
[HKCR\CLSID\{67DABFBF-D0AB-41FA-9C46-CC0F21721616}]  => Clé supprimée avec succès
O16 - DPF: {87AF076E-D86D-4E87-ADDD-F05804E1F150} (VirginMega.DMFacade.Interface) - https://www.virginmega.fr/DownloadManager/Release/Prod/DownMan.cab => www.virginmega.fr  => Clé supprimée avec succès
[HKLM\SOFTWARE\Classes\CLSID\{87AF076E-D86D-4E87-ADDD-F05804E1F150}]  => Clé supprimée avec succès
[HKCR\CLSID\{87AF076E-D86D-4E87-ADDD-F05804E1F150}]  => Clé supprimée avec succès
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab  => Clé supprimée avec succès
[HKLM\SOFTWARE\Classes\CLSID\{8E0D4DE5-3180-4024-A327-4DFAD1796A8D}]  => Clé supprimée avec succès
[HKCR\CLSID\{8E0D4DE5-3180-4024-A327-4DFAD1796A8D}]  => Clé supprimée avec succès
O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} () - http://fpdownload.macromedia.com/get/flashplayer/current/polarbear/ultrashim.cab  => Clé supprimée avec succès
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab  => Clé supprimée avec succès
[HKLM\SOFTWARE\Classes\CLSID\{B8BE5E93-A60C-4D26-A2DC-220313175592}]  => Clé supprimée avec succès
[HKCR\CLSID\{B8BE5E93-A60C-4D26-A2DC-220313175592}]  => Clé supprimée avec succès
O16 - DPF: {C45B1500-7B63-47C2-AB25-C28CB46AFDEE} (MediaBar) - http://sib1.od2.com/common/musicmanager/installation/MusicManagerPlugin.CAB  => Clé supprimée avec succès
[HKLM\SOFTWARE\Classes\CLSID\{C45B1500-7B63-47C2-AB25-C28CB46AFDEE}]  => Clé supprimée avec succès
[HKCR\CLSID\{C45B1500-7B63-47C2-AB25-C28CB46AFDEE}]  => Clé supprimée avec succès
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab  => Clé supprimée avec succès
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} () - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab  => Clé supprimée avec succès
O16 - DPF: {E77F23EB-E7AB-4502-8F37-247DBAF1A147} (Windows Live Hotmail Photo Upload Tool) - http://gfx2.hotmail.com/mail/w4/m3/photouploadcontrol/MSNPUpld.cab  => Clé supprimée avec succès
[HKLM\SOFTWARE\Classes\CLSID\{E77F23EB-E7AB-4502-8F37-247DBAF1A147}]  => Clé supprimée avec succès
[HKCR\CLSID\{E77F23EB-E7AB-4502-8F37-247DBAF1A147}]  => Clé supprimée avec succès
HKCU\Software\Symantec  => Clé supprimée avec succès
HKLM\Software\Symantec  => Clé supprimée avec succès

========== Valeur(s) du Registre ==========
O47 - AAKE:Key Export SP - "C:\WINDOWS\system32\drivers\svchost.exe" [Disabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- C:\WINDOWS\system32\drivers\svchost.exe  => Valeur absente
O47 - AAKE:Key Export SP - "C:\games\RedFaction\rf.exe" [Disabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- C:\games\RedFaction\rf.exe  => Valeur absente
O47 - AAKE:Key Export SP - "C:\games\RedFaction\RedFaction.exe" [Disabled] .(.Volition, Inc. - Red Faction Launcher.) (.not file.) -- C:\games\RedFaction\RedFaction.exe  => Valeur absente

========== Dossier(s) ==========
C:\Program Files\Norton Security Scan  => Supprimé et mis en quarantaine
C:\Program Files\Panda Security  => Supprimé et mis en quarantaine

========== Fichier(s) ==========
c:\windows\system32\rundll32.exe shell32.dll  => Fichier absent

========== Logiciel(s) ==========
O42 - Logiciel: Ad-Aware - (.Lavasoft.) [HKLM] -- Ad-Aware  => 
O42 - Logiciel: Ad-Aware - (.Lavasoft.) [HKLM] -- {DED53B0B-B67C-4244-AE6A-D6FD3C28D1EF}  => 
O42 - Logiciel: Panda ActiveScan 2.0 - (.Panda Security.) [HKLM] -- ActiveScan 2.0  => 


========== Récapitulatif ==========
47 : Clé(s) du Registre
3 : Valeur(s) du Registre
2 : Dossier(s)
1 : Fichier(s)
3 : Logiciel(s)


End of the scan

Robinioc · Answer

Il n'y a eu aucune ligne rouge dans ce rapport... Est-ce normal ?

Rapport Gmer :

GMER 1.0.15.15281 - http://www.gmer.net
Rootkit scan 2010-08-18 15:37:57
Windows 5.1.2600 Service Pack 3
Running: gmer.exe; Driver: C:\DOCUME~1\JEANCL~1\LOCALS~1\Temp\uwkiykow.sys


---- System - GMER 1.0.15 ----

SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwClose [0xEB2EB6B8]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwCreateKey [0xEB2EB574]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwDeleteValueKey [0xEB2EBA52]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwDuplicateObject [0xEB2EB14C]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwOpenKey [0xEB2EB64E]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwOpenProcess [0xEB2EB08C]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwOpenThread [0xEB2EB0F0]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwQueryValueKey [0xEB2EB76E]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwRestoreKey [0xEB2EB72E]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwSetValueKey [0xEB2EB8AE]

---- Kernel code sections - GMER 1.0.15 ----

.text           C:\WINDOWS\system32\DRIVERS
v4_mini.sys                                                                      section is writeable [0xF5199380, 0x346307, 0xE8000020]
.rsrc           C:\WINDOWS\system32\DRIVERS	ermdd.sys                                                                        entry point in ".rsrc" section [0xF69B3214]

---- User code sections - GMER 1.0.15 ----

.text           C:\WINDOWS\system32\wuauclt.exe[468] ntdll.dll!NtProtectVirtualMemory                                         7C91D6EE 5 Bytes  JMP 0091000A 
.text           C:\WINDOWS\system32\wuauclt.exe[468] ntdll.dll!NtWriteVirtualMemory                                           7C91DFAE 3 Bytes  JMP 0092000A 
.text           C:\WINDOWS\system32\wuauclt.exe[468] ntdll.dll!NtWriteVirtualMemory + 4                                       7C91DFB2 1 Byte  [84]
.text           C:\WINDOWS\system32\wuauclt.exe[468] ntdll.dll!KiUserExceptionDispatcher                                      7C91E47C 5 Bytes  JMP 0090000C 
.text           C:\WINDOWS\System32\svchost.exe[1144] ntdll.dll!NtProtectVirtualMemory                                        7C91D6EE 5 Bytes  JMP 0091000A 
.text           C:\WINDOWS\System32\svchost.exe[1144] ntdll.dll!NtWriteVirtualMemory                                          7C91DFAE 3 Bytes  JMP 0092000A 
.text           C:\WINDOWS\System32\svchost.exe[1144] ntdll.dll!NtWriteVirtualMemory + 4                                      7C91DFB2 1 Byte  [84]
.text           C:\WINDOWS\System32\svchost.exe[1144] ntdll.dll!KiUserExceptionDispatcher                                     7C91E47C 5 Bytes  JMP 0090000C 
.text           C:\WINDOWS\System32\svchost.exe[1144] ole32.dll!CoCreateInstance                                              774C057E 3 Bytes  JMP 00D8000A 
.text           C:\WINDOWS\System32\svchost.exe[1144] ole32.dll!CoCreateInstance + 4                                          774C0582 1 Byte  [89]
.text           C:\WINDOWS\Explorer.EXE[1712] ntdll.dll!NtProtectVirtualMemory                                                7C91D6EE 5 Bytes  JMP 00B7000A 
.text           C:\WINDOWS\Explorer.EXE[1712] ntdll.dll!NtWriteVirtualMemory                                                  7C91DFAE 5 Bytes  JMP 00BD000A 
.text           C:\WINDOWS\Explorer.EXE[1712] ntdll.dll!KiUserExceptionDispatcher                                             7C91E47C 5 Bytes  JMP 00B6000C 
.text           C:\Program Files\Internet Explorer\iexplore.exe[3076] ntdll.dll!NtProtectVirtualMemory                        7C91D6EE 5 Bytes  JMP 00DB000A 
.text           C:\Program Files\Internet Explorer\iexplore.exe[3076] ntdll.dll!NtWriteVirtualMemory                          7C91DFAE 5 Bytes  JMP 00DC000A 
.text           C:\Program Files\Internet Explorer\iexplore.exe[3076] ntdll.dll!KiUserExceptionDispatcher                     7C91E47C 5 Bytes  JMP 00DA000C 
.text           C:\Program Files\Internet Explorer\iexplore.exe[3076] USER32.dll!DialogBoxParamW                              7E3A47AB 5 Bytes  JMP 40D4F4B9 C:\WINDOWS\system32\IEFRAME.dll (Internet Explorer/Microsoft Corporation)
.text           C:\Program Files\Internet Explorer\iexplore.exe[3076] USER32.dll!DialogBoxIndirectParamW                      7E3B2072 5 Bytes  JMP 40EC203E C:\WINDOWS\system32\IEFRAME.dll (Internet Explorer/Microsoft Corporation)
.text           C:\Program Files\Internet Explorer\iexplore.exe[3076] USER32.dll!MessageBoxIndirectA                          7E3BA082 5 Bytes  JMP 40EC1FBF C:\WINDOWS\system32\IEFRAME.dll (Internet Explorer/Microsoft Corporation)
.text           C:\Program Files\Internet Explorer\iexplore.exe[3076] USER32.dll!DialogBoxParamA                              7E3BB144 5 Bytes  JMP 40EC2003 C:\WINDOWS\system32\IEFRAME.dll (Internet Explorer/Microsoft Corporation)
.text           C:\Program Files\Internet Explorer\iexplore.exe[3076] USER32.dll!MessageBoxExW                                7E3D0838 5 Bytes  JMP 40EC1F4B C:\WINDOWS\system32\IEFRAME.dll (Internet Explorer/Microsoft Corporation)
.text           C:\Program Files\Internet Explorer\iexplore.exe[3076] USER32.dll!MessageBoxExA                                7E3D085C 5 Bytes  JMP 40EC1F85 C:\WINDOWS\system32\IEFRAME.dll (Internet Explorer/Microsoft Corporation)
.text           C:\Program Files\Internet Explorer\iexplore.exe[3076] USER32.dll!DialogBoxIndirectParamA                      7E3D6D7D 5 Bytes  JMP 40EC2079 C:\WINDOWS\system32\IEFRAME.dll (Internet Explorer/Microsoft Corporation)
.text           C:\Program Files\Internet Explorer\iexplore.exe[3076] USER32.dll!MessageBoxIndirectW                          7E3E64D5 5 Bytes  JMP 40D7176A C:\WINDOWS\system32\IEFRAME.dll (Internet Explorer/Microsoft Corporation)
.text           C:\Program Files\Internet Explorer\iexplore.exe[3076] ole32.dll!OleLoadFromStream                             774E9C85 5 Bytes  JMP 40EC223B C:\WINDOWS\system32\IEFRAME.dll (Internet Explorer/Microsoft Corporation)

---- User IAT/EAT - GMER 1.0.15 ----

IAT             C:\WINDOWS\system32\services.exe[812] @ C:\WINDOWS\system32\services.exe [ADVAPI32.dll!CreateProcessAsUserW]  003B0002
IAT             C:\WINDOWS\system32\services.exe[812] @ C:\WINDOWS\system32\services.exe [KERNEL32.dll!CreateProcessW]        003B0000

---- Devices - GMER 1.0.15 ----

AttachedDevice  \FileSystem\Ntfs \Ntfs                                                                                        aswMon2.SYS (avast! File System Filter Driver for Windows XP/ALWIL Software)
AttachedDevice  \Driver\Tcpip \Device\Ip                                                                                      aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice  \Driver\Tcpip \Device\Tcp                                                                                     aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice  \Driver\Tcpip \Device\Udp                                                                                     aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice  \Driver\Tcpip \Device\RawIp                                                                                   aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)

Device           -> \Driver
vatabus \Device\Harddisk0\DR0                                                                    86D42EC5

---- Files - GMER 1.0.15 ----

File            C:\WINDOWS\system32\DRIVERS	ermdd.sys                                                                        suspicious modification
File            C:\WINDOWS\system32\drivers
vatabus.sys                                                                      suspicious modification

---- EOF - GMER 1.0.15 ----

fred08700 · Answer

salut

refais un scan zhpdiag , stp

Robinioc · Answer

http://www.cijoint.fr/cjlink.php?file=cj201008/cijWip4MPy.doc

fred08700 · Answer

re

toujours ces rootkits

 /!\Avertissement :
Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.
Ne pas utiliser en dehors de ce cas de figure : dangereux!


&#9679  Télécharges ComboFix à partir de ce lien et enregistres le sur ton bureau :
https://forum.pcastuces.com/combofix_renomme_au_telechargement-f31s22.htm
ou ici :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe
A lire
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Avant d'utiliser ComboFix :

&#9679  Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours.

&#9679  Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.

Une fois fait, sur ton bureau double-clic sur Combofix.exe.

/!\Utilisateur de Vista : Clique droit sur le logo de Combofix, « exécuter en tant qu'administrateur »

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.

/!\INSTALLES LA CONSOLE DE RÉCUPÉRATION

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes. ==> risque de plantage

- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire.

- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt)

&#9679  Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

&#9679  Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

Robinioc · Answer

voilà le combo :

http://www.cijoint.fr/cjlink.php?file=cj201008/cijT3pGzUG.doc

fred08700 · Answer

bonjour 

combofix a fait pas mal de suppression 

refais moi un nouveau scan Zhpfix et si c'est bon , on finalisera 

ps : poste les rapports en .txt et non en .doc (sinon , je dois les ouvrir avec Word)
merci

Chaque difficulté  rencontrée  doit être  l'occasion d'un nouveau progrès.  
  
[Pierre de Coubertin]

Robinioc · Answer

un zhpfix mais avec quelles lignes en copié collé ?!?

merci ;)

(la dernière fois j'avais copié - collé des lignes...)

fred08700 · Answer

re

Est ce problème de pub , est-il toujours présent ? Et pourquoi passer par Internet explorer , alors que vous avez Firefox ?

d'ailleurs , mettre les deux navigateurs à jours (IE 8 et Firefox 3.6) 

Encore quelques lignes à fixer et un peu d'optimisation et ce sera bon pour moi

j'attends juste la réponse pour commencer -)

Robinioc · Answer

Ben je n'ai pas été beaucoup sur Internet ces jours-ci.

Mais sur le temps que j'y ai passé aujourd'hui pour faire ce que vous me demandiez, puis à être sur ce forum, non ! je n'ai plus rencontré de pub qui s'ouvrent toutes seules :)

Encore merci pour tous ces conseils (avisés! ;) ) !!!

En revanche si l'optimisation dont vous me parlez est faisable, pourquoi pas...
ça peut toujours servir je pense lol

fred08700 · Answer

bien

Utilisation de ZHPfix

*fais un copié des lignes en gras suivantes 

----------------------------------------------------------
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe    
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe    
[HKCU\Software\?? ?? ???? ????? ??? ?? ????]
O64 - Services: CurCS - (.not file.) - uwkiykow (uwkiykow)  .(.Pas de propriétaire - Pas de description.) - LEGACY_UWKIYKOW
----------------------------------------------------------

/!\ Utilisateurs de vista/7 , cette manipulation est à effectuer en tant qu'administrateur ( Clic droit -> [Exécuter en tant qu'administrateur] ) /!\ 

* Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag- écusson vert-)
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
* Le texte que tu as copié sera présent 
* Clique sur « Tous », puis sur « Nettoyer »
* Copie/colle la totalité du rapport dans ta prochaine réponse

****************************************

supprimes ce qui a servi à la désinfection  

* Relances ZHPfix  
* clique sur le A rouge  
* vérifie que tout soit cochés  (vérifier la présence de combofix)
* nettoyer   
==> va ensuite dans ajout/suppression de programmes et désinstalles zhp  


**************************************

Adobe reader n'est pas jour , faille de sécurité importante 

Va dans "ajout/suppression de programmes" 
désinstalles te version de adobe reader et remets cette version 
https://get2.adobe.com/fr/reader/otherversions/ ==> décoches McAfee  

java n'est pas à jour , faille de sécurité importante

Pour supprimer les anciennes versions de Java et télécharger la nouvelle.  

Télécharge javara  

==> suis bien le tutoriel  

******************************************* 

mettre à jour Internet explorer , via windows update

mettre à jour firefox (et naviguer avec lui)
http://www.mozilla-europe.org/fr/firefox/

installer aussi ces deux extensions
wot permet de naviguer et d'acheter sur Internet en toute sécurité. 
adblocks qui est un bloqueur de pubs 

********************************************

Désactiver ctfmon dans Windows 
 

https://www.pcastuces.com/pratique/windows/ctfmon/page3.htm 

************************************************ 

Pour diminuer le temps de démarrage de windows :  
  
* Ouvrez l'utilitaire de configuration système :  
o Faites : démarrer ==> Exécuter ==> tapez msconfig  
o Ensuite, allez sur l'onglet Démarrage, décocher les programmes qui vous semblent inutiles au démarrage de votre PC. Cela n'empêchera pas les programmes de s'exécuter quand vous en aurez besoin, mais permettra à votre PC de démarrer plus vite.  
ne laisser que antivirus et parefeu ( si présent)  
  
N'hésitez pas, vous pouvez relancer l'utilitaire pour réactiver un élément décoché par erreur. 

***********************************************  

Suppression des fichiers inutiles   
  
Télécharge CCleaner version slim.   
* Installe le puis lance le.   
* va dans " options" ==> "avancés" et décoches " effacer uniquement ------24 heures"   
* Clique sur Nettoyeur => Analyse => Lancer le nettoyage, puis sur OK dans la fenêtre qui s'affiche.   
* Enfin, clique sur Registre => corrige toutes les erreurs et recommence jusqu'à ce que CCleaner ne trouve plus d'erreurs.   

Tu peux garder ce programme et l'utiliser régulièrement (une fois par mois).   

***********************************************  

 Vacciner les supports amovibles   

[x] Si nous n'avons pas utilisé USBfix lors de la procédure, tu peux vacciner tes supports amovibles pour éviter qu'ils ne s'infectent.  
[x] Télécharge USBfix puis lance le.  
[x] Note : Si ton anvirus émet une alerte, désactive le momentanément ( il s'agit d'un faux positif )  
[x] Branche tout tes médias amovibles ( Clé USB, Disque dur externe, carte SD ) puis sélectionne l'option [Vacciner].  
[x] Appuie sur [Ok] au message de confirmation.   

**********************************************  

Défragmentation  

[x] Au fur et à mesure que tu installes des logiciels, copies des fichiers etc.. le disque dur se fragmente et les accès en lecture/écriture sont plus longs.  
[o] Télécharge Defraggler.  
[o] Un tutoriel pour son utilisation est disponible ici.   

*********************************************  

Vérification des disques  

[x] Ouvre l'explorateur, puis fais un clique droit sur ta partition principale ( généralement C:\ )  
[x] Clique sur [Propriété] puis sur l'onglet [Outils]  
[x] Clique sur [Vérifier maintenant] puis coche les deux cases présentes.  
[x] Clique sur [Démarrer] ( Tu devras éventuellement redémarrer ton PC et le scan du disque s'effectuera au prochain démarrage )   

********************************************  

Purger la restauration système   


[x] La restauration système est un endroit que windows utilise pour créer des sauvegardes. En cas de soucis, tu peux utiliser ces sauvegardes pour revenir à un état antérieur au problème.  

[x] Après une désinfection, il faut purger la restauration système pour supprimer toutes traces de malwares y résidant.   

 Désactivation de la restauration :

 * Cliquez droit sur poste de travail 
 * Ensuite aller sur propriétés 
 * Puis restauration système 
 * Et cochez la case désactiver la restauration 
 * Cliquez ensuite sur appliquez, puis OK 
 * Et redémarrez votre PC 

 Réactivation de la restauration :

 * Cliquez droit sur poste de travail 
 * Ensuite aller sur propriétés 
 * Puis restauration système 
 * Et décochez la case désactiver la restauration 
 * Cliquez ensuite sur appliquez, puis OK 
 * Et redémarrez votre PC 

 Et ensuite création d'un nouveau point de restauration comme ce qui suit : 
 

 * Allez dans le Menu Démarrer 
 * Puis dans Programmes 
 * Ensuite dans Accessoires 
 * Et enfin dans Outils système 
 * Choisir Restauration du système 
 * Sélectionnez créer un point de restauration 
 * Entrez un nom pour le point de restauration 
 * Cliquez sur créer et le point de restauration se créé automatiquement. 



*************************************************  

logiciels à garder:  
  
malwarebytes et ccleaner (faire un scan , 1 fois par semaine)  

************************************************  

Liens utiles   
  
- Les dangers du P2P  
- La sécurité de son PC, c'est quoi?  
- Sécuriser son ordinateur  
- Pourquoi maintenir son navigateur à jour?  
- Les toolbars c'est pas obligatoire

Robinioc · Answer

Ben écoutez je vous remercie beaucoup pour cette grande aide.

Je ferai tout ce que vous me conseillez dans ce dernier message !!!

Encore merci xD
C'est gentil d'aider les gens spontanément pour tous leurs problèmes.

Robinioc · Answer

Rapport de ZHPFix v1.12.3134 par Nicolas Coolman, Update du 12/08/2010
Fichier d'export Registre : C:\ZHPExportRegistry-19-08-2010-18-57-07.txt
Run by JEAN CLAUDE at 19/08/2010 18:57:07
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé(s) du Registre ==========
HKCU\Software\?? ?? ???? ????? ??? ?? ????  => Clé absente
O64 - Services: CurCS - (.not file.) - uwkiykow (uwkiykow) .(.Pas de propriétaire - Pas de description.) - LEGACY_UWKIYKOW  => Clé supprimée avec succès

========== Valeur(s) du Registre ==========
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe  => Valeur supprimée avec succès
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe  => Valeur absente


========== Récapitulatif ==========
2 : Clé(s) du Registre
2 : Valeur(s) du Registre


End of the scan

fred08700 · Answer

re

pas de quoi -)

si tu as un souci , n'hésites pas

je mets en résolu

bon surf et a+

Virus Fenêtres intempestives Hijackthis - Page 2

Discussions similaires

Newsletters