Virus ou pas virus ? Résolu

Question

Bonjour, 

Il y a quelques temps j'ai eu un virus sur mon ordi que vous m'avez aidé à éradiquer. Et maintenant, j'ai des amis qui sont peut-être également infecté.
Au démarrage de l'ordi, il faut réparer le démarrage et il répète l'opération trois fois de suite avant que l'on puisse accéder enfin au bureau. ça peut durer 3/4 d'heure.
L'ordi fait plein de manip de restauration du système et l'écran fait des trucs bizarres du genre apparition de carrés bleus...
Mac affe ne veut plus se mettre à jour non plus et il dit qu'on est vulnérable

J'ai fait comme pour moi avec zhpdiag mais une fois que j'ai mis executé en tant qu'administrateur, il se referme tout de suite.
donc j'ai refais avec Hijackthis et voici le rapport : http://www.cijoint.fr/cjlink.php?file=cj201008/cijzPOD3bi.txt 


Quelqu'un peut-il nous aider à nouveau ?
Merci d'avance

Configuration: Windows Vista / Internet Explorer 7.0

vivelajamaique · Answer

Siou plait, est-ce qu'il y a quelqu'un pour nous aider ?
J'ai oublié de vous préciser que nous avons des pages de pub qui s'ouvrent intempestivement sur internet

abs6587 · Answer

Salut,effectivement tu es infecté
fais ceci
désactives ton anti-virus et anti-spyware le temps du scan

Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

Télécharge Ad-Remover sur ton bureau: 
http://pagesperso-orange.fr/NosTools/C_XX/AD-R.exe
ou
https://www.androidworld.fr/
Double clique sur le fichier que tu viens de télécharger, à l'écran qui apparait, clique sur "nettoye".
Laisse travailler l'outil.
Poste le rapport qui s'affiche à l'écran quand l'analyse est terminée.

( Le rapport est sauvegardé sous C:\Ad-report-scan.log )

vivelajamaique · Answer

voici le raport

======= RAPPORT D'AD-REMOVER 2.0.0.1,D | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 26/07/10 à 12:00
Contact: AdRemover.contact[AT]gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 21:27:45 le 20/08/2010, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium  Service Pack 2 (X86) 
Lalodav@PC-DE-LALODAV (Dell Inc. Dell XPS420) 
 
============== ACTION(S) ==============


0,Dossier supprimé: C:\Users\Lalodav\AppData\LocalLow\AskSBar
0,Dossier supprimé: C:\Program Files\AskSBar
0,Dossier supprimé: C:\Users\Lalodav\AppData\Roaming\EoRezo
0,Dossier supprimé: C:\Users\Lalodav\AppData\Local\EoRezo
0,Dossier supprimé: C:\Program Files\EoRezo
0,Dossier supprimé: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Everest Poker
0,Dossier supprimé: C:\Program Files\Everest Poker
0,Dossier supprimé: C:\Program Files\GamesBar
0,Dossier supprimé: C:\Users\Lalodav\AppData\Roaming\iWin
0,Dossier supprimé: C:\Users\Lalodav\AppData\Local\SpiderMessenger
0,Fichier supprimé: C:\Users\Public\Desktop\Everest Poker.lnk

(!) -- Fichiers temporaires supprimés.


1,Clé supprimée: HKLM\Software\Classes\CLSID\{0579B4B1-0293-4d73-B02D-5EBB0BA0F0A2}
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{0579B4B1-0293-4d73-B02D-5EBB0BA0F0A2}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{0579B4B1-0293-4d73-B02D-5EBB0BA0F0A2}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{0579B4B1-0293-4d73-B02D-5EBB0BA0F0A2}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{ADE49752-DBBC-43A3-9498-379A82F574BF}
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{ADE49752-DBBC-43A3-9498-379A82F574BF}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{ADE49752-DBBC-43A3-9498-379A82F574BF}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{ADE49752-DBBC-43A3-9498-379A82F574BF}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{B15FD82E-85BC-430d-90CB-65DB1B030510}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{F0D4B239-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{F0D4B239-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{F0D4B239-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{F0D4B23B-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{F0D4B23B-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKLM\Software\Classes\Interface\{813A22E0-3E2B-4188-9BDA-ECA9878B8D48}
1,Clé supprimée: HKLM\Software\Classes\Interface\{DF76E9B7-35EC-46FC-AF56-5B79DED9D64F}
1,Clé supprimée: HKLM\Software\Classes\TypeLib\{13B1A411-66D8-49AC-BBC6-0102F0918AED}
1,Clé supprimée: HKLM\Software\Classes\TypeLib\{15D9CA76-F712-4548-B2A5-C67CD47AC47A}
1,Clé supprimée: HKLM\Software\Classes\TypeLib\{18AF7201-4F14-4BCF-93FE-45617CF259FF}
0,Clé supprimée: HKLM\Software\Classes\EoEngineBHO.EOBHO
0,Clé supprimée: HKLM\Software\Classes\EoEngineBHO.EOBHO.1
0,Clé supprimée: HKLM\Software\Classes\AppID\EoEngineBHO.DLL
1,Clé supprimée: HKLM\Software\Classes\AppID\{AFBB7970-789A-4264-BA70-E8127DECE400}
0,Clé supprimée: HKLM\Software\EoRezo
0,Clé supprimée: HKLM\Software\GamesBarSetup
0,Clé supprimée: HKCU\Software\EoRezo
0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\AskSBar Uninstall
0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\EoRezo_is1
0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Everest Poker
0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\SoftwareUpdate_is1
0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\SpiderMessenger_is1

0,Valeur supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Run|Eorezo
0,Valeur supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Run|spidermessenger
0,Valeur supprimée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{F0D4B239-DA4B-4DAF-81E4-DFEE4931A4AA}
0,Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{F0D4B239-DA4B-4DAF-81E4-DFEE4931A4AA}


============== SCAN ADDITIONNEL ==============

** Internet Explorer Version [8.0.6001.18943] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\Windows\System32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 697 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 15 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 20/08/2010 (6566 Octet(s)) 

Fin à: 21:34:27, 20/08/2010 
 
============== E.O.F ==============

abs6587 · Answer

ok;fais ce ci maintenant
!! ATTENTION !!! souvant près de 2 heures de scan !!!
Télécharge Malwarebytes' Anti-Malware:https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/
. enregistres le sur le bureau
. Double cliques sur le fichier téléchargé pour lancer le processus d'installation.
. si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes
. rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre.
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, cliques sur Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
. redemarre le pc si il le fait pas lui même
. une fois redémarré double-cliques sur malwarebytes
. rends toi dans l'onglet rapport/log
. tu cliques dessus pour l'afficher une fois affiché
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller

vivelajamaique · Answer

merci de votre aide , au demarrage l'ordi a refait une seul fois "reparation du demarage" environ 10 mn
voici le raport

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4456

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18943

21/08/2010 12:43:47
mbam-log-2010-08-21 (12-43-47).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 349932
Temps écoulé: 2 heure(s), 19 minute(s), 25 seconde(s)

Processus mémoire infecté(s): 2
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 7
Valeur(s) du Registre infectée(s): 2
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 10

Processus mémoire infecté(s):
C:\Users\Lalodav\AppData\Roaming\eoRezo\SoftwareUpdate\SoftwareUpdateHP.exe (Rogue.Eorezo) -> Unloaded process successfully.
C:\Program Files\EoRezo\eorezo.exe (Rogue.Eorezo) -> Unloaded process successfully.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\TypeLib\{18af7201-4f14-4bcf-93fe-45617cf259ff} (Rogue.Eorezo) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{df76e9b7-35ec-46fc-af56-5b79ded9d64f} (Rogue.Eorezo) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{c10dc1f4-ccdf-4224-a24d-b23afc3573c8} (Rogue.Eorezo) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{c10dc1f4-ccdf-4224-a24d-b23afc3573c8} (Rogue.Eorezo) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{c10dc1f4-ccdf-4224-a24d-b23afc3573c8} (Rogue.Eorezo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{c10dc1f4-ccdf-4224-a24d-b23afc3573c8} (Rogue.Eorezo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\EoRezo (Rogue.Eorezo) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\softwarehelper (Rogue.Eorezo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\eorezo (Rogue.Eorezo) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Users\Lalodav\AppData\Roaming\eoRezo\SoftwareUpdate\SoftwareUpdateHP.exe (Rogue.Eorezo) -> Quarantined and deleted successfully.
C:\Program Files\EoRezo\eorezo.exe (Rogue.Eorezo) -> Quarantined and deleted successfully.
C:\Program Files\Ad-Remover\Quarantine\C\Program Files\EoRezo\eorezo.exe.vir (Rogue.Eorezo) -> Quarantined and deleted successfully.
C:\Program Files\Ad-Remover\Quarantine\C\Program Files\EoRezo\EoRezoBHO.dll.vir (Rogue.Eorezo) -> Quarantined and deleted successfully.
C:\Program Files\Ad-Remover\Quarantine\C\Program Files\Everest Poker\var\Everest Casino.exe.vir (Rogue.AdorableCasino) -> Quarantined and deleted successfully.
C:\Program Files\Ad-Remover\Quarantine\C\Users\Lalodav\AppData\Roaming\EoRezo\SoftwareUpdate\SoftwareUpdate.exe.vir (Rogue.Eorezo) -> Quarantined and deleted successfully.
C:\Program Files\Ad-Remover\Quarantine\C\Users\Lalodav\AppData\Roaming\EoRezo\SoftwareUpdate\SoftwareUpdateHP.exe.vir (Rogue.Eorezo) -> Quarantined and deleted successfully.
C:\Program Files\EoRezo\EoRezoBHO.dll (Rogue.Eorezo) -> Quarantined and deleted successfully.
C:\Program Files\Everest Poker\var\Everest Casino.exe (Rogue.AdorableCasino) -> Quarantined and deleted successfully.
C:\Users\Lalodav\AppData\Roaming\eoRezo\SoftwareUpdate\SoftwareUpdate.exe (Rogue.Eorezo) -> Quarantined and deleted successfully.


merci de votre aide

vivelajamaique · Answer

rsit s'arrette au bout de quelque seconde et il m'ecrit dans une fenetre
      Line 3601 (File "C:\Users\Lalodac\Desktop\RSIT.exe"):
      Error: Subscript used whit non-Array variable.
voila mais il y a bien un raport C:\rsit\log.txt et rien d'autre 

http://www.cijoint.fr/cjlink.php?file=cj201008/cijA4wiSgz.txt 

merci de votre aide.

vivelajamaique · Answer

et mon anti virus refuse de s'activer c'est MacAfee

vivelajamaique · Answer

non mais lorsque je redemarre l ordi il fait toujour une reparation demarrage et une restauration .

vivelajamaique · Answer

ok merci pour votre aide bonne nuit a demain

vivelajamaique · Answer

bonjour j ai pu redemmarer l ordi en refusant la restauration ce matin il est un peut plus lent a demmarer il a mis 20 min environ doige faire les manipulation indiquer  ja ttent votre reponse merci.

vivelajamaique · Answer

ok mon ami rentre du boulot dans une demi heure je prefere que ce soit lui qui fasse les manipulation car moi je suis vraiment null en informatique il vous poste les rapport des quil les a par contre j ai une question a titre perso si ont desinstalle avec le cd dell le virus serait toujour présent ou non ......

vivelajamaique · Answer

oui avec le cd already intalled  dell drivers and utilities
sinon la chose qui me fait la restauration c est au demarrage de l ordi
il fait reparation demarrage et en suite  il affiche restauration donc je la refuse mon ami vien de rentre il doit faire les manip combofixe ext .

vivelajamaique · Answer

Voici le raport de Combofix
http://www.cijoint.fr/cjlink.php?file=cj201008/cij2CXbS4B.txt

vivelajamaique · Answer

voici le rapport de Ad-rimover en nettoyage j'ai redemaré et je n'ai pas fait de restauration et je fait maintenant malwarebytes

======= RAPPORT D'AD-REMOVER 2.0.0.1,D | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 26/07/10 à 12:00
Contact: AdRemover.contact[AT]gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 15:25:02 le 22/08/2010, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium  Service Pack 2 (X86) 
Lalodav@PC-DE-LALODAV (Dell Inc. Dell XPS420) 
 
============== ACTION(S) ==============


0,Dossier supprimé: C:\Users\Lalodav\AppData\LocalLow\AskSBar
0,Dossier supprimé: C:\Program Files\AskSBar
0,Dossier supprimé: C:\Users\Lalodav\AppData\Roaming\EoRezo
0,Dossier supprimé: C:\Users\Lalodav\AppData\Local\EoRezo
0,Dossier supprimé: C:\Program Files\EoRezo
0,Dossier supprimé: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Everest Poker
0,Dossier supprimé: C:\Program Files\Everest Poker
0,Dossier supprimé: C:\Program Files\GamesBar
0,Dossier supprimé: C:\Users\Lalodav\AppData\Local\SpiderMessenger
0,Fichier supprimé: C:\Users\Public\Desktop\Everest Poker.lnk

(!) -- Fichiers temporaires supprimés.


1,Clé supprimée: HKLM\Software\Classes\CLSID\{B15FD82E-85BC-430d-90CB-65DB1B030510}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{F0D4B239-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{F0D4B239-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{F0D4B239-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{F0D4B23B-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{F0D4B23B-DA4B-4daf-81E4-DFEE4931A4AA}
1,Clé supprimée: HKLM\Software\Classes\Interface\{813A22E0-3E2B-4188-9BDA-ECA9878B8D48}
1,Clé supprimée: HKLM\Software\Classes\Interface\{DF76E9B7-35EC-46FC-AF56-5B79DED9D64F}
1,Clé supprimée: HKLM\Software\Classes\TypeLib\{15D9CA76-F712-4548-B2A5-C67CD47AC47A}
1,Clé supprimée: HKLM\Software\Classes\TypeLib\{18AF7201-4F14-4BCF-93FE-45617CF259FF}
0,Clé supprimée: HKLM\Software\Classes\EoEngineBHO.EOBHO
0,Clé supprimée: HKLM\Software\Classes\EoEngineBHO.EOBHO.1
0,Clé supprimée: HKLM\Software\Classes\AppID\EoEngineBHO.DLL
1,Clé supprimée: HKLM\Software\Classes\AppID\{AFBB7970-789A-4264-BA70-E8127DECE400}
0,Clé supprimée: HKLM\Software\EoRezo
0,Clé supprimée: HKLM\Software\GamesBarSetup
0,Clé supprimée: HKCU\Software\EoRezo
0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\AskSBar Uninstall
0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\EoRezo_is1
0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Everest Poker
0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\SoftwareUpdate_is1

0,Valeur supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Run|Eorezo
0,Valeur supprimée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{F0D4B239-DA4B-4DAF-81E4-DFEE4931A4AA}
0,Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{F0D4B239-DA4B-4DAF-81E4-DFEE4931A4AA}


============== SCAN ADDITIONNEL ==============

** Internet Explorer Version [8.0.6001.18943] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\Windows\System32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 697 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 28 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 20/08/2010 (5333 Octet(s)) 

Fin à: 15:29:48, 22/08/2010 
 
============== E.O.F ==============

vivelajamaique · Answer

pas de souci merci encore

vivelajamaique · Answer

voici le raport de malwarebytes 

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4462

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18943

22/08/2010 19:56:19
mbam-log-2010-08-22 (19-56-19).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 347330
Temps écoulé: 2 heure(s), 20 minute(s), 49 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Program Files\Ad-Remover\Quarantine\C\Users\Lalodav\AppData\Roaming\EoRezo\SoftwareUpdate\SoftwareUpdateHP.exe.vir (Rogue.Eorezo) -> Quarantined and deleted successfully.

vivelajamaique · Answer

enfin sa a marché, voici le raport de ZHPDiag

http://www.cijoint.fr/cjlink.php?file=cj201008/cij6Uq9okE.txt

vivelajamaique · Answer

dernier raport
http://www.cijoint.fr/cjlink.php?file=cj201008/cijnstXhFB.txt

gen-hackman · Answer

hello atapi a l'air patché :)   => MD5 inconnu

possible de lire le fichier More.txt sur le bureau ?

gen-hackman · Answer

Fais analyser le(s) fichier(s) suivants sur Virustotal :

Virus Total

    *  * Colle directement le chemin des fichiers , un par un , dans l'espace "Parcourir" apres chaque analyse :

C:\Windows\System32\ENLOCSTR.EXE  
 C:\Windows\System32\KILLAPPS.EXE  
C:\Windows\System32\DEVREG.DLL  
C:\Windows\System32\EAXAC3.DLL  
C:\Windows\System32\piaproxy.dll  
C:\Windows\System32\ptftp32c.dll  
C:\Windows\System32\TEACico2.dll  
C:\Windows\System32\wmcoinst-070124-1114.dll  
C:\Windows\System32\wmcoinst-070531-0845.dll  

    * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
    * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
    * Lorsque l'analyse est terminée colle le lien de(s)( la) page(s)  dans ta prochaine réponse.

gen-hackman · Answer

oui je te demande d'analyser des fichiers sur virus total plus haut

vivelajamaique · Answer

File name: EAXAC3.DLL
Submission date: 2010-08-24 20:32:44 (UTC)
Current status: queued queued analysing finished


Result: 0/ 40 (0.0%)
 VT Community

not reviewed
 Safety score: -  
Compact Print results Antivirus Version Last Update Result 
AhnLab-V3 2010.08.24.00 2010.08.23 - 
AntiVir 8.2.4.38 2010.08.24 - 
Antiy-AVL 2.0.3.7 2010.08.23 - 
Authentium 5.2.0.5 2010.08.24 - 
Avast 4.8.1351.0 2010.08.24 - 
Avast5 5.0.594.0 2010.08.24 - 
AVG 9.0.0.851 2010.08.24 - 
BitDefender 7.2 2010.08.24 - 
CAT-QuickHeal 11.00 2010.08.24 - 
ClamAV 0.96.2.0-git 2010.08.24 - 
Comodo 5845 2010.08.24 - 
DrWeb 5.0.2.03300 2010.08.24 - 
Emsisoft 5.0.0.37 2010.08.24 - 
eTrust-Vet 36.1.7810 2010.08.23 - 
F-Prot 4.6.1.107 2010.08.24 - 
F-Secure 9.0.15370.0 2010.08.24 - 
Fortinet 4.1.143.0 2010.08.24 - 
GData 21 2010.08.24 - 
Ikarus T3.1.1.88.0 2010.08.24 - 
Jiangmin 13.0.900 2010.08.23 - 
Kaspersky 7.0.0.125 2010.08.24 - 
McAfee 5.400.0.1158 2010.08.24 - 
Microsoft 1.6103 2010.08.24 - 
NOD32 5394 2010.08.24 - 
Norman 6.05.11 2010.08.24 - 
nProtect 2010-08-24.01 2010.08.24 - 
Panda 10.0.2.7 2010.08.24 - 
PCTools 7.0.3.5 2010.08.24 - 
Prevx 3.0 2010.08.24 - 
Rising 22.62.01.04 2010.08.24 - 
Sophos 4.56.0 2010.08.24 - 
Sunbelt 6786 2010.08.24 - 
SUPERAntiSpyware 4.40.0.1006 2010.08.24 - 
Symantec 20101.1.1.7 2010.08.24 - 
TheHacker 6.5.2.1.355 2010.08.24 - 
TrendMicro 9.120.0.1004 2010.08.24 - 
TrendMicro-HouseCall 9.120.0.1004 2010.08.24 - 
VBA32 3.12.14.0 2010.08.24 - 
ViRobot 2010.8.24.4005 2010.08.24 - 
VirusBuster 5.0.27.0 2010.08.24 - 
Additional informationShow all  
MD5   : d67dfff9c103b8c33815125a50baf7a0 
SHA1  : 365bd6319b14f8b0ef127bf279cfb88d12445f0c 
SHA256: 2eec6a8b18c93b96c877037f49472b2a46bd9e68fd04bd9edbd94d89a4a6146f 
ssdeep: 768:7/v8Hk5HLn9VoqZ8v8xz0MIUXSlWl6leDTeP1gBqyWMh9g+ca83YV5stjonor1SN:7/EHiE
W0xUSQleeDTmmA2h9gjQmoz 
File size : 77824 bytes 
First seen: 2009-05-22 20:07:15 
Last seen : 2010-08-24 20:32:44 
TrID: 
Win32 Executable MS Visual C++ (generic) (65.2%)
Win32 Executable Generic (14.7%)
Win32 Dynamic Link Library (generic) (13.1%)
Generic Win/DOS Executable (3.4%)
DOS Executable Generic (3.4%) 
sigcheck: 
publisher....: Creative Labs
copyright....: Copyright (c) 2001
product......: EAX-AC3 DLL
description..: EAXAC3
original name: EAXAC3.dll
internal name: EAXAC3
file version.: 1.12
comments.....: Daniel Peacock
signers......: -
signing date.: -
verified.....: Unsigned
 
PEiD: Armadillo v1.xx - v2.xx 
PEInfo: PE structure information

[[ basic data ]]
entrypointaddress: 0x3FA0
timedatestamp....: 0x3B4B9C67 (Wed Jul 11 00:23:03 2001)
machinetype......: 0x14c (I386)

[[ 5 section(s) ]]
name, viradd, virsiz, rawdsiz, ntropy, md5
.text, 0x1000, 0x84AA, 0x9000, 6.27, 0a86f3762e8f5119dfb3a85b38fe2608
.rdata, 0xA000, 0x10E8, 0x2000, 3.47, 88613eb622d94a0c62e56a697ddda372
.data, 0xC000, 0x49EC, 0x4000, 1.21, 26d923fae5dabdbac6092e81ab7da495
.rsrc, 0x11000, 0x3B8, 0x1000, 0.99, 42d0f2a11901958c79cb61db465efa3e
.reloc, 0x12000, 0x1288, 0x2000, 3.15, 73e91c9e79d0fbe52e2f375dd023a4c5

[[ 2 import(s) ]]
KERNEL32.dll: InitializeCriticalSection, CloseHandle, WaitForSingleObjectEx, LeaveCriticalSection, EnterCriticalSection, CreateEventA, SetEvent, OutputDebugStringA, GetModuleFileNameA, GetStartupInfoA, GetStringTypeW, GetStringTypeA, LCMapStringW, LCMapStringA, MultiByteToWideChar, SetEndOfFile, GetCommandLineA, GetVersion, HeapAlloc, HeapFree, GetLastError, FlushFileBuffers, WriteFile, ExitProcess, ReadFile, SetFilePointer, TerminateProcess, GetCurrentProcess, GetCurrentThreadId, TlsSetValue, TlsAlloc, TlsFree, SetLastError, TlsGetValue, DeleteCriticalSection, SetHandleCount, GetStdHandle, GetFileType, LoadLibraryA, VirtualAlloc, FreeEnvironmentStringsA, FreeEnvironmentStringsW, WideCharToMultiByte, GetEnvironmentStrings, GetEnvironmentStringsW, GetModuleHandleA, GetEnvironmentVariableA, GetVersionExA, HeapDestroy, HeapCreate, VirtualFree, InterlockedDecrement, HeapReAlloc, RtlUnwind, SetStdHandle, CreateFileA, InterlockedIncrement, GetCPInfo, GetACP, GetOEMCP, GetProcAddress
WINMM.dll: waveOutGetErrorTextA, timeKillEvent, timeEndPeriod, waveOutUnprepareHeader, timeBeginPeriod, timeGetTime, waveOutRestart, timeSetEvent, waveOutPrepareHeader, waveOutWrite, waveOutPause, waveOutReset, waveOutGetPosition, waveOutClose, timeGetDevCaps, waveOutGetNumDevs, waveOutOpen, waveOutGetDevCapsA

[[ 22 export(s) ]]
EAXAC3ClosePlaybackDevice, EAXAC3CloseStream, EAXAC3GetErrorString, EAXAC3GetFunctionTable, EAXAC3GetLastError, EAXAC3GetPosition, EAXAC3LockBuffer, EAXAC3OpenPlaybackDevice, EAXAC3OpenStream, EAXAC3PauseStream, EAXAC3PlayStream, EAXAC3PrePlayStream, EAXAC3QueryDeviceCaps, EAXAC3QueryFile, EAXAC3QueryMemory, EAXAC3QueryNoOfFramesReqForPlayback, EAXAC3QueryNumberOfDevices, EAXAC3ResumeStream, EAXAC3SetFilePosition, EAXAC3SetPlaybackMode, EAXAC3StopStream, EAXAC3UnLockBuffer
 


VT Community

0
This file has never been reviewed by any VT Community member. Be the first one to comment on it!

gen-hackman · Answer

bah c'est bon z'ont l'air sympa ces fichiers

gen-hackman · Answer

bonsoir

ouvre l'explorateur Windows, cherche C:\Windows\System32\DriverStore\FileRepository\mshdc.inf_b12d8e84\atapi.sys

clic droit et Copier

mets toi dans C:\ et clic droit et Coller.

Clix droit sur le nouveau fichier et Renommer.

Tu l'appelles truc.bak

Tu ignores l'alerte.

===

1. Télécharge The Avenger par Swandog46 sur le Bureau

http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/

Clique sur Avenger.zip pour ouvrir le fichier
Extraire avenger.exe sur le bureau

2. Copier tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C):

Files to move:
c:	ruc.bak | c:\windows\system32\drivers\atapi.sys

IMPORTANT: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.

Ferme toutes les applications et ton navigateur

3. Maintenant, lance The Avenger en cliquant sur son icône du bureau.

Vérifie que la case devant "Automatically disable any rootkits found" n'est pas cochée.


Cclique sur l'icone de droite (en rose et bleu). Le texte va se copier dans la fenêtre.

Clique sur Execute

4. The Avenger va automatiquement faire ce qui suit:


Il va Re-démarrer le système.
Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, ceci est NORMAL.
Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt
The Avenger aura également sauvegardé tous les fichiers, etc., que tu lui as demandé de supprimer, les aura compactés (zipped) et tranféré l'archive zip ici C:\avenger\backup.zip.

5. Pour finir copier/coller le contenu du ficher c:\avenger.txt dans ta réponse

gen-hackman · Answer

ok d'autant plus que c'est un fichier vital au systeme !! ^^

à demain

vivelajamaique · Answer

dsl de ne pas avoir repondu plutot, du coup comme rien ne fonctionner on a contacter le constructeur "Dell" et en fin de compte c'étais la carte graphique qui avait tous juste 4 mois qui étais défaillante, encore merci de votre aide a vous deux
bonne soirée

gen-hackman · Answer

on a fait ce qu on a pu ....

Virus ou pas virus ? - Page 2

Discussions similaires

Newsletters