Infester par 3 chevaux de troie Résolu

Question

Bonjour, 

Je viens de faire une analyse antivirus. Il a détecté 3 chevaux de troie :

TR/Dopper.GEN
TR/PCK.Katusha.L.218 (celui la est infesté dans deux fichiers de mon ordinateur).
TR/Spy.254976.14

J'espère que vous pourrez m'aider car j'essaye de trouver des informations sur ces chevaux de troie mais je n'ai rien trouvé.

Configuration: Windows Vista / Firefox 3.6.8

supergeronimo44 · Answer

Salut !  

Nous allons essayer de régler ton problème ensemble. D'abord, quelques rappels : 

- N'ouvre pas d'autres sujets pour le même problème (que ce soit sur ce forum ou sur un autre) 
- N'hésite pas à poser des questions en cas de besoin ;) 
- Sois patient(e) quand tu postes un message, je ne réponds pas instantanément : je suis bénévole et je ne suis pas en permanence devant mon ordinateur. Mais rassure toi, je ne laisse jamais tomber personne ;) 
- La désinfection va se dérouler en plusieurs étapes. Même si les symptômes de l'infection disparaissent, la désinfection ne sera terminée que quand je te le confirmerai --> Merci de revenir jusqu'au bout, sinon ce qu'on a fait n'aura servi à rien.  

~~~~~~~~ 

=> As-tu des symptômes particuliers ( fenêtres de pubs, redirections internet, ....) ? 

~~~~~~~~ 
    Utilise ce logiciel de diagnostic afin d'avoir un peu plus d'informations nous permettant de détecter l'infection : 

    * Télécharge ftp://zebulon.fr/ZHPDiag.exe (de Nicolas Coolman) 
    * Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin. 
    *Clique sur la flèche verte en haut à droite du programme, et vérifies que tu possèdes bien la dernière version du logiciel ( sinon, choisis d'installer la nouvelle version jusqu'à obtenir un message te disant que ta version est à jour). 
    *Clique ensuite sur le tournevis en haut à droite, puis coche les cases suivantes :  
 
Redirections du fichier HOSTS (01) 
Cracks &Keygen files (CFK) (082) 

    * Clique sur l'icône représentant une loupe (« Lancer le diagnostic ») 
    * Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette 
    * Héberge le rapport ZHPDiag.txt sur ce site à l'aide de ce tutoriel :  
https://www.androidworld.fr/#Comment_h%E9berger 

, puis copie/colle le lien fourni dans ta prochaine réponse. 


++ 
*\ "L'important n'est pas le but, mais le chemin qui y mène" //* 
=>Vive Helper-Formation !<=

pucedu88 · Answer

Merci de me répondre rapidement. Le seul symptôme que j'ai pu remarqué était que ma boîte hotmail envoyait toute seule des spams à mes contacts.
Je ne sais s'il y a un rapport entre ça et les chevaux de troie.

Voici le rapport du logiciel ZHPDiag :

https://www.androidworld.fr/

supergeronimo44 · Answer

Re- ! ;-)

Ok, je suis en train de regarder le rapport et je te réponds dès que j'ai fini. ( pas longtemps :) )

++

supergeronimo44 · Answer

Donc : Tu es infecté par des barres d'outils néfastes : Conduit, pdfforge, ainsi que par l'adware Search settings.   
Tous ces malwares s'installent via un programme gratuit, et vu le grand nombre de sites de jeux que tu côtoies, ce n'est pas étonnant...Ils ont pour but de récupérer des informations personnelles....  

Pour s'en débarrasser :   
    * Télécharge https://www.androidworld.fr/  AD-Remover (de C_XX) sur ton Bureau.  
  :!: Déconnecte toi et ferme toutes les applications en cours :!:   
    * Double-clique sur l'icône AD-Remover  
    * Au menu principal, clique sur "Nettoyer"  
    * Confirme le lancement de l'analyse et laisse l'outil travailler  
    * Poste le rapport qui apparait à la fin (il est aussi sauvegardé sous C:\Ad-report-CLEAN.txt )  

    (CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )   

à lire sérieusement jusqu'au bout ( et n'hésite pas à me poser des questions si tout ne te paraît pas très clair )  =>  
Les toolbars, c'est pas obligatoire ( par Malekal ) :https://forum.malekal.com/viewtopic.php?t=6173&start= 

++  
*\ "L'important n'est pas le but, mais le chemin qui y mène" //*  
=>Vive Helper-Formation !<=

pucedu88 · Answer

Voici le rapport du logiciel :

======= RAPPORT D'AD-REMOVER 2.0.0.1,D | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 26/07/10 à 12:00
Contact: AdRemover.contact[AT]gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (SCAN [1]) -> Lancé à 15:35:11 le 31/08/2010, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium  Service Pack 2 (X86) 
vista@PC-DE-VISTA (Acer Aspire 5100) 
 
============== RECHERCHE ==============

Service: "Application Updater" Présent 

0,Fichier trouvé: C:\Program Files\Mozilla FireFox\Components\AskSearch.js
0,Fichier trouvé: C:\Program Files\Mozilla FireFox\extensions\pdfforge@mybrowserbar.com
0,Fichier trouvé: C:\Program Files\Mozilla Firefox\extensions\searchsettings@spigot.com
0,Fichier trouvé: C:\Users\vista\AppData\Roaming\Mozilla\FireFox\Profiles\3qoju07k.default\searchplugins\askcom.xml
0,Fichier trouvé: C:\Users\vista\AppData\Roaming\Mozilla\FireFox\Profiles\3qoju07k.default\searchplugins\cherche.xml
0,Fichier trouvé: C:\Users\vista\scriptjava.html
0,Dossier trouvé: C:\Program Files\Application Updater
0,Dossier trouvé: C:\Users\vista\AppData\LocalLow\Conduit
0,Dossier trouvé: C:\Program Files\Conduit
0,Dossier trouvé: C:\Users\vista\AppData\Roaming\iWin
0,Dossier trouvé: C:\ProgramData\iWin
0,Dossier trouvé: C:\Users\vista\AppData\LocalLow\pdfforge
0,Dossier trouvé: C:\Program Files\pdfforge Toolbar
0,Dossier trouvé: C:\Users\vista\AppData\LocalLow\Search Settings
3,Fichier trouvé: C:\Windows\Installer\b7748f.msi  

-- Fichier ouvert: C:\Users\vista\AppData\Roaming\Mozilla\FireFox\Profiles\3qoju07k.default\Prefs.js --
Ligne trouvée: user_pref("CT2504091.SearchEngine", "Search||hxxp://search.conduit.com/Results.aspx?q=UCM_SEARCH_TER... 
Ligne trouvée: user_pref("CT2504091.SearchFromAddressBarUrl", "hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT250... 
Ligne trouvée: user_pref("browser.search.defaultengine", "Ask.com"); 
Ligne trouvée: user_pref("browser.search.defaultenginename", "Ask.com"); 
Ligne trouvée: user_pref("browser.search.defaulturl", "hxxp://www.fastbrowsersearch.com/results/results.aspx?s=DEF&... 
Ligne trouvée: user_pref("browser.search.order.1", "Ask.com"); 
Ligne trouvée: user_pref("extensions.snipit.askTbInstalled", true); 
Ligne trouvée: user_pref("extensions.snipit.chromeURL", "hxxp://toolbar.ask.com/toolbarv/askRedirect?o=10611&gct=&g... 
Ligne trouvée: user_pref("keyword.URL", "hxxp://www.cherche.us/Result.php?cx=partner-pub-0420647136319153%3A5n6ugpj... 
-- Fichier Fermé --
 

1,Clé trouvée: HKLM\Software\Classes\CLSID\{B922D405-6D13-4A2B-AE89-08A030DA4402}
1,Clé trouvée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{B922D405-6D13-4A2B-AE89-08A030DA4402}
1,Clé trouvée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{B922D405-6D13-4A2B-AE89-08A030DA4402}
1,Clé trouvée: HKLM\Software\Classes\CLSID\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé trouvée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé trouvée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé trouvée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
0,Clé trouvée: HKLM\Software\Classes\Toolbar.CT2504091
0,Clé trouvée: HKLM\Software\Application Updater
0,Clé trouvée: HKLM\Software\Conduit
0,Clé trouvée: HKLM\Software\pdfforge
0,Clé trouvée: HKLM\Software\PopCap
0,Clé trouvée: HKLM\Software\Search Settings
0,Clé trouvée: HKCU\Software\Conduit
0,Clé trouvée: HKCU\Software\Search Settings
0,Clé trouvée: HKCU\Software\AppDataLow\Software\Conduit
0,Clé trouvée: HKCU\Software\AppDataLow\Software\pdfforge
3,Clé trouvée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}
3,Clé trouvée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{CF739809-1C6C-47C0-85B9-569DBB141420}
3,Clé trouvée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{B922D405-6D13-4A2B-AE89-08A030DA4402}
0,Clé trouvée: HKCU\Software\Microsoft\Internet Explorer\LowRegistry\Search Settings
0,Clé trouvée: HKCU\Software\Microsoft\Internet Explorer\MenuExt\Recherche avec cherche.us

0,Valeur trouvée: HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks|{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
0,Valeur trouvée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{B922D405-6D13-4A2B-AE89-08A030DA4402}
0,Valeur trouvée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}


============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.6.8 (fr)] **

-- C:\Users\vista\AppData\Roaming\Mozilla\FireFox\Profiles\3qoju07k.default\Prefs.js --
browser.download.lastDir, C:\Users\vista\Desktop
browser.search.defaultenginename, Ask.com
browser.search.defaulturl, hxxp://www.fastbrowsersearch.com/results/results.aspx?s=DEF&v=19&q=
browser.search.selectedEngine, Google
browser.startup.homepage, hxxp://www.google.fr/
browser.startup.homepage_override.mstone, rv:1.9.2.8
keyword.URL, hxxp://www.cherche.us/Result.php?cx=partner-pub-0420647136319153%3A5n6ugpjrdrh&cof=GIMP%3ACCCCCC%3BT%3A0000...
privacy.popups.showBrowserMessage, false

========================================

** Internet Explorer Version [8.0.6001.18943] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.cherche.us
Default_Search_URL: hxxp://www.cherche.us/keyword/
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://www.cherche.us
Search Page: hxxp://www.cherche.us
Show_ToolBar: yes
Start Page: hxxp://www.cherche.us
Use Custom Search URL: 1

[HKLM\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://fr.fr.acer.yahoo.com
Default_Search_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Delete_Temp_Files_On_Exit: yes
Local Page: C:\Windows\System32\blank.htm
Search Page: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Start Page: hxxp://fr.fr.acer.yahoo.com

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 1 Fichier(s)

C:\Ad-Report-SCAN[1].txt - 31/08/2010 (6499 Octet(s)) 

Fin à: 15:37:32, 31/08/2010 
 
============== E.O.F ==============

supergeronimo44 · Answer

Ok, 

Peux-tu faire l'option "nettoyer" maintenant ?

As-tu lu le lien ?
=> https://forum.malekal.com/viewtopic.php?t=6173&start=

++

pucedu88 · Answer

Non je ne peux pas faire l'option nettoyer.

oui je l'ai lu ! C'est intéressant. Merci pour le lien

supergeronimo44 · Answer

Non je ne peux pas faire l'option nettoyer. 

Pourquoi, qu'est-ce qui ne marche pas ??

pucedu88 · Answer

C'est bon ça marche ! Mon ordinateur vient de redémarrer. 
L'option nettoyer était désactivée. J'ai fermé le logiciel et je l'ai rallumé et là ça a fonctionné.

supergeronimo44 · Answer

ok, cool ! 

Peux-tu me donner le rapport : C:\Ad-report-CLEAN.txt ?

++

pucedu88 · Answer

Voici le rapport :

======= RAPPORT D'AD-REMOVER 2.0.0.1,D | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 26/07/10 à 12:00
Contact: AdRemover.contact[AT]gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (SCAN [2]) -> Lancé à 16:24:08 le 31/08/2010, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium  Service Pack 2 (X86) 
vista@PC-DE-VISTA (Acer Aspire 5100) 
 
============== RECHERCHE ==============




============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.6.8 (fr)] **

-- C:\Users\vista\AppData\Roaming\Mozilla\FireFox\Profiles\3qoju07k.default\Prefs.js --
browser.download.lastDir, C:\Users\vista\Desktop
browser.search.selectedEngine, Google
browser.startup.homepage, hxxp://www.google.fr/
browser.startup.homepage_override.mstone, rv:1.9.2.8
privacy.popups.showBrowserMessage, false

========================================

** Internet Explorer Version [8.0.6001.18943] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Custom Search URL: 1

[HKLM\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\Windows\System32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 101 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 18 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 31/08/2010 (6720 Octet(s)) 
C:\Ad-Report-SCAN[1].txt - 31/08/2010 (6628 Octet(s)) 
C:\Ad-Report-SCAN[2].txt - 31/08/2010 (2302 Octet(s)) 

Fin à: 16:26:49, 31/08/2010 
 
============== E.O.F ==============

supergeronimo44 · Answer

Non, tu m'as donné le mauvais rapport,
C'est celui là qu'il me faut : 
C:\Ad-Report-CLEAN[1].txt

;-)

pucedu88 · Answer

======= RAPPORT D'AD-REMOVER 2.0.0.1,D | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 26/07/10 à 12:00
Contact: AdRemover.contact[AT]gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 16:04:13 le 31/08/2010, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium  Service Pack 2 (X86) 
vista@PC-DE-VISTA (Acer Aspire 5100) 
 
============== ACTION(S) ==============

Service: "Application Updater" Stoppé et supprimé 

0,Fichier supprimé: C:\Program Files\Mozilla FireFox\Components\AskSearch.js
0,Fichier supprimé: C:\Program Files\Mozilla FireFox\extensions\pdfforge@mybrowserbar.com
0,Fichier supprimé: C:\Program Files\Mozilla Firefox\extensions\searchsettings@spigot.com
0,Fichier supprimé: C:\Users\vista\AppData\Roaming\Mozilla\FireFox\Profiles\3qoju07k.default\searchplugins\askcom.xml
0,Fichier supprimé: C:\Users\vista\AppData\Roaming\Mozilla\FireFox\Profiles\3qoju07k.default\searchplugins\cherche.xml
0,Fichier supprimé: C:\Users\vista\scriptjava.html
0,Dossier supprimé: C:\Program Files\Application Updater
0,Dossier supprimé: C:\Users\vista\AppData\LocalLow\Conduit
0,Dossier supprimé: C:\Program Files\Conduit
0,Dossier supprimé: C:\Users\vista\AppData\Roaming\iWin
0,Dossier supprimé: C:\ProgramData\iWin
0,Dossier supprimé: C:\Users\vista\AppData\LocalLow\pdfforge
0,Dossier supprimé: C:\Program Files\pdfforge Toolbar
0,Dossier supprimé: C:\Users\vista\AppData\LocalLow\Search Settings
3,Fichier supprimé: C:\Windows\Installer\b7748f.msi  

(!) -- Fichiers temporaires supprimés.


-- Fichier ouvert: C:\Users\vista\AppData\Roaming\Mozilla\FireFox\Profiles\3qoju07k.default\Prefs.js --
Ligne supprimée: user_pref("CT2504091.SearchEngine", "Search||hxxp://search.conduit.com/Results.aspx?q=UCM_SEARCH_TER... 
Ligne supprimée: user_pref("CT2504091.SearchFromAddressBarUrl", "hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT250... 
Ligne supprimée: user_pref("browser.search.defaultengine", "Ask.com"); 
Ligne supprimée: user_pref("browser.search.defaultenginename", "Ask.com"); 
Ligne supprimée: user_pref("browser.search.defaulturl", "hxxp://www.fastbrowsersearch.com/results/results.aspx?s=DEF&... 
Ligne supprimée: user_pref("browser.search.order.1", "Ask.com"); 
Ligne supprimée: user_pref("extensions.snipit.askTbInstalled", true); 
Ligne supprimée: user_pref("extensions.snipit.chromeURL", "hxxp://toolbar.ask.com/toolbarv/askRedirect?o=10611&gct=&g... 
Ligne supprimée: user_pref("keyword.URL", "hxxp://www.cherche.us/Result.php?cx=partner-pub-0420647136319153%3A5n6ugpj... 
-- Fichier Fermé --
 

1,Clé supprimée: HKLM\Software\Classes\CLSID\{B922D405-6D13-4A2B-AE89-08A030DA4402}
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{B922D405-6D13-4A2B-AE89-08A030DA4402}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{B922D405-6D13-4A2B-AE89-08A030DA4402}
1,Clé supprimée: HKLM\Software\Classes\CLSID\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
0,Clé supprimée: HKLM\Software\Classes\Toolbar.CT2504091
0,Clé supprimée: HKLM\Software\Application Updater
0,Clé supprimée: HKLM\Software\Conduit
0,Clé supprimée: HKLM\Software\pdfforge
0,Clé supprimée: HKLM\Software\PopCap
0,Clé supprimée: HKLM\Software\Search Settings
0,Clé supprimée: HKCU\Software\Conduit
0,Clé supprimée: HKCU\Software\Search Settings
0,Clé supprimée: HKCU\Software\AppDataLow\Software\Conduit
0,Clé supprimée: HKCU\Software\AppDataLow\Software\pdfforge
3,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}
3,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{CF739809-1C6C-47C0-85B9-569DBB141420}
3,Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{B922D405-6D13-4A2B-AE89-08A030DA4402}
0,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\LowRegistry\Search Settings
0,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\MenuExt\Recherche avec cherche.us

0,Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks|{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
0,Valeur supprimée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{B922D405-6D13-4A2B-AE89-08A030DA4402}
0,Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}


============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.6.8 (fr)] **

-- C:\Users\vista\AppData\Roaming\Mozilla\FireFox\Profiles\3qoju07k.default\Prefs.js --
browser.download.lastDir, C:\Users\vista\Desktop
browser.search.selectedEngine, Google
browser.startup.homepage, hxxp://www.google.fr/
browser.startup.homepage_override.mstone, rv:1.9.2.8
privacy.popups.showBrowserMessage, false

========================================

** Internet Explorer Version [8.0.6001.18943] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Custom Search URL: 1

[HKLM\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\Windows\System32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 101 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 17 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 31/08/2010 (6534 Octet(s)) 
C:\Ad-Report-SCAN[1].txt - 31/08/2010 (6628 Octet(s)) 

Fin à: 16:07:03, 31/08/2010 
 
============== E.O.F ==============

supergeronimo44 · Answer

Ok, il a fait du bon boulot :)

Par contre, afin de mieux m'y retrouver car pas mal de choses ont été supprimées, pourrais-tu me refaire un rapport ZHPDiag... :)

cf => https://forums.commentcamarche.net/forum/affich-19036725-infester-par-3-chevaux-de-troie#1

Comment va le PC ?

pucedu88 · Answer

Voilà le rapport :

https://www.androidworld.fr/


Mon ordinateur fonctionne parfaitement !

supergeronimo44 · Answer

ok, je regarde, et te dis la suite des opération ;)

supergeronimo44 · Answer

* Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag)  
    * Clique sur l'icône représentant la lettre H (« coller les lignes Helper »)  
    * Copie/colle les lignes suivantes et place les dans ZHPFix :  

    ----------------------------------------------------------  
O15 - Trusted Zone: [HKCU\...\Domains] *.chat-land.org   
O15 - Trusted Zone: [HKCU\...\Domains\www] *.chat-land.org   
O42 - Logiciel: pdfforge Toolbar v1.1.2 - (.Spigot, Inc..) [HKLM] -- {5791B7D3-8B34-4218-9750-6A8E45D0AD32}       
O69 - SBI: SearchScopes [HKCU] {557C21FE-7274-410D-853E-9ED4471BF193} [DefaultScope] - (cherche.us) - http://www.cherche.usA%23FFFFF0%3B&q={searchTerms}  
O2 - BHO: (no name) - {1FD79A59-37B1-459B-9097-09F9FAB8A523} . (.Pas de propriétaire - Pas de description.) -- (.not file.)  
O4 - Global Startup: binternet.lnk . (.Pas de propriétaire - Pas de description.) -- C:\Users\vista\binternet0012.exe  
O2 - BHO: CDNSCacheObj Object - {376892AE-1825-4E5F-9F85-23F9640051CC} . (.Pas de propriétaire - Pas de description.) -- C:\Windows\XviDplg.dll    
C:\Windows\XviDplg.dll        
MBRFix  
HOSTFix  
    ----------------------------------------------------------  

    * Clique sur « Tous », puis sur « Nettoyer »  
    * Copie/colle la totalité du rapport dans ta prochaine réponse  

~~~~~~~~
à lire en entier :   

=> https://forum.malekal.com/viewtopic.php?t=22652&start=  

Où tu pourras te rendre compte de l'utilité de lire jusqu'au bout les "Licences, Disclaimer, conditions d'utilisation...avant de cliquer sur "j'accepte"....  

~~~~~~~~
De plus, je te déconseille vivement d'utiliser les jeux Zylom qui sont assez souvent accompagnés de spy/ad-wares...
=>Si tu es d'accord, on désinstallera tout ce qui touche à Zylom.
~~~~~~~~

j'attends donc le rapport ;)  

++  
*\ "L'important n'est pas le but, mais le chemin qui y mène" //*  
=>Vive Helper-Formation !<=

pucedu88 · Answer

J'ai un problème quand je fais nettoyer, il y a  une fenêtre qui s'affiche pour me demandé si je veux désinstaller les composants. J'accepte et après ça me met une fenêtre Windows Installer. Elle me dit que le composant que j'essaye d'utiliser se trouve une ressource réseau non disponible.

Je fais comment ?

supergeronimo44 · Answer

Tu annules dans ce cas-là, on va désinstaller Pdfforge autrement ;)

ça a marché pour le reste ?

pucedu88 · Answer

Oui apparemment ça a marché pour le reste.

Par contre il y a deux lignes où elles sont écrites en vert.

O2 - BHO: (no name) - {1FD79A59-37B1-459B-9097-09F9FAB8A523} . (.Pas de propriétaire - Pas de description.) -- (.not file.)  => Clé absente

O15 - Trusted Zone: [HKCU\...\Domains\www] *.chat-land.org  => Valeur absente

pucedu88 · Answer

par contre il y a deux lignes écrite en verte c'est normale ?

supergeronimo44 · Answer

=> Peux-tu me donner le rapport obtenu ?

supergeronimo44 · Answer

Oui, c'est rien de grave en tout cas, il faut juste que je voie le rapport :)

pucedu88 · Answer

Rapport de ZHPFix v1.12.3141 par Nicolas Coolman, Update du 27/08/2010
Fichier d'export Registre : C:\ZHPExportRegistry-31-08-2010-17-58-27.txt
Run by vista at 31/08/2010 17:58:27
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Module(s) mémoire ==========
C:\Windows\XviDplg.dll  => Supprimé et mis en quarantaine

========== Clé(s) du Registre ==========
O2 - BHO: (no name) - {1FD79A59-37B1-459B-9097-09F9FAB8A523} . (.Pas de propriétaire - Pas de description.) -- (.not file.)  => Clé absente
O2 - BHO: CDNSCacheObj Object - {376892AE-1825-4E5F-9F85-23F9640051CC} . (.Pas de propriétaire - Pas de description.) -- C:\Windows\XviDplg.dll  => Clé supprimée avec succès
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{376892AE-1825-4E5F-9F85-23F9640051CC}]  => Clé supprimée avec succès
[HKCR\CLSID\{376892AE-1825-4E5F-9F85-23F9640051CC}]  => Clé supprimée avec succès

========== Valeur(s) du Registre ==========
O15 - Trusted Zone: [HKCU\...\Domains\www] *.chat-land.org  => Valeur absente

========== Elément(s) de donnée du Registre ==========
O15 - Trusted Zone: [HKCU\...\Domains] *.chat-land.org  => Donnée supprimée avec succès
O69 - SBI: SearchScopes [HKCU] {557C21FE-7274-410D-853E-9ED4471BF193} [DefaultScope] - (cherche.us) - http://www.cherche.usA%23FFFFF0%3B&q={searchTerms}  => Donnée supprimée avec succès

========== Fichier(s) ==========
O4 - Global Startup: binternet.lnk . (.Pas de propriétaire - Pas de description.) -- C:\Users\vista\binternet0012.exe  => Supprimé et mis en quarantaine

========== Logiciel(s) ==========
O42 - Logiciel: pdfforge Toolbar v1.1.2 - (.Spigot, Inc..) [HKLM] -- {5791B7D3-8B34-4218-9750-6A8E45D0AD32}  => Logiciel supprimé avec succès

========== Fichier HOSTS ==========
127.0.0.1  => Domaine Supprimé
Le fichier Hosts est sain
Le fichier Hosts est sain

========== Master Boot Record ==========
Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll SCSIPORT.SYS SI3112.sys 
kernel: MBR read successfully
user & kernel MBR OK 
 

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll SCSIPORT.SYS SI3112.sys 
kernel: MBR read successfully
user & kernel MBR OK 
 



========== Récapitulatif ==========
1 : Module(s) mémoire
4 : Clé(s) du Registre
1 : Valeur(s) du Registre
2 : Elément(s) de donnée du Registre
1 : Fichier(s)
1 : Logiciel(s)
3 : Fichier HOSTS
1 :Master Boot Record


End of the scan

supergeronimo44 · Answer

Re- ! 

Ok, c'est cool, on avance vite et bien ;-)

Je suspecte une infection USB...
Cela signifie qu'un malware infecte tous les supports amovibles qui sont branchés sur ton ordinateur, supports amovibles qui vont à leur tour infecter les ordinateurs dans lesquels ils sont branchés, etc....
Pour ce faire, le malware créé un fichier .exe malicieux ( qui servira à infecter les PC et supports amovibles) dans chaque support amovible inséré, puis modifie le fichier autorun.inf . Ce fichier contient les instructions qui permettent l'exécution de telle ou telle action à l'ouverture du support amovible dans l'ordinateur. Du coup, il modifie ce fichier afin de lancer l'exécution du fichier malicieux à chaque ouverture du support amovible, ce qui va permettre d'infecter l'ordinateur...et la boucle est boulée :)

Pour t'en débarrasser, on va utiliser ce logiciel : 

    * Télécharge http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore le et désactive le temporairement.
    * Branche tes sources de données externes à ton PC (clé USB, disque dur externe, Ipod, téléphone portable, lecteur mp3/mp4 etc...) /!\sans les ouvrir/!\
    * Double clique sur le raccourci UsbFix sur ton Bureau, l'installation se fera automatiquement
    * Clique sur "Recherche"
    * Laisse travailler l'outil
    * A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

    Aide en images :  http://pagesperso-orange.fr/nostools/tuto_usbfix2.html 
Tutoriel "Recherche"

Un peu de lecture ( à lire sérieusement !! ) concernant ce genre d'infection : 
https://forum.malekal.com/viewtopic.php?t=16895&start=


++

pucedu88 · Answer

il faut brancher toutes mes clé usb, disque dur externe à la fois ?

pucedu88 · Answer

############################## | UsbFix 7.022 | [Recherche]

Utilisateur: vista (Administrateur) # PC-DE-VISTA [Acer Aspire 5100]
Mis à jour le 29/08/10 par El Desaparecido / C_XX
Lancé à 18:46:03 | 31/08/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: AMD Turion(tm) 64 Mobile Technology MK-36
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 32-Bit) # Service Pack 2
Internet Explorer 8.0.6001.18943

Pare-feu Windows: Activé
RAM -> 1917 Mo 
C:\ (%systemdrive%) -> Disque fixe # 67 Go (22 Go libre(s) - 33%) [ACER] # NTFS
D:\ -> Disque amovible # 2 Go (1 Go libre(s) - 61%) [] # FAT
E:\ -> CD-ROM
F:\ -> Disque fixe # 466 Go (364 Go libre(s) - 78%) [OneTouch4] # NTFS
G:\ -> Disque amovible # 2 Go (2 Go libre(s) - 83%) [] # FAT
H:\ -> Disque amovible # 4 Go (4 Go libre(s) - 100%) [] # FAT32

################## | Éléments infectieux |

Présent! G:\winamp_cache_0001.xml

################## | Registre |


################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\{a02b740a-af1a-11de-b3bd-0016d4660ad3}
Shell\AutoRun\Command = F:\HPQUNAPL.EXE


################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |

supergeronimo44 · Answer

Re- !  

désolé pour mon absence :s 

Oui, tu branches tout en même temps. 

   La procédure qui suit va permettre d'immuniser tes supports amovibles face  aux infections. En effet, cette manoeuvre va supprimer les fichiers infectieux de tes supports amovibles et créer un fichier autorun.inf insupprimable ( sauf avec un outil spécial). 
Le fichier autorun.inf est le fichier qui indique à Windows quoi faire à l'ouverture du support amovible : ouvrir le dossier, visionner les photos à l'intérieur, ne rien faire....En cas d'infection, ce fichier est modifié pour qu'à chaque ouverture du support amovible, un fichier infectieux se lance afin d'infecter l'ordinateur dans lequel est branché le support amovible. 
L'ordinateur ainsi infecté va contaminer tous les supports amovibles qui vont se brancher dessus, qui vont infecter les ordinateurs sur lesquels ils seront branchés, etc.... 
 * Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir 
    * Double clique sur le raccourci UsbFix sur ton Bureau 
    * Clique sur "Suppression" 
    * Laisse travailler l'outil 
    * Ton Bureau va disparaitre puis l'ordinateur va redémarrer : c'est normal 
    * A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

    :!: UsbFix te proposera d'envoyer un dossier compressé à https://www.ionos.fr/?affiliate_id=77097 cette adresse. Ce dossier a été créé par UsbFix sur ton Bureau. Merci de l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches. Une fois sur le site, il faut sélectionner "UsbFix" dans le menu déroulant. Merci d'avance pour ta contribution ! 

    Aide en images : http://pagesperso-orange.fr/nostools/tuto_usbfix3.html Tutoriel "Nettoyage"

Plus d'infos sur l'infection, à lire entièrement /!\ 
 => https://forum.malekal.com/viewtopic.php?t=16895&start=
=>https://forum.malekal.com/viewtopic.php?t=5544&start= http://forum.malekal.com/

~~~~~~~~ 

Ensuite, on va utiliser MBAM afin de faire un scan généraliste pour enlever toutes traces d'infections :  

   Télécharge 
https://www.androidworld.fr/

 Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement. 

   Fais la mise à jour du logiciel (elle se fait normalement à l'installation) 

 Lance une analyse complète en cliquant sur "Exécuter un examen complet" 

 Sélectionne les disques que tu veux analyser et clique sur "Lancer l'examen" 

 L'analyse peut durer un bon moment..... 

 Une fois l'analyse terminée, clique sur "OK" puis sur "Afficher les résultats" 

 Vérifie que tout est bien coché et clique sur "Supprimer la sélection" => et ensuite sur "OK" 
Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum 
 
    * Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Fais le en cliquant sur "oui" à la question posée 

~~~~~~~~ 

Edit : mise en forme refaite et balises apparentes supprimées :)

~~~~~~~~ 

=> j'attends le rapport  
>De MBAM 
>d'USBFix 

++ 
*\ "L'important n'est pas le but, mais le chemin qui y mène" //* 
=>Vive Helper-Formation !<=

pucedu88 · Answer

Voici le rapport de USBFix

############################## | UsbFix 7.022 | [Suppression]

Utilisateur: vista (Administrateur) # PC-DE-VISTA [Acer Aspire 5100]
Mis à jour le 29/08/10 par El Desaparecido / C_XX
Lancé à 20:30:01 | 31/08/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: AMD Turion(tm) 64 Mobile Technology MK-36
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 32-Bit) # Service Pack 2
Internet Explorer 8.0.6001.18943

Pare-feu Windows: Activé
RAM -> 1917 Mo 
C:\ (%systemdrive%) -> Disque fixe # 67 Go (22 Go libre(s) - 33%) [ACER] # NTFS
D:\ -> Disque amovible # 2 Go (1 Go libre(s) - 61%) [] # FAT
E:\ -> CD-ROM
F:\ -> Disque fixe # 466 Go (403 Go libre(s) - 87%) [OneTouch4] # NTFS
G:\ -> Disque amovible # 2 Go (2 Go libre(s) - 83%) [] # FAT
H:\ -> Disque amovible # 4 Go (4 Go libre(s) - 100%) [] # FAT32
I:\ -> Disque amovible # 4 Go (3 Go libre(s) - 93%) [] # FAT32

################## | Éléments infectieux |

Supprimé! G:\winamp_cache_0001.xml
Supprimé! I:\winamp_cache_0001.xml

################## | Registre |


################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{a02b740a-af1a-11de-b3bd-0016d4660ad3}

################## | Listing |

[31/08/2010 - 20:33:11 | SHDC ] 	C:\$RECYCLE.BIN
[31/08/2010 - 16:13:08 | AC | 104828] 	C:\aaw7boot.log
[30/09/2009 - 11:10:14 | DC ] 	C:\Acer
[30/09/2009 - 11:25:21 | DC ] 	C:\AcerSW
[31/08/2010 - 16:07:03 | AC | 6720] 	C:\Ad-Report-CLEAN[1].txt
[31/08/2010 - 15:37:32 | AC | 6628] 	C:\Ad-Report-SCAN[1].txt
[31/08/2010 - 16:26:49 | AC | 2431] 	C:\Ad-Report-SCAN[2].txt
[19/10/2009 - 12:25:11 | DC ] 	C:\ATI
[05/12/2006 - 23:34:41 | AC | 74] 	C:\autoexec.bat
[06/12/2006 - 06:58:34 | DC ] 	C:\Book
[20/10/2009 - 22:31:12 | SHDC ] 	C:\Boot
[11/04/2009 - 08:36:36 | RASH | 333257] 	C:\bootmgr
[06/12/2006 - 07:00:12 | RASC | 8192] 	C:\BOOTSECT.BAK
[27/05/2010 - 11:18:13 | DC ] 	C:\CIEL
[18/09/2006 - 23:43:37 | AC | 10] 	C:\config.sys
[02/11/2006 - 15:02:03 | SHD ] 	C:\Documents and Settings
[01/06/2010 - 18:49:19 | DC ] 	C:\Données Ciel
[06/12/2006 - 06:58:34 | DC ] 	C:\DRV
[21/12/2009 - 23:57:35 | DC ] 	C:\GW620
[09/01/2010 - 12:01:31 | RASHC | 0] 	C:\IO.SYS
[21/12/2009 - 16:38:21 | DC ] 	C:\LG_USB
[11/10/2009 - 17:55:31 | AC | 91] 	C:\MDisc.log
[11/10/2009 - 17:55:58 | AC | 91] 	C:\MDR.log
[09/01/2010 - 12:01:31 | RASHC | 0] 	C:\MSDOS.SYS
[02/10/2009 - 08:57:44 | RHDC ] 	C:\MSOCache
[05/12/2006 - 23:40:23 | DC ] 	C:\MyWorks
[31/08/2010 - 16:13:09 | ASH | 2325155840] 	C:\pagefile.sys
[19/10/2009 - 10:09:32 | DC ] 	C:\PerfLogs
[11/10/2009 - 17:56:21 | AC | 380] 	C:\PowerDV.log
[31/08/2010 - 16:06:50 | DC ] 	C:\Program Files
[31/08/2010 - 16:06:49 | HD ] 	C:\ProgramData
[05/12/2006 - 23:29:50 | AC | 284] 	C:\RHDSetup.log
[30/09/2009 - 11:47:39 | AC | 172] 	C:\Setup.log
[21/12/2009 - 15:12:49 | DC ] 	C:\Sounds
[31/08/2010 - 15:23:32 | SHD ] 	C:\System Volume Information
[05/12/2006 - 23:43:02 | AC | 0] 	C:\Trace.log
[29/07/2010 - 23:14:11 | DC ] 	C:\Ultisoft
[31/08/2010 - 20:33:11 | DC ] 	C:\UsbFix
[31/08/2010 - 20:30:02 | AC | 3129] 	C:\UsbFix.txt
[10/12/2009 - 16:54:45 | RD ] 	C:\Users
[30/08/2010 - 14:49:17 | D ] 	C:\Windows
[31/08/2010 - 17:58:25 | AC | 6496] 	C:\ZHPExportRegistry-31-08-2010-17-58-25.txt
[10/10/2005 - 10:10:10 | D ] 	D:\DCIM
[31/08/2010 - 20:33:11 | SHD ] 	F:\$RECYCLE.BIN
[15/03/2010 - 11:42:31 | D ] 	F:\Documents
[15/03/2010 - 11:43:00 | D ] 	F:\Média
[12/03/2008 - 17:15:12 | D ] 	F:
e pas toucher
[23/06/2010 - 16:04:27 | D ] 	F:\Programmes
[31/08/2010 - 18:46:52 | SHD ] 	F:\RECYCLER
[01/04/2009 - 21:57:17 | SHD ] 	F:\System Volume Information
[28/03/2008 - 14:55:38 | D ] 	G:\VirtualExpander_WW
[21/10/2008 - 21:10:24 | A | 296] 	G:\WMPInfo.xml
[23/10/2008 - 21:58:58 | D ] 	G:\Divers
[23/10/2008 - 22:02:22 | D ] 	G:\Cours
[23/10/2009 - 15:20:34 | D ] 	G:\ACTIONS
[15/03/2010 - 20:47:32 | A | 73] 	G:\pmp_usb.ini
[29/06/2010 - 15:19:20 | A | 34534] 	H:\cv.pdf
[30/03/2009 - 12:17:36 | A | 428821] 	H:\Ex_lettre_motivation.rtf
[09/09/2009 - 21:13:16 | A | 31232] 	H:\Lettre de motivation.doc
[09/09/2009 - 21:15:36 | A | 29184] 	H:\Lettre de motivation 2.doc
[20/08/2009 - 13:56:54 | A | 422804] 	H:\photo d'identité.jpg
[05/07/2010 - 16:57:44 | A | 52768] 	H:\cv.rtf
[26/07/2010 - 17:53:10 | D ] 	I:\DCIM
[03/07/2010 - 20:59:08 | D ] 	I:\videos
[14/05/2010 - 21:26:14 | A | 73] 	I:\pmp_usb.ini
[22/05/2010 - 16:46:58 | D ] 	I:\.face
[31/07/2010 - 17:53:30 | D ] 	I:\images
[25/12/2009 - 16:32:34 | D ] 	I:\SoundRecorder
[04/01/2009 - 06:21:18 | D ] 	I:\albumthumbs
[05/01/2010 - 19:25:10 | D ] 	I:	mp
[09/01/2010 - 19:12:58 | D ] 	I:\media
[09/01/2010 - 19:30:22 | D ] 	I:\MathsWorkout
[03/08/2010 - 13:14:32 | D ] 	I:\download
[31/03/2010 - 16:30:34 | D ] 	I:\HeroCraft
[22/05/2010 - 09:41:48 | D ] 	I:\backup
[29/01/2010 - 23:09:48 | A | 272] 	I:obo_defense_free.bak
[08/03/2010 - 11:51:50 | A | 296] 	I:\WMPInfo.xml
[08/03/2010 - 18:00:40 | D ] 	I:\Music

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
F:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
G:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
H:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
I:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_PC-DE-VISTA.zip
https://www.ionos.fr/?affiliate_id=77097
Merci de votre contribution.

################## | E.O.F |

pucedu88 · Answer

voici le rapport mbam :

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4517

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18943

31/08/2010 22:10:44
mbam-log-2010-08-31 (22-10-44).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 246478
Temps écoulé: 1 heure(s), 17 minute(s), 40 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 3
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\dnscache.dnscacheobj (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\dnscache.dnscacheobj.1 (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{376892ae-1825-4e5f-9f85-23f9640051cc} (Trojan.BHO) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Program Files\Ad-Remover\Quarantine\C\Program Files\pdfforge Toolbar\WidgiHelper.exe.vir (Adware.WidgiToolbar) -> Quarantined and deleted successfully.
C:\Program Files\Ad-Remover\Quarantine\C\Program Files\pdfforge Toolbar\FF\components\pdfforgeToolbarFF.dll.vir (Adware.WidgiToolbar) -> Quarantined and deleted successfully.

supergeronimo44 · Answer

Salut ! 

Ok, c'est bon pour ce qui est des infections. 
On va maintenant passer à la sécurisation de ton PC, et pour cela, mets à jour

1/* Java :
télécharges le fichier à cette adresse => https://www.java.com/fr/
Va dans Ajout/suppression de programmes, et désinstalle le programme dénommé java
Exécute ensuite le fichier téléchargé et installe-le.
=>N'installe pas la yahoo toolbar proposée lors de l'installation /!\



2/*Adobe Reader :
lancer Adobe Reader (C:\Program Files\Adobe\Reader 9.0\Reader\AcroRd32.exe),  cliquer sur "Aide" puis sur "Rechercher les mises à jour" jusqu'à ce qu'il ne trouve plus de mises à jour.
Comme toujours, même si cette version 9.3.4 corrige les dernières vulnérabilités, il est certain que d'autres vulnérabilités seront découvertes à l'avenir (plus d'infos sur le processus d'infection à l'aide d'un PDF=>http://www.zataz.com/alerte-securite/19825/faille-exploit-adobe-vulnerability-0day.html

Pour diminuer les risques, il est préférable de désactiver l'interprétation du Javascript dans Adobe Reader sur votre ordinateur, car c'est inutile de le laisser activé : 

* Lancez Adobe Reader
* Cliquez sur Édition --> Préférences --> JavaScript
* Décochez "Activer Acrobat JavaScript"
* Validez


NOTE : Si vous préférez utiliser un équivalent d'Adobe Reader, je vous conseille vraiment d'éviter Foxit Reader et d'adopter un lecteur de PDF libre (je te conseille vraiment l'excellent Sumatra PDF que j'utilise personnellement=>https://www.commentcamarche.net/telecharger/bureautique/21259-sumatra-pdf/ Ils sont plus légers et plus sécuritaires car beaucoup moins visés par les failles de sécurité.
Si tu préfères installer ce logiciel, ce que je te conseille vraiment, désinstalle Adobe Reader ( via ajout/suppression de programmes)


3/*Windows Vista
=>Suis ce tutoriel pour mettre les mise à jour automatiques :https://www.malekal.com/mises-a-jour-windows-update/ 

4/*Le lecteur flash : 

Dans Ajout/suppression de programmes, désinstalle les programmes suivants : 

Adobe Flash Player XX plugIn 
Adobe Flash Player XX ActiveX

Ensuite, télécharge la nouvelle version des deux programmes à cette adresse : 

Adobe Flash Player XX ActiveX : 
http://www.filehippo.com/download_flashplayer_ie/download/8e40ea730dc2a90c835d2a42f7bdc157/

Adobe Flash Player XX plugIn :
http://www.filehippo.com/download_flashplayer_firefox/download/30d4cf1504cb19e855e13cd5edae32ff/

~~~~~~~~
Il est aussi important de mettre à jour ses logiciels ainsi que son système d'exploitation.... Je te donne de la lecture ( c'est très important !! ) afin que tu puisses te rendre compte de toi-même de l'importance des mises à jour : 

Pourquoi mettre à jour....
*Java & Flash Player ? => https://www.malekal.com/maintenir-java-adobe-reader-et-le-player-flash-a-jour/
*Adobe Reader ?=> https://forum.malekal.com/viewtopic.php?t=15065&start=
*Internet explorer ? => https://forum.malekal.com/viewtopic.php?t=12405&start= (les versions ne sont pas les même, mais les conséquences sont identiques)
*Windows Vista ?=> https://www.malekal.com/mises-a-jour-windows-update/

~~~~~~~~

Une fois avoir fait tout cela, je te conseille de désinstaller Ad-Aware, car il est complètement obsolète aujourd'hui. Je te conseille de garder MBAM à la place, vraiment efficace contre les Malwares.

~~~~~~~~
Le lecteur multimédia VLC n'est pas à jour lui non plus....c'est moins grave, mais autant avoir tous ses logiciels à jour :)
Désinstalle-donc VLC dans Ajout/suppression de programmes, puis télécharges la nouvelle version à partir de ce lien : 
https://filehippo.com/android/download_vlc/

~~~~~~~~


=>D'autre part, je te conseille également de désinstaller la toolbar Yahoo! qui est loin d'être indispensable.
Je te conseille donc de la désinstaller via Ajout/suppression de programmes
=>Je te conseille également de te méfier vis à vis des jeux gratuits & payants proposés sur le site Zylom, car tu a de grandes chances de te refaire infecter par des spywares comme ceux que l'on a supprimé ....
Je te conseille donc de désinstaller tout ce qui se rapporte à Zylom via "Ajout/suppression de programmes"

~~~~~~~~

Ensuite, on va passer à l'optimisation de ton PC afin qu'il soit un peu plus rapide : 

Ce qui suit va désactiver les logiciels qui se lancent au démarrage de la session, logiciels inutiles à ce moment là, et qui ne font que ralentir le PC.

    * Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag)
    * Clique sur l'icône représentant la lettre H (« coller les lignes Helper »)
    * Copie/colle les lignes suivantes et place les dans ZHPFix :

    ----------------------------------------------------------


R3 - URLSearchHook: Microsoft Url Search Hook - {EF99BD32-C1FB-11D2-892F-0090271D4F88} . (.Pas de propriétaire - Pas de description.) (No version) -- (.not file.)     
O2 - BHO: (no name) - {1FD79A59-37B1-459B-9097-09F9FAB8A523} . (.Pas de propriétaire - Pas de description.) -- (.not file.) 
OPT:O4 - HKLM\..\Run: [SetPanel]
OPT:O4 - HKLM\..\Run: [eRecoveryService] 
OPT:O4 - HKLM\..\Run: [Amazing3DAquariumWallpaper]
OPT:O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe    OPT:O4 - HKLM\..\Run: [Adobe ARM] . (.Adobe Systems Incorporated - Adobe Reader and Acrobat Manager.) -- C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe 
OPT:O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\QTTask.exe     
OPT:O4 - HKCU\..\Run: [EleFunAnimatedWallpaper]
OPT:O4 - HKUS\S-1-5-21-21476454-1186409403-170481542-1000\..\Run: [EleFunAnimatedWallpaper]



    ----------------------------------------------------------

    * Clique sur « Tous », puis sur « Nettoyer »
    * Copie/colle la totalité du rapport dans ta prochaine réponse

~~~~~~~~
Ensuite, passe un coup de Ccleaner :

 lance le.
    *Clique sur Options=>Avancé=>décoche toutes les cases, sauf celle de tout en bas "activer la jump....."
    * Clique sur Nettoyeur ? Lancer le nettoyage, puis sur OK dans la fenêtre qui s'affiche.
    * Enfin, clique sur Registre ? corrige toutes les erreurs et recommence jusqu'à ce que CCleaner ne trouve plus d'erreurs.

  Je te conseille de garder ce programme et de l'utiliser régulièrement (une fois par mois).

~~~~~~~~

J'attends donc la confirmation que tout s'est déroulé correctement, ainsi que le rapport de ZHPFix.

++

pucedu88 · Answer

Voici le rapport :  

Rapport de ZHPFix v1.12.3141 par Nicolas Coolman, Update du 27/08/2010 
Fichier d'export Registre : C:\ZHPExportRegistry-01-09-2010-14-51-21.txt 
Run by vista at 01/09/2010 14:51:21 
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html 
Contact : nicolascoolman@yahoo.fr 

========== Clé(s) du Registre ========== 
[HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{EF99BD32-C1FB-11D2-892F-0090271D4F88}]  => Clé supprimée avec succès 
[HKCR\CLSID\{EF99BD32-C1FB-11D2-892F-0090271D4F88}]  => Clé supprimée avec succès 
O2 - BHO: (no name) - {1FD79A59-37B1-459B-9097-09F9FAB8A523} . (.Pas de propriétaire - Pas de description.) -- (.not file.)  => Clé absente 

========== Valeur(s) du Registre ========== 
R3 - URLSearchHook: Microsoft Url Search Hook - {EF99BD32-C1FB-11D2-892F-0090271D4F88} . (.Pas de propriétaire - Pas de description.) (No version) -- (.not file.)  => Valeur supprimée avec succès 
O4 - HKLM\..\Run: [SetPanel]  => Valeur supprimée avec succès 
O4 - HKLM\..\Run: [eRecoveryService]  => Valeur supprimée avec succès 
O4 - HKLM\..\Run: [Amazing3DAquariumWallpaper]  => Valeur supprimée avec succès 
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe OPT:O4 - HKLM\..\Run: [Adobe ARM] . (.Adobe Systems Incorporated - Adobe Reader an  => Valeur absente 
O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\QTTask.exe  => Valeur supprimée avec succès 
O4 - HKCU\..\Run: [EleFunAnimatedWallpaper]  => Valeur supprimée avec succès 
O4 - HKUS\S-1-5-21-21476454-1186409403-170481542-1000\..\Run: [EleFunAnimatedWallpaper]  => Valeur absente 


========== Récapitulatif ========== 
3 : Clé(s) du Registre 
8 : Valeur(s) du Registre 


End of the scan

supergeronimo44 · Answer

Re- ! 

Ok, ça a pas l'air mal ;)


As-tu fait toutes les instructions de mon message précédent ?

Si oui, est-ce que le PC est stable et fonctionne impeccablement ?

++

pucedu88 · Answer

Oui j'ai fais tout ce que tu m'a demandé ! J'ai viré tous les jeux zylom et même acrobat reader.

oui il est stable. Je ne sais pas si c'est grâce à ce nettoyage mais mon ordinateur ne me fait plus d'écran bleu.

supergeronimo44 · Answer

Re- ! 

Ok, cool !! 

On va donc maintenant supprimer tous les outils que je t'ai fait utilisé pour arriver à nos fins : 

    Sous VISTA & SEVEN

    ==> Désactive https://www.androidworld.fr/ le contrôle des comptes utilisateurs  (tu le réactiveras après ta désinfection):

    * Va dans démarrer puis panneau de configuration
    * Double Clique sur l'icône "Comptes d'utilisateurs"
    * Clique ensuite sur désactiver et valide.

    ---------------------------------------------------------------------------------

 Télécharge  http://pc-system.fr/  Toolscleaner sur ton Bureau 

    Double-clique sur ToolsCleaner2.exe et laisse le travailler

   Clique sur Recherche et laisse le scan se terminer.

 Clique sur Suppression pour finaliser.

 Tu peux, si tu le souhaites, te servir des Options facultatives.

 Clique sur Quitter, pour que le rapport puisse se créer.

 Le rapport (TCleaner.txt) se trouve à la racine de votre disque dur (C:\)...colle le dans ta prochaine réponse

~~~~~~~~
On va purger la restauration système afin de te rendre un PC propre.


/!\Si ton PC n'est pas complètement stable ou si il a quelques problèmes ( mêmes mineurs) ne fais pas ce qui suit, mais dis moi ce qui cloche /!\

Suis ce lien afin de purger la restauration système : 

Tutoriel => https://www.androidworld.fr/#Explication

Tu peux ensuite passer un coup de Ccleaner ( registre + Nettoyage)..

J'attends donc le rapport ToolsCleaner ;)

C'est presque fini, courage !!

pucedu88 · Answer

Pour les écrans bleus, je pense qu'il me faisait ça parce qu'il chauffait de trop. J'ai fais des recherches sur le modèle de mon ordinateur. C'est un ACER Aspire 5100 et j'ai remarqué beaucoup de personne avait le même problème que moi. Apparemment ACER a mis un processeur qui chauffe beaucoup dans mon ordinateur portable. Du coup mon PC chauffe de trop.

supergeronimo44 · Answer

Arf, c'est pas de chance ça ! :S

=> As-tu fait Toolscleaner ?
Si oui, je veux bien le rapport :)

=> As-tu purgé la restauration système ?

++

pucedu88 · Answer

Voici le rapport :

[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

--> Recherche: 

C:\UsbFix.txt: trouvé !
C:\UsbFix: trouvé !
C:\Program Files\Ad-remover: trouvé !
C:\Program Files\ZHPDiag: trouvé !
C:\Program Files\Ad-Remover\Backup\Ad-R.exe: trouvé !
C:\Program Files\ZHPDiag\ZHPdiag.exe: trouvé !
C:\Program Files\ZHPDiag\catchme.exe: trouvé !
C:\Program Files\ZHPDiag\mbr.log: trouvé !
C:\Program Files\ZHPDiag\mbr.exe: trouvé !
C:\UsbFix\UsbFix.exe: trouvé !
C:\Users\vista\Downloads\ZHPdiag.exe: trouvé !
C:\Users\vista\Downloads\UsbFix.exe: trouvé !

---------------------------------
--> Suppression: 

C:\Program Files\Ad-Remover\Backup\Ad-R.exe: supprimé !
C:\Program Files\ZHPDiag\ZHPdiag.exe: supprimé !
C:\Program Files\ZHPDiag\catchme.exe: supprimé !
C:\Users\vista\Downloads\ZHPdiag.exe: supprimé !
C:\UsbFix.txt: supprimé !
C:\Program Files\ZHPDiag\mbr.log: supprimé !
C:\Program Files\ZHPDiag\mbr.exe: supprimé !
C:\UsbFix\UsbFix.exe: supprimé !
C:\Users\vista\Downloads\UsbFix.exe: supprimé !
C:\UsbFix: supprimé !
C:\Program Files\Ad-remover: supprimé !
C:\Program Files\ZHPDiag: supprimé !

pucedu88 · Answer

Voilà j'ai purgé l'ordinateur. 
Oui je n'ai pas eu de chance ! En plus je n'avais pas pris un ordinateur premier prix. Il a coûté 700 euros et il a commencé à me faire un écran bleu lorsque la garantie étais finie !

supergeronimo44 · Answer

Re- ! Ok, tu peux supprimer toolscleaner2.exe de ton bureau. =>As-tu fait la purge ?? J'allais oublier :S : Afin de sécuriser ta navigation avec Firefox, il existe quelques extensions bien pratiques, les 3 addons suivants : WOT => cette extension te permet d'afficher la notation de chaque site web visité par les internautes. Ceci te permettra donc d'éviter d'aller sur des sites de rogues ou d'exploits..(plus d'infos =>http://supergeronimo44lesite.wifeo.com/index-fiche-20153.html Adblock + => cette extension te permet de supprimer des bannières publicitaires sur les sites web que tu choisis, et limite aussi les pop-up. Ceci te permet d'éviter les infections via un clic sur des bannières néfastes..tutoriel pour Adblock + =>https://aldiansblog.wordpress.com/2008/11/10/bloquer-la-pub-avec-lextension-adblock/ Dr Web=> Il te permettra de scanner tout lien hypertexte actif avec DrWeb antivirus via un simple clic droit. Très pratique pour vérifier le contenu d'un site web. => Tutoriel pour Dr web ici :https://www.androidworld.fr/ ~~~~~~~~ Voici aussi un petit logiciel très pratique qui te permettra de mettre à jour tes programmes plus facilement : * Télécharge Update Checker => http://www.filehippo.com/updatechecker/FHSetup.exe * Installe le avec les paramètres par défaut en cliquant chaque fois sur Suivant. * Une fois installé, patiente quelques secondes et tu verras apparaître une icône verte dans ta barre des tâches te signalant qu'il y a des mises à jour disponibles. * Double-cliques sur l'icône pour être redirigé sur le site de téléchargement des mises à jour. * Un conseil : n'installe pas les BETA qui sont listées en dessous. :D * Tu installes les mises à jour que tu désires, les plus importantes sont : - Java - Adobe Flash Player - Internet explorer Je te conseille donc d'utiliser Update checker une fois par semaine environ, et d'installer les mise à jour qu'il te trouve. :!: Note : Pour * Java * Adobe Reader * Flash player , il est impératif de désinstaller les versions présentes sur l'ordinateur avant de télécharger la nouvelle version afin d'être complètement à l'abri des failles de sécurité existantes :!: ~~~~~~~~ ==informations importantes== Tu as pu te rendre compte que les pirates utilisent de nombreux moyens afin d'arriver à infecter le plus de personnes possibles...Ces moyens passent en majorité par l'appât du gratuit : le P2P et les logiciels "gratuits". Les logiciels "gratuits" sont très souvent accompagnés de sponsors plus ou moins limite au niveau de la confidentialité des données personnelles. En effet, il faut bien que le logiciel "gratuit" ramène un peu de bénéfices, c'est pourquoi il y a des sponsors ( Ask, Yahoo!, Conduit, MyWebsearch....) qui payent afin d'être installés avec le logiciel gratuit et de récupérer des données persos.. En gratuit on peut aussi parler des publicités et bannières de pub envahissantes... Il faut donc réfléchir avant de cliquer sur ces bannières. =>Il est donc très important de lire les conditions d'utilisation et les logiciels proposés en compléments et de ne pas cliquer sur "suivant" puis "installer" sans se renseigner auparavant sur le logiciel qu'on installe/!\ D'autre part, le P2P est un facteur majeur dans la prolifération des infections : Virut, Bagle, trojans divers et variés.... L'internaute croyant télécharger un crack lance en fait un fichier infecté qui va contaminer tout le système (ainsi que les supports amovibles)...Sur de plus en plus de forums, les internautes infectés suite à l'exécution d'un crack/keygen, etc.. néfaste ne sont plus du tout pris en charge.. En plus d'être illégal, le P2P est extrêmement dangereux ( et je pèse mes mots), je te conseille donc de désinstaller Azureus et tous les logiciels en rapport avec le P2P, car le jour où tu sera infecté par Virut, on ne pourra vraiment rien faire pour toi.... Cependant, je ne peux pas te forcer à le faire, c'est à toi de choisir. Du coup, prudence sur internet !! Je te donne un peu de lecture et de vidéos pour terminer cette désinfection. C'est très important de tout lire, et de poser des questions ici si tu en as à propos de ces lectures et vidéos, à lire jusqu'au bout et à diffuser à ses contacts !! => https://forum.malekal.com/viewtopic.php?t=5544&start=Le danger des supports amovibles Le danger des supports amovibles..... je pense que tu as compris comment l'infection fonctionnait.. Du coup, sache qu'il faut vraiment faire attention à toutes ses clés USB que l'on trimballe et insère dans n'importe quel PC... car les infections se propagent très vite par ce système. Cependant, les supports amovibles que l'on a vacciné sont immunisés. => https://www.malekal.com/projet-antimalware-2/ Le projet anti-malware : Le projet anti-malware, à lire jusqu'au bout : tu y trouveras pleins d'astuces et d'explication sur le comment se protéger des infections en tout genre. Tu peux aussi transmettre le lien à tes contacts, ça serait sympa :) => http://supergeronimo44lesite.wifeo.com/internet-liberte-.php la loi Hadopi et autres équivalents ( Acta....) Ben.... les lois en tout genres qui n'ont qu'un seul but: imposer un contrôle à Internet sous les prétextes du P2P.. Si tu n'as pas regardé l'envoyé spécial sur France 2 parlant de la loi HADOPI, voici les vidéos parlant de cette loi : ( cependant, le site bug en ce moment, il y a un problème au niveau des serveurs de Wifeo..) => http://supergeronimo44lesite.wifeo.com/videos.php#Hadopi <= Si tu n'as pas regardé l'envoyé spécial diffusé sur France2, voici les vidéos parlant des hackers : => http://supergeronimo44lesite.wifeo.com/videos.php#Hackers <= ~~~~~~~~ Voilà, pour moi, c'est tout bon. Si tu as des questions à poser, n'hésite surtout pas, je suis là pour ça aussi et je te répondrais le plus rapidement possible. A+ !

pucedu88 · Answer

Je peux réactiver le contrôle du compte utilisateur ? Si j'ai d'autre problème je te contact sur comment ça marche ?

supergeronimo44 · Answer

Oui, tu peux réactiver l'UAC ;-) 

Si tu veux, je serais là pour t'aider si tu as besoin ;). 

je mets le sujet en résolu ?

++
*\ "L'important n'est pas le but, mais le chemin qui y mène" //* 
=>Vive Helper-Formation !<=

Infester par 3 chevaux de troie - Page 3

Discussions similaires

Newsletters