VIRUS : SECURITY TOOL

Bonjour,

[x] Suis la procédure jusqu'au bout. Même si le PC semble aller mieux, ce n'est pas pour autant qu'il est totalement désinfecté !

[x] Si tu as des difficultés pour effectuer une procédure ou bien une simple question, n'hésite pas à me demander.

-+-+-+-+-> ZHPDiag <-+-+-+-+-

[x] Nous allons effectuer un diagnostic de ton ordinateur, pour ce faire, télécharge ZHPDiag ( de Nicolas Coolman ).

[x] Exécute l'installateur -> /!\ Coche la case " créer une icône sur le bureau " /!\

[x] Lance le en double cliquant sur l'icône ZHPDiag qui se trouve sur ton bureau ( Sous Vista/Seven : Clic droit sur l'icône -> " Exécuter en tant qu'administrateur " )

[x] Clique sur l'icône en forme de loupe en haut à gauche ( Lancer le diagnostic ).

[x] Une fois l'analyse terminée, clique sur l'icône en forme de disquette bleue puis sauvegarde le fichier sur ton bureau.

[x] Rend toi sur cjoint puis clique sur " Parcourir ".

[x] Sélectionne le fichier ZHPDiag.txt présent sur ton bureau, puis clique sur " Ouvrir ".

[x] Clique ensuite sur " Créer le lien cjoint " puis copie/colle dans ta prochaine réponse le lien créé.

Le soucis est que je ne peux même pas lancer ZHPDiag ! Security Tool m'annonce:

ZHPDiag.exe infectéWorm.Win32.agobot.a. Ce virus "ver" essaie envoyer les données de Votre carte de crédit utilisantZHPDiag.exe pour brancher un hote éloigné.

Redémarre ton PC en mode sans échec avec prise en charge réseau puis suis les instructions précédentes ;-)

Et comment fait-on pour redemarrer mon PC en mode sans échec (je suis sous windows 7) ? Et pourrais-je continuer à me connecter sur internet pour suivre les instructions ?

Regarde ici -> https://www.commentcamarche.net/informatique/windows/113-demarrer-windows-10-en-mode-sans-echec/

( Et oui, comme son nom l'indique, le mode sans échec avec prise en charge réseau te permet d'accéder à internet )

Je vais sans doute passer pour une cruche, mais je ne trouve vraiment pas l'option "lancer le diagnostic" dans ZHP...

Voila le résultat : https://www.cjoint.com/?jzttPY0gWe

Vu.

Tu es bien infecté par security tool. On va s'en débarrasser :

-+-+-+-+-> ZHPFix <-+-+-+-+-

/!\ Utilisateurs de vista/7 , cette manipulation est à effectuer en tant qu'administrateur ( Clic droit -> [Exécuter en tant qu'administrateur] ) /!\

[x] Copie le texte en gras ci-dessous ( CTRL + C pour copier )


O4 - HKCU\..\RunOnce: [295866825] . (.Pas de propri?taire - Pas de description.) -- C:\Users\Marine\AppData\Local\295866825.exe
O4 - HKUS\S-1-5-21-2617828284-3794730503-2547943610-1000\..\RunOnce: [295866825] . (.Pas de propri?taire - Pas de description.) -- C:\Users\Marine\AppData\Local\295866825.exe
M2 - MFEP: prefs.js [Marine - adxhvl2y.default\{7b13ec3e-999a-4b70-b9cb-2617b8323822}] [] Zynga Toolbar 2.7.1.3 (.Conduit Ltd..)
O69 - SBI: prefs.js [Marine - adxhvl2y.default] user_pref("CT2438727.SearchEngine", "Search||https://www.bing.com/search?q=UCM_SEARCH_TERM&pc=cosp&ptag=G6C999A66979CC674&form=CONORG&conlogo=CT3210127
O69 - SBI: prefs.js [Marine - adxhvl2y.default] user_pref("CT2438727.SearchFromAddressBarUrl", "http://search.conduit.com/ResultsExt.aspx?ctid=CT2438727&q=");


[x] Lance ZHPFix qui est présent sur ton bureau.

[x] Clique sur le "H" bleu ( Coller les lignes Helper )

[x] Les lignes précédemment copiées apparaîtront à l'écran dans l'encadré jaune pâle.

[x] Vérifie que seules les lignes indiquées plus haut sont présentes puis clique sur [Ok]

[x] Clique maintenant sur [Tous] , puis sur [Nettoyer]

[x] Copie/Colle le contenu du rapport à l'écran dans ton prochain message.

[x] Note : le rapport se trouve également sous C:\Program Files\ZHPDiag\ZHPFixReport.txt

Rapport de ZHPFix 1.12.32 par Nicolas Coolman, Update du 25/09/2010
Fichier d'export Registre : C:\ZHPExportRegistry-25-09-2010-20-40-01.txt
Run by Marine at 25/09/2010 20:39:48
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Valeur(s) du Registre ==========
O4 - HKCU\..\RunOnce: [295866825] . (.Pas de propri?taire - Pas de description.) -- C:\Users\Marine\AppData\Local\295866825.exe => Valeur absente
O4 - HKUS\S-1-5-21-2617828284-3794730503-2547943610-1000\..\RunOnce: [295866825] . (.Pas de propri?taire - Pas de description.) -- C:\Users\Marine\AppData\Local\295866825.exe => Valeur absente

========== Préférences navigateur ==========
/*user_pref("CT2438727.SearchEngine", "Search||https://www.bing.com/search?q=UCM_SEARCH_TERM&pc=cosp&ptag=G6C999A66979CC674&form=CONTLB&conlogo=CT3210127");*/ => Valeur supprimée avec succès
/*user_pref("CT2438727.SearchFromAddressBarUrl", "http://search.conduit.com/ResultsExt.aspx?ctid=CT2438727&q=");*/ => Valeur supprimée avec succès
/*/*user_pref("CT2438727.SearchEngine", "Search||https://www.bing.com/search?q=UCM_SEARCH_TERM&pc=cosp&ptag=G6C999A66979CC674&form=CONTLB&conlogo=CT3210127");*/*/ => Valeur supprimée avec succès
/*/*user_pref("CT2438727.SearchFromAddressBarUrl", "http://search.conduit.com/ResultsExt.aspx?ctid=CT2438727&q=");*/*/ => Valeur supprimée avec succès

========== Dossier(s) ==========
C:\Documents and Settings\Marine\Application Data\Mozilla\Firefox\Profiles\adxhvl2y.default\extensions\{7b13ec3e-999a-4b70-b9cb-2617b8323822} => Fichier supprimé au reboot

========== Fichier(s) ==========
c:\users\marine\appdata\local\295866825.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
2 : Valeur(s) du Registre
1 : Dossier(s)
1 : Fichier(s)
4 : Préférences navigateur

End of the scan

Faut-il que je redémarre mon PC, comme ZHP me le demande, en mode sans échec ?

Re-bonsoir,

La désinfection n'est pas tout à fait fini :)

Une fois le scan de ton antivirus terminé, fais ceci :

-+-+-+-+-> Malwarebytes' Anti-Malware <-+-+-+-+-

[x] Télécharge Malwarebytes' Anti-malware sur ton bureau.

[x] Installe le en laissant les options par défaut ( Cocher seulement " Créer une icône sur le bureau " )

[x] A la fin de l'installation, MBAM se mettra à jour automatiquement puis s'exécutera.

[x] Une fois lancé, clique sur " Exécuter un examen complet " puis sur " Rechercher "

[x] Sélectionne tout tes disques locaux et amovibles.

[x] Patiente pendant toute la durée du scan, puis clique sur " Ok " une fois l'analyse effectuée.

[x] Clique ensuite sur " Afficher les résultats " puis sur " Supprimer la sélection ". Valide ensuite par " Ok ".

[x] MBAM ouvrira un rapport, copie/colle son contenu dans ta prochaine réponse.

[x] Tu peux ensuite vider la quarantaine de MBAM.

[x] Note : MBAM t'invitera peut être à redémarrer ton PC, fais le. Le rapport se trouve dans la partie " Rapports/Logs " de MBAM.

[x] Si tu as des soucis, un tutoriel est disponible à cette adresse.

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4694

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

26/09/2010 00:25:32
mbam-log-2010-09-26 (00-25-32).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|)
Elément(s) analysé(s): 292794
Temps écoulé: 43 minute(s), 25 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Users\Marine\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Security Tool.LNK (Rogue.SecurityTool) -> Quarantined and deleted successfully.

Ok. Refais un rapport ZHPDiag et ensuite on pourra finaliser la désinfection :)

https://www.cjoint.com/?jAp2Ceuhwh

Bonsoir, il y a encore quelques résidus :

-+-+-+-+-> ZHPFix <-+-+-+-+-

/!\ Utilisateurs de vista/7 , cette manipulation est à effectuer en tant qu'administrateur ( Clic droit -> [Exécuter en tant qu'administrateur] ) /!\

[x] Copie le texte en gras ci-dessous ( CTRL + C pour copier )


O4 - HKUS\S-1-5-21-2617828284-3794730503-2547943610-1000\..\RunOnce: [295866825] C:\Users\Marine\AppData\Local\295866825.exe (.not file.)
O4 - HKCU\..\RunOnce: [295866825] C:\Users\Marine\AppData\Local\295866825.exe (.not file.)
O69 - SBI: prefs.js [Marine - adxhvl2y.default] user_pref("CT2438727.SearchEngine", "Search||https://www.bing.com/search?q=UCM_SEARCH_TERM&pc=cosp&ptag=G6C999A66979CC674&form=CONORG&conlogo=CT3210127
O69 - SBI: prefs.js [Marine - adxhvl2y.default] user_pref("CT2438727.SearchFromAddressBarUrl", "http://search.conduit.com/ResultsExt.aspx?ctid=CT2438727&q=");


[x] Lance ZHPFix qui est présent sur ton bureau.

[x] Clique sur le "H" bleu ( Coller les lignes Helper )

[x] Les lignes précédemment copiées apparaîtront à l'écran dans l'encadré jaune pâle.

[x] Vérifie que seules les lignes indiquées plus haut sont présentes puis clique sur [Ok]

[x] Clique maintenant sur [Tous] , puis sur [Nettoyer]

[x] Copie/Colle le contenu du rapport à l'écran dans ton prochain message.

[x] Note : le rapport se trouve également sous C:\Program Files\ZHPDiag\ZHPFixReport.txt

Bonsoir !
J'ai un petit soucis... Après avoir cliqué sur "nettoyer", une alerte Zhpfix m'annonce :

Impossible de créer le fichier "C:\Program Files(x86)\ZHPDiag\ZHPFixQuarantine.txt" Accès refusé.

Ce qui annule le nettoyage...

Voila :

Rapport de ZHPFix 1.12.32 par Nicolas Coolman, Update du 25/09/2010
Fichier d'export Registre : C:\ZHPExportRegistry-02-10-2010-16-35-24.txt
Run by Marine at 02/10/2010 16:35:24
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Valeur(s) du Registre ==========
O4 - HKUS\S-1-5-21-2617828284-3794730503-2547943610-1000\..\RunOnce: [295866825] C:\Users\Marine\AppData\Local\295866825.exe (.not file.) => Valeur supprimée avec succès
O4 - HKCU\..\RunOnce: [295866825] C:\Users\Marine\AppData\Local\295866825.exe (.not file.) => Valeur supprimée avec succès

========== Préférences navigateur ==========
/*user_pref("CT2438727.SearchEngine", "Search||https://www.bing.com/search?q=UCM_SEARCH_TERM&pc=cosp&ptag=G6C999A66979CC674&form=CONTLB&conlogo=CT3210127");*/ => Valeur supprimée avec succès
/*user_pref("CT2438727.SearchFromAddressBarUrl", "http://search.conduit.com/ResultsExt.aspx?ctid=CT2438727&q=");*/ => Valeur supprimée avec succès

========== Fichier(s) ==========
c:\users\marine\appdata\local\295866825.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
2 : Valeur(s) du Registre
1 : Fichier(s)
2 : Préférences navigateur

End of the scan