Virus résistant Résolu

Question

Bonjour à tous.

Hier, en trainant sur le forum, j'ai voulu aider un internaute. Celui-ci donnait des liens en disant qu'il avait des problèmes avec ceux-ci. Dans ma naïveté, j'ai cliqué sur un lien et me suis immédiatement rendu compte de mon erreur. Je quitte chrome, me déconnecte du wifi et lance une analyse avec Avira.
Comme par hasard, il me détecte un virus, le "TR/Crypt.XPACK.Gen3".
Le problème, c'est qu'avira ne finit pas le scan et reste bloqué à 63,1% sur un fichier windows ! Il ne traite donc pas la menace...

Que faire ? Un scan hijackthis ? Autre chose ?

Merci d'avance.



Configuration: Windows Media center 32 bits
Club 3D  Radeon(TM) HD 4870 1 Go  
Intel Pentium D CPU 3.00GHz
2go DDR2 533MHz

ouiwi74 · Answer

Up :[

ouiwi74 · Answer

Up

moment de grace · Answer

bonjour
Télécharge ZHPDiag ( de Nicolas coolman ). 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 

 Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )
 
Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista ) 

Clique sur la loupe en haut à gauche, puis laisse l'outil scanner. 

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau. 

ensuite

Rend toi sur Cjoint : http://www.cijoint.fr/ 

Clique sur "Parcourir " dans la partie " Joindre un fichier[...] " 

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau 

Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message


pour t'aider sur ci joijnt : https://www.commentcamarche.net/faq/29493-utiliser-cjoint-pour-heberger-des-fichiers

moment de grace · Answer

(sourire)


pas de gros bobos semble t il

as tu le chemin et le fichier concerné


1)

1 seul antivirus !

supprime mcafee
https://www.commentcamarche.net/faq/7367-desinstaller-proprement-liens-et-astuces#mcafee-virusscan-8-ou-9

..........

2)

Téléchargez USBFIX de El Desaparecido, C_xx

http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe
ou
https://www.ionos.fr/?affiliate_id=77097

/!\ Utilisateur de vista et windows 7 :
ne pas oublier de désactiver Le contrôle des comptes utilisateurs 
https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac 

/!\ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir 

Double clic sur le raccourci UsbFix présent sur le bureau . 

 Choisir l'option2 suppression
(d'autres options disponibles, voir le tutoriel). 
 Laissez travailler l'outil.
Le menu démarrer et les icônes vont disparaître.. c'est normal. 

Si un message te demande de redémarrer l'ordinateur fais le ... 

 Au redémarrage, le fix se relance... laisses l'opération s'effectuer. 

Le bloc note s'ouvre avec un rapport, envoies le dans la prochaine réponse

 
* Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt ) 

( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller ) 

* Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus. 


* Tuto : http://pagesperso-orange.fr/NosTools/usbfix.html


UsbFix peut te demander d'uploader un dossier compressé à cette adresse : https://www.ionos.fr/?affiliate_id=77097 

 Il est enregistré sur ton bureau. 

Merci de l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches. 

..................

3)

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

Télécharge List_Kill'em et enregistre le sur ton bureau

http://sd-4.archive-host.com/membres/up/829108531491024/Mes_Tools/List_Killem_Install.exe


double clique ( clic droit "executer en tant qu'administrateur" pour Vista/7 ) sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

 Executer List_Kill'em"


une fois terminée , clic sur "terminer" et le programme se lancera seul

choisis l'option Search

laisse travailler l'outil

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal , le programme n'est pas bloqué.

 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

Rend toi sur Cjoint : http://www.cijoint.fr/ 

Clique sur "Parcourir " dans la partie " Joindre un fichier[...] " 

Sélectionne le rapport C:\List'em.txt

Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message

Même opération pour le rapport more.txt qui se trouve sur ton bureau


si soucis avec ci joint. fr 

=> utiliser https://www.cjoint.com/
=>  utiliser http://ww38.toofiles.com/fr/oip/documents/txt/av.html

moment de grace · Answer

ok

1)

Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau. 
mais cette fois-ci : 

choisis l'option CLEAN
ton PC va redemarrer, 

laisse travailler l'outil. 

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau , 

colle le contenu dans ta reponse


..................

2)

Téléchargez MalwareByte's Anti-Malware (que tu pourras garder ensuite)

https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/
 
. Enregistres le sur le bureau
. Double cliques sur le fichier téléchargé pour lancer le processus d'installation. 
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, accepte
. Une fois la mise à jour terminé
. Rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen complet (examen assez long)
. Cliques sur Rechercher
. Le scan démarre. 
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés. 
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, clique sur  Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. 
. Rends toi dans l'onglet rapport/log 
. Tu cliques dessus pour l'afficher, une fois affiché
. Tu cliques sur edition en haut du boc notes, et puis sur sélectionner tous 
. Tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller 


Si tu as besoin d'aide regarde ces tutoriels : 
 Aide: https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
 http://www.infos-du-net.com/forum/278396-11-tuto-malwarebytes-anti-malware-mbam

ouiwi74 · Answer

¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.1.0.8 ¤¤¤¤¤¤¤¤¤¤

User : thierry (Administrateurs)
Update on 25/09/2010 by g3n-h@ckm@n ::::: 19.10
Start at: 20:24:25 | 26/09/2010

Intel(R) Pentium(R) D CPU 3.00GHz
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Enabled
AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]

C:\ -> Disque fixe local | 218,85 Go (74,6 Go free) | NTFS
D:\ -> Disque fixe local | 74,48 Go (6,1 Go free) [Sauvegarder] | NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque amovible | 1,84 Go (1,16 Go free) | FAT
H:\ -> Disque amovible | 27,84 Go (7,63 Go free) [IPOD DE WIL] | FAT32
Q:\ -> Disque fixe local

¤¤¤¤¤¤¤¤¤¤ Files/folders :

Quarantined & Deleted !! : C:\WINDOWS\DUMP3cca.tmp
Quarantined & Deleted !! : C:\WINDOWS\meta4.exe

Quarantined & Deleted !! : C:\WINDOWS\System32\drivers\etc\hosts.msn
Quarantined & Deleted !! : C:\WINDOWS\system32\Smab0.dll
Quarantined & Deleted !! : C:\Documents and Settings\thierry\Application data\ezpinst.exe
Quarantined & Deleted !! : C:\Documents and Settings\thierry\Application Data\pcouffin.inf
Quarantined & Deleted !! : C:\Documents and Settings\thierry\Application Data\pcouffin.log
Quarantined & Deleted !! : C:\Documents and Settings\thierry\LOCAL Settings\Temp\0241531285519375mcinst.exe

¤¤¤¤¤¤¤¤¤¤ Hosts ¤¤¤¤¤¤¤¤¤¤

127.0.0.1 localhost

¤¤¤¤¤¤¤¤¤¤ Registry ¤¤¤¤¤¤¤¤¤¤

Deleted : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser : {0E5CBF21-D15F-11D0-8301-00AA005B4383}
Deleted : HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System : NoDispBackgroundPage
Deleted : HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System : NoDispCPL
Deleted : HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System : NoDispScrSavPage
Deleted : HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_BOONTY_GAMES
Deleted : HKLM\SYSTEM\ControlSet002\Enum\Root\LEGACY_BOONTY_GAMES

¤¤¤¤¤¤¤¤¤¤ Internet Explorer ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page = https://www.msn.com/fr-fr/?ocid=iehp
Local Page = C:\WINDOWS\system32\blank.htm
Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page = https://www.google.com/?gws_rd=ssl
Local Page = C:\WINDOWS\system32\blank.htm
Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

¤¤¤¤¤¤¤¤¤¤ Security Center ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
FirstRunDisabled = 1 ()
AntiVirusOverride = 0 (0x0)
FirewallOverride = 0 (0x0)
AntiVirusDisableNotify = 0 (0x0)
FirewallDisableNotify = 0 (0x0)
UpdatesDisableNotify = 0 (0x0)

¤¤¤¤¤¤¤¤¤¤ Services ¤¤¤¤¤¤¤¤¤¤

Ndisuio : Start = 3
EapHost : Start = 2
Ip6Fw : Start = 2
SharedAccess : Start = 2
wuauserv : Start = 2
wscsvc : Start = 2

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
Disk Cleaned
anti-ver blaster : OK
Prefetch cleaned
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

FEATURE_BROWSER_EMULATION | svchost :
====================================

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys iastor.sys sphl.sys hal.dll >>UNKNOWN [0x8A574938]<<
kernel: MBR read successfully
user & kernel MBR OK

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Pour malwarebytes, je m'en suis déjà servi tout à l'heure et il m'avait viré 7 fichiers infectés. Je refais un scan ?
Merci.

-- ~_~ --

moment de grace · Answer

non

poste juste le rapport

et fait tourner l'antivirus voir s'il trouve quelque chose

ouiwi74 · Answer

Malwarebytes' Anti-Malware 1.46 
www.malwarebytes.org 

Version de la base de données: 4698 

Windows 5.1.2600 Service Pack 3 
Internet Explorer 8.0.6001.18702 

26/09/2010 14:05:32 
mbam-log-2010-09-26 (14-05-32).txt 

Type d'examen: Examen rapide 
Elément(s) analysé(s): 175497 
Temps écoulé: 11 minute(s), 6 seconde(s) 

Processus mémoire infecté(s): 0 
Module(s) mémoire infecté(s): 0 
Clé(s) du Registre infectée(s): 4 
Valeur(s) du Registre infectée(s): 0 
Elément(s) de données du Registre infecté(s): 3 
Dossier(s) infecté(s): 0 
Fichier(s) infecté(s): 0 

Processus mémoire infecté(s): 
(Aucun élément nuisible détecté) 

Module(s) mémoire infecté(s): 
(Aucun élément nuisible détecté) 

Clé(s) du Registre infectée(s): 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{bb3c4f67-e8fb-07c3-8b1b-d08281de689a} (Trojan.BHO) -> Quarantined and deleted successfully. 
HKEY_CLASSES_ROOT\CLSID\{bb3c4f67-e8fb-07c3-8b1b-d08281de689a} (Trojan.BHO) -> Quarantined and deleted successfully. 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{c03de9ab-dd3d-5c8a-bebc-749880b6ec70} (Trojan.BHO) -> Quarantined and deleted successfully. 
HKEY_CLASSES_ROOT\CLSID\{c03de9ab-dd3d-5c8a-bebc-749880b6ec70} (Trojan.BHO) -> Quarantined and deleted successfully. 

Valeur(s) du Registre infectée(s): 
(Aucun élément nuisible détecté) 

Elément(s) de données du Registre infecté(s): 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully. 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully. 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully. 

Dossier(s) infecté(s): 
(Aucun élément nuisible détecté) 

Fichier(s) infecté(s): 
(Aucun élément nuisible détecté) 


Avira effectue actuellement un scan. 
-- ~_~ --

ouiwi74 · Answer

Le scan ne bloque plus ! 
Mais il a trouvé deux virus, qu'il a apparemment traité. 
Scan Avira, si ça peut être utile : 



Avira AntiVir Personal 
Date de création du fichier de rapport : dimanche 26 septembre 2010  20:48 

La recherche porte sur 2874959 souches de virus. 

Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus 
Numéro de série         : 0000149996-ADJIE-0000001 
Plateforme              : Windows XP 
Version de Windows      : (Service Pack 3)  [5.1.2600] 
Mode Boot               : Démarré normalement 
Identifiant             : SYSTEM 
Nom de l'ordinateur     : WILLIAM 

Informations de version : 
BUILD.DAT               : 9.0.0.77      21698 Bytes  09/06/2010 12:01:00 
AVSCAN.EXE              : 9.0.3.10     466689 Bytes  20/11/2009 19:36:49 
AVSCAN.DLL              : 9.0.3.0       49409 Bytes  03/03/2009 09:21:02 
LUKE.DLL                : 9.0.3.2      209665 Bytes  20/02/2009 10:35:11 
LUKERES.DLL             : 9.0.2.0       13569 Bytes  03/03/2009 09:21:31 
VBASE000.VDF            : 7.10.0.0   19875328 Bytes  06/11/2009 19:36:46 
VBASE001.VDF            : 7.10.1.0    1372672 Bytes  19/11/2009 19:36:46 
VBASE002.VDF            : 7.10.3.1    3143680 Bytes  20/01/2010 17:34:39 
VBASE003.VDF            : 7.10.3.75    996864 Bytes  26/01/2010 14:41:09 
VBASE004.VDF            : 7.10.4.203   1579008 Bytes  05/03/2010 18:03:00 
VBASE005.VDF            : 7.10.6.82   2494464 Bytes  15/04/2010 16:57:59 
VBASE006.VDF            : 7.10.7.218   2294784 Bytes  02/06/2010 15:20:20 
VBASE007.VDF            : 7.10.9.165   4840960 Bytes  23/07/2010 09:32:54 
VBASE008.VDF            : 7.10.11.133   3454464 Bytes  13/09/2010 16:25:29 
VBASE009.VDF            : 7.10.11.134      2048 Bytes  13/09/2010 16:25:29 
VBASE010.VDF            : 7.10.11.135      2048 Bytes  13/09/2010 16:25:30 
VBASE011.VDF            : 7.10.11.136      2048 Bytes  13/09/2010 16:25:31 
VBASE012.VDF            : 7.10.11.137      2048 Bytes  13/09/2010 16:25:31 
VBASE013.VDF            : 7.10.11.165    172032 Bytes  15/09/2010 16:25:45 
VBASE014.VDF            : 7.10.11.202    144384 Bytes  18/09/2010 16:17:40 
VBASE015.VDF            : 7.10.11.231    129024 Bytes  21/09/2010 15:26:47 
VBASE016.VDF            : 7.10.12.4    126464 Bytes  23/09/2010 15:26:48 
VBASE017.VDF            : 7.10.12.5      2048 Bytes  23/09/2010 15:26:48 
VBASE018.VDF            : 7.10.12.6      2048 Bytes  23/09/2010 15:26:49 
VBASE019.VDF            : 7.10.12.7      2048 Bytes  23/09/2010 15:26:49 
VBASE020.VDF            : 7.10.12.8      2048 Bytes  23/09/2010 15:26:49 
VBASE021.VDF            : 7.10.12.9      2048 Bytes  23/09/2010 15:26:49 
VBASE022.VDF            : 7.10.12.10      2048 Bytes  23/09/2010 15:26:49 
VBASE023.VDF            : 7.10.12.11      2048 Bytes  23/09/2010 15:26:49 
VBASE024.VDF            : 7.10.12.12      2048 Bytes  23/09/2010 15:26:50 
VBASE025.VDF            : 7.10.12.13      2048 Bytes  23/09/2010 15:26:50 
VBASE026.VDF            : 7.10.12.14      2048 Bytes  23/09/2010 15:26:50 
VBASE027.VDF            : 7.10.12.15      2048 Bytes  23/09/2010 15:26:50 
VBASE028.VDF            : 7.10.12.16      2048 Bytes  23/09/2010 15:26:50 
VBASE029.VDF            : 7.10.12.17      2048 Bytes  23/09/2010 15:26:51 
VBASE030.VDF            : 7.10.12.18      2048 Bytes  23/09/2010 15:26:51 
VBASE031.VDF            : 7.10.12.30     73728 Bytes  24/09/2010 15:26:52 
Version du moteur       : 8.2.4.66  
AEVDF.DLL               : 8.1.2.1      106868 Bytes  29/07/2010 17:54:52 
AESCRIPT.DLL            : 8.1.3.45    1368443 Bytes  17/09/2010 16:28:29 
AESCN.DLL               : 8.1.6.1      127347 Bytes  13/05/2010 16:09:08 
AESBX.DLL               : 8.1.3.1      254324 Bytes  23/04/2010 17:05:46 
AERDL.DLL               : 8.1.9.2      635252 Bytes  24/09/2010 15:27:06 
AEPACK.DLL              : 8.2.3.7      471413 Bytes  17/09/2010 16:27:36 
AEOFFICE.DLL            : 8.1.1.8      201081 Bytes  22/07/2010 18:58:14 
AEHEUR.DLL              : 8.1.2.27    2933110 Bytes  24/09/2010 15:27:04 
AEHELP.DLL              : 8.1.13.4     242038 Bytes  24/09/2010 15:26:53 
AEGEN.DLL               : 8.1.3.22     401780 Bytes  17/09/2010 16:26:03 
AEEMU.DLL               : 8.1.2.0      393588 Bytes  23/04/2010 17:05:41 
AECORE.DLL              : 8.1.17.0     196982 Bytes  24/09/2010 15:26:52 
AEBB.DLL                : 8.1.1.0       53618 Bytes  23/04/2010 17:05:39 
AVWINLL.DLL             : 9.0.0.3       18177 Bytes  12/12/2008 07:47:30 
AVPREF.DLL              : 9.0.3.0       44289 Bytes  27/09/2009 09:13:02 
AVREP.DLL               : 8.0.0.7      159784 Bytes  19/02/2010 15:01:52 
AVREG.DLL               : 9.0.0.0       36609 Bytes  07/11/2008 14:24:42 
AVARKT.DLL              : 9.0.0.3      292609 Bytes  24/03/2009 14:05:22 
AVEVTLOG.DLL            : 9.0.0.7      167169 Bytes  30/01/2009 09:36:37 
SQLITE3.DLL             : 3.6.1.0      326401 Bytes  28/01/2009 14:03:49 
SMTPLIB.DLL             : 9.2.0.25      28417 Bytes  02/02/2009 07:20:57 
NETNT.DLL               : 9.0.0.0       11521 Bytes  07/11/2008 14:40:59 
RCIMAGE.DLL             : 9.0.0.25    2438913 Bytes  31/07/2009 15:36:05 
RCTEXT.DLL              : 9.0.73.0      88321 Bytes  20/11/2009 19:36:45 

Configuration pour la recherche actuelle : 
Nom de la tâche...............................: Contrôle intégral du système 
Fichier de configuration......................: c:\program files\avira\antivir desktop\sysscan.avp 
Documentation.................................: bas 
Action principale.............................: interactif 
Action secondaire.............................: ignorer 
Recherche sur les secteurs d'amorçage maître..: marche 
Recherche sur les secteurs d'amorçage.........: marche 
Secteurs d'amorçage...........................: C:, D:, Q:,  
Recherche dans les programmes actifs..........: marche 
Recherche en cours sur l'enregistrement.......: marche 
Recherche de Rootkits.........................: marche 
Contrôle d'intégrité de fichiers système......: arrêt 
Fichier mode de recherche.....................: Tous les fichiers 
Recherche sur les archives....................: marche 
Limiter la profondeur de récursivité..........: 20 
Archive Smart Extensions......................: marche 
Heuristique de macrovirus.....................: marche 
Heuristique fichier...........................: moyen 

Début de la recherche : dimanche 26 septembre 2010  20:48 

La recherche d'objets cachés commence. 
'38259' objets ont été contrôlés, '0' objets cachés ont été trouvés. 

La recherche sur les processus démarrés commence : 
Processus de recherche 'notepad.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'chrome.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'chrome.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'chrome.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'wmiprvse.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'chrome.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'chrome.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'chrome.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'ctfmon.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'iPodService.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'GoogleUpdater.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'AppleMobileDeviceService.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'mcrdsvc.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'ehrecvr.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'dllhost.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'services.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés 
Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés 
'36' processus ont été contrôlés avec '36' modules 

La recherche sur les secteurs d'amorçage maître commence : 
Secteur d'amorçage maître HD0 
    [INFO]      Aucun virus trouvé ! 
Secteur d'amorçage maître HD1 
    [INFO]      Aucun virus trouvé ! 
Secteur d'amorçage maître HD2 
    [INFO]      Aucun virus trouvé ! 

La recherche sur les secteurs d'amorçage commence : 
Secteur d'amorçage 'C:\' 
    [INFO]      Aucun virus trouvé ! 
Secteur d'amorçage 'D:\' 
    [INFO]      Aucun virus trouvé ! 
Secteur d'amorçage 'Q:\' 
    [INFO]      Aucun virus trouvé ! 

La recherche sur les renvois aux fichiers exécutables (registre) commence : 
Le registre a été contrôlé ( '61' fichiers). 


La recherche sur les fichiers sélectionnés commence : 

Recherche débutant dans 'C:\' 
C:\hiberfil.sys 
    [AVERTISSEMENT] Impossible d'ouvrir le fichier ! 
    [REMARQUE]  Ce fichier est un fichier système Windows. 
    [REMARQUE]  Il est correct que ce fichier ne puisse pas être ouvert pour la recherche. 
C:\pagefile.sys 
    [AVERTISSEMENT] Impossible d'ouvrir le fichier ! 
    [REMARQUE]  Ce fichier est un fichier système Windows. 
    [REMARQUE]  Il est correct que ce fichier ne puisse pas être ouvert pour la recherche. 
C:\System Volume Information\_restore{C75D780B-5CD4-494E-AB96-5DA2A6677439}\RP838\A0239790.exe 
    [RESULTAT]  Contient le cheval de Troie TR/Crypt.XPACK.Gen3 
C:\WINDOWS\$NtUninstallKB913800$\wmplayer.exe 
    [RESULTAT]  Contient le cheval de Troie TR/Crypt.XPACK.Gen3 
    [AVERTISSEMENT] 'Contient le cheval de Troie TR/Crypt.XPACK.Gen3'. Le résultat concerne très probablement un message d'erreur. Veuillez nous renvoyer immédiatement ce fichier pour une analyse plus détaillée. 
C:\WINDOWS\system32\drivers\sptd.sys 
    [AVERTISSEMENT] Impossible d'ouvrir le fichier ! 
Recherche débutant dans 'D:\' <Sauvegarder> 
Recherche débutant dans 'Q:\' 
Impossible d'ouvrir le chemin à contrôler Q:\ ! 
Erreur système [5]: Accès refusé. 

Début de la désinfection : 
C:\System Volume Information\_restore{C75D780B-5CD4-494E-AB96-5DA2A6677439}\RP838\A0239790.exe 
    [RESULTAT]  Contient le cheval de Troie TR/Crypt.XPACK.Gen3 
    [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4cd1a745.qua' ! 


Fin de la recherche : dimanche 26 septembre 2010  22:03 
Temps nécessaire:  1:15:07 Heure(s) 

La recherche a été effectuée intégralement 

  14219 Les répertoires ont été contrôlés 
 529022 Des fichiers ont été contrôlés 
      2 Des virus ou programmes indésirables ont été trouvés 
      0 Des fichiers ont été classés comme suspects 
      0 Des fichiers ont été supprimés 
      0 Des virus ou programmes indésirables ont été réparés 
      1 Les fichiers ont été déplacés dans la quarantaine 
      0 Les fichiers ont été renommés 
      3 Impossible de contrôler des fichiers 
 529017 Fichiers non infectés 
   6362 Les archives ont été contrôlées 
      4 Avertissements 
      3 Consignes 
  38259 Des objets ont été contrôlés lors du Rootkitscan 
      0 Des objets cachés ont été trouvés 


EDIT : je quitte le pc pour ce soir et suis en internat toute la semaine.
Suite vendredi prochain !
Merci pour toute l'aide déjà apportée :-)

-- ~_~ --

moment de grace · Answer

la restauration systeme pas de soucis en revanche l'autre c'est moins drole

Rends toi sur ce site : 

https://www.virustotal.com/gui/ 

Clique sur parcourir et cherche ce fichier : 

C:\WINDOWS\$NtUninstallKB913800$\wmplayer.exe 
C:\WINDOWS\system32\drivers\sptd.sys 


Clique sur Send File. 

Un rapport va s'élaborer ligne à ligne. 

Attends la fin. Il doit comprendre la taille du fichier envoyé. 


Copie le lien de Virus Total dans ta réponse.

Si tu ne trouves pas le fichier alors

Affiche tous les fichiers et dossiers : 

Pour cela : 
Clique sur démarrer/panneau de configuration/option des dossiers/affichage 

Cocher afficher les dossiers cachés

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)" 

Décocher masquer les extensions dont le type est connu 

Puis fais «appliquer» pour valider les changements. 

Et OK


tuto pour t'aider

http://www.bibou0007.com/scans-en-ligne-f75/tutorial-sur-virustotal-t190.htm

moment de grace · Answer

Télécharge SEAF ( de C__XX ) sur ton bureau : 

ici http://pagesperso-orange.fr/NosTools/C_XX/SEAF.exe 


* Double clique sur "SEAF.exe" ( clique droit et "Exécuter en tant qu'administrateur" pour Vista / 7 ) pour lancer l'outil. 

* Dans l'encadré blanc " Entrez ci dessous...." copie/colle ceci : 

wmplayer.exe


* Au niveau des " options des fichiers ", fait les réglages suivant : 
> A "Calculer le checksum" , choisis : MD5 
> Coche la case devant " Info. supplémentaire ". 
> Coche la case devant " Afficher les ADS " 

* Au niveau des " options du registre " : 
> coche " chercher également dans le registre " 

( ne touche à aucun autre réglage ) 

* Clique sur " Lancer la recherche " et laisse travailler l'outil ... 
( cela peut-être plus ou moins long suivant les cas ). 

--> Une fois terminé, une fenêtre avec un log .txt va s'afficher. Enregistre ce rapport de façon à le retrouver facilement ( sur le bureau par exemple ). Sinon il sera en outre sauvegardé à la racine de ton disque dur ( ici > C:\SEAFLog.txt )

moment de grace · Answer

essaie à nouveau Virus total avec celui là

C:\WINDOWS\$NtUninstallKB913800$\wmplayer.exe

moment de grace · Answer

ok

comment va le pc et tes soucis de départ ?

moment de grace · Answer

Fais un nouveau rapport ZHPdiag stp

Rend toi sur Cjoint : http://www.cijoint.fr/ 

Clique sur "Parcourir " dans la partie " Joindre un fichier[...] " 

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau 

Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message

moment de grace · Answer

Mais depuis cette histoire, le pc est quand même pas mal ralenti...

rien dans le zhp

1)

Purger la restauration systeme XP

http://www.bibou0007.com/windows-xp-f101/purger-la-restauration-du-systeme-sous-windows-xp-t151.htm

..............

2)

Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement :

* Télécharge sur ton bureau Defogger 

http://www.jpshortstuff.247fixes.com/Defogger.exe

* Lance le
* Une fenêtre apparait : clique sur "Disable"
* Fais redémarrer l'ordinateur si l'outil te le demande
* Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable"


puis

/!\ Il faut impérativement désactiver tous tes logiciels de protection pour utiliser ce programme/!\ 


? Télécharge : Gmer (by Przemyslaw Gmerek) 

http://www.gmer.net/



? Dezippe gmer ,cliques sur l'onglet rootkit,lances le scan,des lignes rouges vont apparaitre. 

? Les lignes rouges indiquent la presence d'un rootkit.Postes moi le rapport gmer (cliques sur copy,puis vas dans demarrer ,puis ouvres le bloc note,vas dans edition et cliques sur coller,le rapport gmer va apparaitre,postes moi le)

moment de grace · Answer

Attention, avant de commencer, lit attentivement la procédure, et imprime la

Aide à l'utilisation
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Télécharge ComboFix de sUBs que tu renommes OUIWI.exe avant de l'enregistrter sur ton Bureau :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

/!\ Déconnecte-toi du net et <gras>DESACTIVES TOUTES LES DEFENSES, antivirus et antispyware y compris /!\ </gras>

---> Double-clique sur ComboFix.exe
Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter

SURTOUT INSTALLES LA CONSOLE DE RECUPERATION
(si il te propose de l'installer remets internet)

---> Mets-le en langue française F
Tape sur la touche 1 (Yes) pour démarrer le scan.

Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

Note : Le rapport se trouve également là : C:\ComboFix.txt

moment de grace · Answer

Cette étape est-elle vraiment nécessaire ?

non si les ralentissement sont terminés...sans explications

à moins que tu en es une

ouiwi74 · Answer

Eh bien je n'ai pas d'explications...
En tout cas, un grand merci à toi !
Excellente continuation sur le forum ;-)
Problème résolu !

moment de grace · Answer

néanmoins

Mettre à jour la Console Java ? : 
https://www.java.com/fr/download/uninstalltool.jsp

et installer la nouvelle version si besoin est (dans ce cas désinstalle avant l'ancienne version). 

voici pour desinstaller : 

JavaRa 
http://raproducts.org/click/click.php?id=1

Décompresse le fichier sur le Bureau (Clic droit > Extraire tout). 
* Double-clique (clic droit "en tant qu'administrateur" pour Vista) sur le répertoire JavaRa. 
* Puis double-clique sur le fichier JavaRa.exe (le exe peut ne pas s'afficher). 
* Choisis Français puis clique sur Select. 
* Clique sur Recherche de mises à jour. 
* Sélectionne Mettre à jour via jucheck.exe puis clique sur Rechercher. 
* Autorise le processus à se connecter s'il le demande, clique sur Installer et suis les instructions d'installation qui prennent quelques minutes. 
* L'installation est terminée, reviens à l'écran de JavaRa et clique sur Effacer les anciennes versions. 
* Clique sur Oui pour confirmer. Laisse travailler et clique ensuite sur OK, puis une deuxième fois sur OK. 
* Un rapport va s'ouvrir. Poste-le dans ta prochaine réponse. 
* Ferme l'application. 

Note : le rapport se trouve aussi dans C:\ sous le nom JavaRa.log. 


..............

bonne continuation aussi...

moment de grace · Answer

oui

bye...

Virus résistant

20 réponses

Discussions similaires

Newsletters