Cheval de troie, Virus comment s'en débarassé [Résolu/Fermé]

Signaler
Messages postés
24
Date d'inscription
samedi 2 octobre 2010
Statut
Membre
Dernière intervention
5 octobre 2010
-
 Utilisateur anonyme -
Bonjour,

Depuis plusieurs jours, je sentais mon Pc ramer, google chrome ne marchais plus, j'ai donc lancer mon anti virus, il ma detecter 4 virus dont 1 était le cheval de troie. J'essai de m'en débarasser mais sans succès, si quelqu'un peux m'aider ce serais avec joie que je prendrais vos conseils

Merci d'avance.

Voici le lien Hijackthis :
http://www.cijoint.fr/cjlink.php?file=cj201010/cijVAc2uYV.txt

31 réponses


salut :

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

▶ Télécharge ici :List_Kill'em

et enregistre le sur ton bureau

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."


sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

♦ Executer List_Kill'em

une fois terminée , clic sur "terminer" et le programme se lancera seul

Il commencera par telecharger et installer ses mises à jour , puis te donnera son menu

choisis l'option Search

▶ laisse travailler l'outil

il se peut qu'une boite de dialogue s'ouvre , dans ce cas clique sur "ok" ou "Agree"

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal ,c'est une recherche supplementaire de fichiers cachés , le programme n'est pas bloqué.

▶ Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

▶▶▶ NE LE POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier C:\List'em.txt

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.

▶ Fais de même avec more.txt qui se trouve sur ton bureau
Messages postés
24
Date d'inscription
samedi 2 octobre 2010
Statut
Membre
Dernière intervention
5 octobre 2010

Merci d'avoir répondu déjà, ensuite j'en suis à la partie ou il recherche des ichier supplementaire cachés comme tu me la dis, je t'avoue que c'est vraiment long et j'ai peur qu'il soit en begue justement :s
Messages postés
24
Date d'inscription
samedi 2 octobre 2010
Statut
Membre
Dernière intervention
5 octobre 2010

En faites, je viens de m'apercevoir que dans la barre du haut je voyais la progression et en faites il avance, je te dirai dès que j'en sais un peu plus :)

ben non t'es trop pressé !!
Utilisateur anonyme
pk lol
Messages postés
24
Date d'inscription
samedi 2 octobre 2010
Statut
Membre
Dernière intervention
5 octobre 2010

Ben tu ma demander de t'envoyer un lien après ça ..

non 2 et j'attends les deux !!!!
Messages postés
24
Date d'inscription
samedi 2 octobre 2010
Statut
Membre
Dernière intervention
5 octobre 2010

Alors, voila le lien List em :

http://www.cijoint.fr/cjlink.php?file=cj201010/cijnImvsd2.txt

et le lien more :

http://www.cijoint.fr/cjlink.php?file=cj201010/cijVpPBLG4.txt

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."


▶ Relance List_Kill'em,avec le raccourci sur ton bureau.

mais cette fois-ci :

▶ choisis l'Option Clean

laisse travailler l'outil.

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

▶ colle le contenu dans ta reponse
Messages postés
24
Date d'inscription
samedi 2 octobre 2010
Statut
Membre
Dernière intervention
5 octobre 2010

Je t'enverrai directement le document, ou comme les autres en lien ?

non ici
Messages postés
24
Date d'inscription
samedi 2 octobre 2010
Statut
Membre
Dernière intervention
5 octobre 2010

¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.1.0.9 ¤¤¤¤¤¤¤¤¤¤

User : jennifer leclerc (Administrateurs)
Update on 02/10/2010 by g3n-h@ckm@n ::::: 14.00
Start at: 15:17:04 | 03/10/2010

Intel(R) Atom(TM) CPU N270 @ 1.60GHz
Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Disabled
AV : Kaspersky PURE 9.0.0.192 [ Enabled | Updated ]
FW : Kaspersky PURE[ Enabled ]9.0.0.192

C:\ -> Disque fixe local | 103,89 Go (86,97 Go free) | FAT32
D:\ -> Disque fixe local | 30,38 Go (30,17 Go free) [LENOVO] | NTFS
F:\ -> Disque fixe local | 465,65 Go (400,25 Go free) [Verbatim] | FAT32

¤¤¤¤¤¤¤¤¤¤ Files/folders :

Quarantined & Deleted !! : C:\WINDOWS\SET3.tmp
Quarantined & Deleted !! : C:\WINDOWS\SET4.tmp
Quarantined & Deleted !! : C:\WINDOWS\SET8.tmp
Quarantined & Deleted !! : C:\WINDOWS\DUMP4844.tmp
Quarantined & Deleted !! : C:\WINDOWS\DUMP55c1.tmp
Quarantined & Deleted !! : C:\WINDOWS\DUMP469e.tmp
Quarantined & Deleted !! : C:\WINDOWS\s.bat
Quarantined & Deleted !! : C:\WINDOWS\Y.TXT
Quarantined & Deleted !! : C:\WINDOWS\O.TXT

Quarantined & Deleted !! : C:\WINDOWS\System32\drivers\etc\hosts.msn
Quarantined & Deleted !! : C:\WINDOWS\System32\SET46.tmp
Quarantined & Deleted !! : C:\WINDOWS\System32\SET4A.tmp
Quarantined & Deleted !! : C:\WINDOWS\System32\SET52.tmp
Quarantined & Deleted !! : C:\Documents and Settings\jennifer leclerc\Application data\srsf.bat
Quarantined & Deleted !! : C:\Documents and Settings\jennifer leclerc\Application Data\PriceGong
Quarantined & Deleted !! : C:\Documents and Settings\jennifer leclerc\LOCAL Settings\Temp\catchme.dll

¤¤¤¤¤¤¤¤¤¤ Hosts ¤¤¤¤¤¤¤¤¤¤

127.0.0.1 localhost

¤¤¤¤¤¤¤¤¤¤ Registry ¤¤¤¤¤¤¤¤¤¤

Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar : {59994074-c06d-4a75-9768-49e5a8c21264}
Deleted : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser : {0E5CBF21-D15F-11D0-8301-00AA005B4383}
Deleted : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser : {59994074-C06D-4A75-9768-49E5A8C21264}
Deleted : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks : {59994074-c06d-4a75-9768-49e5a8c21264}
Deleted : "HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{AFDBDDAA-5D3F-42EE-B79C-185A7020515B}"
Deleted : "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{59994074-c06d-4a75-9768-49e5a8c21264}"
Deleted : HKCU\Software\Conduit
Deleted : HKLM\Software\Conduit

¤¤¤¤¤¤¤¤¤¤ Internet Explorer ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page = https://www.msn.com/fr-fr/?ocid=iehp
Local Page = C:\WINDOWS\system32\blank.htm
Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page = https://www.google.com/?gws_rd=ssl
Local Page = C:\WINDOWS\system32\blank.htm
Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

¤¤¤¤¤¤¤¤¤¤ Security Center ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
FirstRunDisabled = 1 ()
AntiVirusDisableNotify = 0 (0x0)
FirewallDisableNotify = 0 (0x0)
UpdatesDisableNotify = 0 (0x0)
AntiVirusOverride = 0 (0x0)
FirewallOverride = 0 (0x0)

¤¤¤¤¤¤¤¤¤¤ Services ¤¤¤¤¤¤¤¤¤¤

Ndisuio : Start = 3
EapHost : Start = 2
Ip6Fw : Start = 2
SharedAccess : Start = 2
wuauserv : Start = 2
wscsvc : Start = 2

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
Disk Cleaned
anti-ver blaster : OK
Prefetch cleaned
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

FEATURE_BROWSER_EMULATION | svchost :
====================================

Deleted : HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Main\featurecontrol\FEATURE_BROWSER_EMULATION : svchost.exe

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys >>UNKNOWN [0x86462EC5]<<
kernel: MBR read successfully
user & kernel MBR OK




¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

salut


▶ Télécharge ici : Ad-remover sur ton bureau :


▶ Déconnecte toi et ferme toutes applications en cours !

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."


▶ sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut .

▶ clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .

▶ Au menu principal choisis "option Nettoyer" et tape sur [entrée] .

▶ Laisse travailler l'outil et ne touche à rien ...

▶ Poste le rapport qui apparait à la fin , sur le forum ...

( Le rapport est sauvegardé aussi sous C:\Ad-report.log )
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

▶ Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.
Messages postés
24
Date d'inscription
samedi 2 octobre 2010
Statut
Membre
Dernière intervention
5 octobre 2010

======= RAPPORT D'AD-REMOVER 2.0.0.1,F | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 16/09/10 à 13:30
Contact: AdRemover.contact[AT]gmail.com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 16:40:47 le 04/10/2010, Mode normal

Microsoft Windows XP Édition familiale Service Pack 3 (X86)
jennifer leclerc@JENNI ( )

============== ACTION(S) ==============


0,Dossier supprimé: C:\Documents and Settings\jennifer leclerc\Local Settings\Application Data\Conduit
0,Dossier supprimé: C:\Program Files\Conduit
0,Dossier supprimé: C:\Documents and Settings\Sabrina Gorski\Application Data\PriceGong

(!) -- Fichiers temporaires supprimés.


0,Clé supprimée: HKLM\Software\Classes\Toolbar.CT1460988
0,Clé supprimée: HKLM\Software\Classes\Toolbar.CT2567681
0,Clé supprimée: HKCU\Software\PriceGong
0,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\Ask Search Assistant
3,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}


============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.5.13 (fr)] **

-- C:\Documents and Settings\jennifer leclerc\Application Data\Mozilla\FireFox\Profiles\gxs4wx5x.default\Prefs.js --
browser.startup.homepage, hxxp://www.google.fr
browser.startup.homepage_override.mstone, rv:1.9.1.13

========================================




Voila, y a pas mal d'info perso là dedans quand même ^^

non rien de méchant :)


Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.



▶ Télécharge ici :

Malwarebytes

ou :

Malwarebytes

▶ Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

(NB : Si tu as un message d'erreur t'indiquant qu'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : COMCTL32.OCX

▶ Potasses le Tuto pour te familiariser avec le prg :


( cela dit, il est très simple d'utilisation ).

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

▶ Lance Malwarebyte's .

Fais un examen dit "Complet" .

▶ Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
▶ à la fin tu cliques sur "résultat" .
Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

Messages postés
24
Date d'inscription
samedi 2 octobre 2010
Statut
Membre
Dernière intervention
5 octobre 2010

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4741

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

04/10/2010 17:59:40
mbam-log-2010-10-04 (17-59-40).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 194010
Temps écoulé: 59 minute(s), 22 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)



Il n'y as rien d'infectés =s !

refais un scan avec ton antivirus
Messages postés
24
Date d'inscription
samedi 2 octobre 2010
Statut
Membre
Dernière intervention
5 octobre 2010

Il ma detecter 7 virus qu'il a mis en quarantaine ( j'ai kaspersky, je l'ai telecharger pour le virux justement)
Messages postés
24
Date d'inscription
samedi 2 octobre 2010
Statut
Membre
Dernière intervention
5 octobre 2010

Attend je relance une analyse complète parce que j'ai pas fais ce qu'il fallais.

quels virus ? ou ?
Messages postés
24
Date d'inscription
samedi 2 octobre 2010
Statut
Membre
Dernière intervention
5 octobre 2010

Bah en faites, avant que je commence ce que tu ma dis de faire j'avais fais une grosse analyse de mon pc et il m'avais trouver un virus et depuis il en as trouver plein :s Fin je l'ai pas remis a jour depuis que je fais ce que tu dis, donc je la relance là et comme ça je verrai si il trouve la même chose.
Messages postés
24
Date d'inscription
samedi 2 octobre 2010
Statut
Membre
Dernière intervention
5 octobre 2010

Bah c'est bizarre il me dit qu'il y a toujours les même virus :s
Messages postés
24
Date d'inscription
samedi 2 octobre 2010
Statut
Membre
Dernière intervention
5 octobre 2010

Je trouve ça bizarre que l'autre logiciel n'en trouve pas =s !
Utilisateur anonyme
je peux lire un rapport ou savoir l emplacement des fichiers en question avec leur nom ?
Messages postés
24
Date d'inscription
samedi 2 octobre 2010
Statut
Membre
Dernière intervention
5 octobre 2010

En quarantaine virus HEUR:Trojan.Win32.Generic C:\Documents ans Settings\jennifer leclerc\Application data\hotfix.exe

En quarantaine virus HEUR:Trojan.Win32.Generic C:\Documents ans Settings\jennifer leclerc\Local settings\Temp\flbc5C+.exe.part

En quarantaine virus HEUR:Trojan.Win32.Generic C:\Documents ans Settings\jennifer leclerc\Local settings\Temp\flbc5C+.exe.part//UPX

En quarantaine virus HEUR:Trojan.Win32.Generic C:\System Volume Information\_restore{07711481-A078-4CA4-95BC-BC8C0B5A1F2E}\RP141\A0077484.EXE

En quarantaine virus HEUR:Trojan.Win32.Generic C:\System Volume Information\_restore{07711481-A078-4CA4-95BC-BC8C0B5A1F2E}\RP141\A0077484.EXE//UPX

En quarantaine virus HEUR:Trojan.Win32.Generic C:\System Volume Information\_restore{07711481-A078-4CA4-95BC-BC8C0B5A1F2E}\RP141\A0077707.exe

En quarantaine virus HEUR:Trojan.Win32.Generic C:\System Volume Information\_restore{07711481-A078-4CA4-95BC-BC8C0B5A1F2E}\RP141\A0077707.exe//UPX

▶ Télécharge Dr Web CureIt sur ton Bureau :

▶ redemarre en mode sans échec


▶- Double clique (clic droit "en tant qu'admin" sous Vista) <drweb-cureit.exe> et ensuite clique sur <Analyse>;

▶- Clique <Ok> à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton <Oui>.

Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X".

▶- Lorsque le scan rapide est terminé, clique sur le menu <Options> puis <Changer la configuration> ; Choisis l'onglet <Scanner>, et décoche <Analyse heuristique>. Clique ensuite sur <Ok>.
▶- De retour à la fenêtre principale : clique pour activer <Analyse complète>

selectionne tous les disques


▶- Clique le bouton avec flèche verte sur la droite, et le scan débutera.
▶- Clique <Oui> pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter".
▶- Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône <Suivant>, au dessous, et choisis <Déplacer en quarantaine l'objet indésirable>.
▶- Du menu principal de l'outil, au haut à gauche, clique sur le menu <Fichier> et choisis <Enregistrer le rapport>. Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv


▶-pour le rapport tu l enregistres sur ton bureau , tu clic droit dessus /envoyer vers / dossiers compresses

ensuite :

tu m'envoies l'archive comme ceci :

clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.

▶- Ferme Dr.Web Cureit
▶- Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage).