besoin d'un nettoyage!

Question

Bonjour, sur mon netbook, j'ai la forte impression d'être infecté par plusieurs bêtes hostiles que je ne sais pas nommer.
J'ai donc lancé plusieurs programmes du genre spybot, malwarebyte, ad malware..
Apparemment sans trop de résultat, puisque quand je lance une recherche sur Google, j'arrive sur 'moneo', ou bien, un certain 'generichost process' doit fermer et je fini souvent bloqué. Parfois, ma barre des tâches devient blanche plutôt que bleue.
Il y a quelques jours, j'ai passé 4 ou 5 h à supprimer 'ThinkPoint' grâce à ce forum, par l'intermédiaire de mon ordi fixe. Alors, aujourd'hui, si quelqu'un veut bien m'aider à faire un bon nettoyage, j'en serais tout content.
Laurent.




Configuration: Windows XP / Internet Explorer 7.0

flo-91 · Answer

Bonjour, :

On va commencer par analyser ton pc, :

Télécharges Zhpdiag ici : https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Une fois le téléchargement achevé, dézippes le fichier obtenu et place ZHPDiag.exe sur ton Bureau.

Double-clique sur l'icône pour lancer le programme.

Clique sur Tous pour cocher toutes les cases des options.

Clique sur la loupe pour lancer l'analyse.

A la fin de l'analyse, clique sur l'appareil photo et enregistre le rapport sur ton Bureau.

Ouvre le fichier sauvegardé (ZHPDiag.txt)avec le Bloc-Notes et copie son contenu dans ta réponse.

Rends toi sur http://www.cijoint.fr clic sur Parcourir, choisis le rapport sur ton bureau et clic sur Créer le lien,
Un lien te sera généré, postes le dans ta prochaine réponse .

16laurent33 · Answer

Merci de bien vouloir me donner la main.
J'ai fais ce que tu me demande, jusqu'au moment de créer le lien sur cijoint.fr, le problème, c'est que systématiquement, à ce moment là,  `internet explorer ne peut pas afficher cette page web'.
J'ai donc essayé avec un autre site `partage_fichier', et c'est le même résultat, impossible pour l'instant de produire ce lien.
Pour l'instant, il vaut mieux pour l'ordi que je lâche l'affaire.
Je referai donc un essai dans la soirée ou demain.
A plus
Laurent

16laurent33 · Answer

C'est de nouveau, moi, en passant par un autre PC, j'ai réussi.
Voila donc le lien:
http://www.cijoint.fr/cjlink.php?file=cj201010/cijhEQSSc1.txt
Merci
Laurent

flo-91 · Answer

Tu es infecté par un rootkit, fait ceci :


# Télécharge Load_TDSSkiller de Loup Blanc sur ton Bureau,      

# Fais un double-clic sur Load_TDSSkiller (ou sous Vista, fais un clic droit et choisis d'exécuter en tant qu'administrateur),      

# L'outil va alors se connecter au net pour télécharger la dernière version de cet outil de Kaspersky,      

# A la fin de l'analyse, appuie sur une touche pour continuer, comme l'indique le message dans le fenêtre qui s'affiche à l'écran,      

# Le rapport va alors s'afficher automatiquement à l'écran,      
# Copie-colle son contenu dans ta prochaine réponse. Il est également enregistré ici : C:	dsskillereport.txt      

# Redémarre le pc.      


Tuto=> https://forum.malekal.com/viewtopic.php?t=22358&start=

16laurent33 · Answer

Bonsoir, voila le rapport de Load_TDSSkiller. Et, j'ai créer le lien avec cijoint.fr sans problème.

http://www.cijoint.fr/cjlink.php?file=cj201010/cijSU1FZCs.txt 

bonne soirée.
laurent

flo-91 · Answer

Ok, a suite :


>Telecharge Combofix ici et enregistre le sur ton bureau :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe


# Ferme toutes les fenêtres de programme ouvertes, y compris celle-ci.

# Ferme ou désactivez tous les programmes Antivirus, Antispyware, ainsi que tout pare-feu en cours d'exécution car ils pourraient perturber le fonctionnement de ComboFix.

#Double clic sur l'icône de ComboFix située sur le Bureau. Note bien que, une fois que tu as lancé ComboFix, tu ne dois pas cliquer dans la fenêtre de ComboFix car cela pourrait entraîner un plantage du programme. En fait, lorsque ComboFix tourne, ne touche plus du tout à ton pc. L'analyse peut prendre un certain temps, donc soit patient. 

#Une fenêtre présentant les différents sites autorisés de téléchargement de ComboFix s'affiche. Dans cette fenêtre, clique sur le bouton OK.

#Après la fin de la sauvegarde du Registre Windows, ComboFix va essayer de savoir si la Console de récupération est installée. Si tu ne l'a pas déja fait accepte.

#Ceci peut durer un certain temps, donc surtout soit patient. Si tu vois ton Bureau Windows disparaître, ne t'inquiete pas. C'est normal, et ComboFix restaurera votre Bureau avant de se terminer. Finalement, tu verras un nouvel affichage déclarant que le programme a presque fini et vous annonçant que le fichier rapport, ou log, se trouvera dans C:\ComboFix.txt.

#Poste ce rapport.

16laurent33 · Answer

voila là suite, 
http://www.cijoint.fr/cjlink.php?file=cj201010/cijoBjfVlY.txt 
A plus tard.
Laurent

16laurent33 · Answer

He Ben voilà,
http://www.cijoint.fr/cjlink.php?file=cj201010/cij4H8nW5s.txt 
Sur ce, il y en a une qui m'attend.
Bonne nuit donc et à plus tard.
Encore merci
Laurent

flo-91 · Answer

Bien, ton processus légitime svchost.exe est infecté, fait ceci :


Télécharge WinFileReplace(de Loup_blanc)
http://fradesch.perso.cegetel.net/transf/WinFileReplace.exe

Ferme tout tes programmes puis double clique sur l'icone WinFileReplace
Choisis ta langue puis clique sur [Enter]
Laisse le programme vérifier ta version de Windows

Dans le bloc-note(qui viens de s'ouvrir)
copie/colle ce qui est en gras ci-dessous

C:\Windows\System32\Svchost.exe


Enregistre et ferme le bloc-note
***sois patient*** cela peut prendre plusieurs minutes(le % d'avancement du téléchargement apparaît en haut de la fenêtre).
Accepte le contrat de licence d'utilisateur de Microsoft

clique sur "O" puis [Enter]
Une fois le remplacement effectué, il te sera demandé de redémarrer ton PC
Accepte
poste le rapport!

16laurent33 · Answer

Bonjour, et bon dimanche, malheureusement pluvieux en Gironde.
J'ai donc lancé http://fradesch.perso.cegetel.net/transf/WinFileReplace.exe comme demandé, 
Et voici le nouveau rapport de Zhpdiag.
A plus.
Laurent

16laurent33 · Answer

oups, j'ai oublié le principal:
http://www.cijoint.fr/cjlink.php?file=cj201010/cijNOvIZb8.txt 
désolé..

16laurent33 · Answer

Voila donc le bon rapport, enfin, je pense.
http://www.cijoint.fr/cjlink.php?file=cj201010/cijHaBruWx.txt 
A plus
Laurent

flo-91 · Answer

Reposte un nouveau rapport ZHPDIAG stp.

16laurent33 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201010/cijJ3fJsXz.txt 

Voila..

flo-91 · Answer

Encore infecté...
Fait ceci :

Telecharge ce fichier sur ton bureau :
http://sd-4.archive-host.com/membres/up/829108531491024/svchost.exe

Puis :

Télécharger le programme sur ce lien : http://pagesperso-orange.fr/NosTools/C_XX/SEAF.exe

Il ne nécessite pas d'installation .
Double-clique sur le fichier SEAF.exe obtenu.


Dans "entrer ci-dessous le ou les occurences à chercher" tu tape :
svchost.exe

Il faut que les cases soit cochées de cette facon :

https://i65.servimg.com/u/f65/11/05/93/83/seaf10.jpg

Poster ce rapport par copier-coller en réponse dans le sujet où il a été demandé.

IL sera enregistré ici : C:\SEAFlog.txt ainsi qu'un rapport C:\TmpSeaf.txt

16laurent33 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201010/cij4u7Q9HH.txt 

voila le dernier rapport demandé.
Si je veux t'envoyer un MP, il faut que je sois enregistrer?
Si c'est le cas, je suis mal parti, car je ne reçois pas le mail où le lien pour valider mon inscription devrait être.(même dans les spams!)
A plus,
Laurent

flo-91 · Answer

Tu as combofix sur ton pc, on va le réutiliser :

Avant d'utiliser ComboFix :

Ferme les fenêtres de tous les programmes en cours.

Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.


» ouvre ton bloc note[executer--notepad] et copies/colles le contenu du cadre ci dessous:



KillAll::

FCopy::



C:\Documents and Settings\laurent\Bureau\svchost.exe | C:\Windows\System32\svchost.exe 






> Va en haut de la page et clique sur le menu"Fichier" , une liste apparait=>
> Choisis "Enregistrer sous" et choisis "Bureau"
> Dans le champs "Nom du fichier" en bas de page donne le nom suivant:CFScript
> Clique sur le bouton "Enregistrer" à droite du champs "nom du fichier"
> Quitte le Bloc Notes.
> Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe


* suis les instructions
* ça va etre rapide
* Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
* Si le fichier n'apparait pas, il se trouve ici > C:\ComboFix.txt

16laurent33 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201010/cijauIEzvF.txt 
 Voila le lien, en espérant avoir bien fait le glisser/déposer.

flo-91 · Answer

Bien, reposte un nouveau rapport ZHPDIAG stp.

16laurent33 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201010/cijek7l6TU.txt 

Et voila mon rapport.

flo-91 · Answer

Salut,

Fait ceci :


> Téléchargez Defogger (de jpshortstuff) sur votre Bureau : http://www.jpshortstuff.247fixes.com/Defogger.exe
> Lancez le
> Une fenêtre apparait : cliquez sur "Disable"
> Faîtes redémarrer l'ordinateur si l'outil vous le demande
> Quand vous aurez terminé la désinfection, vous pourrez réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable"


Puis :


>Telecharge malwarebytes ici :


https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/

. sur la page cliques sur Télécharger Malwarebyte's Anti-Malware
. enregistres le sur le bureau
/!\Utilisateur de Vista : Clique droit sur le logo de Malwarebytes' Anti-Malware, « exécuter en tant qu'Administrateur »

. Double cliques sur le fichier téléchargé pour lancer le processus d'installation.
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes
. Une fois la mise à jour terminé
. rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre.
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, cliques sur Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
. rends toi dans l'onglet rapport/log
. tu cliques dessus pour l'afficher une fois affiché
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller


Si tu as besoin d'aide regarde ce tutoriel :
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

16laurent33 · Answer

bonsoir, voila le resultat:
Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 5016

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.13

01/11/2010 21:36:10
mbam-log-2010-11-01 (21-36-10).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 175909
Temps écoulé: 43 minute(s), 49 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\Software\Microsoft\bk (Malware.Trace) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Documents and Settings\laurent\Bureau\svchost.exe (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.

flo-91 · Answer

Bien , sa se termine, reposte un nouveau rapport ZHPDIAG stp.

16laurent33 · Answer

Salut, flo,  voila le rapport ZHPDIAG.
Sinon, j'ai une petite question,
Dans le rapport, au niveau  « Site dans la Zone de confiance d'Internet Explorer », il apparaît
         Trusted Zone: [HKLM\...\Domains] http.cyber-deployment.com
         Trusted Zone: [HKet qu'en principe, je les aisLM\...\Domains\www] http.cyber-deployment.com
Il se trouve que je ne sais ce que c'est, que ce n'est pas moi qui les ais mis là, et que en principe, je les avais enlevés, d'ailleurs, ils n'apparaissent plus. Sauf sur les rapports que je t'envoies. Si tu as une idée..
http://www.cijoint.fr/cjlink.php?file=cj201011/cijIOlDZx7.txt 
A plus, laurent

flo-91 · Answer

Sinon, j'ai une petite question,
Dans le rapport, au niveau « Site dans la Zone de confiance d'Internet Explorer », il apparaît
Trusted Zone: [HKLM\...\Domains] http.cyber-deployment.com
Trusted Zone: [HKet qu'en principe, je les aisLM\...\Domains\www] http.cyber-deployment.com 


Effectivement, on  va remédier a cela apres :)
Bien, la suite :


* Lance ZHPFix (via ZHPDiag)
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
* Copie/colle les lignes suivantes et place les dans ZHPFix :

[HKLM\Software\PopCap]    
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe   
O44 - LFC:[MD5.35C87E18C77955A80DEA086208F5E757] - 30/10/2010 - 17:44:19 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\MBR.exe
O4 - HKCU\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe

* Clique sur « Tous », puis sur « Nettoyer »
* Copie/colle la totalité du rapport dans ta prochaine réponse

16laurent33 · Answer

Rapport de ZHPFix 1.12.3213 par Nicolas Coolman, Update du 27/10/2010
Fichier d'export Registre : C:\ZHPExportRegistry-02-11-2010-20-42-17.txt
Run by laurent at 02/11/2010 20:42:17
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé(s) du Registre ==========
HKLM\Software\PopCap  => Clé supprimée avec succès

========== Valeur(s) du Registre ==========
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe  => Valeur supprimée avec succès
O4 - HKCU\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe  => Valeur supprimée avec succès

========== Fichier(s) ==========
c:\windows\mbr.exe  => Supprimé et mis en quarantaine
c:\windows\system32\ctfmon.exe  => Supprimé et mis en quarantaine


========== Récapitulatif ==========
1 : Clé(s) du Registre
2 : Valeur(s) du Registre
2 : Fichier(s)


End of the scan


ça supprime...

laurent

flo-91 · Answer

effectivement, je suis étourdi, j'auraidu le refaire avant :  

Relance ZHPFIX :  


* Lance ZHPFix (via ZHPDiag)  
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)  
* Copie/colle les lignes suivantes et place les dans ZHPFix :  

O15 - Trusted Zone: [HKLM\...\Domains] http.cyber-deployment.com  
O15 - Trusted Zone: [HKLM\...\Domains\www] http.cyber-deployment.com  
O4 - HKUS\S-1-5-21-3183572086-2217694830-2937275357-1005\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe     

* Clique sur « Tous », puis sur « Nettoyer »  
* Copie/colle la totalité du rapport dans ta prochaine réponse  


Puis : 

Un nouveau rapport ZHPDIAG stp pour pouvoir terminer normalement :) 
 *>flo-91<*®  

N'hésitez pas a faire un tour dans la faq du forum ( rubrique astuce ),   
il y a peut être déjà  la solution à votre problème   =)

16laurent33 · Answer

Rapport de ZHPFix 1.12.3213 par Nicolas Coolman, Update du 27/10/2010
Fichier d'export Registre : C:\ZHPExportRegistry-02-11-2010-22-10-56.txt
Run by laurent at 02/11/2010 22:10:56
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Valeur(s) du Registre ==========
O15 - Trusted Zone: [HKLM\...\Domains\www] http.cyber-deployment.com  => Valeur absente
O4 - HKUS\S-1-5-21-3183572086-2217694830-2937275357-1005\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe  => Valeur absente

========== Elément(s) de donnée du Registre ==========
O15 - Trusted Zone: [HKLM\...\Domains] http.cyber-deployment.com  => Donnée supprimée avec succès

========== Fichier(s) ==========
c:\windows\system32\ctfmon.exe  => Supprimé et mis en quarantaine


========== Récapitulatif ==========
2 : Valeur(s) du Registre
1 : Elément(s) de donnée du Registre
1 : http://www.cijoint.fr/cjlink.php?file=cj201011/cijs631G6U.txt 
Fichier(s)


End of the scan

Voila pour un...

http://www.cijoint.fr/cjlink.php?file=cj201011/cijs631G6U.txt 
et voila pour l'autre..
Laurent

Besoin d'un nettoyage!

28 réponses

Votre réponse

Discussions similaires

Newsletters