Chebal de troie

Question

Bonjour, 



Configuration: Windows 7 / Internet Explorer 7.0

J'ai des messages de mon anti virus qui a bloqué Cheval de troie.  J'ai aussi un message disant que Windows ne peut plus trouver d'espace sur mon disque dur.

Besoin d'aide :)

Merci

gen-hackman · Answer

salut tu as le nom des chevaux de troie ?

lallice · Answer

non, je n'ai pas le nom.
Mon ordi redemarre a tout les 20 minutes aussi.  
Je comprend rien!

gen-hackman · Answer

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 Coche les 2 cases Lop et Purity

&#9654 Coche la case devant tous les utilisateurs

&#9654 règle age du fichier sur "60 jours"

&#9654 dans la moitié gauche , mets tout sur "tous"

ne modifie pas ceci : 

"fichiers créés" et "fichiers Modifiés" 

&#9654Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus.

&#9654 Clique sur Ouvrir.

&#9654 Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

&#9654 Copie ce lien dans ta réponse.

&#9654&#9654 Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

lallice · Answer

Voici les 2 liens

http://www.cijoint.fr/cjlink.php?file=cj201011/cijGFHNIdt.txt 

http://www.cijoint.fr/cjlink.php?file=cj201011/cijB1ndd20.txt

gen-hackman · Answer

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!! (car l'outil est detecté a tort comme infection contenant un module qui sert à arrêter des processus , et un autre servant à prendre des droits dans le registre pour effectuer des suppressions)

&#9654 Télécharge ici :List_Kill'em

 et enregistre le sur ton bureau 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

&#9830 Executer List_Kill'em

une fois terminée , clic sur "terminer" et le programme se lancera seul

Il commencera par telecharger et installer ses mises à jour , puis te donnera son menu

choisis l'option Search

&#9654 laisse travailler l'outil

il se peut qu'une boite de dialogue s'ouvre , dans ce cas clique sur "ok" ou "Agree"

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal ,c'est une recherche supplementaire de fichiers cachés , le programme n'est pas bloqué.

&#9654 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM 

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/ 

&#9654 Clique sur Parcourir et cherche le fichier C:\List'em.txt 

&#9654 Clique sur Ouvrir. 

&#9654 Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt 

est ajouté dans la page. 

&#9654 Copie ce lien dans ta réponse. 

&#9654 Fais de même avec more.txt qui se trouve sur ton bureau

lallice · Answer

Voici les liens

http://www.cijoint.fr/cjlink.php?file=cj201011/cijEPKCENC.txt 

http://www.cijoint.fr/cjlink.php?file=cj201011/cijoQFVAS1.txt

gen-hackman · Answer

alors dans l'ordre suis exactement les consignes : 

1/..... 

si tu as XP => double clique 
si tu as Vista ou windows 7 => clic droit "executer en tant que...."  

&#9654 Relance List&Kill'em , avec le raccourci sur ton bureau. 

mais cette fois-ci : 

&#9654 choisis l'option Tools puis Kill Proxy 

laisse travailler l'outil. 

en fin de scan un rapport s'ouvre  

&#9654 colle le contenu dans ta reponse  

ferme List_Kill'em

=========================== 

2/.... 

clique droit sur ce lien : 

http://sd-4.archive-host.com/membres/up/829108531491024/Mes_Tools/Temp_Tools/Sup.bat 

enregistrer la cible sous ...=> sur ton bureau 

clic droit sur le fichier enregistré sur ton bureau et choisis "executer en tant qu'administrateur" ,  

ca va aller très vite c'est normal,ca va s ouvrir et se refermer aussi sec 

=========================== 

3/....... 

si tu as XP => double clique 
si tu as Vista ou windows 7 => clic droit "executer en tant que...."  

&#9654 Relance List_Kill'em,avec le raccourci sur ton bureau. 

mais cette fois-ci : 

&#9654 choisis l'Option Clean 

&#9654&#9654&#9654 Ne clique qu'une seule fois sur le bouton !! 

laisse travailler l'outil. 

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau , 

&#9654 colle le contenu dans ta reponse  
¤¤¤¤¤¤?G3?-?@¢??@?(TM)©®?¤¤¤¤¤&#164

lallice · Answer

la boite de list kill'em s'ouvre... je click sur tools mais il n'y a rien qui se passe.  Le programme ne se lance pas

gen-hackman · Answer

ok passe par là :

clic droit executer en tant qu'administrateur sur C:\Program Files (X86)\List_Kill'em\Kill_Prx

lallice · Answer

je l'ai ouvert de cette nouvelle facon et la fentetre s'est fermé... mais j'ai sur message sur bloc note

¤¤¤¤¤¤¤¤¤¤ Proxy_Kill by Gen-Hackman

¤¤¤¤¤¤¤¤¤¤ Internet Explorer ¤¤¤¤¤¤¤¤¤¤







¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ 

c'est ok?  Je peux passer a l'etape 2?

gen-hackman · Answer

oui continue

tu es sure de clic droit "executer...etc.."
avec tes protections desactivées ?

lallice · Answer

oui c'est se que je fais... je crois que list kill'em focntionne plus de mon côté.  Je suivi tes directives mais rien.  L'icone sur mon bureau est tout blanc.  Crois tu que d'installer a nouveau ferait fonctionner a nouveau?

gen-hackman · Answer

oui en cliquant droit "executer.....blabla"

lallice · Answer

Voici... ca fontionné!

¤¤¤¤¤¤¤¤¤¤ Proxy_Kill by Gen-Hackman

¤¤¤¤¤¤¤¤¤¤ Internet Explorer ¤¤¤¤¤¤¤¤¤¤

HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings : ProxyEnable = 0 Value Set Successfully !!  
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings : ProxyHttp1.1 = 1 Value Set Successfully !!  

HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings : ProxyEnable = 0 Value Set Successfully !!  
HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings : ProxyHttp1.1 = 1 Value Set Successfully !!  

HKU\.Default\Software\Microsoft\Windows\CurrentVersion\Internet Settings : ProxyEnable = 0 Value Set Successfully !!  
HKU\.Default\Software\Microsoft\Windows\CurrentVersion\Internet Settings : ProxyHttp1.1 = 1 Value Set Successfully !!  




¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ 


¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.1.2.0 ¤¤¤¤¤¤¤¤¤¤ 
 
User : Cedric (Administrateurs) 
Update on 23/11/2010 by g3n-h@ckm@n ::::: 12.00
Start at: 22:43:22 | 2010-11-23

Intel(R) Core(TM)2 Duo CPU     T6600  @ 2.20GHz
Microsoft Windows 7 Édition Familiale Premium  (6.1.7600 64-bit) # 
Internet Explorer 8.0.7600.16385
Windows Firewall Status : Enabled

C:\ -> Disque fixe local | 285,16 Go (232,77 Go free) | NTFS
D:\ -> Disque fixe local | 12,74 Go (2,13 Go free) [RECOVERY] | NTFS
E:\ -> Disque CD-ROM
 

¤¤¤¤¤¤¤¤¤¤ Files/folders : 

Quarantined & Deleted !! : C:\Users\Cedric\AppData\Local\GDIPFONTCACHEV1.DAT   
Quarantined & Deleted !! : C:\Windows\Installer\{86D4B82A-ABED-442A-BE86-96357B70F4FE}   
Quarantined & Deleted !! : C:\Windows\System32\_ISEffects10.dll   
Quarantined & Deleted !! : C:\Windows\System32\_ISource22.dll   
Quarantined & Deleted !! : C:\Windows\System32\x64   
Quarantined & Deleted !! : C:\Windows\Temp\GURBEFB.tmp   
Quarantined & Deleted !! : C:\Windows\Temp
snFEEE.tmp   
Quarantined & Deleted !! : C:\Windows\Temp\TS_253.tmp   
Quarantined & Deleted !! : C:\Windows\Temp\TS_9C4.tmp   
Quarantined & Deleted !! : C:\Windows\Temp\TS_B6C6.tmp   
Quarantined & Deleted !! : C:\Windows\Temp\TS_D2E.tmp   
Quarantined & Deleted !! : C:\Windows\Temp\TS_DB90.tmp   
Quarantined & Deleted !! : C:\Windows\Temp\TS_E62B.tmp   
Quarantined & Deleted !! : C:\Windows\Temp\TS_F61.tmp   
Quarantined & Deleted !! : C:\Windows\Temp\UDD9677.tmp   
 
¤¤¤¤¤¤¤¤¤¤ Hosts ¤¤¤¤¤¤¤¤¤¤

127.0.0.1       localhost   

¤¤¤¤¤¤¤¤¤¤ Registry ¤¤¤¤¤¤¤¤¤¤

Deleted : "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" : "NoActiveDesktop"   
Deleted : "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer" : "NoActiveDesktopChanges"   
Deleted : "HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}"    
Deleted : HKCR\TypeLib\{4509d3cc-b642-4745-b030-645b79522c6d}    
Deleted : HKLM\software\classes\appid\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}    

¤¤¤¤¤¤¤¤¤¤ Internet Explorer ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page	=         	https://www.msn.com/fr-fr/?ocid=iehp
Local Page	=         	C:\WINDOWS\system32\blank.htm
Default_Search_URL	=         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
Default_Page_URL	=         	https://www.msn.com/fr-fr/?ocid=iehp
Search Page	=         	https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page	=         	https://www.google.com/?gws_rd=ssl
Local Page	=         	C:\WINDOWS\system32\blank.htm
Search Page	=         	http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

¤¤¤¤¤¤¤¤¤¤ Security Center ¤¤¤¤¤¤¤¤¤¤

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center] 
FirstRunDisabled	=      	1 (0x1) 
AntiVirusDisableNotify	=      	0 (0x0) 
FirewallDisableNotify	=      	0 (0x0) 
UpdatesDisableNotify	=      	0 (0x0) 
AntiVirusOverride	=      	0 (0x0) 
FirewallOverride	=      	0 (0x0) 
 
¤¤¤¤¤¤¤¤¤¤ Services ¤¤¤¤¤¤¤¤¤¤

 Ndisuio : Start = 3   
 EapHost : Start = 2   
 Wlansvc : Start = 2   
 SharedAccess : Start = 2   
 windefend : Start = 2   
 wuauserv : Start = 2   
 wscsvc : Start = 2   
 
 ¤¤¤¤¤¤¤¤¤¤ Winlogon
 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 
 Shell	=         	explorer.exe 
 Userinit	=         	C:\Windows\SysWow64\userinit.exe, 

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
Disk Cleaned
anti-ver blaster : OK  
Prefetch cleaned 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

FEATURE_BROWSER_EMULATION | svchost : 
====================================
 

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 6.1.7600 

device: opened successfully
user: error reading MBR 

Disk trace:
error: Read  Descripteur non valide
kernel: error reading MBR 
 


End of Scan : 22:44:21,05

 
 
 
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

gen-hackman · Answer

tu as fait le 2/..... aussi ?

lallice · Answer

oui les 3 étapes

gen-hackman · Answer

refais un scan OTL stp

lallice · Answer

Voici!

http://www.cijoint.fr/cjlink.php?file=cj201011/cijxqTw9FQ.txt

gen-hackman · Answer

1/....  

si tu as XP => double clique  
si tu as Vista ou windows 7 => clic droit "executer en tant que...."   

sur OTL.exe pour le lancer.  


&#9654Copie la liste qui se trouve en gras ci-dessous,  

&#9654 colle-la dans la zone sous "Personnalisation" :  

  
:processes  
explorer.exe  
iexplore.exe  
firefox.exe  
msnmsgr.exe  
Teatimer.exe  
IJJGlTIlJx.exe      

:OTL  
O2 - BHO: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll (Ask.com)     
O2 - BHO: (SMTTB2009 Class) - {FCBCCB87-9224-4B8D-B117-F56D924BEB18} - C:\Program Files (x86)\HyperCam Toolbar	bcore3.dll ()    
O3 - HKLM\..\Toolbar: (HyperCam Toolbar) - {338B4DFE-2E2C-4338-9E41-E176D497299E} - C:\Program Files (x86)\HyperCam Toolbar	bcore3.dll ()    
O3 - HKLM\..\Toolbar: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll (Ask.com)   
O3 - HKU\S-1-5-21-4088545423-505642669-145942901-1001\..\Toolbar\WebBrowser: (HyperCam Toolbar) - {338B4DFE-2E2C-4338-9E41-E176D497299E} - C:\Program Files (x86)\HyperCam Toolbar	bcore3.dll ()     
O3 - HKU\S-1-5-21-4088545423-505642669-145942901-1001\..\Toolbar\WebBrowser: (Ask Toolbar) - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll (Ask.com)   
O4 - HKLM..\Run: []  File not found  
O4 - HKU\S-1-5-21-4088545423-505642669-145942901-1001..\Run: [IJJGlTIlJx.exe] C:\Users\Cedric\AppData\Local\Temp\IJJGlTIlJx.exe ( )   
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_14-windows-i586.cab (Java Plug-in 1.6.0_14)    
O16 - DPF: {CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_14-windows-i586.cab (Java Plug-in 1.6.0_14)    

:Reg  
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]  
"Adobe Reader Speed Launcher"=-  
"iTunesHelper"=-  
"QuickTime Task"=-  
"SoundMan"=-  

:Files   
C:\ProgramDataegid.1986-12.com.adobe    
C:\Users\Cedric\Desktop\Sup.bat    
@Alternate Data Stream - 121 bytes -> C:\ProgramData\Temp:DFC5A2B2    
@Alternate Data Stream - 109 bytes -> C:\ProgramData\Temp:A8ADE5D8    

:commands  
[emptytemp]  
[start explorer]  
[reboot]  
  

&#9654 Clique sur "Correction" pour lancer la suppression.  


&#9654 Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage. 

sinon tu le retrouveras ici :

C:\_OTL\Moved Files\la_date_et_l'heure.txt 

=====================================  

2/.....  


&#9654 Télécharge ici : Ad-remover sur ton bureau :   


&#9654 Déconnecte toi et ferme toutes applications en cours !   

si tu as XP => double clique  
si tu as Vista ou windows 7 => clic droit "executer en tant que...."   

&#9654 sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut .   

&#9654 clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .  
   
&#9654 Au menu principal choisis "option Nettoyer" et tape sur [entrée] .  

&#9654 Laisse travailler l'outil et ne touche à rien ...   

&#9654 Poste le rapport qui apparait à la fin , sur le forum ...  

( Le rapport est sauvegardé aussi sous C:\Ad-report.log )   
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )   

&#9654 Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.   
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.   
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.       

=========================  

3/........  


Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.  



&#9654 Télécharge ici :  

Malwarebytes    

ou  :  

Malwarebytes  

&#9654 Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .  

(NB : Si tu as un message d'erreur t'indiquant qu'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : COMCTL32.OCX  

&#9654 Potasses le Tuto pour te familiariser avec le prg :  


( cela dit, il est très simple d'utilisation ).  

relance malwarebytes en suivant scrupuleusement ces consignes :  

! Déconnecte toi et ferme toutes applications en cours !  

&#9654 Lance Malwarebyte's .  

Fais un examen dit "Complet" .  

&#9654 Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).  
&#9654 à la fin tu cliques sur "résultat" .  
&#9654 Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .  

&#9654 Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


&#9654 Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)  

======================== 

4/..... 

mets tes rapports à la suite , je vais me reposer on continuera dans la journée 
je suis là depuis midi et j ai les yeux qui saturent ^^ 

à plus tard :) 

¤¤¤¤¤¤?G3?-?@¢??@?(TM)©®?¤¤¤¤¤&#164

lallice · Answer

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
Process iexplore.exe killed successfully!
No active process named firefox.exe was found!
Process msnmsgr.exe killed successfully!
No active process named Teatimer.exe was found!
No active process named IJJGlTIlJx.exe was found!
========== OTL ==========
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}\ deleted successfully.
C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll moved successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{FCBCCB87-9224-4B8D-B117-F56D924BEB18}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{FCBCCB87-9224-4B8D-B117-F56D924BEB18}\ deleted successfully.
C:\Program Files (x86)\HyperCam Toolbar	bcore3.dll moved successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\{338B4DFE-2E2C-4338-9E41-E176D497299E} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{338B4DFE-2E2C-4338-9E41-E176D497299E}\ deleted successfully.
File C:\Program Files (x86)\HyperCam Toolbar	bcore3.dll not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\{D4027C7F-154A-4066-A1AD-4243D8127440} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}\ not found.
File C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll not found.
Registry value HKEY_USERS\S-1-5-21-4088545423-505642669-145942901-1001\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{338B4DFE-2E2C-4338-9E41-E176D497299E} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{338B4DFE-2E2C-4338-9E41-E176D497299E}\ not found.
File C:\Program Files (x86)\HyperCam Toolbar	bcore3.dll not found.
Registry value HKEY_USERS\S-1-5-21-4088545423-505642669-145942901-1001\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{D4027C7F-154A-4066-A1AD-4243D8127440} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}\ not found.
File C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\ deleted successfully.
Registry value HKEY_USERS\S-1-5-21-4088545423-505642669-145942901-1001\Software\Microsoft\Windows\CurrentVersion\Run\IJJGlTIlJx.exe deleted successfully.
C:\Users\Cedric\AppData\Local\Temp\IJJGlTIlJx.exe moved successfully.
Starting removal of ActiveX control {8AD9C840-044E-11D1-B3E9-00805F499D93}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Starting removal of ActiveX control {CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0014-ABCDEFFEDCBA}\ not found.
========== REGISTRY ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Adobe Reader Speed Launcher deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\iTunesHelper deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\QuickTime Task deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\SoundMan not found.
========== FILES ==========
C:\ProgramDataegid.1986-12.com.adobe folder moved successfully.
C:\Users\Cedric\Desktop\Sup.bat moved successfully.
ADS C:\ProgramData\Temp:DFC5A2B2 deleted successfully.
ADS C:\ProgramData\Temp:A8ADE5D8 deleted successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Cedric
->Temp folder emptied: 619612128 bytes
->Temporary Internet Files folder emptied: 905607051 bytes
->Java cache emptied: 59946310 bytes
->Google Chrome cache emptied: 6168809 bytes
->Flash cache emptied: 197738 bytes
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 41620 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: Public
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 314011301 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 50540 bytes
RecycleBin emptied: 142405902 bytes
 
Total Files Cleaned = 1,953.00 mb
 
 
OTL by OldTimer - Version 3.2.17.3 log created on 11232010_232848

lallice · Answer

======= RAPPORT D'AD-REMOVER 2.0.0.2,B | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 11/11/10 à 11:40
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files (x86)\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 23:41:52 le 23/11/2010, Mode normal

Microsoft Windows 7 Édition Familiale Premium   (X64) 
Cedric@CEDRIC-PC (Hewlett-Packard HP G71 Notebook PC) 
 
============== ACTION(S) ==============


Dossier supprimé: C:\Program Files (x86)\Ask.com
Dossier supprimé: C:\Users\Cedric\AppData\LocalLow\AskToolbar
Dossier supprimé: C:\Users\Cedric\AppData\LocalLow\Toolbar4

(!) -- Fichiers temporaires supprimés.


Clé supprimée: HKLM\Software\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}
Clé supprimée: HKLM\Software\Classes\CLSID\{1E61ED7C-7CB8-49D6-B9E9-AB4C880C8414}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{1E61ED7C-7CB8-49D6-B9E9-AB4C880C8414}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{1E61ED7C-7CB8-49D6-B9E9-AB4C880C8414}
Clé supprimée: HKLM\Software\Classes\AppID\{3EBC05B0-0F38-4912-ADCC-E37B58372712}
Clé supprimée: HKLM\Software\Classes\CLSID\{D2CE3E00-F94A-4740-988E-03DC2F38C34F}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D2CE3E00-F94A-4740-988E-03DC2F38C34F}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D2CE3E00-F94A-4740-988E-03DC2F38C34F}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D2CE3E00-F94A-4740-988E-03DC2F38C34F}
Clé supprimée: HKLM\Software\Classes\AppID\{EE5E2FD6-07B5-41A5-AD55-1D5C26833D4B}
Clé supprimée: HKLM\Software\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
Clé supprimée: HKLM\Software\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
Clé supprimée: HKLM\Software\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
Clé supprimée: HKLM\Software\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd
Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd.1
Clé supprimée: HKLM\Software\Classes\AppID\GenericAskToolbar.DLL
Clé supprimée: HKCU\Software\Ask.com
Clé supprimée: HKCU\Software\AppDataLow\AskToolbarInfo
Clé supprimée: HKCU\Software\AppDataLow\Software\AskToolbar
Clé supprimée: HKLM\Software\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé supprimée: HKLM\Software\Classes\Installer\Products\A8F1E4D2B109DBB43B116B5E069560E6
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}

Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks|{CA3EB689-8F09-4026-AA10-B9534C691CE0}


============== SCAN ADDITIONNEL ==============

** Internet Explorer Version [8.0.7600.16385] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files (x86)\Ad-Remover\Quarantine: 20 Fichier(s)
C:\Program Files (x86)\Ad-Remover\Backup: 15 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 23/11/2010 (4208 Octet(s)) 

Fin à: 23:44:33, 23/11/2010 
 
============== E.O.F ==============

lallice · Answer

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 5179

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

2010-11-24 00:45:01
mbam-log-2010-11-24 (00-45-01).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 319139
Temps écoulé: 49 minute(s), 44 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations\bak_application (Hijacker.Application) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations\Application (Hijacker.Application) -> Bad: (http://www.helpmeopen.com/?n=app&ext=%s) Good: (http://shell.windows.com/fileassoc/%04x/xml/redir.asp?Ext=%s) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Users\Cedric\Documents\My Extracted Files\Adobe Photoshop CS5 Extended\Keygen.exe (RiskWare.Tool.CK) -> Quarantined and deleted successfully.
C:\_OTL\MovedFiles\11232010_232848\C_Users\Cedric\AppData\Local\Temp\IJJGlTIlJx.exe (Trojan.Agent) -> Quarantined and deleted successfully.

lallice · Answer

Voila les 3 rapports! :)
A moi d'aller me reposer... je te répond quand j'ai acces a internet, je vais etre sur la route dans les prochains jours.
Un gros merci pour ton aide!

gen-hackman · Answer

ok bonjour tu me tiendras au courant si tu as encore des soucis :)

Chebal de troie

24 réponses

Discussions similaires

Newsletters