vérification suite a une infection Fermé

Question

Bonjour, 

J'aimerai de l'aide pour une vérification de mon PC suite a une infection d'un virus par un document PDF téléchargé par ma femme.

Je vous explique, ma femme travaillant pour une entreprise mais à domicile, donc elle doit régulièrement télécharger des fichiers PDF sur le serveur de son entreprise à la maison.

Mais un fichier a été signalé comme étant un virus. Le problème c'est que le PC a planté a ce moment donc redémarrage obligatoire.

Au redémarrage, les problème ont commencé : 

 - Windows dit qu'il n'y a pas d'antivirus,
 - Windows dit qu'il n'est pas à jour et qu'il ne peut pas faire de mise à jour car un service VSS ne peut fonctionner.
 - Windows dit qu'il n'y a pas de connexion internet alors qu'il fonctionne.
 - et je pense qu'il y a d'autre soucis inexploré.

Donc je pouvant rien faire car mon antivirus ne pouvait pas analyser le disque alors que la protection été active, j'ai décidé de faire une restauration système, et cela a fonctionné puisque que Windows démarre normalement et que tout refonctionne. Donc là je décide de faire une analyse antivirus mais rien, je passe a MBAM et la il me détecte 6 infection que j'ai mis en quarantaine.

Voici le rapport

donc maintenant j'aimerais votre aide pour vérifier s'il y a encore une infection.

je me suis permis de faire un rapport ZHPDiag dispo ICI

je vous remercie par avance l'aide que vous pourrez me fournir.

Bonne soirée.




Configuration: PC de Bureau : (Bureautique)

Boîtier : Cooler Master Elite Black 430
Alimentation : Corsair VX-450W
Disque dur : Samsung  Spinpoint F1 S-ATA - 320 Go - 16 Mo
Graveur 1 : Samsung SH 182 D
Graveur 2 : LG GCE8525B
Processeur : Intel® Core 2 Duo E7400 O/C @ 3.23 GHz
Carte mère : Asus P5QPL-VM
Mémoire : G.Skill Kit Extreme2 2 x 1 Go PC6400 PK (x2)
Carte graphique : Club 3D  Radeon(TM) HD 4670 512 Mo
Radiateur : OCZ Vendetta + Pâte Thermique Artic Silver 5
Ecran : Asus VH222H +  Samsung  LE-40B651 (TV)
Clavier / Souris : Logitech Cordless Desktop MX3000
Wi-Fi : Netgear WG311T
Imprimante : HP PhotoSmart B109n
Disque Dur Externe : Maxtor 3200 500 Go
Disque Dur Externe : Maxtor One Touch 4 500 Go
Disque Dur Externe : Samsung  Spinpoint F3 S-ATA - 1000 Go - 32 Mo + Cooler Master  X-Craft 350 SI IDE & S-ATA (noir)
Système d'exploitation : Windows 7 Ultimate 64 Bits.
Ampli : Onkyo HT-S5205 (B) Noir

archet9 · Answer

Bonsoir, 

Pour un "contrib" tu ne montres pas le bon exemple !!!! 

"c:\users\phã©lie et yo\appdata\roaming\keygen.exe" 


===> Je te prépare un script pour virer cela..... 




....."contributeur sécurité".....o°ô"

archet9 · Answer

Télécharge OTM (de Old_Timer) sur le bureau http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/ * Lance OTM - Sous XP double-clic sur l'icône pour lancer l'outil. - Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. * La fenêtre principale de l'outil s'ouvre : * Copie la liste en citation ci-dessous et colle-la dans le cadre "Paste instructions for Items to be Moved" :Files c:\users\phã©lie et yo\appdata\roaming\keygen.exe :Commands [emptytemp] * Clique sur MoveIt ! pour lancer la suppression * A la fin du processus le PC va redémarrer * Poste le rapport dans qui se trouve dans le répertoire suivant C:\_OTM\MovedFile ************* Avec ZHPfix présent sur ton bureau: Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert) Clique sur l'icone représentant la lettre H (« coller les lignes Helper ») Copie/colle les lignes suivantes en gras et place les dans ZHPFix : ---------------------------------------------------------- O42 - Logiciel: Living 3D Dolphins Full Screen Saver - (.Freeze.com, LLC.) [HKLM] -- Living 3D Dolphins Full Screen Saver => Infection BT O43 - CFD: 05/09/2010 - 17:15:56 ----D- C:\Program Files (x86)\Freeze.com => Infection BT O43 - CFD: 21/11/2010 - 01:44:12 ----D- C:\ProgramData\regid.1986-12.com.adobe O44 - LFC:[MD5.C3D6B50E89FAACBBDB0455679197B3D1] - 21/12/2010 - 07:28:28 ---A- . (. - .) -- C:\Ad-Report-SCAN[1].txt [2240] O67 - Shell Spawning: <.bat> [HKLM\..\open\Command] "%1" %* (.not file.) => Fichier absent O67 - Shell Spawning: <.cmd> [HKLM\..\open\Command] "%1" %* (.not file.) => Fichier absent O67 - Shell Spawning: <.com> [HKLM\..\open\Command] "%1" %* (.not file.) => Fichier absent O67 - Shell Spawning: <.exe> [HKLM\..\open\Command] "%1" %* (.not file.) => Fichier absent O67 - Shell Spawning: <.bat> [HKCR\..\open\Command] "%1" %* (.not file.) => Fichier absent O67 - Shell Spawning: <.cmd> [HKCR\..\open\Command] "%1" %* (.not file.) => Fichier absent O67 - Shell Spawning: <.com> [HKCR\..\open\Command] "%1" %* (.not file.) => Fichier absent O67 - Shell Spawning: <.exe> [HKCR\..\open\Command] "%1" %* (.not file.) => Fichier absent M2 - MFEP: prefs.js [PhÃ©lie Et Yo - o6iruyhu.default\TFToolbarX@torrent-finder] [] Torrent Finder Toolbar v1.2.6 (.Waleed GadelKareem.) => Waleed GadelKareem O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} . (. - ToolBand Module.) -- C:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar.dll O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} . (.Yahoo! Inc. - Yahoo! Toolbar.) -- C:\Program Files (x86)\Yahoo!\Companion\Installs\cpn0\yt.dll => Yahoo®Toolbar O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [HKLM] -- DAEMON Tools Toolbar => DT Soft Ltd O43 - CFD: 01/10/2010 - 18:40:08 ----D- C:\Program Files (x86)\DAEMON Tools Toolbar => DT Soft Ltd O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [HKLM] -- DAEMON Tools Toolbar => DT Soft Ltd O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [] -- DAEMON Tools Toolbar => DT Soft Ltd ---------------------------------------------------------- - Clique sur « Tous », puis sur « Nettoyer » - Copie/colle la totalité du rapport dans ta prochaine réponse Tuto : http://www.premiumorange.com/zeb-help-process/zhpfix.html ....."contributeur sécurité".....o°ô"

yoanf26 · Answer

Déjà merci à toi. donc voici le rapport OTM. All processes killed ========== FILES ========== File/Folder c:\users\phã©lie et yo\appdata oaming\keygen.exe not found. ========== COMMANDS ========== [EMPTYTEMP] User: All Users User: CURRENT_USER User: Default ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes ->Flash cache emptied: 56502 bytes User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes ->Flash cache emptied: 0 bytes User: Phelie Et Yo User: Phélie Et Yo ->Temp folder emptied: 8776988 bytes ->Temporary Internet Files folder emptied: 15447639 bytes ->Java cache emptied: 1789590 bytes ->FireFox cache emptied: 129713129 bytes ->Google Chrome cache emptied: 0 bytes ->Apple Safari cache emptied: 0 bytes ->Flash cache emptied: 59660 bytes User: Public %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 0 bytes %systemroot%\System32 (64bit) .tmp files removed: 36160 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 93092 bytes %systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 67910 bytes %systemroot%\sysnative\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment folder emptied: 751 bytes RecycleBin emptied: 0 bytes Total Files Cleaned = 149,00 mb OTM by OldTimer - Version 3.1.17.2 log created on 12222010_202338 Files moved on Reboot... C:\Users\Phélie Et Yo\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully. File move failed. C:\Windows emp\_avast4_\Webshlock.txt scheduled to be moved on reboot. Registry entries deleted on Reboot... et voici le rapport ZHPFix Rapport de ZHPFix 1.12.3225 par Nicolas Coolman, Update du 30/11/2010 Fichier d'export Registre : C:\ZHPExportRegistry-22-12-2010-20-39-57.txt Run by Phélie Et Yo at 22/12/2010 20:40:52 Windows 7 Ultimate Edition, 64-bit (Build 7600) Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html Contact : nicolascoolman@yahoo.fr ========== ========== O67 - Shell Spawning: <.bat> [HKCR\..\open\Command] "%1" %* (.not file.) => Fichier absent => Clé absente O67 - Shell Spawning: <.cmd> [HKCR\..\open\Command] "%1" %* (.not file.) => Fichier absent => Clé absente O67 - Shell Spawning: <.com> [HKCR\..\open\Command] "%1" %* (.not file.) => Fichier absent => Clé absente O67 - Shell Spawning: <.exe> [HKCR\..\open\Command] "%1" %* (.not file.) => Fichier absent => Clé absente ========== ========== O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} . (. - ToolBand Module.) -- C:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar.dll => Valeur absente O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} . (.Yahoo! Inc. - Yahoo! Toolbar.) -- C:\Program Files (x86)\Yahoo!\Companion\Installs\cpn0\yt.dll => Yahoo®Toolbar => Valeur absente ========== ========== O67 - Shell Spawning: <.bat> [HKLM\..\open\Command] "%1" %* (.not file.) => Fichier absent => Donnée supprimée avec succès O67 - Shell Spawning: <.cmd> [HKLM\..\open\Command] "%1" %* (.not file.) => Fichier absent => Donnée supprimée avec succès O67 - Shell Spawning: <.com> [HKLM\..\open\Command] "%1" %* (.not file.) => Fichier absent => Donnée supprimée avec succès O67 - Shell Spawning: <.exe> [HKLM\..\open\Command] "%1" %* (.not file.) => Fichier absent => Donnée supprimée avec succès ========== ========== \prefs.js => Fichier absent ========== ========== C:\Program Files (x86)\Freeze.com => Infection BT => Dossier absent C:\ProgramData egid.1986-12.com.adobe => Dossier absent C:\Program Files (x86)\DAEMON Tools Toolbar => DT Soft Ltd => Dossier absent ========== ========== c:\ad-report-scan[1].txt => Supprimé et mis en quarantaine c:\program files (x86)\daemon tools toolbar\dttoolbar.dll => Supprimé et mis en quarantaine ========== ========== O42 - Logiciel: Living 3D Dolphins Full Screen Saver - (.Freeze.com, LLC.) [HKLM] -- Living 3D Dolphins Full Screen Saver => Infection BT => Logiciel déjà supprimé O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [HKLM] -- DAEMON Tools Toolbar => DT Soft Ltd => Logiciel déjà supprimé ========== ========== O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [] -- DAEMON Tools Toolbar => DT Soft Ltd => Format Non supporté ========== ========== 4 : 2 : 4 : 3 : 2 : 2 : 1 : 1 : End of the scan voila et merci encore.

archet9 · Answer

Impec..... 

Un nouveau ZHPdiag stp....vite fait stp car pour ce soir ma priorité c'est ma famille..... !!!!!!
....."contributeur sécurité".....o°ô"

yoanf26 · Answer

voici le rapport

merci a toi.

archet9 · Answer

Greeee....Tu merdes un peu là.....!!!!

Tu m-as refilé ton premier rapport......

"Rapport de ZHPDiag v1.27.139 par Nicolas Coolman, Update du 04/12/2010
Run by Phélie Et Yo at 22/12/2010 21:02:06"


==> Je veux un nouveau rapport stp...à savoir une nouvelle anayse avec ZHPdiag !!!!!!

yoanf26 · Answer

oups j'ai du cliqué a côté

je le refais et je te post ça.

le voici

archet9 · Answer

Pas concluant tout ça.....

Dsl je coupe ce soir....et je bosse demain,on se retrouve demain soir si tu le veux bien !

En Attendant:

Télécharge ComboFix (de sUBs) sur ton Bureau. 

http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

* Double-clique sur ComboFix.exe (le .exe n'est pas forcément visible) afin de le lancer. 
* Il va te demander d'installer la console de récupération : ACCEPTE !. 
* Ne touche pas au pc durant le scan. 
* Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse. 

Pour t'aider : Un Tutoriel sur l'utilisation de ComboFix (à lire avant de le lancer) 

-->> https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

yoanf26 · Answer

merci voici le rapport : 

http://www.cijoint.fr/cjlink.php?file=cj201012/cijcsiSPXd.txt

Merci à toi à demain.

archet9 · Answer

Relance MBAM fais un "examen rapide"et colle le rapport stp.

yoanf26 · Answer

Bonsoir

merci d'être revenu

voici le rapport MBAM :

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 5384

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

23/12/2010 19:51:42
mbam-log-2010-12-23 (19-51-42).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 183170
Temps écoulé: 4 minute(s), 25 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

archet9 · Answer

Un "nouveau " ZHPdiag pour vérif stp....

yoanf26 · Answer

voici le rapport

archet9 · Answer

Télécharge et installe AD-Remover (C_XX) sur le bureau  
http://www.teamxscript.org/adremoverTelechargement.html  


Désactive la protection résidente de ton anti-virus pour ne pas gêner le travail de l'outil  

* Lance Ad-R  
- Sous XP double-clic sur l'icône pour lancer l'outil.  
* Clique sur "Oui" dans la boite de dialogue  
* Dans l'interface principale, clique sur le bouton Nettoyer 
puis confirme l'action en cliquant sur "Oui"  
* Patiente le temps du scan (le bureau peut disparaitre), le rapport doit s'ouvrir spontanément à la fin.  
* Clique sur Quitter  

Copie/colle le rapport dans ton prochain message.  

Si le rapport ne s'ouvre pas spontanément, il se trouve à la racine du disque C:\Ad-report-CLEAN  

"Process.exe" est détecté par certains antivirus comme étant un RiskTool.  
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus  
....."contributeur sécurité".....o°ô"

yoanf26 · Answer

voici le rapport

archet9 · Answer

RAS....

==> Donne des nouvelles du PC stp

yoanf26 · Answer

Pour l'instant ça va mieux et surtout ne fais plus le soucis du début.

j'ai l'impression qu'il est légèrement plus rapide mais par contre j'ai un petit bug c'est que l'icône de l'antivirus n'a pas apparu dans la barre des tâches mais cela me l'a fais qu'une fois car je l'ai redémarrer à nouveau et l'icône de l'antivirus et bien apparu cette fois-ci.

merci de ton aide.

archet9 · Answer

Télecharge Delfix sur ton bureau : 
http://sd-1.archive-host.com/membres/up/17959594961240255/DelFix.exe 

*Clique sur le bouton « Suppression » et poste son rapport sur ton prochain message 
**Pour le désinstaller, il suffit de le relancer et cliquer sur le bouton de désinstallation. 

* Désactivation, puis Réactivation de la restauration système après désinfection : 

Il est nécessaire de désactiver puis réactiver la restauration système pour la purger car les points de restauration peuvent être infectés : 

Pour Vista : http://www.commentcamarche.net/...

yoanf26 · Answer

Voici le Rapport

yoanf26 · Answer

j'ai bien désactivé et réactivé la Restauration du système.

yoanf26 · Answer

si tu me dis que c'est terminé je passerai le sujet en résolu.

Vérification suite a une infection

21 réponses

Discussions similaires