Virus win32: Palevo

Bonjour,

N'oublie pas de mettre Malwarebytes' Anti-Malware à jour avant de lancer un scan.

Malwarebytes anti-malware est à jour, j'aimerais savoir comment on analyse le rapport zhpdiag pour pouvoir lancer zhpfix.

Merci

--> Télécharge OTL (par OldTimer) sur ton Bureau.
--> Double-clique sur OTL pour le lancer.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)
--> Une fenêtre apparaît. Dans la section Rapport en haut de cette fenêtre, coche Rapport minimal.
--> Coche également les cases à côté de Recherche Lop et Recherche Purity.
--> Enfin, clique sur le bouton Analyse. Le scan ne prend pas beaucoup de temps.
--> Une fois l'analyse terminée, deux fenêtres Bloc-notes vont s'ouvrir : OTL.txt et Extras.txt. Ils se trouvent au même endroit qu'OTL.
--> Utilise cijoint.fr pour me transmettre les rapports.

Voici le rapport:

http://www.cijoint.fr/cjlink.php?file=cj201102/cijCKre00h.txt

Il n'y a pas de fichier Extras.txt par contre

Ok, on y va.

1/

--> Démarre Spybot, clique sur Mode, coche Mode avancé.
--> A gauche, clique sur Outils, puis sur Résident.
--> Décoche la case devant Résident "TeaTimer" :
http://sd-1.archive-host.com/membres/up/3288717712384394/TeaTimer.jpg
--> Quitte Spybot.

2/

● Télécharge Ad-Remover (de C_XX) sur ton Bureau.
● Ferme toutes les applications en cours y compris le navigateur.
● Double-clique sur le programme AD-R situé sur ton Bureau.
● Clique sur Nettoyer puis valide.
● Poste le rapport généré (C:\Ad-Report-CLEAN.log).

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller)

3/

--> Double-clique sur OTL pour le lancer.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)
--> Sous l'onglet Personnalisation en bas de la fenêtre, copie-colle le texte suivant (entre les deux espaces) :

:OTL
PRC - C:\Users\clement\AppData\Roaming\Microsoft\conhost.exe ()
PRC - C:\Users\clement\AppData\Local\Temp\csrss.exe ()
O4 - HKCU\..\Run: [conhost] C:\Users\clement\AppData\Roaming\Microsoft\conhost.exe ()
F3 - HKCU WinNT: Load - (C:\Users\clement\AppData\Local\Temp\csrss.exe) - C:\Users\clement\AppData\Local\Temp\csrss.exe ()
F3 - HKCU WinNT: Load - (C:\Users\clement\AppData\Local\Temp\csrss.exe) - C:\Users\clement\AppData\Local\Temp\csrss.exe ()

:commands
[emptytemp]

--> Puis clique sur le bouton Correction en haut de la fenêtre.
--> Laisse le programme travailler, redémarre une fois le fix terminé.
--> Poste le rapport qui s'affichera après redémarrage.

voici le rapport ad remover:

http://www.cijoint.fr/cjlink.php?file=cj201102/cijD9M19O6.txt

voici le rapport otl:

All processes killed
========== OTL ==========
No active process named conhost.exe was found!
No active process named csrss.exe was found!
Registry key HKEY_CURRENT_USER\\Software\Microsoft\Windows\CurrentVersion\Run not found.
C:\Users\clement\AppData\Roaming\Microsoft\conhost.exe moved successfully.
File C:\Users\clement\AppData\Local\Temp\csrss.exe not found.
Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\\Load:C:\Users\clement\AppData\Local\Temp\csrss.exe deleted successfully.
File C:\Users\clement\AppData\Local\Temp\csrss.exe not found.
Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\\Load:C:\Users\clement\AppData\Local\Temp\csrss.exe deleted successfully.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: clement
->Temp folder emptied: 133885974 bytes
->Temporary Internet Files folder emptied: 25225052 bytes
->Java cache emptied: 63926365 bytes
->FireFox cache emptied: 49472150 bytes
->Google Chrome cache emptied: 594288 bytes
->Opera cache emptied: 0 bytes
->Flash cache emptied: 18225 bytes

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 33076 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 33170 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 261,00 mb

OTL by OldTimer - Version 3.2.20.6 log created on 02012011_021055

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...

--> Relance Ad-Remover et choisis Désinstaller.

Comment va le PC ?

Plus de virus il semble, je vais lancer un scan pour être sûr

or explorer ne se lançait pas et il fallait que je modifie les paramètres, toujours ce problème de proxy

Apparemment, c'est pas bon

Voilà le dernier rapport de malwarebytes anti-malware

http://www.cijoint.fr/cjlink.php?file=cj201102/cij6TnnVlo.txt

Et Antivir m'a détecte le fichier conhost.exe comme virus alors que je pensais qu'il était supprimé

D'autres rapports :

oldtimer: http://www.cijoint.fr/cjlink.php?file=cj201102/cijzCfRcnD.txt
zhpdiag: http://www.cijoint.fr/cjlink.php?file=cj201102/cijCXlzCc3.txt

"Et Antivir m'a détecte le fichier conhost.exe comme virus alors que je pensais qu'il était supprimé"

--> Il l'a peut-être détecté dans la quarantaine d'OTL.

Supprime tout ce qu'il y a dans la quarantaine de Malwarebytes' Anti-Malware.

Il reste des traces du virus conhost.exe dans le registre, on va les supprimer.

--> Copie tout le texte présent en gras ci-dessous (Sélectionne-le, clique droit dessus et choisis "Copier").

O4 - HKCU\..\Run: [conhost] C:\Users\clement\AppData\Roaming\Microsoft\conhost.exe (.not file.)
O4 - HKUS\S-1-5-21-3134296232-2412903082-1817574899-1000\..\Run: [conhost] C:\Users\clement\AppData\Roaming\Microsoft\conhost.exe (.not file.)

--> Puis lance ZHPFix depuis le raccourci situé sur ton Bureau.

--> Une fois ZHPFix ouvert, clique sur le bouton "H" (Coller les lignes Helper).

--> Dans l'encadré principal, tu verras donc les lignes que tu as copié précédemment apparaître. Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

--> Clique sur "OK", puis "Tous" et enfin "Nettoyer".

--> Copie-colle le rapport dans ton prochain message.

Le rapport est enregistré sur ton Bureau. Il s'appelle ZHPFixReport.

Bonjour,

impossible d'obtenir un rapport avec zhpfix.

"Impossible de créer le fichier "C\Program Files (x86)\ZHPDiag\ZHPFix Quarantine.txt"

---> Télécharge et installe CCleaner (N'installe pas la Yahoo! Toolbar) :
* Lance-le. Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc....
* Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage.
* Ensuite, choisis Registre, puis Chercher des erreurs. Une fois terminé, répare toutes les erreurs (Sauvegarde la base de registre).

---> Puis reposte un nouveau rapport ZHPDiag.

http://www.cijoint.fr/cjlink.php?file=cj201102/cijRqpMmQx.txt

Plus de trace d'infection, comment va le PC ?

Il marche très bien

1/

---> Télécharge DelFix sur ton Bureau.
* Clique droit sur DelFix et choisis Exécuter en tant qu'administrateur.
* Clique sur le bouton Suppression.
* Poste le rapport (C:\DelFixSuppr.txt).
* Supprime DelFix.

2/

---> Il est nécessaire de désactiver puis réactiver la restauration système pour la purger.

==Prévention==

Voici un dossier complet (A lire avec Adobe Reader ou Foxit Reader) : Lien

;)

Voici le rapport delfix:

# DelFix v7.1 - Rapport créé le 01/02/2011 à 18:17
# Mis à jour le 16/01/11 à 15h30 par Xplode
# Système d'exploitation : Windows (TM) Vista Home Premium (64 bits) [version 6.0.6002]
# Nom d'utilisateur : clement - PC-DE-CLEMENT (Administrateur)
# Exécuté depuis : C:\Downloads\Software\DelFix.exe
# Option [Suppression]

~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\_OTL
Supprimé : C:\32788R22FWJFW
Supprimé : C:\Program Files (x86)\ZHPDiag
Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\rkill.log
Supprimé : C:\ZHPExportRegistry-22-07-2010-19-48-29.txt
Supprimé : C:\Windows\System32\404Fix.exe
Supprimé : C:\Windows\System32\o4Patch.exe
Supprimé : C:\Windows\System32\VACFix.exe
Supprimé : C:\Windows\System32\VCCLSID.exe
Supprimé : C:\Windows\System32\IEDFix.exe
Supprimé : C:\Windows\System32\IEDFix.C.exe
Supprimé : C:\Windows\System32\Agent.OMZ.Fix.exe
Supprimé : C:\Windows\System32\WS2Fix.exe
Supprimé : C:\Windows\System32\Process.exe
Supprimé : C:\Windows\System32\swreg.exe
Supprimé : C:\Windows\System32\swsc.exe
Supprimé : C:\Windows\System32\swxcacls.exe
Supprimé : C:\Windows\System32\SrchSTS.exe
Supprimé : C:\Windows\System32\tmp.reg
Supprimé : C:\Windows\System32\tmp.txt
Supprimé : C:\Windows\System32\dumphive.exe
Supprimé : C:\Users\clement\Desktop\ZHPDiag.txt
Supprimé : C:\Users\Public\Desktop\ZHPDiag.lnk
Supprimé : C:\Users\Public\Desktop\ZHPFix.lnk
Supprimé : C:\Users\Public\Desktop\MBRCheck.lnk
Supprimé : C:\Users\clement\Downloads\OTL.exe
Supprimé : C:\Users\clement\Downloads\OTL.Txt

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKLM\Software\OldTimer Tools
Clé Supprimée : HKLM\Software\Classes\.cfxxe
Clé Supprimée : HKLM\Software\Classes\cfxxefile
Clé Supprimée : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\PEVSystemStart
Clé Supprimée : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\procexp90.Sys
Clé Supprimée : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PEVSystemStart
Clé Supprimée : HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\procexp90.Sys
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1

~~~~~~ Autre ~~~~~~

########## EOF - "C:\DelFixSuppr.txt" - [2355 octets] ##########
Mais à quel moment dois-je désactiver la restauration système ?

Maintenant par exemple, n'oublie pas de la réactiver.

Ok c'est fait, y a-t-il autre chose à faire ?

Tu peux mettre le sujet en résolu.