Trojan.Meredrop

Bonjour,

Peux-tu poster le rapport de MBAM stp?

Voici :
Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 5739

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

11/02/2011 12:44:27
mbam-log-2011-02-11 (12-44-27).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 179627
Temps écoulé: 27 minute(s), 53 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\APPS\inventime\files\media\finalparticulier.exe (Trojan.Meredrop) -> Quarantined and deleted successfully.

Ok.. apparemment rien de bien méchant. On va quand même faire un scan :

Télécharge Eset Online Scanner sur ton bureau.

Lance le, suis les instructions en laissant coché les cases par défaut, puis clique sur [Start]

Poste moi ensuite le rapport.

@+

Merci encore pour votre rapidité mais, je dois me rendre à mon travail, alors, je vous posterai le rapport demandé ce soir...
Alors... à ce soir !
Bonne après-midi...

Bonsoir Xplode,
Je suis embêtée car je ne comprends rien à l'anglais et je ne sais pas comment récupérer ce fichu rapport. J'ai fermé ce logiciel, que dois-je faire ?
Désolée !

Regarde dans ce dossier :

C:\Program files\Eset\Eset Online Scanner

Tu devrais avoir un fichier " log.txt " ou quelque chose s'approchant.. poste moi son contenu.

Le voici :
ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6419
# api_version=3.0.2
# EOSSerial=5dead89a7c61844ea49627968bcf5ad9
# end=finished
# remove_checked=true
# archives_checked=false
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2011-02-11 02:06:50
# local_time=2011-02-11 03:06:50 (+0100, Paris, Madrid)
# country="France"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=1797 16775125 100 94 6630 62909654 15041 0
# compatibility_mode=2304 16777215 100 0 0 0 0 0
# compatibility_mode=8192 67108863 100 0 3948 3948 0 0
# compatibility_mode=9217 16777214 75 62 5031646 11650960 0 0
# scanned=72670
# found=1
# cleaned=1
# scan_time=5392
C:\Program Files\scrabbleproB\scrabblepro.exe probably unknown NewHeur_PE virus (deleted - quarantined) 00000000000000000000000000000000 C

Ok visiblement ton PC est clean. On va quand même faire un diagnostic pour vérifier :

-+-+-+-+-> ZHPDiag <-+-+-+-+-

[x] Nous allons effectuer un diagnostic de ton ordinateur, pour ce faire, télécharge ZHPDiag ( de Nicolas Coolman ).

[x] Exécute l'installateur -> /!\ Coche la case " créer une icône sur le bureau " /!\

[x] Lance le en double cliquant sur l'icône ZHPDiag qui se trouve sur ton bureau ( Sous Vista/Seven : Clic droit sur l'icône -> " Exécuter en tant qu'administrateur " )

[x] Clique sur l'icône en forme de loupe en haut à gauche ( Lancer le diagnostic ).

[x] Une fois l'analyse terminée, clique sur l'icône en forme de disquette bleue puis sauvegarde le fichier sur ton bureau.

[x] Rend toi sur cjoint puis clique sur " Parcourir ".

[x] Sélectionne le fichier ZHPDiag.txt présent sur ton bureau, puis clique sur " Ouvrir ".

[x] Clique ensuite sur " Créer le lien cjoint " puis copie/colle dans ta prochaine réponse le lien créé.

Héberge le rapport sur cjoint comme indiqué sinon il ne passera pas..

OK, voici : https://www.cjoint.com/?0clrV86Vsj

Ok, hormis la toolbar conduit le PC est clean.. on va quand même supprimer ça :

-+-+-+-+-> AD-Remover <-+-+-+-+-

[x] Télécharge AD-Remover ( de C_XX ).

[x] Lance AD-Remover puis choisis l'option " Nettoyer ".

Note : Utilisateurs de vista/seven -> Clic droit sur "Ad-R.exe" puis " Exécuter en tant qu'administrateur "

[x] Patiente pendant le scan, un rapport s'ouvrira ensuite. Poste son contenu dans ton prochain message

[x] Note : Le rapport se trouve également sous C:\Ad-Report-CLEAN.txt

Voici :
======= RAPPORT D'AD-REMOVER 2.0.0.2,E | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 08/02/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [2]) -> Lancé à 18:22:13 le 11/02/2011, Mode normal

Microsoft Windows XP Édition familiale Service Pack 3 (X86)
GENIEZ@NOMDELORDI ( )

============== ACTION(S) ==============

(!) -- Fichiers temporaires supprimés.

============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [3.6.13 (fr)] ****

HKLM_MozillaPlugins\@checkpoint.com/FFApi (x)
HKLM_MozillaPlugins\@viewpoint.com/VMP (x)

-- C:\Documents and Settings\GENIEZ\Application Data\Mozilla\FireFox\Profiles\dyun675z.default --
Extensions\{d7f26d0e-9801-45c3-a091-8a65e4ed73b5} (Protection ZoneAlarm Toolbar)
User.js - keyword.URL, hxxp://redirecterror.sfr.fr/?q=
Prefs.js - browser.download.lastDir, C:\\Documents and Settings\\GENIEZ\\Mes documents\\Mes images
Prefs.js - browser.startup.homepage, hxxp://www.sfr.fr/
Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.2.13
Prefs.js - keyword.URL, hxxp://redirecterror.sfr.fr/?q=

========================================

**** Internet Explorer Version [8.0.6001.18702] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_Toolbar\ShellBrowser|{42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} (x)
HKCU_Toolbar\WebBrowser|{0B53EAC3-8D69-4B9E-9B19-A37C9A5676A7} (x)
HKCU_Toolbar\WebBrowser|{4982D40A-C53B-4615-B15B-B5B5E98D167C} (x)
HKLM_ElevationPolicy\{58F04068-17A5-41a3-B5B7-111004DDF5DC} - C:\Program Files\Real\RealPlayer\realplay.exe (RealNetworks, Inc.)
HKLM_ElevationPolicy\{5A2777DF-310A-49ca-A9E8-6C9D608D257E} - C:\Program Files\Real\RealUpgrade\realupgrade.exe (RealNetworks, Inc.)
HKLM_ElevationPolicy\{B2321D2F-1154-4d97-AD3E-2FE0BAE2897B} - C:\Program Files\Neuf\Kit\9launch.exe (SFR)
HKLM_ElevationPolicy\{E56200D6-445E-45ce-89D8-E0EF39ECF849} - C:\Program Files\Real\RealPlayer\RecordingManager.exe (RealNetworks, Inc.)
HKLM_Extensions\{CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - "?" (?)
HKLM_Extensions\{e2e2dd38-d088-4134-82b7-f2ba38496583} - "?" (?)
BHO\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8} - "Objet d'aide à la navigation SFR" (C:\Program Files\Neuf\Kit\SFRNavErrorHelper.dll)
BHO\{5C255C8A-E604-49b4-9D64-90988571CECB} (?)
BHO\{9030D464-4C02-4ABF-8ECC-5164760863C6} - "Windows Live Sign-in Helper" (C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll)

========================================

C:\Program Files\Ad-Remover\Quarantine: 74 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 14 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 11/02/2011 (6568 Octet(s))
C:\Ad-Report-CLEAN[2].txt - 11/02/2011 (480 Octet(s))

Fin à: 18:24:23, 11/02/2011

============== E.O.F ==============

Relance Ad-Remover et sélectionne [Désinstaller] puis fais ceci :

-+-+-+-+-> ZHPFix <-+-+-+-+-

/!\ Utilisateurs de vista/7 , cette manipulation est à effectuer en tant qu'administrateur ( Clic droit -> [Exécuter en tant qu'administrateur] ) /!\

[x] Copie le texte en gras ci-dessous ( CTRL + C pour copier )


O69 - SBI: C:\Documents and Settings\GENIEZ\Application Data\Mozilla\Firefox\Profiles\dyun675z.default\searchplugins\conduit.xml
O69 - SBI: prefs.js [GENIEZ - dyun675z.default] user_pref("CT2613520.SearchEngine", "Recherche||https://www.bing.com/search?q=UCM_SEARCH_TERM&pc=cosp&ptag=G6C999A66A1E56560&form=CONTLB&conlogo=CT3210127");
O69 - SBI: prefs.js [GENIEZ - dyun675z.default] user_pref("CT2613520.SearchFromAddressBarUrl", "http://search.conduit.com/ResultsExt.aspx?ctid=CT2613520&q=");
O69 - SBI: prefs.js [GENIEZ - dyun675z.default] user_pref("CT2613520.ct2613520.SearchEngine", "Recherche||https://www.bing.com/search?q=UCM_SEARCH_TERM&pc=cosp&ptag=G6C999A66A1E56560&form=CONTLB&conlogo=CT3210127");
O69 - SBI: prefs.js [GENIEZ - dyun675z.default] user_pref("browser.search.defaulturl", "http://search.conduit.com/ResultsExt.aspx?ctid=CT2613520&SearchSource=3&q={searchTerms}");
O69 - SBI: SearchScopes [HKCU] {afdbddaa-5d3f-42ee-b79c-185a7020515b} - (Protection ZoneAlarm Customized Web Search) - http://search.conduit.com
M3 - MFPP: Plugins - [GENIEZ] -- C:\Documents and Settings\GENIEZ\Application Data\Mozilla\Firefox\Profiles\dyun675z.default\searchplugins\conduit.xml
[HKCU\Software\ESET]
[HKLM\Software\Eset]
O43 - CFD: 15/12/2010 - 08:54:34 ----D- C:\Program Files\Conduit
M2 - MFEP: prefs.js [GENIEZ - dyun675z.default\{d7f26d0e-9801-45c3-a091-8a65e4ed73b5}] [] Protection ZoneAlarm Toolbar v2.7.1.3 (.Conduit Ltd..)
[HKCU\Software\Conduit]
[HKLM\Software\Conduit]
OPT:O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 10.0\Reader\Reader_sl.exe
OPT:O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\QTTask.exe
OPT:O4 - HKLM\..\Run: [TkBellExe] . (.RealNetworks, Inc. - RealNetworks Scheduler.) -- C:\Program Files\Real\RealPlayer\update\realsched.exe
OPT:O4 - HKCU\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe
OPT:O4 - HKUS\S-1-5-21-2166636260-572010553-2375124119-1006\..\Run: [ctfmon.exe] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe


[x] Lance ZHPFix qui est présent sur ton bureau.

[x] Clique sur le "H" bleu ( Coller les lignes Helper )

[x] Les lignes précédemment copiées apparaîtront à l'écran dans l'encadré jaune pâle.

[x] Vérifie que seules les lignes indiquées plus haut sont présentes puis clique sur [Ok]

[x] Clique maintenant sur [Tous] , puis sur [Nettoyer]

[x] Copie/Colle le contenu du rapport à l'écran dans ton prochain message.

[x] Note : le rapport se trouve également sous C:\Program Files\ZHPDiag\ZHPFixReport.txt