cle de base de registre (zone L)

Question

Bonjour, 

J'ai eu pas mal de petit souci avec mon ordinateur , après avoir passé différents anti virus , je pense avoir tout régler , le seul point qui reste est une clé de base de registre qui se recrée systématiquement

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\]
"1601"=dword:00000000
"1806"=dword:00000000

Cette clé empêche le bon fonctionnement de certains services du pc , gestion des activeX

j'ai téléchargé ZHPDiag
et voici le résultat du scan quelqu'un peut il m'aider 

https://pjjoint.malekal.com/files.php?id=63df857d751010

merci




Configuration: Windows 7 / Firefox 3.6.3

afideg · Answer

Re, 
Ne trouve pas le rapport. 
Pas de lien. 

Pour le reste, je lis ceci https://support.microsoft.com/en-us/help/833633
Y trouves-tu réponseà ton souci ?

Al. 
Patience-Vigilance-Amour.

stephabdx · Answer

j'ai ce message quand je fait l'upload du fichier

Warning: mysql_query() [function.mysql-query]: Access denied for user 'www-data'@'localhost' (using password: NO) in /home/www/pjjoint.malekal.com/uploader.php  on line 73

Warning: mysql_query() [function.mysql-query]: A link to the server could not be established in /home/www/pjjoint.malekal.com/uploader.php on line 73
L'upload a réussi ! - Le lien à transmettre à vos correspondant pour visualiser le fichier est : https://pjjoint.malekal.com/files.php?id=675067ff9d913

stephabdx · Answer

bonjour
je viens de recharger le fichier via cjoint , j'espere que là cela fonctionne

https://www.cjoint.com/?0cxpMnMy5Tn

afideg · Answer

Re,
Désolé, mais pas de fichier en vue.
Utiliser https://www.cjoint.com/  >  "Parcourir" > )  sélectionner le fichier \ZHPDiag.txt  (il est sur le bureau)  > clic sur "Créer le lien CJoint"

Lancer cette application.

Télécharge sur le bureau RogueKiller (par tigzy) 
https://www.luanagames.com/index.fr.html 
*( Sous Vista/Seven, clic-droit, er choisir "Exécuter en tant qu'administrateur" ) 
* Quitter tous tes programmes en cours 
* Lancer RogueKiller.exe. 
* Lorsque demandé, taper 2 et valider 
Ensuite 
* Taper l'option 4 et valider 
* Un rapport (RKreport.txt) a dû se créer à côté de l'exécutable, coller son contenu dans la réponse. 
* Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois.


Merci
Al.

stephabdx · Answer

bonjour,

voici les traces :
RogueKiller V3.10.3 by Tigzy
contact at https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Feedback: https://www.luanagames.com/index.fr.html

Operating System: Windows 7 (6.1.7601 Service Pack 1) 32 bits version
Started in : Normal mode
User: amandine [Admin rights]
Mode: Remove -- Time : 23/02/2011 15:47:53

Bad processes:

Deregistred:

HOSTS File:

Finished

afideg · Answer

Bien    
Merci    

Il faut supprimer des éléments infectés, et des éléments inutiles.    
Comme ceci.    

Avec la souris, sélectionner toutes ces lignes en gras/italique ci-dessous, en vrac (toutes à la fois);     
puis les "copier" (ces lignes sont maintenant "dans la souris = le presse-papier")     


O39 - APT:Automatic Planified Task  - C:\Windows\Tasks\{62C40AA6-4406-467a-A5A5-DFDF1B559B7A}.job     
[MD5.00000000000000000000000000000000] [APT] [{22116563-108C-42c0-A7CE-60161B75E508}] (.Pas de propriétaire.) -- C:\Users\amandine\AppData\Local\Temp\Iwh.exe (.not file.)      
[MD5.A9594B4354771476C95E24741FDA54B3] [APT] [{62C40AA6-4406-467a-A5A5-DFDF1B559B7A}] (.ComponentOne LLC.) -- C:\Windows\Ixakoa.exe     
[MD5.00000000000000000000000000000000] [APT] [{BBAEAEAF-1275-40e2-BD6C-BC8F88BD114A}] (.Pas de propriétaire.) -- C:\Users\amandine\AppData\Local\Temp\Iwi.exe (.not file.)       
O69 - SBI: C:\Users\amandine\AppData\Roaming\Mozilla\Firefox\Profiles\i0he5303.default\searchplugins\askcom.xml     
[MD5.090FA5F64CFB050B8FFAEC7F57C31834] - (.BitTorrent, Inc. - µTorrent.) -- C:\Program Files\uTorrent\uTorrent.exe   [322352]     
R3 - URLSearchHook: freevideomaster Toolbar - {01dfd24d-73eb-497f-8dfd-7ea79365af4a} . (.Conduit Ltd. - Conduit Toolbar.) (4, 5, 190, 24) -- C:\Program Files\freevideomaster	bfree.dll     
R3 - URLSearchHook: freevideomaster Toolbar - {01dfd24d-73eb-497f-8dfd-7ea79365af4a} . (.Conduit Ltd. - Conduit Toolbar.) (4, 5, 190, 24) -- C:\Program Files\freevideomaster	bfree.dll     
O2 - BHO: freevideomaster Toolbar - {01dfd24d-73eb-497f-8dfd-7ea79365af4a} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\freevideomaster	bfree.dll     
O3 - Toolbar: freevideomaster Toolbar - {01dfd24d-73eb-497f-8dfd-7ea79365af4a} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\freevideomaster	bfree.dll     
[HKCU\Software\AppDataLow\Software\Conduit]       
[HKCU\Software\AppDataLow\Software\freevideomaster]       
[HKLM\Software\Conduit]        
[HKLM\Software\freevideomaster]       
O43 - CFD: 18/10/2010 - 17:00:06 ----D- C:\Program Files\Conduit        
O43 - CFD: 18/10/2010 - 17:00:08 ----D- C:\Program Files\freevideomaster     
R3 - URLSearchHook: (no name) -  Clé orpheline       
O2 - BHO: DCA - {B49699FC-1665-4414-A1CB-C4A2A4A13EEC} . (.Compete, Inc. - Compete DCA Browser Helper Object.) -- C:\Program Files\Common Files\FreeCause\DCA\dca-bho.dll      
O44 - LFC:[MD5.FDEA0682E7AF34D04E6D99C8EB257AD2] - 28/01/2011 - 16:41:52 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\colorbox.log   [595]       
O51 - MPSK:{29bda48b-f4bd-11de-acf7-001f1693a75c}\Shell\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- G:\_aom.exe (.not file.)       
O64 - Services: CurCS - (.not file.) - MpKsl048ab1fb (MpKsl048ab1fb)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL048AB1FB        
O64 - Services: CurCS - (.not file.) - MpKsl0b9b410e (MpKsl0b9b410e)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL0B9B410E       
O64 - Services: CurCS - (.not file.) - MpKsl0d8f58f0 (MpKsl0d8f58f0)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL0D8F58F0       
O64 - Services: CurCS - (.not file.) - MpKsl1334ab99 (MpKsl1334ab99)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL1334AB99       
O64 - Services: CurCS - (.not file.) - MpKsl18c8d925 (MpKsl18c8d925)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL18C8D925       
O64 - Services: CurCS - (.not file.) - MpKsl1b6b7279 (MpKsl1b6b7279)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL1B6B7279      
O64 - Services: CurCS - (.not file.) - MpKsl28476a59 (MpKsl28476a59)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL28476A59       
O64 - Services: CurCS - (.not file.) - MpKsl28b1adb0 (MpKsl28b1adb0)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL28B1ADB0       
O64 - Services: CurCS - (.not file.) - MpKsl2c874eba (MpKsl2c874eba)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL2C874EBA       
O64 - Services: CurCS - (.not file.) - MpKsl38c333da (MpKsl38c333da)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL38C333DA       
O64 - Services: CurCS - (.not file.) - MpKsl39a34e8d (MpKsl39a34e8d)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL39A34E8D      
O64 - Services: CurCS - (.not file.) - MpKsl46227ab4 (MpKsl46227ab4)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL46227AB4       
O64 - Services: CurCS - (.not file.) - MpKsl4a277b92 (MpKsl4a277b92)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL4A277B92     
O64 - Services: CurCS - (.not file.) - MpKsl63983c0c (MpKsl63983c0c)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL63983C0C        
O64 - Services: CurCS - (.not file.) - MpKsl689c1238 (MpKsl689c1238)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL689C1238       
O64 - Services: CurCS - (.not file.) - MpKsl70c9cbb2 (MpKsl70c9cbb2)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL70C9CBB2      
O64 - Services: CurCS - C:\ProgramData\Microsoft\Microsoft Antimalware\Definition Updates\{4D2927CA-8067-4298-8801-C6E0A44BCCB9}\MpKsl763d2bac.sys (.not file.) - MpKsl763d2bac (MpKsl763d2bac)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL76       
O64 - Services: CurCS - (.not file.) - MpKsl83db6395 (MpKsl83db6395)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL83DB6395       
O64 - Services: CurCS - (.not file.) - MpKsl8fc1e0dd (MpKsl8fc1e0dd)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSL8FC1E0DD        
O64 - Services: CurCS - (.not file.) - MpKsla9ed3f42 (MpKsla9ed3f42)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSLA9ED3F42       
O64 - Services: CurCS - (.not file.) - MpKsladdf1fe3 (MpKsladdf1fe3)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSLADDF1FE3       
O64 - Services: CurCS - (.not file.) - MpKslae2a3853 (MpKslae2a3853)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSLAE2A3853       
O64 - Services: CurCS - (.not file.) - MpKslbaaa9281 (MpKslbaaa9281)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSLBAAA9281       
O64 - Services: CurCS - (.not file.) - MpKslcec33f91 (MpKslcec33f91)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSLCEC33F91       
O64 - Services: CurCS - (.not file.) - MpKslcfcdf136 (MpKslcfcdf136)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSLCFCDF136       
O64 - Services: CurCS - (.not file.) - MpKslfc494782 (MpKslfc494782)  .(.Pas de propriétaire - Pas de description.) - LEGACY_MPKSLFC494782        
O69 - SBI: SearchScopes [HKCU] {afdbddaa-5d3f-42ee-b79c-185a7020515b} - (freevideomaster Customized Web Search) - http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2239085      
EmptyTemp      


Lancer ZHPFix à partir du raccourci sur le bureau .       
( Pour Vista ou Seven : Faire un clic-droit sur l'icône ZHPFix.exe présente sur le Bureau, et sélectionner, dans le menu contextuel qui s'affiche, l'option "  Exécuter en tant qu'administrateur ").       
        
- Cliquer sur l'icône représentant la lettre bleue H, cela collera les lignes qui sont en mémoire dans le presse-papier.         
Vérifier que toutes les lignes prescrites de copier (et seulement elles) sont dans la fenêtre.       

* Cliquer sur OK, sur "Tous", puis sur "Nettoyer"         

[*] Accepter la désinstallation des programmes si proposé, mais refuser le redémarrage de ton pc si également proposé, car cela stopperait ZHPFix.         
[*] Le navigateur risque de s'ouvrir pendant la désinstallation des toolbars, pas de panique c'est normal; fermer les fenêtres tout simplement.        

Le rapport de l'application va apparaître dans la fenêtre.        
* Copier/coller la totalité du rapport dans la prochaine réponse.( [CTRL+A] pour tout sélectionner, [CTRL+C] pour copier et [CTRL+V] pour coller )        


Arrêter puis redémarrer le PC.       



Utiliser le raccourci MBRCheck du Bureau pour obtenir un scan complet; poster le rapport.    


Relancer ensuite une analyse avec ZHPDiag comme précédemment; et poster le rapport.       

Merci   
Al.   
Patience-Vigilance-Amour.

stephabdx · Answer

salut
je viens de faire les operations

voici les rapports

	https://www.cjoint.com/?0cxqs8dHYaL


par contre maintenant impossible de lancer regedit
 et lors du demarrage j'ai eu le message suivant :

Microsoft Visual C++ Runtime library

Program c:\windows\system32
vvsvc.exe

This application has requested the runtime to terminate it in a unusual way

Please contact the application support

et quand je lance le centre de maintenance :

j'ai aussi une message d'erreur

voici le rapport du deuxieme passage

	https://www.cjoint.com/?0cxqyYyUSqD

stephabdx · Answer

merci de ton aide mais j'ai un peu la trouille car depuis la derniere modification
impossible de lancer l'explorer 

j'ai le message cette interface n'est pas prise en compte


je vais tacher de suivre tes indications

stephabdx · Answer

oui j'ai suivi les modifications que tu as proposé avec zhpfix et depuis impossible de lancer l'explorer et quasiment toutes les icones du bureau

stephabdx · Answer

bonjour,

A)- On penserait facilement que tu avais déjà supprimé pas mal d'infections

oui ma fille c'est bien amusée :=))

B)- Bizarre ce message à l'issue d'une application ZHPFix !
Fais analyser ce fichier " nvvsvc.exe " chez VirusTotal https://www.virustotal.com/gui/
Et poste le rapport final.
Procédure: https://forum.pcastuces.com/scan_chez_virus_total-f31s15.htm

rien de detecter 
https://www.cjoint.com/?0cxrvItPXbD 

C)- As-tu lancé MBRCheck ? 

voici le rapport
	https://www.cjoint.com/?0cxriXPBuBj

stephabdx · Answer

je patiente pas de souci merci de votre aide à tous

afideg · Answer

Essaie de travailler en Mode sans Echec 
Voire en MSE avec prise en charge de réseaux.

http://www.vista-xp.fr/forum/topic93.html


Patience-Vigilance-Amour.

stephabdx · Answer

déja essayer mais pas mieux

heureusement j'ai d'autres postes

afideg · Answer

Rien dans les éléments supprimés n'explique ce bug.
As-tu testé le fichier .bat
- soit téléchargé sur le bureau en "MSE avec prise en charge de réseaux"
- soit téléchargé sur une clé USB et lancé comme dit plus haut ?
Tu parles de "Explorateur Internet", or ce qui doit servir, c'est le "Navigateur IE".

stephabdx · Answer

non non quand je parle de l'explorer c'est de windows explorer

par internet explorer 

j'ai l'impression qu'il y a des clé de la base de registre qui ont été supprimées

stephabdx · Answer

je viens de telecharger total commander donc déja cela va mieux

gen-hackman · Answer

bonjour as-tu agi manuellement dans le registre ?

stephabdx · Answer

bonjourr,

non non, j'ai juste exécuter les modifications via  ZHPFix

voir les fichiers de rapport


merci de votre aide à tous

gen-hackman · Answer

ok ;)

afideg · Answer

Pour l'avenir.

Dans MBAM, ici, on lit :

Clé(s) du Registre infectée(s): 
HKEY_CURRENT_USER\SOFTWARE\NtWqIVLZEWZU (Trojan.FakeAlert) 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\ (Hijack.Zones)
Fichier(s) infecté(s): 
c:\Windows\Tasks\{bbaeaeaf-1275-40e2-bd6c-bc8f88bd114a}.job (Trojan.Downloader) 


Tot ziens !
Al.

Cle de base de registre (zone L)

29 réponses

Discussions similaires

Newsletters