INFECTION MULTIPLES HELP

Salut :)

Désactive le Tea Timer et supprime spybot qui sert à rien (obsolète)

DÉSACTIVE TON ANTIVIRUS ET TON PARE-FEU SI PRÉSENTS !!!!! (car l'outil est détecté a tort comme infection contenant un module qui sert à arrêter des processus , et un autre servant à prendre des droits dans le registre pour effectuer des suppressions et ils pourraient interférer avec le logiciel)

▶ Télécharge ici :List_Kill'em

et enregistre le sur ton bureau

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "exécuter en tant que...."

sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

♦ Exécuter List_Kill'em

une fois terminée , clic sur "terminer"

lance-le via le raccourci apparu sur ton bureau comme précité au début

choisis l'option Search

▶ laisse travailler l'outil

à l'apparition de la fenêtre blanche , c'est un peu long , c'est normal ,c'est une recherche supplémentaire de fichiers cachés , le programme n'est pas bloqué.

▶ Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'écran "COMPLETED"

▶▶▶ NE LE POSTE PAS SUR LE FORUM

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier C:\List'em.txt

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.

▶ Fais de même avec more.txt qui se trouve sur ton bureau

@+

Merci beaucoup d'avoir pris le temps de me répondre juju,

J'ai supprimé spybot, désactiver kaspersky mais lorsque j'effectue l'option search dans list_kill'em, une fenetre souvre avec le listing du scan en cours, mais ensuite rien. L'application se ferme ( aucun ecran COMPLETED)et aucun documents n'est enregistrer dans c:\ (le fond de la fenetre est bleu, puis apres quelque message comme quoi certain dossiers possède un chemin trop long, elle devien rouge en continuant a scanner et apres pouf plus rien..)

J'ai oublier de préciser dans mon premier topic que je ne peux utiliser " msconfig" " regedit " et dautre outils systemes. Lorsque je lance l'un d'eux ( msconfig dans le champs executer) le bloc note s'ouvre comme si cétait un .txt avec plein de caractères speciaux...

Donc je suis bloqué pour l'instant ! help :(

Mouarf

▶ Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore le et désactive le temporairement.

▶ Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir

▶ Vista/Seven : Clic droit sur UsbFix > Exécuter en tant qu'administrateur, l'installation se fera automatiquement
XP : double clic sur UsbFix

▶ Clique sur "Suppression"

▶ Laisse travailler l'outil

▶ Ton Bureau va disparaitre: c'est normal

▶ A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

▶ Aide en images : Tutoriel "Nettoyage"

@+

Milles excuses, pas d'écran COMPLETED comme dit précedemment, mais le fichier list'em.txt est présent sur le bureau.

Lien list'em.txt: http://www.cijoint.fr/cjlink.php?file=cj201103/cijvUw9S5a.txt

Lien more.txt : http://www.cijoint.fr/cjlink.php?file=cj201103/cijyxeIHd1.txt

Mdr c'est rien ^^

Passe USBFIx et colle son rapport :]

Puis après usbfix :

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "exécuter en tant que...."

▶ Relance List_Kill'em,avec le raccourci sur ton bureau.

mais cette fois-ci :

▶ choisis l'Option Clean

▶▶▶ Ne clique qu'une seule fois sur le bouton !!

laisse travailler l'outil.

en fin de scan la fenêtre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

▶ colle le contenu dans ta réponse

;)

Re,

Alors pour usbfix cest cool mais c'est pas mon PC ( je suis en entreprise ) et la personne qui possède la clef usb infectée n'est pas là, donc rien a connecter...

Voici quand même le rapport:
Usbfix: http://www.cijoint.fr/cjlink.php?file=cj201103/cijOZEL5c2.txt

Voici le rapport List_kill'em :

http://www.cijoint.fr/cjlink.php?file=cj201103/cij1cGgNMl.txt

ça a bien bossé ^^

Nous allons effectuer un diagnostic de ton PC:
▶ Télécharge ZHPDiag sur ton bureau :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html
ou :
https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

▶ Laisse toi guider lors de l'installation,coche "Ajouter une icône sur le bureau" et décoche la case "Exécuter ZHPDiag"

/!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »

▶ Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
▶ Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
▶ Héberge le rapport ZHPDiag.txt sur un des sites ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
http://pjjoint.malekal.com/

Si indispo:
http://www.cijoint.fr/
ou :
http://ww38.toofiles.com/fr/documents-upload.html
ou :
https://www.cjoint.com/
ou :
https://www.casimages.com/

▶ Tuto zhpdiag :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html

Hébergement de rapport sur pjjoint.malekal.com

▶ Rends toi sur pjjoint.malekal.com
▶ Clique sur le bouton Parcourir
▶ Sélectionne le fichier que tu veux heberger et clique sur Ouvrir
▶ Clique sur le bouton Envoyer
▶ Un message de confirmation s'affiche (L'upload a réussi ! - Le lien à transmettre à vos correspondant pour visualiser le fichier est : https://pjjoint.malekal.com/files.php?id=df5ea299241015 Copie le lien dans ta prochaine réponse.

@+

Merci encore de l'attention que tu portes a mon problème.

Voici le rapport de zhpdiag :
http://www.cijoint.fr/cjlink.php?file=cj201103/cijXwgRTYz.txt

pour que ça soit bien propre :)

▶ Copie tout le texte présent dans la balise code ci-dessous ( tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )

 R4 - HKCU\SOFTWARE\Microsoft\Internet Explorer\PhishingFilter,Enabled = 0     
[MD5.00000000000000000000000000000000] [APT] [{891D8D4E-A2FD-411D-9D2C-FD9F0317B9A2}] (.Pas de propriétaire.) -- C:\Users\kmlocal\AppData\Roaming\AntiVirus Studio 2010\securityhelper.exe (.not file.)    
O43 - CFD: 03/10/2009 - 17:01:04 - [174885] ----D- C:\Users\km\AppData\Roaming\live-player     
R3 - URLSearchHook: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) (5, 5, 0, 10) -- C:\Program Files\myBabylon_English\tbmyBa.dll
R3 - URLSearchHook: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) (5, 5, 0, 10) -- C:\Program Files\myBabylon_English\tbmyBa.dll
O2 - BHO: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\myBabylon_English\tbmyBa.dll
O3 - Toolbar: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\myBabylon_English\tbmyBa.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} . (.Yahoo! Inc. - Yahoo! Toolbar.) -- C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll   
[HKCU\Software\AppDataLow\Software\Conduit]   
[HKCU\Software\AppDataLow\Toolbar]
[HKLM\Software\Conduit]   
O43 - CFD: 31/05/2010 - 16:41:56 - [521312] ----D- C:\Program Files\Conduit    
O4 - HKLM\..\Run: [T] \sa-.exe
O4 - HKCU\..\Run: [T1TT4] \l.exe
O4 - HKUS\S-1-5-21-557568042-783056430-3825156458-1004\..\Run: [T1TT4] \l.exe
O87 - FAEL: "{034C0502-BBD7-4BFD-8BAD-CCC2BEEEA2E1}" | In - Private - P6 - TRUE | .(.Apple Inc. - Bonjour Service.) -- C:\Program Files\Bonjour\mDNSResponder.exe
O87 - FAEL: "{B58AAA30-D109-400D-9CB8-C16853EC55AF}" | In - Private - P17 - TRUE | .(.Apple Inc. - Bonjour Service.) -- C:\Program Files\Bonjour\mDNSResponder.exe
O4 - HKCU\..\Run: [Lyamer] C:\Users\kmlocal\AppData\Local\tsLeut.dll (.not file.)
O4 - HKCU\..\Run: [T1468410TT4] C:\Windows\system32\662732867285l.exe (.not file.)
O4 - HKUS\S-1-5-21-557568042-783056430-3825156458-1004\..\Run: [Lyamer] C:\Users\kmlocal\AppData\Local\tsLeut.dll (.not file.)
O4 - HKUS\S-1-5-21-557568042-783056430-3825156458-1004\..\Run: [T1468410TT4] C:\Windows\system32\662732867285l.exe (.not file.)
O4 - Global Startup: C:\Users\km\Desktop\MD2_cs11 - Raccourci (2).lnk . (...)  -- Y:\amd2\MD2_cs11.exe (.not file.)
O4 - Global Startup: C:\Users\km\Desktop\MD2_cs11 - Raccourci.lnk . (...)  -- Y:\amd2\MD2_cs11.exe (.not file.)
O4 - Global Startup: C:\Users\km\Desktop\Run.lnk - Clé orpheline
O24 - Default MHTML Editor: Last - .(...) -  (.not file.)
[MD5.00000000000000000000000000000000] [APT] [{2458BB28-874E-43FF-8823-62C70F16C65C}] (.Pas de propriétaire.) -- C:\Users\kmlocal\AppData\Local\Temp\Temp1_viruskeeper2011pro.zip\setup.exe (.not file.)
O43 - CFD: 09/03/2011 - 15:04:40 - [4582064] ----D- C:\Program Files\Spybot - Search & Destroy    => Spybot - Search & Destroy
O43 - CFD: 09/03/2011 - 15:01:20 - [4527984] ----D- C:\ProgramData\Spybot - Search & Destroy    => Spybot - Search & Destroy
O51 - MPSK:{3ae8ef91-be5d-11df-93bd-00214f49b863}\AutoRun\command - Clé orpheline

▶ Puis Lance ZHPFix depuis le raccourci du bureau .

▶ Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

▶ Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

▶ Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

▶ Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".

▶ Copie/Colle le rapport à l'écran dans ton prochain message

▶ (le rapport se trouve aussi dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport.txt)

@+

Rebonjour,
merci pour tes réponses,

voila le rapport:

Rapport de ZHPFix 1.12.3257 par Nicolas Coolman, Update du 05/03/2011
Fichier d'export Registre :
Run by km at 10/03/2011 10:55:25
Windows Vista Business Edition, 32-bit Service Pack 1 (Build 6001)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé(s) du Registre ==========
[HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{b2e293ee-fd7e-4c71-a714-5f4750d8d7b7}] => Clé supprimée avec succès
[HKCR\CLSID\{b2e293ee-fd7e-4c71-a714-5f4750d8d7b7}] => Clé supprimée avec succès
O2 - BHO: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\myBabylon_English\tbmyBa.dll => Clé supprimée avec succès
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{EF99BD32-C1FB-11D2-892F-0090271D4F88}] => Clé supprimée avec succès
[HKCR\CLSID\{EF99BD32-C1FB-11D2-892F-0090271D4F88}] => Clé supprimée avec succès
HKCU\Software\AppDataLow\Software\Conduit => Clé supprimée avec succès
HKCU\Software\AppDataLow\Toolbar => Clé supprimée avec succès
HKLM\Software\Conduit => Clé supprimée avec succès
O51 - MPSK:{3ae8ef91-be5d-11df-93bd-00214f49b863}\AutoRun\command - Clé orpheline => Clé supprimée avec succès

========== Valeur(s) du Registre ==========
R3 - URLSearchHook: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) (5, 5, 0, 10) -- C:\Program Files\myBabylon_English\tbmyBa.dll => Valeur supprimée avec succès
O3 - Toolbar: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\myBabylon_English\tbmyBa.dll => Valeur supprimée avec succès
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} . (.Yahoo! Inc. - Yahoo! Toolbar.) -- C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll => Valeur supprimée avec succès
O4 - HKLM\..\Run: [T] \sa-.exe => Valeur supprimée avec succès
O4 - HKCU\..\Run: [T1TT4] \l.exe => Valeur supprimée avec succès
O4 - HKUS\S-1-5-21-557568042-783056430-3825156458-1004\..\Run: [T1TT4] \l.exe => Valeur absente
{034C0502-BBD7-4BFD-8BAD-CCC2BEEEA2E1} => Valeur supprimée avec succès
{B58AAA30-D109-400D-9CB8-C16853EC55AF} => Valeur supprimée avec succès
O4 - HKCU\..\Run: [Lyamer] C:\Users\kmlocal\AppData\Local\tsLeut.dll (.not file.) => Valeur supprimée avec succès
O4 - HKCU\..\Run: [T1468410TT4] C:\Windows\system32\662732867285l.exe (.not file.) => Valeur supprimée avec succès
O4 - HKUS\S-1-5-21-557568042-783056430-3825156458-1004\..\Run: [Lyamer] C:\Users\kmlocal\AppData\Local\tsLeut.dll (.not file.) => Valeur absente
O4 - HKUS\S-1-5-21-557568042-783056430-3825156458-1004\..\Run: [T1468410TT4] C:\Windows\system32\662732867285l.exe (.not file.) => Valeur absente
O24 - Default MHTML Editor: Last - .(...) - (.not file.) => Valeur absente

========== Elément(s) de donnée du Registre ==========
R4 - HKCU\SOFTWARE\Microsoft\Internet Explorer\PhishingFilter,Enabled = 0 => Donnée supprimée avec succès

========== Dossier(s) ==========
C:\Users\km\AppData\Roaming\live-player => Supprimé et mis en quarantaine
C:\Program Files\Conduit => Fichier supprimé au reboot
C:\Program Files\Spybot - Search & Destroy => Fichier supprimé au reboot
C:\ProgramData\Spybot - Search & Destroy => Supprimé et mis en quarantaine

========== Fichier(s) ==========
c:\users\kmlocal\appdata\roaming\antivirus studio 2010\securityhelper.exe (.not file.) => Fichier absent
c:\program files\mybabylon_english\tbmyba.dll => Supprimé et mis en quarantaine
c:\program files\yahoo!\companion\installs\cpn\yt.dll => Supprimé et mis en quarantaine
\sa-.exe => Supprimé et mis en quarantaine
\l.exe => Supprimé et mis en quarantaine
c:\users\kmlocal\appdata\local\tsleut.dll => Supprimé et mis en quarantaine
c:\windows\system32\662732867285l.exe => Supprimé et mis en quarantaine
c:\users\km\desktop\md2_cs11 - raccourci (2).lnk => Supprimé et mis en quarantaine
y:\amd2\md2_cs11.exe => Supprimé et mis en quarantaine
c:\users\km\desktop\md2_cs11 - raccourci.lnk => Supprimé et mis en quarantaine
c:\users\km\desktop\run.lnk => Supprimé et mis en quarantaine
c:\users\kmlocal\appdata\local\temp\temp1_viruskeeper2011pro.zip\setup.exe (.not file.) => Fichier absent

========== Tache planifiée ==========
Task : {891D8D4E-A2FD-411D-9D2C-FD9F0317B9A2} => Tâche supprimée avec succès
Task : {2458BB28-874E-43FF-8823-62C70F16C65C} => Tâche supprimée avec succès

========== Récapitulatif ==========
9 : Clé(s) du Registre
13 : Valeur(s) du Registre
1 : Elément(s) de donnée du Registre
4 : Dossier(s)
12 : Fichier(s)
2 : Tache planifiée

End of the scan

Re :D

Tu peux passer un scanner généraliste:

▶ Télécharge Malwarebytes' Anti-Malware et enregistre le sur ton bureau.

▶ ▶ Miroir 1 si inaccessible
▶ ▶ Miroir 2 si inaccessible

▶ ▶ /!\ Utilisateur de Vista et Windows 7 : Clique droit sur le logo de Malwarebytes' Anti-Malware, « exécuter en tant qu'Administrateur »

▶ Double clique sur le fichier téléchargé pour lancer le processus d'installation.
▶ Dans l'onglet "mise à jour", clique sur le bouton Recherche de mise à jour
▶ si le pare-feu demande l'autorisation de se connecter pour Malwarebytes, accepte
▶ Une fois la mise à jour terminée
▶ rends-toi dans l'onglet Recherche
▶ Sélectionne Exécuter un examen complet
▶ Clique sur Rechercher
▶ ▶ Le scan démarre.
▶ A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.
▶ Clique sur Ok pour poursuivre.
▶ Si des malwares ont été détectés, cliques sur Afficher les résultats
▶ Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection . Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
▶ Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller)

▶ ▶ Il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!
▶ Une fois le PC redémarré, rends toi dans l'onglet rapport/log
▶ Tu clique dessus pour l'afficher, une fois affiché
▶ Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller)

Si tu as besoin d'aide regarde ce tutoriel :
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

@+