INFECTION MULTIPLES HELP Résolu/Fermé

Question

Bonjour,  


J'ai un PC portable Sony Vaio qui semble infecté de toute part, mais bitdefender online / avast / trend micro ne parvient pas a détecter un virus. 

1/ Jai pleins (+ de 20) de fichiers .ocx et .dll avec des noms exotique comme "978notavirus.ocx" "zf55backdoor9575.dll" présent dans le dossier "c:\Windows\"... 
2/ au démarrage du pc, windows m'indique qu'une DLL est manquante : "tsLeut.dll" qui n'est pas un dll système selon moi... 


3/Enfin voila mon log Hijack this: http://xeatos.free.fr/lastlog.txt 

Merci à tous pour votre aide, 

Xeat 

Configuration: Windows XP / Internet Explorer 6.0

juju666 · Answer

Salut :)

Désactive le Tea Timer et supprime spybot qui sert à rien (obsolète)

DÉSACTIVE TON ANTIVIRUS ET TON PARE-FEU SI PRÉSENTS !!!!! (car l'outil est détecté a tort comme infection contenant un module qui sert à arrêter des processus , et un autre servant à prendre des droits dans le registre pour effectuer des suppressions et ils pourraient interférer avec le logiciel)

&#9654 Télécharge ici :List_Kill'em

 et enregistre le sur ton bureau 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "exécuter en tant que...." 

sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

&#9830 Exécuter List_Kill'em

une fois terminée , clic sur "terminer" 

lance-le via le raccourci apparu sur ton bureau comme précité au début 

choisis l'option Search

&#9654 laisse travailler l'outil

à l'apparition de la fenêtre blanche , c'est un peu long , c'est normal ,c'est une recherche supplémentaire de fichiers cachés , le programme n'est pas bloqué.

&#9654 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'écran "COMPLETED"

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM 

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/ 

&#9654 Clique sur Parcourir et cherche le fichier C:\List'em.txt 

&#9654 Clique sur Ouvrir. 

&#9654 Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt 

est ajouté dans la page. 

&#9654 Copie ce lien dans ta réponse. 

&#9654 Fais de même avec more.txt qui se trouve sur ton bureau

@+

xeat · Answer

Merci beaucoup d'avoir pris le temps de me répondre juju,

J'ai supprimé spybot, désactiver kaspersky mais lorsque j'effectue l'option search dans list_kill'em, une fenetre souvre avec le listing du scan en cours, mais ensuite rien. L'application se ferme ( aucun ecran COMPLETED)et aucun documents n'est enregistrer dans c:\  (le fond de la fenetre est bleu, puis apres quelque message comme quoi certain dossiers possède un chemin trop long, elle devien rouge en continuant a scanner et apres pouf plus rien..)

J'ai oublier de préciser dans mon premier topic que je ne peux utiliser " msconfig" " regedit " et dautre outils systemes. Lorsque je  lance l'un d'eux ( msconfig dans le champs executer) le bloc note s'ouvre comme si cétait un .txt avec plein de caractères speciaux...

Donc je suis bloqué pour l'instant ! help :(

juju666 · Answer

Mouarf

&#9654 Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore le et désactive le temporairement. 

&#9654  Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir 

&#9654 Vista/Seven : Clic droit sur UsbFix > Exécuter en tant qu'administrateur, l'installation se fera automatiquement 
              XP : double clic sur UsbFix

&#9654 Clique sur "Suppression" 

&#9654 Laisse travailler l'outil 

&#9654 Ton Bureau va disparaitre: c'est normal 

&#9654 A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur) 

&#9654 Aide en images : Tutoriel "Nettoyage" 

@+

xeat · Answer

Milles excuses, pas d'écran COMPLETED comme dit précedemment, mais le fichier list'em.txt est présent sur le bureau.

Lien list'em.txt: http://www.cijoint.fr/cjlink.php?file=cj201103/cijvUw9S5a.txt 

Lien more.txt : http://www.cijoint.fr/cjlink.php?file=cj201103/cijyxeIHd1.txt

juju666 · Answer

Mdr c'est rien ^^

Passe USBFIx et colle son rapport :]

Puis après usbfix :


si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "exécuter en tant que...." 

&#9654 Relance List_Kill'em,avec le raccourci sur ton bureau.

mais cette fois-ci :

&#9654 choisis l'Option Clean

&#9654&#9654&#9654 Ne clique qu'une seule fois sur le bouton !!

laisse travailler l'outil.

en fin de scan la fenêtre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

&#9654 colle le contenu dans ta réponse 

;)

xeat · Answer

Re,

Alors pour usbfix cest cool mais c'est pas mon PC ( je suis en entreprise ) et la personne qui possède la clef usb infectée n'est pas là, donc rien a connecter...

Voici quand même le rapport: 
Usbfix: http://www.cijoint.fr/cjlink.php?file=cj201103/cijOZEL5c2.txt

Voici le rapport List_kill'em :

http://www.cijoint.fr/cjlink.php?file=cj201103/cij1cGgNMl.txt

juju666 · Answer

ça a bien bossé ^^

Nous allons effectuer un diagnostic de ton PC:
&#9654 Télécharge ZHPDiag sur ton bureau :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html
ou :
https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

&#9654 Laisse toi guider lors de l'installation,coche "Ajouter une icône sur le bureau" et décoche la case "Exécuter ZHPDiag"

 /!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur » 

&#9654 Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
&#9654 Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
&#9654 Héberge le rapport ZHPDiag.txt sur un des sites ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
http://pjjoint.malekal.com/

Si indispo:
http://www.cijoint.fr/
ou :
http://ww38.toofiles.com/fr/documents-upload.html
ou :
https://www.cjoint.com/
ou :
https://www.casimages.com/

&#9654 Tuto zhpdiag :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html 


Hébergement de rapport sur pjjoint.malekal.com

&#9654 Rends toi sur pjjoint.malekal.com
&#9654 Clique sur le bouton Parcourir
&#9654 Sélectionne le fichier que tu veux heberger et clique sur Ouvrir
&#9654 Clique sur le bouton Envoyer
&#9654 Un message de confirmation s'affiche (L'upload a réussi ! - Le lien à transmettre à vos correspondant pour visualiser le fichier est : https://pjjoint.malekal.com/files.php?id=df5ea299241015 Copie le lien dans ta prochaine réponse.

@+

xeat · Answer

Merci encore de l'attention que tu portes a mon problème.

Voici le rapport de zhpdiag :
http://www.cijoint.fr/cjlink.php?file=cj201103/cijXwgRTYz.txt

juju666 · Answer

pour que ça soit bien propre :)

&#9654 Copie tout le texte présent dans la balise code ci-dessous ( tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )   


 R4 - HKCU\SOFTWARE\Microsoft\Internet Explorer\PhishingFilter,Enabled = 0     
[MD5.00000000000000000000000000000000] [APT] [{891D8D4E-A2FD-411D-9D2C-FD9F0317B9A2}] (.Pas de propriétaire.) -- C:\Users\kmlocal\AppData\Roaming\AntiVirus Studio 2010\securityhelper.exe (.not file.)    
O43 - CFD: 03/10/2009 - 17:01:04 - [174885] ----D- C:\Users\km\AppData\Roaming\live-player     
R3 - URLSearchHook: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) (5, 5, 0, 10) -- C:\Program Files\myBabylon_English	bmyBa.dll
R3 - URLSearchHook: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) (5, 5, 0, 10) -- C:\Program Files\myBabylon_English	bmyBa.dll
O2 - BHO: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\myBabylon_English	bmyBa.dll
O3 - Toolbar: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\myBabylon_English	bmyBa.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} . (.Yahoo! Inc. - Yahoo! Toolbar.) -- C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll   
[HKCU\Software\AppDataLow\Software\Conduit]   
[HKCU\Software\AppDataLow\Toolbar]
[HKLM\Software\Conduit]   
O43 - CFD: 31/05/2010 - 16:41:56 - [521312] ----D- C:\Program Files\Conduit    
O4 - HKLM\..\Run: [T] \sa-.exe
O4 - HKCU\..\Run: [T1TT4] \l.exe
O4 - HKUS\S-1-5-21-557568042-783056430-3825156458-1004\..\Run: [T1TT4] \l.exe
O87 - FAEL: "{034C0502-BBD7-4BFD-8BAD-CCC2BEEEA2E1}" | In - Private - P6 - TRUE | .(.Apple Inc. - Bonjour Service.) -- C:\Program Files\Bonjour\mDNSResponder.exe
O87 - FAEL: "{B58AAA30-D109-400D-9CB8-C16853EC55AF}" | In - Private - P17 - TRUE | .(.Apple Inc. - Bonjour Service.) -- C:\Program Files\Bonjour\mDNSResponder.exe
O4 - HKCU\..\Run: [Lyamer] C:\Users\kmlocal\AppData\Local	sLeut.dll (.not file.)
O4 - HKCU\..\Run: [T1468410TT4] C:\Windows\system32\662732867285l.exe (.not file.)
O4 - HKUS\S-1-5-21-557568042-783056430-3825156458-1004\..\Run: [Lyamer] C:\Users\kmlocal\AppData\Local	sLeut.dll (.not file.)
O4 - HKUS\S-1-5-21-557568042-783056430-3825156458-1004\..\Run: [T1468410TT4] C:\Windows\system32\662732867285l.exe (.not file.)
O4 - Global Startup: C:\Users\km\Desktop\MD2_cs11 - Raccourci (2).lnk . (...)  -- Y:\amd2\MD2_cs11.exe (.not file.)
O4 - Global Startup: C:\Users\km\Desktop\MD2_cs11 - Raccourci.lnk . (...)  -- Y:\amd2\MD2_cs11.exe (.not file.)
O4 - Global Startup: C:\Users\km\Desktop\Run.lnk - Clé orpheline
O24 - Default MHTML Editor: Last - .(...) -  (.not file.)
[MD5.00000000000000000000000000000000] [APT] [{2458BB28-874E-43FF-8823-62C70F16C65C}] (.Pas de propriétaire.) -- C:\Users\kmlocal\AppData\Local\Temp\Temp1_viruskeeper2011pro.zip\setup.exe (.not file.)
O43 - CFD: 09/03/2011 - 15:04:40 - [4582064] ----D- C:\Program Files\Spybot - Search & Destroy    => Spybot - Search & Destroy
O43 - CFD: 09/03/2011 - 15:01:20 - [4527984] ----D- C:\ProgramData\Spybot - Search & Destroy    => Spybot - Search & Destroy
O51 - MPSK:{3ae8ef91-be5d-11df-93bd-00214f49b863}\AutoRun\command - Clé orpheline



&#9654 Puis Lance ZHPFix depuis le raccourci du bureau .  

&#9654 Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .  

&#9654 Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .  

&#9654 Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.  

&#9654 Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".  

&#9654 Copie/Colle le rapport à l'écran dans ton prochain message  

&#9654 (le rapport se trouve aussi dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport.txt)   

@+

xeat · Answer

Rebonjour,
merci pour tes réponses,

voila le rapport:

Rapport de ZHPFix 1.12.3257 par Nicolas Coolman, Update du 05/03/2011
Fichier d'export Registre : 
Run by km at 10/03/2011 10:55:25
Windows Vista Business Edition, 32-bit Service Pack 1 (Build 6001)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé(s) du Registre ==========
[HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{b2e293ee-fd7e-4c71-a714-5f4750d8d7b7}]  => Clé supprimée avec succès
[HKCR\CLSID\{b2e293ee-fd7e-4c71-a714-5f4750d8d7b7}]  => Clé supprimée avec succès
O2 - BHO: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\myBabylon_English	bmyBa.dll  => Clé supprimée avec succès
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{EF99BD32-C1FB-11D2-892F-0090271D4F88}]  => Clé supprimée avec succès
[HKCR\CLSID\{EF99BD32-C1FB-11D2-892F-0090271D4F88}]  => Clé supprimée avec succès
HKCU\Software\AppDataLow\Software\Conduit  => Clé supprimée avec succès
HKCU\Software\AppDataLow\Toolbar  => Clé supprimée avec succès
HKLM\Software\Conduit  => Clé supprimée avec succès
O51 - MPSK:{3ae8ef91-be5d-11df-93bd-00214f49b863}\AutoRun\command - Clé orpheline  => Clé supprimée avec succès

========== Valeur(s) du Registre ==========
R3 - URLSearchHook: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) (5, 5, 0, 10) -- C:\Program Files\myBabylon_English	bmyBa.dll  => Valeur supprimée avec succès
O3 - Toolbar: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\myBabylon_English	bmyBa.dll  => Valeur supprimée avec succès
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} . (.Yahoo! Inc. - Yahoo! Toolbar.) -- C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll  => Valeur supprimée avec succès
O4 - HKLM\..\Run: [T] \sa-.exe  => Valeur supprimée avec succès
O4 - HKCU\..\Run: [T1TT4] \l.exe  => Valeur supprimée avec succès
O4 - HKUS\S-1-5-21-557568042-783056430-3825156458-1004\..\Run: [T1TT4] \l.exe  => Valeur absente
{034C0502-BBD7-4BFD-8BAD-CCC2BEEEA2E1}  => Valeur supprimée avec succès
{B58AAA30-D109-400D-9CB8-C16853EC55AF}  => Valeur supprimée avec succès
O4 - HKCU\..\Run: [Lyamer] C:\Users\kmlocal\AppData\Local	sLeut.dll (.not file.)  => Valeur supprimée avec succès
O4 - HKCU\..\Run: [T1468410TT4] C:\Windows\system32\662732867285l.exe (.not file.)  => Valeur supprimée avec succès
O4 - HKUS\S-1-5-21-557568042-783056430-3825156458-1004\..\Run: [Lyamer] C:\Users\kmlocal\AppData\Local	sLeut.dll (.not file.)  => Valeur absente
O4 - HKUS\S-1-5-21-557568042-783056430-3825156458-1004\..\Run: [T1468410TT4] C:\Windows\system32\662732867285l.exe (.not file.)  => Valeur absente
O24 - Default MHTML Editor: Last - .(...) -  (.not file.)  => Valeur absente

========== Elément(s) de donnée du Registre ==========
R4 - HKCU\SOFTWARE\Microsoft\Internet Explorer\PhishingFilter,Enabled = 0  => Donnée supprimée avec succès

========== Dossier(s) ==========
C:\Users\km\AppData\Roaming\live-player  => Supprimé et mis en quarantaine
C:\Program Files\Conduit  => Fichier supprimé au reboot
C:\Program Files\Spybot - Search & Destroy  => Fichier supprimé au reboot
C:\ProgramData\Spybot - Search & Destroy  => Supprimé et mis en quarantaine

========== Fichier(s) ==========
c:\users\kmlocal\appdataoaming\antivirus studio 2010\securityhelper.exe (.not file.)  => Fichier absent
c:\program files\mybabylon_english	bmyba.dll  => Supprimé et mis en quarantaine
c:\program files\yahoo!\companion\installs\cpn\yt.dll  => Supprimé et mis en quarantaine
\sa-.exe  => Supprimé et mis en quarantaine
\l.exe  => Supprimé et mis en quarantaine
c:\users\kmlocal\appdata\local	sleut.dll  => Supprimé et mis en quarantaine
c:\windows\system32\662732867285l.exe  => Supprimé et mis en quarantaine
c:\users\km\desktop\md2_cs11 - raccourci (2).lnk  => Supprimé et mis en quarantaine
y:\amd2\md2_cs11.exe  => Supprimé et mis en quarantaine
c:\users\km\desktop\md2_cs11 - raccourci.lnk  => Supprimé et mis en quarantaine
c:\users\km\desktopun.lnk  => Supprimé et mis en quarantaine
c:\users\kmlocal\appdata\local	emp	emp1_viruskeeper2011pro.zip\setup.exe (.not file.)  => Fichier absent

========== Tache planifiée ==========
Task : {891D8D4E-A2FD-411D-9D2C-FD9F0317B9A2}  => Tâche supprimée avec succès
Task : {2458BB28-874E-43FF-8823-62C70F16C65C}  => Tâche supprimée avec succès


========== Récapitulatif ==========
9 : Clé(s) du Registre
13 : Valeur(s) du Registre
1 : Elément(s) de donnée du Registre
4 : Dossier(s)
12 : Fichier(s)
2 : Tache planifiée


End of the scan

juju666 · Answer

Re :D

Tu peux passer un scanner généraliste:

&#9654 Télécharge Malwarebytes' Anti-Malware  et enregistre le sur ton bureau. 

&#9654 &#9654 Miroir 1 si inaccessible  
&#9654 &#9654 Miroir 2 si inaccessible 

&#9654 &#9654 /!\ Utilisateur de Vista et Windows 7 : Clique droit sur le logo de Malwarebytes' Anti-Malware, « exécuter en tant qu'Administrateur »  

&#9654 Double clique sur le fichier téléchargé pour lancer le processus d'installation.  
&#9654 Dans l'onglet "mise à jour", clique sur le bouton Recherche de mise à jour  
&#9654 si le pare-feu demande l'autorisation de se connecter pour Malwarebytes, accepte  
&#9654  Une fois la mise à jour terminée  
&#9654 rends-toi dans l'onglet Recherche 
&#9654 Sélectionne Exécuter un examen complet 
&#9654 Clique sur Rechercher  
&#9654 &#9654 Le scan démarre.  
&#9654 A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.  
&#9654 Clique sur Ok pour poursuivre.  
&#9654 Si des malwares ont été détectés, cliques sur Afficher les résultats 
&#9654 Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection . Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.  
&#9654 Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller) 

&#9654 &#9654  Il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!  
&#9654 Une fois le PC redémarré, rends toi dans l'onglet rapport/log  
&#9654 Tu clique dessus pour l'afficher, une fois affiché  
&#9654 Copie/colle le ici (ctrl+a pour tout sélectionner, ctrl+c pour copier, ctrl+v pour coller) 

Si tu as besoin d'aide regarde ce tutoriel :  
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/   

@+

INFECTION MULTIPLES HELP

11 réponses

Discussions similaires

Newsletters