Piratage... que faire?

Question

Bonjour, 

J'ai parcouru pendant plusieures heures pour trouver une solution à mon problème.

J'ai un plantage réccurent entre svhost.exe et son collegue "generic host process". 

J'ai bien compris que svhost peut ou pas être infecté. Mais au vu de sa consommation qui passe vouvent la barre des 60 MO quand il est chaud, je suppose que je me suis fait pirater. J'ai avast 6, mis a jour toutes les deux heures. j'ai lancé un scan minutieux qui n'a rien donné. 

Je suis allé dans msconfig et à l'exception de cfmon et d'avast, j'ai désactivé tous les autres logiciels au démarage.

Mais le problème persiste. Je ne sais vraiment pas quoi faire pour lutter contre ça, j'ai racheté de la ram mais ça ne va rien changer. 

Pourriez vous m'aider là ou avast n'a pas su^^ (dans le pire des cas je me résoudrais à formater mais ce n'est vraiment pas l'option que je prefèrerais envisager). 

Merci à tous :)

Poupette · Answer

j'ai bien lancé une analyse mais y'a eut comme qui dirait une couille dans le paté, comme disait mon grand père. J'ai validé la mise en quarantaine de 6 éléments choisis, et là mon pc a fermé tous mes logiciels en cours (dont certains fichiers textes sur lesquels je bossais, sans demande de sauvegarde) il a commencé à redémarrer, écran de demande "démarrer ou pas en sans échec?"
J'ai essayé de le lancer en normal, plantage 5 secondes apres. (2 fois)
puis en sans echec, (5 fois)
de dépit j'ai relancé mon pc des derniers parametres viables connus. 

Mon pc ne m'avait jamais fait ça. :(

Poupette · Answer

gros plantage PC apres l'utilisation de malwarebyte. J'ai supprimé/mis en quarantaine les fichiers trouvés (6) et mon pc s'est éteint tout seul. Ensuite impossible de le redémarrer autrement qu'en utilisant un point de sauvegarde des parametres personnels viables :S

Blue2 · Answer

&#9658; Si le rapport de mbam est toujours disponible, poster le.


Poupette a écrit ; J'ai un plantage réccurent entre svhost.exe et son collegue "generic host process".
J'ai bien compris que svhost peut ou pas être infecté. Mais au vu de sa consommation qui passe 
&#8594; Svchost.exe signifie Service Host Process. Utile pour charger des services.  Il est utilisé par Windows depuis \Windows\system32\.. Et \windows\system32\dllcache\.. contient sa copie de sauvegarde.
&#8594; Les infections le touchant, viennent de son fichier qui est copié et utilisé d'un autre endroit sur le disque. Souvent quelques part dans \Application Data\.. 




Produisez un diagnostique complet de l'ordi.
&#8226;  Téléchargez sur votre bureau ZHPDiag de Nicolas Coolman.
&#8226;  Avec XP : Lancer ZHPDiag.exe par un double-clique
&#8226; Avec Vista/Win7 : Lancer ZHPDiag.exe par un clic-droit &#8594; Exécuter en tant qu'Adm..

.. Après l'installation, ZHPDiag devrait s'ouvrir ..&#8226; ou ouvrer le,
 
Lancer le diagnostique ( en haut à gauche)....,
&#8226; Cliquer sur la LOUPE ..pour créer le rapport.
.. Attendez que le rapport soit complété,
&#8226; Cliquer sur la DISQUETTE et sauvegarder le rapport,


Au lieu de poster ce rapport "très volumineux" direct sur le forum.
Placer le sur une page Web depuis le site CJoint.

&#8226; Aller sur le site CJoint,
&#8226; Appuyez sur [Parcourir] et chercher le rapport &#8592; en image
&#8226; Ensuite appuyez sur [Créer le lien CJoint],
.. Une adresse http//......(bleu, mauve) sera créé.
&#9658; Postez le lien http//...., de cette page Web



P.S.:
En lieu et place d'Avast.
Vous devriez utiliser Antivir, dont les définitions de virus sont plus efficaces.

Ze architect · Answer

Désolé, je me suis inscrit donc j'ai changé de pseudo :) 
donc pour ce qui est du lien, je ne suis pas arrivé a le mettre sur cjoin. Je l'ai donc mis sur mu :) 

http://www.megaupload.com/?d=W6K0WUPS 

Donc pour ce qui est du truc qui a infecté mon PC, il fait planter svchost.exe a intervalles réguliers, il se cache sous firefox et svchost pour aller sur des sites internet (dont une partie est bloquée en amont par avast et une autre par WOT) mais bon le fait est que j'ai un peut tout essayé et y'a pas moyen de m'en sortir. 

J'ai commencé a chercher mes différents CD d'installation pour prévoir un formatage si il n'y a aucun autre moyen. Comme j'ai deux disques durs, j'ai commencé à trier les musiques films et textes dans l'autre pour formater le principal.  

Mais bon vraiment pas motivé car j'ai un ou deux logiciels ou je n'ai plus les CD (hachette oxford notemment, installé y'a des années) et je ne suis donc pas super chaud, surtout que je ne sais pas dutout comment faire pour formater :s 

Mais bon on verra après votre diagnostique :)

Ze architect · Answer

voici le lien du diagnostic ZHPDIAG

http://www.megaupload.com/?d=W6K0WUPS

Les trucs qui ont infecté mon pc s'amusent a se connecter sur le net et à utiliser svchost et firefox pour aller sur des sites malveillants :S 

je suis désemparé :(

M@thew · Answer

Bonjour, blue2 ne pourra pas vous répondre, un 
contributeur sécurité va prendre la suite...

M@thew Modérateur CCM.

M@thew · Answer

C'est bon, vos messages ont été débloqués...


Patientez, merci.

Ze architect · Answer

merci beaucoup beaucoup beaucoup. J'espere vraiment que vous allez arriver à trouver la ou les vilaines bestioles :)

Valuu · Answer

Bonjour bonjour,

Je vais prendre la relève ;)

Ton rapport est temporairement indisponible, essaie de le poster sur  ce site

Valuu · Answer

Alors alors :

* Lance ZHPFix (si tu es sous Windows Vista ou Windows 7, lance le par un clic-droit dessus --> exécuter en temps qu'administrateur).
* Copie les lignes suivantes :

---------------------------------------------------
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system] EnableLUA: Modified
P2 - FPN: [HKCU] [@facebook.com/FBPlugin,version=1.0.3] - (. - .) -- C:\Documents and Settings\MOI\Application Data\Facebook
pfbplugin_1_0_3.dll (.not file.)
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} 
O2 - BHO: (no name) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43}
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} . (.not file.) - (.not file.)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} . (.not file.) - (.not file.)
O47 - AAKE:Key Export SP - "C:\Program Files\Pinnacle\Shared Files\Programs\MediaCenterService\PMC.Service.Main.exe" [Disabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export SP - "C:\WINDOWS\system32\dpvsetup.exe" [Disabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export SP - "C:\Program Files\Mozilla Firefox\firefox.exe" [Disabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export SP - "C:\Program Files\Veoh Networks\Veoh\VeohClient.exe" [Disabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export SP - "C:\Program Files\Bonjour\mDNSResponder.exe" [Disabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export SP - "C:\Program Files\SecondLife\SLVoice.exe" [Disabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export SP - "C:\Program Files\eMule\emule.exe" [Disabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export SP - "C:\Program Files\LimeWire\LimeWire.exe" [Disabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export SP - "C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE" [Enabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export SP - "C:\WINDOWS\system32undll32.exe" [Enabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export SP - "C:\Program Files\Skype\Plugin Manager\skypePM.exe" [Enabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export SP - "C:\Program Files\Windows Live\Messenger\wlcsdk.exe" [Enabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export SP - "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" [Enabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export SP - "C:\Program Files\Messenger\msmsgs.exe" [Enabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export SP - "C:\Program Files\Java\jre6\bin\java.exe" [Enabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export SP - "C:\Program Files\Skype\Phone\Skype.exe" [Enabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export DP - "C:\Program Files\Windows Live\Messenger\wlcsdk.exe" [Enabled] .(. - .) (.not file.) -- 
O47 - AAKE:Key Export DP - "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" [Enabled] .(. - .) (.not file.) -- 

---------------------------------------------------

* Clique sur l'icône représentant la lettre H (« coller les lignes Helper »)
* Les lignes se collent automatiquement dans ZHPFix.
* Clique sur « Ok » puis sur « Tous », puis sur « Nettoyer »
* Colle le contenu du rapport dans ta prochaine réponse.

* Désinstalle toutes les versions de Adobe Reader présentes dans l'ajout/suppression de programme
* Télécharge la nouvelle version ici en prenant soin de décocher la case du téléchargement de McAfee ou d'une barre d'outil google.
* Installe là

   * Télécharge la dernière version de Java : https://www.java.com/fr/download/
    *Puis télécharge JavaRa.zip
    * Décompresse le fichier sur ton bureau (clique droit > Extraire tout.)
    * Double-clique sur le répertoire JavaRa obtenu.
    * Si tu es sous Vista/Seven, Exécute le avec un clic droit / Exécuter en tant qu'administrateur
    * Puis double-clique sur le fichier JavaRa.exe (le .exe peut ne pas s'afficher)
    * Clique sur Remove Older Versions.
    * Clique sur Oui pour confirmer. L'outil va travailler, clique ensuite sur Ok, puis une deuxième fois sur Ok.
    * Un rapport va s'ouvrir, copie-colle le dans ta prochaine réponse. (Note : le rapport se trouve aussi là : ( C:\JavaRa.log ))


    * Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore le et désactive le temporairement.
    * Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
    * Double clique sur le raccourci UsbFix sur ton Bureau, l'installation se fera automatiquement
    * Clique sur "Recherche"
    * Laisse travailler l'outil
    * A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

    Aide en images : Tutoriel "Recherche"

Ze architect · Answer

Etape 1 validée, je vais désinstaller tout ce que tu m'as dit de désinstaller :)

Rapport de ZHPFix 1.12.3227 par Nicolas Coolman, Update du 16/12/2010
Fichier d'export Registre : C:\ZHPExportRegistry-15-03-2011-00-13-07.txt
Run by Faure at 15/03/2011 00:13:07
Windows XP Home Edition Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé(s) du Registre ==========
P2 - FPN: [HKCU] [@facebook.com/FBPlugin,version=1.0.3] - (. - .) -- C:\Documents and Settings\MOI\Application Data\Facebook
pfbplugin_1_0_3.dll (.not file.)  => Clé supprimée avec succès
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB}  => Clé supprimée avec succès
O2 - BHO: (no name) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43}  => Clé supprimée avec succès
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} . (.not file.) - (.not file.)  => Clé absente
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} . (.not file.) - (.not file.)  => Clé absente

========== Valeur(s) du Registre ==========
O47 - AAKE:Key Export SP - "C:\Program Files\Pinnacle\Shared Files\Programs\MediaCenterService\PMC.Service.Main.exe" [Disabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\WINDOWS\system32\dpvsetup.exe" [Disabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\Program Files\Mozilla Firefox\firefox.exe" [Disabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\Program Files\Veoh Networks\Veoh\VeohClient.exe" [Disabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\Program Files\Bonjour\mDNSResponder.exe" [Disabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\Program Files\SecondLife\SLVoice.exe" [Disabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\Program Files\eMule\emule.exe" [Disabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\Program Files\LimeWire\LimeWire.exe" [Disabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE" [Enabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\WINDOWS\system32undll32.exe" [Enabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\Program Files\Skype\Plugin Manager\skypePM.exe" [Enabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\Program Files\Windows Live\Messenger\wlcsdk.exe" [Enabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" [Enabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\Program Files\Messenger\msmsgs.exe" [Enabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\Program Files\Java\jre6\bin\java.exe" [Enabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export SP - "C:\Program Files\Skype\Phone\Skype.exe" [Enabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export DP - "C:\Program Files\Windows Live\Messenger\wlcsdk.exe" [Enabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès
O47 - AAKE:Key Export DP - "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" [Enabled] .(. - .) (.not file.) --  => Valeur supprimée avec succès

========== Elément(s) de donnée du Registre ==========
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified  => Donnée supprimée avec succès

========== Fichier(s) ==========
c:\documents and settings\moi\application data\facebook
pfbplugin_1_0_3.dll ()   => Fichier absent


========== Récapitulatif ==========
5 : Clé(s) du Registre
18 : Valeur(s) du Registre
1 : Elément(s) de donnée du Registre
1 : Fichier(s)


End of the scan

Ze architect · Answer

bon en essayant de tout désinstaler (dont photoshop CS5 :S) grosse galère a désinstaller Adobe flash player activeX ...

apparition de:
rundll32.exe
AU_.exe
et un autre fichier bizarre en Ttmp.

l'application a disparu sans que j'ai a valider quoi que ce soit... étrange.

j'ai désinstallé un maximum de programmes. Certains que je voulais effacer (pas de ceux cités ci dessus) sont innéfaçables :s

en cherchant les logiciels précédemment cités, le bidule néfaste a ouvert un onglet firefox, j'ai a peine eu le temps de lire luxury hotel machinchose. com et la page s'est "transformée en "www.google.whp" ou un truc du genre :S

j'installe maintenant ce que vous m'avez dit d'installer

Ze architect · Answer

############################## | UsbFix 7.042 | [Recherche]

Utilisateur: MOI (Administrateur) # MOI [ ]
Mis à jour le 14/03/2011 par TeamXscript
Lancé à 02:19:13 | 15/03/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU: AMD Athlon(tm) 64 Processor 3000+
Microsoft Windows XP Édition familiale (5.1.2600 32-Bit) # Service Pack 3
Internet Explorer 8.0.6001.18702

Pare-feu Windows: Activé
Antivirus: avast! Antivirus 5.0.100664296 [(!) Disabled | Updated]
RAM -> 511 Mo 
C:\ (%systemdrive%) -> Disque fixe # 76 Go (52 Go libre(s) - 68%) [] # NTFS
D:\ -> CD-ROM
E:\ -> CD-ROM
F:\ -> Disque fixe # 234 Go (20 Go libre(s) - 9%) [DivX] # NTFS

################## | Éléments infectieux |


Présent! C:\Documents and Settings\MOI\ZHPDiag_1.27.1421.exe
Présent! C:\WINDOWS\system32\install
Présent! C:\AUTORUN.INF

################## | Registre |

Présent! HKLM\software\microsoft\shared tools\msconfig\startupreg\
Présent! HKLM\software\microsoft\shared tools\msconfig\startupreg\startup
Présent! HKLM\software\microsoft\shared tools\msconfig\startupreg\Windows

################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\{6ff54546-c9e4-11dc-9147-0013d4873206}
Shell\Auto\Command = AdobeR.exe e
Shell\AutoRun\Command = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL 

HKCU\.\.\.\.\Explorer\MountPoints2\{8789c384-893e-11da-babe-806d6172696f}
Shell\AutoRun\Command = E:\ASUSACPI.exe

HKCU\.\.\.\.\Explorer\MountPoints2\{8fbb4c46-56c5-11de-92f4-0013d4873206}
Shell\AutoRun\Command = G:\Une-cle-pour-demarrer.exe

HKCU\.\.\.\.\Explorer\MountPoints2\{926a1466-d8c7-11dd-923f-0013d4873206}
Shell\AutoRun\Command = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL copy.exe

HKCU\.\.\.\.\Explorer\MountPoints2\{c3a381b2-4b4d-11de-92df-0013d4873206}
Shell\AutoRun\Command = I:\start.exe
Shell\IUFMaquiCLE\Command = I:\start.exe

HKCU\.\.\.\.\Explorer\MountPoints2\{e9e581d5-57c0-11db-8fc7-0013d4873206}
Shell\AutoRun\Command = G:\EasyCN.exe


################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par Panda USB Vaccine

################## | E.O.F |

Ze architect · Answer

JavaRa 1.15 Removal Log.

Report follows after line.

------------------------------------

The JavaRa removal process was started on Tue Mar 15 01:40:35 2011

Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0002-ABCDEFFEDCBA}

Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0002-ABCDEFFEDCBB}

Found and removed: SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0002-ABCDEFFEDCBC}

Found and removed: SOFTWARE\Microsoft\Active Setup\Installed Components\{08B0E5C0-4FCB-11CF-AAA5-00401C608500}

------------------------------------

Finished reporting.



JavaRa 1.15 Removal Log.

Report follows after line.

------------------------------------

The JavaRa removal process was started on Tue Mar 15 01:41:46 2011

------------------------------------

Finished reporting.

Valuu · Answer

Okay okay, 
Tu n'es pas obligé de supprimer tout un tas de logiciels hein.  

    * Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir 
    * Double clique sur le raccourci UsbFix sur ton Bureau 
    * Clique sur "Suppression" 
    * Laisse travailler l'outil 
    * Ton Bureau va disparaitre puis l'ordinateur va redémarrer : c'est normal 
    * A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur) 

    :!: UsbFix te proposera d'envoyer un dossier compressé à cette adresse. Ce dossier a été créé par UsbFix sur ton Bureau. Merci de l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches. Une fois sur le site, il faut sélectionner "UsbFix" dans le menu déroulant. Merci d'avance pour ta contribution ! 

    Aide en images : Tutoriel "Nettoyage" 

* Télécharge AD-Remover(de la TeamXscript) sur ton Bureau.  
Déconnecte toi et ferme toutes les applications en cours  
* Double-clique sur l'icône AD-Remover  
* Au menu principal, clique sur Nettoyer  
* Confirme le lancement de l'analyse et laisse l'outil travailler  
* Poste le rapport qui apparait à la fin (il est aussi sauvegardé sous C:\Ad-report-CLEAN.txt )  

Puis reposte un rapport ZHPDiag pour qu'on voit où ça en est. 
Où en sont tes problèmes ? 
Pour les programmes que tu n'arrives pas à désinstaller esaie avec RevoUninstaller  en mode avancé.

Ze architect · Answer

impossible d'héberger sur cjoint ou pjjoint :S aussi bien sur firefox que sur chrome.

http://www.megaupload.com/?d=ZM5JEQZM
http://www.megaupload.com/?d=LLYID7FW

la bestiole vit toujours. Avast a bloqué 10 url malveillantes.

Valuu · Answer

Bizarre bizarre... 

Essaie ceci : 
    * Télécharge TDSSKiller (de Kaspersky Labs) sur ton Bureau.
    * Lance le (si tu utilises Windows Vista ou 7 : fais un clic-droit dessus et choisis "Exécuter en tant qu'administrateur")
    * Clique sur [Start Scan] pour démarrer l'analyse.
    * Si des éléments sont trouvés, clique sur [Delete/Repair Selected] puis sur [Reboot Now]
    * Un rapport s'ouvrira au redémarrage de l'ordinateur.
    * Copie/colle son contenu dans ta prochaine réponse.
    Note : Le rapport se trouve également sous C:\TDSSKiller.N°deversion_Date_Heure_log.txt

Ze architect · Answer

https://www.cjoint.com/?3dptHmiwroy

il en a détecté un en plus... je reboot et je vous tiens au courant

Ze architect · Answer

je crois que je vais abandonner, en rallumant mon pc, un rootkit malveillant détecté par avast, 8 processus svchost.exe en fonctionnement et avast qui va surement encore bloquer des ouvertures intempestives de sites... 

je suis dégouté. 

Etape 1 mettre tous mes fichiers vidéos photos et textes sur mon second disque dur.
Etape 2 lancer une recherche de tous les fichiers sur le second disque dur
Etape 3 effacer tout ce qui n'est pas un dossier, de la musique, vidéo ou texte. 
Etape 4 balancer un mam, avast and co dessus pour une bonne grosse analyse.
Etape 5 envoyer tout ça sur un disque dur externe précédemment "usbfixé"

Etape 6 récuperer tous les drivers de mon pc (ça je sais pas vraiment comment faire :s)
Etape 7 créer les 3 disquettes de sauvegarde (je crois)
Etape 8 formatage en profondeur de mes deux disques durs (on verra si j'y arrive, grande premiere). 
Etape 9 heu après je sais pas trop comment ça va se passer mais on verra bien hein.

Je vous remercie en tous les cas pour l'aide que vous m'avez apporté. Je pense que mon pc est suffisamment pourri en profondeur pour abandonner l'idées de le "réparer".

Par contre si vous avez des conseils ou des infos sur les procédures de formatage et surtout sur quoi faire pour prevenir toute infection, je suis preneur :)

Ze architect · Answer

En redémarrant mon pc hier soir pas mal de choses se sont débloquées:
Windows a téléchargé 37 mises a jour, dont MRT.EXE. il a détecté qu'un truc du nom d'alureon a été partiellement supprimé. Ensuite avast a détecté un rootkit malicieux "physicaldrive0"... 

Pour le moment je touche du bois, plus d'onglets qui s'ouvrent innopinément sur firefox. Par contre toujours 8 svchost.exe qui tournent avec pour mémoire vive utilisée: entre 112KO et 57 768 ... rhalala.

gen-hackman · Answer

salut pour avancer valuu refais un scan avec tdsskiller stp

Ze architect · Answer

il a détruit le rootkit détecté par avast. 

svchost.exe : SYSTEM / 4644 KO
svchost.exe : SYSTEM / 5564 KO
svchost.exe : SERVICE RESEAU / 4596 KO
svchost.exe : SYSTEM / 31280 KO
svchost.exe : SERVICE RESEAU / 3964 KO
svchost.exe : SERVICE LOCAL / 4160 KO
svchost.exe : SERVICE LOCAL / 4180 KO
svchost.exe : SYSTEM / 10804 KO

Voilà la liste de svchost que je trouve particulièrement longue et gourmande

Valuu · Answer

Okay.
Svchost peut être souvent sollicité, c'est pas forcément néfaste.

Utilise ce logiciel de diagnostic : 

    * Télécharge ZHPDiag (de Nicolas Coolman) 
    * Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin. 
    * Clique sur l'icône représentant une loupe (« Lancer le diagnostic ») 
    * Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette 
    * Héberge le rapport ZHPDiag.txt sur ce site, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

Piratage... que faire? - Page 2

Discussions similaires

Newsletters