Fichier système déplacé

Question

Bonjour a tous,

Je vous expose mon problème. Voila maintenant prés de deux semaines que Kaspersky m'indique qu'il a trouvé des programmes malveillants. J'ai tout d'abord voulu les supprimés, mais en lisant les détails de ces "programmes malveillants" je me suis aperçu qu'il s'agissait de fichiers du système (du moins, je crois). Je fournis ici un impression écran de kaspersky:
https://www.hiboox.fr/
j'ai effectué une analyse Hijackthis, j'ai fait évaluer mon log, voici ce qu'il me dit concernant le fichier "sv.chost.exe":
https://www.hiboox.fr/
l'analyse fournit par Malware byte anti malware considere ces fichiers comme des trojans ...

Je n'ose pas "supprimer" "corriger" ou "réparer", comme ces programmes me le conseillerait, j'attends votre aide.

Cordialement,
feisar


Configuration: Windows Vista / ChromePlus(1.6.0.0)

Smart91 · Answer

Bonjour, 


Poste le rapport MBAM 

Et on va faire un diagnostic de ton PC: 

Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau  
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html  

Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions. 
  
/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur » 

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.  
-  Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer.  
(/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix) 
-  Clique sur la loupe pour lancer l'analyse.  
-  Laisse l'outil travailler, il peut être assez long.  
-  Ferme ZHPDiag en fin d'analyse.  
-  Pour transmettre le rapport clique sur ce lien : http://www.cijoint.fr/  
-  Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).  
-  Sélectionne le fichier ZHPDiag.txt.  
-  Clique sur "Cliquez ici pour déposer le fichier".  
-  Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt est ajouté dans la page.  
-  Copie ce lien dans ta réponse. 

Smart 
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

Smart91 · Answer

Ta version de MBAM n'est pas à jour.

Mais tu vas faire ceci:
-  Rends-toi à cette adresse afin de télécharger AD-Remover (créé par C_XX) : http://www.teamxscript.org/adremoverTelechargement.html
- Clique sur TÉLÉCHARGER et enregistre-le sur ton bureau.
- Déconnecte toi et ferme toutes les applications en cours 
- Double clique sur le fichier d'installation de AD-Remover, le programme s'installera automatiquement.  
- Au menu principal choisi l'option "Nettoyage" et tape sur [entrée] . 
- Laisse travailler l'outil et ne touche à rien ... 
- Poste le rapport qui apparait à la fin. (Le rapport est sauvegardé aussi sous C:\Ad-report.log) 
(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 


Ensuite tu vas désinstaller MBAM et le réinstaller:

* Télécharge et installe Malwarebytes
* A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
* Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
* Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet puis "Rechercher"
* Ne t'inquiète pas, l'analyse peut durer plusieurs heures en fonction du nombre de fichiers et infections à analyser 
* A la fin de l'analyse, clique sur "Afficher les résultats"
* Coche tous les éléments détectés puis clique sur "Supprimer la sélection"
* Enregistre le rapport
* S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes
* Un rapport apparait après la suppression : poste le dans ta prochaine réponse.

Cela fait deux rapports à poster

Smart

Feisar · Answer

AD-Remover :
======= RAPPORT D'AD-REMOVER 2.0.0.2,F | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 01/03/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 14:22:25 le 02/04/2011, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Basique  Service Pack 2 (X86) 
Millon@PC-DE-MILLON (Compaq-Presario FZ092AA-ABF SR5625FR) 
 
============== ACTION(S) ==============

Service: "Application Updater" Stoppé et supprimé 

Fichier supprimé: C:\Program Files\Mozilla FireFox\Components\AskSearch.js
Fichier supprimé: C:\Program Files\Mozilla Firefox\extensions\searchsettings@spigot.com
Fichier supprimé: C:\Windows\system32\Tasks\Scheduled Update for Ask Toolbar
Dossier supprimé: C:\Users\Millon\AppData\Roaming\Mozilla\FireFox\Profiles\xheg1elo.default\extensions	oolbar@ask.com
Fichier supprimé: C:\Users\Millon\AppData\Roaming\Mozilla\FireFox\Profiles\xheg1elo.default\searchplugins\askcom.xml
Dossier supprimé: C:\Program Files\Ask.com
Dossier supprimé: C:\Users\Millon\AppData\LocalLow\AskToolbar
Dossier supprimé: C:\Program Files\Application Updater
Dossier supprimé: C:\Users\Millon\AppData\LocalLow\Search Settings
Dossier supprimé: C:\Program Files\Search Settings
Dossier supprimé: C:\Users\Millon\AppData\Roaming\OfferBox

(!) -- Fichiers temporaires supprimés.


-- Fichier ouvert: C:\Users\Millon\AppData\Roaming\Mozilla\FireFox\Profiles\xheg1elo.default\Prefs.js --
Ligne supprimée: user_pref("browser.search.defaultengine", "Ask.com"); 
Ligne supprimée: user_pref("browser.search.defaultenginename", "Ask.com"); 
Ligne supprimée: user_pref("browser.search.order.1", "Ask.com"); 
Ligne supprimée: user_pref("browser.search.selectedEngine", "Ask.com"); 
Ligne supprimée: user_pref("browser.startup.homepage", "hxxp://fr.ask.com?o=102869&l=dis&gct=hp"); 
Ligne supprimée: user_pref("extensions.asktb.InstallDir", "C:\Program Files\Ask.com\"); 
Ligne supprimée: user_pref("extensions.asktb.abar-war-timeout", "4000"); 
Ligne supprimée: user_pref("extensions.asktb.cbid", "5J"); 
Ligne supprimée: user_pref("extensions.asktb.config-updated", false); 
Ligne supprimée: user_pref("extensions.asktb.crumb", "2011.03.17+08.02.07-toolbar007iad-FR-Um91ZW4sRnJhbmNl"); 
Ligne supprimée: user_pref("extensions.asktb.default-channel-url-mask", "hxxp://fr.ask.com/web?q={query}&qsrc={qsrc}&... 
Ligne supprimée: user_pref("extensions.asktb.dtid", "YYYYYYYYFR"); 
Ligne supprimée: user_pref("extensions.asktb.dyn-weather-do-locid-lookup-weatherWidget", true); 
Ligne supprimée: user_pref("extensions.asktb.ff-original-keyword-url", "chrome://browser-region/locale/region.propert... 
Ligne supprimée: user_pref("extensions.asktb.first-launch-url", "hxxp://pages.msgpluslive.net/5/thankyou1/?lg=fr&mp=5... 
Ligne supprimée: user_pref("extensions.asktb.fresh-install", false); 
Ligne supprimée: user_pref("extensions.asktb.guid", "f96d8fb0-f91d-4ca9-b59b-36a5d062d017"); 
Ligne supprimée: user_pref("extensions.asktb.hxxp-header-whitelist-hosts", "[\"static-dev.en.dev.ask.com\", \"ask.com... 
Ligne supprimée: user_pref("extensions.asktb.if", "first"); 
Ligne supprimée: user_pref("extensions.asktb.l", "dis"); 
Ligne supprimée: user_pref("extensions.asktb.last-config-req", "1300542962805"); 
Ligne supprimée: user_pref("extensions.asktb.locale", "fr_FR"); 
Ligne supprimée: user_pref("extensions.asktb.o", "102869"); 
Ligne supprimée: user_pref("extensions.asktb.overlay-reloaded-using-restart", true); 
Ligne supprimée: user_pref("extensions.asktb.qsrc", "2871"); 
Ligne supprimée: user_pref("extensions.asktb.r", "3"); 
Ligne supprimée: user_pref("extensions.asktb.sa", "YES"); 
Ligne supprimée: user_pref("extensions.asktb.saguid", "B17C0D66-5361-4CB7-8D44-EAE2D60D0FFF"); 
Ligne supprimée: user_pref("extensions.asktb.search-suggestions-enabled", false); 
Ligne supprimée: user_pref("extensions.asktb.silent-upgrade-from-pre-newtabs-build", false); 
Ligne supprimée: user_pref("extensions.asktb.socialmini-first", true); 
Ligne supprimée: user_pref("extensions.asktb.socialmini-interval", "1200000"); 
Ligne supprimée: user_pref("extensions.asktb.socialmini-max-char-ticker", "33"); 
Ligne supprimée: user_pref("extensions.asktb.socialmini-max-items", "30"); 
Ligne supprimée: user_pref("extensions.asktb.socialmini-native-on", true); 
Ligne supprimée: user_pref("extensions.asktb.socialmini-speed", "5000"); 
Ligne supprimée: user_pref("extensions.asktb.socialmini-transition-first-open", false); 
Ligne supprimée: user_pref("extensions.asktb.themeid", ""); 
Ligne supprimée: user_pref("extensions.asktb.to", "102869"); 
Ligne supprimée: user_pref("extensions.asktb.version", "5.11.1.15497"); 
Ligne supprimée: user_pref("extensions.enabledItems", "linkfilter@kaspersky.ru:9.0.0.192,searchsettings@spigot.com:1.... 
Ligne supprimée: user_pref("keyword.URL", "hxxp://websearch.ask.com/redirect?client=ff&src=kw&tb=MYC-ST&o=102869&loca... 
-- Fichier Fermé --
 

Clé supprimée: HKLM\Software\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}
Clé supprimée: HKLM\Software\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKLM\Software\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
Clé supprimée: HKLM\Software\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
Clé supprimée: HKLM\Software\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
Clé supprimée: HKLM\Software\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd
Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd.1
Clé supprimée: HKLM\Software\Classes\SearchSettings.BHO
Clé supprimée: HKLM\Software\Classes\SearchSettings.BHO.1
Clé supprimée: HKLM\Software\Classes\AppID\GenericAskToolbar.DLL
Clé supprimée: HKLM\Software\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
Clé supprimée: HKLM\Software\AskToolbar
Clé supprimée: HKLM\Software\Application Updater
Clé supprimée: HKLM\Software\Search Settings
Clé supprimée: HKCU\Software\OfferBox
Clé supprimée: HKCU\Software\Spointer
Clé supprimée: HKCU\Software\Ask.com
Clé supprimée: HKCU\Software\AppDataLow\Software\AskToolbar
Clé supprimée: HKLM\Software\Messenger Plus!\OpenCandy
Clé supprimée: HKLM\Software\Participatory Culture Foundation\OpenCandy
Clé supprimée: HKLM\Software\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé supprimée: HKLM\Software\Classes\Installer\Products\D82C50F59AED6DA47AA360145789E8BA
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Userdata\S-1-5-18\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Userdata\S-1-5-18\Products\D82C50F59AED6DA47AA360145789E8BA
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{CF739809-1C6C-47C0-85B9-569DBB141420}
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{5F05C28D-DEA9-4AD6-A73A-064175988EAB}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{5F05C28D-DEA9-4AD6-A73A-064175988EAB}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\LowRegistry\Search Settings
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
Erreur suppression clé: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Scheduled Update for Ask Toolbar
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{69725738-CD68-4f36-8D02-8C43722EE5DA}

Valeur supprimée: HKLM\Software\Mozilla\Firefox\Extensions|clickpotatolite@clickpotatolite.com
Valeur supprimée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{D4027C7F-154A-4066-A1AD-4243D8127440}
Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}


============== SCAN ADDITIONNEL ==============

-- C:\Users\Millon\AppData\Roaming\Mozilla\FireFox\Profiles\xheg1elo.default --
Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.2.13

========================================

**** Internet Explorer Version [8.0.6001.19019] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_SearchScopes\{09E4EF4A-A483-4e40-80C0-DBB3D5670F90} - "Orange" (hxxp://www.orange.fr/bin/frame1px.cgi?u=hxxp%3A//r.voila.fr/se%3Frdata%3D{search...)
HKCU_SearchScopes\{21537818-291B-4D82-960E-330384C48DCC} - "Kelkoo" (hxxp://fr.kelkoopartners.net/ctl/do/search?siteSearchQuery={searchTerms}&fromfor...)
HKCU_SearchScopes\{2B7B7EFC-C234-4532-822B-A8D74D7EF7EB} - "Durable.com" (hxxp://www.durable.com/result?cx=partner-pub-7902900401080901%3Azbljezwsgul&cof=...)
HKCU_SearchScopes\{B7D2ACD2-EC88-4c12-96B0-4BA024431302} - "SpeedBit Search" (hxxp://home.speedbit.com/search.aspx?aff=106&q={searchTerms})
HKLM_SearchScopes\{21537818-291B-4D82-960E-330384C48DCC} - "Kelkoo" (hxxp://fr.kelkoopartners.net/ctl/do/search?siteSearchQuery={searchTerms}&fromfor...)
HKCU_ElevationPolicy\{17DE0976-716C-4A05-9DA1-14E0B320E653} - C:\Windows\System32\Macromed\Flash\FlashUtil10m_ActiveX.exe (x)
HKCU_ElevationPolicy\{8918357B-A9E3-4179-9EB2-A28E9EDE9583} - C:\Windows\System32\Macromed\Flash\FlashUtil10m_ActiveX.exe (x)
HKCU_ElevationPolicy\{B409C5C7-2EE9-4853-867E-6C8BD8171CE7} - C:\Windows\System32\Macromed\Flash\FlashUtil10n_ActiveX.exe (x)
HKCU_ElevationPolicy\{DF84C85F-0C4A-423F-983E-5461647A9C33} - C:\Program Files\DivX\DivX Plus Web Player\dwpBroker.exe (DivX, LLC)
HKCU_ElevationPolicy\{E9518E88-EF02-431E-8A6F-2E970F78CE03} - C:\Windows\System32\Macromed\Flash\FlashUtil10l_ActiveX.exe (x)
HKCU_ElevationPolicy\{E9BFFCD1-9016-41F9-8595-E8A6F79FCCC7} - C:\Program Files\Kaspersky Lab\Kaspersky PURE\klwtblfs.exe (Kaspersky Lab)
HKLM_ElevationPolicy\{09E9B8FC-3D94-4A9B-AD2E-A64255121895} - C:\Program Files\Kaspersky Lab\Kaspersky PURE\klwtbws.exe (Kaspersky Lab)
HKLM_ElevationPolicy\{4671F4B7-89F5-4701-B641-570278D5C856} - C:\Program Files\Kaspersky Lab\Kaspersky PURE\klwtblfs.exe (Kaspersky Lab)
HKLM_ElevationPolicy\{5F17E524-3447-4c7d-8E5F-4EFF31CDE3B7} - C:\Program Files\DivX\DivX Plus Web Player\DDMService.exe (DivX, LLC)
HKLM_ElevationPolicy\{64903E32-AE0B-408D-909C-09A08791F28D} - C:\Program Files\DivX\DivX Plus Web Player\dwpBroker.exe (DivX, LLC)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{D802E3EF-2513-4661-972E-BAD737EFBA88} - C:\Program Files\DivX\DivX OVS Helper\OVSHelperBroker.exe (DivX, LLC.)
HKCU_Extensions\{DD835696-90FA-43AF-ABB1-4286157034E4} - "RebootBox" (C:\Program Files\RebootBox\icon\icon_red.ico)
HKLM_Extensions\{0483894E-2422-45E0-8384-021AFF1AF3CD} - "iOpus iMacros" (C:\Program Files\iMacros\ab1.ico)
HKLM_Extensions\{B205A35E-1FC4-4CE3-818B-899DBBB3388C} - "Barre de recherche Encarta" (?)
BHO\{02478D38-C3F9-4efb-9B51-7695ECA05670} (?)
BHO\{326E768D-4182-46FD-9C16-1449A49795F4} - "DivX Plus Web Player HTML5 <video>" (C:\Program Files\DivX\DivX Plus Web Player
pdivx32.dll)
BHO\{593DDEC6-7468-4cdd-90E1-42DADAA222E9} - "DivX HiQ" (C:\Program Files\DivX\DivX Plus Web Player
pdivx32.dll)
BHO\{6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - "Search Helper" (C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll)
BHO\{E312764E-7706-43F1-8DAB-FCDD2B1E416D} (?)

========================================

C:\Program Files\Ad-Remover\Quarantine: 230 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 16 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 02/04/2011 14:22:29 (13078 Octet(s)) 

Fin à: 14:23:58, 02/04/2011 
 
============== E.O.F ============== 


MBAM :

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6245

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.19019

03/04/2011 08:52:02
mbam-log-2011-04-03 (08-52-02).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|H:\|I:\|J:\|)
Elément(s) analysé(s): 403390
Temps écoulé: 7 heure(s), 58 minute(s), 9 seconde(s)

Processus mémoire infecté(s): 2
Module(s) mémoire infecté(s): 1
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 7

Processus mémoire infecté(s):
c:\users\millon\appdataoaming\windows\windows services.exe (Trojan.Downloader) -> 6620 -> Not selected for removal.
c:\users\millon\appdataoaming\svchost.exe (Trojan.Downloader) -> 532 -> Failed to unload process.

Module(s) mémoire infecté(s):
c:\Users\Millon\AppData\Roaming\microsoft\Windows\start menu\Programs\Startup\systemcore.dll (Trojan.Downloader) -> Delete on reboot.

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\HKCU (Trojan.Downloader) -> Value: HKCU -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\users\millon\appdataoaming\windows\windows services.exe (Trojan.Downloader) -> Not selected for removal.
c:\Users\Millon\AppData\Roaming\microsoft\Windows\start menu\Programs\Startup\systemcore.dll (Trojan.Downloader) -> Delete on reboot.
c:\users\millon\appdataoaming\svchost.exe (Trojan.Downloader) -> Not selected for removal.
c:\Users\Millon\systemcore.dll (Trojan.Downloader) -> Quarantined and deleted successfully.
c:\Users\Millon\Desktop\dossier bureau\Keygen.exe (RiskWare.Tool.CK) -> Quarantined and deleted successfully.
c:\Users\Millon\Desktop\dossier bureau\Npk\FLood\Spammer.exe (HackTool.Agent.Gen) -> Not selected for removal.
c:\Windows\System32\secushr.dat (Malware.Trace) -> Quarantined and deleted successfully.


J'ai malheureusement décocher "windows services.exe", "svchost.exe", de peur de faire une bétise, et j'ai ensuite vu que tu m'avais demandé de le faire ... :/
Dois-je recommencer l'analyse MBAM et supprimé ceux la ? 
Merci.

Smart91 · Answer

Oui recommence le scan MBAM et sélectionne tout et supprime

Smart

Feisar · Answer

Rapport MBAM :
Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6245

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.19019

03/04/2011 23:15:24
mbam-log-2011-04-03 (23-15-24).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 386211
Temps écoulé: 7 heure(s), 42 minute(s), 2 seconde(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 1
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 4

Processus mémoire infecté(s):
c:\users\millon\appdata\roaming\svchost.exe (Trojan.Downloader) -> 928 -> Failed to unload process.

Module(s) mémoire infecté(s):
c:\Users\Millon\AppData\Roaming\microsoft\Windows\start menu\Programs\Startup\systemcore.dll (Trojan.Downloader) -> Delete on reboot.

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\HKCU (Trojan.Downloader) -> Value: HKCU -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Users\Millon\AppData\Roaming\microsoft\Windows\start menu\Programs\Startup\systemcore.dll (Trojan.Downloader) -> Delete on reboot.
c:\users\millon\appdata\roaming\svchost.exe (Trojan.Downloader) -> Delete on reboot.
c:\users\millon\appdata\roaming\windows\windows services.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
c:\Users\Millon\Desktop\dossier bureau\Npk\FLood\Spammer.exe (HackTool.Agent.Gen) -> Quarantined and deleted successfully.



Feisar.

Smart91 · Answer

Redémarre le PC
Relance MBAM et vide la quarantaine

Ensuite tu vas faire ceci:
- Télécharge sur le bureau RogueKiller de Tigzy
- Quitte tous tes programmes en cours
- Sous Vista/Seven , clique droit -> lancer en tant qu'administrateur
- Sinon lance simplement RogueKiller.exe
- Lorsque demandé, tape 1 [SCAN] et valide
- Un rapport (RKreport.txt) a du se créer sur le bureau, poste-le.

* Note : Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois. Si cela ne passe toujours pas , (cela peut arriver), renommer RogueKiller.exe en Winlogon.exe

Smart

Feisar · Answer

Rapport RogueKiller : RogueKiller V4.3.6 par Tigzy contact sur https://www.luanagames.com/index.fr.html mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version Demarrage : Mode normal Utilisateur: Millon [Droits d'admin] Mode: Recherche -- Date : 04/04/2011 19:23:17 Processus malicieux: 1 [APPDT/TMP/DESKTOP] Java.exe -- c:\users\millon\appdata\roaming\microsoft\windows\start menu\programs\startup\java.exe -> KILLED Entrees de registre: 3 [APPDT/TMP/DESKTOP] HKCU\[...]\Run : HKCU (C:\Users\Millon\AppData\Roaming\Windows\Windows Services.exe) -> FOUND [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-393356663-4113581724-2829241573-1000[...]\Run : HKCU (C:\Users\Millon\AppData\Roaming\Windows\Windows Services.exe) -> FOUND [PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (:) -> FOUND Fichier HOSTS: 127.0.0.1 localhost ::1 localhost Termine : << RKreport[1].txt >> RKreport[1].txt Feisar.

Smart91 · Answer

Relance RogueKiller 3 fois

La première en faisant l'option 2
La seconde avec l'option 3
La dernière avec l'option 4

Poste les 3 rapports

Smart

Feisar · Answer

Rapport 1 : RogueKiller V4.3.6 par Tigzy contact sur https://www.luanagames.com/index.fr.html mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version Demarrage : Mode normal Utilisateur: Millon [Droits d'admin] Mode: Recherche -- Date : 04/04/2011 19:23:17 Processus malicieux: 1 [APPDT/TMP/DESKTOP] Java.exe -- c:\users\millon\appdata\roaming\microsoft\windows\start menu\programs\startup\java.exe -> KILLED Entrees de registre: 3 [APPDT/TMP/DESKTOP] HKCU\[...]\Run : HKCU (C:\Users\Millon\AppData\Roaming\Windows\Windows Services.exe) -> FOUND [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-393356663-4113581724-2829241573-1000[...]\Run : HKCU (C:\Users\Millon\AppData\Roaming\Windows\Windows Services.exe) -> FOUND [PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (:) -> FOUND Fichier HOSTS: 127.0.0.1 localhost ::1 localhost Termine : << RKreport[1].txt >> RKreport[1].txt Rapport 2 : RogueKiller V4.3.6 par Tigzy contact sur https://www.luanagames.com/index.fr.html mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version Demarrage : Mode normal Utilisateur: Millon [Droits d'admin] Mode: HOSTS RAZ -- Date : 04/04/2011 20:05:29 Processus malicieux: 0 Fichier HOSTS: 127.0.0.1 localhost ::1 localhost Nouveau fichier HOSTS: 127.0.0.1 localhost Termine : << RKreport[2].txt >> RKreport[1].txt ; RKreport[2].txt Rapport 3 : RogueKiller V4.3.6 par Tigzy contact sur https://www.luanagames.com/index.fr.html mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version Demarrage : Mode normal Utilisateur: Millon [Droits d'admin] Mode: Proxy RAZ -- Date : 04/04/2011 20:06:46 Processus malicieux: 0 Entrees de registre: 1 [PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (:) -> DELETED Termine : << RKreport[3].txt >> RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt

Smart91 · Answer

Pour le rapport 1 tu n'as pas fait l'option 2  
J'aurais vu Mode suppression à la place de ceci:  
Mode: Recherche -- Date : 04/04/2011 19:23:17   

Refais l'option 2  

Smart  
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

Feisar · Answer

Rapport de l'option 2 :

RogueKiller V4.3.6 par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur: Millon [Droits d'admin]
Mode: Suppression -- Date : 05/04/2011 18:43:46

Processus malicieux: 2
[APPDT/TMP/DESKTOP] Java.exe -- c:\users\millon\appdata\roaming\microsoft\windows\start menu\programs\startup\java.exe -> KILLED
[SVCHOST] svchost.exe -- System Folder -> KILLED

Entrees de registre: 1
[APPDT/TMP/DESKTOP] HKCU\[...]\Run : HKCU (C:\Users\Millon\AppData\Roaming\Windows\Windows Services.exe) -> DELETED

Fichier HOSTS:
127.0.0.1 localhost

Termine : << RKreport[4].txt >>
RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt

Oui, en effet je m'étais trompé.

Feisar.

Smart91 · Answer

OK. Maintenant tu refais un scan complet MBAM. N'oublie pas de faire la mise à jour et poste le rapport

Smart

Feisar · Answer

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6288

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.19019

07/04/2011 07:24:33
mbam-log-2011-04-07 (07-24-33).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 390193
Temps écoulé: 1 heure(s), 20 minute(s), 48 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 1
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
c:\Users\Millon\AppData\Roaming\microsoft\Windows\start menu\Programs\Startup\systemcore.dll (Trojan.Downloader) -> Delete on reboot.

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Users\Millon\AppData\Roaming\microsoft\Windows\start menu\Programs\Startup\systemcore.dll (Trojan.Downloader) -> Delete on reboot.
c:\Users\Millon\AppData\Roaming\svchost.exe (Backdoor.Agent.VB) -> Quarantined and deleted successfully.

Smart91 · Answer

Relance MBAM et vode la quarantaine.
Realance ZHPDiag, clique sur la fllèche verte pour la mise à jour, refais un scan et poste le rapport via cijoint

Smart

Feisar · Answer

Le voila, http://www.cijoint.fr/cjlink.php?file=cj201104/cijs82Ebmc.txt

encore merci pour ce que tu fais :)

Feisar.

Smart91 · Answer

Il ya d'autre infections:
Redémarre le PC

Fais ceci:
* Télécharge FixLop de NicoVA. 
* Lance l'installateur
* Clique deux fois sur Suivant puis cocher "Créer un icône sur le bureau"
* Clique sur Installer
* Clique enfin sur Terminer
* Clique sur "Recherche"
* Un rapport va s'afficher à la fin : Scan.txt sous C:\
* Colle le rapport dans ta prochaine réponse

Ensuite tu fais ceci:

- Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore la et désactive l'antivirus temporairement.
- Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
-  Double clique sur le raccourci UsbFix sur ton Bureau, l'installation se fera automatiquement
-Clique sur "Recherche"
- Laisse travailler l'outil
- A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

Aide en images : "Recherche"

Smart

Feisar · Answer

Je ne parvient pas a exécuter Fixlop, j'ai essayer de le  déplacer du dossier de téléchargement, de l'executer en administrateur mais il n'a pour cesse de me dire : "The setup files are corrupted. Please obtain a new copy of the program."
je l'ai re-téléchargée deux fois mais il ne fonctionne toujours pas.

Feisar.

Smart91 · Answer

Désactive l'antivirus le temps de lancer fixlop

Smart

Feisar · Answer

Toujours le même résultat, en désactivant l' antivirus, en éteignant l'ordinateur et re-désactivant l'antivirus .. :/

Smart91 · Answer

OK. Laisse FixLop de côté pour le moment et fais USBFix pour les infections par clés USB

Smart

NicoVA · Answer

Yop

FixLop est de nouveau téléchargeable, petit bug avec l'installateur. 

Nico

Fichier système déplacé

21 réponses

Discussions similaires

Newsletters