Fichier système déplacé

Feisar Messages postés 13 Date d'inscription   Statut Membre Dernière intervention   -  
Smart91 Messages postés 30146 Statut Contributeur sécurité -
Bonjour a tous,

Je vous expose mon problème. Voila maintenant prés de deux semaines que Kaspersky m'indique qu'il a trouvé des programmes malveillants. J'ai tout d'abord voulu les supprimés, mais en lisant les détails de ces "programmes malveillants" je me suis aperçu qu'il s'agissait de fichiers du système (du moins, je crois). Je fournis ici un impression écran de kaspersky:
https://www.hiboox.fr/
j'ai effectué une analyse Hijackthis, j'ai fait évaluer mon log, voici ce qu'il me dit concernant le fichier "sv.chost.exe":
https://www.hiboox.fr/
l'analyse fournit par Malware byte anti malware considere ces fichiers comme des trojans ...

Je n'ose pas "supprimer" "corriger" ou "réparer", comme ces programmes me le conseillerait, j'attends votre aide.

Cordialement,
feisar

21 réponses

  • 1
  • 2
  1. Smart91 Messages postés 30146 Statut Contributeur sécurité 2 331
     
    Bonjour,

    Poste le rapport MBAM

    Et on va faire un diagnostic de ton PC:

    Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau
    https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

    Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions.

    /!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »

    N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.
    - Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer.
    (/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix)
    - Clique sur la loupe pour lancer l'analyse.
    - Laisse l'outil travailler, il peut être assez long.
    - Ferme ZHPDiag en fin d'analyse.
    - Pour transmettre le rapport clique sur ce lien : http://www.cijoint.fr/
    - Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
    - Sélectionne le fichier ZHPDiag.txt.
    - Clique sur "Cliquez ici pour déposer le fichier".
    - Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt est ajouté dans la page.
    - Copie ce lien dans ta réponse.

    Smart
    "Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)
    0
  2. Smart91 Messages postés 30146 Statut Contributeur sécurité 2 331
     
    Ta version de MBAM n'est pas à jour.

    Mais tu vas faire ceci:
    - Rends-toi à cette adresse afin de télécharger AD-Remover (créé par C_XX) : http://www.teamxscript.org/adremoverTelechargement.html
    - Clique sur TÉLÉCHARGER et enregistre-le sur ton bureau.
    - Déconnecte toi et ferme toutes les applications en cours
    - Double clique sur le fichier d'installation de AD-Remover, le programme s'installera automatiquement.
    - Au menu principal choisi l'option "Nettoyage" et tape sur [entrée] .
    - Laisse travailler l'outil et ne touche à rien ...
    - Poste le rapport qui apparait à la fin. (Le rapport est sauvegardé aussi sous C:\Ad-report.log)
    (CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

    Ensuite tu vas désinstaller MBAM et le réinstaller:

    * Télécharge et installe Malwarebytes
    * A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
    * Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
    * Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet puis "Rechercher"
    * Ne t'inquiète pas, l'analyse peut durer plusieurs heures en fonction du nombre de fichiers et infections à analyser
    * A la fin de l'analyse, clique sur "Afficher les résultats"
    * Coche tous les éléments détectés puis clique sur "Supprimer la sélection"
    * Enregistre le rapport
    * S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes
    * Un rapport apparait après la suppression : poste le dans ta prochaine réponse.

    Cela fait deux rapports à poster

    Smart
    0
  3. Feisar Messages postés 13 Date d'inscription   Statut Membre Dernière intervention  
     
    AD-Remover : 
    ======= RAPPORT D'AD-REMOVER 2.0.0.2,F | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 01/03/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 14:22:25 le 02/04/2011, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Basique  Service Pack 2 (X86) 
Millon@PC-DE-MILLON (Compaq-Presario FZ092AA-ABF SR5625FR) 
 
============== ACTION(S) ==============

Service: "Application Updater" Stoppé et supprimé 

Fichier supprimé: C:\Program Files\Mozilla FireFox\Components\AskSearch.js
Fichier supprimé: C:\Program Files\Mozilla Firefox\extensions\searchsettings@spigot.com
Fichier supprimé: C:\Windows\system32\Tasks\Scheduled Update for Ask Toolbar
Dossier supprimé: C:\Users\Millon\AppData\Roaming\Mozilla\FireFox\Profiles\xheg1elo.default\extensions\toolbar@ask.com
Fichier supprimé: C:\Users\Millon\AppData\Roaming\Mozilla\FireFox\Profiles\xheg1elo.default\searchplugins\askcom.xml
Dossier supprimé: C:\Program Files\Ask.com
Dossier supprimé: C:\Users\Millon\AppData\LocalLow\AskToolbar
Dossier supprimé: C:\Program Files\Application Updater
Dossier supprimé: C:\Users\Millon\AppData\LocalLow\Search Settings
Dossier supprimé: C:\Program Files\Search Settings
Dossier supprimé: C:\Users\Millon\AppData\Roaming\OfferBox

(!) -- Fichiers temporaires supprimés.


-- Fichier ouvert: C:\Users\Millon\AppData\Roaming\Mozilla\FireFox\Profiles\xheg1elo.default\Prefs.js --
Ligne supprimée: user_pref("browser.search.defaultengine", "Ask.com"); 
Ligne supprimée: user_pref("browser.search.defaultenginename", "Ask.com"); 
Ligne supprimée: user_pref("browser.search.order.1", "Ask.com"); 
Ligne supprimée: user_pref("browser.search.selectedEngine", "Ask.com"); 
Ligne supprimée: user_pref("browser.startup.homepage", "hxxp://fr.ask.com?o=102869&l=dis&gct=hp"); 
Ligne supprimée: user_pref("extensions.asktb.InstallDir", "C:\\Program Files\\Ask.com\\"); 
Ligne supprimée: user_pref("extensions.asktb.abar-war-timeout", "4000"); 
Ligne supprimée: user_pref("extensions.asktb.cbid", "5J"); 
Ligne supprimée: user_pref("extensions.asktb.config-updated", false); 
Ligne supprimée: user_pref("extensions.asktb.crumb", "2011.03.17+08.02.07-toolbar007iad-FR-Um91ZW4sRnJhbmNl"); 
Ligne supprimée: user_pref("extensions.asktb.default-channel-url-mask", "hxxp://fr.ask.com/web?q={query}&qsrc={qsrc}&... 
Ligne supprimée: user_pref("extensions.asktb.dtid", "YYYYYYYYFR"); 
Ligne supprimée: user_pref("extensions.asktb.dyn-weather-do-locid-lookup-weatherWidget", true); 
Ligne supprimée: user_pref("extensions.asktb.ff-original-keyword-url", "chrome://browser-region/locale/region.propert... 
Ligne supprimée: user_pref("extensions.asktb.first-launch-url", "hxxp://pages.msgpluslive.net/5/thankyou1/?lg=fr&mp=5... 
Ligne supprimée: user_pref("extensions.asktb.fresh-install", false); 
Ligne supprimée: user_pref("extensions.asktb.guid", "f96d8fb0-f91d-4ca9-b59b-36a5d062d017"); 
Ligne supprimée: user_pref("extensions.asktb.hxxp-header-whitelist-hosts", "[\"static-dev.en.dev.ask.com\", \"ask.com... 
Ligne supprimée: user_pref("extensions.asktb.if", "first"); 
Ligne supprimée: user_pref("extensions.asktb.l", "dis"); 
Ligne supprimée: user_pref("extensions.asktb.last-config-req", "1300542962805"); 
Ligne supprimée: user_pref("extensions.asktb.locale", "fr_FR"); 
Ligne supprimée: user_pref("extensions.asktb.o", "102869"); 
Ligne supprimée: user_pref("extensions.asktb.overlay-reloaded-using-restart", true); 
Ligne supprimée: user_pref("extensions.asktb.qsrc", "2871"); 
Ligne supprimée: user_pref("extensions.asktb.r", "3"); 
Ligne supprimée: user_pref("extensions.asktb.sa", "YES"); 
Ligne supprimée: user_pref("extensions.asktb.saguid", "B17C0D66-5361-4CB7-8D44-EAE2D60D0FFF"); 
Ligne supprimée: user_pref("extensions.asktb.search-suggestions-enabled", false); 
Ligne supprimée: user_pref("extensions.asktb.silent-upgrade-from-pre-newtabs-build", false); 
Ligne supprimée: user_pref("extensions.asktb.socialmini-first", true); 
Ligne supprimée: user_pref("extensions.asktb.socialmini-interval", "1200000"); 
Ligne supprimée: user_pref("extensions.asktb.socialmini-max-char-ticker", "33"); 
Ligne supprimée: user_pref("extensions.asktb.socialmini-max-items", "30"); 
Ligne supprimée: user_pref("extensions.asktb.socialmini-native-on", true); 
Ligne supprimée: user_pref("extensions.asktb.socialmini-speed", "5000"); 
Ligne supprimée: user_pref("extensions.asktb.socialmini-transition-first-open", false); 
Ligne supprimée: user_pref("extensions.asktb.themeid", ""); 
Ligne supprimée: user_pref("extensions.asktb.to", "102869"); 
Ligne supprimée: user_pref("extensions.asktb.version", "5.11.1.15497"); 
Ligne supprimée: user_pref("extensions.enabledItems", "linkfilter@kaspersky.ru:9.0.0.192,searchsettings@spigot.com:1.... 
Ligne supprimée: user_pref("keyword.URL", "hxxp://websearch.ask.com/redirect?client=ff&src=kw&tb=MYC-ST&o=102869&loca... 
-- Fichier Fermé --
 

Clé supprimée: HKLM\Software\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}
Clé supprimée: HKLM\Software\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKLM\Software\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
Clé supprimée: HKLM\Software\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
Clé supprimée: HKLM\Software\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
Clé supprimée: HKLM\Software\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd
Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd.1
Clé supprimée: HKLM\Software\Classes\SearchSettings.BHO
Clé supprimée: HKLM\Software\Classes\SearchSettings.BHO.1
Clé supprimée: HKLM\Software\Classes\AppID\GenericAskToolbar.DLL
Clé supprimée: HKLM\Software\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
Clé supprimée: HKLM\Software\AskToolbar
Clé supprimée: HKLM\Software\Application Updater
Clé supprimée: HKLM\Software\Search Settings
Clé supprimée: HKCU\Software\OfferBox
Clé supprimée: HKCU\Software\Spointer
Clé supprimée: HKCU\Software\Ask.com
Clé supprimée: HKCU\Software\AppDataLow\Software\AskToolbar
Clé supprimée: HKLM\Software\Messenger Plus!\OpenCandy
Clé supprimée: HKLM\Software\Participatory Culture Foundation\OpenCandy
Clé supprimée: HKLM\Software\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé supprimée: HKLM\Software\Classes\Installer\Products\D82C50F59AED6DA47AA360145789E8BA
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Userdata\S-1-5-18\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Userdata\S-1-5-18\Products\D82C50F59AED6DA47AA360145789E8BA
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{CF739809-1C6C-47C0-85B9-569DBB141420}
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{5F05C28D-DEA9-4AD6-A73A-064175988EAB}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{5F05C28D-DEA9-4AD6-A73A-064175988EAB}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\LowRegistry\Search Settings
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
Erreur suppression clé: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Scheduled Update for Ask Toolbar
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{69725738-CD68-4f36-8D02-8C43722EE5DA}

Valeur supprimée: HKLM\Software\Mozilla\Firefox\Extensions|clickpotatolite@clickpotatolite.com
Valeur supprimée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{D4027C7F-154A-4066-A1AD-4243D8127440}
Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}


============== SCAN ADDITIONNEL ==============

-- C:\Users\Millon\AppData\Roaming\Mozilla\FireFox\Profiles\xheg1elo.default --
Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.2.13

========================================

**** Internet Explorer Version [8.0.6001.19019] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_SearchScopes\{09E4EF4A-A483-4e40-80C0-DBB3D5670F90} - "Orange" (hxxp://www.orange.fr/bin/frame1px.cgi?u=hxxp%3A//r.voila.fr/se%3Frdata%3D{search...)
HKCU_SearchScopes\{21537818-291B-4D82-960E-330384C48DCC} - "Kelkoo" (hxxp://fr.kelkoopartners.net/ctl/do/search?siteSearchQuery={searchTerms}&fromfor...)
HKCU_SearchScopes\{2B7B7EFC-C234-4532-822B-A8D74D7EF7EB} - "Durable.com" (hxxp://www.durable.com/result?cx=partner-pub-7902900401080901%3Azbljezwsgul&cof=...)
HKCU_SearchScopes\{B7D2ACD2-EC88-4c12-96B0-4BA024431302} - "SpeedBit Search" (hxxp://home.speedbit.com/search.aspx?aff=106&q={searchTerms})
HKLM_SearchScopes\{21537818-291B-4D82-960E-330384C48DCC} - "Kelkoo" (hxxp://fr.kelkoopartners.net/ctl/do/search?siteSearchQuery={searchTerms}&fromfor...)
HKCU_ElevationPolicy\{17DE0976-716C-4A05-9DA1-14E0B320E653} - C:\Windows\System32\Macromed\Flash\FlashUtil10m_ActiveX.exe (x)
HKCU_ElevationPolicy\{8918357B-A9E3-4179-9EB2-A28E9EDE9583} - C:\Windows\System32\Macromed\Flash\FlashUtil10m_ActiveX.exe (x)
HKCU_ElevationPolicy\{B409C5C7-2EE9-4853-867E-6C8BD8171CE7} - C:\Windows\System32\Macromed\Flash\FlashUtil10n_ActiveX.exe (x)
HKCU_ElevationPolicy\{DF84C85F-0C4A-423F-983E-5461647A9C33} - C:\Program Files\DivX\DivX Plus Web Player\dwpBroker.exe (DivX, LLC)
HKCU_ElevationPolicy\{E9518E88-EF02-431E-8A6F-2E970F78CE03} - C:\Windows\System32\Macromed\Flash\FlashUtil10l_ActiveX.exe (x)
HKCU_ElevationPolicy\{E9BFFCD1-9016-41F9-8595-E8A6F79FCCC7} - C:\Program Files\Kaspersky Lab\Kaspersky PURE\klwtblfs.exe (Kaspersky Lab)
HKLM_ElevationPolicy\{09E9B8FC-3D94-4A9B-AD2E-A64255121895} - C:\Program Files\Kaspersky Lab\Kaspersky PURE\klwtbws.exe (Kaspersky Lab)
HKLM_ElevationPolicy\{4671F4B7-89F5-4701-B641-570278D5C856} - C:\Program Files\Kaspersky Lab\Kaspersky PURE\klwtblfs.exe (Kaspersky Lab)
HKLM_ElevationPolicy\{5F17E524-3447-4c7d-8E5F-4EFF31CDE3B7} - C:\Program Files\DivX\DivX Plus Web Player\DDMService.exe (DivX, LLC)
HKLM_ElevationPolicy\{64903E32-AE0B-408D-909C-09A08791F28D} - C:\Program Files\DivX\DivX Plus Web Player\dwpBroker.exe (DivX, LLC)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{D802E3EF-2513-4661-972E-BAD737EFBA88} - C:\Program Files\DivX\DivX OVS Helper\OVSHelperBroker.exe (DivX, LLC.)
HKCU_Extensions\{DD835696-90FA-43AF-ABB1-4286157034E4} - "RebootBox" (C:\Program Files\RebootBox\icon\icon_red.ico)
HKLM_Extensions\{0483894E-2422-45E0-8384-021AFF1AF3CD} - "iOpus iMacros" (C:\Program Files\iMacros\ab1.ico)
HKLM_Extensions\{B205A35E-1FC4-4CE3-818B-899DBBB3388C} - "Barre de recherche Encarta" (?)
BHO\{02478D38-C3F9-4efb-9B51-7695ECA05670} (?)
BHO\{326E768D-4182-46FD-9C16-1449A49795F4} - "DivX Plus Web Player HTML5 <video>" (C:\Program Files\DivX\DivX Plus Web Player\npdivx32.dll)
BHO\{593DDEC6-7468-4cdd-90E1-42DADAA222E9} - "DivX HiQ" (C:\Program Files\DivX\DivX Plus Web Player\npdivx32.dll)
BHO\{6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - "Search Helper" (C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll)
BHO\{E312764E-7706-43F1-8DAB-FCDD2B1E416D} (?)

========================================

C:\Program Files\Ad-Remover\Quarantine: 230 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 16 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 02/04/2011 14:22:29 (13078 Octet(s)) 

Fin à: 14:23:58, 02/04/2011 
 
============== E.O.F ==============


    MBAM : 

    Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6245

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.19019

03/04/2011 08:52:02
mbam-log-2011-04-03 (08-52-02).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|H:\|I:\|J:\|)
Elément(s) analysé(s): 403390
Temps écoulé: 7 heure(s), 58 minute(s), 9 seconde(s)

Processus mémoire infecté(s): 2
Module(s) mémoire infecté(s): 1
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 7

Processus mémoire infecté(s):
c:\users\millon\appdata\roaming\windows\windows services.exe (Trojan.Downloader) -> 6620 -> Not selected for removal.
c:\users\millon\appdata\roaming\svchost.exe (Trojan.Downloader) -> 532 -> Failed to unload process.

Module(s) mémoire infecté(s):
c:\Users\Millon\AppData\Roaming\microsoft\Windows\start menu\Programs\Startup\systemcore.dll (Trojan.Downloader) -> Delete on reboot.

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\HKCU (Trojan.Downloader) -> Value: HKCU -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\users\millon\appdata\roaming\windows\windows services.exe (Trojan.Downloader) -> Not selected for removal.
c:\Users\Millon\AppData\Roaming\microsoft\Windows\start menu\Programs\Startup\systemcore.dll (Trojan.Downloader) -> Delete on reboot.
c:\users\millon\appdata\roaming\svchost.exe (Trojan.Downloader) -> Not selected for removal.
c:\Users\Millon\systemcore.dll (Trojan.Downloader) -> Quarantined and deleted successfully.
c:\Users\Millon\Desktop\dossier bureau\Keygen.exe (RiskWare.Tool.CK) -> Quarantined and deleted successfully.
c:\Users\Millon\Desktop\dossier bureau\Npk\FLood\Spammer.exe (HackTool.Agent.Gen) -> Not selected for removal.
c:\Windows\System32\secushr.dat (Malware.Trace) -> Quarantined and deleted successfully.


    J'ai malheureusement décocher "windows services.exe", "svchost.exe", de peur de faire une bétise, et j'ai ensuite vu que tu m'avais demandé de le faire ... :/
    Dois-je recommencer l'analyse MBAM et supprimé ceux la ?
    Merci.
    0
  4. Smart91 Messages postés 30146 Statut Contributeur sécurité 2 331
     
    Oui recommence le scan MBAM et sélectionne tout et supprime

    Smart
    0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. Feisar Messages postés 13 Date d'inscription   Statut Membre Dernière intervention  
     
    Rapport MBAM : 
    Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6245

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.19019

03/04/2011 23:15:24
mbam-log-2011-04-03 (23-15-24).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 386211
Temps écoulé: 7 heure(s), 42 minute(s), 2 seconde(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 1
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 4

Processus mémoire infecté(s):
c:\users\millon\appdata\roaming\svchost.exe (Trojan.Downloader) -> 928 -> Failed to unload process.

Module(s) mémoire infecté(s):
c:\Users\Millon\AppData\Roaming\microsoft\Windows\start menu\Programs\Startup\systemcore.dll (Trojan.Downloader) -> Delete on reboot.

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\HKCU (Trojan.Downloader) -> Value: HKCU -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Users\Millon\AppData\Roaming\microsoft\Windows\start menu\Programs\Startup\systemcore.dll (Trojan.Downloader) -> Delete on reboot.
c:\users\millon\appdata\roaming\svchost.exe (Trojan.Downloader) -> Delete on reboot.
c:\users\millon\appdata\roaming\windows\windows services.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
c:\Users\Millon\Desktop\dossier bureau\Npk\FLood\Spammer.exe (HackTool.Agent.Gen) -> Quarantined and deleted successfully.


    Feisar.
    0
  7. Smart91 Messages postés 30146 Statut Contributeur sécurité 2 331
     
    Redémarre le PC
    Relance MBAM et vide la quarantaine

    Ensuite tu vas faire ceci:
    - Télécharge sur le bureau RogueKiller de Tigzy
    - Quitte tous tes programmes en cours
    - Sous Vista/Seven , clique droit -> lancer en tant qu'administrateur
    - Sinon lance simplement RogueKiller.exe
    - Lorsque demandé, tape 1 [SCAN] et valide
    - Un rapport (RKreport.txt) a du se créer sur le bureau, poste-le.

    * Note : Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois. Si cela ne passe toujours pas , (cela peut arriver), renommer RogueKiller.exe en Winlogon.exe

    Smart
    0
  8. Feisar Messages postés 13 Date d'inscription   Statut Membre Dernière intervention  
     
    Rapport RogueKiller : 
    RogueKiller V4.3.6 par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur: Millon [Droits d'admin]
Mode: Recherche -- Date : 04/04/2011 19:23:17

Processus malicieux: 1
[APPDT/TMP/DESKTOP] Java.exe -- c:\users\millon\appdata\roaming\microsoft\windows\start menu\programs\startup\java.exe -> KILLED

Entrees de registre: 3
[APPDT/TMP/DESKTOP] HKCU\[...]\Run : HKCU (C:\Users\Millon\AppData\Roaming\Windows\Windows Services.exe) -> FOUND
[APPDT/TMP/DESKTOP] HKUS\S-1-5-21-393356663-4113581724-2829241573-1000[...]\Run : HKCU (C:\Users\Millon\AppData\Roaming\Windows\Windows Services.exe) -> FOUND
[PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (:) -> FOUND

Fichier HOSTS:
127.0.0.1       localhost
::1             localhost


Termine : << RKreport[1].txt >>
RKreport[1].txt


    Feisar.
    0
  9. Smart91 Messages postés 30146 Statut Contributeur sécurité 2 331
     
    Relance RogueKiller 3 fois

    La première en faisant l'option 2
    La seconde avec l'option 3
    La dernière avec l'option 4

    Poste les 3 rapports

    Smart
    0
  10. Feisar Messages postés 13 Date d'inscription   Statut Membre Dernière intervention  
     
    Rapport 1 :

    RogueKiller V4.3.6 par Tigzy
    contact sur https://www.luanagames.com/index.fr.html
    mail: tigzyRK<at>gmail<dot>com
    Remontees: https://www.luanagames.com/index.fr.html

    Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
    Demarrage : Mode normal
    Utilisateur: Millon [Droits d'admin]
    Mode: Recherche -- Date : 04/04/2011 19:23:17

    Processus malicieux: 1
    [APPDT/TMP/DESKTOP] Java.exe -- c:\users\millon\appdata\roaming\microsoft\windows\start menu\programs\startup\java.exe -> KILLED

    Entrees de registre: 3
    [APPDT/TMP/DESKTOP] HKCU\[...]\Run : HKCU (C:\Users\Millon\AppData\Roaming\Windows\Windows Services.exe) -> FOUND
    [APPDT/TMP/DESKTOP] HKUS\S-1-5-21-393356663-4113581724-2829241573-1000[...]\Run : HKCU (C:\Users\Millon\AppData\Roaming\Windows\Windows Services.exe) -> FOUND
    [PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (:) -> FOUND

    Fichier HOSTS:
    127.0.0.1 localhost
    ::1 localhost

    Termine : << RKreport[1].txt >>
    RKreport[1].txt

    Rapport 2 :

    RogueKiller V4.3.6 par Tigzy
    contact sur https://www.luanagames.com/index.fr.html
    mail: tigzyRK<at>gmail<dot>com
    Remontees: https://www.luanagames.com/index.fr.html

    Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
    Demarrage : Mode normal
    Utilisateur: Millon [Droits d'admin]
    Mode: HOSTS RAZ -- Date : 04/04/2011 20:05:29

    Processus malicieux: 0

    Fichier HOSTS:
    127.0.0.1 localhost
    ::1 localhost

    Nouveau fichier HOSTS:
    127.0.0.1 localhost

    Termine : << RKreport[2].txt >>
    RKreport[1].txt ; RKreport[2].txt

    Rapport 3 :

    RogueKiller V4.3.6 par Tigzy
    contact sur https://www.luanagames.com/index.fr.html
    mail: tigzyRK<at>gmail<dot>com
    Remontees: https://www.luanagames.com/index.fr.html

    Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
    Demarrage : Mode normal
    Utilisateur: Millon [Droits d'admin]
    Mode: Proxy RAZ -- Date : 04/04/2011 20:06:46

    Processus malicieux: 0

    Entrees de registre: 1
    [PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (:) -> DELETED

    Termine : << RKreport[3].txt >>
    RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt
    0
  11. Smart91 Messages postés 30146 Statut Contributeur sécurité 2 331
     
    Pour le rapport 1 tu n'as pas fait l'option 2
    J'aurais vu Mode suppression à la place de ceci:
    Mode: Recherche -- Date : 04/04/2011 19:23:17

    Refais l'option 2

    Smart
    "Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)
    0
  12. Feisar Messages postés 13 Date d'inscription   Statut Membre Dernière intervention  
     
    Rapport de l'option 2 :

    RogueKiller V4.3.6 par Tigzy
    contact sur https://www.luanagames.com/index.fr.html
    mail: tigzyRK<at>gmail<dot>com
    Remontees: https://www.luanagames.com/index.fr.html

    Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
    Demarrage : Mode normal
    Utilisateur: Millon [Droits d'admin]
    Mode: Suppression -- Date : 05/04/2011 18:43:46

    Processus malicieux: 2
    [APPDT/TMP/DESKTOP] Java.exe -- c:\users\millon\appdata\roaming\microsoft\windows\start menu\programs\startup\java.exe -> KILLED
    [SVCHOST] svchost.exe -- System Folder -> KILLED

    Entrees de registre: 1
    [APPDT/TMP/DESKTOP] HKCU\[...]\Run : HKCU (C:\Users\Millon\AppData\Roaming\Windows\Windows Services.exe) -> DELETED

    Fichier HOSTS:
    127.0.0.1 localhost

    Termine : << RKreport[4].txt >>
    RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt

    Oui, en effet je m'étais trompé.

    Feisar.
    0
  13. Smart91 Messages postés 30146 Statut Contributeur sécurité 2 331
     
    OK. Maintenant tu refais un scan complet MBAM. N'oublie pas de faire la mise à jour et poste le rapport

    Smart
    0
  14. Feisar Messages postés 13 Date d'inscription   Statut Membre Dernière intervention  
     
    Malwarebytes' Anti-Malware 1.50.1.1100
    www.malwarebytes.org

    Version de la base de données: 6288

    Windows 6.0.6002 Service Pack 2
    Internet Explorer 8.0.6001.19019

    07/04/2011 07:24:33
    mbam-log-2011-04-07 (07-24-33).txt

    Type d'examen: Examen complet (C:\|)
    Elément(s) analysé(s): 390193
    Temps écoulé: 1 heure(s), 20 minute(s), 48 seconde(s)

    Processus mémoire infecté(s): 0
    Module(s) mémoire infecté(s): 1
    Clé(s) du Registre infectée(s): 0
    Valeur(s) du Registre infectée(s): 0
    Elément(s) de données du Registre infecté(s): 0
    Dossier(s) infecté(s): 0
    Fichier(s) infecté(s): 2

    Processus mémoire infecté(s):
    (Aucun élément nuisible détecté)

    Module(s) mémoire infecté(s):
    c:\Users\Millon\AppData\Roaming\microsoft\Windows\start menu\Programs\Startup\systemcore.dll (Trojan.Downloader) -> Delete on reboot.

    Clé(s) du Registre infectée(s):
    (Aucun élément nuisible détecté)

    Valeur(s) du Registre infectée(s):
    (Aucun élément nuisible détecté)

    Elément(s) de données du Registre infecté(s):
    (Aucun élément nuisible détecté)

    Dossier(s) infecté(s):
    (Aucun élément nuisible détecté)

    Fichier(s) infecté(s):
    c:\Users\Millon\AppData\Roaming\microsoft\Windows\start menu\Programs\Startup\systemcore.dll (Trojan.Downloader) -> Delete on reboot.
    c:\Users\Millon\AppData\Roaming\svchost.exe (Backdoor.Agent.VB) -> Quarantined and deleted successfully.
    0
  15. Smart91 Messages postés 30146 Statut Contributeur sécurité 2 331
     
    Relance MBAM et vode la quarantaine.
    Realance ZHPDiag, clique sur la fllèche verte pour la mise à jour, refais un scan et poste le rapport via cijoint

    Smart
    0
  16. Feisar Messages postés 13 Date d'inscription   Statut Membre Dernière intervention  
     
    Le voila, http://www.cijoint.fr/cjlink.php?file=cj201104/cijs82Ebmc.txt

    encore merci pour ce que tu fais :)

    Feisar.
    0
  17. Smart91 Messages postés 30146 Statut Contributeur sécurité 2 331
     
    Il ya d'autre infections:
    Redémarre le PC

    Fais ceci:
    * Télécharge FixLop de NicoVA.
    * Lance l'installateur
    * Clique deux fois sur Suivant puis cocher "Créer un icône sur le bureau"
    * Clique sur Installer
    * Clique enfin sur Terminer
    * Clique sur "Recherche"
    * Un rapport va s'afficher à la fin : Scan.txt sous C:\
    * Colle le rapport dans ta prochaine réponse

    Ensuite tu fais ceci:

    - Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore la et désactive l'antivirus temporairement.
    - Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
    - Double clique sur le raccourci UsbFix sur ton Bureau, l'installation se fera automatiquement
    -Clique sur "Recherche"
    - Laisse travailler l'outil
    - A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

    Aide en images : "Recherche"

    Smart
    0
  18. Feisar Messages postés 13 Date d'inscription   Statut Membre Dernière intervention  
     
    Je ne parvient pas a exécuter Fixlop, j'ai essayer de le déplacer du dossier de téléchargement, de l'executer en administrateur mais il n'a pour cesse de me dire : "The setup files are corrupted. Please obtain a new copy of the program."
    je l'ai re-téléchargée deux fois mais il ne fonctionne toujours pas.

    Feisar.
    0
  19. Smart91 Messages postés 30146 Statut Contributeur sécurité 2 331
     
    Désactive l'antivirus le temps de lancer fixlop

    Smart
    0
  20. Feisar Messages postés 13 Date d'inscription   Statut Membre Dernière intervention  
     
    Toujours le même résultat, en désactivant l' antivirus, en éteignant l'ordinateur et re-désactivant l'antivirus .. :/
    0
  21. Smart91 Messages postés 30146 Statut Contributeur sécurité 2 331
     
    OK. Laisse FixLop de côté pour le moment et fais USBFix pour les infections par clés USB

    Smart
    0
  • 1
  • 2

Discussions similaires

Ouvrir un fichier .pub sans Publisher
baissaoui -
baissaoui -

0 réponse