Win32 Malware-genRésolu/Fermé

Question

Bonjour,  

Voilà j'ai fait un scan avast il y a quelques minutes et l'antivirus m'a détecter un win32 Malware-gen, avec un niveau de malveillance élevé. Je suis pas très douée en informatique, du coup je requière les services d'une personne compétente ^^ 

J'ai fait un scan avec ZHPDiag : http://cjoint.com/?2egtLrNVsCn

Merci pour l'aide apportée 

Configuration: Windows 7 / Firefox 3.6.16

fred08700 · Answer

salut

peux-tu poster le rapport de avast , directement dans ta prochaine réponse

Lululle · Answer

Bonjour,

comment fait-on pour retrouver le rapport de avast ?

Lululle · Answer

http://cjoint.com/?2egtQli6giP  j'ai fait un impécran, je sais pas si c'est suffisant

fred08700 · Answer

tu as téléchargé un crack de microsoft office ?

===> Les dangers du P2P

1) ● Rends-toi à cette adresse afin de télécharger AD-Remover (créé par C_XX)

Déconnecte toi et ferme toutes les applications en cours

● Double-clique sur l'icône AD-Remover
Vista ou windows 7 => clic droit "executer en tant que...."
● Au menu principal, clique sur "Nettoyer"
● Confirme le lancement de l'analyse et laisse l'outil travailler
● Poste le rapport qui apparait à la fin (il est aussi sauvegardé sous C:\Ad-report-CLEAN.txt )

(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

<gras<Note :</gras> Process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.

2) Utilise ce logiciel de désinfection généraliste stp :

● Télécharges Malwarebytes

(NB : S'il te manque"COMCTL32.OCX" lors de l'installe, alors télécharge le ici :
https://www.malekal.com/tutorial-aboutbuster/

● Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement.

● Fais la mise à jour du logiciel (elle se fait normalement à l'installation)

● Lance une analyse complète en cliquant sur "Exécuter un examen rapide"

● Sélectionnes les disques que tu veux analyser et cliques sur "Lancer l'examen"

● L'analyse peut durer un bon moment.....

● Une fois l'analyse terminée, cliques sur "OK" puis sur "Afficher les résultats"

● Vérifies que tout est bien coché et cliques sur "Supprimer la sélection" => et ensuite sur "OK"

● Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum

● Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Faites le en cliquant sur "oui" à la question posée

Les créateurs d'infections utilisent les emplacements des fichiers système pour hébérger les infections, d'où les fichiers . dll ou exe dans ces series d'infections.
MABM est très régulièrement mis à jour pour ne pas supprimer les fichiers légitimes de windows, donc pas de craintes de ce côté là.

Lululle · Answer

Oui je confirme pour ta question... j'ai honte :(

Alors pour la première partir de ta réponse : 

======= RAPPORT D'AD-REMOVER 2.0.0.2,F | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 06/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files (x86)\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 19:55:15 le 06/04/2011, Mode normal

Microsoft Windows 7 Édition Familiale Premium   (X64) 
Aurélie@AURÉLIE-PC (Dell Inc. Inspiron N7010) 
 
============== ACTION(S) ==============


Dossier supprimé: C:\Users\Aurélie\AppData\Roaming\Mozilla\FireFox\Profiles\kjys4ezm.default\conduit
Dossier supprimé: C:\Users\Aurélie\AppData\LocalLow\Conduit
Dossier supprimé: C:\Program Files (x86)\Conduit

(!) -- Fichiers temporaires supprimés.


-- Fichier ouvert: C:\Users\Aurélie\AppData\Roaming\Mozilla\FireFox\Profiles\kjys4ezm.default\Prefs.js --
Ligne supprimée: user_pref("CT2719315.SearchEngine", "Recherche||hxxp://search.conduit.com/Results.aspx?q=UCM_SEARCH_... 
Ligne supprimée: user_pref("CT2719315.SearchFromAddressBarUrl", "hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT271... 
Ligne supprimée: user_pref("CommunityToolbar.SearchFromAddressBarSavedUrl", "chrome://browser-region/locale/region.pr... 
Ligne supprimée: user_pref("CommunityToolbar.ToolbarsList", "CT2719315"); 
Ligne supprimée: user_pref("CommunityToolbar.ToolbarsList2", "CT2719315"); 
Ligne supprimée: user_pref("CommunityToolbar.facebook.settingsLastCheckTime", "Sun Oct 17 2010 23:07:51 GMT+0200"); 
-- Fichier Fermé --
 

Clé supprimée: HKLM\Software\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}
Clé supprimée: HKLM\Software\Classes\Toolbar.CT2719315
Clé supprimée: HKLM\Software\Conduit
Clé supprimée: HKCU\Software\AppDataLow\Software\Conduit
Clé supprimée: HKLM\Software\Messenger Plus!\OpenCandy


============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [3.6.16 (fr)] ****

HKLM_MozillaPlugins\@messenger.yahoo.com/YahooMessengerStatePlugin;version=1.0.0.6 (x)
Extensions\{AB2CE124-6272-4b12-94A9-7303C7397BD1} (Skype extension		)

-- C:\Users\Aurélie\AppData\Roaming\Mozilla\FireFox\Profiles\kjys4ezm.default --
Prefs.js - browser.download.lastDir, C:\Users\Aurélie\Desktop
Prefs.js - browser.startup.homepage, hxxp://www.google.com/webhp?hl=fr
Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.2.16
Prefs.js - privacy.popups.showBrowserMessage, false

========================================

**** Internet Explorer Version [8.0.7600.16385] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_SearchScopes\{0A11D14D-A341-400C-8DE7-57A6F3FFEEB4} - "?" (?)
HKCU_SearchScopes\{972400E8-CC13-42EC-9DE9-8339100CD37A} - "?" (?)
HKLM_ElevationPolicy\ab485937-5914-4fa3-a2f0-50a96a154938 - C:\Program Files (x86)\MessengerPlusLive_France_TB\MessengerPlusLive_France_TBToolbarHelper.exe (x)
HKLM_ElevationPolicy\{07d873dc-b9b9-44f5-af0b-fb59fa54fb7a} - C:\Windows\SysWOW64\wpcer.exe (x)
HKLM_ElevationPolicy\{0a402d70-1f10-4ae7-bec9-286a98240695} - C:\Windows\SysWOW64\winfxdocobj.exe (x)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files (x86)\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{B43A0C1E-B63F-4691-B68F-CD807A45DA01} - C:\Windows\system32\TSWbPrxy.exe (x)
HKLM_Extensions\{CCA281CA-C863-46ef-9331-5C8D4460577F} - "Envoyer à Bluetooth" (c:\Program Files\WIDCOMM\Bluetooth Software\bt_cold_icon.ico)
BHO\{6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - "Search Helper" (C:\Program Files (x86)\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll)

========================================

C:\Program Files (x86)\Ad-Remover\Quarantine: 10 Fichier(s)
C:\Program Files (x86)\Ad-Remover\Backup: 15 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 06/04/2011 19:55:21 (4327 Octet(s)) 

Fin à: 19:56:20, 06/04/2011 
 
============== E.O.F ==============

Lululle · Answer

deuxième partie de ta réponse : 

Malwarebytes' Anti-Malware 1.50
www.malwarebytes.org

Version de la base de données: 6288

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

06/04/2011 20:06:59
mbam-log-2011-04-06 (20-06-59).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 164426
Temps écoulé: 2 minute(s), 30 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

fred08700 · Answer

bien

1) relances ad-remover ==> désinstaller

2) dans panneau de config ==> programmes et fonctionnalités

désinstalles , s'ils sont la : AutoKMS et Office2010_KMS

puis supprimes ce qui est en gras: C:\Windows\AutoKMS.exe    et C:\Windows\Act_Office14_KMS.exe  

3) dans la quarantaine de avast , supprimes le fichier infecté

4) redémarre ton pc

5) refais un nouveau scan zhpdiag

clique sur la flèche verte en haut de sa page pour lancer une mise à jour, si ton parfeu demande l'autorisation, accepte le. 

 &#9679 Rends toi sur http://www.cijoint.fr/ 

 &#9679 Cliques sur " Parcourir " dans la partie " Joindre un fichier[...] " 

 &#9679 Sélectionnes le rapport ZHPdiag.txt qui se trouve sur ton bureau 

 &#9679 Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message

Lululle · Answer

je peux pas le faire à nouveau le scan zhpdiag car à la place de la loupe en haut à gauche, y a un appareil photo... et je peux pas clique dessus... comment faire ?

fred08700 · Answer

tu as ouvert zhpfix

zhpdiag est en forme de parchemin
  
Chaque difficulté  rencontrée  doit être  l'occasion d'un nouveau progrès.  
  
[Pierre de Coubertin]

Lululle · Answer

voici le lien avec le rapport de zhpdiag : http://cjoint.com/?1eguWyhsIGT

fred08700 · Answer

Utilisation de ZHPfix 

*fais un copié des lignes en gras suivantes  

---------------------------------------------------------- 
[MD5.00000000000000000000000000000000] [APT] [AutoKMS] (.Pas de propriétaire.) -- C:\Windows\AutoKMS.exe (.not file.)    
[MD5.00000000000000000000000000000000] [APT] [Office2010_KMS] (.Pas de propriétaire.) -- C:\Windows\Act_Office14_KMS.exe (.not file.)  
[HKLM\Software\OpenCandy NSIS SDK]  
O4 - Global Startup: C:\Users\Aurélie\Desktop\Les Sims(TM) 3 Destination Aventure.lnk - Clé orpheline
O4 - Global Startup: C:\Users\Aurélie\Desktop\Ordinateur.lnk - Clé orpheline
O23 - Service:  (Microsoft SharePoint Workspace Audit Service) - Clé orpheline
O87 - FAEL: "{A8677778-7117-4CB6-B551-087629EE825E}" |In - Domain - P17 - TRUE | .(...) -- C:\Program Files (x86)\Common Files\Mcafee\MNA\McNaSvc.exe (.not file.)    
emptytemp
emptyflash
FirewallRaz 
---------------------------------------------------------- 
/!\ Utilisateurs de vista/7 , cette manipulation est à effectuer en tant qu'administrateur ( Clic droit -> [Exécuter en tant qu'administrateur] ) /!\  

* Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag- écusson vert-) 
- Clique sur l'icône représentant la lettre H (« coller les lignes Helper »)  
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes  
- Clique sur le bouton « GO » pour lancer le nettoyage, 
- Copie/colle la totalité du rapport dans ta prochaine réponse 

==> si tu reçois un message de confirmation de désinstallation de certains logiciels, accepte le :-)  

* Copie/colle la totalité du rapport dans ta prochaine réponse

****************************************************

Suppression des fichiers inutiles       
      
Télécharge CCleaner .       
* Installe le puis lance le.       
* va dans " options" ==> "avancés" et décoches " effacer uniquement ------24 heures"       
* Clique sur Nettoyeur => Analyse => Lancer le nettoyage, puis sur OK dans la fenêtre qui s'affiche.       
* Enfin, clique sur Registre => corrige toutes les erreurs et recommence jusqu'à ce que CCleaner ne trouve plus d'erreurs.       
 
Tu peux garder ce programme et l'utiliser régulièrement (une fois par mois). 

***************************************************

Je te reprendrai demain , car je me lève à 3h00 pour le boulot . de retour vers 14h00.
Les restes de l'infections vont partir avec zhpfix
Tu pourras refaire , en attendant , un scan avec avast et me poster le rapport

verifie aussi ta version de java ==< https://www.java.com/fr/download/uninstalltool.jsp

a demain

Lululle · Answer

le rapport de zhpfix :

Rapport de ZHPFix 1.12.3273 par Nicolas Coolman, Update du 03/04/2011
Fichier d'export Registre : C:\ZHPExportRegistry-06-04-2011-20-58-53.txt
Run by Aurélie at 06/04/2011 20:58:53
Windows 7 Home Premium Edition, 64-bit  (Build 7600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Clé(s) du Registre ==========
HKLM\Software\OpenCandy NSIS SDK  => Clé absente
O23 - Service: (Microsoft SharePoint Workspace Audit Service) - Clé orpheline  => Clé supprimée avec succès

========== Valeur(s) du Registre ==========
{A8677778-7117-4CB6-B551-087629EE825E}  => Valeur supprimée avec succès
FirewallRaz : Aucune valeur présente dans la clé de registre "Standard Profile"
FirewallRaz : Aucune valeur présente dans la clé de registre "Domain Profile"
FirewallRaz (Domain) : FPS-SpoolSvc-In-TCP-NoScope  => Valeur supprimée avec succès
FirewallRaz (Public) : FPS-SpoolSvc-In-TCP  => Valeur supprimée avec succès
FirewallRaz (Domain) : CoreNet-GP-LSASS-Out-TCP  => Valeur supprimée avec succès
FirewallRaz (Domain) : RemoteSvcAdmin-In-TCP-NoScope  => Valeur supprimée avec succès
FirewallRaz (Public) : RemoteSvcAdmin-In-TCP  => Valeur supprimée avec succès
FirewallRaz (Domain) : NetPres-In-TCP-NoScope  => Valeur supprimée avec succès
FirewallRaz (Domain) : NetPres-Out-TCP-NoScope  => Valeur supprimée avec succès
FirewallRaz (None) : NetPres-WSD-In-UDP  => Valeur supprimée avec succès
FirewallRaz (None) : NetPres-WSD-Out-UDP  => Valeur supprimée avec succès
FirewallRaz (Public) : NetPres-In-TCP  => Valeur supprimée avec succès
FirewallRaz (Public) : NetPres-Out-TCP  => Valeur supprimée avec succès
FirewallRaz (None) : {8A033D53-15C7-433A-8712-A8F454E379E4}  => Valeur supprimée avec succès
FirewallRaz (Public) : {4EA1C3F3-70BE-4C00-9252-E6A29F593E45}  => Valeur supprimée avec succès
FirewallRaz (Public) : {0BC4E8A5-767B-44DD-AB97-31AD4E20E59C}  => Valeur supprimée avec succès
FirewallRaz (Private) : {8AE3B025-3BCF-424D-9D64-72560CFB88E6}  => Valeur supprimée avec succès
FirewallRaz (Private) : TCP Query User{83088996-A149-423C-B160-F7F67625A947}C:\program files (x86)\free download manager\fdm.exe  => Valeur supprimée avec succès
FirewallRaz (Private) : UDP Query User{4DB03AB2-84BE-4B7C-93D9-D6BB4238B360}C:\program files (x86)\free download manager\fdm.exe  => Valeur supprimée avec succès

========== Dossier(s) ==========
Dossiers Flash Cookies supprimés : 22

========== Fichier(s) ==========
Fichiers Flash Cookies supprimés : 11

========== Tache planifiée ==========
Task : AutoKMS  => Tâche supprimée avec succès
Task : Office2010_KMS  => Tâche supprimée avec succès


========== Récapitulatif ==========
2 : Clé(s) du Registre
20 : Valeur(s) du Registre
1 : Dossier(s)
1 : Fichier(s)
2 : Tache planifiée


End of the scan




***********************
Pour Ccleaner je l'ai installé depuis longtemps mais il est vrai que je ne l'utilise pas souvent... Je vais faire ce que tu m'a dit avec ce logiciel puis un scan avast que je te posterai à la suite. Merci beaucoup pour ton aide, à demain :)

Lululle · Answer

voici le rapport du scan de avast : aucune menace détectée 

:) Je suppose que tout est bon ?

Par contre pour Ccleaner et le rapport d'erreur, ça me fait un peu peur de réparer les erreurs.... n'y-at-il aucun risque ?

En tout cas, merci infiniment pour ton aide !!

fred08700 · Answer

salut

pas de souci avec ccleaner , tu peux y aller -)

pour supprimes ce qui a servi à la désinfection     

Télecharge Delfix sur ton bureau : https://www.commentcamarche.net/telecharger/securite/7111-delfix/  

*Clique sur le bouton « Suppression » et poste son rapport sur ton prochain message   
**Pour le désinstaller, il suffit de le relancer et cliquer sur le bouton de désinstallation.    

***********************************************     

Pour diminuer le temps de démarrage de windows :     
     
* Ouvrez l'utilitaire de configuration système :     
o Faites : démarrer ==> Exécuter ==> tapez msconfig     
o Ensuite, allez sur l'onglet Démarrage, décocher les programmes qui vous semblent inutiles au démarrage de votre PC. Cela n'empêchera pas les programmes de s'exécuter quand vous en aurez besoin, mais permettra à votre PC de démarrer plus vite.     
ne laisser que antivirus et parefeu ( si présent)     
     
N'hésitez pas, vous pouvez relancer l'utilitaire pour réactiver un élément décoché par erreur. 

***********************************************     

 Vacciner les supports amovibles      

[x] Si nous n'avons pas utilisé USBfix lors de la procédure, tu peux vacciner tes supports amovibles pour éviter qu'ils ne s'infectent.     
[x] Télécharge http://www.commentcamarche.net/download/telecharger-34079838-usbfix puis lance le.     
[x] Note : Si ton anvirus émet une alerte, désactive le momentanément ( il s'agit d'un faux positif )     
[x] Branche tout tes médias amovibles ( Clé USB, Disque dur externe, carte SD ) puis sélectionne l'option [Vacciner].     
[x] Appuie sur [Ok] au message de confirmation.      

**********************************************     

Défragmentation     

[x] Au fur et à mesure que tu installes des logiciels, copies des fichiers etc.. le disque dur se fragmente et les accès en lecture/écriture sont plus longs.     
[o] Télécharge Defraggler.     
[o] Un tutoriel pour son utilisation est disponible ici.      

*********************************************     

Vérification des disques     

[x] Ouvre l'explorateur, puis fais un clique droit sur ta partition principale ( généralement C:\ )     
[x] Clique sur [Propriété] puis sur l'onglet [Outils]     
[x] Clique sur [Vérifier maintenant] puis coche les deux cases présentes.     
[x] Clique sur [Démarrer] ( Tu devras éventuellement redémarrer ton PC et le scan du disque s'effectuera au prochain démarrage )      

********************************************     

Purger la restauration système      


[x] La restauration système est un endroit que windows utilise pour créer des sauvegardes. En cas de soucis, tu peux utiliser ces sauvegardes pour revenir à un état antérieur au problème.     

[x] Après une désinfection, il faut purger la restauration système pour supprimer toutes traces de malwares y résidant.      

 http://www.forum-fec.net/t142-purger-la-restauration-du-systeme-sous-windows-7

*************************************************     

logiciels à garder:     
     
malwarebytes et ccleaner (faire un scan , 1 fois par semaine)     

************************************************     

Pour savoir si ton PC est à jour utilise Sécunia

https://www.donnemoilinfo.com/sujet/Securiser/secunia-personal-inspector.php

*************************************************

Liens utiles      
     
- Les dangers du P2P     
- La sécurité de son PC, c'est quoi?     
- Sécuriser son ordinateur     
- Pourquoi maintenir son navigateur à jour?     
- Les toolbars c'est pas obligatoire     

**********************************************     

utilise firefox comme navigateurs : http://www.mozilla-europe.org/fr/firefox/   

installes ces deux extensions pour firefox   

wot permet de naviguer et d'acheter sur Internet en toute sécurité.    
adblocks qui est un bloqueur de pubs

Lululle · Answer

voici le rapport de delfix :

# DelFix v7.6 - Rapport créé le 07/04/2011 à 19:34
# Mis à jour le 31/03/11 à 16h par Xplode
# Système d'exploitation : Windows 7 Home Premium (64 bits) [version 6.1.7600] 
# Nom d'utilisateur : Aurélie - AURÉLIE-PC (Administrateur)
# Exécuté depuis : C:\Users\Aurélie\Downloads\DelFix.exe
# Option [Suppression]


~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\Program Files (x86)\ZHPDiag
Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\ZHPExportRegistry-06-04-2011-20-58-53.txt
Supprimé : C:\Users\Aurélie\Desktop\ZHPFixReport.txt

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1

~~~~~~ Autre ~~~~~~

-> Prefetch vidé

########## EOF - "C:\DelFixSuppr.txt" - [874 octets] ##########




******

Tout est ok ?

fred08700 · Answer

pour moi , c'est bon -)

Fait maintenant attention à ce que tu télécharges et exécutes sur ton pc .

Si plus de souci , je mets en résolu. Bonne continuation

Lululle · Answer

merci beaucoup pour ton aide précieuse ! 
bonne continuation à toi aussi !

Win32 Malware-gen

17 réponses

Discussions similaires

Newsletters