Virus Trojan.win32 Généric à supprimer Fermé

Question

Bonjour,

J'ai un problème sur mon ordi, Kaspersky trouve un virus nommé Trojan.win32 Généric mais n'arrive pas à le supprimer. J'ai fait un scan avec RSIT voici les 2 rapports, est-ce que quelqu'un peu m'indiquer la démarche à suivre pour supprimer le virus ? 

Merci d'avance

Vous pouvez trouver les 2 rapports sur le lien suivant: 

http://www.cijoint.fr/cjlink.php?file=cj201104/cij28sD4tJ.docx

afideg · Answer

Hello Marie,   ;)         

@jli56         

RSIT illisible (XML)  ==> laisser tomber pour le moment.         
Suivre comme ceci:         

Télécharger ZHPDiag (de Nicolas Coolman) .             
Dérouler la page et cliquer sur [Télécharger] (le bouton radio inférieur).             
Une barre jaune apparaît en haut de page > cliquer sur "Cliquer ici pour afficher plus d'options..." > "Télécharger le ficher ..." > [Enregistrer] (accepter l'alerte éventuelle de l'antivirus) > choisir le Bureau > [Enregistrer] ZHPDiag2.exe > [Exécuter] > [Exécuter] > lancer l'assistant d'installation par [Suivant].           
Ne pas oublier de cocher le bouton ratio en face de "Créer une icône sur le bureau".                   
Se laisser guider lors de l'installation, ZHPDiag.exe se lancera automatiquement à la fin.     
       
(/!\L'outil a créé 4 icônes , dont ZHPDiag (pour lancer l'application ultérieurement) et ZHPFix (pour le traitement du rapport) sur le bureau ) .  ==> la nouvelle version ne produit peut-être plus que 3 icônes --> peux-tu me le confirmer SVP ?   
            
/!\Utilisateur de Vista et Seven : Clic-droit sur le logo ZHPDiag > choisir [Exécuter en tant qu'Administrateur]/!\ du Bureau pour l'ouvrir.          

Cliquer sur l'icône représentant une loupe pour "Lancer le diagnostic".              

NOTES:              

- Enregistrer le rapport sur le Bureau à l'aide de l'icône représentant une "Disquette"              
- Héberger le rapport sur ce site en cliquant d'abord sur ce lien http://pjjoint.malekal.com  , puis sur [Parcourir].            
Suivre le chemin du fichier rapport à poster, lequel vient d'être enregistré sur le bureau. Une fois le fichier repéré, le sélectionner, et cliquer sur [Ouvrir] > le fichier se retrouve ainsi dans la zone de saisie en face du bouton radio [Parcourir] > valider en cliquant sur le bouton radio [Envoyer le Fichier] situé au bas de la page > patienter.            
Un lien sera généré et affiché (ne pas hésiter à se servir de la souris pour visiter la page).            
Il suffit de poster ce lien dans la prochaine réponse sur le forum en cours afin que nous puissions l'analyser.           


Merci         
Al.         
Patience-Vigilance-Amour.

afideg · Answer

Bonjour, 

Un petite infection LOP 
Ce qu'il faut faire à partir de ZHPFix.exe qui est sur le bureau  (merci) 

Avec la souris, sélectionner toutes ces lignes en italique gras ci-dessous, en vrac;  
puis les "copier" (ces lignes sont maintenant "dans la souris = le presse-papier")  

EmptyTemp  
SysRestore  
FirewallRAZ  
O43 - CFD: 06/02/2011 - 17:35:00 - [0] ----D- C:\Documents and Settings\All Users\Application Data\espionServerData    => Infection LOP (Lop.Adw)  
O51 - MPSK:{a09ac192-0831-11e0-aec1-806d6172696f}\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- D:\AutoRun\Demo.exe (.not file.)    => Fichier absent  
O52 - TDSD: \drivers.desc\ir50_32.dll=Indeo® video 5.10 . (.Pas de propriétaire - Pas de description.) -- (.not file.)    => Fichier absent 
[HKLM\Software\5e3]  
EmptyFlash 
MBRFix 
HiddenFix 

Lancer ZHPFix à partir du raccourci sur le bureau . 
  
- Cliquer sur l'icône représentant la lettre bleue H, cela collera les lignes qui sont en mémoire dans le presse-papier.   
Vérifier que toutes les lignes prescrites de copier (et seulement elles) sont dans la fenêtre.  
* Cliquer sur GO. 

[*] Accepte la désinstallation des programmes si proposé, mais refuse le redémarrage de ton pc si également proposé, car cela stopperait ZHPFix.   
[*] Ton navigateur risque de s'ouvrir pendant la désinstallation des toolbars, pas de panique c'est normal, ferme les fenêtres tout simplement.  

Le rapport de l'application va apparaître dans la fenêtre.  
* Copier/coller la totalité du rapport dans la prochaine réponse.( [CTRL+A] pour tout sélectionner, [CTRL+C] pour copier et [CTRL+V] pour coller )  

Arrêter puis redémarrer le PC. 

Relancer ensuite une analyse avec ZHPDiag comme précédemment, et poster le rapport. 

Merci 
Al. 
Patience-Vigilance-Amour.

jli56 · Answer

Bonjour

Je n'ai pas eu de proposition pour une désinstallation de programme ou pour redémarrer l'ordi.

Merci beaucoup

JL

Voici l'adresse pour le rapport ZHPDiag :

https://pjjoint.malekal.com/files.php?id=04cfb8147a8612

Voici le rapport ZHPFix :

Rapport de ZHPFix 1.12.3275 par Nicolas Coolman, Update du 11/04/2011
Fichier d'export Registre : C:\ZHPExportRegistry-14-04-2011-16-39-13.txt
Run by Jean Luc at 14/04/2011 16:39:13
Windows XP Professional Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Clé(s) du Registre ==========
O51 - MPSK:{a09ac192-0831-11e0-aec1-806d6172696f}\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- D:\AutoRun\Demo.exe (.not file.)  => Clé supprimée avec succès
HKLM\Software\5e3  => Clé supprimée avec succès

========== Valeur(s) du Registre ==========
FirewallRaz : Aucune valeur présente dans la clé d'exception du registre
O52 - TDSD: \drivers.desc\ir50_32.dll=Indeo® video 5.10 . (.Pas de propriétaire - Pas de description.) -- (.not file.)  => Valeur absente

========== Dossier(s) ==========
Dossiers Flash Cookies supprimés : 19

========== Fichier(s) ==========
Fichiers Flash Cookies supprimés : 11

========== Master Boot Record ==========
Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, http://www.gmer.net
Windows 5.1.2600 Disk: Maxtor_6V250F0 rev.VA111900 -> Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3 

device: opened successfully
user: MBR read successfully

Disk trace:
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys xfilt.sys ACPI.sys hal.dll atapi.sys videX32.sys PCIIDEX.SYS 
C:\WINDOWS\system32\drivers\xfilt.sys VIA Technologies,Inc VIA filter driver
C:\WINDOWS\system32\drivers\videX32.sys VIA Technologies, Inc. VIA PCI IDE MINI Driver
1 ntkrnlpa!IofCallDriver[0x804EF1A6] -> \Device\Harddisk0\DR0[0x8A506AB8]
3 CLASSPNP[0xB80F8FD7] -> ntkrnlpa!IofCallDriver[0x804EF1A6] -> [0x8A569ED0]
5 xfilt[0xB8109026] -> ntkrnlpa!IofCallDriver[0x804EF1A6] -> \Device\00000072[0x8A539818]
7 ACPI[0xB7A5C620] -> ntkrnlpa!IofCallDriver[0x804EF1A6] -> \Device\Ide\IdeDeviceP0T0L0-3[0x8A536D98]
kernel: MBR read successfully
user & kernel MBR OK 
 
Resultat après le fix :
Master Boot Record non infecté

========== Dossiers/Fichiers cachés restaurés ==========
Mes images (My Pictures) : 987  => Restauré(s) avec succès
Ma musique (My Music) : 6  => Restauré(s) avec succès
Ma Video (My Video) : 6  => Restauré(s) avec succès
Mes Favoris (My Favorites) : 6  => Restauré(s) avec succès
Mes Documents (My Documents) : 6  => Restauré(s) avec succès
Mon Bureau (My Desktop) : 6  => Restauré(s) avec succès
Menu demarrer (Programs) : 6  => Restauré(s) avec succès
Dossier utilisateur (AppData) : 6  => Restauré(s) avec succès
Programmes (Program Files) : 6  => Restauré(s) avec succès

========== Restauration Système ==========
Point de restauration du système créé avec succès


========== Récapitulatif ==========
2 : Clé(s) du Registre
2 : Valeur(s) du Registre
1 : Dossier(s)
1 : Fichier(s)
1 : Master Boot Record
1035 : Dossiers/Fichiers cachés restaurés
1 : Restauration Système


End of the scan

afideg · Answer

Bonsoir,
Bien
Merci

Peux-tu me détailler avec quoi ton PC est protégé ?

Al.

afideg · Answer

Bonjour
Merci pour ta réponse
En réponse à ta question ==> https://docs.microsoft.com/en-us/windows/client-management/generate-kernel-or-complete-crash-dump
Donne des nouvelles
Merci
Bonne journée
Al.

afideg · Answer

Re,      

J'ai un peu perdu le fil de ma réflexion à ce sujet.      

Mais oui, je sais à quoi cela est dû.      
Cela est dû au fait qu'il faut remettre les paramètres par défaut pour ne plus afficher les "Fichiers cachés".       
Et c'est effectivement gênant de recevoir ces alertes sur le bureau au démarrage PC; mais ce n'est pas une infection ( c'est déjà ça ! ).      

C'est pourquoi je ne comprends pas pourquoi tu écris ceci : « Je viens de m'y remettre et j'ai décoché "masquer les extensions des types de fichiers connus" et "masquer les fichiers protégés du système" »        
==> en effet, "décocher la case devant masquer" signifie que les extensions des fichiers ne sont plus masquées; or c'est tout le contraire qu'il faut faire ==> il faut "cocher" le bouton ratio pour "masquer" les extensions.    
==> en effet, il faut surtout "décocher" la case devant "Afficher les fichiers cachés"  --> pour ne plus les afficher.    

Un topic intéressant ici http://www.vista-xp.fr/forum/topic3666.html (en français)        

Et ceci pour aider à atteindre les paramètres "fichiers cachés":        
Pour XP, c'est comme ceci:     
Pour ne plus afficher les fichiers cachés (http://www.d2i.ch/pn/az/t.html)     
- Soit en faisant : Ouvrir un dossier, n'importe lequel. Aller dans "Outils" >"Options des dossiers" > "Affichage"      
- Soit en faisant « Démarrer »/ »PanneauConfiguration/OptionsDossiers /onglet « Affichage »      
Et là :      
- Décocher la case devant les lignes:      
-- afficher les fichiers et dossier cachés      
-- afficher contenu dossier système      
- Cocher la case devant les lignes:      
-- masquer les extensions des fichiers dont le type est connu      
-- masquer les fichiers protégés du système d'exploitation      
Puis cliquer [APPLIQUER à TOUS les Dossiers] > [OK]      
Si tu n'es pas à l'aise dans la navigation des dossiers, je t'invite à suivre ce tutorial : < http://www.malekal.com/rechercher_fichiers.php   >     


Encore ici http://forums.cnet.com/7723-6122_102-361021.html       

Donne des nouvelles.      

Bonne nuit.      
Al      
Patience-Vigilance-Amour.

FyKdef · Answer

Yep ,

Juste pour dire "Hello"  à Albert :):):)

Cédric