Antimalware doctor - Bloque mon Ordi

Mistya -  
Bonjour,

le programme antimalware doctor s'est installé tout seul sur mon ordinateur. J'ai utilisé le logiciel Malwarebytes' Anti-Malware pour le désintaller de mon ordinateur. Ce qui a apparemment marché puisqu'il n'apparaît plus dans les programmes de mon ordinateur.

Cela dit, j'ai toujours des effets indésirables à cause de ce virus. Cela veut-il dire que mon ordinateur est encore infecté par le virus ?

1) L'ordinateur se bloque souvent dans la journée. Je ne peux plus afficher de nouvelles pages de firefox et internet arrête de fonctionner. Si je veux lancer un autre programme, il ne se lance pas non plus. Dans ces moments-là, quand je mets démarrer, éteindre, un sablier apparaît et tout est bloqué. Je suis obligée de forcer mon ordinateur a s'éteindre. Lorsque je le rédémarre, cela refonctionne à nouveau pour quelques temps.

2) Cela dit, je dois souvent faire le rédémarrage plusieurs fois parce que le bureau ne s'affiche pas tout le temps.

3) Parfois mes recherches sur google sont déviées sur gomeo.fr

Que dois-je faire maintenant ?
Merci de votre aide.
Essayer de m'indiquer pas à pas ce que je dois faire parce que je n'y connais rien ^^

17 réponses

  1.  Smart91 Contributeur sécurité
    Bonjour,

    Peux-tu poster le rapport Malawarebytes (MBAM)
    et ensuite tu fais ceci:

    - Télécharge sur le bureau RogueKiller de Tigzy
    - Quitte tous tes programmes en cours
    - Sous Vista/Seven , clique droit -> lancer en tant qu'administrateur
    - Sinon lance simplement RogueKiller.exe
    - Lorsque demandé, tape 1 [SCAN] et valide
    - Un rapport (RKreport.txt) a du se créer sur le bureau, poste-le.

    * Note : Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois. Si cela ne passe toujours pas , (cela peut arriver), renommer RogueKiller.exe en Winlogon.exe

    Smart
    2
    1. Mistya Auteur
      Merci de ta réponse.

      Alors, voici le rapport de ma première analyse avec MBAM:

      Malwarebytes' Anti-Malware 1.50.1.1100
      www.malwarebytes.org

      Version de la base de données: 6391

      Windows 5.1.2600 Service Pack 3
      Internet Explorer 8.0.6001.18702

      18.04.2011 21:37:12
      mbam-log-2011-04-18 (21-37-12).txt

      Type d'examen: Examen rapide
      Elément(s) analysé(s): 183145
      Temps écoulé: 10 minute(s), 43 seconde(s)

      Processus mémoire infecté(s): 1
      Module(s) mémoire infecté(s): 2
      Clé(s) du Registre infectée(s): 6
      Valeur(s) du Registre infectée(s): 2
      Elément(s) de données du Registre infecté(s): 0
      Dossier(s) infecté(s): 1
      Fichier(s) infecté(s): 12

      Processus mémoire infecté(s):
      c:\documents and settings\Caroline\application data\ce5bbb904bf20e1fbb9167d0e93bc08e\arg70techsdk.exe (Trojan.FakeAlert) -> 1028 -> Unloaded process successfully.

      Module(s) mémoire infecté(s):
      c:\WINDOWS\oblsrv32.dll (Trojan.Hiloti) -> Delete on reboot.
      c:\WINDOWS\system32\ynpbicgi.dll (IPH.GenericBHO) -> Delete on reboot.

      Clé(s) du Registre infectée(s):
      HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Antimalware Doctor (Trojan.FakeAlert) -> Quarantined and deleted successfully.
      HKEY_CLASSES_ROOT\CLSID\{8CC8DD3D-609B-E9A6-E936-A71E8CFE3EF5} (IPH.GenericBHO) -> Quarantined and deleted successfully.
      HKEY_CLASSES_ROOT\Zlfhlubh (IPH.GenericBHO) -> Quarantined and deleted successfully.
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{8CC8DD3D-609B-E9A6-E936-A71E8CFE3EF5} (IPH.GenericBHO) -> Quarantined and deleted successfully.
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SETUP.EXE (Trojan.Downloader) -> Quarantined and deleted successfully.
      HKEY_CURRENT_USER\Software\Antimalware Doctor Inc (Rogue.AntimalwareDoctor) -> Quarantined and deleted successfully.

      Valeur(s) du Registre infectée(s):
      HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Cmorigaf (Trojan.Hiloti) -> Value: Cmorigaf -> Delete on reboot.
      HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\arg70techsdk.exe (Trojan.FakeAlert) -> Value: arg70techsdk.exe -> Quarantined and deleted successfully.

      Elément(s) de données du Registre infecté(s):
      (Aucun élément nuisible détecté)

      Dossier(s) infecté(s):
      c:\documents and settings\Caroline\menu démarrer\programmes\antimalware doctor (Rogue.AntiMalwareDoctor) -> Quarantined and deleted successfully.

      Fichier(s) infecté(s):
      c:\WINDOWS\oblsrv32.dll (Trojan.Hiloti) -> Delete on reboot.
      c:\documents and settings\Caroline\application data\ce5bbb904bf20e1fbb9167d0e93bc08e\arg70techsdk.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
      c:\WINDOWS\system32\ynpbicgi.dll (IPH.GenericBHO) -> Delete on reboot.
      c:\documents and settings\Caroline\local settings\Temp\128.tmp (Rootkit.TDSS) -> Quarantined and deleted successfully.
      c:\documents and settings\Caroline\local settings\Temp\mxcswenoar.tmp (Trojan.Hiloti) -> Quarantined and deleted successfully.
      c:\WINDOWS\Temp\irtf\setup.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
      c:\documents and settings\Caroline\Bureau\antimalware doctor.lnk (Rogue.AntimalwareDoctor) -> Quarantined and deleted successfully.
      c:\documents and settings\Caroline\application data\microsoft\internet explorer\quick launch\antimalware doctor.lnk (Rogue.AntimalwareDoctor) -> Quarantined and deleted successfully.
      c:\documents and settings\Caroline\menu démarrer\antimalware doctor.lnk (Rogue.AntimalwareDoctor) -> Quarantined and deleted successfully.
      c:\documents and settings\Caroline\menu démarrer\programmes\démarrage\antimalware doctor.lnk (Rogue.AntiMalwareDoctor) -> Quarantined and deleted successfully.
      c:\documents and settings\Caroline\menu démarrer\programmes\antimalware doctor\antimalware doctor.lnk (Rogue.AntiMalwareDoctor) -> Quarantined and deleted successfully.
      c:\documents and settings\Caroline\menu démarrer\programmes\antimalware doctor\uninstall.lnk (Rogue.AntiMalwareDoctor) -> Quarantined and deleted successfully.

      Ensuite, je viens de faire une deuxième analyse:

      Malwarebytes' Anti-Malware 1.50.1.1100
      www.malwarebytes.org

      Version de la base de données: 6391

      Windows 5.1.2600 Service Pack 3
      Internet Explorer 8.0.6001.18702

      21.04.2011 14:07:23
      mbam-log-2011-04-21 (14-07-23).txt

      Type d'examen: Examen complet (C:\|)
      Elément(s) analysé(s): 253382
      Temps écoulé: 56 minute(s), 34 seconde(s)

      Processus mémoire infecté(s): 1
      Module(s) mémoire infecté(s): 1
      Clé(s) du Registre infectée(s): 5
      Valeur(s) du Registre infectée(s): 0
      Elément(s) de données du Registre infecté(s): 0
      Dossier(s) infecté(s): 0
      Fichier(s) infecté(s): 3

      Processus mémoire infecté(s):
      c:\WINDOWS\Temp\xkgy\setup.exe (Spyware.Passwords.XGen) -> 2608 -> Unloaded process successfully.

      Module(s) mémoire infecté(s):
      c:\WINDOWS\system32\ynpbicgi.dll (IPH.GenericBHO) -> Delete on reboot.

      Clé(s) du Registre infectée(s):
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AMService (Spyware.Passwords.XGen) -> Quarantined and deleted successfully.
      HKEY_CLASSES_ROOT\CLSID\{8CC8DD3D-609B-E9A6-E936-A71E8CFE3EF5} (IPH.GenericBHO) -> Quarantined and deleted successfully.
      HKEY_CLASSES_ROOT\Zlfhlubh (IPH.GenericBHO) -> Quarantined and deleted successfully.
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{8CC8DD3D-609B-E9A6-E936-A71E8CFE3EF5} (IPH.GenericBHO) -> Quarantined and deleted successfully.
      HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{8CC8DD3D-609B-E9A6-E936-A71E8CFE3EF5} (IPH.GenericBHO) -> Quarantined and deleted successfully.

      Valeur(s) du Registre infectée(s):
      (Aucun élément nuisible détecté)

      Elément(s) de données du Registre infecté(s):
      (Aucun élément nuisible détecté)

      Dossier(s) infecté(s):
      (Aucun élément nuisible détecté)

      Fichier(s) infecté(s):
      c:\WINDOWS\Temp\xkgy\setup.exe (Spyware.Passwords.XGen) -> Delete on reboot.
      c:\WINDOWS\system32\ynpbicgi.dll (IPH.GenericBHO) -> Delete on reboot.
      c:\documents and settings\Caroline\Bureau\rk_quarantine\setup.exe.vir (Spyware.Passwords.XGen) -> Quarantined and deleted successfully.

      Et voici enfin le rapport avec LogKiller:

      RogueKiller V4.3.9 [16/04/2011] par Tigzy
      contact sur https://www.luanagames.com/index.fr.html
      mail: tigzyRK<at>gmail<dot>com
      Remontees: https://www.luanagames.com/index.fr.html

      Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
      Demarrage : Mode normal
      Utilisateur: Caroline [Droits d'admin]
      Mode: Recherche -- Date : 20/04/2011 21:23:43

      Processus malicieux: 1
      [APPDT/TMP/DESKTOP] setup.exe -- c:\windows\temp\xkgy\setup.exe -> KILLED

      Entrees de registre: 0

      Fichier HOSTS:

      Termine : << RKreport[1].txt >>
      RKreport[1].txt
      0
      1. Smart91 Contributeur sécurité
        Relance RogueKiller et choisis l'option 2
        Redémarre le PC et refais un scan MBAM et poste le rapport

        Smart
        0
        1. Mistya Auteur
          Coucou,

          Alors j'ai fait comme demandé et il y avait encore quelques éléments infectés. Et pendant l'analyse avec MBAM, alors que je n'avais aucune page web ouverte, j'ai des pubs qui me sont apparues. Et une information de windows m'a indiqué que j'avais gagnée un iphone et que je devais appuyer sur ok pour avoir plus d'informations, ce que je n'ai pas fait parce que cela doit être lié à ces éléments infectés.

          Voici le rapport:

          Malwarebytes' Anti-Malware 1.50.1.1100
          www.malwarebytes.org

          Version de la base de données: 6391

          Windows 5.1.2600 Service Pack 3
          Internet Explorer 8.0.6001.18702

          21.04.2011 21:05:53
          mbam-log-2011-04-21 (21-05-53).txt

          Type d'examen: Examen complet (C:\|)
          Elément(s) analysé(s): 253603
          Temps écoulé: 1 heure(s), 14 minute(s), 53 seconde(s)

          Processus mémoire infecté(s): 0
          Module(s) mémoire infecté(s): 0
          Clé(s) du Registre infectée(s): 1
          Valeur(s) du Registre infectée(s): 0
          Elément(s) de données du Registre infecté(s): 0
          Dossier(s) infecté(s): 0
          Fichier(s) infecté(s): 4

          Processus mémoire infecté(s):
          (Aucun élément nuisible détecté)

          Module(s) mémoire infecté(s):
          (Aucun élément nuisible détecté)

          Clé(s) du Registre infectée(s):
          HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SSHNAS (Trojan.Renos) -> Quarantined and deleted successfully.

          Valeur(s) du Registre infectée(s):
          (Aucun élément nuisible détecté)

          Elément(s) de données du Registre infecté(s):
          (Aucun élément nuisible détecté)

          Dossier(s) infecté(s):
          (Aucun élément nuisible détecté)

          Fichier(s) infecté(s):
          c:\WINDOWS\system32\sshnas21.dll (Trojan.FakeAlert) -> Delete on reboot.
          c:\WINDOWS\Tasks\{22116563-108c-42c0-a7ce-60161b75e508}.job (Trojan.Downloader) -> Quarantined and deleted successfully.
          c:\WINDOWS\Tasks\{bbaeaeaf-1275-40e2-bd6c-bc8f88bd114a}.job (Trojan.Downloader) -> Quarantined and deleted successfully.
          c:\WINDOWS\Tasks\{810401e2-dde0-454e-b0e2-aa89c9e5967c}.job (Trojan.FraudPack) -> Quarantined and deleted successfully.
          0
          2. Smart91 Contributeur sécurité
            Tu n'as posté le le rapport de RogueKiller avec l'option 2 !!!
            Peux-tu le poster

            Redémarre le PC

            Relance MBAM et vide la quarantaine

            Smart
            0
            1. Mistya Auteur
              Le rapport de RogueKiller

              RogueKiller V4.3.9 [16/04/2011] par Tigzy
              contact sur https://www.luanagames.com/index.fr.html
              mail: tigzyRK<at>gmail<dot>com
              Remontees: https://www.luanagames.com/index.fr.html

              Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
              Demarrage : Mode normal
              Utilisateur: Caroline [Droits d'admin]
              Mode: Suppression -- Date : 21/04/2011 19:29:03

              Processus malicieux: 0

              Entrees de registre: 0

              Fichier HOSTS:

              Termine : << RKreport[3].txt >>
              RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt

              Le nouveau rapport de MBAM:

              Malwarebytes' Anti-Malware 1.50.1.1100
              www.malwarebytes.org

              Version de la base de données: 6391

              Windows 5.1.2600 Service Pack 3
              Internet Explorer 8.0.6001.18702

              22.04.2011 10:37:33
              mbam-log-2011-04-22 (10-37-33).txt

              Type d'examen: Examen complet (C:\|)
              Elément(s) analysé(s): 255507
              Temps écoulé: 49 minute(s), 8 seconde(s)

              Processus mémoire infecté(s): 0
              Module(s) mémoire infecté(s): 0
              Clé(s) du Registre infectée(s): 0
              Valeur(s) du Registre infectée(s): 0
              Elément(s) de données du Registre infecté(s): 0
              Dossier(s) infecté(s): 0
              Fichier(s) infecté(s): 0

              Processus mémoire infecté(s):
              (Aucun élément nuisible détecté)

              Module(s) mémoire infecté(s):
              (Aucun élément nuisible détecté)

              Clé(s) du Registre infectée(s):
              (Aucun élément nuisible détecté)

              Valeur(s) du Registre infectée(s):
              (Aucun élément nuisible détecté)

              Elément(s) de données du Registre infecté(s):
              (Aucun élément nuisible détecté)
              0
              1. Smart91 Contributeur sécurité
                Normalement cela devrait être bon
                Onva faire quand même un diagnostic pour voir s'il n'y a pas d'autres infections:

                Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau
                https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

                Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions.

                /!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »

                N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.
                - Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer.
                (/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix)
                - Clique sur la loupe pour lancer l'analyse.
                - Laisse l'outil travailler, il peut être assez long.
                - Ferme ZHPDiag en fin d'analyse.
                - Pour transmettre le rapport clique sur ce lien : http://www.cijoint.fr/
                - Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
                - Sélectionne le fichier ZHPDiag.txt.
                - Clique sur "Cliquez ici pour déposer le fichier".
                - Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt est ajouté dans la page.
                - Copie ce lien dans ta réponse.

                Smart
                0
                1. Mistya Auteur
                  Coucou,

                  J'ai un problème pour envoyer le fichier avec cijoint.fr
                  Je peux essayer avec n'importe quel document, ça marche mais avec ZHPDIAG.txt cela m'indique à chaque fois que la connexion a été interrompue.
                  0
                  3. Smart91 Contributeur sécurité
                    OK.
                    Tu vas faire ceci:

                    * Télécharge TDSSKiller (de Kaspersky Labs) sur ton Bureau.
                    * Lance le (si tu utilises Windows Vista ou 7 : fais un clic-droit dessus et choisis "Exécuter en tant qu'administrateur")
                    * Clique sur [Start Scan] pour démarrer l'analyse.
                    * Si des éléments sont trouvés, clique sur [Continue] puis sur [Reboot Now]
                    * Un rapport s'ouvrira au redémarrage de l'ordinateur.
                    * Copie/colle son contenu dans ta prochaine réponse.
                    Note : Le rapport se trouve également sous C:\TDSSKiller.N°deversion_Date_Heure_log.txt

                    Smart
                    0
                    1. Mistya Auteur
                      Je n'arrive pas à employer ce logiciel. Quand je le lance, il y a un message d'erreur qui s'affiche et le logiciel se ferme.
                      0
                      1. Smart91 Contributeur sécurité
                        Peux-tu essayer de poster le message d'erreur

                        Smart
                        0
                        1. Mistya Auteur
                          "TDSS rootkit removing tool a rencontré un problème et doit fermer. Nous vous prions de nous excuser pour le désagrément encouru."
                          0
                          1. Smart91 Contributeur sécurité
                            Renomme le en winlogon.exe et essaie de le relancer

                            Smart
                            0
                            2. Smart91 Contributeur sécurité
                              Coricace le truc :-)

                              On va faire autrement:
                              - Télécharge Dr.Web CureIt! sur ton Bureau :
                              ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

                              - Double-clique sur drweb-cureit.exe (Pour Vista et Windows 7 clic droit et executer en tant qu'administrateur) et clique sur Commencer le scan.
                              - Ce scan rapide permet l'analyse des processus chargés en mémoire; s'il trouve des processus infectés, cliquez sur le bouton Oui pour Tout à l'invite.
                              - Lorsque le scan rapide est terminé, cliquez sur Options > Changer la configuration.
                              - Choisis l'onglet Scanner, et décoche Analyse heuristique.
                              - De retour à la fenêtre principale : choisis Analyse complète.
                              - Clique sur la flèche verte sur la droite et le scan débutera. Une publicité apparaît quelquefois, ferme-la.
                              - Clique Oui pour Tout si un fichier est détecté.
                              - A la fin du scan, si des infections sont trouvées, clique sur Tout sélectionner, puis sur Désinfecter. Si la désinfection est impossible, clique sur Quarantaine.
                              - Au menu principal de l'outil, en haut à gauche, clique sur le menu Fichier et choisis Enregistrer le rapport.
                              - Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv.
                              - Ferme Dr.Web CureIt!
                              - Redémarre l'ordinateur (très important) car certains fichiers peuvent être déplacés/réparés au redémarrage.
                              - Poste (Copiez/Collez) le contenu du rapport de l'outil Dr.Web dans un bloc note

                              Ensuite :

                              - Rendez-vous à cette adresse d'hébergement gratuit : http://www.cijoint.fr/
                              - Clique sur parcourir, cherche le rapport DrWeb.txt puis sur cliquez ici pour déposer le fichier
                              - Une fois le lien crée, fais un clic droit dessus et copie l'adresse du lien pour venir la coller dans ta réponse

                              Smart
                              0