Cheval de troie

J'ai un un message qui disait que le fichier était dans
User -> mon nom -> Download -> Bestantivirus
Mais le message d'alerte, je l'ai fermé lorsque j'ai redémarré pour la deuxième fois et il n'apparait plus. Là, je suis en train de faire une analyse complète avec mon anti-virus. Je ne sais pas si cela peut aider.

salut sur quels fichiers ?

oui c'est ce qu on apelle un rogue dans le jargon informatique surtout n'achete pas de protection via ce logiciel si ca te l'est demandé , c'est une arnaque

▶ Télécharge ici : Ad-remover sur ton bureau :

▶ Déconnecte toi et ferme toutes applications en cours !

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

▶ sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut .

▶ clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .

▶ Au menu principal choisis "option Nettoyer" et tape sur [entrée] .

▶ Laisse travailler l'outil et ne touche à rien ...

▶ Poste le rapport qui apparait à la fin , sur le forum ...

( Le rapport est sauvegardé aussi sous C:\Ad-report.log )
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

Est-ce que je le fais maintenant, sachant que mon anti-virus fait une analyse?
Est-ce que j'arrête l'analyse de McAfee qui ne servira à rien?

EDIT : C'est bon j'ai arrêté l'analyse et je vais tenter ton protocole.

oui tu peux arreter MacAfric ^^

J'ai fait l'analyse.
Il était écrit qu'il serait préférable de redémarrer l'ordi donc c'est ce que j'ai fait.
Le rapport est situé ici: \Ad-Report-CLEAN[2].txt
Je redémarre à présent. Dois-je faire quelque chose ensuite?

EDIT : J'ai redémarré, j'ai un super long rapport qui ouvre dans bloc note. Je le copie/coller tout ici?

colle ici le contenu de C:\AD-Report[Clean(1)]

Euh... au secours, je n'arrive pas à publier! Lorsque je mets ma réponse, elle est supprimée lorsque je clic pour actualiser la page avec F5. Deplus un dénommé Kingzak34 aurait répondu à mon sujet mais je ne vois pas de réponse...

regarde dans tes mails pour voir qui la supprime et pourquoi

Dans mes mails...? Je n'ai aucun message nul part... Enfin je crois.

ah tu as modifié plus haut et j ai pas vu :)

heberge-le sur cijoint.fr et donne le lien obtenu en echange

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [2]) -> Lancé à 20:31:43 le 01/05/2011, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium Service Pack 2 (X86)
Brigitte@PC-DE-AT (HP-Pavilion KE637AA-A2L m8327c)

============== ACTION(S) ==============

Dossier supprimé: C:\Users\Brigitte\AppData\LocalLow\Toolbar4

(!) -- Fichiers temporaires supprimés.

Clé supprimée: HKCU\Software\Ask.com
Clé supprimée: HKCU\Software\AskToolbar
Clé supprimée: HKCU\Software\AppDataLow\AskToolbarInfo
Clé supprimée: HKCU\Software\AppDataLow\Software\AskToolbar
Clé supprimée: HKLM\Software\Cheat Engine\OpenCandy
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}

Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks|{CA3EB689-8F09-4026-AA10-B9534C691CE0}
Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks|{00000000-6E41-4FD3-8538-502F5495E5FC}
Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}

============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [3.6.12 (fr)] ****

Searchplugins\McSiteAdvisor.xml ( hxxp://ca.search.yahoo.com/search)
Components\Scriptff.dll (McAfee, Inc.)
Extensions\{0497D7FA-B45F-11DB-9DCC-3D3756D89593} (MSN Pictures Displayer)
HKLM_Extensions|{B7082FAA-CB62-4872-9106-E42DD88EDE45} - C:\Program Files\McAfee\SiteAdvisor

-- C:\Users\Brigitte\AppData\Roaming\Mozilla\FireFox\Profiles\8pz3az4u.default --
Prefs.js - browser.search.defaultenginename, Secure Search
Prefs.js - browser.search.selectedEngine, Secure Search
Prefs.js - keyword.URL, hxxp://ca.search.yahoo.com/search?fr=mcafee&p=

-- C:\Users\at\AppData\Roaming\Mozilla\FireFox\Profiles\ybsm4u4u.default --
Prefs.js - browser.search.defaultenginename, Secure Search
Prefs.js - browser.search.selectedEngine, Secure Search
Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.2.12
Prefs.js - keyword.URL, hxxp://ca.search.yahoo.com/search?fr=mcafee&p=

-- C:\Users\Charles\AppData\Roaming\Mozilla\FireFox\Profiles\4k1kq4gi.default --
Prefs.js - browser.download.lastDir, C:\\Users\\Charles\\Pictures\\Screens Alidhan
Prefs.js - browser.search.defaultenginename, Secure Search
Prefs.js - browser.search.selectedEngine, Secure Search
Prefs.js - browser.startup.homepage, hxxp://www.google.ca/firefox?client=firefox-a&rls=org.mozilla:fr:official|hxxp://ca.msn.com/de...
Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.2.12
Prefs.js - keyword.URL, hxxp://ca.search.yahoo.com/search?fr=mcafee&p=

========================================

**** Internet Explorer Version [8.0.6001.19048] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_URLSearchHooks|{0EBBBE48-BAD4-4B4C-8E5A-516ABECAE064} - "McAfee SiteAdvisor Toolbar" (c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll)
HKCU_SearchScopes\{EEFDA1A4-4523-4BC9-AE63-2CFF2AC69C79} - "Ask.com" (hxxp://www.ask.com/web?q={searchTerms}&l=dis&o=cahpd)
HKLM_SearchScopes\{EEFDA1A4-4523-4BC9-AE63-2CFF2AC69C79} - "Ask.com" (hxxp://www.ask.com/web?q={searchTerms}&l=dis&o=cahpd)
HKCU_Toolbar\WebBrowser|{338B4DFE-2E2C-4338-9E41-E176D497299E} (C:\Program Files\HyperCam Toolbar\tbcore3.dll)
HKLM_Toolbar|{0EBBBE48-BAD4-4B4C-8E5A-516ABECAE064} (c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll)
HKLM_Toolbar|{338B4DFE-2E2C-4338-9E41-E176D497299E} (C:\Program Files\HyperCam Toolbar\tbcore3.dll)
HKCU_ElevationPolicy\{B4256A73-837C-4195-BD10-0ADEE51BEFF6} - C:\Program Files\NOS\bin\getPlusPlus_Adobe.exe (x)
HKLM_ElevationPolicy\{1FCCD250-A453-4348-86C1-E5EA9B76FADB} - C:\Program Files\McAfee\VirusScan\mcvsmap.exe (McAfee, Inc.)
HKLM_ElevationPolicy\{569591D2-F221-4115-9A89-762956BEB3C0} - C:\Program Files\HP\Digital Imaging\Smart Web Printing\SmartWebPrintExe.exe (?)
HKLM_ElevationPolicy\{628F3201-34D0-49C0-BB9A-82A26AEFB291} - C:\Program Files\HyperCam Toolbar\TbHelper2.exe (?)
HKLM_ElevationPolicy\{6A4E5109-F35C-469e-BEBC-A9241C14D8B3} - C:\Program Files\Hp\Common\iPAQDetection2.exe (?)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{7219EA3C-4156-4c6d-8110-2B6DD4B96F76} - C:\Program Files\Hp\Common\DDClient.exe (Hewlett-Packard Company)
HKLM_ElevationPolicy\{A8F94DF3-F6C6-422a-8BFC-7EE0F60A8609} - C:\Program Files\McAfee\VirusScan\mcvsshld.exe (McAfee, Inc.)
HKLM_ElevationPolicy\{DAABE21E-DB8C-49b8-9511-9E6547ECBC5F} - c:\Program Files\McAfee\SiteAdvisor\McSACore.exe (McAfee, Inc.)
BHO\{02478D38-C3F9-4efb-9B51-7695ECA05670} (?)
BHO\{27B4851A-3207-45A2-B947-BE8AFE6163AB} - "McAfee Phishing Filter" (c:\progra~1\mcafee\msk\mskapbho.dll)
BHO\{5C255C8A-E604-49b4-9D64-90988571CECB} (?)
BHO\{602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} (?)
BHO\{7DB2D5A0-7241-4E79-B68D-6309F01C5231} - "scriptproxy" (C:\Program Files\Common Files\McAfee\SystemCore\ScriptSn.20101109082533.dll)
BHO\{B164E929-A1B6-4A06-B104-2CD0E90A88FF} - "McAfee SiteAdvisor BHO" (c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll)
BHO\{FCBCCB87-9224-4B8D-B117-F56D924BEB18} - "SMTTB2009 Class" (C:\Program Files\HyperCam Toolbar\tbcore3.dll)

========================================

C:\Program Files\Ad-Remover\Quarantine: 39 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 16 Fichier(s)

\Ad-Report-CLEAN[1].txt - 01/05/2011 20:30:11 (774 Octet(s))
\Ad-Report-CLEAN[2].txt - 01/05/2011 20:31:46 (6707 Octet(s))

Fin à: 20:32:36, 01/05/2011

============== E.O.F ==============

http://www.cijoint.fr/cjlink.php?file=cj201105/cijXdEQ7b3.txt

desactive tes protections puis enregistre ceci sur ton bureau

Pre_Scan

Avertissement: Il y aura une extinction courte du bureau --> pas de panique.

une fois telechargé lance-le , laisse faire le scan puis colle le contenu de "Pre_scan.txt" qui apparaitra à son terme , sur le bureau.

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

si l'outil semble ne pas avoir fonctionné clique plusieurs fois très rapidement dessus ou renomme-le winlogon , ou change son extension en .com ou .scr

Je suis pas administrateur sur mon ordinateur. Je connnais cependant le mot de passe mais ne sais pas comment désactiver les protections...

pas grave pour l'administrateur le programme prend les droits quand meme

pour desactiver les protections (l'antivirus en fait)

http://www.vista-xp.fr/forum/topic4858.html

Je ne parviens pas à l'enlever... =/

EDIT : Je dois me connecter en tant qu'Admin...

passe-le comme ca macafrix ne genera pas il est tellement pourri....^^

Le bureau c'est bien fermé et revenu mais sans tout mes raccourcis internet. Plus rien ne se passe... Mon ordi semble tourner dans le vide. Mon bureau bug... Je ne peux plus cliquer :'( Rassure moi un peu... Tout vas pour le mieux non?... Je capote un peu là. Est-ce que c'est encore bien long? Je dois bientôt y aller... =/

Voilà ce que j'obtiens :

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Scan 1.0.0.43 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 ¤¤¤¤¤

Mis à jour le 01/05/2011 | 23.30 par g3n-h@ckm@n
Utilisateur : Brigitte (Administrateurs)
Ordinateur : PC-DE-AT

Système d'exploitation : Windows Vista (TM) Home Premium (32 bits)
Internet Explorer : 8.0.6001.19048
Mozilla Firefox : 3.6.12 (fr)

Scan : 21:37:07 | 01/05/2011

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

[HKCU\..\..\Winlogon] | Shell -> Modification apportée : -> explorer.exe

¤

[HKLM\..\..\Winlogon] | Shell -> Aucune modification : explorer.exe -> explorer.exe
[HKLM\..\..\Winlogon] | AutoRestartShell -> Modification apportée : 0 -> 1
[HKLM\..\..\Winlogon] | userinit -> Aucune modification : C:\Windows\system32\userinit.exe, -> C:\Windows\system32\userinit.exe,
[HKLM\..\..\Winlogon] | PowerDownAfterShutdown -> Modification apportée : 0 -> 1
[HKLM\..\..\Winlogon] | System -> Aucune modification : ->

¤¤¤¤¤¤¤¤¤¤ Associations

[.exe] : exefile
[exefile | command] : "%1" %*
[.com] : comfile
[comfile | command] : "%1" %*
[.reg] : regfile
[regfile | command] : "regedit.exe" "%1" -> regedit.exe "%1"
[.scr] : scrfile
[scrfile | command] : "%1" /S
[.bat] : batfile
[batfile | command] : "%1" %*
[.cmd] : cmdfile
[cmdfile | command] : "%1" %*
[.pif] : piffile
[piffile | command] : "%1" %*

¤

[Firefox | Command] | @ -> Modification apportée : C:\Program Files\Mozilla Firefox\firefox.exe -> "C:\Program Files\Mozilla Firefox\Firefox.exe"
[Firefox - Safemode | Command] | @ -> Aucune modification : "C:\Program Files\Mozilla Firefox\firefox.exe" -safe-mode -> "C:\Program Files\Mozilla Firefox\firefox.exe" -safe-mode
[IE | Command] | @ -> Modification apportée : C:\Program Files\Internet Explorer\iexplore.exe -> "C:\Program Files\Internet Explorer\iexplore.exe"
[Applications | IE | Command] | @ -> Aucune modification : "C:\Program Files\Internet Explorer\iexplore.exe" %1 -> "C:\Program Files\Internet Explorer\iexplore.exe" %1
[Chrome | Command] | @ -> Aucune modification : "C:\Program Files\Google\Chrome\Application\chrome.exe" -> "C:\Program Files\Google\Chrome\Application\chrome.exe"
[Safari | Command] | @ -> Aucune modification : "C:\Program Files\Safari\Safari.exe" -> "C:\Program Files\Safari\Safari.exe"

¤

[Assoc | Applications] | @ -> Modification apportée : http://go.microsoft.com/fwlink/?LinkId=57426&Ext=%s -> http://shell.windows.com/fileassoc/%04x/xml/redir.asp?Ext=%s

¤

Supprimé : [HKLM | DisableTaskMgr] -> 0

¤¤¤¤¤¤¤¤¤¤ Services

[Ndisuio] | Start -> Aucune modification : 3 -> 3
[lmhosts] | Start -> Aucune modification : 2 -> 2 : Service Actif
[LanmanWorkstation] | Start -> Aucune modification : 2 -> 2 : Service Actif
[LanmanServer] | Start -> Aucune modification : 2 -> 2 : Service Actif
[agp440] | Start -> Modification apportée : 3 -> 2 : Service Redemarré
[AudioEndpointBuilder] | Start -> Aucune modification : 2 -> 2 : Service Actif
[Audiosrv] | Start -> Aucune modification : 2 -> 2 : Service Actif
[BFE] | Start -> Aucune modification : 2 -> 2 : Service Actif
[Bits] | Start -> Aucune modification : 2 -> 2 : Service Actif
[CryptSvc] | Start -> Aucune modification : 2 -> 2 : Service Actif
[EapHost] | Start -> Modification apportée : 3 -> 2 : Service Redemarré
[Wlansvc] | Start -> Modification apportée : 3 -> 2 : Service Redemarré
[SharedAccess] | Start -> Modification apportée : 4 -> 2 : Service Redemarré
[windefend] | Start -> Aucune modification : 2 -> 2 : Service Redemarré
[wuauserv] | Start -> Aucune modification : 2 -> 2 : Service Actif
[WerSvc] | Start -> Aucune modification : 2 -> 2 : Service Actif
[wscsvc] | Start -> Aucune modification : 2 -> 2 : Service Actif

¤¤¤¤¤¤¤¤¤¤ Internet Explorer

[HKCU | Main] | Start Page -> Modification apportée : https://www.msn.com/fr-fr -> https://www.google.com/?gws_rd=ssl
[HKCU | Main] | Local Page -> Aucune Modification : C:\Windows\system32\blank.htm -> C:\Windows\system32\blank.htm
[HKCU | Main] | Search Page -> Modification apportée : -> http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

[HKLM | Main] | Start Page -> Modification apportée : https://www.msn.com/fr-fr -> https://www.msn.com/fr-fr/?ocid=iehp
[HKLM | Main] | Local Page -> Aucune Modification : C:\Windows\System32\blank.htm -> C:\Windows\System32\blank.htm
[HKLM | Main] | Default_Search_URL -> Modification apportée : http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch -> https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
[HKLM | Main] | Default_Page_URL -> Modification apportée : https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF -> https://www.msn.com/fr-fr/?ocid=iehp
[HKLM | Main] | Search Page -> Modification apportée : http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch -> https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

¤¤¤¤¤¤¤¤¤¤ Processus

C:\Windows\explorer.exe -> Processus stoppé
C:\Windows\RtHDVCpl.exe -> Processus stoppé

¤¤¤¤¤¤¤¤¤¤ Clés supprimées et Fichier mis en quarantaine

¤¤¤¤¤¤¤¤¤¤ IFEO

¤¤¤¤¤¤¤¤¤¤ Mountpoints2

¤¤¤¤¤¤¤¤¤¤ MBR

Windows Version: Windows Vista Home Premium Edition
Windows Information: Service Pack 2 (build 6002), 32-bit
Base Board Manufacturer: ASUSTek Computer INC.
BIOS Manufacturer: Phoenix Technologies, LTD
System Manufacturer: HP-Pavilion
System Product Name: KE637AA-A2L m8327c
Logical Drives Mask: 0x000007fc

Analysis of file "\MBR\MBR.bin":
Hewlett-Packard MBR code detected

Disk: 0 Size=305G
Pos MBRndx Type/Name Size Active Hide Start Sector Sectors
--- ------ ---------- ---- ------ ---- ------------ ------------
0 0 07-NTFS 295G Yes No 63 605,041,857
1 2 07-NTFS 9.8G No No 605,041,920 20,094,480

Disk: 1 Size=305G
Pos MBRndx Type/Name Size Active Hide Start Sector Sectors
--- ------ ---------- ---- ------ ---- ------------ ------------
0 0 07-NTFS 305G No No 63 625,136,337

¤¤¤

explorer.exe -> Processus redémarré

Fin : 21:37:12

¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤