Trojan [HKCU (Trojan.Agent)]
BOnjour tout le monde ! je vous contacte car ces derniers temps je rencontre beaucoup de problèmes de hack liés a mon compte WoW ! Après plusieurs conseils on m'a finalement dirigé vers un scan minutieux avec Malwares Byte et il m'a trouvé un total de 8 fichiers infectés.
Je les supprime consciencieusement et redémarre mon pc (comme demandé). Après le reboot, par "paranoia" sans doute je relance un scan, et la surprise, deux fichiers infectés sont a nouveau la. Je les supprime encore une fois, reboot et au redémarrage nouveau scan. Ils sont encore la...je vous post le rapport de mon scan en espérant que ca pourra vous aider à m'aider...T_T
Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org
Version de la base de données: 6691
Windows 6.1.7601 Service Pack 1
Internet Explorer 8.0.7601.17514
27.05.2011 19:10:51
mbam-log-2011-05-27 (19-10-46).txt
Type d'examen: Examen complet (C:\|F:\|)
Elément(s) analysé(s): 159579
Temps écoulé: 11 minute(s), 33 seconde(s)
Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1
Processus mémoire infecté(s):
(Aucun élément nuisible détecté)
Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)
Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\HKCU (Trojan.Agent) -> Value: HKCU -> No action taken.
Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)
Dossier(s) infecté(s):
(Aucun élément nuisible détecté)
Fichier(s) infecté(s):
c:\Users\Anthony\AppData\Roaming\Temp\alg.exe (Trojan.Agent) -> No action taken.
J'aimerai vraiment m'en débarrasser !
Je les supprime consciencieusement et redémarre mon pc (comme demandé). Après le reboot, par "paranoia" sans doute je relance un scan, et la surprise, deux fichiers infectés sont a nouveau la. Je les supprime encore une fois, reboot et au redémarrage nouveau scan. Ils sont encore la...je vous post le rapport de mon scan en espérant que ca pourra vous aider à m'aider...T_T
Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org
Version de la base de données: 6691
Windows 6.1.7601 Service Pack 1
Internet Explorer 8.0.7601.17514
27.05.2011 19:10:51
mbam-log-2011-05-27 (19-10-46).txt
Type d'examen: Examen complet (C:\|F:\|)
Elément(s) analysé(s): 159579
Temps écoulé: 11 minute(s), 33 seconde(s)
Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1
Processus mémoire infecté(s):
(Aucun élément nuisible détecté)
Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)
Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\HKCU (Trojan.Agent) -> Value: HKCU -> No action taken.
Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)
Dossier(s) infecté(s):
(Aucun élément nuisible détecté)
Fichier(s) infecté(s):
c:\Users\Anthony\AppData\Roaming\Temp\alg.exe (Trojan.Agent) -> No action taken.
J'aimerai vraiment m'en débarrasser !
33 réponses
Résumé de la discussion
Plusieurs utilisateurs signalent des problèmes de sécurité autour d’un compte WoW, avec Malwarebytes qui détecte à chaque balayage des fichiers infectés, notamment un Trojan.Agent réapparu après suppression et redémarrage. Des fichiers tels que c:\Users\Anthony\AppData\Roaming\Temp\alg.exe et des entrées Run HKCU semblent être les cibles principales, et les intervenants discutent de l’usage de VirusTotal et d’un outil Ad-Remover pour nettoyer les résidus. Plusieurs échanges décrivent des étapes de nettoyage successives, incluant des scans répétés, l’analyse des clés de registre et des conseils divergents sur l’exécution d’outils tiers, sans jamais conclure à une fin définitive. Des rapports d’outils comme Ad-Remover et des analyses sur VirusTotal illustrent l’étendue des extensions malicieuses et des clés installées, suggérant une désinstallation plus large et une révision des navigateurs.
-
salut
bah normal tu supprimes pas avec malwarebytes apparement
-
lol
▶ Télécharge ici : USBFIX sur ton bureau
branche tous tes periphériques sans les ouvrir
/!\ Désactive provisoirement et seulement le temps de l'utilisation d'USBFIX, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.
si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."
sur l'icône Usbfix située sur ton Bureau.
Sur la page, clique sur le bouton :
▶ choisi l option Suppression
▶ UsbFix scannera ton pc , laisse travailler l outil.
▶ Ensuite post le rapport UsbFix.txt qui apparaitra avec le bureau .
▶ Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )
( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )
-
Salut ! J'ai suivi ta procédure à la lettre, voilà le rapport :
############################## | UsbFix 7.046 | [Suppression]
Utilisateur: Anthony (Administrateur) # YGGDRASIL [System manufacturer System Product Name]
Mis à jour le 23/05/2011 par TeamXscript
Lancé à 22:02:19 | 27/05/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
CPU: Intel(R) Core(TM) i7 CPU 870 @ 2.93GHz
CPU 2: Intel(R) Core(TM) i7 CPU 870 @ 2.93GHz
Microsoft Windows 7 Édition Intégrale (6.1.7601 64-Bit) # Service Pack 1
Internet Explorer 8.0.7601.17514
Pare-feu Windows: Activé
RAM -> 4094 Mo
C:\ (%systemdrive%) -> Disque fixe # 60 Go (5 Go libre(s) - 8%) [] # NTFS
D:\ -> CD-ROM
E:\ -> CD-ROM
F:\ -> Disque fixe # 931 Go (452 Go libre(s) - 49%) [Nouveau nom] # NTFS
G:\ -> Disque fixe # 931 Go (652 Go libre(s) - 70%) [My Book] # NTFS
H:\ -> CD-ROM
################## | Éléments infectieux |
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-2583561910-428706507-1240578518-1001
Supprimé! F:\$RECYCLE.BIN\S-1-5-20
Supprimé! F:\$RECYCLE.BIN\S-1-5-21-2583561910-428706507-1240578518-1001
################## | Registre |
Supprimé! HKLM\software\microsoft\windows nt\currentversion\winlogon|Taskman
Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Run|HKCU
################## | Mountpoints2 |
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{73022a39-ddef-11df-a8ec-20cf308d427c}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{b7dccc41-b932-11df-aeeb-806e6f6e6963}
################## | Listing |
[27/05/2011 - 22:05:55 | SHD ] C:\$Recycle.Bin
[14/07/2009 - 07:08:56 | SHD ] C:\Documents and Settings
[27/05/2011 - 13:55:15 | ASH | 3219693568] C:\hiberfil.sys
[05/09/2010 - 23:29:40 | D ] C:\Intel
[05/09/2010 - 23:43:34 | RHD ] C:\MSOCache
[05/09/2010 - 23:26:21 | D ] C:\NVIDIA
[27/05/2011 - 13:55:20 | ASH | 4292927488] C:\pagefile.sys
[14/07/2009 - 05:20:08 | D ] C:\PerfLogs
[01/05/2011 - 11:06:45 | D ] C:\Program Files
[27/05/2011 - 12:56:17 | D ] C:\Program Files (x86)
[27/05/2011 - 12:56:20 | HD ] C:\ProgramData
[27/12/2010 - 01:21:32 | D ] C:\PunkBuster
[05/09/2010 - 23:35:12 | D ] C:\RaidTool
[05/09/2010 - 23:20:29 | SHD ] C:\Recovery
[27/05/2011 - 22:05:25 | SHD ] C:\System Volume Information
[27/05/2011 - 22:05:55 | D ] C:\UsbFix
[27/05/2011 - 22:02:31 | A | 2332] C:\UsbFix.txt
[05/09/2010 - 23:20:37 | D ] C:\Users
[08/05/2011 - 17:32:54 | D ] C:\Windows
[27/05/2011 - 22:05:55 | SHD ] F:\$RECYCLE.BIN
[27/05/2011 - 20:07:10 | D ] F:\Bittorrent
[07/11/2007 - 08:00:40 | N | 17734] F:\eula.1028.txt
[07/11/2007 - 08:00:40 | N | 17734] F:\eula.1031.txt
[07/11/2007 - 08:00:40 | N | 10134] F:\eula.1033.txt
[07/11/2007 - 08:00:40 | N | 17734] F:\eula.1036.txt
[07/11/2007 - 08:00:40 | N | 17734] F:\eula.1040.txt
[07/11/2007 - 08:00:40 | N | 118] F:\eula.1041.txt
[07/11/2007 - 08:00:40 | N | 17734] F:\eula.1042.txt
[07/11/2007 - 08:00:40 | N | 17734] F:\eula.2052.txt
[07/11/2007 - 08:00:40 | N | 17734] F:\eula.3082.txt
[28/02/2011 - 22:15:45 | D ] F:\Fraps
[07/11/2007 - 08:00:40 | N | 1110] F:\globdata.ini
[07/11/2007 - 08:03:18 | N | 562688] F:\install.exe
[07/11/2007 - 08:00:40 | N | 843] F:\install.ini
[07/11/2007 - 08:03:18 | N | 76304] F:\install.res.1028.dll
[07/11/2007 - 08:03:18 | N | 96272] F:\install.res.1031.dll
[07/11/2007 - 08:03:18 | N | 91152] F:\install.res.1033.dll
[07/11/2007 - 08:03:18 | N | 97296] F:\install.res.1036.dll
[07/11/2007 - 08:03:18 | N | 95248] F:\install.res.1040.dll
[07/11/2007 - 08:03:18 | N | 81424] F:\install.res.1041.dll
[07/11/2007 - 08:03:18 | N | 79888] F:\install.res.1042.dll
[07/11/2007 - 08:03:18 | N | 75792] F:\install.res.2052.dll
[07/11/2007 - 08:03:18 | N | 96272] F:\install.res.3082.dll
[10/09/2010 - 18:50:45 | D ] F:\Jeux
[02/04/2011 - 18:51:54 | D ] F:\msdownld.tmp
[05/05/2011 - 15:21:53 | D ] F:\Musique
[11/03/2011 - 21:00:00 | D ] F:\Pictures
[18/09/2010 - 14:10:57 | D ] F:\Porrasturvat - Stair Dismount
[24/05/2011 - 20:08:23 | D ] F:\Program Files (x86)
[22/09/2010 - 18:15:52 | D ] F:\QuickMediaConverter
[05/09/2010 - 23:27:25 | SHD ] F:\System Volume Information
[07/11/2007 - 08:00:40 | N | 5686] F:\vcredist.bmp
[07/11/2007 - 08:09:22 | N | 1442522] F:\VC_RED.cab
[07/11/2007 - 08:12:28 | N | 232960] F:\VC_RED.MSI
[20/02/2011 - 22:53:13 | D ] F:\WoW
################## | Vaccin |
C:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
F:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
################## | Upload |
Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_YGGDRASIL.zip
http://www.teamxscript.org/Upload.php
Merci de votre contribution.
################## | E.O.F |
Sacré pavé !
-
-
t'as rien vu ^^
desactive ton antivirus
desactive Windows defender si présent
desactive ton pare-feu
Ferme toutes tes appilications en cours
telecharge et enregistre ceci sur ton bureau :
Pre_Scan
s'il n'est pas sur ton bureau coupe-le de ton dossier telechargements et colle-le sur ton bureau
Avertissement: Il y aura une extinction courte du bureau --> pas de panique.
une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan.txt" sur le bureau.
si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"
si l'outil semble ne pas avoir fonctionné renomme-le winlogon , ou change son extension en .com ou .scr
Il se peut que l'outil soit un peu long sur la reattribution des fichiers tout depend combien tu en as , laisse-le travailler
Poste Pre_Scan.txt qui apparaitra sur le bureau en fin de scan
▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)
clique sur ce lien : http://www.cijoint.fr/
▶ Clique sur Parcourir et cherche le fichier ci-dessus.
▶ Clique sur Ouvrir.
▶ Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt
est ajouté dans la page.
▶ Copie ce lien dans ta réponse.
-
Alors voila le lien, je précise que j'ai du avoir un léger soucis car après avoir lancé le pre scan, la boite de dialoguqe avec la barre de progression est apparue, le scan était en cours, ensuite mon bureau vide est apparu, sans bouton "démarrer" ni mes dossiers. il y avait juste une fenetre au milieu de mon écran avec des dossiers comme mon prénom, téléchargements, etc... et je pouvais rien faire donc j'ai décidé de reboot après une 10aine de minutes.
Mais je crois que le scan est complet ! Tiens :
http://www.cijoint.fr/cjlink.php?file=cj201105/cijhjCRO1L.txt -
Gen ? Apparemment tu es une référence dans le coin :p donc j'imagine que tu t'occupes de plein de monde en même temps héhé je voulais juste savoir si le scan est bel et bien complet, au cas ou je doive le relancer !
-
ca te dit quelque chose ces noms ?
C:\Users\Anthony\AppData\Local\._Revolution_
C:\Users\Anthony\AppData\Local\ALI213
C:\Users\Anthony\AppData\Local\Aybabtu-
-
selectionne ce texte sans les lignes :
___________________________________________________
folder::
C:\Users\Anthony\AppData\Local\._Revolution_
C:\Users\Anthony\AppData\Local\ALI213
___________________________________________________
copie-le (ctrl+c) puis lance Pre_Script qui est sur ton bureau
colle dans le document texte qui s'ouvre , puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte
poste Pre_Script.txt qui apparaitra à coté de l'executable en fin de travail -
y a un truc que je capte pas, je copie colle ce que tu me dis, enregistre et ferme, et la mes barres d'action, dossiers etc disparaissent, y reste plus que mon fond d'écran et je ne peux plus rien faire...:o, je reboot, et il n'y a même pas le fichier pre_script.txt...
je réessaie une fois. Je te tiens au courant. -
-
-
sinon regarde dans C:\ et poste via cijoint
-
Voila le Pre_script :
http://www.cijoint.fr/cjlink.php?file=cj201105/cijHJbviKq.txt -
Télécharge ici :OTL
▶ enregistre le sur ton Bureau.
si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."
sur OTL.exe pour le lancer.
▶ => Configuration
▶Clic sur Analyse.
A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).
Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)
▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)
Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/
▶ Clique sur Parcourir et cherche le fichier ci-dessus.
▶ Clique sur Ouvrir.
▶ Clique sur "Cliquez ici pour déposer le fichier".
juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :
http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt
▶ Copie ce lien dans ta réponse.
▶▶ Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.
-
Voila l'OTL :
http://cjoint.com/?AECbh7cq7QH
et l'Extras :
http://cjoint.com/?AECbjbNmwW5 -
▶ Télécharge ici : Ad-remover sur ton bureau :
▶ Déconnecte toi et ferme toutes applications en cours !
si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."
▶ sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut .
▶ clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .
▶ Au menu principal choisis "option Nettoyer" et tape sur [entrée] .
▶ Laisse travailler l'outil et ne touche à rien ...
▶ Poste le rapport qui apparait à la fin , sur le forum ...
( Le rapport est sauvegardé aussi sous C:\Ad-report.log )
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )
-
VOila le rapport d'Ad-remover :
======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======
Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org
C:\Program Files (x86)\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 09:26:27 le 28/05/2011, Mode normal
Microsoft Windows 7 Édition Intégrale Service Pack 1 (X64)
Anthony@YGGDRASIL (System manufacturer System Product Name)
============== ACTION(S) ==============
Dossier supprimé: C:\Program Files (x86)\Ask.com
Dossier supprimé: C:\Users\Anthony\AppData\LocalLow\AskToolbar
(!) -- Fichiers temporaires supprimés.
Clé supprimée: HKLM\Software\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}
Clé supprimée: HKLM\Software\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKLM\Software\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
Clé supprimée: HKLM\Software\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
Clé supprimée: HKLM\Software\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
Clé supprimée: HKLM\Software\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd
Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd.1
Clé supprimée: HKLM\Software\Classes\AppID\GenericAskToolbar.DLL
Clé supprimée: HKLM\Software\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
Clé supprimée: HKLM\Software\AskToolbar
Clé supprimée: HKCU\Software\Ask.com
Clé supprimée: HKCU\Software\AppDataLow\AskToolbarInfo
Clé supprimée: HKCU\Software\AppDataLow\Software\AskToolbar
Clé supprimée: HKLM\Software\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Valeur supprimée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{D4027C7F-154A-4066-A1AD-4243D8127440}
Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}
============== SCAN ADDITIONNEL ==============
**** Google Chrome Version [11.0.696.71] ****
Google Chrome\Shell\Open\Command - C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
-- C:\Users\Anthony\AppData\Local\Google\Chrome\User Data\Default --
Preferences - default_search_provider: "Google" (Activé: true) (?)
Preferences - homepage: hxxp://www.google.com/
Preferences - homepage_is_newtabpage: false
Plugin - NVIDIA 3D Vision (Activé: true) (C:\Program Files (x86)\NVIDIA Corporation\3D Vision\npnv3dv.dll)
Plugin - NVIDIA 3D VISION (Activé: true) (C:\Program Files (x86)\NVIDIA Corporation\3D Vision\npnv3dvstreaming.dll)
Plugin - "NVIDIA 3D Vision" (Activé: true)
Plugin - "NVIDIA 3D VISION" (Activé: true)
========================================
**** Internet Explorer Version [8.0.7601.17514] ****
HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_URLSearchHooks|{BC86E1AB-EDA5-4059-938F-CE307B0C6F0A} - "SearchHook Class" (C:\Program Files (x86)\DeviceVM\Browser Configuration Utility\AddressBarSearch.dll)
HKLM_ElevationPolicy\{07d873dc-b9b9-44f5-af0b-fb59fa54fb7a} - C:\Windows\SysWOW64\wpcer.exe (x)
HKLM_ElevationPolicy\{0a402d70-1f10-4ae7-bec9-286a98240695} - C:\Windows\SysWOW64\winfxdocobj.exe (x)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files (x86)\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{B43A0C1E-B63F-4691-B68F-CD807A45DA01} - C:\Windows\system32\TSWbPrxy.exe (x)
========================================
C:\Program Files (x86)\Ad-Remover\Quarantine: 20 Fichier(s)
C:\Program Files (x86)\Ad-Remover\Backup: 15 Fichier(s)
C:\Ad-Report-CLEAN[1].txt - 28/05/2011 09:26:30 (4922 Octet(s))
Fin à: 09:27:07, 28/05/2011
============== E.O.F ============== -
hello
bien refais un scan OTL -
Voila le nouvel OTL :
http://cjoint.com/?AECjWTAQTou
et l'Extras :
http://cjoint.com/?AECjXwDVOlZ -
Fais analyser le(s) fichier(s) suivants sur Virustotal :
Virus Total
clique sur "Parcourir" et trouve puis selectionne ce(s) fichier(s) :
C:\Windows\SysWow64\rdvgumd32.dll
C:\Windows\SysWow64\dlumd9.dll
* Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
* Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
* Lorsque l'analyse est terminée colle le lien de(s)( la) page(s) dans ta prochaine réponse.
======================================
ATTENTION !!! : Script personnalisé pour cette machine uniquement , ne pas reproduire !!
si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."
sur OTL.exe pour le lancer.
▶Copie la liste qui se trouve en gras ci-dessous,
▶ colle-la dans la zone sous "Personnalisation" :
:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
Teatimer.exe
:Services
Bonjour Service
:OTL
O4 - HKU\S-1-5-19\..\RunOnce: [mctadmin] File not found
O4 - HKU\S-1-5-20\..\RunOnce: [mctadmin] File not found
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24)
O16 - DPF: {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24)
O18 - Protocol\Handler\skype-ie-addon-data {91774881-D725-4E58-B298-07617B9B86A8} - Reg Error: Key error. File not found
:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Adobe Reader Speed Launcher"=-
"iTunesHelper"=-
"QuickTime Task"=-
"SunJavaUpdateSched"=-
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Disker"=-
:Files
C:\Users\Anthony\AppData\Local\ALI213
C:\Users\Anthony\AppData\Roaming\Anthonylog.dat
@Alternate Data Stream - 164 bytes -> C:\Users\Anthony\Desktop\Scan CV.jpeg:3or4kl4x13tuuug3Byamue2s4b
@Alternate Data Stream - 129 bytes -> C:\ProgramData\TEMP:05EE1EEF
@Alternate Data Stream - 110 bytes -> C:\ProgramData\TEMP:888AFB86
:commands
[emptytemp]
[start explorer]
[reboot]
▶ Clique sur "Correction" pour lancer la suppression.
▶ Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage.
-
Voila pour le rdvgumd32.dll :
http://www.virustotal.com/file-scan/report.html?id=7fbdc662ac8ce667171bd907c40fa31317ed838242e8fd9a2e58adcae93c1783-1306569864
Pour le dlumd9.dll je le selectionne sur Virus Total et envoie le fichier, j'ai la boite de dialogue qui me dit que le fichier est en cours de téléchargement mais ensuite je retourne sur la page d'accueil, sans même une analyse...:o
Et sinon, je fais quand même la manipulation avec OTL ? Sans avoir le scan de dlumd9.dll ? -
oui
-
Voila le rapport :
All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
No active process named iexplore.exe was found!
No active process named firefox.exe was found!
No active process named msnmsgr.exe was found!
No active process named Teatimer.exe was found!
========== SERVICES/DRIVERS ==========
Service Bonjour Service stopped successfully!
Service Bonjour Service deleted successfully!
========== OTL ==========
Registry value HKEY_USERS\S-1-5-19\\Software\Microsoft\Windows\CurrentVersion\RunOnce\\mctadmin deleted successfully.
Registry value HKEY_USERS\S-1-5-20\\Software\Microsoft\Windows\CurrentVersion\RunOnce\\mctadmin deleted successfully.
Starting removal of ActiveX control {8AD9C840-044E-11D1-B3E9-00805F499D93}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Starting removal of ActiveX control {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}\ not found.
Starting removal of ActiveX control {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Handler\skype-ie-addon-data\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{91774881-D725-4E58-B298-07617B9B86A8}\ deleted successfully.
File {91774881-D725-4E58-B298-07617B9B86A8} - Reg Error: Key error. File not found not found.
========== REGISTRY ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\Adobe Reader Speed Launcher deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\iTunesHelper deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\QuickTime Task deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\SunJavaUpdateSched deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\Disker deleted successfully.
========== FILES ==========
C:\Users\Anthony\AppData\Local\ALI213\CONFIG\34330 folder moved successfully.
C:\Users\Anthony\AppData\Local\ALI213\CONFIG folder moved successfully.
C:\Users\Anthony\AppData\Local\ALI213 folder moved successfully.
C:\Users\Anthony\AppData\Roaming\Anthonylog.dat moved successfully.
ADS C:\Users\Anthony\Desktop\Scan CV.jpeg:3or4kl4x13tuuug3Byamue2s4b deleted successfully.
ADS C:\ProgramData\TEMP:05EE1EEF deleted successfully.
ADS C:\ProgramData\TEMP:888AFB86 deleted successfully.
========== COMMANDS ==========
[EMPTYTEMP]
User: All Users
User: Anthony
->Temp folder emptied: 2128121 bytes
->Temporary Internet Files folder emptied: 8259897 bytes
->Java cache emptied: 750471 bytes
->Google Chrome cache emptied: 136299497 bytes
->Flash cache emptied: 74936 bytes
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 56502 bytes
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
User: Public
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 200704 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 49632 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 50674 bytes
RecycleBin emptied: 0 bytes
Total Files Cleaned = 141.00 mb
OTL by OldTimer - Version 3.2.23.0 log created on 05282011_101500
Files\Folders moved on Reboot...
C:\Users\Anthony\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
File move failed. C:\Windows\temp\_avast5_\Webshlock.txt scheduled to be moved on reboot.
Registry entries deleted on Reboot... -
quels soucis persistent ?
-
Eh bien, le problème initial était que a chaque scan malewarebytes deux fichiers infectés réaparaissaient même après leur suppression.
Alors j'ai relancé un scan, et il me trouve plus qu'un seul fichier infecté. Je le supprime et je post mon rapport :
Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org
Version de la base de données: 6691
Windows 6.1.7601 Service Pack 1
Internet Explorer 8.0.7601.17514
28.05.2011 10:46:07
mbam-log-2011-05-28 (10-46-02).txt
Type d'examen: Examen complet (C:\|F:\|)
Elément(s) analysé(s): 358383
Temps écoulé: 18 minute(s), 31 seconde(s)
Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1
Processus mémoire infecté(s):
(Aucun élément nuisible détecté)
Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)
Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)
Dossier(s) infecté(s):
(Aucun élément nuisible détecté)
Fichier(s) infecté(s):
c:\Users\Anthony\AppData\Roaming\Temp\alg.exe (Trojan.Agent) -> No action taken.
Je relance un scan malewarebytes pour voir s'il le détecte a nouveau.
- 1
- 2
Suivant
