Trojan [HKCU (Trojan.Agent)]

Katharakt -  
 Utilisateur anonyme -
BOnjour tout le monde ! je vous contacte car ces derniers temps je rencontre beaucoup de problèmes de hack liés a mon compte WoW ! Après plusieurs conseils on m'a finalement dirigé vers un scan minutieux avec Malwares Byte et il m'a trouvé un total de 8 fichiers infectés.

Je les supprime consciencieusement et redémarre mon pc (comme demandé). Après le reboot, par "paranoia" sans doute je relance un scan, et la surprise, deux fichiers infectés sont a nouveau la. Je les supprime encore une fois, reboot et au redémarrage nouveau scan. Ils sont encore la...je vous post le rapport de mon scan en espérant que ca pourra vous aider à m'aider...T_T




Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6691

Windows 6.1.7601 Service Pack 1
Internet Explorer 8.0.7601.17514

27.05.2011 19:10:51
mbam-log-2011-05-27 (19-10-46).txt

Type d'examen: Examen complet (C:\|F:\|)
Elément(s) analysé(s): 159579
Temps écoulé: 11 minute(s), 33 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\HKCU (Trojan.Agent) -> Value: HKCU -> No action taken.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Users\Anthony\AppData\Roaming\Temp\alg.exe (Trojan.Agent) -> No action taken.



J'aimerai vraiment m'en débarrasser !
A voir également:

33 réponses

  • 1
  • 2
Réponse 1 / 33
Utilisateur anonyme
 
salut

bah normal tu supprimes pas avec malwarebytes apparement

0
moment de grace Messages postés 30049 Statut Contributeur sécurité 2 274
 
Je les supprime consciencieusement et redémarre mon pc (comme demandé)

faut pas lire en diagonal Gen !

(sourire)
0
Réponse 2 / 33
Utilisateur anonyme
 
lol

▶ Télécharge ici : USBFIX sur ton bureau

branche tous tes periphériques sans les ouvrir

/!\ Désactive provisoirement et seulement le temps de l'utilisation d'USBFIX, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur l'icône Usbfix située sur ton Bureau.
Sur la page, clique sur le bouton :

▶ choisi l option Suppression

▶ UsbFix scannera ton pc , laisse travailler l outil.

▶ Ensuite post le rapport UsbFix.txt qui apparaitra avec le bureau .

▶ Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

0
Katharakt
 
Salut ! J'ai suivi ta procédure à la lettre, voilà le rapport :


############################## | UsbFix 7.046 | [Suppression]

Utilisateur: Anthony (Administrateur) # YGGDRASIL [System manufacturer System Product Name]
Mis à jour le 23/05/2011 par TeamXscript
Lancé à 22:02:19 | 27/05/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php


CPU: Intel(R) Core(TM) i7 CPU 870 @ 2.93GHz
CPU 2: Intel(R) Core(TM) i7 CPU 870 @ 2.93GHz
Microsoft Windows 7 Édition Intégrale (6.1.7601 64-Bit) # Service Pack 1
Internet Explorer 8.0.7601.17514

Pare-feu Windows: Activé
RAM -> 4094 Mo
C:\ (%systemdrive%) -> Disque fixe # 60 Go (5 Go libre(s) - 8%) [] # NTFS
D:\ -> CD-ROM
E:\ -> CD-ROM
F:\ -> Disque fixe # 931 Go (452 Go libre(s) - 49%) [Nouveau nom] # NTFS
G:\ -> Disque fixe # 931 Go (652 Go libre(s) - 70%) [My Book] # NTFS
H:\ -> CD-ROM

################## | Éléments infectieux |


Supprimé! C:\$RECYCLE.BIN\S-1-5-21-2583561910-428706507-1240578518-1001
Supprimé! F:\$RECYCLE.BIN\S-1-5-20
Supprimé! F:\$RECYCLE.BIN\S-1-5-21-2583561910-428706507-1240578518-1001

################## | Registre |

Supprimé! HKLM\software\microsoft\windows nt\currentversion\winlogon|Taskman
Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Run|HKCU

################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{73022a39-ddef-11df-a8ec-20cf308d427c}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{b7dccc41-b932-11df-aeeb-806e6f6e6963}

################## | Listing |

[27/05/2011 - 22:05:55 | SHD ] C:\$Recycle.Bin
[14/07/2009 - 07:08:56 | SHD ] C:\Documents and Settings
[27/05/2011 - 13:55:15 | ASH | 3219693568] C:\hiberfil.sys
[05/09/2010 - 23:29:40 | D ] C:\Intel
[05/09/2010 - 23:43:34 | RHD ] C:\MSOCache
[05/09/2010 - 23:26:21 | D ] C:\NVIDIA
[27/05/2011 - 13:55:20 | ASH | 4292927488] C:\pagefile.sys
[14/07/2009 - 05:20:08 | D ] C:\PerfLogs
[01/05/2011 - 11:06:45 | D ] C:\Program Files
[27/05/2011 - 12:56:17 | D ] C:\Program Files (x86)
[27/05/2011 - 12:56:20 | HD ] C:\ProgramData
[27/12/2010 - 01:21:32 | D ] C:\PunkBuster
[05/09/2010 - 23:35:12 | D ] C:\RaidTool
[05/09/2010 - 23:20:29 | SHD ] C:\Recovery
[27/05/2011 - 22:05:25 | SHD ] C:\System Volume Information
[27/05/2011 - 22:05:55 | D ] C:\UsbFix
[27/05/2011 - 22:02:31 | A | 2332] C:\UsbFix.txt
[05/09/2010 - 23:20:37 | D ] C:\Users
[08/05/2011 - 17:32:54 | D ] C:\Windows
[27/05/2011 - 22:05:55 | SHD ] F:\$RECYCLE.BIN
[27/05/2011 - 20:07:10 | D ] F:\Bittorrent
[07/11/2007 - 08:00:40 | N | 17734] F:\eula.1028.txt
[07/11/2007 - 08:00:40 | N | 17734] F:\eula.1031.txt
[07/11/2007 - 08:00:40 | N | 10134] F:\eula.1033.txt
[07/11/2007 - 08:00:40 | N | 17734] F:\eula.1036.txt
[07/11/2007 - 08:00:40 | N | 17734] F:\eula.1040.txt
[07/11/2007 - 08:00:40 | N | 118] F:\eula.1041.txt
[07/11/2007 - 08:00:40 | N | 17734] F:\eula.1042.txt
[07/11/2007 - 08:00:40 | N | 17734] F:\eula.2052.txt
[07/11/2007 - 08:00:40 | N | 17734] F:\eula.3082.txt
[28/02/2011 - 22:15:45 | D ] F:\Fraps
[07/11/2007 - 08:00:40 | N | 1110] F:\globdata.ini
[07/11/2007 - 08:03:18 | N | 562688] F:\install.exe
[07/11/2007 - 08:00:40 | N | 843] F:\install.ini
[07/11/2007 - 08:03:18 | N | 76304] F:\install.res.1028.dll
[07/11/2007 - 08:03:18 | N | 96272] F:\install.res.1031.dll
[07/11/2007 - 08:03:18 | N | 91152] F:\install.res.1033.dll
[07/11/2007 - 08:03:18 | N | 97296] F:\install.res.1036.dll
[07/11/2007 - 08:03:18 | N | 95248] F:\install.res.1040.dll
[07/11/2007 - 08:03:18 | N | 81424] F:\install.res.1041.dll
[07/11/2007 - 08:03:18 | N | 79888] F:\install.res.1042.dll
[07/11/2007 - 08:03:18 | N | 75792] F:\install.res.2052.dll
[07/11/2007 - 08:03:18 | N | 96272] F:\install.res.3082.dll
[10/09/2010 - 18:50:45 | D ] F:\Jeux
[02/04/2011 - 18:51:54 | D ] F:\msdownld.tmp
[05/05/2011 - 15:21:53 | D ] F:\Musique
[11/03/2011 - 21:00:00 | D ] F:\Pictures
[18/09/2010 - 14:10:57 | D ] F:\Porrasturvat - Stair Dismount
[24/05/2011 - 20:08:23 | D ] F:\Program Files (x86)
[22/09/2010 - 18:15:52 | D ] F:\QuickMediaConverter
[05/09/2010 - 23:27:25 | SHD ] F:\System Volume Information
[07/11/2007 - 08:00:40 | N | 5686] F:\vcredist.bmp
[07/11/2007 - 08:09:22 | N | 1442522] F:\VC_RED.cab
[07/11/2007 - 08:12:28 | N | 232960] F:\VC_RED.MSI
[20/02/2011 - 22:53:13 | D ] F:\WoW

################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
F:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_YGGDRASIL.zip
http://www.teamxscript.org/Upload.php
Merci de votre contribution.

################## | E.O.F |


Sacré pavé !
0
Réponse 3 / 33
Utilisateur anonyme
 
t'as rien vu ^^

desactive ton antivirus
desactive Windows defender si présent
desactive ton pare-feu

Ferme toutes tes appilications en cours

telecharge et enregistre ceci sur ton bureau :

Pre_Scan

s'il n'est pas sur ton bureau coupe-le de ton dossier telechargements et colle-le sur ton bureau

Avertissement: Il y aura une extinction courte du bureau --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan.txt" sur le bureau.

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

si l'outil semble ne pas avoir fonctionné renomme-le winlogon , ou change son extension en .com ou .scr

Il se peut que l'outil soit un peu long sur la reattribution des fichiers tout depend combien tu en as , laisse-le travailler

Poste Pre_Scan.txt qui apparaitra sur le bureau en fin de scan

▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)

clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.
0
Réponse 4 / 33
Katharakt
 
Alors voila le lien, je précise que j'ai du avoir un léger soucis car après avoir lancé le pre scan, la boite de dialoguqe avec la barre de progression est apparue, le scan était en cours, ensuite mon bureau vide est apparu, sans bouton "démarrer" ni mes dossiers. il y avait juste une fenetre au milieu de mon écran avec des dossiers comme mon prénom, téléchargements, etc... et je pouvais rien faire donc j'ai décidé de reboot après une 10aine de minutes.

Mais je crois que le scan est complet ! Tiens :

http://www.cijoint.fr/cjlink.php?file=cj201105/cijhjCRO1L.txt
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 33
Katharakt
 
Gen ? Apparemment tu es une référence dans le coin :p donc j'imagine que tu t'occupes de plein de monde en même temps héhé je voulais juste savoir si le scan est bel et bien complet, au cas ou je doive le relancer !
0
Réponse 6 / 33
Utilisateur anonyme
 
ca te dit quelque chose ces noms ?

C:\Users\Anthony\AppData\Local\._Revolution_
C:\Users\Anthony\AppData\Local\ALI213
C:\Users\Anthony\AppData\Local\Aybabtu
0
Katharakt
 
Aybabtu ouep, mais le reste non pas du tout.
0
Utilisateur anonyme
 
selectionne ce texte sans les lignes :
___________________________________________________
folder::
C:\Users\Anthony\AppData\Local\._Revolution_
C:\Users\Anthony\AppData\Local\ALI213
___________________________________________________

copie-le (ctrl+c) puis lance Pre_Script qui est sur ton bureau

colle dans le document texte qui s'ouvre , puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

poste Pre_Script.txt qui apparaitra à coté de l'executable en fin de travail
0
Katharakt
 
y a un truc que je capte pas, je copie colle ce que tu me dis, enregistre et ferme, et la mes barres d'action, dossiers etc disparaissent, y reste plus que mon fond d'écran et je ne peux plus rien faire...:o, je reboot, et il n'y a même pas le fichier pre_script.txt...

je réessaie une fois. Je te tiens au courant.
0
Katharakt
 
Pareil qu'avant, fond d'écran, rien ne se passe, obligé de reboot. et quand je relance pre_script, je vois un grand nombre de copies de :

folder::
C:\Users\Anthony\AppData\Local\._Revolution_
C:\Users\Anthony\AppData\Local\ALI213

Moi y en a pas comprendre *_*
0
Réponse 7 / 33
Utilisateur anonyme
 
sinon regarde dans C:\ et poste via cijoint
0
Réponse 8 / 33
Katharakt
 
Voila le Pre_script :

http://www.cijoint.fr/cjlink.php?file=cj201105/cijHJbviKq.txt
0
Réponse 9 / 33
Utilisateur anonyme
 
Télécharge ici :OTL

▶ enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur OTL.exe pour le lancer.

▶ => Configuration

▶Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

▶ Copie ce lien dans ta réponse.

▶▶ Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.
0
Réponse 10 / 33
Katharakt
 
Voila l'OTL :


http://cjoint.com/?AECbh7cq7QH

et l'Extras :

http://cjoint.com/?AECbjbNmwW5
0
Réponse 11 / 33
Utilisateur anonyme
 
▶ Télécharge ici : Ad-remover sur ton bureau :


▶ Déconnecte toi et ferme toutes applications en cours !

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

▶ sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut .

▶ clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .

▶ Au menu principal choisis "option Nettoyer" et tape sur [entrée] .

▶ Laisse travailler l'outil et ne touche à rien ...

▶ Poste le rapport qui apparait à la fin , sur le forum ...

( Le rapport est sauvegardé aussi sous C:\Ad-report.log )
( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

0
Réponse 12 / 33
Katharakt
 
VOila le rapport d'Ad-remover :


======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files (x86)\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 09:26:27 le 28/05/2011, Mode normal

Microsoft Windows 7 Édition Intégrale Service Pack 1 (X64)
Anthony@YGGDRASIL (System manufacturer System Product Name)

============== ACTION(S) ==============


Dossier supprimé: C:\Program Files (x86)\Ask.com
Dossier supprimé: C:\Users\Anthony\AppData\LocalLow\AskToolbar

(!) -- Fichiers temporaires supprimés.


Clé supprimée: HKLM\Software\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}
Clé supprimée: HKLM\Software\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKLM\Software\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
Clé supprimée: HKLM\Software\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
Clé supprimée: HKLM\Software\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
Clé supprimée: HKLM\Software\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd
Clé supprimée: HKLM\Software\Classes\GenericAskToolbar.ToolbarWnd.1
Clé supprimée: HKLM\Software\Classes\AppID\GenericAskToolbar.DLL
Clé supprimée: HKLM\Software\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
Clé supprimée: HKLM\Software\AskToolbar
Clé supprimée: HKCU\Software\Ask.com
Clé supprimée: HKCU\Software\AppDataLow\AskToolbarInfo
Clé supprimée: HKCU\Software\AppDataLow\Software\AskToolbar
Clé supprimée: HKLM\Software\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}

Valeur supprimée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{D4027C7F-154A-4066-A1AD-4243D8127440}
Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}


============== SCAN ADDITIONNEL ==============

**** Google Chrome Version [11.0.696.71] ****

Google Chrome\Shell\Open\Command - C:\Program Files (x86)\Google\Chrome\Application\chrome.exe

-- C:\Users\Anthony\AppData\Local\Google\Chrome\User Data\Default --
Preferences - default_search_provider: "Google" (Activé: true) (?)
Preferences - homepage: hxxp://www.google.com/
Preferences - homepage_is_newtabpage: false
Plugin - NVIDIA 3D Vision (Activé: true) (C:\Program Files (x86)\NVIDIA Corporation\3D Vision\npnv3dv.dll)
Plugin - NVIDIA 3D VISION (Activé: true) (C:\Program Files (x86)\NVIDIA Corporation\3D Vision\npnv3dvstreaming.dll)
Plugin - "NVIDIA 3D Vision" (Activé: true)
Plugin - "NVIDIA 3D VISION" (Activé: true)

========================================

**** Internet Explorer Version [8.0.7601.17514] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_URLSearchHooks|{BC86E1AB-EDA5-4059-938F-CE307B0C6F0A} - "SearchHook Class" (C:\Program Files (x86)\DeviceVM\Browser Configuration Utility\AddressBarSearch.dll)
HKLM_ElevationPolicy\{07d873dc-b9b9-44f5-af0b-fb59fa54fb7a} - C:\Windows\SysWOW64\wpcer.exe (x)
HKLM_ElevationPolicy\{0a402d70-1f10-4ae7-bec9-286a98240695} - C:\Windows\SysWOW64\winfxdocobj.exe (x)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files (x86)\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{B43A0C1E-B63F-4691-B68F-CD807A45DA01} - C:\Windows\system32\TSWbPrxy.exe (x)

========================================

C:\Program Files (x86)\Ad-Remover\Quarantine: 20 Fichier(s)
C:\Program Files (x86)\Ad-Remover\Backup: 15 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 28/05/2011 09:26:30 (4922 Octet(s))

Fin à: 09:27:07, 28/05/2011

============== E.O.F ==============
0
Réponse 13 / 33
Utilisateur anonyme
 
hello

bien refais un scan OTL
0
Réponse 14 / 33
Katharakt
 
Voila le nouvel OTL :

http://cjoint.com/?AECjWTAQTou

et l'Extras :

http://cjoint.com/?AECjXwDVOlZ
0
Réponse 15 / 33
Utilisateur anonyme
 
Fais analyser le(s) fichier(s) suivants sur Virustotal :

Virus Total

clique sur "Parcourir" et trouve puis selectionne ce(s) fichier(s) :

C:\Windows\SysWow64\rdvgumd32.dll
C:\Windows\SysWow64\dlumd9.dll

* Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
* Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
* Lorsque l'analyse est terminée colle le lien de(s)( la) page(s) dans ta prochaine réponse.

======================================

ATTENTION !!! : Script personnalisé pour cette machine uniquement , ne pas reproduire !!

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur OTL.exe pour le lancer.


▶Copie la liste qui se trouve en gras ci-dessous,

▶ colle-la dans la zone sous "Personnalisation" :


:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
Teatimer.exe

:Services
Bonjour Service

:OTL
O4 - HKU\S-1-5-19\..\RunOnce: [mctadmin] File not found
O4 - HKU\S-1-5-20\..\RunOnce: [mctadmin] File not found
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24)
O16 - DPF: {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24)
O18 - Protocol\Handler\skype-ie-addon-data {91774881-D725-4E58-B298-07617B9B86A8} - Reg Error: Key error. File not found

:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Adobe Reader Speed Launcher"=-
"iTunesHelper"=-
"QuickTime Task"=-
"SunJavaUpdateSched"=-
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Disker"=-

:Files
C:\Users\Anthony\AppData\Local\ALI213
C:\Users\Anthony\AppData\Roaming\Anthonylog.dat
@Alternate Data Stream - 164 bytes -> C:\Users\Anthony\Desktop\Scan CV.jpeg:3or4kl4x13tuuug3Byamue2s4b
@Alternate Data Stream - 129 bytes -> C:\ProgramData\TEMP:05EE1EEF
@Alternate Data Stream - 110 bytes -> C:\ProgramData\TEMP:888AFB86

:commands
[emptytemp]
[start explorer]
[reboot]


▶ Clique sur "Correction" pour lancer la suppression.


▶ Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage.
0
Réponse 16 / 33
Katharakt
 
Voila pour le rdvgumd32.dll :

http://www.virustotal.com/file-scan/report.html?id=7fbdc662ac8ce667171bd907c40fa31317ed838242e8fd9a2e58adcae93c1783-1306569864

Pour le dlumd9.dll je le selectionne sur Virus Total et envoie le fichier, j'ai la boite de dialogue qui me dit que le fichier est en cours de téléchargement mais ensuite je retourne sur la page d'accueil, sans même une analyse...:o

Et sinon, je fais quand même la manipulation avec OTL ? Sans avoir le scan de dlumd9.dll ?
0
Réponse 17 / 33
Utilisateur anonyme
 
oui
0
Réponse 18 / 33
Katharakt
 
Voila le rapport :

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
No active process named iexplore.exe was found!
No active process named firefox.exe was found!
No active process named msnmsgr.exe was found!
No active process named Teatimer.exe was found!
========== SERVICES/DRIVERS ==========
Service Bonjour Service stopped successfully!
Service Bonjour Service deleted successfully!
========== OTL ==========
Registry value HKEY_USERS\S-1-5-19\\Software\Microsoft\Windows\CurrentVersion\RunOnce\\mctadmin deleted successfully.
Registry value HKEY_USERS\S-1-5-20\\Software\Microsoft\Windows\CurrentVersion\RunOnce\\mctadmin deleted successfully.
Starting removal of ActiveX control {8AD9C840-044E-11D1-B3E9-00805F499D93}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Starting removal of ActiveX control {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}\ not found.
Starting removal of ActiveX control {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Handler\skype-ie-addon-data\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{91774881-D725-4E58-B298-07617B9B86A8}\ deleted successfully.
File {91774881-D725-4E58-B298-07617B9B86A8} - Reg Error: Key error. File not found not found.
========== REGISTRY ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\Adobe Reader Speed Launcher deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\iTunesHelper deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\QuickTime Task deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\SunJavaUpdateSched deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\Disker deleted successfully.
========== FILES ==========
C:\Users\Anthony\AppData\Local\ALI213\CONFIG\34330 folder moved successfully.
C:\Users\Anthony\AppData\Local\ALI213\CONFIG folder moved successfully.
C:\Users\Anthony\AppData\Local\ALI213 folder moved successfully.
C:\Users\Anthony\AppData\Roaming\Anthonylog.dat moved successfully.
ADS C:\Users\Anthony\Desktop\Scan CV.jpeg:3or4kl4x13tuuug3Byamue2s4b deleted successfully.
ADS C:\ProgramData\TEMP:05EE1EEF deleted successfully.
ADS C:\ProgramData\TEMP:888AFB86 deleted successfully.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Anthony
->Temp folder emptied: 2128121 bytes
->Temporary Internet Files folder emptied: 8259897 bytes
->Java cache emptied: 750471 bytes
->Google Chrome cache emptied: 136299497 bytes
->Flash cache emptied: 74936 bytes

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 56502 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 200704 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 49632 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 50674 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 141.00 mb


OTL by OldTimer - Version 3.2.23.0 log created on 05282011_101500

Files\Folders moved on Reboot...
C:\Users\Anthony\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
File move failed. C:\Windows\temp\_avast5_\Webshlock.txt scheduled to be moved on reboot.

Registry entries deleted on Reboot...
0
Réponse 19 / 33
Utilisateur anonyme
 
quels soucis persistent ?
0
Réponse 20 / 33
Katharakt
 
Eh bien, le problème initial était que a chaque scan malewarebytes deux fichiers infectés réaparaissaient même après leur suppression.

Alors j'ai relancé un scan, et il me trouve plus qu'un seul fichier infecté. Je le supprime et je post mon rapport :


Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6691

Windows 6.1.7601 Service Pack 1
Internet Explorer 8.0.7601.17514

28.05.2011 10:46:07
mbam-log-2011-05-28 (10-46-02).txt

Type d'examen: Examen complet (C:\|F:\|)
Elément(s) analysé(s): 358383
Temps écoulé: 18 minute(s), 31 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Users\Anthony\AppData\Roaming\Temp\alg.exe (Trojan.Agent) -> No action taken.

Je relance un scan malewarebytes pour voir s'il le détecte a nouveau.
0

Discussions similaires

qu'est ce qu'un "trojan agent/gen" ? svp
Saber03 -
jacques.gache -

33 réponses
Menace détectée TrojanSMS-PA sur Google Huawei/Android
Outmost -
bazfile -

6 réponses
Comment supprimer le virus Trojan
vitsou -
vitsou -

18 réponses
Aide pour un virus
cerise92700 -
MisteryBean -

41 réponses
cheval de troie trojan
idnoder -
idnoder -

42 réponses