Virus Boot.Tidserv

Bonjour

On va faire une analyse de ton systéme.

* Télécharge ZHPDiag ( de Nicolas coolman ).
ou
ZHPDiag
ou
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Ou le lien FTP en secours :
ftp://zebulon.fr/ZHPDiag2.exe

***********************
/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, " exécuter en tant qu'Administrateur /!\
* Laisse toi guider lors de l'installation
* Il se lancera automatiquement à la fin de l'installation
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur le site pjjoint.malekal.com ou cijoint.fr ou toofiles puis copie/colle le lien fournit dans ta prochaine réponse sur le forum

je fais cela et je tien au courant !

EDIT : voila le raport
http://www.toofiles.com/fr/oip/documents/Txt/3264_zhpdiag.html

et merci pour la réponce rapide
[ pas hazard ca ne serait pas un trojen ?
ici : C:\Windows\System32\l3codeca.acm ]

* Télécharge load_tdsskiller (de Loup Blanc) sur ton Bureau

http://fradesch.perso.cegetel.net/transf/Load_tdsskiller.exe

* Lance load_tdsskiller en faisant un double-clic dessus / Lance par un clic-droit dessus ? Exécuter en temps qu'administrateur
* L'outil va se connecter pour télécharger une copie à jour de TDSSKiller, puis va lancer une analyse
* Lorsque l'outil a terminé son travail d'inspection, si des nuisibles ("Malicious objects") ont été trouvés, vérifier que l'option (Cure) est sélectionnée,
* Si des objects suspects ("Suspicious objects") ont été détectés, sur l'écran de demande de confirmation, modifier l'action à entreprendre et indiquer Quarantine (au lieu de Skip),
* A la fin, il te sera demandé d'appuyer sur une touche, puis le rapport s'affichera automatiquement : copie-colle son contenu dans ta prochaine réponse (C:\tdsskiller\report.txt)

merci j'ai redémarer norton a refete l'alerte mais je crois qu'il a réussi a supprimer le virus :)
je fait une scan complet pour vérifier je redit cela !

mais je n'est plus de virus
Eh bin si justement ilreste encore des veroles.
Fais ce qui suis
Télécharge Ad-Remover sur ton bureau:

http://www.teamxscript.org/adremoverTelechargement.html

/!\ Ferme toutes tes applications ouvertes. /!\

* Désactive la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner la procédure de recherche et de nettoyage de l'outil.

Double clique sur le fichier que tu viens de télécharger, à l'écran qui apparait, clique sur
"Nettoyer".
Laisse travailler l'outil.
Poste le rapport qui s'affiche à l'écran quand l'analyse est terminée.
Si le rapport n'apparait pas il se trouve à cet emplacement :C:\Ad-Report-CLEAN[1].txt

je fait et voici le rapport
https://pjjoint.malekal.com/files.php?id=s11f14m5o15f8q14f12v13w11

On va faire une vérification .
Post un nouveau rapport zhpdiag.
Héberge le rapport ZHPDiag.txt sur le site pjjoint.malekal.com ou cijoint.fr ou toofiles puis copie/colle le lien fournit dans ta prochaine réponse sur le forum

voici :
https://pjjoint.malekal.com/files.php?id=d1db9c7a8713119

A faire dans l''ordre.

1/ Copie/colle les lignes suivantes et place les dans ZHPFix :
2/Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag)
3/Clique sur l''icone représentant la lettre H (« coller les lignes Helper »)

----------------------------------------------------------
[MD5.00000000000000000000000000000000] [APT] [AutoKMS] (.Pas de propriétaire.) -- C:\Windows\AutoKMS.exe (.not file.)
[HKLM\Software\Classes\AppID\SoftwareUpdate.exe]
[HKLM\Software\Wow6432Node\Classes\AppID\SoftwareUpdate.exe]
[HKCR\Interface\{65A16874-2ED0-460E-A547-5FE2EC3A13A7}]
[HKLM\Software\Classes\Interface\{65A16874-2ED0-460E-A547-5FE2EC3A13A7}]
[HKCR\Interface\{71E02280-5212-45C3-B174-4D5A35DA254F}]
[HKLM\Software\Classes\Interface\{71E02280-5212-45C3-B174-4D5A35DA254F}]
O4 - Global Startup: C:\Users\wilfried\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Social Games.lnk - Clé orpheline
O4 - Global Startup: C:\Users\wilfried\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\eBay.lnk - Clé orpheline
[MD5.00000000000000000000000000000000] [APT] [{3673CF02-A938-4BCD-8D6E-5C6F2DFC412E}] (.Pas de propriétaire.) -- C:\Downloads\Software\ST122g_VistaSetup_v1.0.exe (.not file.)
[MD5.00000000000000000000000000000000] [APT] [{74294CCE-2647-42BB-BBDF-DF238D818FD6}] (.Pas de propriétaire.) -- C:\Downloads\Software\ST121g_VistaSetup_v0.1.exe (.not file.)
[MD5.00000000000000000000000000000000] [APT] [{E01FD1F7-C4F9-42A1-956F-3E6609B8265E}] (.Pas de propriétaire.) -- C:\Downloads\Software\ST122g_VistaSetup_v1.0.exe (.not file.)
O47 - AAKE:Key Export SP - "C:\Users\wilfried\AppData\Local\Temp\Rar$EX00.141\WoWEmu For OverGame\over-game emu.exe" [Enabled] .(.Pas de propriétaireC:\Users\wilfried\AppData\Local\Temp\Rar$EX00.141\WoWEmu For OverGame\over-game emu.exe (.not file.)
O47 - AAKE:Key Export SP - "C:\Users\wilfried\Desktop\s\over-game emu.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) -- C:\Users\wilfried\Desktop\s\over-game emu.exe (.not file.)
O64 - Services: CurCS - (.not file.) - 27143913 (27143913) .(...) - LEGACY_27143913
O64 - Services: CurCS - (.not file.) - 57934938 (57934938) .(...) - LEGACY_57934938
O64 - Services: CurCS - (.not file.) - 87672740 (87672740) .(...) - LEGACY_87672740
O64 - Services: CurCS - (.not file.) - 96246715 (96246715) .(...) - LEGACY_96246715
M2 - MFEP: prefs.js [wilfried - uedtu5l2.default\DTToolbar@toolbarnet.com] [] DAEMON Tools Toolbar v (.DT Soft Ltd..)
M2 - MFEP: prefs.js [wilfried - uedtu5l2.default\ffxtlbr@Facemoods.com] [] Facemoods v1.2.1 (.Volo-Net.)
M2 - MFEP: prefs.js [wilfried - uedtu5l2.default\{0b38152b-1b20-484d-a11f-5e04a9b0661f}] [] Winamp Toolbar v5.6.14.1 (.AOL Inc..)
O2 - BHO: facemoods Helper [64Bits] - {64182481-4F71-486b-A045-B233BD0DA8FC} . (.Pas de propriétaire - Pas de description.) -- C:\Program Files (x86)\facemoods.com\facemoods\1.4.17.5\bh\facemoods.dll
O3 - Toolbar: DAEMON Tools Toolbar [64Bits] - {32099AAC-C132-4136-9E9A-4E364A424E17} . (.Pas de propriétaire - ToolBand Module.) -- C:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar64.dll
O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [HKLM][64Bits] -- DAEMON Tools Toolbar
O42 - Logiciel: Facemoods Toolbar - (.Pas de propriétaire.) [HKLM][64Bits] -- facemoods
O42 - Logiciel: Winamp Toolbar - (.Pas de propriétaire.) [HKLM][64Bits] -- Winamp Toolbar
[HKCU\Software\facemoods.com]
[HKLM\Software\facemoods.com]
O43 - CFD: 18/03/2011 - 23:43:48 - [666605] ----D- C:\ProgramData\Winamp Toolbar
O43 - CFD: 14/04/2011 - 21:02:54 - [18215] ----D- C:\Users\wilfried\Appdata\Local\Winamp Toolbar
O43 - CFD: 19/02/2011 - 21:37:00 - [4047793] ----D- C:\Program Files (x86)\DAEMON Tools Toolbar
O43 - CFD: 18/03/2011 - 23:43:50 - [2454791] ----D- C:\Program Files (x86)\Winamp Toolbar
O53 - SMSR:HKLM\...\startupreg\facemoods [Key] . (...) -- C:\Program Files (x86)\facemoods.com\facemoods\1.4.17.5\facemoodssrv.exe (.not file.)
O69 - SBI: SearchScopes [HKCU] {0D7562AE-8EF6-416d-A838-AB665251703A} - (Facemoods Search) - http://start.facemoods.com
[HKCR\esrv.escrtSrvc]
[HKCR\Interface\{542FA950-C57A-4E17-B3E1-D935DFE15DEE}]
[HKLM\Software\Classes\Interface\{542FA950-C57A-4E17-B3E1-D935DFE15DEE}]
[HKCR\Interface\{5B035F86-41B5-40F1-AAAD-3D219F30244E}]
[HKLM\Software\Classes\Interface\{5B035F86-41B5-40F1-AAAD-3D219F30244E}]
[HKCR\Interface\{6365AC7B-9920-4D8B-AF5D-3BDFEAC340A8}]
[HKLM\Software\Classes\Interface\{6365AC7B-9920-4D8B-AF5D-3BDFEAC340A8}]
[HKCR\CLSID\{64182481-4F71-486b-A045-B233BD0DA8FC}]
[HKLM\Software\Classes\CLSID\{64182481-4F71-486b-A045-B233BD0DA8FC}]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{64182481-4F71-486b-A045-B233BD0DA8FC}]
[HKCR\Interface\{6A934270-717F-4BC3-BA59-BC9BED47A8D2}]
[HKLM\Software\Classes\Interface\{6A934270-717F-4BC3-BA59-BC9BED47A8D2}]
[HKCR\Interface\{74C012C4-00FB-4F04-9AFB-4AD5449D2018}]
[HKLM\Software\Classes\Interface\{74C012C4-00FB-4F04-9AFB-4AD5449D2018}]
[HKCR\Interface\{79B13431-CCAC-4097-8889-D0289E5E924F}]
[HKLM\Software\Classes\Interface\{79B13431-CCAC-4097-8889-D0289E5E924F}]
[HKCR\Interface\{A9379648-F6EB-4F65-A624-1C10411A15D0}]
[HKLM\Software\Classes\Interface\{A9379648-F6EB-4F65-A624-1C10411A15D0}]
[HKCR\Interface\{C1C2FC43-F042-4F17-AEDB-C5ABF3B42E4B}]
[HKLM\Software\Classes\Interface\{C1C2FC43-F042-4F17-AEDB-C5ABF3B42E4B}]
[HKCR\CLSID\{DB4E9724-F518-4dfd-9C7C-78B52103CAB9}]
[HKLM\Software\Classes\CLSID\{DB4E9724-F518-4dfd-9C7C-78B52103CAB9}]
[HKCR\Interface\{F16AB1DB-15C0-4456-A29E-4DF24FB9E3D2}]
[HKLM\Software\Classes\Interface\{F16AB1DB-15C0-4456-A29E-4DF24FB9E3D2}]
[HKCR\Interface\{F7EC6286-297C-4981-9DCC-FD7F57BC24C9}]
[HKLM\Software\Classes\Interface\{F7EC6286-297C-4981-9DCC-FD7F57BC24C9}]
[HKCU\Software\facemoods.com]
[HKLM\Software\facemoods.com]
[HKLM\Software\Wow6432Node\facemoods.com]
[HKCU\Software\Winamp Toolbar]
[HKLM\Software\Winamp Toolbar]
[HKLM\Software\Wow6432Node\Winamp Toolbar]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\daemon tools toolbar]
[HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]:{32099aac-c132-4136-9e9a-4e364a424e17}
[HKLM\Software\Microsoft\Internet Explorer\Toolbar]:{32099aac-c132-4136-9e9a-4e364a424e17}
C:\ProgramData\Winamp Toolbar
C:\Users\wilfried\Appdata\Local\Winamp Toolbar
C:\Documents and Settings\wilfried\Local Settings\Application Data\Winamp Toolbar
C:\Program Files (x86)\DAEMON Tools Toolbar
C:\Program Files (x86)\Winamp Toolbar
EmptyTemp
FirewallRaz
--------------------------------------------------------

- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse

A faire dans l''ordre.

1/ Copie/colle les lignes suivantes et place les dans ZHPFix :
2/Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag)
3/Clique sur l''icone représentant la lettre H (« coller les lignes Helper »)

----------------------------------------------------------
[MD5.00000000000000000000000000000000] [APT] [AutoKMS] (.Pas de propriétaire.) -- C:\Windows\AutoKMS.exe (.not file.)
[HKLM\Software\Classes\AppID\SoftwareUpdate.exe]
[HKLM\Software\Wow6432Node\Classes\AppID\SoftwareUpdate.exe]
[HKCR\Interface\{65A16874-2ED0-460E-A547-5FE2EC3A13A7}]
[HKLM\Software\Classes\Interface\{65A16874-2ED0-460E-A547-5FE2EC3A13A7}]
[HKCR\Interface\{71E02280-5212-45C3-B174-4D5A35DA254F}]
[HKLM\Software\Classes\Interface\{71E02280-5212-45C3-B174-4D5A35DA254F}]
O4 - Global Startup: C:\Users\wilfried\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Social Games.lnk - Clé orpheline
O4 - Global Startup: C:\Users\wilfried\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\eBay.lnk - Clé orpheline
EmptyTemp
FirewallRaz
--------------------------------------------------------

- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse

voila le raport :

Rapport de ZHPFix 1.12.3290 par Nicolas Coolman, Update du 30/05/2011
Fichier d'export Registre : C:\ZHPExportRegistry-02-06-2011-15-47-10.txt
Run by wilfried at 02/06/2011 15:47:10
Windows 7 Home Premium Edition, 64-bit Service Pack 1 (Build 7601)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Clé(s) du Registre ==========
Clé supprimée avec succès HKLM\Software\Classes\AppID\SoftwareUpdate.exe
Clé supprimée avec succès HKLM\Software\Wow6432Node\Classes\AppID\SoftwareUpdate.exe
Clé non supprimée HKCR\Interface\{65A16874-2ED0-460E-A547-5FE2EC3A13A7}
Clé non supprimée HKLM\Software\Classes\Interface\{65A16874-2ED0-460E-A547-5FE2EC3A13A7}
Clé non supprimée HKCR\Interface\{71E02280-5212-45C3-B174-4D5A35DA254F}
Clé non supprimée HKLM\Software\Classes\Interface\{71E02280-5212-45C3-B174-4D5A35DA254F}

========== Valeur(s) du Registre ==========
Valeur supprimée avec succès FirewallRaz (SP) : C:\Users\wilfried\AppData\Local\Temp\Rar$EX00.141\WoWEmu For OverGame\over-game emu.exe
Valeur supprimée avec succès FirewallRaz (SP) : C:\Users\wilfried\Desktop\s\over-game emu.exe
Aucune valeur présente dans la clé de registre "Domain Profile" FirewallRaz :
Valeur supprimée avec succès FirewallRaz (Domain) : FPS-SpoolSvc-In-TCP-NoScope
Valeur supprimée avec succès FirewallRaz (Public) : FPS-SpoolSvc-In-TCP
Valeur supprimée avec succès FirewallRaz (Domain) : CoreNet-GP-LSASS-Out-TCP
Valeur supprimée avec succès FirewallRaz (Domain) : RemoteSvcAdmin-In-TCP-NoScope
Valeur supprimée avec succès FirewallRaz (Public) : RemoteSvcAdmin-In-TCP
Valeur supprimée avec succès FirewallRaz (Domain) : NetPres-In-TCP-NoScope
Valeur supprimée avec succès FirewallRaz (Domain) : NetPres-Out-TCP-NoScope
Valeur supprimée avec succès FirewallRaz (None) : NetPres-WSD-In-UDP
Valeur supprimée avec succès FirewallRaz (None) : NetPres-WSD-Out-UDP
Valeur supprimée avec succès FirewallRaz (Public) : NetPres-In-TCP
Valeur supprimée avec succès FirewallRaz (Public) : NetPres-Out-TCP
Valeur supprimée avec succès FirewallRaz (Private) : {3D52F4CC-669F-4570-9D58-CDA423337CDE}
Valeur supprimée avec succès FirewallRaz (Private) : {6A12E6F6-59E3-455E-A3FA-EDFBF6AD002C}

========== Dossier(s) ==========
Dossiers temporaires Windows supprimés: 88

========== Fichier(s) ==========
Supprimé et mis en quarantaine c:\users\wilfried\appdata\roaming\microsoft\windows\start menu\programs\social games.lnk
Supprimé et mis en quarantaine c:\users\wilfried\appdata\roaming\microsoft\internet explorer\quick launch\ebay.lnk
Fichiers temporaires Windows supprimés : 98

========== Tache planifiée ==========
Tâche supprimée avec succès AutoKMS

========== Récapitulatif ==========
6 : Clé(s) du Registre
16 : Valeur(s) du Registre
1 : Dossier(s)
3 : Fichier(s)
1 : Tache planifiée

End of the scan

Ouvre le bloc notes

Copie colle ce texte ( en gras ) ci dessous dans ce document. ( sans les ========)
==========================================
Windows Registry Editor Version 5.00

[-HKCR\Interface\{65A16874-2ED0-460E-A547-5FE2EC3A13A7}]
[-HKLM\Software\Classes\Interface\{65A16874-2ED0-460E-A547-5FE2EC3A13A7}]
[-HKCR\Interface\{71E02280-5212-45C3-B174-4D5A35DA254F}]
[-HKLM\Software\Classes\Interface\{71E02280-5212-45C3-B174-4D5A35DA254F}]


==========================================

Nomme le fichier nanard.reg, et enregistre le sur le bureau.
tu obtiens une icone comme celle ci => http://img216.imageshack.us/img216/6931/regfix1yf1.jpg
Lance ce fichier et accepte de le fusionner avec le registre
Redémarre ton PC.
Postes un nouveau rapport ZHPDiag .

https://pjjoint.malekal.com/files.php?id=d7488a6f1f8145

voila le raport

Tu viens de réinfecter ton pc avec babylon.
O43 - CFD: 02/06/2011 - 14:55:36 - [415232] ----D- C:\Program Files\Babylon

supprime ce programme par le panneau de configuration et fais ce qui suit.

* Télécharge et installe : Malwarebyte's Anti-Malware
* (NB : S'il te manque"COMCTL32.OCX" lors de l'installe, alors télécharge le ici : https://www.malekal.com/tutorial-aboutbuster/
* A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
* Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
* Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet" puis "Rechercher"
* Sélectionne tes disques durs" puis clique sur "Lancer l'examen"
* A la fin du scan, clique sur Afficher les résultats
* Coche tous les éléments détectés puis clique sur Supprimer la sélection
* Enregistre le rapport
* S'il t'est demandé de redémarrer, clique sur Yes
* Poste le rapport de scan après la suppression ici.(poste le rapport, même si rien n'est détecté.)
* Si tu as besoin d'aide regarde ce tutorial
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/