Rootkit - Page 2

parfait ;)

▶ Relance AD-Remover, clique sur Nettoyer
▶ Laisse le pc redémarrer.
▶ Une fois revenu sur le bureau,héberge ce rapport : C:\AD-Report[CLEAN]1.txt

je crois que j'ai désinstaller babylon comme ça mais je ne suis pas sure parce qu'il était sur explorer et je n'utilise que firefox
"Bonjour,
Je viens de désinstaller Babylon, grâce à la méthode d'un internaute que je remercie :
Je te donne le cheminement (vraiment bien fait) car, je ne sais plus son adresse d'internaute.
Panneau de configuration puis faire option internet, et là inscrire ta page d'accueil faire appliquer et ok puis reviens sur le bureau et reconnecte toi ; ta nouvelle page d'accueil s'affichera.
Bon succès et salut"

http://www.cijoint.fr/cjlink.php?file=cj201106/cij89GYoPb.txt

je suis en train de faire un scan avec avast et il y a encore un fichier infecté

pas complet le rapport ad-remover, c est tout ce qu'il y a ?
coupe avast et sa sandbox pour le moment, repasse un coup de nettoyage avec ad-remover

http://www.cijoint.fr/cjlink.php?file=cj201106/cijhCqu0oc.txt

good. :]

▶ Télécharge MBAM et installe le selon l'emplacement par défaut
https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/
▶ Effectue la mise à jour et lance Malwarebytes' Anti-Malware
▶ Clique dans l'onglet du haut "Recherche"
▶ Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher"
▶ Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen"

A la fin de l'analyse, si MBAM n'a rien trouvé :

▶ Clique sur OK, le rapport s'ouvre spontanément

Si des menaces ont été détectées :

▶ Clique sur OK puis "Afficher les résultats"
▶ Choisis l'option "Supprimer la sélection"
▶ Si MBAM demande le redémarrage de Windows : Clique sur "Oui"
▶ Une fois le PC redémarré, le rapport se trouve dans l'onglet "Rapports/Logs"
▶ Sinon le rapport s'ouvre automatiquement après la suppression

Quelque soit le résultat, copie/colle le rapport dans le prochain message

▶ ▶ Si tu n''arrive pas à le mettre à jour, télécharge ce fichier , ferme MBAM, et exécute le

http://www.cijoint.fr/cjlink.php?file=cj201106/cijlZAe44Q.txt

Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org

Version de la base de données: 6913

Windows 6.0.6002 Service Pack 2
Internet Explorer 9.0.8112.16421

22/06/2011 02:40:00
mbam-log-2011-06-22 (02-40-00).txt

Type d'examen: Examen complet (C:\|D:\|E:\|)
Elément(s) analysé(s): 372367
Temps écoulé: 1 heure(s), 45 minute(s), 21 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Chaaalut °)

-> Ouvre ZHPDiag, clique sur la loupe
Aux 100% tu le ferme
Envoie ZHPDiag.txt sur ton bureau sur un hébergeur de rapport et poste le lien obtenu

https://pjjoint.malekal.com/files.php?id=8a63d3786d9511

on termine ^^
copie ce texte en gras:

[MD5.A64DA4EF938434F19142F964296347BF] - (.SweetIM Technologies Ltd. - SweetIM Instant Messenger Enhancer.) -- C:\Program Files\SweetIM\Messenger\SweetIM.exe [111928] => Infection Diverse (Backdoor.Sinowal)
R4 - HKCU\SOFTWARE\Microsoft\Internet Explorer\PhishingFilter,Enabled = 0 => Infection Rogue (Possible)
O43 - CFD: 26/03/2011 - 17:50:02 - [0] ----D- C:\Program Files\Babylon => Infection BT (Toolbar.Babylon)
O69 - SBI: SearchScopes [HKCU] {9BB47C17-9C68-4BB3-B188-DD9AF0FD2A69} - (Web Search) - http://search.bearshare.net/ => Infection BT (Adware.Bandoo)
[HKLM\Software\Classes\TypeLib\{2D5E2D34-BED5-4B9F-9793-A31E26E6806E}] => Infection BT (Adware.Hotbar)
[HKLM\Software\Classes\CLSID\{2EECD738-5844-4a99-B4B6-146BF802613B}] => Infection BT (Toolbar.Babylon)
[HKLM\Software\Classes\CLSID\{761f6a83-f007-49e4-8eac-cdb6808ef06f}] => Infection BT (Adware.2Search)
[HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2A69}] => Infection BT (Adware.BearShare)
[HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2A69}] => Infection BT (Adware.BearShare)
C:\Program Files\Babylon => Infection BT (Toolbar.Babylon)
C:\Users\Justine\Appdata\LocalLow\BabylonToolbar => Infection BT (Toolbar.Babylon)
M3 - MFPP: Plugins - [Justine] -- C:\Program Files\Mozilla FireFox\searchplugins\BearShareWebSearch.xml => BearShare Toolbar
[HKCU\Software\SweetIM] => Toolbar.SweetIM
[HKLM\Software\SweetIM] => Toolbar.SweetIM
O43 - CFD: 22/06/2011 - 00:11:46 - [4136624] ----D- C:\Program Files\SweetIM => Toolbar.SweetIM
O43 - CFD: 26/03/2011 - 17:49:08 - [0] ----D- C:\Program Files\ToolbarInstaller => Toolbar.Agent
O43 - CFD: 28/02/2011 - 18:57:34 - [1330357] ----D- C:\ProgramData\SweetIM => Toolbar.SweetIM
[MD5.4CF003B5D20C351A1AA4A343267A7832] [SPRF] (.Conduit Ltd. - Conduit Toolbar.) -- C:\Users\Justine\AppData\Local\Temp\tbSof0.dll [4214056]
[HKLM\Software\Classes\TypeLib\{4d3b167e-5fd8-4276-8fd7-9df19c1e4d19}] => Toolbar.SweetIM
[HKLM\Software\Classes\CLSID\{82ac53b4-164c-4b07-a016-437a8388b81a}] => Toolbar.SweetIM
[HKCU\Software\SweetIM] => Toolbar.SweetIM
[HKLM\Software\SweetIM] => Toolbar.SweetIM
C:\Program Files\SweetIM => Toolbar.SweetIM
C:\ProgramData\SweetIM => Toolbar.SweetIM
O3 - Toolbar: (no name) - {c2d64ff7-0ab8-4263-89c9-ea3b0f8f050c} . (...) -- (.not file.) => Fichier absent
O4 - HKLM\..\Run: [SweetIM] . (.SweetIM Technologies Ltd. - SweetIM Instant Messenger Enhancer.) -- C:\Program Files\SweetIM\Messenger\SweetIM.exe => Macrogaming®SweetIM
Emptytemp
firewallraz

ouvre zhpfix
clique sur le bouton H puis les lignes copiées vont apparaitre. clique sur le bouton GO
poste le rapport

alors la premiere fois que j'ai essayé ça m'a carrément viré tout le bureau dc j'ai redémarré l'ordi. et la 2eme fois idem sauf qu'un ecran bleu ac des inscriptions blanches est apparu et ça a éteint l'ordi.

je suis dsl mais je vais arréter car ç'a ma encore refait la mm chose alors l'ordi arrete pas de planter c pas top

Rapport de ZHPFix 1.12.3322 par Nicolas Coolman, Update du 22/06/2011
Fichier d'export Registre : C:\ZHPExportRegistry-22-06-2011-12-08-30.txt
Run by Justine at 22/06/2011 12:08:30
Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Module(s) mémoire ==========
SUPPRIME Memory Module: C:\Users\Justine\AppData\Local\Temp\tbSof0.dll

========== Clé(s) du Registre ==========
SUPPRIME Key: SearchScopes :{9BB47C17-9C68-4BB3-B188-DD9AF0FD2A69}
SUPPRIME Key: HKLM\Software\Classes\TypeLib\{2D5E2D34-BED5-4B9F-9793-A31E26E6806E}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{2EECD738-5844-4a99-B4B6-146BF802613B}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{761f6a83-f007-49e4-8eac-cdb6808ef06f}
ABSENT Key: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2A69}
SUPPRIME Key: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2A69}
SUPPRIME Key: HKCU\Software\SweetIM
SUPPRIME Key: HKLM\Software\SweetIM
SUPPRIME Key: HKLM\Software\Classes\TypeLib\{4d3b167e-5fd8-4276-8fd7-9df19c1e4d19}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{82ac53b4-164c-4b07-a016-437a8388b81a}
ABSENT Key: HKCU\Software\SweetIM
ABSENT Key: HKLM\Software\SweetIM

========== Valeur(s) du Registre ==========
SUPPRIME Toolbar: {c2d64ff7-0ab8-4263-89c9-ea3b0f8f050c}
SUPPRIME RunValue: SweetIM
ABSENT Valeur Standard Profile: FirewallRaz :
ABSENT Valeur Domain Profile: FirewallRaz :
SUPPRIME FirewallRaz (None) : {7E4FA3E7-A791-4423-91F2-381ED67DA1F8}
SUPPRIME FirewallRaz (Public) : TCP Query User{08DA0317-CABA-47B4-B2A5-922DDF569804}C:\program files\limewire\limewire.exe
SUPPRIME FirewallRaz (Public) : UDP Query User{D7F5F10A-CE12-4680-8D7E-73102FC08A27}C:\program files\limewire\limewire.exe
SUPPRIME FirewallRaz (Domain) : {E31937F4-2773-4118-9D4C-B42B4F9F4B89}
SUPPRIME FirewallRaz (Domain) : {CC2D9112-C6A9-43A3-A1ED-7332C903F912}
SUPPRIME FirewallRaz (Private) : {0F41297B-5A83-49CB-BD7C-219F89FFBFB3}
SUPPRIME FirewallRaz (Private) : {4E29571E-4C6E-4A8D-8F1D-26960877B9B5}
SUPPRIME FirewallRaz (Public) : TCP Query User{43C42756-538C-4EFA-B496-8E0F16174209}C:\program files\bearshare applications\bearshare\bearshare.exe
SUPPRIME FirewallRaz (Public) : UDP Query User{225380B2-3E8D-454D-ADE0-07C7D465C6AC}C:\program files\bearshare applications\bearshare\bearshare.exe
SUPPRIME FirewallRaz (None) : {46405572-E05D-4064-A6BC-A631128DE12F}
SUPPRIME FirewallRaz (None) : {231B87D7-92A4-4EC6-9272-9D14FC44B442}
SUPPRIME FirewallRaz (None) : {1987C086-9209-4376-9A15-9DBEE5D123CB}
SUPPRIME FirewallRaz (None) : {857FBD66-3715-429A-B874-071280A7B535}

========== Dossier(s) ==========
ABSENT C:\Program Files\Babylon
SUPPRIME Reboot C:\Program Files\SweetIM
SUPPRIME C:\Program Files\ToolbarInstaller
SUPPRIME Reboot C:\ProgramData\SweetIM
SUPPRIME Temporaires Windows: : 110

========== Fichier(s) ==========
ABSENT Folder/File: c:\program files\babylon
SUPPRIME File: C:\Users\Justine\Appdata\LocalLow\BabylonToolbar
SUPPRIME c:\program files\mozilla firefox\searchplugins\bearsharewebsearch.xml
SUPPRIME File: C:\ProgramData\SweetIM
ERREUR Folder: c:\program files\sweetim\messenger\sweetim.exe ()
SUPPRIME Temporaires Windows: : 158

========== Récapitulatif ==========
1 : Module(s) mémoire
12 : Clé(s) du Registre
17 : Valeur(s) du Registre
5 : Dossier(s)
6 : Fichier(s)

========== Chemin du fichier rapport ==========
C:\Program Files\ZHPDiag\ZHPFixReport.txt

End of the scan

Voilà :)

Procédure d'optimisation/d'entretien/de prévention

▶ Télécharge ici : PureRa (par l''editeur de JavaRa)

▶ Lance-le (clic droit "executer en tant qu''administrateur" pour Vista/7)

=> Configuration en vidéo ( merci gen-hackman )

▶ clique sur "Clean"

▶ L''outil va faire son scan puis son nettoyage

▶ à la fin du rapport tu auras une ligne comme ca :

Total space cleaned: 8140878 bytes

▶ transmets juste cette ligne , le reste importe peu

------

▶ télécharge et installe Ccleaner

▶ double-clique sur le fichier pour lancer l''installation

/!\Utilisateur de Vista et windows 7 : Clique droit sur le logo de Ccleaner, « exécuter en tant qu''administrateur »

▶ ▶ une fois ouvert tu cliques sur option et puis avancé
▶ tu décoches "effacer uniquement les fichiers du dossier temp de windows plus vieux que 24 heures "
▶ ▶ cliques sur nettoyeur
▶ cliques sur windows et dans la colonne avancé
▶ coches la première case "vieilles données du perfetch"
▶ cliques sur analyse une fois l''analyse terminé
▶ cliques sur "lancer le nettoyage" et sur la demande de confirmation "OK" ▶ ▶ cliques maintenant sur registre et puis sur "rechercher les erreurs "
▶ laisses tout cochées et cliques sur "réparer les erreurs sélectionnées"
▶ il te demande de sauvegarder ==> OUI
▶ tu lui donnes un nom pour pouvoir la retrouver et enregistre
▶ cliques sur "corriger toutes les erreurs sélectionnées" et sur la demande de confirmation ==> OK
▶ Vérifie qu''il ne reste plus rien en relançant "rechercher les erreurs"
▶ tu retournes dans option et tu recoches la case "effacer uniquement les fichiers du dossier temp de windows plus vieux que 24 heures" et sur nettoyeur windows, sous avancé, tu décoches la première case "vieilles données du perfetch"
▶ tu peux fermer Ccleaner

------

Fais une recherche des erreurs de disque :
ouvre Ordinateur/Poste de travail => clic droit sur C: => propriétés => outils => Vérification des erreurs cliquez sur vérifier maintenant. Ensuite cochez les deux cases puis cliquez sur démarrer. Répondez oui pour le message d''avertissement et redémarrez votre système.

------

Défragmente tes disques dur :
Télécharge Deffragler, et défragmente tes disques.

------

▶ Désactivation, puis Réactivation de la restauration système après désinfection :

Il est nécessaire de désactiver puis réactiver la restauration système pour la purger car les points de restauration peuvent être infectés :

XP/Vista : http://www.forum-fec.net/t97-purger-la-restauration-du-systeme
Seven: http://www.forum-fec.net/faq-tutoriel-astuces-f10/purger-la-restauration-du-systeme-sous-windows-7-t142.htm

------

▶ Mises à jour Windows :

Il est très important de maintenir son système à jour car ceci comble les failles de sécurité par lesquelles les malwares ("virus") s'introduisent ...

▶ Windows Update XP (uniquement avec Internet Explorer): http://update.microsoft.com/windowsupdate/v6/thanks.aspx?ln=fr&&thankspage=5

▶ Windows Update Vista/Seven : cliquer sur le logo windows, dans la rechercher taper "Windows Update", cliquer sur le résultat.

-----

▶ Mets à jour Java : https://www.java.com/fr/download/uninstalltool.jsp

▶ Désinstaller les anciennes versions de Java :

▶ Télécharge JavaRa.zip

▶ Décompresse le fichier sur ton bureau (clique droit > Extraire tout.)

▶ Double-clique sur le répertoire JavaRa obtenu.

▶ Puis double-clique sur le fichier JavaRa.exe (le .exe peut ne pas s''afficher)

▶ Clique sur Remove Older Versions.

▶ Clique sur Oui pour confirmer. L''outil va travailler, clique ensuite sur Ok, puis une deuxième fois sur Ok.

▶ Un rapport va s''ouvrir, copie-colle le dans ta prochaine réponse.

▶ Note : le rapport se trouve aussi là : ( C:\JavaRa.log )

▶ Tu peux fermer l''application

▶ ▶ Met à jour les logiciels Adobe :

▶ Reader : https://get2.adobe.com/fr/reader/otherversions/

▶ Flash Player: https://get.adobe.com/flashplayer/?loc=fr

-----

▶ ▶ pour supprimer les outils de désinfection :

▶ Télécharge Delfix sur ton bureau :

▶ Clique sur le bouton « Suppression » et poste son rapport sur ton prochain message
▶ ▶ Pour le désinstaller, il suffit de le relancer et cliquer sur le bouton de désinstallation.

------

Tu peux garder Malwarebytes pour un scan de temps à autres

-----

Tu peux lire ce sujet sur les logiciels recommandés, et les attitudes responsables sur le web
Et celui ci, sur les logiciels gratuits à éviter

------

Si tu utilise FireFox, vérifie que tes plug in sont à jour : https://support.mozilla.org/en-US/kb/npapi-plugins

-----

▶ ▶ Pense à marquer le fil comme résolu

------

Si tu as d''autres questions, je t''écoute avec plaisir :)
On se quitte si le rapport DelFix est ok...

@+

sauf qu'il est en zip et je ne sais pas faire

# DelFix v8.1 - Rapport créé le 22/06/2011 à 15:12
# Mis à jour le 20/06/11 à 19h par Xplode
# Système d'exploitation : Windows Vista (TM) Home Premium (32 bits) [version 6.0.6002] Service Pack 2
# Nom d'utilisateur : Justine - PC-DE-JUSTINE (Administrateur)
# Exécuté depuis : C:\Users\Justine\Desktop\DelFix.exe
# Option [Suppression]

~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\Program Files\Ad-Remover
Supprimé : C:\Program Files\ZHPDiag
Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\Users\Justine\Desktop\AD-R.lnk
Supprimé : C:\Users\Public\Desktop\ZHPDiag.lnk
Supprimé : C:\Users\Public\Desktop\ZHPFix.lnk

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\SOFTWARE\Ad-Remover
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Ad-Remover
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1

~~~~~~ Autre ~~~~~~

-> Prefetch vidé

########## EOF - "C:\DelFixSuppr.txt" - [1089 octets] ##########

j'ai essayé plusieurs fois mais je n'ai pas de rapport pour java.

ça arrive régulièrement pas de problème ;)

rapport delfix : ok

prudence et bon surf :)