Aide suite a virus

Re,
j'ai vu dans un post voisin, quelqu'un qui avait le meme probleme que moi. Quelqu'un lui a mis ca:

1)* Télécharger sur le bureau RogueKiller(par Tigzy)
* Quitter tous les programmes en cours
* Sous Vista/Seven , clic droit -> lancer en tant qu'administrateur
* Sinon lancer simplement RogueKiller.exe
* Lorsque demandé, taper 2 et valider
* Un rapport à dû s'ouvrir (RKreport.txt se trouve également à côté de l'exécutable), donner son contenu à la personne qui vous aide
* Si le programme a été bloqué, ne pas hésiter a essayé plusieurs fois. Si vraiment cela ne passe pas (ça peut arriver), le renommer en winlogon.exe

2)Relance ensuite RogueKiller et passe à l'option 6

Je l'ai fait et ca m'a tout restauré.

Y'aurai t"il quelqu'un pour regarder mes rapport, voir si tout va bien?

sallut poste tes rapports :)

Merci,

étape 2:

RogueKiller V5.2.6 [27/06/2011] par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html

Systeme d'exploitation: Windows Vista (6.0.6001 Service Pack 1) 32 bits version
Demarrage : Mode normal
Utilisateur: loic [Droits d'admin]
Mode: Suppression -- Date : 23/06/2011 19:50:11

Processus malicieux: 1
[SUSP PATH] cacaoweb.exe -- c:\users\loic\appdata\roaming\cacaoweb\cacaoweb.exe -> KILLED

Entrees de registre: 9
[SUSP PATH] HKCU\[...]\Run : cacaoweb ("C:\Users\loic\AppData\Roaming\cacaoweb\cacaoweb.exe" -noplayer) -> DELETED
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKCU\[...]\ClassicStartMenu : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKCU\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)
[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)
[HJ] HKCU\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)
[HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> REPLACED (0)
[HJ] HKCU\[...]\NewStartPanel : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> REPLACED (0)

Fichier HOSTS:
127.0.0.1 localhost
::1 localhost

Termine : << RKreport[1].txt >>
RKreport[1].txt

etape 6:

RogueKiller V5.2.6 [27/06/2011] par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html

Systeme d'exploitation: Windows Vista (6.0.6001 Service Pack 1) 32 bits version
Demarrage : Mode normal
Utilisateur: loic [Droits d'admin]
Mode: Raccourcis RAZ -- Date : 23/06/2011 19:54:14

Processus malicieux: 0

Attributs de fichiers restaures:
Bureau: Success 5123 / Fail 1
Lancement rapide: Success 16 / Fail 0
Programmes: Success 7213 / Fail 0
Menu demarrer: Success 42 / Fail 0
Dossier utilisateur: Success 14697 / Fail 1
Mes documents: Success 3386 / Fail 0
Mes favoris: Success 44 / Fail 0
Mes images: Success 126 / Fail 0
Ma musique: Success 772 / Fail 0
Mes videos: Success 9 / Fail 0
Disques locaux: Success 14876 / Fail 1
Sauvegarde: [FOUND] Success 23 / Fail 2

Lecteurs:
[C:] \Device\HarddiskVolume3 -- 0x3 --> Restored
[D:] \Device\HarddiskVolume2 -- 0x3 --> Restored
[E:] \Device\CdRom0 -- 0x5 --> Skipped
[F:] \Device\CdRom1 -- 0x5 --> Skipped

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

ok

desactive ton antivirus
desactive Windows defender si présent
desactive ton pare-feu

Ferme toutes tes appilications en cours

telecharge et enregistre ceci sur ton bureau :

Pre_Scan

mirroir :

http://www.archive-host.com

s'il n'est pas sur ton bureau coupe-le de ton dossier telechargements et colle-le sur ton bureau

Avertissement: Il y aura une extinction courte du bureau --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan.txt" sur le bureau.

si 'outil est bloqué par l'infection utilise cette version : Version .pif

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

si l'outil semble ne pas avoir fonctionné renomme-le winlogon , ou change son extension en .com ou .scr

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan.txt qui apparaitra sur le bureau en fin de scan

▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)

clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.

Voici:
http://www.cijoint.fr/cjlink.php?file=cj201106/cijxEGXtI9.txt

Par contre je sais pas si c'est tres important, mais j'avais cette page ouverte au debut.

tu n'as desactivé aucune protection

desactive la sandbox d'avast aussi

tu n'as pas suivi les instructions , il n'est pas sur le bbureau

¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_developpement_¤¤¤¤¤¤¤¤¤¤
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Ouvrez Avast ---> Cliquez sur Protection suplémentaire ---> Autosandbox, Paramètre: Décochez "activer autosandbox" ---> OK et fermer.

Voila, normalement c'est bon cette fois:
http://www.cijoint.fr/cjlink.php?file=cj201106/cijIyOHCHt.txt

desinstalle spybot, babylon , daemon tools toolbar , et conduit si c'est possible

=======================================

le surf pourri que tu as....

=========================================

fais glisser une icone n'importe quel fichier sur Pre_scan , pre_script va apparaitre

ouvre Pre_script et colle ce qui suit en gras, à l'interieur du texte qui s'ouvre ,
sans les lignes , en une seule fois en le mettant en surbrillance :
___________________________________________________
Registry::
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{53707962-6F74-2D53-2644-206D7942484F}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9CFACCB6-2F3F-4177-94EA-0D2B72D384C1}]
[-HKCU\Software\Babylon]
[-HKCU\Software\cacaoweb]
[-HKCU\Software\Spointer]
[-HKCU\Software\Totem]
[-HKLM\Software\Babylon]
[-HKLM\Software\Conduit]

file::
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Navigateur OfferBox.lnk
C:\ProgramData\bltofzsb.qlf

folder::
C:\Users\loic\AppData\Roaming\Babylon
C:\ProgramData\Babylon
C:\Users\loic\AppData\Local\TempDIR
C:\Program Files\DAEMON Tools Toolbar
C:\Users\loic\AppData\Local\moovida Air
C:\Program Files\Babylon
C:\Program Files\Fluendo
C:\Users\loic\AppData\Local\Babylon
C:\ProgramData\{3276BE95_AF08_429F_A64F_CA64CB79BCF6}
C:\Program Files\Babylon
C:\Users\loic\AppData\Roaming\moovida-1
C:\Program Files\Spybot - Search & Destroy
C:\Users\loic\AppData\Local\Temp\Low\24104666-a954-405b-8ef4-c21710a7d97e
C:\Users\loic\AppData\Roaming\cacaoweb
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Babylon
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Spybot - Search & Destroy

attrib::
___________________________________________________

copie-le (ctrl+c ou clique droit sur la selection puis => copier)

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

Le voila:

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Utilisateur : loic (Administrateurs)
Ordinateur : PC-DE-LOIC
Système d'exploitation : Windows Vista (TM) Business (32 bits)
Internet Explorer : 7.0.6001.18000
Mozilla Firefox : 4.0.1 (fr)

Switchs possibles :

processes:: | file:: | folder::
Registry:: | Driver:: | replace::
txt:: | Host:: | DNS:: | NsLook::
Command:: | list:: | attrib::

Script : 21:58:26

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

switchs :

file::
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Navigateur OfferBox.lnk
C:\ProgramData\bltofzsb.qlf

folder::
C:\Users\loic\AppData\Roaming\Babylon
C:\ProgramData\Babylon
C:\Users\loic\AppData\Local\TempDIR
C:\Program Files\DAEMON Tools Toolbar
C:\Users\loic\AppData\Local\moovida Air
C:\Program Files\Babylon
C:\Program Files\Fluendo
C:\Users\loic\AppData\Local\Babylon
C:\ProgramData\{3276BE95_AF08_429F_A64F_CA64CB79BCF6}
C:\Program Files\Babylon
C:\Users\loic\AppData\Roaming\moovida-1
C:\Program Files\Spybot - Search & Destroy
C:\Users\loic\AppData\Local\Temp\Low\24104666-a954-405b-8ef4-c21710a7d97e
C:\Users\loic\AppData\Roaming\cacaoweb
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Babylon
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Spybot - Search & Destroy

Registry::
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{53707962-6F74-2D53-2644-206D7942484F}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9CFACCB6-2F3F-4177-94EA-0D2B72D384C1}]
[-HKCU\Software\Babylon]
[-HKCU\Software\cacaoweb]
[-HKCU\Software\Spointer]
[-HKCU\Software\Totem]
[-HKLM\Software\Babylon]
[-HKLM\Software\Conduit]

attrib::

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Modification du registre effectuéé

¤

Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Navigateur OfferBox.lnk
Supprimé : C:\ProgramData\bltofzsb.qlf

¤

Absent : C:\Users\loic\AppData\Roaming\Babylon
Absent : C:\ProgramData\Babylon
Supprimé : C:\Users\loic\AppData\Local\TempDIR
Supprimé : C:\Program Files\DAEMON Tools Toolbar
Supprimé : C:\Users\loic\AppData\Local\moovida Air
Absent : C:\Program Files\Babylon
Supprimé : C:\Program Files\Fluendo
Absent : C:\Users\loic\AppData\Local\Babylon
Supprimé : C:\ProgramData\{3276BE95_AF08_429F_A64F_CA64CB79BCF6}
Absent : C:\Program Files\Babylon
Supprimé : C:\Users\loic\AppData\Roaming\moovida-1
Supprimé : C:\Program Files\Spybot - Search & Destroy
Supprimé : C:\Users\loic\AppData\Local\Temp\Low\24104666-a954-405b-8ef4-c21710a7d97e
Supprimé : C:\Users\loic\AppData\Roaming\cacaoweb
Absent : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Babylon
Absent : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Spybot - Search & Destroy

¤

Disques externes : 67 Objets réattribués
Disque Local : 6 Objets réattribués
Utilisateurs : 1 Objets réattribués
ProgramFiles : 13 Objets réattribués
Music : 2 Objets réattribués
Pictures : 0 Objets réattribués
Videos : 0 Objets réattribués
Downloads : 0 Objets réattribués
Desktop : 36 Objets réattribués
Links : 0 Objets réattribués
Searches : 0 Objets réattribués
Contacts : 0 Objets réattribués
Saved Games : 0 Objets réattribués
Favorites : 0 Objets réattribués
Documents : 6 Objets réattribués
Windows : 67 Objets réattribués
StartMenu : 2 Objets réattribués
Librairies : 0 Objets réattribués
Quick Launch : 0 Objets réattribués
%AppData% : 36 Objets réattribués

¤

Fin : 22:03:32

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

Télécharge ici :OTL

▶ enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur OTL.exe pour le lancer.

▶ => Clique ici pour voir la Configuration

▶Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

juste au niveau du bouton , en fin de chargement du fichier , Un lien de cette forme apparaitra :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

▶ Copie ce lien dans ta réponse.

▶▶ Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

Je ferai ca demain. En tout cas, merci pour ton aide.
Il y a encore beaucoup de fichiers infectés?

j'en sais rien je n'ai pas encore lu le diagnostic que je te demande précédement ! :)

Bizarrement quand je les enregistrais sur mon bureau, je ne les voyais pas.. J'ai pas trop compris. Obligé de copier coller dans un autre bloc note et de l'enregistrer a partir de la.
Bref voici les deux rapports :)

otl:
http://www.cijoint.fr/cjlink.php?file=cj201106/cijjKUGwmr.txt

extra:
http://www.cijoint.fr/cjlink.php?file=cj201106/cij2u7Yjn3.txt

hello

▶ Télécharge Reload_TDSSKiller

▶ Lance le

choisis : lancer le nettoyage

l'outil va automatiquement télécharger la derniere version puis

TDSSKiller va s'ouvrir , clique sur "Start Scan"

une fois qu'il a terminé , redemarre s'il te le demande pour finir de nettoyer

sinon , ferme tdssKiller et le rapport s'affichera sur le bureau

▶ Copie/Colle son contenu dans ta prochaine réponse.

Bonjour,
Désolé pour le retard...
Bon a priori c'est fini, j'ai fait ce que tu m'a demandé, et a la fin du scan, une fenetre s'ouvre et "infected files: not found" :)

ah c'est bien mais j'ai demandé le rapport

2011/06/24 00:32:46.0496 3712 TDSS rootkit removing tool 2.5.9.0 Jul 1 2011 18:45:21
2011/06/24 00:32:47.0073 3712 ================================================================================
2011/06/24 00:32:47.0074 3712 SystemInfo:
2011/06/24 00:32:47.0074 3712
2011/06/24 00:32:47.0074 3712 OS Version: 6.0.6001 ServicePack: 1.0
2011/06/24 00:32:47.0074 3712 Product type: Workstation
2011/06/24 00:32:47.0074 3712 ComputerName: PC-DE-LOIC
2011/06/24 00:32:47.0075 3712 UserName: loic
2011/06/24 00:32:47.0075 3712 Windows directory: C:\Windows
2011/06/24 00:32:47.0075 3712 System windows directory: C:\Windows
2011/06/24 00:32:47.0075 3712 Processor architecture: Intel x86
2011/06/24 00:32:47.0075 3712 Number of processors: 2
2011/06/24 00:32:47.0075 3712 Page size: 0x1000
2011/06/24 00:32:47.0075 3712 Boot type: Normal boot
2011/06/24 00:32:47.0075 3712 ================================================================================
2011/06/24 00:32:47.0084 3712 SetPrivileges failed!
2011/06/24 00:32:55.0172 3712 !crdlk
2011/06/24 00:32:55.0182 3712 Initialize success
2011/06/24 00:33:02.0407 2696 ================================================================================
2011/06/24 00:33:02.0407 2696 Scan started
2011/06/24 00:33:02.0407 2696 Mode: Manual;
2011/06/24 00:33:02.0407 2696 ================================================================================
2011/06/24 00:33:25.0744 2696 ================================================================================
2011/06/24 00:33:25.0744 2696 Scan finished
2011/06/24 00:33:25.0744 2696 ================================================================================
2011/06/24 00:33:25.0775 3968 Detected object count: 0
2011/06/24 00:33:25.0775 3968 Actual detected object count: 0

Pour la date et l'heure faut pas faire attention ca a toujours déconné sur mon ordi ^^

ok repasse-le en mode sans echec

quand la fenetre noire s'ouvre , tu la fermes , et tdsskiller s'ouvrira derriere