Besoin d'aide "rootkit" URGENT!!

Résolu
Bonjour,

Voila quelque jour que mon ordi s'est fait infecté et que je galere pour le désinfecté, j'ai demandé de l'aide a tigzy qui m'a conseillé d'utilisé roguekiller en mode 1 et en mode 2 (voir rapport plus bas) suite a ses rapport il m'a conseillé de finir avec malwarebyte seulement le programme est bloqué, l'ordinateur ne veut pas ouvrir et me dit que je ne dois plus avoir les droit d'administrateur ou un truc du genre. Tigzy m'a dit que c'était dû a un "rootkit" je n'ai aucune connaissance avancé en informatique et j'ai vraiment besoin de désinfecté l'ordinateur, quelqu'un peut-il m'aider? c'est vraiment URGENT!!

Voici les deux rapports de RogueKiller :
RK en mode 1 :


RogueKiller V5.2.7 [30/06/2011] par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode sans echec avec prise en charge reseau
Utilisateur: Alice' [Droits d'admin]
Mode: Recherche -- Date : 09/07/2011 17:21:19

Processus malicieux: 0

Entrees de registre: 17
[SUSP PATH] HKCU\[...]\Run : rejygLBkhvvh (C:\ProgramData\rejygLBkhvvh.exe) -> FOUND
[SUSP PATH] HKUS\S-1-5-21-4160301366-2102374059-2991477803-1000[...]\Run : rejygLBkhvvh (C:\ProgramData\rejygLBkhvvh.exe) -> FOUND
[SUSP PATH] Notification de cadeaux MSN.lnk : C:\Users\Alice'\AppData\Roaming\Microsoft\Notification de cadeaux MSN\lsnfier.exe -> FOUND
[PROXY IE] HKCU\[...]\Internet Settings : ProxyEnable (1) -> FOUND
[FILEASSO] \ "C:\Users\Alice'\AppData\Local\av.exe" /START "C:\Program Files\Internet Explorer\iexplore.exe": -> FOUND
[HJPOL] HKCU\[...]\System : DisableTaskMgr (1) -> FOUND
[HJPOL] HKLM\[...]\System : DisableTaskMgr (1) -> FOUND
[HJ] HKCU\[...]\ActiveDesktop : NoChangingWallPaper (1) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKCU\[...]\ClassicStartMenu : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKCU\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND
[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND
[HJ] HKCU\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND
[HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> FOUND
[HJ] HKCU\[...]\NewStartPanel : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> FOUND
[FILEASSO] HKLM\[...]Software\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command : ("C:\Users\Alice'\AppData\Local\av.exe" /START "C:\Program Files\Internet Explorer\iexplore.exe") -> FOUND

Fichier HOSTS:
127.0.0.1 localhost
::1 localhost

Termine : << RKreport[1].txt >>
RKreport[1].txt

et RK en mode 2 :

RogueKiller V5.2.7 [30/06/2011] par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode sans echec avec prise en charge reseau
Utilisateur: Alice' [Droits d'admin]
Mode: Suppression -- Date : 10/07/2011 15:54:18

Processus malicieux: 0

Entrees de registre: 16
[SUSP PATH] HKCU\[...]\Run : rejygLBkhvvh (C:\ProgramData\rejygLBkhvvh.exe) -> DELETED
[SUSP PATH] Notification de cadeaux MSN.lnk : C:\Users\Alice'\AppData\Roaming\Microsoft\Notification de cadeaux MSN\lsnfier.exe -> DELETED
[PROXY IE] HKCU\[...]\Internet Settings : ProxyEnable (1) -> NOT REMOVED, USE PROXYFIX
[FILE ASSO] \ "C:\Users\Alice'\AppData\Local\av.exe" /START "C:\Program Files\Internet Explorer\iexplore.exe": -> REPLACED : ("C:\Program Files\internet explorer\iexplore.exe")
[HJPOL] HKCU\[...]\System : DisableTaskMgr (1) -> DELETED
[HJPOL] HKLM\[...]\System : DisableTaskMgr (1) -> DELETED
[HJ] HKCU\[...]\ActiveDesktop : NoChangingWallPaper (1) -> REPLACED (0)
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKCU\[...]\ClassicStartMenu : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKCU\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)
[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)
[HJ] HKCU\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)
[HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> REPLACED (0)
[HJ] HKCU\[...]\NewStartPanel : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> REPLACED (0)
[FILE ASSO] HKLM\[...]Software\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command : ("C:\Users\Alice'\AppData\Local\av.exe" /START "C:\Program Files\Internet Explorer\iexplore.exe") -> REPLACED : ("C:\Program Files\internet explorer\iexplore.exe")

Fichier HOSTS:
127.0.0.1 localhost
::1 localhost

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

Merci d'avance!!

30 réponses

Résumé de la discussion

L'infection d'un ordinateur Windows Vista 32 bits est signalée, avec un rootkit présumé et l'aide d'un outil RogueKiller qui relève de nombreuses entrées malveillantes dans les Run, les paramètres proxy et le fichier hosts. Les rapports RogueKiller en mode Recherche puis en mode Suppression identifient des entrées Run, des paramètres proxy modifiés, des fichiers exécutables malveillants et des blocages potentiels de Malwarebytes. D'autres propositions recommandent d'exécuter la désinfection en mode sans échec avec prise en charge réseau et d'éliminer les éléments détectés, les clés de registre et les fichiers malveillants identifiés. Des échanges suggèrent d'encoder et partager le pré-scan via des services d'hébergement pour que des spécialistes puissent examiner les résultats et orienter précisément la désinfection.

Bobot (l’IA à votre service)
  1. rapport Pre_scan :

    http://www.cijoint.fr/cjlink.php?file=cj201107/cijnAFqjB4.txt

    =========================================

    fais glisser une icone n'importe quel fichier sur Pre_scan , pre_script va apparaitre

    ouvre Pre_script et colle ce qui suit en gras, à l'interieur du texte qui s'ouvre ,
    sans les lignes , en une seule fois en le mettant en surbrillance :
    ___________________________________________________
    Registry::
    [-HKEY_CLASSES_ROOT\CLSID\{1631550F-191D-4826-B069-D9439253D926}]
    [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1631550F-191D-4826-B069-D9439253D926}]
    [-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\settings\{1631550F-191D-4826-B069-D9439253D926}]
    [-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\stats\{1631550F-191D-4826-B069-D9439253D926}]
    [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
    "{1631550F-191D-4826-B069-D9439253D926}"=-
    [HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\URLSearchHooks]
    "{1631550F-191D-4826-B069-D9439253D926}"=-
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
    "{1631550F-191D-4826-B069-D9439253D926}"=-
    [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
    "{1631550F-191D-4826-B069-D9439253D926}"=-
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    "{1631550F-191D-4826-B069-D9439253D926}"=-
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
    "{1631550F-191D-4826-B069-D9439253D926}"=-
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved]
    "{1631550F-191D-4826-B069-D9439253D926}"=-
    [-HKEY_CLASSES_ROOT\CLSID\{ad1bbab5-acd1-20d7-2ada-42517bf14294}]
    [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{ad1bbab5-acd1-20d7-2ada-42517bf14294}]
    [-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\settings\{ad1bbab5-acd1-20d7-2ada-42517bf14294}]
    [-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ext\stats\{ad1bbab5-acd1-20d7-2ada-42517bf14294}]
    [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
    "{ad1bbab5-acd1-20d7-2ada-42517bf14294}"=-
    [HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\URLSearchHooks]
    "{ad1bbab5-acd1-20d7-2ada-42517bf14294}"=-
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
    "{ad1bbab5-acd1-20d7-2ada-42517bf14294}"=-
    [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
    "{ad1bbab5-acd1-20d7-2ada-42517bf14294}"=-
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
    "{ad1bbab5-acd1-20d7-2ada-42517bf14294}"=-
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
    "{ad1bbab5-acd1-20d7-2ada-42517bf14294}"=-
    [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved]
    "{ad1bbab5-acd1-20d7-2ada-42517bf14294}"=-
    [-HKEY_LOCAL_MACHINE\Software\CA561B]

    file::
    C:\Windows\system32\6d665f9d-c6b3-0bf8-7a35-bcdc4489b5d9.dll
    C:\Users\Alice'\AppData\Local\68bqk

    folder::
    C:\Program Files\PriceGong
    C:\Users\Alice'\AppData\Roaming\Mozilla\Firefox\Profiles\ayjns8y4.default\extensions\{4be68a18-deba-49e0-9e09-ee7796f3b62a}
    C:\Users\Alice'\AppData\Roaming\Mozilla\Firefox\Profiles\ayjns8y4.default\extensions\{4be68a18-deba-49e0-9e09-ee7796f3b62a}(145)
    C:\Users\Alice'\AppData\Roaming\OpenCandy
    C:\Users\Alice'\AppData\Local\OpenCandy
    C:\Program Files\Circle Developemen
    C:\Program Files\PriceGong

    attrib::

    ___________________________________________________

    copie-le (ctrl+c ou clique droit sur la selection puis => copier)

    puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

    des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

    poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail
    1
    1. Est ce normal que ça prenne autant de temps? Il travaille depuis hier soir ^^
      0
  2. bien pour ca que je demande de le compresser....
    1
    1. Je l'ai compressé mais je n'arrive pas a le déposer sur cijoint.fr, le site bug trop
      0
  3. salut

    desactive ton antivirus
    desactive Windows defender si présent
    desactive ton pare-feu

    Ferme toutes tes appilications en cours

    telecharge et enregistre ceci sur ton bureau :

    Pre_Scan

    mirroir :

    http://www.archive-host.com

    s'il n'est pas sur ton bureau coupe-le de ton dossier telechargements et colle-le sur ton bureau

    Avertissement: Il y aura une extinction du bureau pendant le scan --> pas de panique.

    une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan.txt" sur le bureau.

    si 'outil est bloqué par l'infection utilise cette version : Version .pif

    si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

    si l'outil semble ne pas avoir fonctionné renomme-le winlogon , ou change son extension en .com ou .scr

    Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

    Poste Pre_Scan.txt qui apparaitra sur le bureau en fin de scan

    ▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)

    clique sur ce lien : http://www.cijoint.fr/

    ▶ Clique sur Parcourir et cherche le fichier ci-dessus.

    ▶ Clique sur Ouvrir.

    ▶ Clique sur "Cliquez ici pour déposer le fichier".

    Un lien de cette forme :

    http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

    est ajouté dans la page.

    ▶ Copie ce lien dans ta réponse.
    0
    1. j'étais en train de faire le scan et l'écran et devenu noir, c'est normal? il n'y a que la souris sur l'écran.
      0
  4. oui c'est normal

    si ton bureau ne revient pas :

    ctrl+alt+supp => gestionnaire des taches => onglet fichier => nouvelle tache puis tape :

    explorer
    ¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_developpement_¤¤¤¤¤¤¤¤¤¤
    ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
    0
    1. Je l'ai fait seulement aucun rapport n'est apparu sur le bureau :/
      0
  5. et mtn impossible de relancer pre_scan, impossible de le renommer (il me demande une autorisation mais dès que j'accepte il me dit que j'ai pas l'autorisation) et je ne sais pas comment changer son extension.
    0
    1. attends ne t'enerves pas

      est-il present dans le gestionnaire des taches onglet "processus" ?

      si oui , ca veut dire qu il n'a pas fini quoiqu'etonnant apres tant de temps
      0
      1. Non il n'y est pas non plus je desespère la :( dans processus il y a winlogon.exe seulement ça m'étonnerait que ce soit lui vu qu'il m'a été impossible de le renommer :/
        0
      2. non celui-ci c'est le vrai de winlogon

        tu n'as pas le rapport dans C:\ des fois ?
        0
      3. ah si je l'ai trouvé dans C: c'est bon je continue alors :) je te préviendrai une fois fait :)
        0
    2. ok => cijoint.fr :)
      0
      1. Impossible de mettre le fichier sur cijoint.fr il rame trop et quand j'essaye de m'inscrire sur le site pour y déposer le dossier comme ils disent de faire il n'arrivent pas a m'envoyer le mail de confirmation, puis-je t'envoyer le document texte par mail?
        0
    3. attends fais ceci ca va debloquer tout

      ▶ Télécharge Reload_TDSSKiller

      ▶ Lance le

      choisis : lancer le nettoyage

      l'outil va automatiquement télécharger la derniere version puis

      TDSSKiller va s'ouvrir , clique sur "Start Scan"

      une fois qu'il a terminé , redemarre s'il te le demande pour finir de nettoyer

      sinon , ferme tdssKiller et le rapport s'affichera sur le bureau

      ▶ Copie/Colle son contenu dans ta prochaine réponse.
      0
      1. ça ne risque pas de me supprimer des dossier jsp? enfin des dossier pas infecté quoi ^^
        0
    4. non :)
      0
      1. Euuuh aucun rapport de ce logiciel dans le bureau ni dans C: :(
        0
      2. PS : Après le nettoyage, je n'ai pas start scan qui apparait
        0
    5. tu as refermé la fenetre de tdsskiller ?
      0
      1. beh en fait je lance tdsskiller, je clic sur nettoyage une fenetre noir apparait et après tout se ferme tout seul :/
        0

    6. /!\ ATTENTION SUIVRE A LA LETTRE CES INDICATIONS/!\

      __________________________________________________________
      >Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.<
      >>>>>>>Ne pas utiliser en dehors de ce cas de figure : dangereux!<<<<<<<<
      =====================================================


      ▶ Surtout , pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur

      Telecharge ici : Combofix

      Avant d'utiliser ComboFix :

      Si tu utilises AVG, IL FAUT IMPERATIVEMENT LE DESINSTALLER avant d'utiliser Combofix car il peut causer des dégâts en interaction avec l'outil pouvant mener à la réinstallation totale du système.
      La simple désactivation du résident n'est pas suffisante.
      Télécharge le désinstalleur d'AVG sur ce lien : https://www.avg.com/fr-fr/avg-remover
      Choisis la version adéquate (32 ou 64 bits)/!\

      Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement :

      ▶ Télécharge Defogger (de jpshortstuff) sur ton Bureau

      ▶ Lance le

      Une fenêtre apparait : clique sur "Disable"

      ▶ Fais redémarrer l'ordinateur si l'outil te le demande

      Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable"

      _________________________________________________________
      >> referme les fenêtres de tous les programmes en cours.
      >> Désactive provisoirement et seulement le temps de l'utilisation de ComboFix,
      >>la protection en temps réel de ton Antivirus et de tes Antispywares,
      >>qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.

      °°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°°


      si tu as XP => double clique
      si tu as Vista ou windows 7 => clic droit "executer en tant que...."


      sur combofix renommé

      ¤¤¤¤¤¤¤¤¤¤ LAISSE-LE INSTALLER LA CONSOLE DE RECUPERATION S'IL TE LE DEMANDE ¤¤¤¤¤¤¤¤¤¤

      ▶ !!!!!NE TOUCHE A RIEN PENDANT LE TRAVAIL DE COMBOFIX (SOURIS/CLAVIER.....)!!!!!

      ▶ n'oublie pas de reactiver la garde de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet.

      ▶▶ Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

      0
      1. Excuse je suis vraiment naze, maiiiis c'est quoi AVG? ^^
        0
    7. un antivirus lol
      0
      1. Aaaah mais AVG c'est un antivirus précis ou ça désigne tous les antivirus? (je dois paraitre de plus en plus con mdr ^^) parce que moi j'ai Avast, windows défender sur mon PC ^^
        0
    8. donc zappe la partie AVG ^^
      0
      1. J'ai lancé combofix, accepter les conditions il a ouvert une petite fenetre, puis s'est fermé tout simplement seulement rien ne s'est passé et aucun rapport dans C: WTF??
        0
    9. sur le rapport de PRE_Scan :

      clic droit / envoyer vers / dossiers compressés

      puis essaie de l envoyer comme ca sur cijoint.fr
      0
      1. quand je fais clic droit envoyer vers il me propose seulement le lecteur F:
        0
    10. ok essaie de voir si tu peux me l'envoyer par mail :)
      0
      1. Ton e-mail c'est? ^^
        0
      2. clic sur mon pseudo
        0
    11. non ca prend 10s ^^

      fais ctrl+alt+supp , puis gestionnaires des taches => onglet fichier => nouvelle tache , puis tape

      explorer
      0
      1. voila j'ai fait explorer mais il continu tjr a faire "réatribution" et apparemment il est en train de faire réaparaitre les icones, enfin elles n'apparaissent plus coomme "caché" :) a quoi sert ce programme en fait? ^^
        0
    12. si tu veux quelques infos :

      http://www.forum-fec.net/t1444-pre_scan-versions
      0
      1. dois-je laisser pre_script continuer a analyser l'ordi? ça fait long quand meme ^^
        0
    13. bah si ca evolue oui si ca bouge pas non
      0
      1. Ok :) bon je vois pas trop l'évolution dumoins elle est pas flagrante donc je vais laisser un peu ^^ après ça il y aura autre chose a faire? excuse moi suis vraiment nul ^^
        0
    14. oui
      0
      1. voila pre_script est terminé voila le rapport :)

        ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

        ¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

        Utilisateur : Alice' (Administrateurs)
        Ordinateur : PC-DE-ALICE
        Système d'exploitation : Windows Vista (TM) Home Premium (32 bits)
        Internet Explorer : 8.0.6001.19088
        Mozilla Firefox : 3.6 (fr)

        Switchs possibles :

        processes:: | file:: | folder::
        Registry:: | Driver:: | replace::
        txt:: | Host:: | DNS:: | NsLook::
        Command:: | list:: | attrib::

        Script : 21:23:46

        ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
        ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

        Modification du registre effectuéé

        ¤

        Supprimé : C:\Windows\system32\6d665f9d-c6b3-0bf8-7a35-bcdc4489b5d9.dll
        Absent : C:\Users\Alice'\AppData\Local\68bqk

        ¤

        Supprimé : C:\Program Files\PriceGong
        Absent : C:\Users\Alice'\AppData\Roaming\Mozilla\Firefox\Profiles\ayjns8y4.default\extensions\{4be68a18-deba-49e0-9e09-ee7796f3b62a}
        Absent : C:\Users\Alice'\AppData\Roaming\Mozilla\Firefox\Profiles\ayjns8y4.default\extensions\{4be68a18-deba-49e0-9e09-ee7796f3b62a}(145)
        Absent : C:\Users\Alice'\AppData\Roaming\OpenCandy
        Absent : C:\Users\Alice'\AppData\Local\OpenCandy
        Supprimé : C:\Program Files\Circle Developemen
        Absent : C:\Program Files\PriceGong

        ¤

        Disques externes : 62 Objets réattribués
        Disque Local : 11 Objets réattribués
        Utilisateurs : 1 Objets réattribués
        ProgramFiles : 26391 Objets réattribués
        Music : 5 Objets réattribués
        Pictures : 236 Objets réattribués
        Videos : 2 Objets réattribués
        Downloads : 113 Objets réattribués
        Desktop : 4197 Objets réattribués
        Links : 8 Objets réattribués
        Searches : 9 Objets réattribués
        Contacts : 598 Objets réattribués
        Saved Games : 2 Objets réattribués
        Favorites : 29 Objets réattribués
        Documents : 5051 Objets réattribués
        Windows : 82 Objets réattribués
        StartMenu : 26 Objets réattribués
        Librairies : 0 Objets réattribués
        Quick Launch : 0 Objets réattribués
        %AppData% : 2814 Objets réattribués

        ¤

        Fin : 19:03:49

        ¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

        Que dois-je faire ensuite? :)
        0
    15. ▶ Télécharge ici : Ad-remover sur ton bureau :

      ▶ Déconnecte toi et ferme toutes applications en cours !

      si tu as XP => double clique
      si tu as Vista ou windows 7 => clic droit "executer en tant que...."


      ▶ sur "Ad-R.exe" pour lancer l'installation et laisse les paramètres d'installation par défaut .

      ▶ clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .

      ▶ Au menu principal choisis "option Nettoyer" et tape sur [entrée] .

      ▶ Laisse travailler l'outil et ne touche à rien ...

      ▶ Poste le rapport qui apparait à la fin , sur le forum ...

      ( Le rapport est sauvegardé aussi sous C:\Ad-report.log )
      ( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

      0
      1. ======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

        Mis à jour par TeamXscript le 12/04/11
        Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
        Site web: http://www.teamxscript.org

        C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 20:18:23 le 12/07/2011, Mode normal

        Microsoft® Windows Vista(TM) Édition Familiale Premium Service Pack 2 (X86)
        Alice'@PC-DE-ALICE (TOSHIBA Satellite P300)

        ============== ACTION(S) ==============

        Dossier supprimé: C:\Users\Alice'\AppData\Roaming\OpenCandy
        Dossier supprimé: C:\Users\Alice'\AppData\Local\OpenCandy
        Dossier supprimé: C:\Users\Alice'\AppData\LocalLow\PriceGong
        Dossier supprimé: C:\Users\Alice'\AppData\LocalLow\Kiwee Toolbar
        Fichier supprimé: C:\Windows\system32\422ef26b-77ee-55f5-85dc-3f7fd3b69335.exe
        Fichier supprimé: C:\Users\Alice'\Downloads\tuto4pc.exe

        (!) -- Fichiers temporaires supprimés.

        Clé supprimée: HKLM\Software\Classes\CLSID\{4260e0cc-0f75-462e-88a3-1e05c248bf4c}
        Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{4260e0cc-0f75-462e-88a3-1e05c248bf4c}
        Clé supprimée: HKLM\Software\Classes\AppID\{E142D053-7023-4B33-AF22-91F14202142D}
        Clé supprimée: HKLM\Software\Classes\CLSID\{D2A2595C-4FE4-4315-AA9B-19DBD6271B71}
        Clé supprimée: HKLM\Software\Classes\AppID\{835315FC-1BF6-4CA9-80CD-F6C158D40692}
        Clé supprimée: HKLM\Software\Classes\TypeLib\{8B3372D0-09F0-41A5-8D9B-134E148672FB}
        Clé supprimée: HKLM\Software\Classes\PriceFactorIE.PriceGongBHO
        Clé supprimée: HKLM\Software\Classes\PriceFactorIE.PriceGongBHO.1
        Clé supprimée: HKLM\Software\Classes\PriceGongIE.PriceGongCtrl
        Clé supprimée: HKLM\Software\Classes\PriceGongIE.PriceGongCtrl.1
        Clé supprimée: HKLM\Software\Classes\AppID\PriceGongIE.DLL
        Clé supprimée: HKLM\Software\OpenCandy NSIS SDK
        Clé supprimée: HKCU\Software\AppDataLow\HavingFunOnline
        Clé supprimée: HKCU\Software\AppDataLow\Software\PriceGong
        Clé supprimée: HKU\.DEFAULT\Software\AGI
        Clé supprimée: HKLM\Software\Messenger Plus!\OpenCandy
        Clé supprimée: HKCU\Software\AppDataLow\ff899689-3228-0b09-a17f-87a9ab38f9b1
        Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\pricegong
        Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\pricegong
        Clé supprimée: HKLM\Software\Microsoft\Code Store Database\Distribution Units\CabBuilder

        ============== SCAN ADDITIONNEL ==============

        **** Mozilla Firefox Version [3.6 (fr)] ****

        FIREFOX.EXE\Shell\Open\Command - "C:\Program Files\Mozilla Firefox\Firefox.exe"
        HKLM_Extensions|{B7082FAA-CB62-4872-9106-E42DD88EDE45} - C:\Program Files\McAfee\SiteAdvisor

        -- C:\Users\Alice'\AppData\Roaming\Mozilla\FireFox\Profiles\ayjns8y4.default --
        Extensions\{4be68a18-deba-49e0-9e09-ee7796f3b62a} (Billeo)
        Extensions\{4be68a18-deba-49e0-9e09-ee7796f3b62a}(145) (Billeo)
        Prefs.js - browser.download.lastDir, C:\\Users\\Alice'\\Desktop\\Film
        Prefs.js - browser.startup.homepage, hxxp://fr.msn.com/?ocid=iehp
        Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.2
        Prefs.js - keyword.URL, hxxp://www.bing.com/search?mkt=fr-FR&form=IE0004&q=

        ========================================

        **** Internet Explorer Version [8.0.6001.19088] ****

        HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
        HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
        HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
        HKCU_Main|Start Page - hxxp://fr.msn.com/
        HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
        HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
        HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
        HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
        HKLM_Main|Start Page - hxxp://fr.msn.com/
        HKCU_SearchScopes\{70D46D94-BF1E-45ED-B567-48701376298E} - "Google Desktop" (hxxp://127.0.0.1:4664/search&s=8LBh4FmuimMyPwbGb5AODRh_s8A?q={searchTerms})
        HKCU_Toolbar\WebBrowser|{6ADB0F93-1AA5-4BCF-9DF4-CEA689A3C111} (c:\program files\billeo\billeo.dll)
        HKLM_Toolbar|{0EBBBE48-BAD4-4B4C-8E5A-516ABECAE064} (c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll)
        HKLM_Toolbar|{6ADB0F93-1AA5-4BCF-9DF4-CEA689A3C111} (c:\program files\billeo\billeo.dll)
        HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files\Internet Explorer\iedw.exe (x)
        HKLM_ElevationPolicy\{74351F14-5437-4d87-805B-04D409B09976} - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe (?)
        HKLM_ElevationPolicy\{A6E2003F-95C5-4591-BA9A-0093080FDB5C} - C:\Program Files\Common Files\Oberon Media\OberonBroker\1.0.0.63\OberonBroker.exe (x)
        HKLM_ElevationPolicy\{DAABE21E-DB8C-49b8-9511-9E6547ECBC5F} - c:\Program Files\McAfee\SiteAdvisor\McSACore.exe (x)
        HKLM_ElevationPolicy\{E57F3405-049A-480a-9D62-15A7AAE20385} - C:\Program Files\Billeo\billeo.exe (Billeo, Inc.)
        HKCU_Extensions\{97ED3A9F-CD6F-473A-8FE1-7505C1B844C3} - "Billeo" (c:\program files\billeo\billeo.dll,219)
        HKLM_Extensions\{08B0E5C0-4FCB-11CF-AAA5-00401C608501} - "?" (?)
        HKLM_Extensions\{76577871-04EC-495E-A12B-91F7C3600AFA} - "eBay - Achetez, Vendez" (c:\toshiba\Webshops\ebay.ico)
        HKLM_Extensions\{8A918C1D-E123-4E36-B562-5C1519E434CE} - "Amazon.fr" (c:\toshiba\Webshops\amazon.ico)
        BHO\{27B4851A-3207-45A2-B947-BE8AFE6163AB} - "McAfee Phishing Filter" (c:\PROGRA~1\mcafee\msk\mskapbho.dll)
        BHO\{465E08E7-F005-4389-980F-1D8764B3486C} - "Billeo" (c:\program files\billeo\billeo.dll)
        BHO\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - "SSVHelper Class" (C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll)
        BHO\{7DB2D5A0-7241-4E79-B68D-6309F01C5231} - "scriptproxy" (c:\PROGRA~1\mcafee\VIRUSS~1\scriptsn.dll)
        BHO\{B164E929-A1B6-4A06-B104-2CD0E90A88FF} - "McAfee SiteAdvisor BHO" (c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll)

        ========================================

        C:\Program Files\Ad-Remover\Quarantine: 34 Fichier(s)
        C:\Program Files\Ad-Remover\Backup: 14 Fichier(s)

        C:\Ad-Report-CLEAN[1].txt - 12/07/2011 20:18:50 (6018 Octet(s))

        Fin à: 20:20:53, 12/07/2011

        ============== E.O.F ==============
        0
      2. ensuiite?
        0
    • 1
    • 2