demande de désinfection Résolu

Question

Bonjour,  


J'ai un problème avec un laptop Windows 7 SP1 64 bits 

. 

après un scan complet avec Malwarebytes il y a une clé de registre qui parait mauvaise : 
http://www.cijoint.fr/cjlink.php?file=cj201107/cijPzj3mAl.txt 

est-ce que quelqu'un peut me guider pour cette désinfection svp ? 

je n'ai encore rien supprimé avec Mbam.

Utilisateur anonyme · Answer

bonjour,
supprime ce qui est détecté par MBAM !

* Télécharge ZHPDiag sur ton bureau :


https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 
ou 
http://www.premiumorange.com/zeb-help-process/zhpdiag.html 
ou 
https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/
 
* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin. 

/!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »

* Clique sur l'icône représentant une loupe (« Lancer le diagnostic ») 
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette 
* Héberge le rapport ZHPDiag.txt sur Cijoint, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
http://www.cijoint.fr/
ou :
http://dl.free.fr
ou :
http://ww38.toofiles.com/fr/documents-upload.html
ou : 
https://www.terafiles.net/


tuto zhpdiag : 
http://www.premiumorange.com/zeb-help-process/zhpdiag.html

Pacorabanix · Answer

Me revoilà avec le rapport ZHPDiag (qui, pour info pour ton tuto, ne se lance pas automatiquement après l'installation)

http://www.cijoint.fr/cjlink.php?file=cj201108/cijX32Cpso.txt

merci

Utilisateur anonyme · Answer

bonjour,
tiens, je pensais justement à toi :
http://www.commentcamarche.net/forum/affich-21372515-merci-bis#3

mdr !

*	Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert) 

*	Clique sur l'icone représentant la lettre H (« coller les lignes Helper ») 
Copie et colle les lignes suivantes en gras dans Zhpfix : 

---------------------------------------------------------- 

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Application: Modified    => Infection BT (Hijacker.Application)
O1 - Hosts: 213.5.156.130 vmex01.csict.lan    
O1 - Hosts: 213.5.156.130 vmex01    
O1 - Hosts: 172.16.25.10 alsrv.alliance.lan    
O1 - Hosts: 216.23.232.62 futuresource.quote.com    
O1 - Hosts: 208.10.26.92 futuresource.com    
[HKLM\Software\Freeze.com]    
[HKLM\Software\Classes\Interface\{BCFF5F55-6F44-11D2-86F8-00104B265ED5}]   =>Spyware.Soft2PC    
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations]:bak_Application   =>Hijacker.Agent    => 
[HKLM\Software\Classes\pdfforge.DllInfo]   =>    => 
[HKLM\Software\Wow6432Node\Classes\pdfforge.DllInfo]   =>    => 
[HKLM\Software\Classes\pdfforge.PDF.PDF]   =>PUP.Dealio    => 
[HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDF]   =>PUP.Dealio    => 
[HKLM\Software\Classes\pdfforge.PDF.PDFEncryptor]   =>PUP.Dealio    => 
[HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDFEncryptor]   =>PUP.Dealio    => 
[HKLM\Software\Classes\pdfforge.PDF.PDFLine]   =>PUP.Dealio    => 
[HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDFLine]   =>PUP.Dealio    => 
[HKLM\Software\Classes\pdfforge.PDF.PDFText]   =>PUP.Dealio    => 
[HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDFText]   =>PUP.Dealio    => 
[HKLM\Software\Classes\pdfforge.Tools]   =>PUP.Dealio    => 
[HKLM\Software\Wow6432Node\Classes\pdfforge.Tools]   =>PUP.Dealio    
[HKLM\Software\Wow6432Node\freeze.com]   =>Adware.BHO 
Hostfix
Emptytemp

---------------------------------------------------------- 
 
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse
Tuto :

http://www.premiumorange.com/zeb-help-process/zhpfix.html

Pacorabanix · Answer

Mouarf je l'avais oubliée celle-là xD

bon sinon deux petites choses :
1) vu que ça datait j'avais oublié de faire la suppression de ce qu'avait trouvé MalwaresBytes. j'ai refait un scan avec ZHPDiag après le scan / suppresssion MalwaresBytes. : http://www.cijoint.fr/cjlink.php?file=cj201108/cijPHhHn1F.txt

2) ces 3 adresses :
O1 - Hosts: 213.5.156.130 vmex01.csict.lan 
O1 - Hosts: 213.5.156.130 vmex01 
O1 - Hosts: 172.16.25.10 alsrv.alliance.lan 

sont celles de l'entreprise ou la personne travaille des fois avec cet ordi.

ça change qqchose ?

Utilisateur anonyme · Answer

disons qu'il s'agit des redirections, pour moi, si c'est un pc portable de boulot, elles peuvent être normales ou pas, à voir avec la personne  :D


il y a égelement ces lignes de redirections, à voir si ça correspond avec le IP de sa boite et le sien :

O17 - HKLM\System\CCS\Services\Tcpip\..\{E558FC25-1B5E-4226-BB50-1FBC433505D8}: DhcpNameServer = 172.16.20.20    
O17 - HKLM\System\CS1\Services\Tcpip\..\{E558FC25-1B5E-4226-BB50-1FBC433505D8}: DhcpNameServer = 172.16.20.20    
O17 - HKLM\System\CS2\Services\Tcpip\..\{C0EFA6AC-F6B1-4BD9-ACEC-EDDCD6C6F1DC}: DhcpNameServer = 212.90.199.2 212.90.192.190    
O17 - HKLM\System\CS2\Services\Tcpip\..\{E558FC25-1B5E-4226-BB50-1FBC433505D8}: DhcpNameServer = 172.16.20.20    





* Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert) 

* Clique sur l'icone représentant la lettre H (« coller les lignes Helper ») 
Copie et colle les lignes suivantes en gras dans Zhpfix : 

---------------------------------------------------------- 

O1 - Hosts: 216.23.232.62 futuresource.quote.com    
O1 - Hosts: 208.10.26.92 futuresource.com   
[HKLM\Software\Freeze.com]    
[HKLM\Software\Classes\Interface\{BCFF5F55-6F44-11D2-86F8-00104B265ED5}]   =>Spyware.Soft2PC    
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Application: Modified    
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations]:bak_Application   =>Hijacker.Agent    
[HKLM\Software\Classes\pdfforge.DllInfo]   =>    
[HKLM\Software\Wow6432Node\Classes\pdfforge.DllInfo]   =>   
[HKLM\Software\Classes\pdfforge.PDF.PDF]   =>PUP.Dealio    
[HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDF]   =>PUP.Dealio    [HKLM\Software\Classes\pdfforge.PDF.PDFEncryptor]   =>PUP.Dealio     
[HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDFEncryptor]   =>PUP.Dealio    
[HKLM\Software\Classes\pdfforge.PDF.PDFLine]   =>PUP.Dealio     
[HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDFLine]   =>PUP.Dealio    
[HKLM\Software\Classes\pdfforge.PDF.PDFText]   =>PUP.Dealio    
[HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDFText]   =>PUP.Dealio    
[HKLM\Software\Classes\pdfforge.Tools]   =>PUP.Dealio  
[HKLM\Software\Wow6432Node\Classes\pdfforge.Tools]   =>PUP.Dealio     
[HKLM\Software\Wow6432Node\freeze.com]   =>Adware.BHO    
Emptytemp


---------------------------------------------------------- 

- Clique sur le bouton « GO » pour lancer le nettoyage, 
- Copie/colle la totalité du rapport dans ta prochaine réponse 
Tuto : 

http://www.premiumorange.com/zeb-help-process/zhpfix.html

Pacorabanix · Answer

Pour les redirections que tu m'as montré, pas de problème avec. Les 172.16.20.20 sont des adresses internes non routables, celle de la boite, et les autres sont celles de son provider à la maison.

voila le rapport ZHPFix :


Rapport de ZHPFix 1.12.3345 par Nicolas Coolman, Update du 29/07/2011
Fichier d'export Registre : 
Run by mamadou at 09.08.2011 17:06:48
Windows 7 Business Edition, 64-bit Service Pack 1 (Build 7601)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Clé(s) du Registre ==========
ABSENT Key: HKLM\Software\Freeze.com
ABSENT Key: HKLM\Software\Classes\Interface\{BCFF5F55-6F44-11D2-86F8-00104B265ED5}
ABSENT Key: HKLM\Software\Classes\pdfforge.DllInfo
ABSENT Key: HKLM\Software\Wow6432Node\Classes\pdfforge.DllInfo
ABSENT Key: HKLM\Software\Classes\pdfforge.PDF.PDF
ABSENT Key: HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDF
ABSENT Key: HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDFEncryptor
ABSENT Key: HKLM\Software\Classes\pdfforge.PDF.PDFLine
ABSENT Key: HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDFLine
ABSENT Key: HKLM\Software\Classes\pdfforge.PDF.PDFText
ABSENT Key: HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDFText
ABSENT Key: HKLM\Software\Classes\pdfforge.Tools
ABSENT Key: HKLM\Software\Wow6432Node\Classes\pdfforge.Tools
ABSENT Key: HKLM\Software\Wow6432Node\freeze.com

========== Valeur(s) du Registre ==========
ABSENT Value Key: Application
ABSENT [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations]:bak_Application

========== Dossier(s) ==========
SUPPRIME Temporaires Windows: : 63

========== Fichier(s) ==========
SUPPRIME Temporaires Windows: : 648

========== Fichier HOSTS ==========
Le fichier Hosts n'est pas réparé !


========== Récapitulatif ==========
14 : Clé(s) du Registre
2 : Valeur(s) du Registre
1 : Dossier(s)
1 : Fichier(s)
1 : Fichier HOSTS


========== Chemin du fichier rapport ==========
C:\ZHP\ZHPFixReport.txt



End of the scan in 00mn 12s

Utilisateur anonyme · Answer

dans ce cas, si les redirections sont normales, repasse un nouveau zhpdiag et colle moi le lien du rapport  :D




/!\  Absent du 13 au 27/08/2011 

O.o°*??? Membre, Contributeur sécurité CCMo°.Oø¤º°'°º¤ø  

O.o°* ??? Réspire à fond, Rédige ton message en bon français et de manière claire.Ca va bien se passer, tu verras, enfin on essaie !!! o°.Oø¤º°'°º¤ø

Pacorabanix · Answer

voilà : http://www.cijoint.fr/cjlink.php?file=cj201108/cijyr9qSc8.txt

Utilisateur anonyme · Answer

bizzare !

les clés infectées sont toujours là !


*	/!\AVERTISSEMENT :
ce script n'est à utiliser que pour ce pc infecté et sur ce topic, il n'est valable pour aucun autre pc.


/!\ Utilisateur de Vista : Ne pas oublier de désactiver l'UAC juste le temps de désinfection de ton pc, il sera à réactiver plus tard :
Tuto : https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac
	
Télécharge OtmoveIT (de Old_Timer) sur ton Bureau 

http://itxassociates.com/OT-Tools/OTM.exe
ou :
https://www.androidworld.fr/


(c'est le numéro 7 en bas de la page) : 

* Double-clique sur OTMoveIt.exe pour le lancer. 


/!\Utilisateur de Vista et windows 7 : Clique droit sur le logo de OtmoveIT, « exécuter en tant qu'Administrateur »

* Copie la liste qui se trouve en gras dans la citation ci-dessous et colle-la dans le cadre de gauche de OTMoveIt sous Paste List of Files/Folders to move. 


:processes 
explorer.exe 




:files 

:reg
[-HKLM\Software\Freeze.com] 
[-HKLM\Software\Classes\Interface\{BCFF5F55-6F44-11D2-86F8-00104B265ED5}] 
[-HKLM\Software\Classes\pdfforge.DllInfo] 
[-HKLM\Software\Wow6432Node\Classes\pdfforge.DllInfo] 
[-HKLM\Software\Classes\pdfforge.PDF.PDF] 
[-HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDF] 
[-HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDFEncryptor] 
[-HKLM\Software\Classes\pdfforge.PDF.PDFLine] 
[-HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDFLine] 
[-HKLM\Software\Classes\pdfforge.PDF.PDFText] 
[-HKLM\Software\Wow6432Node\Classes\pdfforge.PDF.PDFText] 
[-HKLM\Software\Classes\pdfforge.Tools ]
[-HKLM\Software\Wow6432Node\Classes\pdfforge.Tools] 
[-HKLM\Software\Wow6432Node\freeze.com] 

:Commands 
[emptytemp] 
[purity] 
[start explorer] 
[Reboot] 


# clique sur MoveIt! pour lancer la suppression. 

# Le résultat apparaitra dans le cadre "Results". 

# Clique sur Exit pour fermer. 

# Poste le rapport situé dans C:\_OTMoveIt\MovedFiles. 

# Il te sera peut-être demandé de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes.

Pacorabanix · Answer

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
========== FILES ==========
========== REGISTRY ==========
Registry key HKEY_LOCAL_MACHINE\Software\Freeze.com\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Classes\Interface\{BCFF5F55-6F44-11D2-86F8-00104B265ED5}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BCFF5F55-6F44-11D2-86F8-00104B265ED5}\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Classes\pdfforge.DllInfo\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\pdfforge.DllInfo\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Classes\pdfforge.PDF.PDF\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\pdfforge.PDF.PDF\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\pdfforge.PDF.PDFEncryptor\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Classes\pdfforge.PDF.PDFLine\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\pdfforge.PDF.PDFLine\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Classes\pdfforge.PDF.PDFText\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\pdfforge.PDF.PDFText\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Classes\pdfforge.Tools \ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\pdfforge.Tools\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Wow6432Node\freeze.com\ not found.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: Administrator
->Temp folder emptied: 1512584 bytes
->Temporary Internet Files folder emptied: 344466 bytes
->Java cache emptied: 0 bytes
->Flash cache emptied: 506 bytes
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 56466 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: mamadou.ALLIANCE
->Temp folder emptied: 17910 bytes
->Temporary Internet Files folder emptied: 347514461 bytes
->Java cache emptied: 122655 bytes
->Flash cache emptied: 64682 bytes
 
User: Public
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 190701435 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 84793 bytes
RecycleBin emptied: 5754864 bytes
 
Total Files Cleaned = 521.00 mb
 
 
OTM by OldTimer - Version 3.1.18.0 log created on 08102011_112607

Files moved on Reboot...
C:\Users\mamadou.ALLIANCE\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
File C:\Users\mamadou.ALLIANCE\AppData\Local\Temp\~DF55DF35CC25E4A80F.TMP not found!
File C:\Users\mamadou.ALLIANCE\AppData\Local\Temp\~DF9EEAF725C60F6E10.TMP not found!
C:\Users\mamadou.ALLIANCE\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\XJH0GP0Y\affich-22751857-demande-de-desinfection[1].htm moved successfully.
C:\Users\mamadou.ALLIANCE\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\XJH0GP0Y\like[1].htm moved successfully.
C:\Users\mamadou.ALLIANCE\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\XJH0GP0Y	weet_button[1].htm moved successfully.
C:\Users\mamadou.ALLIANCE\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\RLLGZP1C\head[1].htm moved successfully.
C:\Users\mamadou.ALLIANCE\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\RLLGZP1C\main[1].htm moved successfully.
C:\Users\mamadou.ALLIANCE\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\LLCO7W6G\index[1].htm moved successfully.
C:\Users\mamadou.ALLIANCE\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\LLCO7W6G	weet_button[1].htm moved successfully.
C:\Users\mamadou.ALLIANCE\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\IY65GQLS\like[1].htm moved successfully.
C:\Users\mamadou.ALLIANCE\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\MSIMGSIZ.DAT moved successfully.
File C:\Users\mamadou.ALLIANCE\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\RW6A6J74\embeded[1].htm not found!
File move failed. C:\Windows	emp	m_icrcL_A606D985_38CA_41ab_BCD9_60F771CF800D scheduled to be moved on reboot.

Registry entries deleted on Reboot...


_______________
Je refais un ZHPDiag en attendant.

Utilisateur anonyme · Answer

relance Zhpdiag, clique sur la flèche verte pour lancer une mise à jour et repasse un nouveau zhpdiag,

donne moi des nouvelles du fonctionnement du pc  ;-)

Pacorabanix · Answer

http://www.cijoint.fr/cjlink.php?file=cj201108/cijZGfqYp5.txt


le fonctionnement a l'air correct...

si ce n'est qu'il y avait un truc étrange avant : aux alentours de 18-19h, le PC s'éteignait tout seul.

au redémarrage il parle d'une extinction incorrecte type Bluescreen.

je ne sais pas si c'est lié à cette infection ou pas :/

et le problème n'arrive pas régulièrement, donc je ne pourrais pas t'en dire plus avant d'avoir épié l'ordi pendant plusieurs jours.

Utilisateur anonyme · Answer

il doit y avoir un truc caché !

*		/!\Avertissement :
Ce logiciel n'est à utiliser que prescrit par un helper qualifié.
Ne pas utiliser en dehors de ce cas de figure : dangereux! 
	
&#9658; Télécharges ComboFix à partir de ce lien et enregistres le sur ton bureau :
https://forum.pcastuces.com/combofix_renomme_au_telechargement-f31s22.htm 
ou ici :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 
A lire 
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix 

Avant d'utiliser ComboFix :
 
&#9658; ferme les fenêtres de tous les programmes en cours.
 
&#9658; Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 
Une fois fait, sur ton bureau double-clic sur Combofix.exe. 
/!\Utilisateur de Vista : Clique droit sur le logo de Combofix, « exécuter en tant qu'Administrateur »

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.
 
- il se peut que Combofix ait besoin de se connecter à internet pour trouver les mises à jour, donc il faut l'autoriser.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.
 
- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 
- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\ComboFix\ComboFix.txt) 
&#9658; Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 
&#9658; Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.



*	/!\ Utilisateur de Vista : Ne pas oublier de désactiver l'UAC juste le temps de désinfection de ton pc, il sera à réactiver plus tard :
Tuto : https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac

Pacorabanix · Answer

voila le log de fin de combofix :

ComboFix 11-08-10.01 - mamadou 10.08.2011  14:48:07.1.2 - x64
Microsoft Windows 7 Professional   6.1.7601.1.1252.41.1033.18.4048.2556 [GMT 2:00]
Lancé depuis: c:\users\mamadou.ALLIANCE\Desktop\coumboutchfiche.exe
AV: Trend Micro Client/Server Security Agent Antivirus *Disabled/Updated* {48929DFC-7A52-A34F-8351-C4DBEDBD9C50}
SP: Trend Micro Client/Server Security Agent Anti-spyware *Disabled/Updated* {F3F37C18-5C68-ACC1-B9E1-FFA9963AD6ED}
SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
C:\Install.exe
c:\programdata\Tarma Installer
c:\programdata\Tarma Installer\{889DF117-14D1-44EE-9F31-C5FB5D47F68B}\_Setup.dll
c:\programdata\Tarma Installer\{889DF117-14D1-44EE-9F31-C5FB5D47F68B}\_Setupx.dll
c:\programdata\Tarma Installer\{889DF117-14D1-44EE-9F31-C5FB5D47F68B}\Setup.dat
c:\programdata\Tarma Installer\{889DF117-14D1-44EE-9F31-C5FB5D47F68B}\Setup.exe
c:\programdata\Tarma Installer\{889DF117-14D1-44EE-9F31-C5FB5D47F68B}\Setup.ico
.
.
(((((((((((((((((((((((((((((   Fichiers créés du 2011-07-10 au 2011-08-10  ))))))))))))))))))))))))))))))))))))
.
.
2011-08-10 12:53 . 2011-08-10 12:53	--------	d-----w-	c:\users\Default\AppData\Local	emp
2011-08-10 12:53 . 2011-08-10 12:53	--------	d-----w-	c:\users\Administrator\AppData\Local	emp
2011-08-10 09:26 . 2011-08-10 09:26	--------	d-----w-	C:\_OTM
2011-08-09 15:07 . 2011-08-10 13:04	--------	d-----w-	c:\users\mamadou.ALLIANCE\AppData\Local\Temp
2011-08-09 09:25 . 2011-08-10 09:57	512	----a-w-	C:\PhysicalDisk0_MBR.bin
2011-08-09 09:19 . 2011-08-10 09:57	--------	d-----w-	C:\ZHP
2011-08-09 09:18 . 2011-08-10 09:57	--------	d-----w-	c:\program files (x86)\ZHPDiag
2011-08-09 08:38 . 2011-07-13 04:53	8578896	----a-w-	c:\programdata\Microsoft\Windows Defender\Definition Updates\{9A2FF105-7FB8-401E-BD87-4A3DBF6CF12D}\mpengine.dll
2011-07-29 11:31 . 2011-07-29 11:31	--------	d-----w-	c:\users\mamadou.ALLIANCE\AppData\Roaming\Malwarebytes
2011-07-29 11:31 . 2011-07-06 17:52	41272	----a-w-	c:\windows\SysWow64\drivers\mbamswissarmy.sys
2011-07-29 11:31 . 2011-07-29 11:31	--------	d-----w-	c:\programdata\Malwarebytes
2011-07-29 11:30 . 2011-07-29 14:16	--------	d-----w-	c:\program files (x86)\Malwarebytes' Anti-Malware
2011-07-29 11:30 . 2011-07-06 17:52	25912	----a-w-	c:\windows\system32\drivers\mbam.sys
2011-07-29 09:25 . 2011-07-29 09:25	--------	d-----w-	c:\program files (x86)\Common Files\Adobe
2011-07-18 08:03 . 2011-06-03 06:57	362496	----a-w-	c:\windows\system32\wow64win.dll
2011-07-18 08:03 . 2011-06-03 06:57	243200	----a-w-	c:\windows\system32\wow64.dll
2011-07-18 08:03 . 2011-06-03 06:57	214528	----a-w-	c:\windows\system32\winsrv.dll
2011-07-18 08:03 . 2011-06-03 06:57	16384	----a-w-	c:\windows\system32
tvdm64.dll
2011-07-18 08:03 . 2011-06-03 06:53	338944	----a-w-	c:\windows\system32\conhost.exe
2011-07-18 08:03 . 2011-06-03 05:57	25600	----a-w-	c:\windows\SysWow64\setup16.exe
2011-07-18 08:03 . 2011-06-03 06:57	13312	----a-w-	c:\windows\system32\wow64cpu.dll
2011-07-18 08:03 . 2011-06-03 06:00	14336	----a-w-	c:\windows\SysWow64
tvdm64.dll
2011-07-18 08:03 . 2011-06-03 05:56	5120	----a-w-	c:\windows\SysWow64\wow32.dll
2011-07-18 08:03 . 2011-06-03 03:53	7680	----a-w-	c:\windows\SysWow64\instnm.exe
2011-07-18 08:03 . 2011-06-03 03:53	2048	----a-w-	c:\windows\SysWow64\user.exe
.
.
.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-06-29 07:39 . 2011-06-29 07:39	404640	----a-w-	c:\windows\SysWow64\FlashPlayerCPLApp.cpl
2011-06-03 05:57 . 2011-07-18 08:03	44032	----a-w-	c:\windows\apppatch\acwow64.dll
2011-05-24 17:14 . 2010-06-10 08:01	270720	------w-	c:\windows\system32\MpSigStub.exe
2011-05-24 11:42 . 2011-06-29 07:47	404480	----a-w-	c:\windows\system32\umpnpmgr.dll
2011-05-24 10:40 . 2011-06-29 07:47	64512	----a-w-	c:\windows\SysWow64\devobj.dll
2011-05-24 10:40 . 2011-06-29 07:47	44544	----a-w-	c:\windows\SysWow64\devrtl.dll
2011-05-24 10:39 . 2011-06-29 07:47	145920	----a-w-	c:\windows\SysWow64\cfgmgr32.dll
2011-05-24 10:37 . 2011-06-29 07:47	252928	----a-w-	c:\windows\SysWow64\drvinst.exe
.
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\Wow6432Node\~\Browser Helper Objects\{FD72061E-9FDE-484D-A58A-0BAB4151CAD8}]
2011-05-18 21:25	194912	------w-	c:\program files (x86)\Yontoo Layers\YontooIEClient.dll
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Startw3i"="c:\program files (x86)\PC Speed Maximizer\Startw3i.exe" [2010-11-24 173328]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"IAStorIcon"="c:\program files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe" [2010-03-03 284696]
"CLIVFR"="c:\program files (x86)\Dell\Latitude ON Reader\CLIVFR.exe" [2009-06-11 238888]
"BIOSEvent"="c:\program files (x86)\Dell\Latitude ON Reader\BIOSEvent.exe" [2009-05-22 116008]
"PDVDDXSrv"="c:\program files (x86)\CyberLink\PowerDVD DX\PDVDDXSrv.exe" [2009-06-24 140520]
"Dell Webcam Central"="c:\program files (x86)\Dell Webcam\Dell Webcam Central\WebcamDell2.exe" [2009-07-08 413827]
"OfficeScanNT Monitor"="c:\program files (x86)\Trend Micro\Client Server Security Agent\pccntmon.exe" [2010-03-02 1505072]
"HPUsageTracking"="c:\program files (x86)\HP\HP UT\bin\hppusg.exe" [2009-05-11 24576]
"TrueImageMonitor.exe"="c:\program files (x86)\Acronis\TrueImageHome\TrueImageMonitor.exe" [2009-11-12 5106904]
"SunJavaUpdateSched"="c:\program files (x86)\Common Files\Java\Java Update\jusched.exe" [2010-10-29 249064]
"Adobe ARM"="c:\program files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2011-06-06 937920]
.
c:\users\mamadou.ALLIANCE\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
fliptoast.lnk - c:\program files (x86)\fliptoast\fliptoast.exe [N/A]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 0 (0x0)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)
"PromptOnSecureDesktop"= 0 (0x0)
"HideFastUserSwitching"= 1 (0x1)
.
R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
R2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;c:\windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [2010-03-18 138576]
R3 btusbflt;Bluetooth USB Filter;c:\windows\system32\drivers\btusbflt.sys [x]
R3 btwl2cap;Bluetooth L2CAP Service;c:\windows\system32\DRIVERS\btwl2cap.sys [x]
R3 HECIx64;Intel(R) Management Engine Interface;c:\windows\system32\DRIVERS\HECIx64.sys [x]
R3 nmwcdcx64;Nokia USB Generic;c:\windows\system32\drivers\ccdcmbox64.sys [x]
R3 nmwcdx64;Nokia USB Phone Parent;c:\windows\system32\drivers\ccdcmbx64.sys [x]
R3 NvtSp50;NvtSp50 NDIS Protocol Driver;c:\windows\system32\Drivers\NvtSp50.sys [x]
R3 rimspci;rimspci;c:\windows\system32\DRIVERSimspe64.sys [x]
R3 risdpcie;risdpcie;c:\windows\system32\DRIVERSisdpe64.sys [x]
R3 rixdpcie;rixdpcie;c:\windows\system32\DRIVERSixdpe64.sys [x]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers	susbflt.sys [x]
R3 WatAdminSvc;Windows Activation Technologies Service;c:\windows\system32\Wat\WatAdminSvc.exe [x]
S0 PxHlpa64;PxHlpa64;c:\windows\System32\Drivers\PxHlpa64.sys [x]
S0 tdrpman258;Acronis Try&Decide and Restore Points filter (build 258);c:\windows\system32\DRIVERS	drpm258.sys [x]
S1 vwififlt;Virtual WiFi Filter Driver;c:\windows\system32\DRIVERS\vwififlt.sys [x]
S2 AdobeARMservice;Adobe Acrobat Update Service;c:\program files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe [2011-06-06 64952]
S2 AESTFilters;Andrea ST Filters Service;c:\windows\System32\DriverStore\FileRepository\stwrt64.inf_amd64_neutral_e085d3cd5b474ba6\AESTSr64.exe [2009-03-03 89600]
S2 afcdpsrv;Acronis Nonstop Backup service;c:\program files (x86)\Common Files\Acronis\CDP\afcdpsrv.exe [2011-03-31 2480048]
S2 buttonsvc64;Dell ControlPoint Button Service;c:\program files\Dell\Dell ControlPoint\DCPButtonSvc.exe [2009-11-20 373024]
S2 CLMonitor;CLMonitor;c:\program files (x86)\Dell\Latitude ON Reader\CLMonitorService.exe [2009-05-22 120104]
S2 Credential Vault Host Control Service;Credential Vault Host Control Service;c:\program files\Broadcom Corporation\Broadcom USH Host Components\CV\bin\HostControlService.exe [2009-12-17 1039776]
S2 Credential Vault Host Storage;Credential Vault Host Storage;c:\program files\Broadcom Corporation\Broadcom USH Host Components\CV\bin\HostStorageService.exe [2009-12-17 31136]
S2 dcpsysmgrsvc;Dell ControlPoint System Manager;c:\program files\Dell\Dell ControlPoint\System Manager\DCPSysMgrSvc.exe [2010-02-08 515952]
S2 IAStorDataMgrSvc;Intel(R) Rapid Storage Technology;c:\program files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe [2010-03-03 13336]
S2 SMManager;Smith Micro Connection Manager Service;c:\program files\Dell\Dell ControlPoint\Connection Manager\SMManager.exe [2009-12-22 77312]
S2 TeamViewer6;TeamViewer 6;c:\program files (x86)\TeamViewer\Version6\TeamViewer_Service.exe [2011-04-01 2271608]
S2 TmFilter;Trend Micro Filter;c:\program files (x86)\Trend Micro\Client Server Security Agent\TmXPFlt.sys [2009-12-04 265744]
S2 TmPreFilter;Trend Micro PreFilter;c:\program files (x86)\Trend Micro\Client Server Security Agent\TmPreFlt.sys [2009-12-04 42000]
S3 afcdp;afcdp;c:\windows\system32\DRIVERS\afcdp.sys [x]
S3 CtClsFlt;Creative Camera Class Upper Filter Driver;c:\windows\system32\DRIVERS\CtClsFlt.sys [x]
S3 cvusbdrv;Dell ControlVault;c:\windows\system32\Drivers\cvusbdrv.sys [x]
S3 e1yexpress;Intel(R) Gigabit Network Connections Driver;c:\windows\system32\DRIVERS\e1y62x64.sys [x]
S3 IntcHdmiAddService;Intel(R) High Definition Audio HDMI;c:\windows\system32\drivers\IntcHdmi.sys [x]
S3 OA001Ufd;Creative Camera OA001 Upper Filter Driver;c:\windows\system32\DRIVERS\OA001Ufd.sys [x]
S3 OA001Vid;Creative Camera OA001 Function Driver;c:\windows\system32\DRIVERS\OA001Vid.sys [x]
S3 TmProxy;Trend Micro Client/Server Security Agent Proxy Service;c:\program files (x86)\Trend Micro\Client Server Security Agent\TmProxy.exe [2009-07-15 917768]
.
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\svchost]
hpdevmgmt	REG_MULTI_SZ   	hpqcxs08 hpqddsvc
.
.
--------- x86-64 -----------
.
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\EnabledUnlockedFDEIconOverlay]
@="{30D3C2AF-9709-4D05-9CF4-13335F3C1E4A}"
[HKEY_CLASSES_ROOT\CLSID\{30D3C2AF-9709-4D05-9CF4-13335F3C1E4A}]
2009-11-24 14:02	60784	----a-w-	c:\program files\Wave Systems Corp\Trusted Drive Manager\TdmIconOverlay.dll
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\UninitializedFdeIconOverlay]
@="{CF08DA3E-C97D-4891-A66B-E39B28DD270F}"
[HKEY_CLASSES_ROOT\CLSID\{CF08DA3E-C97D-4891-A66B-E39B28DD270F}]
2009-11-24 14:02	60784	----a-w-	c:\program files\Wave Systems Corp\Trusted Drive Manager\TdmIconOverlay.dll
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"combofix"="c:\coumboutchfiche\CF14286.cfxxe" [X]
"Apoint"="c:\program files\DellTPad\Apoint.exe" [2009-06-19 342528]
"Broadcom Wireless Manager UI"="c:\program files\Dell\DW WLAN Card\WLTRAY.exe" [2010-02-01 5712896]
"DellControlPoint"="c:\program files\Dell\Dell ControlPoint\Dell.ControlPoint.exe" [2009-11-02 657920]
"DellConnectionManager"="c:\program files\Dell\Dell ControlPoint\Connection Manager\Dell.UCM.exe" [2009-12-22 1845248]
"USCService"="c:\program files\Dell\Dell ControlPoint\Security Manager\BcmDeviceAndTaskStatusService.exe" [2010-01-05 34232]
"HP Color LaserJet CM2320 MFP Series Fax"="c:\program files (x86)\HP\HP Color LaserJet CM2320 MFP Series\hppfaxprintersrv.exe" [2009-09-22 3700736]
"Acronis Scheduler2 Service"="c:\program files (x86)\Common Files\Acronis\Schedule2\schedhlp.exe" [2009-11-12 361632]
"SysTrayApp"="c:\program files\IDT\WDM\sttray64.exe" [2010-03-09 487424]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2010-07-28 161304]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2010-07-28 386584]
"Persistence"="c:\windows\system32\igfxpers.exe" [2010-07-28 415256]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"LoadAppInit_DLLs"=0x0
.
------- Examen supplémentaire -------
.
uLocal Page = c:\windows\system32\blank.htm
uStart Page = hxxp://www.google.ch/
mLocal Page = c:\windows\SysWOW64\blank.htm
IE: E&xport to Microsoft Excel - c:\progra~2\MICROS~1\Office12\EXCEL.EXE/3000
IE: Send image to &Bluetooth Device... - c:\program files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
IE: Send page to &Bluetooth Device... - c:\program files\WIDCOMM\Bluetooth Software\btsendto_ie.htm
TCP: DhcpNameServer = 172.16.20.20
FF - ProfilePath - 
.
- - - - ORPHELINS SUPPRIMES - - - -
.
Toolbar-Locked - (no file)
SafeBoot-Wdf01000.sys
Toolbar-Locked - (no file)
.
.
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\Windows\SysWOW64\Macromed\Flash\FlashUtil10t_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
@="c:\Windows\SysWOW64\Macromed\Flash\FlashUtil10t_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Shockwave Flash Object"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\Windows\SysWOW64\Macromed\Flash\Flash10t.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]
@="0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]
@="ShockwaveFlash.ShockwaveFlash.10"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\Windows\SysWOW64\Macromed\Flash\Flash10t.ocx, 1"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="ShockwaveFlash.ShockwaveFlash"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Macromedia Flash Factory Object"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\Windows\SysWOW64\Macromed\Flash\Flash10t.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]
@="FlashFactory.FlashFactory.1"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\Windows\SysWOW64\Macromed\Flash\Flash10t.ocx, 1"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="FlashFactory.FlashFactory"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
@Denied: (A 2) (Everyone)
@="IFlashBroker4"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
------------------------ Autres processus actifs ------------------------
.
c:\program files (x86)\Microsoft Small Business\Business Contact Manager\BcmSqlStartupSvc.exe
c:\program files (x86)\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
c:\program files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe
c:\program files (x86)\Trend Micro\Client Server Security Agent\CNTAoSMgr.exe
c:\program files (x86)\TeamViewer\Version6\TeamViewer.exe
.
**************************************************************************
.
Heure de fin: 2011-08-10  15:09:29 - La machine a redémarré
ComboFix-quarantined-files.txt  2011-08-10 13:09
.
Avant-CF: 138'933'198'848 bytes free
Après-CF: 138'363'641'856 bytes free
.
- - End Of File - - 9B5A83A195718368C0756FCCDF7BA89B

Utilisateur anonyme · Answer

après un redemarrage, comment va le pc ?

Pacorabanix · Answer

il semble plus rapide ! 

je vais voir si les problèmes d'extinction inopinés le soir continuent. 

merki bien ! 
encore des étapes ?

Utilisateur anonyme · Answer

bah, si tout va bien , on términe  :D

*	pour supprimer les outils de désinfection
:
Télecharge Delfix sur ton bureau :



*Clique sur le bouton «  Suppression » et poste son rapport sur ton prochain message
**Pour le désinstaller, il suffit de le relancer et cliquer sur le bouton de désinstallation.


*	/!\ Utilisateur de Vista : Ne pas oublier de désactiver l'UAC juste le temps de désinfection de ton pc, il sera à réactiver plus tard :
Tuto : https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac
	
. télécharges Ccleaner à partir de cette adresse et enregistres le sur le bureau

https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/ 

.double-cliques sur le fichier pour lancer l'installation 

.sur la fenêtre de l'installation langage bien choisir français et OK 
.cliques sur suivant 
.lis la licence et j'accepte 
.cliques sur suivant 
.la tu ne gardes de coché que mettre un raccourci sur le bureau et puis contrôler automatiquement les mises à jour de Ccleaner 
.cliques sur installer 
.cliques sur fermer 
.double-cliques sur l'icône de Ccleaner pour l'ouvrir 
.une fois ouvert tu cliques sur option et puis avancé 
.tu décoches effacer uniquement les fichiers, du dossier temp de windows plus vieux que 24 heures 
.cliques sur nettoyeur 
.cliques sur windows et dans la colonne avancé 
.coches la première case vieilles données du perfetch que celle-la ce qui te donnes la case vielles données du perfetch et la case avancé qui c'est coché automatiquement mais que celle-la 
.cliques sur analyse une fois l'analyse terminé 
.cliques sur lancer le nettoyage et sur la demande de confirmation OK il vas falloir que tu le refasses une autre fois une fois fini vériffis en appuiant de nouveau sur analyse pour être sur qu'il n'y est plus rien 
.cliques maintenant sur registre et puis sur rechercher les erreurs 
.laisses tout cochées et cliques sur réparrer les erreurs sélectionnées 
.il te demande de sauvegarder OUI 
.tu lui donnes un nom pour pouvoir la retrouver et enregistre 
.cliques sur corriger toutes les erreurs sélectionnées et sur la demande de confirmation OK 
.il supprime et fermer tu vérifies en relançant rechercher les erreurs 
.tu retournes dans option et tu recoches la case effacer uniquement les fichiers, du dossier temp de windows plus vieux que 48 heures et sur nettoyeur, windows sous avancé tu décoches la première case vieilles données du perfetch 
.tu peux fermer Ccleaner

tuto installation & nettoyage : 
https://www.donnemoilinfo.com/tuto/CCleaner/



*	Désactivation, puis Réactivation de la restauration système après désinfection : 

Il est nécessaire de désactiver puis réactiver la restauration système pour la purger car les points de restauration peuvent être infectés :
 
Pour Windows 7 :
https://www.commentcamarche.net/informatique/windows/147-restaurer-windows-avec-les-points-de-restauration/


*	fais une mise à jour de ton antivirus, lance un scan complet de ton pc, tiens moi au courant du résultat :-)

Pacorabanix · Answer

# DelFix v8.3 - Rapport créé le 10/08/2011 à 19:04
# Mis à jour le 04/08/11 à 11h par Xplode
# Système d'exploitation : Windows 7 Professional (64 bits) [Version 6.1.7601] 
# Nom d'utilisateur : mamadou - ALLIANCE-PC02 (Administrateur)
# Exécuté depuis : C:\Users\mamadou.ALLIANCE\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\I5IA1WYS\delfix0.exe
# Option [Recherche]


~~~~~~ Dossier(s) ~~~~~~

Présent : C:\_OTM
Présent : C:\Qoobox
Présent : C:\ZHP
Présent : C:\Program Files (x86)\ZHPDiag
Présent : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP

~~~~~~ Fichier(s) ~~~~~~

Présent : C:\Users\mamadou.ALLIANCE\Desktop\coumboutchfiche.exe <-- Combofix 
Présent : C:\ComboFix.txt
Présent : C:\PhysicalDisk0_MBR.bin
Présent : C:\Windows\grep.exe
Présent : C:\Windows\MBR.exe
Présent : C:\Windows\NIRCMD.exe
Présent : C:\Windows\PEV.exe
Présent : C:\Windows\sed.exe
Présent : C:\Windows\SWREG.exe
Présent : C:\Windows\SWSC.exe
Présent : C:\Windows\SWXCACLS.exe
Présent : C:\Windows\zip.exe
Présent : C:\Users\mamadou.ALLIANCE\Desktop\OTM.exe
Présent : C:\Users\mamadou.ALLIANCE\Desktop\ZHPDiag.txt
Présent : C:\Users\mamadou.ALLIANCE\Desktop\ZHPDiag2.exe
Présent : C:\Users\mamadou.ALLIANCE\Desktop\ZHPDiag2.Txt
Présent : C:\Users\mamadou.ALLIANCE\Desktop\ZHPDiag3.Txt
Présent : C:\Users\mamadou.ALLIANCE\Desktop\ZHPDiag4.txt
Présent : C:\Users\mamadou.ALLIANCE\Desktop\ZHPDiag5.txt
Présent : C:\Users\mamadou.ALLIANCE\Desktop\ZHPFixReport.txt
Présent : C:\Users\Public\Desktop\MBRCheck.lnk
Présent : C:\Users\Public\Desktop\ZHPDiag.lnk
Présent : C:\Users\Public\Desktop\ZHPFix.lnk
Présent : C:\Users\Public\Desktop\MBRCheck.lnk
Présent : C:\Users\Public\Desktop\ZHPDiag.lnk
Présent : C:\Users\Public\Desktop\ZHPFix.lnk

~~~~~~ Registre ~~~~~~

Clé Présente : HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.cfxxe
Clé Présente : HKLM\Software\OldTimer Tools
Clé Présente : HKLM\Software\Classes\.cfxxe
Clé Présente : HKLM\Software\Classes\cfxxefile
Clé Présente : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1
Clé Présente : HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\combofix.exe
Clé Présente : HKLM\SOFTWARE\Swearware

~~~~~~ Autre ~~~~~~


########## EOF - "C:\DelFixSearch.txt" - [2399 octets] ##########

Pacorabanix · Answer

# DelFix v8.3 - Rapport créé le 10/08/2011 à 19:06
# Mis à jour le 04/08/11 à 11h par Xplode
# Système d'exploitation : Windows 7 Professional (64 bits) [Version 6.1.7601] 
# Nom d'utilisateur : mamadou - ALLIANCE-PC02 (Administrateur)
# Exécuté depuis : C:\Users\mamadou.ALLIANCE\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\I5IA1WYS\delfix0.exe
# Option [Suppression]


~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\_OTM
Supprimé : C:\Qoobox
Supprimé : C:\ZHP
Supprimé : C:\Program Files (x86)\ZHPDiag
Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\Users\mamadou.ALLIANCE\Desktop\coumboutchfiche.exe <-- Combofix
Supprimé : C:\ComboFix.txt
Supprimé : C:\PhysicalDisk0_MBR.bin
Supprimé : C:\Windows\grep.exe
Supprimé : C:\Windows\MBR.exe
Supprimé : C:\Windows\NIRCMD.exe
Supprimé : C:\Windows\PEV.exe
Supprimé : C:\Windows\sed.exe
Supprimé : C:\Windows\SWREG.exe
Supprimé : C:\Windows\SWSC.exe
Supprimé : C:\Windows\SWXCACLS.exe
Supprimé : C:\Windows\zip.exe
Supprimé : C:\Users\mamadou.ALLIANCE\Desktop\OTM.exe
Supprimé : C:\Users\mamadou.ALLIANCE\Desktop\ZHPDiag.txt
Supprimé : C:\Users\mamadou.ALLIANCE\Desktop\ZHPDiag2.exe
Supprimé : C:\Users\mamadou.ALLIANCE\Desktop\ZHPDiag2.Txt
Supprimé : C:\Users\mamadou.ALLIANCE\Desktop\ZHPDiag3.Txt
Supprimé : C:\Users\mamadou.ALLIANCE\Desktop\ZHPDiag4.txt
Supprimé : C:\Users\mamadou.ALLIANCE\Desktop\ZHPDiag5.txt
Supprimé : C:\Users\mamadou.ALLIANCE\Desktop\ZHPFixReport.txt
Supprimé : C:\Users\Public\Desktop\MBRCheck.lnk
Supprimé : C:\Users\Public\Desktop\ZHPDiag.lnk
Supprimé : C:\Users\Public\Desktop\ZHPFix.lnk

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.cfxxe
Clé Supprimée : HKLM\Software\OldTimer Tools
Clé Supprimée : HKLM\Software\Classes\.cfxxe
Clé Supprimée : HKLM\Software\Classes\cfxxefile
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\combofix.exe
ACL -> [F] & Clé Supprimée : HKLM\SOFTWARE\Swearware

~~~~~~ Autre ~~~~~~

-> Prefetch vidé

########## EOF - "C:\DelFixSuppr.txt" - [2325 octets] ##########

Utilisateur anonyme · Answer

ok,

passe à la suite qu'on en finisse ce soir  ;)

Utilisateur anonyme · Answer

je ne pense pas que TeamViewer soitun Trojan !

TeamViewer est un programme qui permet de prendre la main sur un pc à distance !



mais au cas ou, passe le à VT  :D

Utilisateur anonyme · Answer

ok,

tiens moi au just avant de tout finaliser  :-)

@ ++

Pacorabanix · Answer

scan antivirus complet terminé, 0 menaces trouvées.

Utilisateur anonyme · Answer

crée un nouvau point de restauration système, ça peut servire  :D

sur ce, bon chance  ;-)

Utilisateur anonyme · Answer

fais un Dvd de restauration, c'est mieux que le truc avec Acronis  :D

@ ++

;-)

Demande de désinfection

25 réponses

Votre réponse

Discussions similaires

Newsletters