Antivir et antiparf out, plus d'internet

salut ceci est un rootkit.ZAccess et le probleme est pris à l'envers ca fait que ca se regenere tout le temps
je propose un coup de main pour eradiquer cette infection assez coriace

==================================

▶ Télécharge Reload_TDSSKiller

▶ Lance le

choisis : lancer le nettoyage

l'outil va automatiquement télécharger la derniere version puis

TDSSKiller va s'ouvrir , clique sur "Start Scan"

Si TDSS.tdl2 est détecté l''option delete sera cochée par défaut.
Si TDSS.tdl3 est détecté assure toi que Cure est bien cochée.
Si TDSS.tdl4(\HardDisk0\MBR) est détecté assure toi que Cure est bien cochée.
Si Suspicious file est indiqué, laisse l''option cochée sur Skip
Si Rootkit.Win32.ZAccess.* est détecté règle sur "cure" en haut , et "delete" en bas

une fois qu'il a terminé , redemarre s'il te le demande pour finir de nettoyer

sinon , ferme tdssKiller et le rapport s'affichera sur le bureau

▶ Copie/Colle son contenu dans ta prochaine réponse.

===========================================


__________________________________________________
=>/!\Le script qui suit a été écrit spécialement cet ordinateur/!\ <=
=>il est fort déconseillé de le transposer sur un autre ordinateur !<=
----------------------------------------------------------------------------

Toujours avec toutes les protections désactivées, fais ceci :

▶ Ouvre le bloc-notes (Menu démarrer --> programmes --> accessoires --> bloc-notes)
▶ Copie/colle dans le bloc-notes ce qui entre les lignes ci dessous (sans les lignes) :

----------------------------------------------------------
KillAll::

File::
c:\windows\system32\c_14163.nl_
c:\windows\system32\miwawwva.dll
c:\windows\DUMP6bc9.tmp
c:\windows\DUMP6a43.tmp
c:\program files\Thunderbird Setup 1.5.0.2.exe
c:\program files\aawsepersonal.exe

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ISUSPM Startup"=-
"ISUSScheduler"=-
"RealTray"=-
"Adobe Reader Speed Launcher"=-
"QuickTime Task"=-
"iTunesHelper"=-
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a930a980-af86-11dd-a8f9-00904be9ea5c}]
[-HKEY_LOCAL_MACHINE\System\ControlSet004\Services\66df5b64]


------------------------------------------------------------------

▶ Enregistre ce fichier sur ton Bureau (et pas ailleurs !) sous le nom CFScript.txt
▶ Quitte le Bloc Notes

▶ Fais un glisser/déposer de ce fichier CFScript sur le fichier combofix

▶ Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé.
▶ Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
▶ Si le fichier ne s'ouvre pas, il se trouve ici => C:\ComboFix.txt

===================================

desactive ton antivirus
desactive Windows defender si présent
desactive ton pare-feu

Ferme toutes tes appilications en cours

telecharge et enregistre ceci sur ton bureau :

Pre_Scan

si le lien ne fonctionne pas :

http://www.archive-host.com

s'il n'est pas sur ton bureau coupe-le de ton dossier telechargements et colle-le sur ton bureau

Avertissement: Il y aura une extinction du bureau pendant le scan --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan.txt" sur le bureau.

si 'outil est bloqué par l'infection utilise cette version : Version .pif

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

si l'outil semble ne pas avoir fonctionné renomme-le winlogon , ou change son extension en .com ou .scr

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan

▶▶▶ NE LE POSTE PAS SUR LE FORUM (il est trop long)

clique sur ce lien : http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier ci-dessus.

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.

si ton bureau ne reapparait pas => ctrl+alt+supp , gestionnaire des taches => onglet fichier => nouvelle tache puis tape explorer

¤¤¤¤¤¤¤¤¤¤_g3n-h@ckm@n_developpement_¤¤¤¤¤¤¤¤¤¤
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤_Pre_scan_¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Bonjour,

Vous dites:
Les differents antivirus que j'ai téléchargé grace a une cle usb depuis un autre pc pour les installer ne m'ont pas solutionné le probleme.

1) Il est extrêmement conseillé de ne posséder qu'un seul antivirus sur votre machine sinon, vous risquez d'avoir des conflits.

2) Je ne sais pas quels autres antivirus vous avez (hormis Avast) mais faites votre choix, gardez-en un et désinstallez les autres.

Vous dites:
Avast a bien vu ce chiffres:chiffres.exe mais n'a pas réussi à le desactiver....

Je ne sais pas comment Avast a été réglé mais le rapport peut se trouver ici:
C:\Program Files\Alwil Software\Avast4\DATA\report
S'il n'y est pas c'est que le réglage d'Avast est mal configuré. Faites ceci:
Clic droit sur Avast (dans la zone de notification)
Allez dans "réglages du programme"
Cliquez sur "fichier de rapport"
Cochez "créer un fichier de rapport"
Choisissez les options à votre convenance (vous écrasez ou pas, vous choisissez les éléments à loger).

3) Relancez un scan après les réglages d'Avast envoyez-nous le rapport sur le forum.

Bon dimanche.

Merci heraultais34600 de t'intéresser à mon cas...

J'ai desinstallé tous les antivirus sauf avast

je n'arrive pas a mettre la main sur un rapport avast, meme si je le configure comme tu me l'as dit ca ne marche pas. On dirait que quelque chose le desactive.

Il en va de même pour le lancement d'avast au démarrage.

De meme les rapports hijacks this ne s'affichaient pas

Par ailleurs c'est maintenant avast mon antivirus par défaut et il n'est pas possible de le démarrer dans windows classique (pas en mode ss echec).

Bon dimanche

Bonjour matt1111,

/!\ Attention /!\
Le logiciel qui suit peut faire des dégâts en cas de mauvaise utilisation !

/!\ Vérifie que tous tes logiciels de protection sont désactivés/!\
Avast oui et ton parefeu aussi donc cette étape devrait être règlée.

* Télécharge ComboFix (de sUBs) sur ton Bureau.
Renomme-le en Combo.com
* Double-clique sur Combo.com afin de le lancer.
* Si tu es sous Windows XP, il va te demander d'installer la console de récupération : tu dois absolument accepter.
* Ne touche à rien pendant le scan.
* Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse ICI.
Pense à m'envoyer le lien pour que je puisse analyser ce fichier.

Tutoriel officiel de Combofix : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Bonne journée.

http://www.cijoint.fr/cjlink.php?file=cj201109/cijmGQ9q14.txt

Bonjour,

voilà où j'ai mis le fichier.

Par contre, tu as bien compris que je n'ai plus d'acces internet sur mon pc "infecté" donc la console n'a pas pu démarrer comme il se devait.

Ceci dit peut-être verras-tu quelque chose dans le log que j'ai posté.

Encore un grand merci,

bonne journée.

Bonjour matt1111,

Désolé de te répondre un peu tardivement mais j'étais en déplacement.
J'ai pris note que tu n'as pas accès à Internet. Si après désinfection tu n'arrives toujours pas à te connecter, nous verrons cela après.
Avant de lancer le gros matériel d'artillerie, je vais te demander de réaliser toutes ces étapes.

Etape 1:

* Télécharge AD-Remover (de C_XX) sur ton Bureau.
* Double-clique sur l'icône AD-Remover
* Au menu principal, clique sur "Nettoyer"
* Confirme le lancement de l'analyse et laisse l'outil travailler
* Poste le rapport qui apparait à la fin (il est aussi sauvegardé sous C:\Ad-report-CLEAN.txt ) ICI

(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Etape2:

* Télécharge Malwarebytes

* Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement.
* Fais la mise à jour du logiciel (elle se fait normalement à l'installation)
* Lance une analyse complète en cliquant sur "Exécuter un examen complet"
* Sélectionne les disques que tu veux analyser et clique sur "Lancer l'examen"
* L'analyse peut durer un bon moment.....
* Une fois l'analyse terminée, clique sur "OK" puis sur "Afficher les résultats"
* Vérifie que tout est bien coché et clique sur "Supprimer la sélection" => et ensuite sur "OK"
* Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans un fichier que tu joindras également ICI
* Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Fais le en cliquant sur "oui" à la question posée.

J'attends la suite.
Bonne soirée.

Salut Heraultais 34600,

no souci pour les delais de réponse je ne suis pas particulierement pressé.

Merci en tout cas.

Ci-joint le premier lien

http://www.cijoint.fr/cjlink.php?file=cj201109/cijf9m0dzG.txt

pour antimalwarebytes, lorsque je l'ai lancé il a commencé l'examen puis s'est arrêté net .

Ensuite si je reclique dessus j'obtiens un message Windows ne parvient pas a acceder au périphérique, au chemin d'acces ou au fichier spécifié. Vous ne disposez peut-etre pas des autorisations appropriées pour avoir acces a l'élément.

Bonne soirée. Je vais ptet encore essayer un coup et te dirai si jamais quelque chose a changé.

Bonjour matt1111,

Très bien pour Ad-Remover, il a commencé à bien faire le ménage mais il serait souhaitable de poursuivre les vérifications un peu plus loin.

Pour malwareBytes essaie en mode sans échec.
S'il bloque toujours, on va faire ceci:
Télécharge OTL ici : http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/
Enregistre le fichier sur ton bureau.
Ferme tous tes programmes
Clic-droit sur le fichier OTL.exe et exécute-le en tant qu'administrateur.
Coche la case "tous les utilisateurs" puis clique sur le bouton "Analyse"
Patiente pendant l'analyse jusqu'à l'apparition des deux rapports OTL.txt et Extras.txt
Héberge les rapports ICI puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

Bonne journée.

Bonsoir matt1111,

* Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore le et désactive le temporairement.
* Branche toutes tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
* Double clique sur le raccourci UsbFix sur ton Bureau, l'installation se fera automatiquement
* Clique sur "Recherche"
* Laisse travailler l'outil
* A la fin, le rapport va s'afficher : poste le ICI et colle le lien dans ta prochaine réponse
(Le rapport est aussi sauvegardé a la racine du disque dur)

Aide en images : Tutoriel "Recherche"

Bonne soirée.

Bonjour Heraultais34600,

ci-joint le compte rendu d'USBfix

http://www.cijoint.fr/cjlink.php?file=cj201109/cijfXBhfyg.txt

Merci

Bonne journée

Bonjour matt1111,

Allez, on passe à la désinfection:

Etape 1:

* Double-clique sur USBFix.exe pour le lancer.
* Une fenêtre de commandes va s'ouvrir. Appuie sur F puis sur la touche [Entrée] pour choisir la langue du script.
* Dans le menu suivant, tape 2 puis [Entrée] pour lancer le nettoyage.
* Une fenêtre va s'ouvrir te demandant de bancher tous les périphériques externes que tu as pu utiliser ces derniers jours (clés USB, lecteurs MP3, disques durs externes, etc ...) va apparaitre. (Au minimum tu dois brancher tes clés usb , tes disques dur externes si tu en as)
* Branche le matériel puis clique sur OK pour poursuivre.
* USBFix va continuer son exécution. Le bureau va disparaitre et ne sera plus accessible tout le temps du scan. Ne t'inquiète pas, c'est normal. Patiente le temps du nettoyage sans l'interrompre.
* A la fin, un rapport va être généré (C:/USBFix.txt). Copie-colle l'intégralité de son contenu ICI puis copie /colle le lien dans ta prochaine réponse.

Etape 2:

Relance OTL qui devrait être sur ton bureau (clic droit puis exécuter en tant qu'administrateur)
Effectue un nouveau scan et envoie le rapport sur http://www.cijoint.fr

A bientôt.

Bonjour Heraultais34600,

ci-joint mon rapport usbfix :

http://www.cijoint.fr/cjlink.php?file=cj201109/cijBqGFQGY.txt

et le rapprt OTL:

http://www.cijoint.fr/cjlink.php?file=cj201109/cijxRhdnNa.txt

Merci

bonne journée et à bientôt

Bonjour matt1111,

Etape 1:

Tu m'as bien envoyé le rapport de UsbFix mais je ne vois pas de suppression. Il est uniquement en recherche.
Ne t'es-tu pas trompé? As-tu bien lancé UsbFix et as-tu cliqué sur le bouton "Suppression".
Je te conseille de recommencer la procédure et n'oublie pas de brancher tous tes supports externes.
Envoie-moi le rapport de suppression stp.

Etape 2:


Uniquement après avoir réalisé la première étape.

* Télécharge ce script ICI
* Copie ce script après l'avoir mis en surbrillance
* Lance OTL et colle la totalité du script dans la zone "Personnalisation"
* Lance l'outil en cliquant sur le bouton "Correction"
* A la fin du scan un rapport va s'ouvrir "OTL.Txt"
* Copie et colle le rapport ICI
* Au cas où, tu peux retrouver le rapport dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés


Etape 3:

* Télécharge https://toolslib.net target='_blank' rel='nofollow'>AdwCleaner ( d'Xplode ) sur ton bureau.
* Lance-le, clique sur [Recherche] puis patiente le temps du scan.
* Une fois le scan fini, un rapport s'ouvrira.
Note : Le rapport est également sauvegardé sous C:\AdwCleaner[R1].txt
Envoie-moi ce rapport sur ICI

A bientôt.

Bonjour Heraultais34600,

voici le premier script en effet je n'avais pas compris qu'il fallait faire suppression :

http://www.cijoint.fr/cjlink.php?file=cj201109/cijqJbj1pj.txt

pour OTL rien a faire il bloque a la premiere ligne en me disant qu'il ne reconnait pas chiffre:chiffre.exe

j'ai tout de même lancé la recherche avec Adwcleaner et j'ai obtenu ceci :

http://www.cijoint.fr/cjlink.php?file=cj201109/cijwjZuNHO.txt

Voilà j'espere que ca t'avances un peu, je ne sais absolument pas ce que nous faisons....

En tout les cas je te suis toujours aussi reconnaissant de m'aider...

A bientôt

Bonjour Heraultais34600,

malheureusement j'avais déjà tenté cela en enlevant la ligne 1683742566:2569053339.exe

et malheureusement ce processus st toujours en cours... Mon ordi ne réponds toujours pas correctement...

dsl

Bonjour,

voici le premier fichie reload....

http://www.cijoint.fr/cjlink.php?file=cj201109/cijwRvlAHC.txt

voici le second de combofix :

http://www.cijoint.fr/cjlink.php?file=cj201109/cijuvCtYpt.txt

pour info j'ai acces a internet avec mon pc a nouveau (grace a reload je crois)

reste plus que la derniere etape :

desinstalle winamp toolbar ca sert à rien

========================

fais glisser une icone n'importe quel fichier sur Pre_scan , pre_script va apparaitre

Lance Pre_script , une page vierge va s'ouvrir.

selectionne tout le texte en gras ci-dessous, puis (clic droit/copier ou ctrl+c) :
___________________________________________________
Registry::
[-HKEY_CURRENT_USER\Software\MyWaySA]
[-HKEY_CURRENT_USER\Software\XPRepairPro2006]
[-HKEY_CURRENT_USER\Software\Ask.com.tmp]
[-HKEY_LOCAL_MACHINE\Software\ErrorDoctor]
[-HKEY_LOCAL_MACHINE\Software\MyWaySA]
[-HKEY_LOCAL_MACHINE\Software\On2.com]
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"C:\Program Files\Fichiers communs\Java\Java Update\jucheck.exe"="C:\Program Files\Fichiers communs\Java\Java Update\jucheck.exe:*:Enabled:Java Update Checker"
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"1900:UDP"=-
"2869:TCP"=-

file::
C:\Documents and Settings\Matthieu\RefEdit.exd
C:\Documents and Settings\All Users\Application Data\addr_file.html
C:\Documents and Settings\All Users\Application Data\MCA66.tmp

folder::
C:\addf2dfc304fb521b67f627cb908
C:\Documents and Settings\All Users\Application Data\dK00000IbOhM00000
C:\Documents and Settings\All Users\Application Data\fEn31001oJlIm31001
C:\WINDOWS\41EBC322660F4D16A0DF53147210CBDB.TMP

attrib::
___________________________________________________

colle-le ensuite (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

si ton bureau ne reapparait pas => ctrl+alt+supp , gestionnaire des taches => onglet fichier => nouvelle tache puis tape explorer

salut je ne pense pas que tu sois tirée d'affaire

repasse TDSSKiller stp

et le rapport il est où ?

impec :)

▶ Télécharge ZHPDiag (de Nicolas Coolman)

ou :ZHPDiag

▶ Enregistre le sur ton Bureau.

Une fois le téléchargement achevé,

▶ Installe et lance ZHPDiag.exe

▶ Clique sur le tournevis puis sur Tous pour cocher toutes les cases des options.

▶ Clique sur la loupe pour lancer l'analyse.

A la fin de l'analyse,

▶ clique sur l'appareil photo et enregistre le rapport sur ton Bureau.

Pour me le transmettre clique sur ce lien :

http://www.cijoint.fr/

▶ Clique sur Parcourir et cherche le fichier C:\Documents and settings\le_nom_de_ta_session\.ZHPDiag.txt

▶ Clique sur Ouvrir.

▶ Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cj200905/cib7SU.txt

est ajouté dans la page.

▶ Copie ce lien dans ta réponse.