Personnal shield pro

Salut,

Tu as fait 6 rapports, tu auras du suivre dès le début les conseils d'un helper pour ne pas compliquer la tache pour toi et pour lui aussi!

On va reprendre de nouveau la désinfection!

1/
* Télécharge Delfix sur ton bureau.
* Lance le, tape suppression puis valide
* Patiente pendant le scan jusqu'à l'ouverture du rapport.
* Copie/Colle le contenu du rapport dans ta prochaine réponse.
Note : Le rapport se trouve également sous C:\DelFix.txt
* Tu peux le desinstaller

2/ Ensuite

* Télécharge sur le bureau RogueKiller (par tigzy)
https://www.luanagames.com/index.fr.html

*( Sous Vista/Seven,clique droit, lancer en tant qu'administrateur )

* Quitte tous tes programmes en cours
* Lance RogueKiller.exe.
* Lorsque demandé, tape 1 et valide
*Si le rogue empêche le lancement du programme, Renomme (RogueKiller) en "winlogon" ou "firefox". Sinon renomme le en winlogon.exe ou firefox.exe (rajouter l'extension .exe)
* Un rapport (RKreport.txt) a du se créer à côté de l'exécutable, colle son contenu dans la réponse
* Si le programme a été bloqué, ne pas hésiter a essayer plusieurs fois.

@+

_ _ _ Fish66_ _ _ I''"""""I_ _ membre _ _I''"""""I_ _ contributeur _ _ _
¤¤¤ Le meilleur remède pour tous les problèmes, c'est la patience.... ¤¤¤

Bonsoir, tout d'abord merci fish66 de ta réponse...
Je suis désolée d'avoir compliqué la tâche, d'autant que l'ordi fonctionne de plus en plus mal même si personnal shield pro ne semble plus être là... Internet est en rideau le gestionnaire orange s'ouvre en permanence et je suis obligée d'utiliser un autre pc pour communiquer.
je te poste donc le rapport delfix (du bon PC évidemment)

# DelFix v8.4 - Rapport créé le 18/09/2011 à 19:50
# Mis à jour le 16/09/11 à 21h par Xplode
# Système d'exploitation : Microsoft Windows XP (32 bits) [version 5.1.2600] Service Pack 3
# Nom d'utilisateur : UTILISATEUR - YOUR-43A75936C1 (Administrateur)
# Exécuté depuis : C:\Documents and Settings\UTILISATEUR\Bureau\delfix.exe
# Option [Suppression]

~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\ZHP
Supprimé : C:\Program Files\ZHPDiag
Supprimé : C:\Documents and Settings\UTILISATEUR\Bureau\RK_Quarantine
Supprimé : C:\Documents and Settings\All Users\Menu Démarrer\Programmes\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\PhysicalDisk0_MBR.bin
Supprimé : C:\Documents and Settings\All Users\Bureau\MBRCheck.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPDiag.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPFix.lnk

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKLM\Software\TrendMicro\Hijackthis
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Hijackthis
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\HijackThis.exe

~~~~~~ Autre ~~~~~~

-> ESET Online Scanner ... Désinstallé avec succès
-> Prefetch vidé

########## EOF - "C:\DelFixSuppr.txt" - [1411 octets] ##########
Ensuite celui de roguekiller que j'ai renommé en winlogon.exe (j'ai windows XP)
RogueKiller V5.3.4 [30/08/2011] par Tigzy
contact sur https://www.luanagames.com/index.fr.html
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: UTILISATEUR [Droits d'admin]
Mode: Suppression -- Date : 18/09/2011 19:52:09

Processus malicieux: 0

Entrees de registre: 0

Fichiers / Dossiers particuliers:

Fichier HOSTS:

Termine : << RKreport[1].txt >>
RKreport[1].txt

Il est très différent du premier rapport que j'avais eu qui trouvait un processus malicieux...
En tous cas je m'excuse de ma réponse tardive (week-end chargé) et je te remercie infiniement de t'occuper de gens comme moi.
J'attends ta réponse avec impatience car pour le moment l'ordi est inutilisable...

Salut,

Nous allons effectuer un diagnostic de ton PC:
*Télécharge ZHPDiag sur ton bureau :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html

* Laisse toi guider lors de l'installation,coche "Ajouter une icône sur le bureau" et décoche la case "Exécuter ZHPDiag"

/!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »

* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur un des sites ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum : http://www.cijoint.fr/
Si indisponible, tu peux essayer avec l'un de ces liens:
http://dl.free.fr
http://ww38.toofiles.com/fr/documents-upload.html
https://www.terafiles.net/
https://www.casimages.com/
http://pjjoint.malekal.com/

* Tuto zhpdiag :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html

Hébergement de rapport sur cijoint.fr/

Rend toi sur ce site : http://www.cijoint.fr/
Clique sur Choisissez un fichier
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cj44123/cijSKAP5fU.txt
est ajouté dans la page. Copie ce lien dans ta réponse.

@+

Merci de ta réactivité...

voici le lien:

http://www.cijoint.fr/cjlink.php?file=cj201109/cijMZp6m0u.txt

à tout'

Re,

Tu as : Rootkit, des adwares, infection des disques amovibles..

1/
Désinstalle Spybot, il est inutile

2/
Télécharge Reload_TDSSKiller

* Lance le

* choisis : lancer le nettoyage

* l'outil va automatiquement télécharger la derniere version puis

* TDSSKiller va s'ouvrir , clique sur "Start Scan"

Clique ici pour l'aide en image
- Si TDSS.tdl2 est détecté l''option delete sera cochée par défaut.
- Si TDSS.tdl3 est détecté assure toi que Cure est bien cochée.
- Si TDSS.tdl4(\HardDisk0\MBR) est détecté assure toi que Cure est bien cochée.
- Si Suspicious file est indiqué, laisse l''option cochée sur Skip
- une fois qu'il a terminé , redemarre s'il te le demande pour finir de nettoyer

sinon , ferme tdssKiller et le rapport s'affichera sur le bureau

* Copie/Colle son contenu dans ta prochaine réponse

merci voici le rapport

2011/09/18 21:45:28.0468 2784 TDSS rootkit removing tool 2.5.22.0 Sep 13 2011 15:55:17
2011/09/18 21:45:28.0687 2784 ================================================================================
2011/09/18 21:45:28.0687 2784 SystemInfo:
2011/09/18 21:45:28.0687 2784
2011/09/18 21:45:28.0703 2784 OS Version: 5.1.2600 ServicePack: 3.0
2011/09/18 21:45:28.0703 2784 Product type: Workstation
2011/09/18 21:45:28.0703 2784 ComputerName: YOUR-43A75936C1
2011/09/18 21:45:28.0703 2784 UserName: UTILISATEUR
2011/09/18 21:45:28.0703 2784 Windows directory: C:\WINDOWS
2011/09/18 21:45:28.0703 2784 System windows directory: C:\WINDOWS
2011/09/18 21:45:28.0703 2784 Processor architecture: Intel x86
2011/09/18 21:45:28.0703 2784 Number of processors: 2
2011/09/18 21:45:28.0703 2784 Page size: 0x1000
2011/09/18 21:45:28.0703 2784 Boot type: Normal boot
2011/09/18 21:45:28.0703 2784 ================================================================================
2011/09/18 21:45:31.0468 2784 Initialize success
2011/09/18 21:46:15.0734 3576 Deinitialize success

à tout'

Pardon
j'ai bien désinstallé spyboot et lancé le scan. Il a trouvé TDSS.tdl4 (Cure était bien coché) mais j'ai redémarré la machine avant de prendre le rapport... Au redémarrage, j'ai cliqué sur report mais il m'a donné le petit texte précédent.
Alors j'ai relancé le scan et pris un nouveau rapport beaucoup plus conséquent celui-ci (il ne trouve plus de menace).
Tellement conséquent d'ailleurs qu'à chaque fois que j'essaye de te l'envoyer le message bloque. Je l'ai donc hébergé chez cijoint.fr voici le lien:
http://www.cijoint.fr/cjlink.php?file=cj201109/cij5zBlLKl.txt
j'espère ne pas avoir fait une bourde???
Désolée (on clique toujours trop vite).

Re,

OK

Les adwares maitenant :

1/
Télécharge AdwCleaner (merci à Xplode)
Ou ADWCleaner ici
Lance AdwCleaner
Clique sur le bouton [ Suppression ]
Patiente...
Poste le rapport qui apparait en fin de recherche.
Il se trouve également à C:\AdwCleaner[SX] (où X est un chiffre)

2/
* Télécharge de AD-Remover sur ton Bureau.
http://www.teamxscript.org/adremoverTelechargement.html

/!\ Ferme toutes applications en cours /!\

- Double sur l'icône Ad-remover située sur ton Bureau.
-Pour vista/Seven : clique avec le bouton droit de la souris et choisis « exécuter en tant qu'administrateur »
- Sur la page, clique sur le bouton « chercher »
- Confirme lancement du scan
- Laisse travailler l'outil.
- Poste le rapport qui apparaît à la fin.

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt)

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour c

@+

Déjà bonne nouvelle je peux réutiliser le pc malade pour poster c'est plus pratique que de naviguer sans cesse de l'un à l'autre...

rapport adwcleaner:
# AdwCleaner v1.306 - Rapport créé le 18/09/2011 à 22:57:25
# Mis à jour le 14/09/11 à 13h par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : UTILISATEUR - YOUR-43A75936C1 (Administrateur)
# Exécuté depuis : C:\Documents and Settings\UTILISATEUR\Bureau\adwcleaner.exe
# Option [Suppression]

***** [KillNav] *****

Aucun navigateur n'était en cours d'exécution.

***** [Processus] *****

***** [Services] *****

***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Documents and Settings\UTILISATEUR\Application Data\EoRezo
Dossier Supprimé : C:\Documents and Settings\UTILISATEUR\Application Data\PriceGong
Dossier Supprimé : C:\Program Files\EoRezo
Fichier Supprimé : C:\WINDOWS\system32\conduitEngine.tmp

***** [Registre] *****

Clé Supprimée : HKCU\Software\EoRezo
Clé Supprimée : HKCU\Software\ItsLabel
Clé Supprimée : HKCU\Software\PriceGong
Clé Supprimée : HKLM\SOFTWARE\Conduit
Clé Supprimée : HKLM\SOFTWARE\EoRezo
Clé Supprimée : HKLM\SOFTWARE\Classes\Conduit.Engine
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}

***** [Navigateurs] *****

-\\ Internet Explorer v8.0.6001.18702

[OK] Le registre ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [1342 octets] - [18/09/2011 22:57:25]

########## EOF - C:\AdwCleaner[S1].txt - [1470 octets] ##########

Rapport AD-R
======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (SCAN [1]) -> Lancé à 23:01:55 le 18/09/2011, Mode normal

Microsoft Windows XP Professionnel Service Pack 3 (X86)
UTILISATEUR@YOUR-43A75936C1 ( )

============== RECHERCHE ==============

Dossier trouvé: C:\Documents and Settings\UTILISATEUR\Application Data\OpenCandy
Dossier trouvé: C:\Program Files\Winsudate
Dossier trouvé: C:\Documents and Settings\UTILISATEUR\Application Data\ItsLabel

Clé trouvée: HKLM\Software\Classes\Interface\{6E4C89CF-3061-4EE4-B22A-B7A8AAEA5CB3}
Clé trouvée: HKLM\Software\Classes\Interface\{B0D071A1-36B3-4757-A126-14C89C56013A}
Clé trouvée: HKLM\Software\Classes\EoRezoBHO.EoBho
Clé trouvée: HKLM\Software\Classes\EoRezoBHO.EoBho.1
Clé trouvée: HKLM\Software\Classes\Toolbar.CT1460988
Clé trouvée: HKLM\Software\Classes\Toolbar.CT2405725
Clé trouvée: HKCU\Software\Winsudate
Clé trouvée: HKCU\Software\AppDataLow\Software\Radio_Bar_1
Clé trouvée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{64F56FC1-1272-44CD-BA6E-39723696E350}

============== SCAN ADDITIONNEL ==============

**** Internet Explorer Version [8.0.6001.18702] ****

HKCU_Main|Search bar - hxxp://www.google.com/ie
HKCU_Main|Search Page - hxxp://www.google.com
HKCU_Main|Start Page - hxxp://r.orange.fr/r/Ohome_accueil?ref=O_OI_defaultPage
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=69157
HKLM_Main|Default_Search_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Search Page - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Start Page - hxxp://go.microsoft.com/fwlink/?LinkId=69157
HKCU_URLSearchHooks|{08C06D61-F1F3-4799-86F8-BE1A89362C85} - "Search Class" (C:\Program Files\Orange\SearchURLHook\SearchPageURL.dll)
HKCU_SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} - "?" (?)
HKCU_SearchScopes\{814C76CB-2623-43F4-AAD0-58A0E5190A20} - "Orange" (hxxp://www.orange.fr/bin/frame1px.cgi?u=hxxp%3A//r.voila.fr/se%3Frdata%3D{search...)
HKCU_Toolbar\WebBrowser|{B2E293EE-FD7E-4C71-A714-5F4750D8D7B7} (x)
HKLM_Toolbar|{9421DD08-935F-4701-A9CA-22DF90AC4EA6} (C:\Program Files\Epson Software\Easy Photo Print\EPTBL.dll)
HKLM_Toolbar|{3EA8D036-C9E7-4721-BCDF-C13D00C4CC39} (C:\Program Files\DevNet\Toolbar\DevNet.dll)
HKCU_ElevationPolicy\{D3DE705E-0BB6-47E6-AB61-6FF78BE040A0} - C:\Program Files\Internet Explorer\minftnet.exe (Synersoft)
HKLM_ElevationPolicy\{43023B0B-C598-4935-808C-990E0C700723} - C:\Program Files\DevNet\Toolbar\DevNetUpdater.exe (DevNet)
HKLM_Extensions\{08B0E5C0-4FCB-11CF-AAA5-00401C608501} - "?" (?)
HKLM_Extensions\{e2e2dd38-d088-4134-82b7-f2ba38496583} - "?" (?)
BHO\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - "SSVHelper Class" (C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll)
BHO\{9421DD08-935F-4701-A9CA-22DF90AC4EA6} - "Easy Photo Print" (C:\Program Files\Epson Software\Easy Photo Print\EPTBL.dll)
BHO\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - "Skype Browser Helper" (C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll)

========================================

C:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 1 Fichier(s)

C:\Ad-Report-SCAN[1].txt - 18/09/2011 23:02:08 (1819 Octet(s))

Fin à: 23:03:01, 18/09/2011

============== E.O.F ==============
@tout'

Re,

On a avancé donc :-)

1/
/!\ Ferme toutes applications en cours /!\

- Double sur l'icône Ad-remover située sur ton Bureau.
-Pour vista/Seven : clique avec le bouton droit de la souris et choisis « exécuter en tant qu'administrateur »
- Sur la page, clique sur le bouton « Nettoyer »
- Confirme lancement du scan
- Laisse travailler l'outil.
- Poste le rapport qui apparaît à la fin.

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt)

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour c

2/
* Telecharge et install USBFix >>ICI par El Desaparecido , C_XX & Chimay8
Autres liens :
http://www.teamxscript.org/usbfixTelechargement.html
http://teamxscript.changelog.fr/too/UsbFix.exe

(!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

- Double clique sur le raccourci UsbFix sur ton Bureau (clique droit avec la souris

:exécuter en tant qu'administrateur pour vista/seven), l'installation se fera

automatiquement

-Clique sur "Recherche"

- Laisse travailler l'outil

- A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi

eh oui on avance... Merci pour tout
les rapports demandés:

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 23:58:36 le 18/09/2011, Mode normal

Microsoft Windows XP Professionnel Service Pack 3 (X86)
UTILISATEUR@YOUR-43A75936C1 ( )

============== ACTION(S) ==============

Dossier supprimé: C:\Documents and Settings\UTILISATEUR\Application Data\OpenCandy
Dossier supprimé: C:\Program Files\Winsudate
Dossier supprimé: C:\Documents and Settings\UTILISATEUR\Application Data\ItsLabel

(!) -- Fichiers temporaires supprimés.

Clé supprimée: HKLM\Software\Classes\Interface\{6E4C89CF-3061-4EE4-B22A-B7A8AAEA5CB3}
Clé supprimée: HKLM\Software\Classes\Interface\{B0D071A1-36B3-4757-A126-14C89C56013A}
Clé supprimée: HKLM\Software\Classes\EoRezoBHO.EoBho
Clé supprimée: HKLM\Software\Classes\EoRezoBHO.EoBho.1
Clé supprimée: HKLM\Software\Classes\Toolbar.CT1460988
Clé supprimée: HKLM\Software\Classes\Toolbar.CT2405725
Clé supprimée: HKCU\Software\Winsudate
Clé supprimée: HKCU\Software\AppDataLow\Software\Radio_Bar_1
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{64F56FC1-1272-44CD-BA6E-39723696E350}

============== SCAN ADDITIONNEL ==============

**** Internet Explorer Version [8.0.6001.18702] ****

HKCU_Main|Search bar - hxxp://www.google.com/ie
HKCU_Main|Search Page - hxxp://www.google.com
HKCU_Main|Start Page - hxxp://r.orange.fr/r/Ohome_accueil?ref=O_OI_defaultPage
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=69157
HKLM_Main|Default_Search_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Search Page - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Start Page - hxxp://go.microsoft.com/fwlink/?LinkId=69157
HKCU_URLSearchHooks|{08C06D61-F1F3-4799-86F8-BE1A89362C85} - "Search Class" (C:\Program Files\Orange\SearchURLHook\SearchPageURL.dll)
HKCU_SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} - "?" (?)
HKCU_SearchScopes\{814C76CB-2623-43F4-AAD0-58A0E5190A20} - "Orange" (hxxp://www.orange.fr/bin/frame1px.cgi?u=hxxp%3A//r.voila.fr/se%3Frdata%3D{search...)
HKCU_Toolbar\WebBrowser|{B2E293EE-FD7E-4C71-A714-5F4750D8D7B7} (x)
HKLM_Toolbar|{9421DD08-935F-4701-A9CA-22DF90AC4EA6} (C:\Program Files\Epson Software\Easy Photo Print\EPTBL.dll)
HKLM_Toolbar|{3EA8D036-C9E7-4721-BCDF-C13D00C4CC39} (C:\Program Files\DevNet\Toolbar\DevNet.dll)
HKCU_ElevationPolicy\{D3DE705E-0BB6-47E6-AB61-6FF78BE040A0} - C:\Program Files\Internet Explorer\minftnet.exe (Synersoft)
HKLM_ElevationPolicy\{43023B0B-C598-4935-808C-990E0C700723} - C:\Program Files\DevNet\Toolbar\DevNetUpdater.exe (DevNet)
HKLM_Extensions\{08B0E5C0-4FCB-11CF-AAA5-00401C608501} - "?" (?)
HKLM_Extensions\{e2e2dd38-d088-4134-82b7-f2ba38496583} - "?" (?)
BHO\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - "SSVHelper Class" (C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll)
BHO\{9421DD08-935F-4701-A9CA-22DF90AC4EA6} - "Easy Photo Print" (C:\Program Files\Epson Software\Easy Photo Print\EPTBL.dll)
BHO\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - "Skype Browser Helper" (C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll)

========================================

C:\Program Files\Ad-Remover\Quarantine: 2 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 14 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 18/09/2011 23:58:46 (1363 Octet(s))
C:\Ad-Report-SCAN[1].txt - 18/09/2011 23:02:08 (3501 Octet(s))

Fin à: 00:03:02, 19/09/2011

============== E.O.F ==============

############################## | UsbFix 7.058 | [Recherche]

Utilisateur: UTILISATEUR (Administrateur) # YOUR-43A75936C1 [ ]
Mis à jour le 24/08/2011 par El Desaparecido
Lancé à 00:14:51 | 19/09/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU: Intel(R) Pentium(R) Dual CPU T2370 @ 1.73GHz
CPU 2: Intel(R) Pentium(R) Dual CPU T2370 @ 1.73GHz
Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 3
Internet Explorer 8.0.6001.18702

Pare-feu Windows: Activé
Antivirus: Panda Antivirus Pro 2011 10.00.00 [(!) Disabled | Updated]
RAM -> 1014 Mo
C:\ (%systemdrive%) -> Disque fixe # 59 Go (14 Go libre(s) - 24%) [] # NTFS
D:\ -> CD-ROM
E:\ -> Disque fixe # 53 Go (33 Go libre(s) - 63%) [Nouveau nom] # NTFS
F:\ -> Disque fixe # 373 Go (30 Go libre(s) - 8%) [KIOSK 400GB] # FAT32
H:\ -> Disque fixe # 932 Go (613 Go libre(s) - 66%) [pat disk dur] # NTFS

################## | Éléments infectieux |

Présent! C:\RECYCLER\S-1-5-21-1347140559-4016663672-462867670-1005
Présent! E:\RECYCLER\S-1-5-21-1347140559-4016663672-462867670-1005
Présent! H:\autorun.inf
Présent! H:\RECYCLER\S-1-5-21-1347140559-4016663672-462867670-1005

################## | Registre |

################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\{62eff1e5-bd67-11dd-bb62-001644abffbb}
Shell\AutoRun\Command = F:\wjlfhtfm.cmd
Shell\explore\Command = F:\wjlfhtfm.cmd
Shell\open\Command = F:\wjlfhtfm.cmd

HKCU\.\.\.\.\Explorer\MountPoints2\{87f1b802-6cb2-11de-bce7-001644abffbb}
Shell\AutoRun\Command = F:\setupSNK.exe

HKCU\.\.\.\.\Explorer\MountPoints2\{93862c8e-d2e2-11dd-bbbb-001644abffbb}
Shell\AutoRun\Command = F:\LaunchU3.exe -a

################## | Vaccin |

H:\Autorun.inf -> Vaccin créé par Panda USB Vaccine

################## | E.O.F |

Désolée fish66, pour ce soir je jette l'éponge demain le boulot c'est à 6h, je m'y remets demain soir sans faute après 20h...
En tous cas merci pour tout, de ta patience et de ta disponibilté, c'est la première fois que je fais appel à un helper et je ne suis pas déçue. En plus en attendant je me suis promenée sur plein de sujets et j'ai appris plein de choses utiles (bref je me coucherai moins... ce soir !)
Merci encore donc et à demain j'espère pour la suite des aventures

Bonjour,

De rien :-)
1/
(!) Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

- Double clique sur le raccourci UsbFix sur ton Bureau (clique droit avec la souris

:exécuter en tant qu'administrateur pour vista/seven), l'installation se fera

automatiquement

-Clique sur "Suppression"

- Laisse travailler l'outil

- A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse

2/
* Lance Malwarebytes' Anti-Malware
* Fais la mise à jour
* Clique dans l'onglet "Recherche"
* Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher"
* Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen"

A la fin de l'analyse, si MBAM n'a rien trouvé :

* Clique sur OK, le rapport s'ouvre spontanément

Si des menaces ont été détectées :

* Clique sur OK puis "Afficher les résultats"
*Vérifie que toutes les lignes sont cochées
* Choisis l'option "Supprimer la sélection"
* Si MBAM demande le redémarrage de Windows : Clique sur "Oui"
* Le rapport s'ouvre automatiquement après la suppression, il se trouve aussi dans l'onglet "Rapports/Logs"

* Copie/colle le rapport dans le prochain message

Remarque :
- S'il y'a un problème de mise à jour de mbam, tu peux la faire manuellement en téléchargeant ce fichier puis en l'exécutant.

@+

_ _ _ Fish66_ _ _ I''"""""I_ _ membre _ _I''"""""I_ _ contributeur _ _ _
¤¤¤ Le meilleur remède pour tous les problèmes, c'est la patience.... ¤¤¤

Bonsoir,

j'espère que tu as eu une bonne journée, j'ai fait ce que demandé en rentrant du boulot mais j'ai eu du mal avec MBAM qui provoquait systématiquement une erreur système et puis... Miracle à la 5ème analyse c'est passé (j'ai pris le lien de mise à jour indépendant) ! Donc voici les rapports demandés (usbfix et MBAM) en te remerciant encore pour ta patience.

############################## | UsbFix 7.058 | [Suppression]

Utilisateur: UTILISATEUR (Administrateur) # YOUR-43A75936C1 [ ]
Mis à jour le 24/08/2011 par El Desaparecido
Lancé à 07:55:43 | 19/09/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU: Intel(R) Pentium(R) Dual CPU T2370 @ 1.73GHz
CPU 2: Intel(R) Pentium(R) Dual CPU T2370 @ 1.73GHz
Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 3
Internet Explorer 8.0.6001.18702

Pare-feu Windows: Activé
Antivirus: Panda Antivirus Pro 2011 10.00.00 [(!) Disabled | Updated]
RAM -> 1014 Mo
C:\ (%systemdrive%) -> Disque fixe # 59 Go (14 Go libre(s) - 24%) [] # NTFS
D:\ -> CD-ROM
E:\ -> Disque fixe # 53 Go (33 Go libre(s) - 63%) [Nouveau nom] # NTFS
F:\ -> Disque fixe # 373 Go (30 Go libre(s) - 8%) [KIOSK 400GB] # FAT32
H:\ -> Disque fixe # 932 Go (613 Go libre(s) - 66%) [pat disk dur] # NTFS

################## | Éléments infectieux |

Supprimé! C:\Recycler\S-1-5-21-1347140559-4016663672-462867670-1005
Supprimé! E:\Recycler\S-1-5-21-1347140559-4016663672-462867670-1005
Supprimé! H:\Recycler\S-1-5-21-1347140559-4016663672-462867670-1005
Supprimé! H:\autorun.inf

################## | Registre |

################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{62eff1e5-bd67-11dd-bb62-001644abffbb}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{87f1b802-6cb2-11de-bce7-001644abffbb}

################## | Listing |

[03/05/2007 - 17:32:29 | N | 385] C:\10099.exe
[18/09/2011 - 18:49:36 | D ] C:\A Patrick
[24/08/2009 - 13:06:49 | D ] C:\ab2a947d3d23c48c68512415
[19/09/2011 - 00:03:04 | N | 3637] C:\Ad-Report-CLEAN[1].txt
[18/09/2011 - 23:03:01 | N | 3501] C:\Ad-Report-SCAN[1].txt
[18/09/2011 - 22:57:56 | N | 1471] C:\AdwCleaner[S1].txt
[09/04/2008 - 11:46:23 | N | 0] C:\AUTOEXEC.BAT
[05/05/2011 - 10:14:30 | N | 246] C:\boot.ini
[15/01/2008 - 11:17:01 | N | 4952] C:\Bootfont.bin
[14/09/2011 - 23:26:47 | D ] C:\Config.Msi
[09/04/2008 - 11:46:23 | N | 0] C:\CONFIG.SYS
[19/09/2008 - 20:07:30 | D ] C:\Documents and Settings
[26/03/2010 - 11:37:10 | D ] C:\Fichiers Movavi
[19/09/2011 - 05:54:42 | ASH | 1063211008] C:\hiberfil.sys
[20/09/2008 - 04:37:04 | D ] C:\i386
[05/11/2009 - 01:44:08 | D ] C:\Inetpub
[20/09/2008 - 04:37:04 | D ] C:\Intel
[09/04/2008 - 11:46:23 | N | 0] C:\IO.SYS
[18/11/2009 - 13:03:00 | N | 99511] C:\logfile
[09/04/2008 - 11:46:23 | N | 0] C:\MSDOS.SYS
[15/01/2008 - 11:37:28 | N | 47564] C:\NTDETECT.COM
[21/09/2008 - 01:23:13 | N | 252240] C:\ntldr
[19/09/2011 - 05:54:38 | ASH | 1598029824] C:\pagefile.sys
[18/09/2011 - 20:34:56 | N | 512] C:\PhysicalDisk0_MBR.bin
[18/09/2011 - 23:59:39 | D ] C:\Program Files
[19/09/2011 - 08:02:45 | SHD ] C:\RECYCLER
[08/04/2009 - 20:00:45 | N | 159] C:\Setup.log
[16/06/2009 - 18:35:49 | D ] C:\spoolerlogs
[20/09/2008 - 04:48:23 | D ] C:\SUPPORT
[10/04/2008 - 00:56:42 | N | 70] C:\SWSTAMP.TXT
[19/09/2008 - 20:06:43 | SHD ] C:\System Volume Information
[24/10/2008 - 17:10:06 | D ] C:\TMOTM
[09/04/2008 - 15:37:18 | D ] C:\Toshiba
[19/09/2011 - 08:02:45 | D ] C:\UsbFix
[19/09/2011 - 08:02:46 | A | 1308] C:\UsbFix.txt
[15/10/2008 - 22:13:10 | D ] C:\VALUEADD
[16/09/2011 - 17:10:21 | D ] C:\WINDOWS
[18/09/2011 - 20:34:59 | D ] C:\ZHP
[18/09/2011 - 20:14:00 | D ] E:\Mes Documents
[21/09/2008 - 00:51:24 | RHD ] E:\MSOCache
[19/09/2011 - 08:02:45 | SHD ] E:\RECYCLER
[19/09/2008 - 21:26:54 | SHD ] E:\System Volume Information
[29/09/2008 - 19:15:50 | SHD ] F:\System Volume Information
[29/09/2008 - 19:16:06 | SHD ] F:\Recycled
[29/09/2008 - 19:16:24 | D ] F:\A Patrick
[29/09/2008 - 19:25:14 | D ] F:\humour internet
[29/09/2008 - 19:25:50 | D ] F:\video
[16/12/2008 - 13:04:36 | D ] F:\MARCEL
[16/12/2008 - 14:25:46 | D ] F:\A Fabienne
[03/03/2006 - 21:47:46 | N | 79360] F:\adresses mail.doc
[16/12/2008 - 14:52:16 | D ] F:\famille
[31/03/2009 - 09:41:04 | D ] F:\recup amandine
[17/07/2009 - 22:10:18 | D ] F:\sauvegardes provisoires
[07/01/2009 - 15:21:52 | D ] F:\Jaquettes et CD
[08/10/2009 - 11:29:50 | D ] F:\expo monde mineral egreville 2005
[19/10/2009 - 23:15:24 | D ] F:\travail sur expo
[07/05/2010 - 16:56:18 | D ] F:\expo patates
[29/04/2011 - 16:32:44 | D ] H:\A CLASSER
[20/07/2011 - 19:03:38 | D ] H:\A Fabienne
[27/05/2011 - 22:32:07 | D ] H:\A Patrick
[10/07/2010 - 06:38:16 | D ] H:\autorun
[28/06/2011 - 10:31:38 | D ] H:\BAGNEAUX
[29/04/2011 - 15:52:59 | D ] H:\COMMANDES
[16/06/2011 - 14:24:57 | D ] H:\EXPO EN COURS
[28/05/2011 - 00:25:31 | D ] H:\EXPO PASSEES
[31/05/2011 - 14:22:58 | D ] H:\MARCEL
[26/12/2010 - 01:19:05 | D ] H:\MUSIQUE
[16/09/2011 - 17:03:13 | D ] H:\PROVISOIRE
[02/03/2011 - 12:18:25 | D ] H:\Recycled
[19/09/2011 - 08:02:45 | SHD ] H:\RECYCLER
[04/07/2011 - 20:40:37 | SHD ] H:\System Volume Information
[09/09/2011 - 15:49:47 | D ] H:\VIDEO MAISON

################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
E:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
F:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
H:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_YOUR-43A75936C1.zip
http://www.teamxscript.org/Upload.php
Merci de votre contribution.

################## | E.O.F |

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 7746

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

19/09/2011 20:44:16
mbam-log-2011-09-19 (20-44-16).txt

Type d'examen: Examen complet (C:\|E:\|)
Elément(s) analysé(s): 271312
Temps écoulé: 45 minute(s), 18 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 4

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\documents and settings\all users\application data\gi21703acnma21703\gi21703acnma21703.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
e:\mes documents\a fabienne\perso\tricot\gilet layette a capuche.exe (Backdoor.Sdbot) -> Quarantined and deleted successfully.
e:\mes documents\a fabienne\perso\tricot\pull layette ours.exe (Backdoor.Sdbot) -> Quarantined and deleted successfully.
c:\documents and settings\utilisateur\Bureau\winlogon.exe (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.
@ plus

Re,

Lance ZHPDiag depuis le bureau de ton PC, clique sur l'onglet vert (flèche bas) pour faire la mise à jour et prépare stp un nouveau rapport ZHPDiag

@+

ah! Merci d'être toujours là pour moi

lien vers le rapport ZHP Diag

http://www.cijoint.fr/cjlink.php?file=cj201109/cijQPBICY4.txt

à tout'

Re,
1/
Désinstalle stp ces logiciels :
Iadah Toolbar
Babylon

2/
Copie tout le texte présent en gras ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )

[HKCU\Software\ESET] => ESET Online Scanner
[HKCU\Software\F-Secure]
O43 - CFD: 05/11/2009 - 01:53:36 - [0] ----D- C:\Program Files\Babylon => Infection BT (Toolbar.Babylon)
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Infection Rootkit (Rootkit.TDSS)
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Infection Rootkit (Rootkit.TDSS)
[HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ecdf796-c2dc-4d79-a620-cce0c0a66cc9}]
C:\Program Files\Babylon => Infection BT (Toolbar.Babylon)
[HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\conduitEngine]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\IadahToolbar]

FirewallRAZ
EmptyTemp
EmptyFlash


Puis Lance ZHPFix depuis le raccourci du bureau .

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur le bouton GO

Copie/Colle le rapport à l'écran dans ton prochain message.

Re

j'ai supprimé iadah toolbar sans pb mais babylon n'apparaît pas dans la liste où dois-je le trouver ?
Merci

Rapport de ZHPFix 1.12.3361 par Nicolas Coolman, Update du 06/09/2011
Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-19-09-2011-21-47-59.txt
Run by UTILISATEUR at 19/09/2011 21:47:59
Windows XP Professional Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Clé(s) du Registre ==========
SUPPRIME Key: HKCU\Software\ESET
SUPPRIME Key: HKCU\Software\F-Secure
SUPPRIME Key: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ecdf796-c2dc-4d79-a620-cce0c0a66cc9}
SUPPRIME Key: HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\conduitEngine
ABSENT Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\IadahToolbar

========== Valeur(s) du Registre ==========
SUPPRIME IFC: [FEATURE_BROWSER_EMULATION] svchost.exe
ABSENT IFC: [FEATURE_BROWSER_EMULATION] svchost.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\Skype\Plugin Manager\skypePM.exe
Aucune valeur présente dans la clé d'exception du registre (FirewallRaz)

========== Dossier(s) ==========
ABSENT C:\Program Files\Babylon
SUPPRIME Temporaires Windows: : 5
SUPPRIME Flash Cookies: 1

========== Fichier(s) ==========
ABSENT Folder/File: c:\program files\babylon
SUPPRIME Temporaires Windows: : 22
SUPPRIME Flash Cookies: 0

========== Récapitulatif ==========
5 : Clé(s) du Registre
4 : Valeur(s) du Registre
3 : Dossier(s)
3 : Fichier(s)

End of clean in 00mn 01s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 19/09/2011 21:47:59 [1464]

Voilà le rapport en espérant ne pas avoir fait de conn...

Re,

C'est OK :-)

As tu de souci avant de finaliser ?