nombreux trojan et worm Résolu/Fermé

Question

Bonjour à vous,
J'ai récupéré le pc d'une amie qui est plus qu'infecté. J'ai installé Avira et fais un scan qui relève 171 infections !!!! Je ll'ai scanné avec spybot, ad aware et glary utilities. Ils ont tous trouvé des trucs mais le pc reste très lent. C'est pourquoi je viens chercher votre aide sur le forum !. Je vous mets le rapport Avira à suivre avec le log de zhpdiag. Merci pour votre aide.

 http://www.cijoint.fr/cjlink.php?file=cj201110/cijePZFZTf.txt




Configuration: Windows XP / Firefox 5.0.1

rubytwo · Answer

Kikoo tou dabor tu vire tou les virus ou autre que avira a detecter et apre tu fai une defragmantation de ton disque dur sa devrer accelere un peut ta vitesse et apre regarde si ton disque nest pas saturer sinon la meilleur solus c de formater !!

Lyonnais92 · Answer

Bonjour,

ignore le "conseil" ci-dessus.

Désinstalle Spybot S&D qui n'est plus assez efficace, de même que Ad aware.

===


1) Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

2) Télécharge Malwarebytes ' Anti-Malware (MBAM) et enregistre le sur ton Bureau.

choisis la version free.

hxxp://www.download.com/Malwarebytes-Anti-Malware/3000-8022_4 

3) A la fin du téléchargement, ferme toutes les fenêtres et programmes, y compris celui-ci.

4) Double-clique sur l'icône Download_mbam-setup.exe sur ton bureau pour démarrer le programme d'installation.

5) Pendant l'installation, suis les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet). N'apporte aucune modification aux réglages par défaut et, en fin d'installation, vérifie que les options Update Malwarebytes' Anti-Malware et Launch Malwarebytes' Anti-Malware sont cochées.

6) MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse. Comme MBAM se met automatiquement à jour en fin d'installation, clique sur OK pour fermer la boîte de dialogue. La fenêtre principale de MBAM s'affiche :

7) Dans l'onglet analyse, vérifie que "Exécuter une analyse rapide"  est coché et clique sur le bouton Rechercher pour démarrer l'analyse.

8) MBAM analyse ton ordinateur. L'analyse peut prendre un certain temps. Il suffit de vérifier de temps en temps son avancement.

9) A la fin de l'analyse, un message s'affiche indiquant la fin de l'analyse. Clique sur OK pour poursuivre.

10) Si des malwares ont été détectés, leur liste s'affiche.
En cliquant sur Suppimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

11) MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Ferme le Bloc-notes. (Le rapport peut être retrouvé sous l'onglet Rapports/logs)

12) Ferme MBAM en cliquant sur Quitter.

13) Poste le rapport dans ta réponse

===


Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.
Lance le, clique sur [Suppression] puis patiente le temps du scan.
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt
 

===

Fais redémarrer l'ordi, refais tourner ZHPDiag et poste le nouveau rapport dans un lien Cijoint.

Fluctabilus · Answer

<code>Merci d'avoir pris le temps de me répondre Gen Hackman. Et merci pour ton aide Lyonnais92 :-)  
Alors un si long temps de réponse car Mbam n'en finissait pas (+ de 2h00 exam minutieux) Je stoppe il bug. Je parviens a relancer le truc mais au moment du diagnostique de zhp....... Ecran Bleu : INVALID_PROCESS_DETACH_ATTEMPT assurez vous que tt nv materiel ou logiciel est installé correctement..... 
je reboot et 2 fois de suite cet écran bleu. J'ai décidé de l'éteindre et utilise un autre pc pour écrire ce mot Bref tout ca pour dire que ça m'a pas l'air très très bien barré mon histoire... Et c'est pas mon pc.....heu je fais quoi ??? s-:

Lyonnais92 · Answer

Re,

relance MBAM comme demandé (avec un scan rapide et pas un scan minutieux).

Sélectionne tout ce qu'il trouve et mets le en quarantaine.

Poste le rapport après mise en quarantaine.

Fluctabilus · Answer

Re, 

A vrai dire, je l'ai fait. Il ne m'a trouvé que très peu de choses. C'est seulement après que j'ai lancé zhpdiag une 1ere, une 2eme et j'ai pas eu le temps de lancer le programme la 3eme fois qu'il buggait de nouveau. Je t'enverrai le rapport demain en espérant qu'il démarre encore !!!! Là, je vais me coucher. Merci à toi. Bonne fin de soirée

Fluctabilus · Answer

Salut, 
Bon ce matin il démarre voici les rapports Mbam, AdwCleaner et zhp :  

http://www.cijoint.fr/cjlink.php?file=cj201110/cijDpNDXzK.txt 

J'ai relancé Mbam ce matin. Il a rien trouvé. Je t'envoie celui d'hier soir : 

Malwarebytes' Anti-Malware 1.51.2.1300 
www.malwarebytes.org 

Version de la base de données: 7853 

Windows 5.1.2600 Service Pack 3 
Internet Explorer 7.0.5730.11 

03/10/2011 23:50:27 
mbam-log-2011-10-03 (23-50-27).txt 

Type d'examen: Examen rapide 
Elément(s) analysé(s): 191795 
Temps écoulé: 13 minute(s), 11 seconde(s) 

Processus mémoire infecté(s): 0 
Module(s) mémoire infecté(s): 0 
Clé(s) du Registre infectée(s): 2 
Valeur(s) du Registre infectée(s): 0 
Elément(s) de données du Registre infecté(s): 0 
Dossier(s) infecté(s): 0 
Fichier(s) infecté(s): 2 

Processus mémoire infecté(s): 
(Aucun élément nuisible détecté) 

Module(s) mémoire infecté(s): 
(Aucun élément nuisible détecté) 

Clé(s) du Registre infectée(s): 
HKEY_CLASSES_ROOT\CLSID\{2B96D5CC-C5B5-49A5-A69D-CC0A30F9028C} (Adware.Minibug) -> Quarantined and deleted successfully. 
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{09F1ADAC-76D8-4D0F-99A5-5C907DADB988} (Rogue.Multiple) -> Quarantined and deleted successfully. 

Valeur(s) du Registre infectée(s): 
(Aucun élément nuisible détecté) 

Elément(s) de données du Registre infecté(s): 
(Aucun élément nuisible détecté) 

Dossier(s) infecté(s): 
(Aucun élément nuisible détecté) 

Fichier(s) infecté(s): 
c:\program files\questscan\questscan.exe (Adware.QuestScan) -> Quarantined and deleted successfully. 
c:\WINDOWS\system32\crt.dat (Malware.Trace) -> Quarantined and deleted successfully.

et le rapport AdwCleaner :
# AdwCleaner v1.309 - Rapport créé le 03/10/2011 à 22:27:17
# Mis à jour le 29/09/11 à 20h par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : Marine - DEBUIRE (Administrateur)
# Exécuté depuis : C:\Documents and Settings\Marine\Mes documents\Téléchargements\adwcleaner0.exe
# Option [Suppression]


***** [KillNav] *****

Aucun navigateur n'était en cours d'exécution.

***** [Processus] *****

Tué : [PID:4008] questscan.exe

***** [Services] *****

Arrêté & Supprimé : QuestScan Service

***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Documents and Settings\All Users\Application Data\QuestScan
Dossier Supprimé : C:\Program Files\Mozilla Firefox\Extensions\{F0E1168A-B4B5-484C-B77E-0D28E6B64096}

***** [Registre] *****

Clé Supprimée : HKCU\Toolbar
Clé Supprimée : HKLM\SOFTWARE\QuestScan
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A078F691-9C07-4AF2-BF43-35E79EECF8B7}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{1602F07D-8BF3-4c08-BDD6-DDDB1C48AEDC}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{AC6D819E-AA8F-4418-A3BB-D165C1B18BB5}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\QuestScan

***** [Navigateurs] *****

-\ Internet Explorer v7.0.5730.11

[OK] Le registre ne contient aucune entrée illégitime.

-\ Mozilla Firefox v5.0.1 (fr)

Profil : ulia7bjj.default
Fichier : C:\Documents and Settings\Marine\Application Data\Mozilla\Firefox\Profiles\ulia7bjj.default\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[R1].txt - [1807 octets] - [03/10/2011 22:27:01]
AdwCleaner[S1].txt - [1783 octets] - [03/10/2011 22:27:17]

*************************

Dossier Temporaire : 3 dossier(s) et 10 fichier(s) supprimé(s)

########## EOF - C:\AdwCleaner[S1].txt - [2006 octets] ##########

Lyonnais92 · Answer

Bonjour,

 
Copie dans le Presse-papier les lignes ci-dessous (sélectionne les avec la souris et fais simultanément Ctrl et C)

O20 - Winlogon Notify: cryptnet32 . (...) -- cryptnet32.dll
O23 - Service: bqztpdvkxidmt (bqztpdvkxidmt) . (...) - C:\DOCUME~1\Marine\LOCALS~1\Temp\DATFE.tmp.exe (.not file.)
[HKCU\Software\MSOLoad]
O43 - CFD: 02/10/2011 - 18:14:06 - [331004] ----D- C:\Program Files\Every Toolbar 1.1
O43 - CFD: 03/10/2011 - 23:50:04 - [80658] ----D- C:\Program Files\QuestScan
O43 - CFD: 20/08/2006 - 18:09:24 - [25853096] ----D- C:\Documents and Settings\Marine\Application Data\EFF
O44 - LFC:[MD5.1D12D2760004F9F7CFE9B6523C665E4D] - 27/09/2011 - 17:49:28 ---A- . (...) -- C:\WINDOWS\system32\shimg.dll   [297182] 
O64 - Services: CurCS - ??/??/???? - C:\DOCUME~1\Marine\LOCALS~1\Temp\DATFE.tmp.exe (.not file.) - bqztpdvkxidmt (bqztpdvkxidmt)  .(...) - LEGACY_BQZTPDVKXIDMT
O69 - SBI: SearchScopes [HKUS\.DEFAULT] {2F0149B9-28EA-40B4-9523-541F101B026C} - (ScanQuery) - http://www.scanquery.com
O69 - SBI: SearchScopes [HKUS\.DEFAULT] {4B8C28A7-A9BC-45F8-990D-21499EED643C} - (QuestScan) - http://www.questscan.com
O69 - SBI: SearchScopes [HKUS\S-1-5-18] {2F0149B9-28EA-40B4-9523-541F101B026C} - (ScanQuery) - http://www.scanquery.com
O69 - SBI: SearchScopes [HKUS\S-1-5-18] {4B8C28A7-A9BC-45F8-990D-21499EED643C} - (QuestScan) - http://www.questscan.com
[HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Ask Toolbar_is1]
[HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\ClickpotatoliteSA]
[HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\ShopperReportsSA]
[HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\ViewpointMediaPlayer]
[HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\vmntoolbar]
[HKCU\Software\MSOLoad]
C:\Program Files\QuestScan
SS - | Auto  0 |  (bqztpdvkxidmt) . (...) - C:\DOCUME~1\Marine\LOCALS~1\Temp\DATFE.tmp.exe
EmptyTemp
R3 - URLSearchHook: DVDVideoSoftTB Toolbar - {872b5b88-9db5-4310-bdd0-ac189557e5f5} . (.Conduit Ltd. - Conduit Toolbar.) (6.3.2.0) -- C:\Program Files\DVDVideoSoftTB\prxtbDVD0.dll
O2 - BHO: (no name) - {4E7BD74F-2B8D-469E-8DA9-FD60BB9AAE33} Clé orpheline
O2 - BHO: DVDVideoSoftTB - {872b5b88-9db5-4310-bdd0-ac189557e5f5} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\DVDVideoSoftTB\prxtbDVD0.dll
O2 - BHO: Messenger Plus Live - {9b339f6e-ddcd-401b-8764-230adbd01761} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\Messenger_Plus_Live	bMes1.dll
O3 - Toolbar: Messenger Plus Live Toolbar - {9b339f6e-ddcd-401b-8764-230adbd01761} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\Messenger_Plus_Live	bMes1.dll
O3 - Toolbar: DVDVideoSoftTB Toolbar - {872b5b88-9db5-4310-bdd0-ac189557e5f5} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\DVDVideoSoftTB\prxtbDVD0.dll
C:\Documents and Settings\Marine\Application Data\Mozilla\Firefox\Profiles\ulia7bjj.default\user.js (.not file.)
O4 - HKLM\..\Run: [KernelFaultCheck] Clé orpheline
O47 - AAKE:Key Export SP - "C:\Program Files\Fichiers communs\KAV Shared Files\avpupd.exe" [Disabled] .(...) -- C:\Program Files\Fichiers communs\KAV Shared Files\avpupd.exe (.not file.)
O47 - AAKE:Key Export SP - "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe" [Disabled] .(...) -- C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe (.not file.)
O47 - AAKE:Key Export SP - "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe" [Disabled] .(...) -- C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe (.not file.)
O64 - Services: CurCS - ??/??/???? - C:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal\5.0\bases\ids00026.sys (.not file.) - ids00026 (ids00026)  .(...) - LEGACY_IDS00026
O64 - Services: CurCS - ??/??/???? - C:\Documents and Settings\All Users\Application Data\Kaspersky Anti-Virus Personal\5.0\bases\ids0005c.sys (.not file.) - ids0005c (ids0005c)  .(...) - LEGACY_IDS0005C

Déconnecte toi d'Internet et ferme toutes les applications ouvertes.


Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista et W7  : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.

Clique sur "Tous" puis sur "Nettoyer".

Laisse l'outil travailler.

Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immédiatement.

Le rapport d'exécution va apparaître dans la fenêtre.

Copie le dans ta réponse.

Fluctabilus · Answer

Re,

Ca fait 3 fois que je tente la manip mais il bug, écran bleu : INVALID_PROCESS_DETACH_ATTEMPT. Je peux le tenter en mode sans échec ?

Lyonnais92 · Answer

Re,

oui, essaye.

Fluctabilus · Answer

Bon bah écoute, j'ai essayé à peu près une dizaine de fois la procédure... Impossible. Il arrive presque à la fin (dans le meilleur des cas) et bug !!!! Je n'ai pas réussi à démarrer en mde sans échec avec prise en charge réseau. J'ai donc pris l'initiative de faire un scan avec Ad-remover en mode sans échec puis en mode classique. Le problème reste entier. Je suis au taf, je recommencerai ce soir après le boulot vers 23h00. Je te tiens au courant. Juste pour info, c'est grave cet écran bleu ? Parceque le Pc n'étant pas à moi, ça m'ennuierait de le lui rendre planté !!!! Y a encore de l'espoir ?

Lyonnais92 · Answer

Bonjour,

ouvre ce lien et fais ce qui est dit sous Réparation du système infecté et poste le rapport.

https://support.kaspersky.com/fr/14421

Fluctabilus · Answer

Bonsoir à toi !!
Quelle Galère...merci encore pour ton aide...
Alors, après de nbreux essais, je t'envoie le rapport Zhp suivi de tdsskiller :

Rapport de ZHPFix 1.12.3362 par Nicolas Coolman, Update du 23/09/2011
Fichier d'export Registre : 
Run by Marine at 04/10/2011 23:26:34
Windows XP Home Edition Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Clé(s) du Registre ==========
ABSENT Key: Winlogon Notify: cryptnet32
ABSENT Key: Service: bqztpdvkxidmt
ABSENT Key: HKCU\Software\MSOLoad
ABSENT Key: Service Legacy: LEGACY_BQZTPDVKXIDMT
ABSENT SearchScopes :{2F0149B9-28EA-40B4-9523-541F101B026C}
ABSENT SearchScopes :{4B8C28A7-A9BC-45F8-990D-21499EED643C}
ABSENT Key: HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Ask Toolbar_is1
ABSENT Key: HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\ClickpotatoliteSA
ABSENT Key: HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\ShopperReportsSA
ABSENT Key: HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\ViewpointMediaPlayer
ABSENT Key: HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\vmntoolbar
ABSENT Key: CLSID BHO: {4E7BD74F-2B8D-469E-8DA9-FD60BB9AAE33}
ABSENT Key: CLSID BHO: {872b5b88-9db5-4310-bdd0-ac189557e5f5}
ABSENT Key: CLSID BHO: {9b339f6e-ddcd-401b-8764-230adbd01761}
ABSENT Key: Service Legacy: LEGACY_IDS00026
ABSENT Key: Service Legacy: LEGACY_IDS0005C

========== Valeur(s) du Registre ==========
ABSENT URLSearchHook: {872b5b88-9db5-4310-bdd0-ac189557e5f5}
ABSENT Toolbar: {9b339f6e-ddcd-401b-8764-230adbd01761}
ABSENT Toolbar: {872b5b88-9db5-4310-bdd0-ac189557e5f5}
SUPPRIME RunValue: KernelFaultCheck
ABSENT AAKE KeyValue: C:\Program Files\Fichiers communs\KAV Shared Files\avpupd.exe
ABSENT AAKE KeyValue: C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 6.0\avp.exe
ABSENT AAKE KeyValue: C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe

========== Dossier(s) ==========
ABSENT C:\Program Files\Every Toolbar 1.1
ABSENT C:\Program Files\QuestScan
ABSENT C:\Documents and Settings\Marine\Application Data\EFF
SUPPRIME Temporaires Windows: : 4

========== Fichier(s) ==========
ABSENT File: cryptnet32.dll
ABSENT File: c:\docume~1\marine\locals~1	emp\datfe.tmp.exe
ABSENT File: c:\windows\system32\shimg.dll
ABSENT Folder/File: c:\program files\questscan
SUPPRIME Temporaires Windows: : 16
ABSENT File: c:\program files\dvdvideosofttb\prxtbdvd0.dll
ABSENT File: c:\program files\messenger_plus_live	bmes1.dll
ABSENT Folder/File: c:\documents and settings\marine\application data\mozilla\firefox\profiles\ulia7bjj.default\user.js (.not file.)


========== Récapitulatif ==========
16 : Clé(s) du Registre
7 : Valeur(s) du Registre
4 : Dossier(s)
8 : Fichier(s)


End of clean in 00mn 01s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 04/10/2011 11:34:17 [3423]
C:\ZHP\ZHPFix[R2].txt - 04/10/2011 11:58:59 [2931]
C:\ZHP\ZHPFix[R3].txt - 04/10/2011 23:26:34 [2934]

problème ac ci-joint
Je te mets ce qui me semble important (d'ailleurs depuis il n'a refait des siennes !!! C'est plutôt bon signe. On avance :-)

Detected object count: 1
23:49:14.0140 0832	Actual detected object count: 1
23:49:39.0296 0832	\Device\Harddisk0\DR0 ( Backdoor.Win32.Sinowal.knf ) - will be cured on reboot
23:49:39.0296 0832	\Device\Harddisk0\DR0 - ok
23:49:39.0296 0832	\Device\Harddisk0\DR0 ( Backdoor.Win32.Sinowal.knf ) - User select action: Cure 
23:49:50.0171 0912	Deinitialize success

Lyonnais92 · Answer

Re,

fais redémarrer l'ordi.

Ca se passe comment ?

===

Relance TDSSKiller et poste le rapport (en entier).

===

Relance ZHPDiag et poste le rapport dans un lien Cijoint.

Fluctabilus · Answer

Salut !!!

Ecoute, on avance, on avance !!!

j'ai refait un scan ac Avira : 10 menaces trouvées (on est loin des 171 de départ :-) : 


Avira AntiVir Personal
Date de création du fichier de rapport : mercredi 5 octobre 2011  00:23

La recherche porte sur 3466907 souches de virus.

Le programme fonctionne en version intégrale illimitée.
Les services en ligne sont disponibles.

Détenteur de la licence : Avira AntiVir Personal - Free Antivirus
Numéro de série         : 0000149996-ADJIE-0000001
Plateforme              : Windows XP
Version de Windows      : (Service Pack 3)  [5.1.2600]
Mode Boot               : Démarré normalement
Identifiant             : SYSTEM
Nom de l'ordinateur     : DEBUIRE

Informations de version :
BUILD.DAT               : 10.2.0.150     35935 Bytes  26/07/2011 11:07:00
AVSCAN.EXE              : 10.3.0.7      484008 Bytes  21/07/2011 10:20:47
AVSCAN.DLL              : 10.0.5.0       56680 Bytes  21/07/2011 10:22:30
LUKE.DLL                : 10.3.0.5       45416 Bytes  21/07/2011 10:21:49
LUKERES.DLL             : 10.0.0.0       13672 Bytes  21/04/2011 05:55:52
AVSCPLR.DLL             : 10.3.0.7      119656 Bytes  21/07/2011 10:20:48
AVREG.DLL               : 10.3.0.9       90472 Bytes  21/07/2011 10:20:43
VBASE000.VDF            : 7.10.0.0    19875328 Bytes  06/11/2009 08:05:36
VBASE001.VDF            : 7.11.0.0    13342208 Bytes  14/12/2010 05:55:46
VBASE002.VDF            : 7.11.3.0     1950720 Bytes  09/02/2011 05:55:47
VBASE003.VDF            : 7.11.5.225   1980416 Bytes  07/04/2011 10:22:06
VBASE004.VDF            : 7.11.8.178   2354176 Bytes  31/05/2011 10:22:07
VBASE005.VDF            : 7.11.10.251  1788416 Bytes  07/07/2011 10:22:08
VBASE006.VDF            : 7.11.13.60   6411776 Bytes  16/08/2011 18:16:39
VBASE007.VDF            : 7.11.13.61      2048 Bytes  16/08/2011 18:16:39
VBASE008.VDF            : 7.11.13.62      2048 Bytes  16/08/2011 18:16:39
VBASE009.VDF            : 7.11.13.63      2048 Bytes  16/08/2011 18:16:39
VBASE010.VDF            : 7.11.13.64      2048 Bytes  16/08/2011 18:16:39
VBASE011.VDF            : 7.11.13.65      2048 Bytes  16/08/2011 18:16:40
VBASE012.VDF            : 7.11.13.66      2048 Bytes  16/08/2011 18:16:40
VBASE013.VDF            : 7.11.13.95    166400 Bytes  17/08/2011 18:16:41
VBASE014.VDF            : 7.11.13.125   209920 Bytes  18/08/2011 18:16:42
VBASE015.VDF            : 7.11.13.157   184832 Bytes  22/08/2011 18:16:43
VBASE016.VDF            : 7.11.13.201   128000 Bytes  24/08/2011 18:16:43
VBASE017.VDF            : 7.11.13.234   160768 Bytes  25/08/2011 18:16:44
VBASE018.VDF            : 7.11.14.16    141312 Bytes  30/08/2011 18:16:45
VBASE019.VDF            : 7.11.14.48    133120 Bytes  31/08/2011 18:16:45
VBASE020.VDF            : 7.11.14.78    156160 Bytes  02/09/2011 18:16:46
VBASE021.VDF            : 7.11.14.109   126976 Bytes  06/09/2011 18:16:47
VBASE022.VDF            : 7.11.14.137   131584 Bytes  08/09/2011 18:16:47
VBASE023.VDF            : 7.11.14.166   196096 Bytes  12/09/2011 18:16:48
VBASE024.VDF            : 7.11.14.193   184832 Bytes  14/09/2011 18:16:49
VBASE025.VDF            : 7.11.14.215   125952 Bytes  16/09/2011 18:16:50
VBASE026.VDF            : 7.11.14.239   231936 Bytes  20/09/2011 18:16:51
VBASE027.VDF            : 7.11.15.22    203776 Bytes  23/09/2011 18:16:52
VBASE028.VDF            : 7.11.15.36    263168 Bytes  26/09/2011 18:16:53
VBASE029.VDF            : 7.11.15.67    230400 Bytes  29/09/2011 18:16:54
VBASE030.VDF            : 7.11.15.89    221696 Bytes  03/10/2011 21:31:27
VBASE031.VDF            : 7.11.15.100   105984 Bytes  04/10/2011 22:21:50
Version du moteur       : 8.2.6.76  
AEVDF.DLL               : 8.1.2.1       106868 Bytes  21/04/2011 05:55:15
AESCRIPT.DLL            : 8.1.3.81      467322 Bytes  04/10/2011 22:21:58
AESCN.DLL               : 8.1.7.2       127349 Bytes  21/04/2011 05:55:13
AESBX.DLL               : 8.2.1.34      323957 Bytes  21/07/2011 10:20:12
AERDL.DLL               : 8.1.9.15      639348 Bytes  02/10/2011 18:17:09
AEPACK.DLL              : 8.2.10.11     684408 Bytes  02/10/2011 18:17:07
AEOFFICE.DLL            : 8.1.2.15      201083 Bytes  02/10/2011 18:17:06
AEHEUR.DLL              : 8.1.2.175    3731831 Bytes  04/10/2011 22:21:57
AEHELP.DLL              : 8.1.17.7      254327 Bytes  02/10/2011 18:16:59
AEGEN.DLL               : 8.1.5.9       401780 Bytes  02/10/2011 18:16:58
AEEMU.DLL               : 8.1.3.0       393589 Bytes  21/04/2011 05:55:02
AECORE.DLL              : 8.1.23.0      196983 Bytes  02/10/2011 18:16:57
AEBB.DLL                : 8.1.1.0        53618 Bytes  21/04/2011 05:55:01
AVWINLL.DLL             : 10.0.0.0       19304 Bytes  21/04/2011 05:55:23
AVPREF.DLL              : 10.0.3.2       44904 Bytes  21/07/2011 10:20:42
AVREP.DLL               : 10.0.0.10     174120 Bytes  21/07/2011 10:20:43
AVARKT.DLL              : 10.0.26.1     255336 Bytes  21/07/2011 10:20:23
AVEVTLOG.DLL            : 10.0.0.9      203112 Bytes  21/07/2011 10:20:37
SQLITE3.DLL             : 3.6.19.0      355688 Bytes  21/07/2011 13:12:32
AVSMTP.DLL              : 10.0.0.17      63848 Bytes  21/04/2011 05:55:22
NETNT.DLL               : 10.0.0.0       11624 Bytes  21/04/2011 05:55:36
RCIMAGE.DLL             : 10.0.0.35    2589544 Bytes  21/07/2011 10:22:33
RCTEXT.DLL              : 10.0.64.0     100712 Bytes  21/07/2011 10:22:33

Configuration pour la recherche actuelle :
Nom de la tâche...............................: Contrôle intégral du système
Fichier de configuration......................: C:\Program Files\Avira\AntiVir Desktop\sysscan.avp
Documentation.................................: par défaut
Action principale.............................: interactif
Action secondaire.............................: ignorer
Recherche sur les secteurs d'amorçage maître..: marche
Recherche sur les secteurs d'amorçage.........: marche
Secteurs d'amorçage...........................: C:, 
Recherche dans les programmes actifs..........: marche
Programmes en cours étendus...................: marche
Recherche en cours sur l'enregistrement.......: marche
Recherche de Rootkits.........................: marche
Contrôle d'intégrité de fichiers système......: arrêt
Fichier mode de recherche.....................: Tous les fichiers
Recherche sur les archives....................: marche
Limiter la profondeur de récursivité..........: 20
Archive Smart Extensions......................: marche
Heuristique de macrovirus.....................: marche
Heuristique fichier...........................: avancé

Début de la recherche : mercredi 5 octobre 2011  00:23

La recherche d'objets cachés commence.

La recherche sur les processus démarrés commence :
Processus de recherche 'rsmsink.exe' - '29' module(s) sont contrôlés
Processus de recherche 'msdtc.exe' - '40' module(s) sont contrôlés
Processus de recherche 'dllhost.exe' - '61' module(s) sont contrôlés
Processus de recherche 'dllhost.exe' - '45' module(s) sont contrôlés
Processus de recherche 'vssvc.exe' - '48' module(s) sont contrôlés
Processus de recherche 'avscan.exe' - '67' module(s) sont contrôlés
Processus de recherche 'skypePM.exe' - '61' module(s) sont contrôlés
Processus de recherche 'alg.exe' - '31' module(s) sont contrôlés
Processus de recherche 'Skype.exe' - '121' module(s) sont contrôlés
Processus de recherche 'dlbtbmon.exe' - '41' module(s) sont contrôlés
Processus de recherche 'LogitechDesktopMessenger.exe' - '86' module(s) sont contrôlés
Processus de recherche 'ctfmon.exe' - '25' module(s) sont contrôlés
Processus de recherche 'avgnt.exe' - '45' module(s) sont contrôlés
Processus de recherche 'realsched.exe' - '27' module(s) sont contrôlés
Processus de recherche 'Belkinwcui.exe' - '38' module(s) sont contrôlés
Processus de recherche 'dlbtbmgr.exe' - '19' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '39' module(s) sont contrôlés
Processus de recherche 'SeaPort.exe' - '45' module(s) sont contrôlés
Processus de recherche 'NBService.exe' - '50' module(s) sont contrôlés
Processus de recherche 'MDM.EXE' - '22' module(s) sont contrôlés
Processus de recherche 'avshadow.exe' - '26' module(s) sont contrôlés
Processus de recherche 'mDNSResponder.exe' - '32' module(s) sont contrôlés
Processus de recherche 'AppleMobileDeviceService.exe' - '29' module(s) sont contrôlés
Processus de recherche 'avguard.exe' - '55' module(s) sont contrôlés
Processus de recherche 'Explorer.EXE' - '110' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '33' module(s) sont contrôlés
Processus de recherche 'sched.exe' - '45' module(s) sont contrôlés
Processus de recherche 'spoolsv.exe' - '63' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '37' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '32' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '163' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '39' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '55' module(s) sont contrôlés
Processus de recherche 'lsass.exe' - '58' module(s) sont contrôlés
Processus de recherche 'services.exe' - '27' module(s) sont contrôlés
Processus de recherche 'winlogon.exe' - '67' module(s) sont contrôlés
Processus de recherche 'csrss.exe' - '12' module(s) sont contrôlés
Processus de recherche 'smss.exe' - '2' module(s) sont contrôlés

La recherche sur les secteurs d'amorçage maître commence :
Secteur d'amorçage maître HD0
    [INFO]      Aucun virus trouvé !

La recherche sur les secteurs d'amorçage commence :
Secteur d'amorçage 'C:\'
    [INFO]      Aucun virus trouvé !

La recherche sur les renvois aux fichiers exécutables (registre) commence :
Le registre a été contrôlé ( '1187' fichiers).


La recherche sur les fichiers sélectionnés commence :

Recherche débutant dans 'C:\'
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1847\A1922878.exe
  [RESULTAT]  Contient le modèle de détection du logiciel publicitaire ADWARE/Adware.Gen
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1847\A1922879.dll
  [RESULTAT]  Contient le cheval de Troie TR/Boigy.AD.2
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1847\A1922880.exe
  [0] Type d'archive: NETRSRC
  --> Object
      [RESULTAT]  Contient le cheval de Troie TR/Buzy.1339.11
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1847\A1922881.exe
  [RESULTAT]  Contient le modèle de détection du logiciel publicitaire ADWARE/Adware.Gen
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1847\A1922882.exe
  [RESULTAT]  Contient le modèle de détection du logiciel publicitaire ADWARE/Adware.Gen
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1847\A1922883.exe
  [RESULTAT]  Contient le modèle de détection du logiciel publicitaire ADWARE/Adware.Gen
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1847\A1922884.exe
  [RESULTAT]  Contient le modèle de détection du logiciel publicitaire ADWARE/Adware.Gen
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1849\A1923014.exe
  [RESULTAT]  Contient le cheval de Troie TR/BHO.Zwangi.4373
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1849\A1923052.dll
  [RESULTAT]  Contient le cheval de Troie TR/Boigy.2.222
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1849\A1923053.exe
  [RESULTAT]  Contient le cheval de Troie TR/BHO.Zwangi.4373

Début de la désinfection :
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1849\A1923053.exe
  [RESULTAT]  Contient le cheval de Troie TR/BHO.Zwangi.4373
  [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '44534b5b.qua' !
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1849\A1923052.dll
  [RESULTAT]  Contient le cheval de Troie TR/Boigy.2.222
  [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '5cc464fc.qua' !
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1849\A1923014.exe
  [RESULTAT]  Contient le cheval de Troie TR/BHO.Zwangi.4373
  [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '0e9b3e14.qua' !
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1847\A1922884.exe
  [RESULTAT]  Contient le modèle de détection du logiciel publicitaire ADWARE/Adware.Gen
  [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '68ac71d6.qua' !
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1847\A1922883.exe
  [RESULTAT]  Contient le modèle de détection du logiciel publicitaire ADWARE/Adware.Gen
  [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '2d285ce8.qua' !
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1847\A1922882.exe
  [RESULTAT]  Contient le modèle de détection du logiciel publicitaire ADWARE/Adware.Gen
  [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '52336e89.qua' !
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1847\A1922881.exe
  [RESULTAT]  Contient le modèle de détection du logiciel publicitaire ADWARE/Adware.Gen
  [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '1e8b42c3.qua' !
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1847\A1922880.exe
  [RESULTAT]  Contient le cheval de Troie TR/Buzy.1339.11
  [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '62930293.qua' !
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1847\A1922879.dll
  [RESULTAT]  Contient le cheval de Troie TR/Boigy.AD.2
  [REMARQUE]  Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4fc92dde.qua' !
C:\System Volume Information\_restore{EA39A09C-50BA-4996-869B-915C83FE3B53}\RP1847\A1922878.exe
  [RESULTAT]  Contient le modèle de détection du logiciel publicitaire ADWARE/Adware.Gen
  [REMARQUE]  Impossible de déplacer le fichier dans le répertoire de quarantaine !
  [REMARQUE]  Le fichier n'existe pas !


Fin de la recherche : mercredi 5 octobre 2011  07:48
Temps nécessaire:  2:02:38 Heure(s)

La recherche a été effectuée intégralement

  13674 Les répertoires ont été contrôlés
 508303 Des fichiers ont été contrôlés
     10 Des virus ou programmes indésirables ont été trouvés
      0 Des fichiers ont été classés comme suspects
      0 Des fichiers ont été supprimés
      0 Des virus ou programmes indésirables ont été réparés
      9 Les fichiers ont été déplacés dans la quarantaine
      0 Les fichiers ont été renommés
      0 Impossible de scanner des fichiers
 508293 Fichiers non infectés
  10906 Les archives ont été contrôlées
      0 Avertissements
     10 Consignes
 727715 Des objets ont été contrôlés lors du Rootkitscan
      0 Des objets cachés ont été trouvés

Rapport Zhpdiag :

http://www.cijoint.fr/cjlink.php?file=cj201110/cij0WdJSOl.txt

TdssKiller : http://www.cijoint.fr/cjlink.php?file=cj201110/cijfGNOHRS.txt

Lyonnais92 · Answer

Bonjour,

on a d'autant plus avancé que les objets décelés par Antivir sont dans la restauration système, donc inopérants (tant qu'on ne restaure pas à une date antérieure).

On va d'ailleurs la purger.

Ouvre ce lien :

http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20020830101856924

dans un premier temps tu le suis pour désactiver la restauration système.

Tu fermes la fenêtre.

Dans un deuxième temps, tu le suis pour réactiver la restauration.

Ceci recréé automatiquement un point de restauration daté de l"heure de la réactivation.

===

Sinon, il n'y a plus que des restes (dont des toolbars, au mieux inutiles et qui transmettent des infos sur les habitudes de surf).

Relance ZHPFix avec ces lignes :

C:\Documents and Settings\Marine\Application Data\Mozilla\Firefox\Profiles\ulia7bjj.default\user.js (.not file.)
O47 - AAKE:Key Export SP - "C:\Documents and Settings\Laura\Local Settings\Temporary Internet Files\Content.IE5\OPARCTQB\incredimail_install[1].exe" [Enabled] .(...) -- C:\Documents and Settings\Laura\Local Settings\Temporary Internet Files\Content.IE5\O
R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} . (...) (No version) -- (.not file.)
O42 - Logiciel: Messenger_Plus_Live Toolbar - (.Pas de propriétaire.) [HKLM] -- Messenger_Plus_Live Toolbar
[HKCU\Software\Every Toolbar]
[HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\conduitEngine]
[HKCU\Software\Every Toolbar]

Tu postes le rapport (pas besoin de lien cijoint).

Fluctabilus · Answer

re,

Alors je t'envoie le rapport de Zhp :

Rapport de ZHPFix 1.12.3362 par Nicolas Coolman, Update du 23/09/2011
Fichier d'export Registre : 
Run by Marine at 05/10/2011 17:34:27
Windows XP Home Edition Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Logiciel(s) ==========
ABSENT Uninstall Process: c:\progra~1\messen~4\unwise.exe

========== Clé(s) du Registre ==========
SUPPRIME [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Messenger_Plus_Live Toolbar]
SUPPRIME Key: HKCU\Software\Every Toolbar
SUPPRIME Key: HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\conduitEngine

========== Valeur(s) du Registre ==========
SUPPRIME AAKE KeyValue: C:\Documents and Settings\Laura\Local Settings\Temporary Internet Files\Content.IE5\OPARCTQB\incredimail_install[1].exe
SUPPRIME URLSearchHook: {EF99BD32-C1FB-11D2-892F-0090271D4F88}

========== Fichier(s) ==========
ABSENT Folder/File: c:\documents and settings\marine\application data\mozilla\firefox\profiles\ulia7bjj.default\user.js (.not file.)
ABSENT File: c:\documents and settings\laura\local settings	emporary internet files\content.ie5\o


========== Récapitulatif ==========
3 : Clé(s) du Registre
2 : Valeur(s) du Registre
2 : Fichier(s)
1 : Logiciel(s)


End of clean in 00mn 13s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 05/10/2011 11:34:17 [3423]
C:\ZHP\ZHPFix[R2].txt - 05/10/2011 11:58:59 [2931]
C:\ZHP\ZHPFix[R3].txt - 05/10/2011 22:26:34 [2986]
C:\ZHP\ZHPFix[R4].txt - 05/10/2011 17:34:27 [1530]

Lyonnais92 · Answer

Bonjour, 

je crois que l'on peut terminer. 

Mets à jour Internet Explorer.

===

Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau. 

Pour Vista et W7 : Clique droit sur l'icône ZHPFix.exe sur ton Bureau, 
puis sélectionne 'Exécuter en tant qu'administrateur'. 

Clique sur le A rouge (Nettoyeur de Tools). 

Clique sur Nettoyer. 

Fais redémarrer l'ordi pour terminer le nettoyage.  
  
@+ 
Science sans conscience n'est que ruine de l'âme. Rabelais

Fluctabilus · Answer

Re,

Un grand merci pour ton aide. J'ai bien cru que je n'y arriverai pas. Y a juste un truc qui me tracasse, je trouve le PC encore lent !!! Rien à voir avec le moment ou je l'ai récupéré. Mais le miens est 2 fois moins puissant et pourtant tourne plus vite. Je ne sais pas à quoi c'est dû. Sinon y a eu un bug avec Zhpfix. Je vire les programmes via Windows ? Et dernière question. Il reste des choses à faire :-) ?

Lyonnais92 · Answer

Re,

ressaye de lancer ZHPFix.

Défragmente les partitions.

 =>Télécharge ATF-Cleaner (Attribune) 
    -- Met le sur ton bureau
    Note: Pour augmenter l'efficacité nous l'utiliserons ultérieurement en mode sans echec


    => Lance ATF-Cleaner :
    * Sous l'onglet Main, choisis : Select All
    * Clique sur le bouton Empty Selected

    * Sous l'onglet Firefox (si présent) : Clique sur select all
    -- Au message "are you sure you want to delete your firefox saved password" clique sur NON
    -- Clique sur Empty selected

    * Sous l'onglet Opéra (si présent) : Clique sur select all
    -- Au message "are you sure you want to delete your firefox saved password" clique sur NON
    -- Clique sur Empty selected

    * Quitte ATF-Cleaner

Fluctabilus · Answer

re,

Pas simple de telecharger atf!!!! Par contre Zhp est partiellement désinstallé. Du coup, je n'y ai plus accès. Je le télécharge de nouveau ?
Sinon j'ai utilisé jk defrag. Et terminé la défragmentation.

Lyonnais92 · Answer

Re,

pour ATF Cleaner, essaye ici 

https://www.softpedia.com/get/System/System-Miscellaneous/FreeMyDisk.shtml

Clique sur external mirror.

===

Pour ZHPFix, réinstalle ZHPDiag.

Fluctabilus · Answer

j'avais trouvé un lien mais difficilement pr atf.
zhp téléchargé, relancé.... quelles sont les directives :-) ?

Lyonnais92 · Answer

Re,

tu relances ZHPFix option Nettoyage :


Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista et W7 : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique sur le A rouge (Nettoyeur de Tools).

Clique sur Nettoyer.

Fais redémarrer l'ordi pour terminer le nettoyage.

Fluctabilus · Answer

c'est fait !! :-)

Lyonnais92 · Answer

Re,

sauf si tu me dis que tu as encore des soucis avec l'ordi, tu peux le rendre à  son propriétaire.

Fluctabilus · Answer

Un grand merci à toi... Au plaisir... qui sait, on est jamais à l'abri d'une infection :-)
Bonne soirée

Lyonnais92 · Answer

Re,

de rien pour l'aide, ce fut avec plaisir.

Je vais mettre le topic en résolu mais tu le réouvres si nécessaire.

Nombreux trojan et worm

27 réponses

Discussions similaires