Problème suppresion virus Résolu/Fermé

Question

Bonjour, 

j'ai un virus dans ma mémoire vive, donc je me suis dit qu'en redémarrant il disparaitrait, mais non il reste, j'ai analysé avec ESET il le détecte mais ne peux le supprimer.

Analyseur : Analyseur au démarrage
Objet : fichier
Localisation : Mémoire vive
Menace : une variante de Win32/Delf.OAZ cheval de troie
Action : impossible de nettoyer

j'ai cherché sur internet, je ne trouve rien, donc je fait appel à vous!

Merci d'avance pour votre aide

Configuration : Windows 7 / Firefox 7.0.1

Antivirus : ESET NOD32

cabrier · Answer

Bonjour, 

Voici ce que dit Microsoft à propos de ce malware. 

http://translate.google.fr/...

Si tu as un problème pour l'éradiquer, dis le moi. 

A+ 
Heureux ceux qui peuvent donner sans s'en souvenir et prendre sans oublier !

PhaZinG · Answer

Merci pour cette réponse, j'avais déjà trouvé la page mais je ne l'avais pas traduite, enfin bon.

Par contre je ne trouve aucune fichier pouvant contenir ce malware, donc je veux bien ton aide pour le supprimer.

Merci

cabrier · Answer

Avec plaisir,

On peut commencer par ce que propose Microsoft non ?
A savoir télécharger et utiliser Microsoft Safety Scanner sur ce site :

https://docs.microsoft.com/fr-fr/windows/security/threat-protection/intelligence/safety-scanner-download

puis on fera une analyse un peu plus poussée de ton PC car ce cheval de Troie :
"télécharge et installe silencieusement d'autres programmes sans votre consentement. Cela pourrait inclure l'installation de logiciels malveillants ou des composants supplémentaires de logiciels malveillants auprès un ordinateur affecté."



On fera cela avec ZHPDiag :

mais auparavant :

Dépôt de fichiers:
* Pour me transmettre les rapports que tu obtiendras à la suite du passage d'outils tu cliqueras sur un de ces liens : 
cijoint ou pjjoint
* Tu cliqueras ensuite sur Parcourir et chercheras  le fichier du rapport, je t'indiquerai ou il est.
* Tu cliqueras sur Ouvrir puis sur "Cliquez ici pour déposer le fichier". 
Un lien de cette forme :  http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt 
sera ajouté dans la page. 
* C'est ce lien que tu auras à me transmettre et uniquement cela.


*Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 
ou depuis ce lien si le premier a des soucis: 
http://www.moncompteur.com/compteurclick.php?idLink=18026 
/!\Il est très important de l'enregistrer sur le bureau / !\ 
*Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions. 
* N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau. 
/!\L'outil a créé 3 icônes ZHPDiag , ZHPFix et MBRCheck) /!\
/!\Utilisateurs de Vista et Windows 7 : Clicue droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur » /!\
* Si tu possèdes Avast 6 comme antivirus, à l'alerte choisis "lancer normalement" 
* Clique sur la grosse flèche verte pour vérifier la mise à jour. S'il est à jour, message > "votre version est à jour".
* Clique alors sur la loupe pour « lancer le diagnostic ».
* ZHPDiag va alors analyser le contenu de ton ordinateur à la recherche d'informations sur ton système d'exploitation, la base de registre... Patiente jusqu'à la fin de l'analyse. Il peut arriver que le logiciel donne l'impression d'être bloqué ; patiente !
* En cas de blocage sur la section O80, clique sur le tournevis pour le décocher.
* Laisse l'outil travailler, il peut être assez long. 
* Ferme ZHPDiag en fin d'analyse. 
* Cherche le dossier où est installé ZHPDiag (en général C:\ZHP\). 
* Transmet moi le fichier comme indiqué en préambule  "Dépôt de fichier"
________________________________________

PhaZinG · Answer

Merci pour cette procédure, je vais la faire de suite!

Petite précision : avec glaries utilities j'ai regarde le menu de démarrage et supprimer ce qui ne me servais pas, ensuite j'ai redémarrer et il ne le détecte plus. Mais je vais quand meme essayer de le supprimer.

PhaZinG · Answer

Voila, je t'ai envoyé le lien de l'analyse par MP

Merci encore

cabrier · Answer

Re, 

Inutile de m'envoyer le lien par MP. Rien de vraiment confidentiel ! 


* Copie tout le texte ci-dessous (en gras et italique) tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C 

[HKLM\Software\Trymedia Systems]      
O43 - CFD: 5/14/2011 - 10:21:00 PM - [696] ----D- C:\ProgramData\Trymedia      
[HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]:{D4027C7F-154A-4066-A1AD-4243D8127440}     
EmptyTemp   
EmptyFlash 
FirewallRAZ   
HiddenFix 
SysRestore 
 

* Double-clic droit sur le raccourci portant le nom "ZHPFix" (sur ton bureau). 
/ !\Utilisateurs de Vista et Windows 7 : Clic droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »/ !\ 
* Clique sur le H "coller les lignes Helper" 
* Colle les lignes ci dessus que tu viens de copier dans la fenêtre de ZHPFix : 
* Vérifie que toutes les lignes que je t''ai demandé de copier (et seulement elles) sont dans la fenêtre.  
* Clique sur le bouton « GO » pour lancer le nettoyage  
* Copie/Colle le rapport à l'écran dans ton prochain message  
* (le rapport se trouve aussi dans le dossier C:\ZHP sous le nom de ZHPFixReport.txt)  
* Transmet moi le fichier comme indiqué en préambule  "Dépôt de fichier" 


Heureux ceux qui peuvent donner sans s'en souvenir et prendre sans oublier !

cabrier · Answer

Bon, on va faire autre chose.

1 - * Télécharge Defogger (de jpshortstuff) sur ton Bureau
http://www.jpshortstuff.247fixes.com/Defogger.exe
* Double-clique sur DeFogger.exe pour démarrer l'outil (ou clic droit et exécuter en tant qu'administrateur sous Vista),
* Une fenêtre apparait : clique sur "Disable"
* Fais redémarrer l'ordinateur si l'outil te le demande
* Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable"

2 - *	* Télécharge sur le bureau RogueKiller
*	https://www.luanagames.com/index.fr.html
*	* Quitte tous les programmes en cours
*	* Sous Vista/Seven , clic droit -> lancer en tant qu'administrateur
*	* Sinon lancer simplement RogueKiller.exe
*	* Lorsque demandé, taper 2 et valider
*	* Un rapport à dû s'ouvrir (RKreport.txt se trouve également à côté de l'exécutable), me transmettre ce rapport.
*	* Si le programme a été bloqué, essaye plusieurs fois. Si vraiment cela ne passe pas (ça peut arriver), le renommer en winlogon.exe

A+

cabrier · Answer

Bon, on continue,

* Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.
*Lance le,
*Clique sur [Recherche] puis patiente le temps du scan. 
*Quand il a fini, un rapport s'ouvrira : ferme le. 
*Le rapport est également sauvegardé sous C:\AdwCleaner[R1].txt]
* Transmet moi le lien du fichier comme indiqué en préambule  "Dépôt de fichier"
*Rappel des dépôts : cijoint ou pjjoint
Note : 
ATTENTION : Cette étape ne concerne que la recherche de malwares. Si le résultat est positif et après avoir examiné ton rapport, je te dirai si tu peux passer à la phase « Suppression » avec le même outil.

cabrier · Answer

C'est pas fini.

Refais moi un ZHPDiag s'il te plait !

A la suite nous pourrons peut être fixer les lignes néfastes.

A+

cabrier · Answer

Re, suis bien cette procédure !


* Copie tout le texte ci-dessous (en gras et italique) tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C


O4 - HKLM\..\Wow6432Node\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper.) -- C:\Program Files (x86)\iTunes\iTunesHelper.exe     
O4 - Global Startup: C:\Users\Sébastien\Desktop\iCloud.lnk - Clé orpheline 
O43 - CFD: 12/22/2010 - 3:47:42 PM - [695] ----D- C:\ProgramData\Partner     
O43 - CFD: 12/16/2010 - 4:45:24 PM - [3422] ----D- C:\ProgramData\regid.1986-12.com.adobe 
O44 - LFC:[MD5.C28E3A819F00B0E339280F4449E48570] - 10/24/2011 - 8:38:46 PM ---A- . (...) -- C:\Ad-Report-CLEAN[1].txt   [3761] 
O44 - LFC:[MD5.A1186AC765A00731DCF1F26727166B63] - 10/24/2011 - 8:49:06 PM ---A- . (...) -- C:\Ad-Report-CLEAN[2].txt   [3655] 
O4 - HKCU\..\Run: [Steam] . (.Valve Corporation - Steam.) -- C:\Program Files (x86)\Steam\steam.exe     
O4 - HKUS\S-1-5-21-124878427-313756451-1488161951-1001\..\Run: [Steam] . (.Valve Corporation - Steam.) -- C:\Program Files (x86)\Steam\steam.exe     
O23 - Service: Service Bonjour (Bonjour Service) . (.Apple Inc. - Bonjour Service.) - C:\Program Files\Bonjour\mDNSResponder.exe     
O87 - FAEL: "{64CD96E4-AE6F-4B9C-AB01-E30801474977}" | In - Private - P6 - TRUE | .(.Apple Inc. - Bonjour Service.) -- C:\Program Files\Bonjour\mDNSResponder.exe 
O87 - FAEL: "{3F2EDD99-041D-4C03-BD89-970F87701C33}" | In - Private - P17 - TRUE | .(.Apple Inc. - Bonjour Service.) -- C:\Program Files\Bonjour\mDNSResponder.exe 
O87 - FAEL: "{6722BA13-27AF-4914-9188-552446CB5FB7}" | In - Private - P6 - TRUE | .(.Apple Inc. - Bonjour Service.) -- C:\Program Files (x86)\Bonjour\mDNSResponder.exe 
O87 - FAEL: "{BBEBCA2B-674B-441B-AEE7-731A7E9C1C92}" | In - Private - P17 - TRUE | .(.Apple Inc. - Bonjour Service.) -- C:\Program Files (x86)\Bonjour\mDNSResponder.exe 
SR - | Auto 10/12/2011 462184 |  (Bonjour Service) . (.Apple Inc..) - C:\Program Files\Bonjour\mDNSResponder.exe     
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,MigrateProxy = 1     
O4 - HKCU\..\Run: [Steam] . (.Valve Corporation - Steam.) -- C:\Program Files (x86)\Steam\steam.exe     
 O4 - HKLM\..\Wow6432Node\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper.) -- C:\Program Files (x86)\iTunes\iTunesHelper.exe     
 O4 - HKUS\S-1-5-21-124878427-313756451-1488161951-1001\..\Run: [Steam] . (.Valve Corporation - Steam.) -- C:\Program Files (x86)\Steam\steam.exe     
O4 - Global Startup: C:\Users\Sébastien\Desktop\iCloud.lnk - Clé orpheline     
O23 - Service: Service Bonjour (Bonjour Service) . (.Apple Inc. - Bonjour Service.) - C:\Program Files\Bonjour\mDNSResponder.exe     
O43 - CFD: 12/22/2010 - 3:47:42 PM - [695] ----D- C:\ProgramData\Partner     
 O43 - CFD: 12/16/2010 - 4:45:24 PM - [3422] ----D- C:\ProgramData\regid.1986-12.com.adobe 
O87 - FAEL: "{64CD96E4-AE6F-4B9C-AB01-E30801474977}" | In - Private - P6 - TRUE | .(.Apple Inc. - Bonjour Service.) -- C:\Program Files\Bonjour\mDNSResponder.exe 
 O87 - FAEL: "{3F2EDD99-041D-4C03-BD89-970F87701C33}" | In - Private - P17 - TRUE | .(.Apple Inc. - Bonjour Service.) -- C:\Program Files\Bonjour\mDNSResponder.exe 
 O87 - FAEL: "{6722BA13-27AF-4914-9188-552446CB5FB7}" | In - Private - P6 - TRUE | .(.Apple Inc. - Bonjour Service.) -- C:\Program Files (x86)\Bonjour\mDNSResponder.exe 
 O87 - FAEL: "{BBEBCA2B-674B-441B-AEE7-731A7E9C1C92}" | In - Private - P17 - TRUE | .(.Apple Inc. - Bonjour Service.) -- C:\Program Files (x86)\Bonjour\mDNSResponder.exe 
SR - | Auto 10/12/2011 462184 |  (Bonjour Service) . (.Apple Inc..) - C:\Program Files\Bonjour\mDNSResponder.exe     
EmptyTemp 		
EmptyFlash 		
FirewallRAZ 		
HiddenFix
SysRestore 



* Double-clic droit sur le raccourci portant le nom "ZHPFix" (il est sur ton bureau).
/ !\Utilisateurs de Vista et Windows 7 : Clic droit sur le logo de ZHPFix « exécuter en tant qu'Administrateur »/ !\
* Clique sur le H "coller les lignes Helper"
* Colle les lignes ci dessus que tu viens de copier dans la fenêtre de ZHPFix :
* Vérifie que toutes les lignes que je t''ai demandé de copier (et seulement elles) sont dans la fenêtre. 
* Clique sur le bouton « GO » pour lancer le nettoyage 
* Copie/Colle le rapport à l'écran dans ton prochain message 
* (le rapport se trouve aussi dans le dossier C:\ZHP sous le nom de ZHPFixReport.txt) 
* Transmet moi le fichier comme indiqué en préambule  "Dépôt de fichier"


A+

cabrier · Answer

Je suis obligé de te quitter,

J'espère que tout est maintenant OK, en tout cas le dernier rapport de ZHPDiag ne comportait que des "broutilles".

Reste 2 choses à faire :

1 - * Télécharge MBAM et installe le selon l'emplacement par défaut 
https://www.malwarebytes.com/mwb-download/ 
* Effectue la mise à jour et lance Malwarebytes' Anti-Malware 
* Clique dans l'onglet du haut "Recherche" 
* Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher" 
* Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen" (il peut durer 2 heures !)
A la fin de l'analyse, si MBAM n'a rien trouvé : 
* Clique sur OK, le rapport s'ouvre spontanément 
Si des menaces ont été détectées : 
* Clique sur OK puis "Afficher les résultats" 
* Choisis l'option "Supprimer la sélection" 
* Si MBAM demande le redémarrage de Windows : Clique sur "Oui" 
* Une fois le PC redémarré, le rapport se trouve dans l'onglet "Rapports/Logs" 
* Sinon le rapport s'ouvre automatiquement après la suppression , enregistre le.
* Transmet moi le fichier comme indiqué en préambule  "Dépôt de fichier"
* Si tu n''arrive pas à le mettre à jour, télécharge ce fichier :
http://data.mbamupdates.com/tools/mbam-rules.exe
, ferme MBAM, et exécute le.

2 - Désinstaller et remettre propre ton PC
- Télécharge Delfix d'Xplode) sur ton bureau. 
http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/3-delfix
- Lance le, (avec Vista/Seven, clic droit dessus, et sur exécuter en tant qu'administrateur) 
- Sélectionne Suppression 
- Copie/colle le contenu du rapport qui s'ouvrira à l'écran dans ton prochain message. 

Note : Le rapport est également sauvegardé à la racine du disque dur ( C:\DelFixSuppr.txt ) 
Une fois le rapport posté sur le forum, relance DelFix en sélectionnant Désinstallation. 


N'hésites pas à me poser des questions si tu en éprouves le besoin.
Je reviendrai demain sur ce site.

A+

PhaZinG · Answer

Merci beaucoup pour ton aide !
Bonne soirée

cabrier · Answer

Veux-tu me donner les liens de tes deux rapports (MBAM et Delfix) ?

PhaZinG · Answer

Voila, donc il a trouvé 3 virus et je crois qu'il a trouvé le mien car quand je suis allé dans le menu de départ j'ai enlevé MSN de la liste de démarrage, et il ne le trouvait plus et là il trouve justement MSN comme virus.

Rapport : http://www.cijoint.fr/cjlink.php?file=cj201110/cijghY2lA6.txt

PhaZinG · Answer

Et voila le rapport de DelFix : http://www.cijoint.fr/cjlink.php?file=cj201110/cijkVtEWWj.txt

PhaZinG · Answer

Un tout tout grand merci pour ton aide, bonne continuation et bonne soirée !

A bientôt !

cabrier · Answer

Bonsoir, il serait bon que tu fasses encore ceci :


* Désactivation, puis Réactivation de la restauration système après désinfection : 
Il est nécessaire de désactiver puis réactiver la restauration système pour la purger car les points de restauration peuvent être infectés : 

Seven: http://www.forum-fec.net/faq-tutoriel-astuces-f10/purger-la-restauration-du-systeme-sous-windows-7-t142.htm 

A+ et au plaisir.

PhaZinG · Answer

Voila c'est fait, merci du tuyau !

Bonne soirée

Problème suppresion virus

18 réponses

Discussions similaires