virus

Question

Bonjour, 

Lors d'un petit nettoyage de mon PC (windows XP) avec un antivirus en ligne, Eset online, celui-ci a repéré 8 virus sur mon ordi. Voici le rapport :

E:\Documents and Settings\aurore\Application Data\1586392AF7BA2813ABDCA28553950C32\enemies-names.txt	Win32/Adware.AntimalwareDoctor.AE.Gen application
E:\Documents and Settings\aurore\Application Data\Agence-Exclusive\Agence-Exclusive\autoupdater.exe	a variant of Win32/Adware.EoRezo.J application
E:\Documents and Settings\aurore\Application Data\Agence-Exclusive\Agence-Exclusive\UpdatePCTuto.exe	a variant of Win32/Adware.EoRezo.N application
E:\Documents and Settings\aurore\Application Data\Sun\Java\Deployment\cache\6.0\43\556445eb-25a4fcad	probably a variant of Win32/Agent.DYXWUMY trojan
E:\Documents and Settings\aurore\Application Data\Sun\Java\Deployment\cache\6.0\44\5473416c-40851ede	multiple threats
E:\Documents and Settings\aurore\Mes documents\Downloads\pctuto_01net_ccleaner.exe	multiple threats
E:\Program Files\Agence-Exclusive\pctuto.exe	a variant of Win32/Adware.EoRezo.J application
E:\Program Files\Agence-Exclusive\pctutoBHO.dll	a variant of Win32/Adware.EoRezo.J application
Operating memory	a variant of Win32/Adware.EoRezo.J application 

Je ne sais pas bien si je dois chercher et supprimer ces fichiers. 

Merci de votre aide.

Fish66 · Answer

Salut,

Télécharge AdwCleaner (merci à Xplode) 
Lance AdwCleaner
Clique sur le bouton [ Suppression ] 
Patiente... 
Poste le rapport qui apparait en fin de recherche. 
Il se trouve également à C:\AdwCleaner[SX] (où X est un chiffre)

@+

cassie22 · Answer

cassie22 - 4 déc 2011 à 16:55
Merci, je viens de le faire. voici le rapport : 

***** [Fichiers / Dossiers] ***** 

Dossier Supprimé : E:\Documents and Settings\aurore\Application Data\Agence-Exclusive 
Dossier Supprimé : E:\Documents and Settings\aurore\Application Data\CrazyLoader 
Dossier Supprimé : E:\Documents and Settings\aurore\Local Settings\Application Data\Agence-Exclusive 
Dossier Supprimé : E:\Documents and Settings\All Users\Menu Démarrer\Programmes\PCTuto 
Dossier Supprimé : E:\Program Files\Agence-Exclusive 
Dossier Supprimé : E:\Program Files\CrazyLoader 
Dossier Supprimé : E:\Program Files\PCTuto 

***** [Registre] ***** 

Clé Supprimée : HKCU\Software\Agence-Exclusive 
Clé Supprimée : HKCU\Software\Conduit 
Clé Supprimée : HKCU\Software\JavaSoft\Prefs\crazyloader 
Clé Supprimée : HKLM\SOFTWARE\Agence-Exclusive 
Clé Supprimée : HKLM\SOFTWARE\Conduit 
Clé Supprimée : HKLM\SOFTWARE\Classes\PCTutoBHO.PCTBHO 
Clé Supprimée : HKLM\SOFTWARE\Classes\PCTutoBHO.PCTBHO.1 
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\PCTutoBHO.DLL 
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{759F1421-4D31-4c1f-8C51-E4956A037676} 
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{293A63F7-C3B6-423a-9845-901AC0A7EE6E}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2796BAE63F1801E277261BA0D77770028F20EEE4 
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{0BF73E27-2734-4F7B-925A-4BBB1457F5FA} 
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{293A63F7-C3B6-423a-9845-901AC0A7EE6E} 
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{B922D405-6D13-4A2B-AE89-08A030DA4402} 
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{293A63F7-C3B6-423A-9845-901AC0A7EE6E} 
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{293A63F7-C3B6-423a-9845-901AC0A7EE6E} 
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\PcTuto_is1 
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [AutoUpdater] 
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [PcTuto] 

***** [Navigateurs] ***** 

-\ Internet Explorer v8.0.6001.18702 

[OK] Le registre ne contient aucune entrée illégitime. 

-\ Mozilla Firefox v [Impossible d'obtenir la version] 

Profil : drdqdd8r.default 
Fichier : E:\Documents and Settings\aurore\Application Data\Mozilla\Firefox\Profiles\drdqdd8r.default\prefs.js 

[OK] Le fichier ne contient aucune entrée illégitime. 

-\ Google Chrome v0.0.0.0 

Fichier : E:\Documents and Settings\aurore\Local Settings\Application Data\Google\Chrome\User Data\Default\Preferences 

[OK] Le fichier ne contient aucune entrée illégitime. 

************************* 

AdwCleaner[S1].txt - [3097 octets] - [04/12/2011 16:48:13] 

************************* 

Dossier Temporaire : 6 dossier(s)et 23 fichier(s) supprimés 

########## EOF - E:\AdwCleaner[S1].txt - [3317 octets] 

ça veut dire que c'est bon ?

Fish66 · Answer

Re,

On a pas terminé :-)

Tu es victime de l'adware Tuto4PC

Plus de renseignements ici :
http://tigzyrk.blogspot.com/2011/07/adware-tuto4pc-le-nouvel-adware-deorezo.html
https://forum.malekal.com/viewtopic.php?t=33439&start=

================================
1/
* Télécharge de AD-Remover sur ton Bureau.
http://www.teamxscript.org/adremoverTelechargement.html

/!\ Ferme toutes applications en cours /!\

- Double sur l'icône Ad-remover située sur ton Bureau.
-Pour vista/Seven : clique avec le bouton droit de la souris et choisis « exécuter en tant qu'administrateur »
- Sur la page, clique sur le bouton « chercher »
- Confirme lancement du scan
- Laisse travailler l'outil.
- Poste le rapport qui apparaît à la fin.

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt)

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour c

2/
Nous allons effectuer un diagnostic de ton PC:
*Télécharge ZHPDiag sur ton bureau :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html

* Laisse toi guider lors de l'installation,coche "Ajouter une icône sur le bureau" et décoche la case "Exécuter ZHPDiag"

/!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »

* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur un des sites ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum : http://www.cijoint.fr/
Si indisponible, tu peux essayer avec l'un de ces liens:
http://dl.free.fr
http://ww38.toofiles.com/fr/documents-upload.html
https://www.terafiles.net/
https://www.casimages.com/
http://pjjoint.malekal.com/

* Tuto zhpdiag :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html

Hébergement de rapport sur cijoint.fr/

Rend toi sur ce site : http://www.cijoint.fr/
Clique sur Choisissez un fichier
Clique sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cj44123/cijSKAP5fU.txt
est ajouté dans la page. Copie ce lien dans ta réponse.
============================================
Aide : >>> hébergement ICI <<<

cassie22 · Answer

C'est bon pour la seconde étape, voici le rapport : 


============== RECHERCHE ==============



Clé trouvée: HKCU\Software\Spointer
Clé trouvée: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\PCTuto
Clé trouvée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
Clé trouvée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}


============== SCAN ADDITIONNEL ==============

-- E:\Documents and Settings\aurore\Application Data\Mozilla\FireFox\Profiles\drdqdd8r.default --
Prefs.js - browser.download.lastDir, E:\Documents and Settings\aurore\Mes documents\Téléchargements
Prefs.js - browser.startup.homepage_override.buildID, 20110928134238
Prefs.js - browser.startup.homepage_override.mstone, rv:7.0.1

========================================

**** Internet Explorer Version [8.0.6001.18702] ****

HKCU_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=69157
HKCU_Main|Default_Search_URL - hxxp://www.google.com/ie
HKCU_Main|Search bar - hxxp://www.google.com/ie
HKCU_Main|Search Page - hxxp://www.google.com
HKCU_Main|Start Page - hxxp://www.google.be/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=69157
HKLM_Main|Default_Search_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Search bar - hxxp://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm
HKLM_Main|Search Page - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Start Page - hxxp://go.microsoft.com/fwlink/?LinkId=69157
HKCU_Toolbar\WebBrowser|{A057A204-BACC-4D26-C39E-35F1D2A32EC8} (x)
HKLM_ElevationPolicy\{0C5365B7-358F-402d-A440-F1270AEF1175} - E:\Documents and Settings\All Users\Application Data\EmailNotifier\EmailNotifier.exe (?)
HKLM_ElevationPolicy\{74351F14-5437-4d87-805B-04D409B09976} - E:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe (x)
HKLM_ElevationPolicy\{9EC8A041-8BD6-4f3e-9FA5-F25893A6E04F} - E:\Documents and Settings\All Users\Application Data\Megaupload\Megauper.exe (?)
HKLM_Extensions\{e2e2dd38-d088-4134-82b7-f2ba38496583} - "?" (?)
BHO\{02478D38-C3F9-4efb-9B51-7695ECA05670} (?)
BHO\{bf00e119-21a3-4fd1-b178-3b8537e75c92} - "IeMonitorBho Class" (E:\Program Files\Megaupload\Mega Manager\MegaIEMn.dll)

========================================

E:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)
E:\Program Files\Ad-Remover\Backup: 0 Fichier(s)

E:\Ad-Report-SCAN[1].txt - 04/12/2011 17:07:57 (2448 Octet(s))

cassie22 · Answer

Je viens de faire le diagnostic du PC avec ZHdiag, le fichier est accessible à l'adresse suivante : http://dl.free.fr/vlDGjQb3K

Je ne peux pas le poster sur ci-joint.fr ça ne marche pas

Fish66 · Answer

Re,

1/
/!\ Ferme toutes applications en cours /!\

- Double sur l'icône Ad-remover située sur ton Bureau.
-Pour vista/Seven : clique avec le bouton droit de la souris et choisis « exécuter en tant qu'administrateur »
- Sur la page, clique sur le bouton « Nettoyer»
- Confirme lancement du scan
- Laisse travailler l'outil.
- Poste le rapport qui apparaît à la fin.

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt)

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour c 

2/
Désinstalle ce logiciel stp : Tuto Ccleaner1.0.0.0 

3/
Copie tout le texte présent en gras ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C ) 


O43 - CFD: 04/12/2011 - 16:39:24 - [0,001] ----D- E:\Documents and Settings\aurore\Application Data\1586392AF7BA2813ABDCA28553950C32
O43 - CFD: 21/09/2010 - 16:30:36 - [0,016] ----D- E:\Documents and Settings\aurore\Local Settings\Application Data\crazyloader Air    => Infection BT (Adware.SPointer)
O47 - AAKE:Key Export SP - "E:\Program Files\CrazyLoader\crazyloader.exe" [Enabled] .(...) -- E:\Program Files\CrazyLoader\crazyloader.exe (.not file.)    => Infection BT (Adware.SPointer)
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{C5F65718-341D-4e7d-9842-FCB9CC89527E}]    => Infection BT (Adware.Spointer)
[HKLM\Software\Classes\Interface\{E2ED56B6-35FC-4484-9530-EC87FB458E78}]    => Infection PUP (PUP.Eorezo)
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}]    => Infection PUP (PUP.Dealio)
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}]    => Infection PUP (PUP.Dealio)
[HKLM\Software\CrazyLoader]    => Infection BT (Adware.SPointer)
[HKCU\Software\Spointer]    => Infection BT (Adware.SPointer)
FirewallRAZ
EmptyTemp
EmptyFlash



Puis Lance ZHPFix depuis le raccourci du bureau . 

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) . 

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent . 

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre. 

Clique sur le bouton  GO

Copie/Colle le rapport à l'écran dans ton prochain message.



4/
/!\ ATTENTION : cette analyse peut durer quelques heures /!\

* Télécharge MBAM et installe le selon l'emplacement par défaut  
https://www.malwarebytes.com/mwb-download/ 
* Lance Malwarebytes' Anti-Malware  
* Fais la mise à jour  
* Clique dans l'onglet  "Recherche"  
* Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher"  
* Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen"  

A la fin de l'analyse, si MBAM n'a rien trouvé :  

* Clique sur OK, le rapport s'ouvre spontanément  

Si des menaces ont été détectées :  

* Clique sur OK puis "Afficher les résultats"  
*Vérifie que toutes les lignes sont cochées 
* Choisis l'option "Supprimer la sélection"  
* Si MBAM demande le redémarrage de Windows : Clique sur "Oui"  
* Le rapport s'ouvre automatiquement après la suppression, il se trouve aussi dans l'onglet "Rapports/Logs"  

* Copie/colle le rapport dans le prochain message  


Remarque : 
- S'il y'a un problème de mise à jour de mbam, tu peux la faire manuellement en téléchargeant  ce fichier puis en l'exécutant.

@+

Virus

6 réponses

Votre réponse

Discussions similaires

Newsletters