Invasion Trojan.Gen.2Résolu/Fermé

Question

Bonjour, 

depuis quelques semaines, mon ordinateur professionnel est infesté par Trojan.Gen.2.
Mon AV, Symantec Endpoint Protection, détecte bien les attaques et les bloque mais à raison de plusieurs centaines par jours, ça devient vraiment pénible.
Comme c'est mon ordianteur de travail, j'ai essayé d'utiliser les solutions clé en main de Symantec pour éliminer cette menace mais rien à faire ....
Je m'en remet donc à vous.
Comme vu dans un des anciens posts, j'ai téléchargé et installé ZHPDiag et voici le lien correspondant au rapport.
http://security-domain.be/SecurityUpload/index.php/files/get/HD_6io-z12/zhpdiag.txt

Les fichiers infectés se nomment toujours : DWH****.tmp (* = alphanumérique).
Ils se trouvent en C:\Users\Laurent\AppData\Local\Temp

J'espère sincèrement qu'une bonne âme pourra me sortir de cette panade.

Bormio


Configuration: Windows 7 / Firefox 8.0.1

Fish66 · Answer

Salut,

1/
Télécharge AdwCleaner (merci à Xplode) 
Lance AdwCleaner
Clique sur le bouton [ Suppression ] 
Patiente... 
Poste le rapport qui apparait en fin de recherche. 
Il se trouve également à C:\AdwCleaner[SX] (où X est un chiffre)

2/ Ensuite
* Télécharge de AD-Remover sur ton Bureau. 
http://www.teamxscript.org/adremoverTelechargement.html 

/!\ Ferme toutes applications en cours /!\ 

- Double  sur l'icône Ad-remover située sur ton Bureau. 
-Pour vista/Seven : clique avec le bouton droit de la souris  et choisis « exécuter en tant qu'administrateur » 
- Sur la page, clique sur le bouton « chercher »
- Confirme lancement du scan 
- Laisse travailler l'outil. 
- Poste le rapport qui apparaît à la fin. 

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt) 

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour c

@+

Bormio · Answer

Bonjour, merci pour ta rapidité ! voici les deux rapports : # AdwCleaner v1.402 - Rapport créé le 19/12/2011 à 15:53:24 # Mis à jour le 11/12/11 à 19h par Xplode # Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits) # Nom d'utilisateur : Laurent - BABEL (Administrateur) # Exécuté depuis : C:\Users\Laurent\Downloads\adwcleaner.exe # Option [Suppression] ***** [Services] ***** ***** [Fichiers / Dossiers] ***** Dossier Supprimé : C:\Users\Laurent\AppData\LocalLow\PriceGong Dossier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PriceGong Dossier Supprimé : C:\Program Files (x86)\PriceGong Dossier Supprimé : C:\Users\Laurent\AppData\Roaming\Mozilla\Firefox\Profiles\25z3e3ev.default\SweetIMToolbarData Dossier Supprimé : C:\Users\Laurent\AppData\Roaming\Mozilla\Firefox\Profiles\25z3e3ev.default\extensions\{8A9386B4-E958-4c4c-ADF4-8F26DB3E4829} Dossier Supprimé : C:\Users\Laurent\AppData\Roaming\Mozilla\Firefox\Profiles\25z3e3ev.default\extensions\{EEE6C361-6118-11DC-9C72-001320C79847} Fichier Supprimé : C:\Users\Laurent\AppData\Roaming\Mozilla\Firefox\Profiles\25z3e3ev.default\searchplugins\SweetIm.xml ***** [Registre] ***** Clé Supprimée : HKCU\Software\SweetIm Clé Supprimée : HKCU\Software\AppDataLow\Software\PriceGong Clé Supprimée : HKLM\SOFTWARE\SweetIM Clé Supprimée : HKLM\SOFTWARE\Classes\PriceFactorIE.PriceGongBHO Clé Supprimée : HKLM\SOFTWARE\Classes\PriceFactorIE.PriceGongBHO.1 Clé Supprimée : HKLM\SOFTWARE\Classes\PriceGongIE.PriceGongCtrl Clé Supprimée : HKLM\SOFTWARE\Classes\PriceGongIE.PriceGongCtrl.1 Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\PriceGongIE.DLL Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{835315FC-1BF6-4CA9-80CD-F6C158D40692} Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{1631550F-191D-4826-B069-D9439253D926} Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{D2A2595C-4FE4-4315-AA9B-19DBD6271B71} Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{8B3372D0-09F0-41A5-8D9B-134E148672FB} Clé Supprimée : HKLM\SOFTWARE\Google\Chrome\Extensions\bkomkajifikmkfnjgphkjcfeepbnojok Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{1631550F-191D-4826-B069-D9439253D926} Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{1631550F-191D-4826-B069-D9439253D926} Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1631550F-191D-4826-B069-D9439253D926} Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\PriceGong ***** [Registre (x64)] ***** ***** [Navigateurs] ***** -\ Internet Explorer v9.0.8112.16421 [OK] Le registre ne contient aucune entrée illégitime. -\ Mozilla Firefox v8.0.1 (fr) Profil : 25z3e3ev.default Fichier : C:\Users\Laurent\AppData\Roaming\Mozilla\Firefox\Profiles\25z3e3ev.default\prefs.js Supprimée : user_pref("keyword.URL", "hxxp://search.sweetim.com/search.asp?src=2&q="); Supprimée : user_pref("sweetim.toolbar.highlight.colors", "#FFFF00,#00FFE4,#5AFF00,#0087FF,#FFCC00,#FF00F0"); Supprimée : user_pref("sweetim.toolbar.logger.ConsoleHandler.MinReportLevel", "7"); Supprimée : user_pref("sweetim.toolbar.logger.FileHandler.FileName", "ff-toolbar.log"); Supprimée : user_pref("sweetim.toolbar.logger.FileHandler.MaxFileSize", "200000"); Supprimée : user_pref("sweetim.toolbar.logger.FileHandler.MinReportLevel", "7"); Supprimée : user_pref("sweetim.toolbar.mode.debug", "false"); Supprimée : user_pref("sweetim.toolbar.previous.keyword.URL", ""); Supprimée : user_pref("sweetim.toolbar.search.external", " Lancé à 16:05:35 le 19/12/2011, Mode normal Microsoft Windows 7 Édition Familiale Premium Service Pack 1 (X64) Laurent@BABEL (ASUSTeK Computer Inc. N53Jf) ============== RECHERCHE ============== ============== SCAN ADDITIONNEL ============== **** Mozilla Firefox Version [8.0.1 (fr)] **** HKLM_MozillaPlugins\@nvidia.com/3DVision (x) HKLM_MozillaPlugins\@nvidia.com/3DVisionStreaming (x) HKLM_MozillaPlugins\Adobe Reader (x) Searchplugins\bing.xml ( hxxp://www.bing.com/search) Components\browsercomps.dll (Mozilla Foundation) -- C:\Users\Laurent\AppData\Roaming\Mozilla\FireFox\Profiles\25z3e3ev.default -- Prefs.js - browser.download.lastDir, C:\Users\Laurent\Desktop Prefs.js - browser.startup.homepage, www.univ-reims.fr Prefs.js - browser.startup.homepage_override.buildID, 20111120135848 Prefs.js - browser.startup.homepage_override.mstone, rv:8.0.1 ======================================== **** Internet Explorer Version [9.0.8112.16421] **** IEXPLORE.EXE\Shell\Open\Command - C:\Program Files\Internet Explorer\iexplore.exe HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896 HKCU_Main|Start Page - hxxp://fr.msn.com/ HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896 HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch HKLM_Main|Start Page - hxxp://fr.msn.com/ HKLM_ElevationPolicy\{07d873dc-b9b9-44f5-af0b-fb59fa54fb7a} - C:\Windows\SysWOW64\wpcer.exe (x) HKLM_ElevationPolicy\{0a402d70-1f10-4ae7-bec9-286a98240695} - C:\Windows\SysWOW64\winfxdocobj.exe (x) HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files (x86)\Internet Explorer\iedw.exe (x) HKLM_ElevationPolicy\{A6E2003F-95C5-4591-BA9A-0093080FDB5C} - C:\Program Files (x86)\Common Files\Oberon Media\OberonBroker\1.0.0.63\OberonBroker.exe (?) HKLM_ElevationPolicy\{B43A0C1E-B63F-4691-B68F-CD807A45DA01} - C:\Windows\system32\TSWbPrxy.exe (x) ======================================== C:\Program Files (x86)\Ad-Remover\Quarantine: 0 Fichier(s) C:\Program Files (x86)\Ad-Remover\Backup: 15 Fichier(s) C:\Ad-Report-CLEAN[1].txt - 21/11/2011 11:11:46 (3061 Octet(s)) C:\Ad-Report-SCAN[1].txt - 21/11/2011 11:10:02 (2726 Octet(s)) C:\Ad-Report-SCAN[2].txt - 19/12/2011 16:06:17 (2868 Octet(s)) Fin à: 16:06:50, 19/12/2011 ============== E.O.F ============== Bonne journée et merci, Bormio

Fish66 · Answer

Re,
1/
Lance Ad-remover puis cliques sur "désinstaller"

2/
/!\ ATTENTION : cette analyse peut durer quelques heures /!\

* Télécharge MBAM et installe le selon l'emplacement par défaut  
https://www.malwarebytes.com/mwb-download/ 
* Lance Malwarebytes' Anti-Malware  
* Fais la mise à jour  
* Clique dans l'onglet  "Recherche"  
* Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher"  
* Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen"  

A la fin de l'analyse, si MBAM n'a rien trouvé :  

* Clique sur OK, le rapport s'ouvre spontanément  

Si des menaces ont été détectées :  

* Clique sur OK puis "Afficher les résultats"  
*Vérifie que toutes les lignes sont cochées 
* Choisis l'option "Supprimer la sélection"  
* Si MBAM demande le redémarrage de Windows : Clique sur "Oui"  
* Le rapport s'ouvre automatiquement après la suppression, il se trouve aussi dans l'onglet "Rapports/Logs"  

* Copie/colle le rapport dans le prochain message  


Remarque : 
- S'il y'a un problème de mise à jour de mbam, tu peux la faire manuellement en téléchargeant  ce fichier puis en l'exécutant.

@+

Bormio · Answer

Bonsoir,

j'ai fait tout ce que tu as demandé et voilà le résultat ci-dessous. Au fait juste pour te signaler, j'ai eu encore des alertes Trojan.Gen.2 aujourd'hui. Environ 100 blocages !

============================
Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 8405

Windows 6.1.7601 Service Pack 1
Internet Explorer 9.0.8112.16421

21/12/2011 00:23:57
mbam-log-2011-12-21 (00-23-57).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 338154
Temps écoulé: 45 minute(s), 22 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
d:\logiciels\o&o defrag 10 pro v10.0.1634\oo defrag 10 keygen.exe (Riskware.Tool.CK) -> Quarantined and deleted successfully.
d:\logiciels\pdf cracker\pdfcracker.exe (Hacktool.Agent) -> Quarantined and deleted successfully.
==========================

Merci pour ton aide

Bormio

Fish66 · Answer

Bonjour,

Lance ZHPDiag depuis le bureau et prépare stp un nouveau rapport ZHPDiag

@+

Bormio · Answer

Bonsoir,

voici le lien vers le rapport.
http://security-domain.be/SecurityUpload/index.php/files/get/6AMX_O1qB7/zhpdiag.txt

Fish66 · Answer

Salut,

1/
Copie tout le texte présent en gras ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C ) 




O43 - CFD: 28/03/2011 - 21:47:40 - [0] ----D- C:\Users\Laurent\AppData\Roaming\iWin    => Infection BT (Adware.BHO)
O87 - FAEL: "{2333DC89-EA9B-4D82-8E33-1204F332CC1A}" | In - Private - P6 - TRUE | .(.SweetIM Technologies, Ltd. - SweetIM Installer.) -- C:\Users\Laurent\Downloads\SweetImSetup.exe
OPT:O4 - HKLM\..\Run: [Setwallpaper] c:\programdata\SetWallpaper.cmd (.not file.)
OPT:O4 - HKLM\..\Wow6432Node\Run: [UpdatePSTShortCut] Clé orpheline
OPT:O4 - HKLM\..\Wow6432Node\Run: [SessionLogon] C:\ExpressGateUtil\SessionLogon.exe (.not file.)
OPT:O4 - HKLM\..\Wow6432Node\Run: [Wireless Console 3] . (.Pas de propriétaire - Wireless Console 3.) -- C:\Program Files (x86)\ASUS\Wireless Console 3\wcourier.exe
FirewallRAZ
EmptyTemp
EmptyFlash



Puis Lance ZHPFix depuis le raccourci du bureau . 

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) . 

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent . 

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre. 

Clique sur le bouton  GO

Copie/Colle le rapport à l'écran dans ton prochain message.

2/
* Télécharge OTM (OldTimer) sur ton Bureau 

ICI >> OTM (OldTimer) 
* Double clic "OTMoveIt3.exe" 
* Utilisateurs Windows Vista / 7 Clic droit sur "OTMoveIt3.exe" choisis "exécuter en tant qu'administrateur" afin de le lancer. 

- Copie (Ctrl+C) le texte suivant en gras ci-dessous : 



:files 
C:\Program Files\Enigma Software Group\SpyHunter
C:\Users\Laurent\AppData\Roaming\iWin 

:commands 
[emptytemp] 




- Colle (Ctrl+V) le texte précédemment copié dans le cadre: Paste Instructions for Items to be Moved. 
- Clique maintenant sur le bouton MoveIt! 
Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer. 
Accepte en cliquant sur YES. 
- Poste le rapport situé dans ce dossier : C:\_OTMoveIt\MovedFiles\ 
Le nom du rapport correspond au moment de sa création : date_heure.log

@+

Bormio · Answer

Bonsoir Fish66,

voici les deux rapports :

Rapport de ZHPFix 1.12.3375 par Nicolas Coolman, Update du 16/12/2011
Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-23-12-2011-22-31-46.txt
Run by Laurent at 23/12/2011 22:31:46
Windows 7 Home Premium Edition, 64-bit Service Pack 1 (Build 7601)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Valeur(s) du Registre ==========
SUPPRIME {2333DC89-EA9B-4D82-8E33-1204F332CC1A}
SUPPRIME RunValue: Setwallpaper
SUPPRIME RunValue: UpdatePSTShortCut
SUPPRIME RunValue: SessionLogon
SUPPRIME RunValue: Wireless Console 3
ABSENT Valeur Standard Profile: FirewallRaz : 
ABSENT Valeur Domain Profile: FirewallRaz : 
SUPPRIME FirewallRaz (Domain) : NetPres-In-TCP-NoScope
SUPPRIME FirewallRaz (Domain) : NetPres-Out-TCP-NoScope
SUPPRIME FirewallRaz (None) : NetPres-WSD-In-UDP
SUPPRIME FirewallRaz (None) : NetPres-WSD-Out-UDP
SUPPRIME FirewallRaz (Public) : NetPres-In-TCP
SUPPRIME FirewallRaz (Public) : NetPres-Out-TCP
SUPPRIME FirewallRaz (None) : {7A5CF2D2-CD88-4B52-9E49-062645B6859D}

========== Dossier(s) ==========
SUPPRIME Folder: C:\Users\Laurent\AppData\Roaming\iWin
SUPPRIME Temporaires Windows: : 88
SUPPRIME Flash Cookies: 3

========== Fichier(s) ==========
SUPPRIME Temporaires Windows: : 240
SUPPRIME Flash Cookies: 1


========== Récapitulatif ==========
14 : Valeur(s) du Registre
3 : Dossier(s)
2 : Fichier(s)


End of clean in 00mn 01s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 23/12/2011 22:31:46 [1429]


et 


All processes killed
========== FILES ==========
C:\Program Files\Enigma Software Group\SpyHunter\mon folder moved successfully.
C:\Program Files\Enigma Software Group\SpyHunter\Log folder moved successfully.
C:\Program Files\Enigma Software Group\SpyHunter\Downloads folder moved successfully.
C:\Program Files\Enigma Software Group\SpyHunter\Defs folder moved successfully.
C:\Program Files\Enigma Software Group\SpyHunter\Data folder moved successfully.
C:\Program Files\Enigma Software Group\SpyHunter folder moved successfully.
File/Folder C:\Users\Laurent\AppData\Roaming\iWin not found.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Laurent
->Temp folder emptied: 3593592 bytes
->Temporary Internet Files folder emptied: 321900 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 47988641 bytes
->Flash cache emptied: 8402926 bytes
 
User: Public
 
User: UpdatusUser
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 1708276 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 2552 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 50540 bytes
RecycleBin emptied: 2653431838 bytes
 
Total Files Cleaned = 2 590,00 mb
 
 
OTM by OldTimer - Version 3.1.19.0 log created on 12232011_223650

Files moved on Reboot...
C:\Users\Laurent\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.

Registry entries deleted on Reboot...

Merci encore,
Joyeux Noël à toi.

Fish66 · Answer

Bonjour,

Merci

Comment se comporte ton PC maintenant ?

@+

Bormio · Answer

Bonsoir,
pour le moment, ça fait deux minutes que je l'utilise, pas de soucis. 
Je vais le laisser tourner un bon boute de temps et je te tiens au courant.
Bon réveillon,

Bormio · Answer

Bonsoir,
1h30 le 25 décembre et le problème ressurgit.
Mon AV vient de bloquer des tas de fichiers contenant Trojan.Gen.2.

Fish66 · Answer

Bonjour,

1/
Est ce que tu peux envoyer le rapport de ton antivirus ?

2/
Lance ZHPDiag depuis le bureau, clique sur l'onglet vert (flèche bas) pour faire la mise à jour et prépare stp un nouveau rapport ZHPDiag

@+

Bormio · Answer

Bonjour,

j'espère que le père Noël t'as bien gâté. De mon côté, je n'ai pas à me plaindre.

J'ai cherché le rapport de mon AV (Symantec Endpoint Protection) mais je n'ai rien trouvé de concluant. J'ai donc fait des sauvegarde de certains rapports qui pourraient t'être utiles.
Ce sont des sauvegardes de fichiers csv convertis en txt. Pas top pour la lecture.
Tu les trouveras là :
http://security-domain.be/SecurityUpload/index.php/files/get/pRKOpLnBLW/journal-de-gestion-des-clients.txt
http://security-domain.be/SecurityUpload/index.php/files/get/4zTxR6V228/journal-des-risques.txt
http://security-domain.be/SecurityUpload/index.php/files/get/ijB4hPxyvn/journal-systeme.txt

en ce qui concerne le rapport ZHPDiag, le voici :
http://security-domain.be/SecurityUpload/index.php/files/get/3w320j-Y2A/zhpdiag.txt

Fish66 · Answer

Bonjour,


Télécharger Eset Nod32 : 
http://download.eset.com/special/eos/esetsmartinstaller_fra.exe 
* Lancer le fichier 
* Accepter les conditions 
* Autoriser le programme à accéder à Internet 
* Cliquer sur paramètre avancées pour ouvrir le menu et sélectionner les options (par défaut le scanner analyse votre ordinateur entièrement) 
* Téléchargement des signatures 


Il est recommander de désactiver votre antivirus afin de ne pas ralentir le scan et d'afficher des message d'alerte ! 

* Le scan débute dés la fin du téléchargement 
* Générer le rapport 
* Cliquer sur liste des menaces détectées puis sur exporter dans un fichier texte... 



Vous pouvez l'enregistrer sur le bureau en lui donnant un nom. Poster le rapport sur le forum. 
Si le rapport n'est pas sur le bureau regarde ici ==> C:\Program Files\EsetOnlineScanner\log.txt 

Pour vous aider voici un tuto rédigé par dorgane : 
https://www.commentcamarche.net/faq/29643-scanner-en-ligne-avec-eset-nod32

@+

Bormio · Answer

Bonsoir,

voici le résultat du scan :
http://security-domain.be/SecurityUpload/index.php/files/get/ut8zTzCm7V/eset-online-scan.txt

@+

Fish66 · Answer

Re,

d:\logiciels\o&o defrag 10 pro v10.0.1634\oo defrag 10 keygen.exe (Riskware.Tool.CK) -> Quarantined and deleted successfully.
d:\logiciels\pdf cracker\pdfcracker.exe (Hacktool.Agent) -> Quarantined and deleted successfully. 

Attention aux crack!

Tu peux lire : les dangers des cracks

================================

Avant d'utiliser ComboFix : 

Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement : 

si tu as ce genre de d'outils sur ton pc Utilise Defogger pour les désactiver temporairement : sinon passe directement à combofix 

. Télécharge Defogger (de jpshortstuff) sur ton Bureau 

. Lance le 

Une fenêtre apparait : clique sur "Disable" 

. Fais redémarrer l'ordinateur si l'outil te le demande 

Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable"  

Attention, avant de commencer, lit attentivement la procédure 

/!\ Ne pas utiliser ce logiciel en dehors du cadre de cette désinfection : DANGEUREUX /!\ 

? Fais un clic droit sur ce lien, enregistre le dans ton bureau 

Voici Aide combofix 


* /!\ Déconnecte-toi du net et ARRÊTE TES LOGICIELS DE PROTECTION /!\ 
 

*Double-clique sur ComboFix.exe (ou exécuter en tant qu'administrateur pour vista et seven) 

Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter 

** SURTOUT INSTALLES LA CONSOLE DE RECUPERATION 
(si il te propose de l'installer remets internet) 

? Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC 

 *En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire. 

* Une fois le scan achevé, un rapport va s'afficher : Poste son contenu 

** /!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\ 

*Note : Le rapport se trouve également là : C:\ComboFix.txt

Bormio · Answer

Bonsoir,

voici le rapport ComboFix :
http://security-domain.be/SecurityUpload/index.php/files/get/rXJgIpUjCD/combofix.txt

@+

Fish66 · Answer

Bonjour, =>/!\Le script qui suit a été écrit spécialement cet ordinateur/!\ <= =>il est fort déconseillé de le transposer sur un autre ordinateur !<= ----------------------------------------------------------------------------------- Toujours avec toutes les protections désactivées, fais ceci : * Ouvre le bloc-notes (Menu démarrer --> programmes --> accessoires --> bloc-notes) * Copie/colle dans le bloc-notes ce qui entre les lignes ci dessous (sans les lignes) : * Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes : __________________________________________________ KillAll:: File:: c:\windows\system32\acovcnt.exe Rootkit:: c:\program files\Enigma Software Group\SpyHunter\esgiguard.sys Driver:: esgiguard Reboot:: __________________________________________________ * Enregistre ce fichier sous le nom CFScript * Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture :http://i261.photobucket.com/albums/ii49/Malekal_morte/CFScript-2.gif * Combofix se lance, laisse toi guider.. * Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal! * Ne touche à rien tant que le scan n'est pas terminé. * Une fois le scan achevé, un rapport va s'afficher: poste son contenu, en précisant où en sont tes soucis * Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt @+

Bormio · Answer

Bonjour et bonne année,

ci-joint le lien vers le rapport ComboFix.
http://security-domain.be/SecurityUpload/index.php/files/get/rZ1iOxn5p9/combofix.txt
Sinon au niveau de l'ordinateur, il se comporte bien pour le moment pas de problème noté durant la dernière heure. 
Je te tiens au courant de l'évolution de la bête.

Merci,

Fish66 · Answer

Re,

Refais stp le scan en ligne comme expliqué >>> ICI >>> puis poste le rapport stp

@+

Bormio · Answer

Bonsoir,

ci-dessous le lien vers le scan ESET Online :
http://security-domain.be/SecurityUpload/index.php/files/get/C-9y6yBsyg/scan.txt

Mon ordi se comporte plutôt bien. Pas d'alertes depuis quelques jours.

@+

Fish66 · Answer

Bonjour,

1/
Relance Malwarebytes pour une analyse complète après avoir effectué la mise à jour, puis poste le rapport stp

2/
On va faire un nettoyage ! 

. télécharges Ccleaner à partir de cette adresse et enregistres le sur le bureau 

https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/ 

.double-cliques sur le fichier pour lancer l'installation 

.sur la fenêtre de l'installation langage bien choisir français et OK 
.cliques sur suivant 
.lis la licence et j'accepte 
.cliques sur suivant 
.la tu ne gardes de coché que mettre un raccourci sur le bureau et puis contrôler automatiquement les mises à jour de Ccleaner 
.cliques sur installer 
.cliques sur fermer 
.double-cliques sur l'icône de Ccleaner pour l'ouvrir 
.une fois ouvert tu cliques sur option et puis avancé 
.tu décoches effacer uniquement les fichiers, du dossier temp de windows plus vieux que 24 heures 
.cliques sur nettoyeur 
.cliques sur windows et dans la colonne avancé 
.coches la première case vieilles données du perfetch que celle-la ce qui te donnes la case vielles données du perfetch et la case avancé qui c'est coché automatiquement mais que celle-la 
.cliques sur analyse une fois l'analyse terminé 
.cliques sur lancer le nettoyage et sur la demande de confirmation OK il vas falloir que tu le refasses une autre fois une fois fini vériffis en appuiant de nouveau sur analyse pour être sur qu'il n'y est plus rien 
.cliques maintenant sur registre et puis sur rechercher les erreurs 
.laisses tout cochées et cliques sur réparrer les erreurs sélectionnées 
.il te demande de sauvegarder OUI 
.tu lui donnes un nom pour pouvoir la retrouver et enregistre 
.cliques sur corriger toutes les erreurs sélectionnées et sur la demande de confirmation OK 
.il supprime et fermer tu vérifies en relançant rechercher les erreurs 
.tu retournes dans option et tu recoches la case effacer uniquement les fichiers, du dossier temp de windows plus vieux que 48 heures et sur nettoyeur, windows sous avancé tu décoches la première case vieilles données du perfetch 
.tu peux fermer Ccleaner 

tuto installation & nettoyage : 
https://www.donnemoilinfo.com/tuto/CCleaner/

3/
Un dernier rapport ZHPDiag stp avant de finaliser

@+

Bormio · Answer

Bonjour,

voici les rapports :
http://security-domain.be/SecurityUpload/index.php/files/get/ZBzPhve_VS/mbam-log-2012-01-05-10-44-53.txt
http://security-domain.be/SecurityUpload/index.php/files/get/typjF-EVFC/zhpdiag.txt

Tout est calme du côté de mon ordi.
Merci encore,

Fish66 · Answer

Re, Il reste une ligne à fixer :-) Copie tout le texte présent en gras ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C ) [MD5.00000000000000000000000000000000] [APT] [ASUS Patch 10430001] (...) -- C:\Windows\AsPatch10430001.exe (.not file.) FirewallRAZ EmptyTemp EmptyFlash Puis Lance ZHPFix depuis le raccourci du bureau . * Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) . * Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent . Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre. Clique sur le bouton GO Copie/Colle le rapport à l'écran dans ton prochain message. ========================================= Pour finir : Mise à jour Adobe reader * Télécharge Adobe reader à partir :>>>>Ce lien<<<< en décochant la case : installer McAfee Security Scan Plus (facultatif) * Désinstalle ta version d'adobe par : ajout/suppression de programme * Exécute le fichier téléchargé pour installation en suivant les instructions. Mise à jour de Java: * Tu peux vérifier ta Console Java en cliquant sur ce lien :https://www.java.com/fr/download/uninstalltool.jsp * Installe la nouvelle version si besoin (dans ce cas désinstalle avant l'ancienne version). voici pour desinstaller JavaRa: * Télécharge ce fichier à partir ce lien : http://raproducts.org/click/click.php?id=1 * Décompresse JavaRa sur le Bureau (Clic droit > Extraire tout). * Double-clique (clic droit "en tant qu'administrateur" pour Vista) sur le répertoire JavaRa. * Puis double-clique sur le fichier JavaRa.exe (le exe peut ne pas s'afficher). * Choisis Français puis clique sur Select. * Clique sur Recherche de mises à jour. * Sélectionne Mettre à jour via jucheck.exe puis clique sur Rechercher. * Autorise le processus à se connecter s'il le demande, clique sur Installer et suis les instructions d'installation qui prennent quelques minutes. * L'installation est terminée, reviens à l'écran de JavaRa et clique sur Effacer les anciennes versions. * Clique sur Oui pour confirmer. Laisse travailler et clique ensuite sur OK, puis une deuxième fois sur OK. * Un rapport va s'ouvrir. Poste-le dans ta prochaine réponse. * Ferme l'application. Note : le rapport se trouve aussi dans C:\ sous le nom JavaRa.log. =========================================== Updatechecker : Téléchage updatechecker pour t'indiquer les logiciels qui ne sont pas à jour et te permet aussi d'effectuer ces mises à jour =========================================== PurRa (éditeur de JavaRa) : Telecharge ici : PureRa (par l'editeur de JavaRa) Lance-le (clic droit "executer en tant qu'administrateur" pour Vista/7) => Configuration clique sur "Clean" L'outil va faire son scan puis son nettoyage à la fin du rapport tu auras une ligne comme ca : Total space cleaned: xxxxxxxx bytes transmets juste cette ligne . =========================================== **Nettoyage Suppression des outils de désinfections: * Télécharge Delfix sur ton bureau. * Lance le, tape suppression puis valide * Patiente pendant le scan jusqu'à l'ouverture du rapport. * Copie/Colle le contenu du rapport dans ta prochaine réponse. Note : Le rapport se trouve également sous C:\DelFix.txt * Tu peux le desinstaller ===========================================

Nettoyage des fichiers et des clés de registre :
* Télécharge et installe CCleaner version Slim               
* Lance-le.(clic droit "en tant qu'administrateur" pour Vista et Seven) Va dans Options puis         
* Avancé et décoche la case Effacer uniquement les fichiers etc....         
* Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage.         
* Ensuite, choisis Registre, puis Chercher des erreurs. Une fois terminé, répare toutes les erreurs tant de fois qu il en trouve a l analyse .         
** Aide ici : https://www.malekal.com/tutoriel-ccleaner/         
Tu peux utiliser Ccleaner une fois par semaine        

===========================================    
Défragmentation : :
Défragmente tes disques dur par defraggler      
===========================================    
Purger les points de restauration système:   

* Désactive et réactive la restauration de système en suivant les procédures indiquées dans ces liens :   

Windows XP    

Windows Vista    

Windows 7    

* Après avoir vidé la restauration du système, il est nécessaire de créer un nouveau point de restauration ...   


===========================================    
Conseils :       
1/ Je te conseille d'utiliser le navigateur Firefox et d'installer les modules          
complémentaires WOT pour t'indiquer les fichiers douteux et Adblock plus pour bloquer les publicités...         

2/ Aussi tu peux garder Malwarebytes et l'utiliser aussi une fois par semaine.          

3/ Un peu de lecture :        
* Les dangers du Peer-To-Peer, Emule etc..         
* Comment Sécuriser son ordinateur...        
*Pourquoi et comment je me fais infecter

Bormio · Answer

Bonjour,

j'ai utilisé ZHPfix avec succès
Adobe Acrobat Reader a été mis à jour
Idem pour Java

J'ai utilisé JavaRa et tout s'est bien passé.

Le rapport de PureRa est :
Total space cleaned: 37811452 bytes
Je crois qu'à ce niveau j'ai fait une erreur car j'ai tout sélectionné. 
Je n'ai vu le lien "configurer" dans ton message qu'à la fin.
J'espère que ce n'est pas grave.

Pour les rapports ZHPFix et JavaRa et bien ils sont été supprimés par DelFix. Comme pas mal de fichier txt que j'avais sur mon bureau, d'ailleurs. J'ai cliqué supprimé sans doute trop vite.
Tu en concluras donc que j'ai bien utilisé Delfix puis je l'ai désinstallé.
En ce qui concerne CCleaner pas de souci. Les entrées de registres ont été nettoyées.

J'ai utilisé defraggler. Rien de vraiment fragmenté sur mes disques.

Ensuite, points de restauration purgés puis nouveau point de restauration créé.

Finalement, par rapport à tes conseils, sache que je n'utilise que Mozilla Firefox et Thunderbird.

Je crois ne rien avoir oublié.

Merci beaucoup,

Fish66 · Answer

Re,

Tout est bon  :-)

Bon surf et si tu n'as pas de souci pense à mettre ton sujet comme résolu

@+

Invasion Trojan.Gen.2

26 réponses

Discussions similaires

Newsletters