Lecture scan ZHPDiag

Question

Bonjour, 

Qui pourrait me donner un coup de main et m'aider à lire le rapport ZHPDiag ?
J'ai un virus qui ouvre des fenêtres internet explorer vides.
Merci beaucoup.


Configuration: Windows XP / Orange/Chrome

g3n-h@ckm@n · Answer

salut heberge ton zhpdiag sur http://pjjoint.malekal.com et donne le lien obtenu

baba_o_rhum · Answer

Merci de ta réponse.
Cijoint.fr ne fonctionnait plus, je n'avais pas encore trouvé où mettre le rapport.

 https://pjjoint.malekal.com/files.php?id=ZHPDiag_20111224_g11q11p15r10g12

g3n-h@ckm@n · Answer

hello

ton windows n'est pas à jour

========

Télécharge et enregistre ADWcleaner sur ton bureau :

ADWCleaner (Merci à Xplode)

Lance le,

clique sur suppression et poste son rapport.

baba_o_rhum · Answer

voici le rapport de ADW Cleaner.

https://pjjoint.malekal.com/files.php?id=20111224_k11u157g10c7

Merci

g3n-h@ckm@n · Answer

telecharge et enregistre ceci sur ton bureau :

Pre_Scan

Avertissement: tous les processus non-vitaux de windows seront coupés --> pas de panique. 

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition du rapport sur le bureau.

si 'outil est bloqué par l'infection utilise cette version : Version .pif

ou encore cette version renommée : Winlogon.exe

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

si l'outil semble ne pas avoir fonctionné affiche les extensions des fichiers et renomme-le winlogon.exe , ou change son extension en .com ou .scr

 Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler 

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan après redemarrage

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

heberge le rapport sur http://pjjoint.malekal.com et donne le lien obtenu

baba_o_rhum · Answer

Le rapport Pre Scan : 
 https://pjjoint.malekal.com/files.php?id=20111224_o12p14n9o10p14

merci encore

g3n-h@ckm@n · Answer

desinstalle Search Settings 
desinstalle Dealio Toolbar 

=====================

fais glisser une icone n'importe quel fichier sur Pre_scan , pre_script va apparaitre

Lance Pre_script , une page vierge va s'ouvrir.

selectionne tout le texte en gras ci-dessous, puis (clic droit/copier ou ctrl+c) :
___________________________________________________
Kill::

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]   
"nwiz"=-
"QuickTime Task"=-
"iTunesHelper"=-
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser] 
"{0E5CBF21-D15F-11D0-8301-00AA005B4383}"=-
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\788118397DF78621C845B0406EFF36B45C98DED6]      
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\IncrediMail_MediaBar_2 Toolbar]      
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{5F05C28D-DEA9-4AD6-A73A-064175988EAB}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{6105648C-0C3C-481D-8C11-1F4952D6FB53}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{D0C73318-7B4A-4D16-A0C4-3B83F075EA88}]
[-HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}]
[-HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\3099]
[-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\51aea4b1-b4df-476c-b4ce-12226af0eed2]
[-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\53f71e42-c13f-4652-8ed0-da809b839d51]
[-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\66682585-826c-468f-beaa-f23d943295b7]
[-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\733938d2-1a92-41c2-91ef-acf4630457ee]
[-HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{EDDB3868-74DD-4F74-8488-5B8761B884BE}]
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"C:\Program Files\cacaoweb\cacaoweb.exe"=-
"c:\program files\relevantknowledge\rlvknlg.exe"=-
"C:\Documents and Settings\utilisateur\Local Settings\Temp\~os2B.tmp\rlvknlg.exe"=-
[HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]  
"1900:UDP"=-
"2869:TCP"=-

list::
C:\PROGRAMF      

file::
C:\WINDOWS\SwSys1.bmp   
C:\WINDOWS\SwSys2.bmp      
C:\WINDOWS\WINSTART.BAT    
C:\Documents and Settings\All Users\Application Data\Ament.ini      
c:\program files\relevantknowledge

folder::
C:\83f5cd78ef687068dfd6ef34      
C:\Program Files\cacaoweb 
 
clean::      

Reboot::        
___________________________________________________

colle-le ensuite (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail 

si ton bureau ne reapparait pas => ctrl+alt+supp , gestionnaire des taches => onglet fichier => nouvelle tache puis tape explorer

baba_o_rhum · Answer

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 2.005 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

¤¤¤¤¤ XP | Vista | Seven - 32/64 bits ¤¤¤¤¤

Mise à jour : 24/12/2011 | 03.10 Par g3n-h@ckm@n
Utilisateur : utilisateur (Administrateurs)
Ordinateur : ORDI-F72CF8C519
Système d'exploitation : Microsoft Windows XP (32 bits)
Internet Explorer : 6.0.2900.5512
Mozilla Firefox : 

Switchs possibles :

processes:: | file:: | folder:: | Registry::
Driver:: | replace:: | DNS:: | Command:: 
txt:: | Host:: | NsLook::
list:: | IP:: | ADS:: | Kill:: | clean::
Reboot:: | MBR:: | Fixmbr:: | 40:: | Zip::
Tray::

Script : 19:42:29

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Modification du registre effectuée

¤

Supprimé : C:\WINDOWS\SwSys1.bmp 
Supprimé : C:\WINDOWS\SwSys2.bmp 
Supprimé : C:\WINDOWS\WINSTART.BAT 
Supprimé : C:\Documents and Settings\All Users\Application Data\Ament.ini 
Absent : c:\program files\relevantknowledge 

¤

non Supprimé : C:\83f5cd78ef687068dfd6ef34 
Absent : C:\Program Files\cacaoweb 

¤




¤


¤¤¤¤¤¤¤¤¤¤ | Nettoyage disque

Nettoyage du disque effectué

¤


Fin : 19:45:19

¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤

g3n-h@ckm@n · Answer

fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.


&#9654 Télécharge ici :

Malwarebytes  

&#9654 Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

&#9654 Lance Malwarebyte's .

Fais un examen dit "Complet" .

&#9654 Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
&#9654 à la fin tu cliques sur "résultat" .
&#9654 Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

&#9654 Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


&#9654 Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

baba_o_rhum · Answer

Bonjour

deux rapports car j'ai dû faire le scan en deux fois :

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 911122405

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

24/12/2011 23:10:14
mbam-log-2011-12-24 (23-10-14).txt

Type d'examen: Examen complet (A:\|C:\|D:\|)
Elément(s) analysé(s): 104216
Temps écoulé: 1 heure(s), 40 minute(s), 58 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 42

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\FoxTab PDF Creator (Adware.Agent) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP825\A0162279.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP825\A0162280.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP825\A0162282.exe (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP825\A0162283.exe (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP825\A0162284.exe (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP825\A0162285.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP825\A0162286.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP825\A0162287.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP826\A0162297.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP826\snapshot\MFEX-1.DAT (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP868\A0172616.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP868\A0172617.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP868\A0172618.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP868\A0172619.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP868\A0172620.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP868\A0172621.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP868\A0172622.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP868\A0172623.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP868\A0172624.exe (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP868\A0172625.exe (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP868\A0172626.exe (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP868\A0172627.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\system volume information\_restore{30b1d058-5e60-4441-b102-7bfd66bcb37e}\RP868\A0172646.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\documents and settings\utilisateur\mes documents\downloads\pdfcreatorsetup.exe (Adware.Agent) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\documents and settings\utilisateur\application data\Dealio\dinstallhelper.6bcf639254fa4abebdc336564c34c51c.dll.vir (PUP.Dealio.TB) -> Not selected for removal.
c:\program files\ad-remover\quarantine\C\program files\Dealio\dealioau.exe.vir (PUP.Dealio.TB) -> Not selected for removal.
c:\program files\ad-remover\quarantine\C\program files\Dealio\kb127\dealio deskbar.exe.vir (PUP.Dealio.TB) -> Not selected for removal.
c:\program files\ad-remover\quarantine\C\program files\Dealio\kb127\dealio.dll.vir (PUP.Dealio.TB) -> Not selected for removal.
c:\program files\ad-remover\quarantine\C\program files\Dealio\kb127\dealiores409.dll.vir (PUP.Dealio.TB) -> Not selected for removal.
c:\program files\ad-remover\quarantine\C\program files\relevantknowledge\rlls.dll.vir (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\relevantknowledge\rlls64.dll.vir (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\relevantknowledge\rlph.dll.vir (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\relevantknowledge\rlservice.exe.vir (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\relevantknowledge\rlvknlg.exe.vir (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\relevantknowledge\rlvknlg64.exe.vir (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\relevantknowledge\rlxf.dll.vir (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\relevantknowledge\components\rlxg.dll.vir (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\relevantknowledge\components\rlxh.dll.vir (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\relevantknowledge\components\rlxi.dll.vir (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\relevantknowledge\components\rlxj.dll.vir (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\relevantknowledge\components\rlxk.dll.vir (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.
c:\program files\foxtabpdfconverter\uninstall\uninstall.exe (Adware.Agent) -> Quarantined and deleted successfully.


Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 911122405

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

25/12/2011 14:19:12
mbam-log-2011-12-25 (14-19-12).txt

Type d'examen: Examen complet (A:\|C:\|D:\|)
Elément(s) analysé(s): 233119
Temps écoulé: 1 heure(s), 54 minute(s), 10 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 5

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\program files\ad-remover\quarantine\C\documents and settings\utilisateur\application data\Dealio\dinstallhelper.6bcf639254fa4abebdc336564c34c51c.dll.vir (PUP.Dealio.TB) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\Dealio\dealioau.exe.vir (PUP.Dealio.TB) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\Dealio\kb127\dealio deskbar.exe.vir (PUP.Dealio.TB) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\Dealio\kb127\dealio.dll.vir (PUP.Dealio.TB) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\Dealio\kb127\dealiores409.dll.vir (PUP.Dealio.TB) -> Quarantined and deleted successfully.

g3n-h@ckm@n · Answer

hello refais zhpdiag stp :)

baba_o_rhum · Answer

Bonjour,

voici le scan Zhpdiag

 https://pjjoint.malekal.com/files.php?id=ZHPDiag_20111226_u13d10j14g7l15

Je ne sais pas si c'est lié mais dès que j'ouvre mon dossier Downloads, j'ai des messages d'erreur disant que explorer va fermer (la fenêtre qui propose d'envoyer le rapport à windows)... alors que je n'ai pas ouvert explorer.

g3n-h@ckm@n · Answer

et tu l'envoies ?

baba_o_rhum · Answer

https://pjjoint.malekal.com/files.php?read=ZHPDiag_20111226_u13d10j14g7l15

g3n-h@ckm@n · Answer

?

baba_o_rhum · Answer

Je l'ai mis sur le lien, comme au dessus ?

g3n-h@ckm@n · Answer

ben oui mais t'as pas repondu à ma question

baba_o_rhum · Answer

quelle est la question alors?

g3n-h@ckm@n · Answer

toi :

j'ai des messages d'erreur disant que explorer va fermer (la fenêtre qui propose d'envoyer le rapport à windows).

moi :

et tu l'envoies ?

baba_o_rhum · Answer

c'est le message d'erreur classique quand un programme plante sous windows... Microsoft vous informe que tel programme a planté et va devoir fermer.
Le seul bug c'est que cela n'arrive que quand j'ouvre mon fichier downloads, alors que je n'ai pas ouvert IE. D'ailleurs il est dur à désinstaller.

g3n-h@ckm@n · Answer

tu n'as toujours pas repondu à ma question

baba_o_rhum · Answer

c'est que je ne vois pas où tu veux en venir ;)

Lecture scan ZHPDiag - Page 2

Discussions similaires

Newsletters