Bonjour à tous, Un de mes ordis, apres avoir attrappé le malware GENDARMERIE NATIONALE (résolu) est maintenant infecté par XP ANTIVIRUS 2012, Quelqu'un peut il m'aider? Je voudrai savoir si, en prenant le disque dur infecté, en le plaçant dans un boitier externe, et en le branchant en USB sur mon ordi non infecté, je peux lancer un scan avec MALWAREBITES' ANTIMALWARE ???? cela pourrait il marcher ???? Merci par avance de vos réponses.

XP ANTIVIRUS 2012 [Résolu]

Réponse 1 / 41

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 998
26 déc. 2011 à 10:28

Bonjour,

Ton PC tourne-t-il sous XP, Vista ou Windows 7 ?
Il vaut mieux éviter de brancher ton disque dur infecté dans un PC sain afin de ne pas infecter le second !
Sion, c'est une boucle infernale !

Réponse 2 / 41

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 998
26 déc. 2011 à 15:45

Ok, parfait pour AD-R.
Tu peux supprimer l'exécutable et le rapport.

MBAM est donc bien à jour ?

Lance RogueKiller en mode Scan stp :
https://www.commentcamarche.net/faq/30719-utiliser-roguekiller#mode-1-scan

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 15:55

fait merci
as tu lu les autres rapports ??? ça dit quoi ?

Réponse 3 / 41

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 998
26 déc. 2011 à 21:15

Ok.
Supprime SEAF et son rapport.
Fais bien ceci :
https://forums.commentcamarche.net/forum/affich-23998326-xp-antivirus-2012#25

et ceci :
https://forums.commentcamarche.net/forum/affich-23998326-xp-antivirus-2012#21

Réponse 4 / 41

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 10:53

Bonjour il est sous XP,
Je suis allée sur le sujet posté par DJOHANNE sur le meme probleme, et j'ai fait ce qu'à indiqué g3n-h@ckm@n, j'ai fait préscan.pif (le seul qui se lançait) et j'ai posté le rapport sur malekal.com, en voici le lien : https://pjjoint.malekal.com/files.php?id=20111226_l14r8p9m7e14
je n'y comprends rien de plus :)))
merci pour la suite

Réponse 5 / 41

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 10:57

Nouvelle donnée: apres le préscan j'ai réussi à lancer MALWAREBYTES et c'est en cours là... bonne nouvelle ou pas ?

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 11:23

on dirait meme que le virus a disparu... tout seul ??? juste avec préscan ??? allo allo ???

Réponse 6 / 41

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 998
26 déc. 2011 à 11:50

Je te laisse poster le rapport Malwarebytes' Anti Malware (MBAM) une fois terminé.
Procède à la suppression.

A toute à l'heure.
Le virus est toujours là, pas de miracle. ;-)

Réponse 7 / 41

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 11:58

Voici le rapport de MALWAREBITES :
Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 7622

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

26/12/2011 11:51:33
mbam-log-2011-12-26 (11-51-33).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 296232
Temps écoulé: 46 minute(s), 32 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\Software\Winsudate (Adware.GibMedia) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\.exe\shell\open\command\(default) (Hijack.ExeFile) -> Value: (default) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

J'ai tout supprimé.
Tu dis que le virus n'est pas parti, mais pourquoi n'apparait il plus ??
Explique moi merci

Réponse 8 / 41

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 998
26 déc. 2011 à 12:00

Pre_Scan n'est pas mon outil de Pre_dilection ;-).
Je pense qu'il n'est pas exécuté mais toujours présents (fichiers source, dropper et autres fichiers vérolés).

_______________

Télécharge ZHPDiag sur ton bureau :

= = = = =>>>En cliquant ici <<<= = = = = =

Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions pour l'installer.
N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer ou lance le automatiquement lors de la fin de l'installation.

/!\ L'outil crée 2 icônes ZHPDiag et ZHPFix /!\

Si une fenêtre de licencs SigCheck s'ouvre... accepte, si tu as un parefeu qui demande si SigCheck tente de se connecter à internet, accepte également.

Clique sur le tournevis en haut à droite de ZHPDiag et clique sur "Tous" pour cocher toutes les cases.
Clique sur la loupe pour lancer l'analyse.
Laisse l'outil travailler, il peut être assez long, c'est normal.
Enregistre le rapport (icône de la Disquette) sur ton PC (repère où tu l'as enregistré).
Ferme ZHPDiag en fin d'analyse.

Pour transmettre le rapport clique sur ce lien :
http://www.cijoint.fr/
Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
Sélectionne le fichier ZHPDiag.txt.
Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :
http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt
est ajouté dans la page. Copie ce lien dans ta réponse.

Aide en images pour poster un rapport sur cijoint.

Réponse 9 / 41

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 12:19

ok pour ZHP DIAG; c'est en cours, je te poste tout apres.
Question de curiosité posée par mon ami : comment se fait il que des personnes comme toi passent autant de leur temps à dépanner des gens comme moi sur internet ? est ce ton job ??? une passion ?? une dévotion ??
autre question de moi : pourquoi des logiciels différents, pas préscan mais ZHP DIAG, chacun a un logiciel préféré ?? tu m'expliques aussi ???
MERCI

Réponse 10 / 41

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 13:22

Bonjour

C'est de nouveau moi, je n'ai pas réussi à accéder à http://www.cijoint.fr/

J'ai déposé le rapport sur :

https://pjjoint.malekal.com/files.php?id=ZHPDiag_20111226_j8w10r12o12d13

merci de votre réponse

Réponse 11 / 41

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 998
26 déc. 2011 à 13:56

Première réponse :
Une passion : aucune rémunération, pas de nob, simplement le plaisir de venir en aide aux autres et réparer des PC vérolés !

Deuxième réponse :
Il est plus difficile d'interpréter le rapport de Pre Scan, bien qu'il a été utile pour que je vois quels fichiers infectieux sont présents.
Question de goûts ; je préfère travailler avec ce logiciel. Les logiciels de génération de rapports de diagnostic se valent à peu près.

Concernant le résultat du rapport :
MBAM ne t'a pas tout supprimé !
J'ai l'impression que la base de données virale n'est pas à jour !
Chez moi : Version de la base de données: 911122602

Rends-toi sur l'onglet Mise à jour de MBAM puis > Rechercher des mises à jour.
Obtiens-tu le message suivant ?
"Vous avez la dernière version de la base de données" ou une mise à jour s'applique ?

************

Suppression avec AD-R :

Télécharge AD-R (de C_XX ) sur ton bureau :
= = = =>>> En cliquant ici <<<= = = =

/!\ Déconnecte-toi et ferme toutes applications en cours, désactive ton antivirus le temps de la manipulation/!\

* Exécute AD-R.
* Au menu principal clique sur le bouton "Nettoyer".
* Poste le rapport qui apparaît à la fin.
(Le rapport est sauvegardé aussi sous Ad-Report-CLEAN[1].txt)

Réponse 12 / 41

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 14:09

Merci pour tes réponses :)

MBAM me dit que j'ai la dernière version : 911122602
OK ou AD-R j'y vais :)
a plus

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 14:13

as tu vu le rapport de ZHP DIAG?
merci

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 14:14

je voulais précédemment écrire "OK pour AD-R j'y vais"

Réponse 13 / 41

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 14:20

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (SCAN [1]) -> Lancé à 14:17:02 le 26/12/2011, Mode normal

Microsoft Windows XP Professionnel Service Pack 3 (X86)
Erica@ECO ( )

============== RECHERCHE ==============

Fichier trouvé: C:\Program Files\Mozilla FireFox\Components\AskHPRFF.js

Clé trouvée: HKLM\Software\Winsudate
Clé trouvée: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\PCTuto

============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [8.0.1 (fr)] ****

FIREFOX.EXE\Shell\Open\Command - "C:\Program Files\Mozilla Firefox\Firefox.exe"
Searchplugins\bing.xml ( hxxp://www.bing.com/search)
Components\AskHPRFF.js
Components\browsercomps(2).dll (Mozilla Foundation)
Components\browsercomps.dll (Mozilla Foundation)
Extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}(2) (Default)
Extensions\{B13721C7-F507-4982-B2E5-502A71474FED} (Skype extension for Firefox )

-- C:\Documents and Settings\Erica\Application Data\Mozilla\FireFox\Profiles\1a2187qf.default --
Extensions\{20a82645-c095-46ed-80e3-08825760534b}(2) (Microsoft .NET Framework Assistant)
Prefs.js - browser.download.lastDir, C:\\Documents and Settings\\Erica\\Mes documents
Prefs.js - browser.search.selectedEngine, Bing
Prefs.js - browser.startup.homepage, hxxp://www.google.fr/
Prefs.js - browser.startup.homepage_override.buildID, 20111120135848
Prefs.js - browser.startup.homepage_override.mstone, rv:8.0.1
Prefs.js - keyword.URL, hxxp://www.bing.com/search?mkt=fr-FR&form=MIMWA5&q=

========================================

**** Internet Explorer Version [6.0.2900.5512] ****

HKCU_Main|Default_Search_URL - hxxp://www.google.com/ie
HKCU_Main|Search bar - hxxp://www.google.com/ie
HKCU_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Start Page - hxxp://www.google.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=69157
HKLM_Main|Default_Search_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Search Page - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Start Page - hxxp://go.microsoft.com/fwlink/?LinkId=69157
HKCU_SearchScopes\{4272f7a9-e73d-4629-8f70-d57989a182d3} - "Wibeez" (hxxp://www.wibeez.com/societe?search&q={searchTerms})
HKCU_Toolbar\ShellBrowser|{47833539-D0C5-4125-9FA8-0819E2EAAC93} (C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll)
HKCU_Toolbar\ShellBrowser|{1017A80C-6F09-4548-A84D-EDD6AC9525F0} (C:\Program Files\Lexmark Toolbar\toolband.dll)
HKCU_Toolbar\WebBrowser|{47833539-D0C5-4125-9FA8-0819E2EAAC93} (C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll)
HKCU_Toolbar\WebBrowser|{1017A80C-6F09-4548-A84D-EDD6AC9525F0} (C:\Program Files\Lexmark Toolbar\toolband.dll)
HKLM_Toolbar|{47833539-D0C5-4125-9FA8-0819E2EAAC93} (C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll)
HKLM_Toolbar|{1017A80C-6F09-4548-A84D-EDD6AC9525F0} (C:\Program Files\Lexmark Toolbar\toolband.dll)
HKLM_ElevationPolicy\{E0A900DF-9611-4446-86BD-4B1D47E7DB2A} - C:\Program Files\Google\Chrome\Application\14.0.835.202\chrome_launcher.exe (x)
HKLM_Extensions\{e2e2dd38-d088-4134-82b7-f2ba38496583} - "?" (?)
BHO\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - "AcroIEHlprObj Class" (C:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll)
BHO\{1017A80C-6F09-4548-A84D-EDD6AC9525F0} - "Lexmark Barre d'outils" (C:\Program Files\Lexmark Toolbar\toolband.dll)
BHO\{5C255C8A-E604-49b4-9D64-90988571CECB} (?)
BHO\{6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - "Search Helper" (C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SearchHelper.dll)
BHO\{AE7CD045-E861-484f-8273-0445EE161910} - "AcroIEToolbarHelper Class" (C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll)

========================================

C:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 0 Fichier(s)

C:\Ad-Report-SCAN[1].txt - 26/12/2011 14:17:07 (910 Octet(s))

Fin à: 14:18:48, 26/12/2011

============== E.O.F ==============

Réponse 14 / 41

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 14:45

Désolée c'était le scan, voici le rapport d'ADclean :

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 14:23:16 le 26/12/2011, Mode normal

Microsoft Windows XP Professionnel Service Pack 3 (X86)
Erica@ECO ( )

============== ACTION(S) ==============

Fichier supprimé: C:\Program Files\Mozilla FireFox\Components\AskHPRFF.js

(!) -- Fichiers temporaires supprimés.

Clé supprimée: HKLM\Software\Winsudate
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\PCTuto

============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [8.0.1 (fr)] ****

FIREFOX.EXE\Shell\Open\Command - "C:\Program Files\Mozilla Firefox\Firefox.exe"
Searchplugins\bing.xml ( hxxp://www.bing.com/search)
Components\browsercomps(2).dll (Mozilla Foundation)
Components\browsercomps.dll (Mozilla Foundation)
Extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}(2) (Default)
Extensions\{B13721C7-F507-4982-B2E5-502A71474FED} (Skype extension for Firefox )

-- C:\Documents and Settings\Erica\Application Data\Mozilla\FireFox\Profiles\1a2187qf.default --
Extensions\{20a82645-c095-46ed-80e3-08825760534b}(2) (Microsoft .NET Framework Assistant)
Prefs.js - browser.download.lastDir, C:\\Documents and Settings\\Erica\\Mes documents
Prefs.js - browser.search.selectedEngine, Bing
Prefs.js - browser.startup.homepage, hxxp://www.google.fr/
Prefs.js - browser.startup.homepage_override.buildID, 20111120135848
Prefs.js - browser.startup.homepage_override.mstone, rv:8.0.1
Prefs.js - keyword.URL, hxxp://www.bing.com/search?mkt=fr-FR&form=MIMWA5&q=

========================================

**** Internet Explorer Version [6.0.2900.5512] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_SearchScopes\{4272f7a9-e73d-4629-8f70-d57989a182d3} - "Wibeez" (hxxp://www.wibeez.com/societe?search&q={searchTerms})
HKCU_Toolbar\ShellBrowser|{47833539-D0C5-4125-9FA8-0819E2EAAC93} (C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll)
HKCU_Toolbar\ShellBrowser|{1017A80C-6F09-4548-A84D-EDD6AC9525F0} (C:\Program Files\Lexmark Toolbar\toolband.dll)
HKCU_Toolbar\WebBrowser|{47833539-D0C5-4125-9FA8-0819E2EAAC93} (C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll)
HKCU_Toolbar\WebBrowser|{1017A80C-6F09-4548-A84D-EDD6AC9525F0} (C:\Program Files\Lexmark Toolbar\toolband.dll)
HKLM_Toolbar|{47833539-D0C5-4125-9FA8-0819E2EAAC93} (C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll)
HKLM_Toolbar|{1017A80C-6F09-4548-A84D-EDD6AC9525F0} (C:\Program Files\Lexmark Toolbar\toolband.dll)
HKLM_ElevationPolicy\{E0A900DF-9611-4446-86BD-4B1D47E7DB2A} - C:\Program Files\Google\Chrome\Application\14.0.835.202\chrome_launcher.exe (x)
HKLM_Extensions\{e2e2dd38-d088-4134-82b7-f2ba38496583} - "?" (?)
BHO\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - "AcroIEHlprObj Class" (C:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll)
BHO\{1017A80C-6F09-4548-A84D-EDD6AC9525F0} - "Lexmark Barre d'outils" (C:\Program Files\Lexmark Toolbar\toolband.dll)
BHO\{5C255C8A-E604-49b4-9D64-90988571CECB} (?)
BHO\{6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - "Search Helper" (C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SearchHelper.dll)
BHO\{AE7CD045-E861-484f-8273-0445EE161910} - "AcroIEToolbarHelper Class" (C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll)

========================================

C:\Program Files\Ad-Remover\Quarantine: 1 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 13 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 26/12/2011 14:23:19 (695 Octet(s))
C:\Ad-Report-SCAN[1].txt - 26/12/2011 14:17:07 (4303 Octet(s))

Fin à: 14:27:36, 26/12/2011

============== E.O.F ==============

Réponse 15 / 41

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 15:53

ai supprimé ADREMOVER de c/program file et les rapports.

voici le rapport de ROGUEKILLER (ai tapé la commande 1):

RogueKiller V6.2.0 [12/12/2011] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: Erica [Droits d'admin]
Mode: Recherche -- Date : 26/12/2011 15:49:06

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 2 ¤¤¤
[SUSP PATH] Outil de notification de cadeaux MSN.lnk : C:\Documents and Settings\Erica\Application Data\Microsoft\Outil de notification de cadeaux MSN\msnotif.exe -> FOUND
[HJ] HKLM\[...]\System : ConsentPromptBehaviorAdmin (0) -> FOUND

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [LOADED] ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost
127.0.0.1 www.007guard.com
127.0.0.1 007guard.com
127.0.0.1 008i.com
127.0.0.1 www.008k.com
127.0.0.1 008k.com
127.0.0.1 www.00hq.com
127.0.0.1 00hq.com
127.0.0.1 010402.com
127.0.0.1 www.032439.com
127.0.0.1 032439.com
127.0.0.1 www.0scan.com
127.0.0.1 0scan.com
127.0.0.1 1000gratisproben.com
127.0.0.1 www.1000gratisproben.com
127.0.0.1 1001namen.com
127.0.0.1 www.1001namen.com
127.0.0.1 100888290cs.com
127.0.0.1 www.100888290cs.com
127.0.0.1 www.100sexlinks.com
[...]

¤¤¤ MBR Verif: ¤¤¤
--- User ---
[MBR] a421b0edeac47797a1133217fafa62b0
[BSP] afdd1bab2873b0022266b664acb1f826 : MBR Code unknown
Partition table:
0 - [ACTIVE] NTFS [VISIBLE] Offset (sectors): 63 | Size: 750145 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

Réponse 16 / 41

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 998
26 déc. 2011 à 19:45

Ok.
Cela me semble assez bien.

Comment va le PC à première vue ?
As-tu remarqué des anomalies ?

On en n'a pas pour autant terminé ... Reste avec moi ;-).

Peux-tu juste exécuter ce petit script pour lister ce qui se trouve sur le bureau. Cela créera un fichier nommé CRAPOULOU.txt sur le bureau qu'il faudra m'envoyer.

Clique sur Démarrer >Exécuter.
Tape notepad puis [Entrée].
Le bloc-notes s'ouvre.
Copie-colle ces deux lignes :

cd %USERPROFILE%\Desktop
DIR > CRAPOULOU.TXT

Une fois fait, Clique sur Enregistrer Sous > Sélectionne le bureau.
Nomme ce fichier script.bat
/!\ Dans le champ Type (de fichier), sélectionne Tous les fichiers (*.*)

Exécute script.bat qui est sur ton bureau.

Une fenêtre apparait et se ferme furtivement.
Le fichier CRAPOULOU.txt à m'envoyer est apparu sur le bureau.

************

Télécharge SEAF.exe de C_XX sur ton bureau :
= = = = =>>> En cliquant ici <<<= = = = =

* Double clique sur SEAF.exe que tu viens de télécharger.
* Une fenêtre va s'ouvrir.
* Copie-colle ceci dans la barre de recherche blanche winlogon.exe
* Ne coche pas sur la droite : "Chercher également dans le registre"
* Coche en bas "Afficher les ADS" et "Informations supplémentaires".
* Clique ensuite sur "Lancer la recherche".
* Patiente pendant la recherche.
* Une fenêtre avec un rapport au format ".txt" va s'afficher.
* Copie/colle ce rapport dans ta prochaine réponse.

Merci.

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 20:59

au fait, si tu te poses la question sur le winlogon qui se trouve sur mon bureau, il s'agit d'un programme que j'avais renommé pour essayer de l'ouvrir alors que le virus le bloquait. mais je ne me souviens plus son nom de départ. j'avais trouvé ça sur un forum...

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 998
26 déc. 2011 à 21:00

Arf, ok.
Merci de prévenir.
Pas besoin de faire tout ça alors.
Il est bien supprimé maintenant ?
Bien vu ;-)

Réponse 17 / 41

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 20:56

bonsoir Crapoulou et merci de ta patience :)

Oui une anomalie avec outlook ou plus précisément word. Quand je veux répondre à un message il y a un message d'erreur (j'ai fait une impression écran je peux te l'envoyer si tu veux) qui dit "impossible de demarrer Microsoft Office Word mail. fermez toutes les boites de dialogue ouvertes dans word et reessayez" (aucune boite de diag ouvertes) et quand je clique sur le "ok" ça m'ouvre une autre fenetre de microsoft office word qui dit "le modele de complement non valide; (c:program files\...\XXFMazker.dot) les XX remplacent 2 symboles comme un s et un autre s barré que je ne sais pas reecrire).
mais sinon, j'ai redémarré tout à l'heure et j'ai pu envoyer un mail. là ça vient de le refaire après redémarrage. mais j'ai eu souvent avant les 2 chevaux de troie recemment attrapés, un message quand je ferme word qui dit que le "normal.dot" a changé etc etc
voilà
bon je fais ce que tu m'as indiqué et je t'envoie le rapport.

Réponse 18 / 41

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 998
26 déc. 2011 à 20:59

Fais moi des screenshots de ces anomalies et éventuellement des chevaux de troie détectés.

Tu peux les envoyer sur le site cijoint.fr et me transmettre les URL pour que j'aille voir.

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 21:39

je n'arrive pas à aller sur site cijoint.fr

Réponse 19 / 41

PAPRIKA35 Messages postés 51 Date d'inscription lundi 26 décembre 2011 Statut Membre Dernière intervention 19 juillet 2012
26 déc. 2011 à 21:03

Le volume dans le lecteur C n'a pas de nom.
Le num'ro de s'rie du volume est E898-29D1

R'pertoire de C:\Documents and Settings\Erica\Bureau

26/12/2011 21:02 <REP> .
26/12/2011 21:02 <REP> ..
29/10/2011 10:26 16ÿ761 a imprimer compta.pdf
26/12/2011 21:02 0 CRAPOULOU.TXT
20/12/2011 11:03 11ÿ594 FACTURE POSTE REEXPEDITION.pdf
26/12/2011 10:44 675 Internet Explorer.lnk
28/09/2009 14:34 1ÿ753 Messenger.lnk
26/12/2011 10:35 6ÿ427ÿ143 Pre_scan.exe
26/12/2011 10:36 6ÿ427ÿ143 Pre_Scan.pif
26/12/2011 10:44 270ÿ452 Pre_Scan_26_12_2011_10_39_08.txt
22/12/2011 21:50 1ÿ570 Raccourci vers COMPTES PRO 2011.lnk
20/12/2011 11:02 11ÿ663 reexpedition courrier.pdf
26/12/2011 15:48 1ÿ817 RKreport[1].txt
26/12/2011 15:49 1ÿ678 RKreport[2].txt
26/12/2011 15:48 <REP> RK_Quarantine
26/12/2011 15:47 771ÿ072 RogueKiller.exe
26/12/2011 21:02 46 script.bat
27/10/2009 19:39 1ÿ609 TRAVAIL.lnk
25/12/2011 16:00 9ÿ852ÿ544 winlogon.exe.exe
26/12/2011 12:07 14ÿ823ÿ917 ZHP 2.53.exe
26/12/2011 12:42 230ÿ903 ZHPDiag.txt
18 fichier(s) 38ÿ852ÿ340 octets
3 R'p(s) 613ÿ708ÿ218ÿ368 octets libres

Réponse 20 / 41

crapoulou Messages postés 28160 Date d'inscription mercredi 28 novembre 2007 Statut Modérateur, Contributeur sécurité Dernière intervention 21 mai 2024 7 998
26 déc. 2011 à 21:05

Tu peux supprimer ceci :
- ZHP 2.53.exe
- winlogon.exe.exe
- RKreport[1].txt
- RKreport[2].txt
- ZHPDiag.txt
- RogueKiller
- script.bat
- CRAPOULOU.txt
- Pre_scan.exe
- Pre_Scan.pif
- Pre_Scan_26_12_2011_10_39_08.txt

XP ANTIVIRUS 2012

41 réponses

Discussions similaires