infection par Win32/ainslot.a

Question

Bonjour, 

je viens d'acheter un nouveau PC et MSE m'informe sans arret de ce virus "win32/aislot.a".
Je n'arrive pas a m'en debarasser et etant novice dans la manipulation de PC, je ne sais quoi faire.

Pouvez vous m'aider?

Merci

MasterOne · Answer

installe Microsoft Security essentials gratuit et en francais
il est tres puissant
https://support.microsoft.com/en-us/windows/what-is-microsoft-security-essentials-c25ad47a-7d15-8072-1438-b07dffcbbb20

cabrier · Answer

Bonjour,

Je vais t'aider à résoudre ton problème. 

Quelques précisions :
- N'ouvre pas d'autre sujet sur ce forum ou sur un autre sur la même affaire. 
- La désinfection ne sera terminée que lorsque je te le dirai même s'il te semble que ta machine est "clean" sinon il te faudra sûrement tout recommencer.
- Tu auras des rapports à me transmettre par l'intermédiaire d'un dépôt de fichier, note la procédure à suivre, je ne te la rappellerai pas ultérieurement et ne colle pas tes rapports directement dans ta réponse par copier/coller (sauf s'ils sont très courts!)
Dépôt de fichiers :
- Pour me transmettre les rapports que tu obtiendras à la suite du passage d'outils tu cliqueras sur un de ces liens : 
cijoint ou  pjoint
- Tu cliqueras ensuite sur Parcourir et chercheras le fichier du rapport, je t'indiquerai ou il est.
- Tu cliqueras sur Ouvrir puis sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme:  https://www.cjoint.com/index.php?file=cjge368/cijSKAP5fU.txt 
sera ajouté dans la page. 
- C'est ce lien que tu auras à me transmettre et uniquement cela.


Commence par utiliser ce logiciel de diagnostic :
Celui-ci est plus complet que Hijackthis.

- Télécharge ZHPDiag (de Nicolas Coolman)
- Lance le (si tu es sous Windows Vista ou Windows 7, fais le par un clic-droit --> Exécuter en temps qu'administrateur)
- Laisse toi guider lors de l'installation (pense à cocher la case pour créer un raccourci sur le Bureau)
- Il se lancera automatiquement à la fin de l'installation
- Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
- Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
- Rends toi sur ce site, clique sur "Parcourir", sélectionne le rapport de ZHPDiag et clique sur Envoyer le fichier. Patiente pendant l'envoi du fichier, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

A+

Phil11 · Answer

merci de ton aide!

voila le lien de mon rapport

http://pjjoint.malekal.com/files.php?id=ZHPDiag_20120115_n9f11n8d6d9

cabrier · Answer

Phil,

Tu es infecté notamment par un cheval de Troie, FakeAlert.
Celui ci peut se transmettre par disque amovible;

Donc on va commencer par nettoyer et vacciner tes disques.

¶ Télécharge USBFix (de El desaparecido et C_XX) sur ton Bureau
¶ Branche tes sources de données externes à ton PC (clé USB, disque dur externe, lecteur mp3 etc...) sans les ouvrir
¶ Fais un clic droit sur le programme USBFix et choisis 'Exécuter en tant qu'administrateur'.
¶ Au menu principal, clique sur "Suppression"
¶ Ton Bureau va disparaitre, puis l'ordinateur va redémarrer : c'est normal
¶ Laisse travailler l'outil jusqu'au bout
¶ A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse.

@+

cabrier · Answer

Phil,

Dès que USBFix aura terminé.

Change d'urgence tous tes mots de passe (adresse mail, comptes bancaires ....etc)
Ceux-ci ont surement déjà été transmis.

Puis pour y voir un peu plus clair sur ton PC, car il est assez chargé.

Utilise cet outil de désinfection spécifique aux logiciels publicitaires : 

* Télécharge AdwCleaner (de Xplode) sur ton Bureau.
* Lance le, clique sur Suppression puis patiente le temps du scan.
* Une fois le scan terminé, un rapport s'ouvrira : poste le dans ta prochaine réponse.

@+ pour tes rapports

Phil11 · Answer

voici le rapport adwcleaner 

Clé Supprimée : HKLM\SOFTWARE\Classes\GenericAskToolbar.ToolbarWnd.1 
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\GenericAskToolbar.DLL 
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874} 
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC} 
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440} 
Clé Supprimée : HKLM\SOFTWARE\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF 
Clé Supprimée : HKLM\SOFTWARE\Classes\Installer\Features\A28B4D68DEBAA244EB686953B7074FEF 
Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\DE28F4A4FFE5B92FA3C503D1A349A7F9962A8212 
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456} 
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92} 
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E} 
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56} 
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E} 
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440} 
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{8856F961-340A-11D0-A96B-00C04FD705A2} 
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440} 
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A} 
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A} 
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440} 
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE} 
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{00000000-6E41-4FD3-8538-502F5495E5FC}] 
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{D4027C7F-154A-4066-A1AD-4243D8127440}] 

***** [Registre (x64)] ***** 

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\A28B4D68DEBAA244EB686953B7074FEF 
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456} 
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92} 
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E} 

***** [Navigateurs] ***** 

-\ Internet Explorer v9.0.8112.16421 

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Main - Start Page] = hxxp://fr.ask.com/?l=dis&o=101920 --> hxxp://www.google.fr 

-\ Google Chrome v16.0.912.75 

Fichier : C:\Users\COLIBRI\AppData\Local\Google\Chrome\User Data\Default\Preferences 

[OK] Le fichier ne contient aucune entrée illégitime. 

************************* 

AdwCleaner[S1].txt - [3868 octets] - [15/01/2012 09:03:34] 

************************* 

Dossier Temporaire : 9 dossier(s) et 13 fichier(s) supprimés 

########## EOF - C:\AdwCleaner[S1].txt - [4089 octets] ##########

cabrier · Answer

OK mais j'attends celui de USBFix qui est le + important.

@+

Phil11 · Answer

voila le rapport usbfix

http://pjjoint.malekal.com/files.php?id=20120115_l1110v5i14w6

Phil11 · Answer

j'espere que le lien foctionne, j'aarive a envoyer le rapport que sous cette forme!

désolé!

cabrier · Answer

Oui ok, c'est très bien. USBFix a bien fonctionné.

Vérifions tout cela.

Refais moi un ZHPDiag.

@+

Phil11 · Answer

revoici un diag ZHPdiag

	http://cjoint.com/?BApjFfp0CrA

@+

cabrier · Answer

Ce script va cibler certains éléments à supprimer : 

* Copie tout le texte ci-dessous (en gras et italique) tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C 
Ce script va cibler certains éléments à supprimer : 

* Copie tout le texte ci-dessous (en gras et italique) tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C 

O4 - HKCU\..\Run: [wlcomm] . (...) -- C:\Users\COLIBRI\AppData\Roaming\A binder.exe 
O4 - HKUS\S-1-5-21-2518125825-1012158500-1467695820-1003-2518125825-1012158500-1467695820-1000\..\Run: [wlcomm] . (...) -- C:\Users\COLIBRI\AppData\Roaming\A binder.exe 
EmptyTemp 
EmptyFlash 
FirewallRAZ 


* Double-clic droit sur le raccourci portant le nom "ZHPFix" (sur ton bureau). 
/ !\Clic droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »/ !\  
* Clique sur le H "coller les lignes Helper", les lignes copiées vont automatiquement se coller dans la fenêtre. Si ce n'est pas le cas fais un CTRL+V. 
* Vérifie que toutes les lignes que je t''ai demandé de copier (et seulement elles) sont dans la fenêtre.  
* Clique sur le bouton «GO » pour lancer le nettoyage  
* Le rapport s'ouvre automatiquement après l'exécution du script. Il se trouve aussi sous C:\ZHP\ZHPPFixReport.txt 
* Transmets-moi le lien du fichier comme indiqué en préambule "Dépôt de fichier" 
*Rappel des dépôts : cijoint ou pjjoint 

@+ 
Heureux ceux qui peuvent donner sans s'en souvenir et prendre sans oublier !

Phil11 · Answer

voila le rapport demandé

http://cjoint.com/?BApj6agUS5d

@+

cabrier · Answer

Bien voila qui est bien, mais zut j'avais oublié de te faire désactiver et même désinstaller spybot.
Spybot et notamment son résident peut gêner les outils de désinfection.

Voila pour désinstaller :

1/. Désactiver Tea Timer si activé : 
[*]Lancer Spybot 
[*]Cliquer sur Mode, puis cocher Mode avancé 
[*]Cliquer sur Outils puis sur Résident 
[*]Décocher la case Résident "Tea Timer" 

2/. Retirer la vaccination de Spybot : 
[*] Ferme tes navigateurs. 
[*]Lance Spybot S&D, et va à l'onglet "vaccination" : clique sur "Vaccination" dans la colonne sur la gauche : 
[*]Clique sur le bouton annuler (la flèche bleue qui part vers la gauche) pour annuler la vaccination. 
[*]Confirme si demandé. 
[*]Ferme Spybot.

3/. Désinstaller Spybot par le panneau de configuration

---------------------------------

Maintenant utilise ce logiciel de désinfection généraliste :
Attention le scan peut être très long ! (1/2 heures, peut être)

Télécharge Malwaresbytes anti malware ici
MBAM
Bouton »Download free version »
* Installe le (choisis bien "français" ; ne modifie pas les paramètres d'installe ) et mets le à jour .
(NB : S'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : https://www.malekal.com/tutorial-aboutbuster/
* Potasse le tuto pour te familiariser avec le prg :
https://forum.pcastuces.com/sujet.asp?f=31&s=3
(cela dis, il est très simple d'utilisation).
relance Malwaresbytes en suivant scrupuleusement ces consignes :
! Déconnecte toi et ferme toutes applications en cours !
* Lance Malwarebyte's. Sous Vista et Seven (clic droit de la souris « exécuter en tant que administrateur »)
*Procèdes à une mise à jour
*Fais un examen dit "Complet"
--> Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
--> à la fin tu cliques sur "Afficher les résultats" " .
--> Vérifie que tous les objets infectés soient validés, puis clique sur " supprimer la sélection " .

Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwaresbytes, le dernier en date)

@+

Phil11 · Answer

voila le rapport apres malware  


Malwarebytes Anti-Malware 1.60.0.1800
www.malwarebytes.org

Version de la base de données: v2012.01.15.02

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
COLIBRI :: COLIBRI-HP [administrateur]

15/01/2012 18:23:12
mbam-log-2012-01-15 (18-23-12).txt

Type d'examen: Examen complet
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 296603
Temps écoulé: 17 minute(s), 2 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 1
HKCU\Software\VB and VBA Program Settings\SrvID (Malware.Trace) -> Mis en quarantaine et supprimé avec succès.

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 4
C:\UsbFix\Quarantine\C\Users\COLIBRI\AppData\Roaming\winlogon.exe.vir (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.
C:\Users\COLIBRI\AppData\Roaming\hyself.exe (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.
C:\Users\COLIBRI\AppData\Roaming\winlogon.exe (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.
C:\Users\COLIBRI\AppData\Roaming\data.dat (Stolen.Data) -> Mis en quarantaine et supprimé avec succès.

(fin)

désolé du retard!

cabrier · Answer

Vu,

As-tu désinstallé Spybot ?

Si désinstallé Refais moi un ZHPDiag pour vérification.

@+

Infection par Win32/ainslot.a

16 réponses

Votre réponse

Discussions similaires

Newsletters