Infection par Win32/ainslot.a

installe Microsoft Security essentials gratuit et en francais
il est tres puissant
https://support.microsoft.com/en-us/windows/what-is-microsoft-security-essentials-c25ad47a-7d15-8072-1438-b07dffcbbb20

Bonjour,

Je vais t'aider à résoudre ton problème.

Quelques précisions :
- N'ouvre pas d'autre sujet sur ce forum ou sur un autre sur la même affaire.
- La désinfection ne sera terminée que lorsque je te le dirai même s'il te semble que ta machine est "clean" sinon il te faudra sûrement tout recommencer.
- Tu auras des rapports à me transmettre par l'intermédiaire d'un dépôt de fichier, note la procédure à suivre, je ne te la rappellerai pas ultérieurement et ne colle pas tes rapports directement dans ta réponse par copier/coller (sauf s'ils sont très courts!)
Dépôt de fichiers :
- Pour me transmettre les rapports que tu obtiendras à la suite du passage d'outils tu cliqueras sur un de ces liens :
cijoint ou pjoint
- Tu cliqueras ensuite sur Parcourir et chercheras le fichier du rapport, je t'indiquerai ou il est.
- Tu cliqueras sur Ouvrir puis sur "Cliquez ici pour déposer le fichier".
Un lien de cette forme: https://www.cjoint.com/index.php?file=cjge368/cijSKAP5fU.txt
sera ajouté dans la page.
- C'est ce lien que tu auras à me transmettre et uniquement cela.

Commence par utiliser ce logiciel de diagnostic :
Celui-ci est plus complet que Hijackthis.

- Télécharge ZHPDiag (de Nicolas Coolman)
- Lance le (si tu es sous Windows Vista ou Windows 7, fais le par un clic-droit --> Exécuter en temps qu'administrateur)
- Laisse toi guider lors de l'installation (pense à cocher la case pour créer un raccourci sur le Bureau)
- Il se lancera automatiquement à la fin de l'installation
- Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
- Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
- Rends toi sur ce site, clique sur "Parcourir", sélectionne le rapport de ZHPDiag et clique sur Envoyer le fichier. Patiente pendant l'envoi du fichier, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

A+

merci de ton aide!

voila le lien de mon rapport

http://pjjoint.malekal.com/files.php?id=ZHPDiag_20120115_n9f11n8d6d9

Phil,

Tu es infecté notamment par un cheval de Troie, FakeAlert.
Celui ci peut se transmettre par disque amovible;

Donc on va commencer par nettoyer et vacciner tes disques.

¶ Télécharge USBFix (de El desaparecido et C_XX) sur ton Bureau
¶ Branche tes sources de données externes à ton PC (clé USB, disque dur externe, lecteur mp3 etc...) sans les ouvrir
¶ Fais un clic droit sur le programme USBFix et choisis 'Exécuter en tant qu'administrateur'.
¶ Au menu principal, clique sur "Suppression"
¶ Ton Bureau va disparaitre, puis l'ordinateur va redémarrer : c'est normal
¶ Laisse travailler l'outil jusqu'au bout
¶ A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse.

@+

Phil,

Dès que USBFix aura terminé.

Change d'urgence tous tes mots de passe (adresse mail, comptes bancaires ....etc)
Ceux-ci ont surement déjà été transmis.

Puis pour y voir un peu plus clair sur ton PC, car il est assez chargé.

Utilise cet outil de désinfection spécifique aux logiciels publicitaires :

* Télécharge AdwCleaner (de Xplode) sur ton Bureau.
* Lance le, clique sur Suppression puis patiente le temps du scan.
* Une fois le scan terminé, un rapport s'ouvrira : poste le dans ta prochaine réponse.

@+ pour tes rapports

voici le rapport adwcleaner

Clé Supprimée : HKLM\SOFTWARE\Classes\GenericAskToolbar.ToolbarWnd.1
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\GenericAskToolbar.DLL
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé Supprimée : HKLM\SOFTWARE\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé Supprimée : HKLM\SOFTWARE\Classes\Installer\Features\A28B4D68DEBAA244EB686953B7074FEF
Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\DE28F4A4FFE5B92FA3C503D1A349A7F9962A8212
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{8856F961-340A-11D0-A96B-00C04FD705A2}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{00000000-6E41-4FD3-8538-502F5495E5FC}]
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{D4027C7F-154A-4066-A1AD-4243D8127440}]

***** [Registre (x64)] *****

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}

***** [Navigateurs] *****

-\\ Internet Explorer v9.0.8112.16421

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Main - Start Page] = hxxp://fr.ask.com/?l=dis&o=101920 --> hxxp://www.google.fr

-\\ Google Chrome v16.0.912.75

Fichier : C:\Users\COLIBRI\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [3868 octets] - [15/01/2012 09:03:34]

*************************

Dossier Temporaire : 9 dossier(s) et 13 fichier(s) supprimés

########## EOF - C:\AdwCleaner[S1].txt - [4089 octets] ##########

OK mais j'attends celui de USBFix qui est le + important.

@+

voila le rapport usbfix

http://pjjoint.malekal.com/files.php?id=20120115_l1110v5i14w6

j'espere que le lien foctionne, j'aarive a envoyer le rapport que sous cette forme!

désolé!

Oui ok, c'est très bien. USBFix a bien fonctionné.

Vérifions tout cela.

Refais moi un ZHPDiag.

@+

revoici un diag ZHPdiag

http://cjoint.com/?BApjFfp0CrA

@+

Ce script va cibler certains éléments à supprimer :

* Copie tout le texte ci-dessous (en gras et italique) tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C
Ce script va cibler certains éléments à supprimer :

* Copie tout le texte ci-dessous (en gras et italique) tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C

O4 - HKCU\..\Run: [wlcomm] . (...) -- C:\Users\COLIBRI\AppData\Roaming\A binder.exe
O4 - HKUS\S-1-5-21-2518125825-1012158500-1467695820-1003-2518125825-1012158500-1467695820-1000\..\Run: [wlcomm] . (...) -- C:\Users\COLIBRI\AppData\Roaming\A binder.exe
EmptyTemp
EmptyFlash
FirewallRAZ

* Double-clic droit sur le raccourci portant le nom "ZHPFix" (sur ton bureau).
/ !\Clic droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »/ !\
* Clique sur le H "coller les lignes Helper", les lignes copiées vont automatiquement se coller dans la fenêtre. Si ce n'est pas le cas fais un CTRL+V.
* Vérifie que toutes les lignes que je t''ai demandé de copier (et seulement elles) sont dans la fenêtre.
* Clique sur le bouton «GO » pour lancer le nettoyage
* Le rapport s'ouvre automatiquement après l'exécution du script. Il se trouve aussi sous C:\ZHP\ZHPPFixReport.txt
* Transmets-moi le lien du fichier comme indiqué en préambule "Dépôt de fichier"
*Rappel des dépôts : cijoint ou pjjoint

@+
Heureux ceux qui peuvent donner sans s'en souvenir et prendre sans oublier !

voila le rapport demandé

http://cjoint.com/?BApj6agUS5d

@+

Bien voila qui est bien, mais zut j'avais oublié de te faire désactiver et même désinstaller spybot.
Spybot et notamment son résident peut gêner les outils de désinfection.

Voila pour désinstaller :

1/. Désactiver Tea Timer si activé :
[*]Lancer Spybot
[*]Cliquer sur Mode, puis cocher Mode avancé
[*]Cliquer sur Outils puis sur Résident
[*]Décocher la case Résident "Tea Timer"

2/. Retirer la vaccination de Spybot :
[*] Ferme tes navigateurs.
[*]Lance Spybot S&D, et va à l'onglet "vaccination" : clique sur "Vaccination" dans la colonne sur la gauche :
[*]Clique sur le bouton annuler (la flèche bleue qui part vers la gauche) pour annuler la vaccination.
[*]Confirme si demandé.
[*]Ferme Spybot.

3/. Désinstaller Spybot par le panneau de configuration

---------------------------------

Maintenant utilise ce logiciel de désinfection généraliste :
Attention le scan peut être très long ! (1/2 heures, peut être)

Télécharge Malwaresbytes anti malware ici
MBAM
Bouton »Download free version »
* Installe le (choisis bien "français" ; ne modifie pas les paramètres d'installe ) et mets le à jour .
(NB : S'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : https://www.malekal.com/tutorial-aboutbuster/
* Potasse le tuto pour te familiariser avec le prg :
https://forum.pcastuces.com/sujet.asp?f=31&s=3
(cela dis, il est très simple d'utilisation).
relance Malwaresbytes en suivant scrupuleusement ces consignes :
! Déconnecte toi et ferme toutes applications en cours !
* Lance Malwarebyte's. Sous Vista et Seven (clic droit de la souris « exécuter en tant que administrateur »)
*Procèdes à une mise à jour
*Fais un examen dit "Complet"
--> Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
--> à la fin tu cliques sur "Afficher les résultats" " .
--> Vérifie que tous les objets infectés soient validés, puis clique sur " supprimer la sélection " .

Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwaresbytes, le dernier en date)

@+

voila le rapport apres malware

Malwarebytes Anti-Malware 1.60.0.1800
www.malwarebytes.org

Version de la base de données: v2012.01.15.02

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
COLIBRI :: COLIBRI-HP [administrateur]

15/01/2012 18:23:12
mbam-log-2012-01-15 (18-23-12).txt

Type d'examen: Examen complet
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 296603
Temps écoulé: 17 minute(s), 2 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 1
HKCU\Software\VB and VBA Program Settings\SrvID (Malware.Trace) -> Mis en quarantaine et supprimé avec succès.

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 4
C:\UsbFix\Quarantine\C\Users\COLIBRI\AppData\Roaming\winlogon.exe.vir (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.
C:\Users\COLIBRI\AppData\Roaming\hyself.exe (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.
C:\Users\COLIBRI\AppData\Roaming\winlogon.exe (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.
C:\Users\COLIBRI\AppData\Roaming\data.dat (Stolen.Data) -> Mis en quarantaine et supprimé avec succès.

(fin)

désolé du retard!

Vu,

As-tu désinstallé Spybot ?

Si désinstallé Refais moi un ZHPDiag pour vérification.

@+