Sujet Précédent Sujet Suivant

Virus, RogueFakeAlert

Fermé
germaine147 - 11 févr. 2012 à 15:38
 germaine147 - 11 févr. 2012 à 23:37
Bonjour,
Jeudi soir j'ai du chopé un virus qui m'a viré tous mes icones de mon bureau (ainsi que mon fond d'écran et toutes mes images)
J'ai lancé un scan par Avira, il n'a rien détecté.
J'ai essayé de restaurer une de mes sauvegardes, mais apparemment mes fichiers sot toujours là.

J'ai fini par lancé un examen de Malwarebytes, je colle le rapport, Merci pour toute l'aide que vous pourriez m'apporter :

Malwarebytes Anti-Malware (Essai) 1.60.1.1000
www.malwarebytes.org

Version de la base de données: v2012.02.11.03

Windows Vista Service Pack 2 x86 NTFS
Internet Explorer 9.0.8112.16421
Aline :: PC-DE-ALINE [administrateur]

Protection: Activé

11/02/2012 12:17:18
mbam-log-2012-02-11 (15-25-09).txt

Type d'examen: Examen complet
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 373145
Temps écoulé: 3 heure(s), 7 minute(s), 9 seconde(s)

Processus mémoire détecté(s): 2
C:\ProgramData\nOutSSdAWyv.exe (Rogue.FakeHDD) -> 3212 -> Aucune action effectuée.
C:\ProgramData\RzesSkmV8w1UKv.exe (Rogue.FakeAlert) -> 2016 -> Aucune action effectuée.

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 1
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|nOutSSdAWyv.exe (Rogue.FakeHDD) -> Données: C:\ProgramData\nOutSSdAWyv.exe -> Aucune action effectuée.

Elément(s) de données du Registre détecté(s): 2
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowMyComputer (PUM.Hijack.StartMenu) -> Mauvais: (0) Bon: (1) -> Aucune action effectuée.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowSearch (PUM.Hijack.StartMenu) -> Mauvais: (0) Bon: (1) -> Aucune action effectuée.

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 5
C:\ProgramData\nOutSSdAWyv.exe (Rogue.FakeHDD) -> Aucune action effectuée.
C:\ProgramData\RzesSkmV8w1UKv.exe (Rogue.FakeAlert) -> Aucune action effectuée.
C:\Users\Aline\AppData\Local\Temp\xnemsoarcw.exe (Rootkit.0Access) -> Aucune action effectuée.
C:\Users\Aline\AppData\Local\Temp\1TzjXY6T3rWasv.exe.tmp (Rogue.FakeHDD) -> Aucune action effectuée.
C:\Users\Aline\AppData\Local\Temp\msimg32.dll (Rootkit.0Access) -> Aucune action effectuée.

(fin)

Dans le bilan : 10 éléments détectés : RogueFakeAlert RogueFakeHDD


A voir également:

18 réponses

Réponse 1 / 18
kalimusic Messages postés 14014 Date d'inscription samedi 7 novembre 2009 Statut Contributeur sécurité Dernière intervention 20 novembre 2015 3 027
11 févr. 2012 à 15:51
Bonjour,

● Télécharge sur le bureau RogueKiller
● Ferme toutes tes applications en cours
● Lance RogueKiller.exe
Si l'infection bloque le programme, il faut le relancer plusieurs fois ou le renommer en winlogon.exe
● Laisse le prescan se terminer, clique sur Scan
● Clique sur Rapport pour l'ouvrir puis copie/colle le sur le dans ton prochain message.

A +
1
Réponse 2 / 18
germaine147
11 févr. 2012 à 16:01
Merci,

voici le rapport :

RogueKiller V7.0.4 [08/02/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur: Aline [Droits d'admin]
Mode: Recherche -- Date : 11/02/2012 15:58:26

¤¤¤ Processus malicieux: 2 ¤¤¤
[WINDOW : System Check] RzesSkmV8w1UKv.exe -- C:\ProgramData\RzesSkmV8w1UKv.exe -> KILLED [TermProc]
[SUSP PATH] nOutSSdAWyv.exe -- C:\ProgramData\nOutSSdAWyv.exe -> KILLED [TermProc]

¤¤¤ Entrees de registre: 19 ¤¤¤
[SUSP PATH] HKLM\[...]\Run : nOutSSdAWyv.exe (C:\ProgramData\nOutSSdAWyv.exe) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowMyComputer (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowSearch (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowMyDocs (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowRecentDocs (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowUser (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowMyPics (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowMyGames (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowMyMusic (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowControlPanel (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowHelp (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowPrinters (0) -> FOUND
[HJ] HKCU\[...]\Advanced : Start_ShowSetProgramAccessAndDefaults (0) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKCU\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND
[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND
[HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> FOUND
[HJ] HKCU\[...]\NewStartPanel : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> FOUND

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [CHARGE] ¤¤¤

¤¤¤ Infection : Rogue.FakeHDD ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost


¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: ST9250827AS +++++
--- User ---
[MBR] e9e09cb18c1252cb860f87b2d81673c5
[BSP] 8c2083b53925e52ac51d38f1d123b8ed : Windows Vista MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 63 | Size: 8197 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 16787925 | Size: 230276 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[1].txt >>
RKreport[1].txt
0
Réponse 3 / 18
kalimusic Messages postés 14014 Date d'inscription samedi 7 novembre 2009 Statut Contributeur sécurité Dernière intervention 20 novembre 2015 3 027
11 févr. 2012 à 16:13
re,

Relance RogueKiller.exe

● Clique sur Suppression
● Clique sur Racc. RAZ
● Poste les rapports dans ton prochain message

Dis moi si tu as retrouvé des documents et ton bureau.

A +
0
Réponse 4 / 18
germaine147
11 févr. 2012 à 17:30
merci, les icones sont revenus sur le bureau, mais pas mes images.

Voici le rapport :
RogueKiller V7.0.4 [08/02/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur: Aline [Droits d'admin]
Mode: Raccourcis RAZ -- Date : 11/02/2012 17:25:25

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Driver: [CHARGE] ¤¤¤

¤¤¤ Attributs de fichiers restaures: ¤¤¤
Bureau: Success 2118 / Fail 0
Lancement rapide: Success 11 / Fail 0
Programmes: Success 12721 / Fail 0
Menu demarrer: Success 68 / Fail 0
Dossier utilisateur: Success 25891 / Fail 0
Mes documents: Success 3749 / Fail 0
Mes favoris: Success 59 / Fail 0
Mes images: Success 2696 / Fail 0
Ma musique: Success 3477 / Fail 0
Mes videos: Success 247 / Fail 0
Disques locaux: Success 1880 / Fail 0
Sauvegarde: [FOUND] Success 15 / Fail 1

Lecteurs:
[C:] \Device\HarddiskVolume2 -- 0x3 --> Restored
[D:] \Device\CdRom0 -- 0x5 --> Skipped

¤¤¤ Infection : Rogue.FakeHDD ¤¤¤

Termine : << RKreport[4].txt >>
RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt


et Malwarebytes m'affiche une fenetre avec : C:\PROGRAMDATA\NOUTSSDAWYV.EXE
ROGUE.FAKEHDD
j'ai mis en quarantaine


Je sais que ce n'est pas fini, mais merci pour ton aide !
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 18
kalimusic Messages postés 14014 Date d'inscription samedi 7 novembre 2009 Statut Contributeur sécurité Dernière intervention 20 novembre 2015 3 027
11 févr. 2012 à 17:54
RogueKiller semble avoir remis tes images : Mes images: Success 2696 / Fail 0
Elle étaient situées où ?

Non, effectivement si ce n'est pas fini, tu es infecté par le rootkit zaccess mais je voudrais que tu récupères tes documents avant pour les sauvegarder.

A +
0
Réponse 6 / 18
germaine147
11 févr. 2012 à 18:12
en effet en cherchant mieux, j'ai trouvé mes images, j'ai tous mes docs.

Donc ensuite ?
0
Réponse 7 / 18
kalimusic Messages postés 14014 Date d'inscription samedi 7 novembre 2009 Statut Contributeur sécurité Dernière intervention 20 novembre 2015 3 027
11 févr. 2012 à 18:29
ok,

== == == == == == == == == == == == == == == == == == == == == ==

Sauvegarde tes documents les plus importants.

== == == == == == == == == == == == == == == == == == == == == ==

Télécharge ComboFix de sUBs sur ton bureau (et nulle part ailleurs ! )

!! Ferme toutes tes applications en cours et désactive les protections résidentes de ton PC (Antivirus, Antispywares, Firewall, etc...) !!

Regarde attentivement ce tutoriel pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Si besoin, imprime ce dont tu auras besoin, car ensuite toutes les fenêtres doivent être fermés.

● Lance ComboFix
● Accepte la licence d'utilisation et laisse toi guider par le programme.
● Accepte d'installer la console de récupération si tu es sous XP
● Autorise ComboFix a se connecter à internet pour les mises à jour si besoin.
● Il est possible que l'outil est besoin de redémarrer l'ordinateur.

!! Surtout ne rien faire et ne rien toucher pendant le travail de l'outil !!
(risque de plantage complet de l'ordinateur)

● A la fin ComboFix indique l'emplacement du rapport et l'ouvre spontanément.
● Héberge le rapport et donne moi le lien.

!! Réactive les protections résidentes de ton PC !!

Note : Le rapport se trouve normalement à la racine du disque: C:\ComboFix.txt

A +
0
Réponse 8 / 18
germaine147
11 févr. 2012 à 20:10
Voici le rapport de Combofix

ComboFix 12-02-11.02 - Aline 11/02/2012 19:18:59.4.2 - x86
Microsoft® Windows Vista(TM) Édition Familiale Premium 6.0.6002.2.1252.33.1036.18.3062.1669 [GMT 1:00]
Lancé depuis: c:\users\Aline\Desktop\ComboFix.exe
AV: AntiVir Desktop *Disabled/Updated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}
SP: AntiVir Desktop *Disabled/Updated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}
SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
C:\install.exe
c:\program files\Mozilla Firefox\searchplugins\SearchquWebSearch.xml
c:\programdata\~RzesSkmV8w1UKv
c:\programdata\~RzesSkmV8w1UKvr
c:\programdata\D4OunTworOnRPV
c:\programdata\RzesSkmV8w1UKv
c:\programdata\RzesSkmV8w1UKv.exe
c:\users\Aline\AppData\Roaming\.#
c:\users\Aline\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Check
c:\users\Aline\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Check\System Check.lnk
c:\users\Aline\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\System Check\Uninstall System Check.lnk
c:\users\Aline\AppData\Roaming\Mozilla\Firefox\Profiles\4eo6avwd.default\searchplugins\SearchquWebSearch.xml
c:\users\Aline\Desktop\System Check.lnk
c:\users\Aline\jre-6u7-windows-i586-p-s.exe
c:\users\Aline\videos\XviD.exe
c:\windows\system32\GroupPolicy\Machine\Registry.pol
.
.
((((((((((((((((((((((((((((( Fichiers créés du 2012-01-11 au 2012-02-11 ))))))))))))))))))))))))))))))))))))
.
.
2012-02-11 18:35 . 2012-02-11 18:35 -------- d-----w- c:\users\Default\AppData\Local\temp
2012-02-11 18:35 . 2012-02-11 18:35 -------- d-----w- c:\users\collège\AppData\Local\temp
2012-02-11 12:02 . 2012-02-11 12:02 56200 ----a-w- c:\programdata\Microsoft\Windows Defender\Definition Updates\{4B6F2BB1-4EFF-48EB-BD8A-C1F52BBDC540}\offreg.dll
2012-02-10 15:30 . 2012-01-06 04:19 6557240 ----a-w- c:\programdata\Microsoft\Windows Defender\Definition Updates\{4B6F2BB1-4EFF-48EB-BD8A-C1F52BBDC540}\mpengine.dll
2012-02-08 16:56 . 2004-12-30 10:00 104576 ----a-w- c:\windows\system32\drivers\wceusbsh.sys
2012-02-08 16:54 . 2012-02-08 16:56 -------- d-----w- c:\program files\InstMS
2012-02-08 16:52 . 2005-04-03 22:02 69714 ----a-w- c:\program files\Common Files\InstallShield\Professional\RunTime\11\00\Intel32\ctor.dll
2012-02-08 16:52 . 2005-04-03 22:01 274432 ----a-w- c:\program files\Common Files\InstallShield\Professional\RunTime\11\00\Intel32\iscript.dll
2012-02-08 16:52 . 2005-04-03 22:00 184320 ----a-w- c:\program files\Common Files\InstallShield\Professional\RunTime\11\00\Intel32\iuser.dll
2012-02-08 16:52 . 2005-04-03 22:02 753664 ----a-w- c:\program files\Common Files\InstallShield\Professional\RunTime\11\00\Intel32\iKernel.dll
2012-02-08 16:51 . 2012-02-08 16:51 200836 ----a-w- c:\program files\Common Files\InstallShield\Professional\RunTime\11\00\Intel32\iGdi.dll
2012-02-08 16:51 . 2012-02-08 16:51 331908 ----a-w- c:\program files\Common Files\InstallShield\Professional\RunTime\11\00\Intel32\setup.dll
2012-01-31 08:06 . 2011-11-17 06:48 440192 ----a-w- c:\windows\system32\drivers\ksecdd.sys
2012-01-31 08:06 . 2011-11-16 16:23 377344 ----a-w- c:\windows\system32\winhttp.dll
2012-01-31 08:06 . 2011-11-16 16:23 278528 ----a-w- c:\windows\system32\schannel.dll
2012-01-31 08:06 . 2011-11-16 16:21 1259008 ----a-w- c:\windows\system32\lsasrv.dll
2012-01-31 08:06 . 2011-11-16 16:23 72704 ----a-w- c:\windows\system32\secur32.dll
2012-01-31 08:06 . 2011-11-16 14:12 9728 ----a-w- c:\windows\system32\lsass.exe
2012-01-15 20:38 . 2012-01-15 20:39 -------- d-----w- c:\program files\Common Files\Atlence
2012-01-15 20:38 . 2003-02-18 21:28 244232 ----a-w- c:\windows\system32\msflxgrd.ocx
.
.
.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-01-26 23:21 . 2009-10-03 10:07 237072 ------w- c:\windows\system32\MpSigStub.exe
2011-12-10 14:24 . 2009-05-16 14:16 20464 ----a-w- c:\windows\system32\drivers\mbam.sys
2011-11-25 15:59 . 2012-01-11 13:20 376320 ----a-w- c:\windows\system32\winsrv.dll
2011-11-23 13:37 . 2011-12-16 06:28 2043904 ----a-w- c:\windows\system32\win32k.sys
2011-11-18 20:23 . 2012-01-11 13:20 1205064 ----a-w- c:\windows\system32\ntdll.dll
2011-11-18 17:47 . 2012-01-11 13:20 66560 ----a-w- c:\windows\system32\packager.dll
2010-03-14 13:20 . 2010-03-14 13:20 1299456 ----a-w- c:\program files\mcoview.exe
2009-09-02 15:18 . 2009-09-02 15:18 6947816 ----a-w- c:\program files\Thunderbird Setup 2.0.0.23.exe
2009-04-15 17:58 . 2009-04-15 17:58 1878888 ----a-w- c:\program files\install_flash_player.exe
2009-03-07 18:18 . 2009-03-07 18:24 6228072 ----a-w- c:\program files\Setup_FreeConverter.exe
2012-02-11 15:00 . 2011-05-07 17:17 134104 ----a-w- c:\program files\mozilla firefox\components\browsercomps.dll
2010-10-19 05:16 . 2008-09-20 08:13 119808 ----a-w- c:\program files\mozilla firefox\components\GoogleDesktopMozilla.dll
.
.
((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4
.
[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}]
2010-07-19 16:32 165184 ----a-w- c:\program files\SFR\Kit\SFRNavErrorHelper.dll
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Connexion SFR 9props.exe"="c:\program files\SFR\Kit\9props.exe" [2010-07-19 976192]
"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-01-11 39408]
"TomTomHOME.exe"="c:\program files\TomTom HOME 2\TomTomHOMERunner.exe" [2011-12-05 247728]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2007-06-08 894512]
"RoxWatchTray"="c:\program files\Common Files\Roxio Shared\9.0\SharedCOM\RoxWatchTray9.exe" [2007-01-11 232184]
"Google Desktop Search"="c:\program files\Google\Google Desktop Search\GoogleDesktop.exe" [2010-10-19 30192]
"toolbar_eula_launcher"="c:\program files\Packard Bell\GOOGLE_EULA\EULALauncher.exe" [2007-02-20 28672]
"IAAnotif"="c:\program files\Intel\Intel Matrix Storage Manager\Iaanotif.exe" [2007-03-21 174872]
"SystrayORAHSS"="c:\program files\OrangeHSS\Systray\SystrayApp.exe" [2006-12-12 90112]
"NvSvc"="c:\windows\system32\nvsvc.dll" [2008-01-21 92704]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-01-21 8534560]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-01-21 88608]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-11-29 421888]
"DivXUpdate"="c:\program files\DivX\DivX Update\DivXUpdate.exe" [2010-09-16 1164584]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 10.0\Reader\Reader_sl.exe" [2011-01-30 35736]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2010-11-10 932288]
"TkBellExe"="c:\program files\Real\RealPlayer\update\realsched.exe" [2011-06-23 273544]
"Malwarebytes' Anti-Malware"="c:\program files\Malwarebytes' Anti-Malware\mbamgui.exe" [2012-01-13 460872]
"Windows Mobile-based device management"="c:\windows\WindowsMobile\wmdc.exe" [2007-01-24 563080]
.
c:\users\collège\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
OneNote 2007 - Capture d'écran et lancement.lnk - c:\program files\Microsoft Office\Office12\ONENOTEM.EXE [2009-2-26 97680]
OpenOffice.org 2.2.lnk - c:\program files\OpenOffice.org 2.2\program\quickstart.exe [N/A]
OpenOffice.org 3.1.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2010-12-13 1198592]
.
c:\users\Aline\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
OpenOffice.org 3.3.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2010-12-13 1198592]
TotalReduc.lnk - c:\program files\TotalReduc\TotalReducLoader.exe [2011-4-6 1050624]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=c:\progra~1\WI371A~1\Datamngr\datamngr.dll c:\progra~1\WI371A~1\Datamngr\IEBHO.dll c:\progra~1\Google\GOOGLE~3\GoogleDesktopNetwork3.dll c:\progra~1\Google\GOOGLE~3\GoogleDesktopNetwork3.dll
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"aux"=wdmaud.drv
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001
.
--- Autres Services/Pilotes en mémoire ---
.
*NewlyCreated* - TRUESIGHT
*Deregistered* - TrueSight
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
LocalServiceAndNoImpersonation REG_MULTI_SZ FontCache
bthsvcs REG_MULTI_SZ BthServ
WindowsMobile REG_MULTI_SZ wcescomm rapimgr
LocalServiceRestricted REG_MULTI_SZ WcesComm RapiMgr
.
Contenu du dossier 'Tâches planifiées'
.
2012-02-11 c:\windows\Tasks\Extension de garantie.job
- c:\program files\Packard Bell\SetupmyPC\PBCarNot.exe [2006-03-10 16:38]
.
2012-02-11 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-04-01 08:36]
.
2012-02-11 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2009-04-01 08:36]
.
2008-07-15 c:\windows\Tasks\HDReg.job
- c:\program files\HDReg\HDRegRem.exe [2003-07-15 08:14]
.
2008-07-12 c:\windows\Tasks\PBReg.job
- c:\program files\HDReg\HDRegDel.exe [2005-06-21 13:20]
.
2008-08-14 c:\windows\Tasks\PBRegbk.job
- c:\program files\HDReg\HDRegDel.exe [2005-06-21 13:20]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.sfr.fr/kit/adsl/
mWindow Title =
uSearchURL,(Default) = hxxp://www.google.com/keyword/%s
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000
IE: Tout télécharger avec Free Download Manager - file://c:\program files\Free Download Manager\dlall.htm
IE: Télécharger avec Free Download Manager - file://c:\program files\Free Download Manager\dllink.htm
IE: Télécharger la sélection avec Free Download Manager - file://c:\program files\Free Download Manager\dlselected.htm
IE: Télécharger la vidéo avec Free Download Manager - file://c:\program files\Free Download Manager\dlfvideo.htm
TCP: DhcpNameServer = 192.168.1.1
FF - ProfilePath - c:\users\Aline\AppData\Roaming\Mozilla\Firefox\Profiles\4eo6avwd.default\
FF - prefs.js: browser.search.defaulturl - hxxp://search.sweetim.com/search.asp?src=2&q=
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - hxxp://www.searchqu.com/406
FF - prefs.js: keyword.URL - hxxp://redirecterror.sfr.fr/?q=
FF - user.js: keyword.URL - hxxp://redirecterror.sfr.fr/?q=
.
- - - - ORPHELINS SUPPRIMES - - - -
.
Toolbar-10 - (no file)
AddRemove-Picasa2 - c:\program files\Picasa2\Uninstall.exe
AddRemove-Primaths 1.0.1 - c:\program files\Primaths\Uninstall.exe
AddRemove-{7B63B2922B174135AFC0E1377DD81EC2} - c:\program files\DivX\DivXCodecUninstall.exe
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2012-02-11 19:36
Windows 6.0.6002 Service Pack 2 NTFS
.
Recherche de processus cachés ...
.
Recherche d'éléments en démarrage automatique cachés ...
.
Recherche de fichiers cachés ...
.
.
c:\windows\TEMP\TMP00000072DAAF517A60A7F24B 524288 bytes
.
Scan terminé avec succès
Fichiers cachés: 1
.
**************************************************************************
.
Heure de fin: 2012-02-11 19:42:56
ComboFix-quarantined-files.txt 2012-02-11 18:42
.
Avant-CF: 96 643 473 408 octets libres
Après-CF: 96 880 648 192 octets libres
.
- - End Of File - - ED21493669E403E3F3FEA6490DFC0F36
0
Réponse 9 / 18
kalimusic Messages postés 14014 Date d'inscription samedi 7 novembre 2009 Statut Contributeur sécurité Dernière intervention 20 novembre 2015 3 027
11 févr. 2012 à 20:28
re,

Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.
● Lance AdwCleaner
- Sous XP double-clic sur l'icône pour lancer l'outil.
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
● Clique sur Suppression
● Patiente le temps du scan, accepte de redémarrer si l'outil le demande
● Le rapport doit s'ouvrir spontanément.
● Clique sur Quitter

Le rapport est sauvegardé à la racine du disque C:\AdwCleaner[S1].txt

Poste le rapport, A +
0
Réponse 10 / 18
germaine147
11 févr. 2012 à 21:02
encore une fois un rapport :

# AdwCleaner v1.408 - Rapport créé le 11/02/2012 à 20:53:09
# Mis à jour le 29/01/2012 par Xplode
# Système d'exploitation : Windows Vista (TM) Home Premium Service Pack 2 (32 bits)
# Nom d'utilisateur : Aline - PC-DE-ALINE (Administrateur)
# Exécuté depuis : C:\Users\Aline\Desktop\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Users\Aline\AppData\Roaming\Bandoo
Dossier Supprimé : C:\Users\Aline\AppData\Roaming\Mozilla\Extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}
Dossier Supprimé : C:\Users\Aline\AppData\Local\Ilivid Player
Dossier Supprimé : C:\Program Files\Bandoo
Dossier Supprimé : C:\Program Files\Windows iLivid Toolbar
Dossier Supprimé : C:\Users\Aline\AppData\Roaming\Mozilla\Firefox\Profiles\4eo6avwd.default\searchqutoolbar
Dossier Supprimé : C:\Users\Aline\AppData\Roaming\Mozilla\Firefox\Profiles\4eo6avwd.default\extensions\{99079a25-328f-4bd4-be04-00955acaa0a7}

***** [Registre] *****

Clé Supprimée : HKCU\Software\DataMngr_Toolbar
Clé Supprimée : HKCU\Software\ilivid
Clé Supprimée : HKCU\Software\AppDataLow\AskBarDis
Clé Supprimée : HKLM\SOFTWARE\bandoo
Clé Supprimée : HKLM\SOFTWARE\Classes\BandooCore.BandooCore
Clé Supprimée : HKLM\SOFTWARE\Classes\BandooCore.BandooCore.1
Clé Supprimée : HKLM\SOFTWARE\Classes\BandooCore.ResourcesMngr
Clé Supprimée : HKLM\SOFTWARE\Classes\BandooCore.ResourcesMngr.1
Clé Supprimée : HKLM\SOFTWARE\Classes\BandooCore.SettingsMngr
Clé Supprimée : HKLM\SOFTWARE\Classes\BandooCore.SettingsMngr.1
Clé Supprimée : HKLM\SOFTWARE\Classes\BandooCore.StatisticMngr
Clé Supprimée : HKLM\SOFTWARE\Classes\BandooCore.StatisticMngr.1
Clé Supprimée : HKLM\SOFTWARE\Classes\SearchQUIEHelper.DNSGuard
Clé Supprimée : HKLM\SOFTWARE\Classes\SearchQUIEHelper.DNSGuard.1
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\BandooCore.EXE
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\SoftwareUpdate.exe
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{1301A8A5-3DFB-4731-A162-B357D00C9644}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{C3AB94A4-BFD0-4BBA-A331-DE504F07D2DB}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{27F69C85-64E1-43CE-98B5-3C9F22FB408E}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{B543EF05-9758-464E-9F37-4C28525B4A4C}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{BB76A90B-2B4C-4378-8506-9A2B6E16943C}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{b0de3308-5d5a-470d-81b9-634fc078393b}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\RFC1156Agent
Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\DE28F4A4FFE5B92FA3C503D1A349A7F9962A8212
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{FF871E51-2655-4D06-AED5-745962A96B32}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{477F210A-2A86-4666-9C4B-1189634D2C84}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{4C07EA4F-5F52-4222-B170-4CD9ED33BAEA}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{C44FEFF4-EF0C-4CF7-83D0-92B4266A32B9}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{F131923C-381D-4E4C-A472-4A17118FD742}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{8F5F1CB6-EA9E-40AF-A5CA-C7FD63CC1971}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{6A4BCABA-C437-4C76-A54E-AF31B8A76CB9}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{4B1C1E16-6B34-430E-B074-5928ECA4C150}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{8A96AF9E-4074-43b7-BEA3-87217BDA7406}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{8856F961-340A-11D0-A96B-00C04FD705A2}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{424624F4-C5DD-4e1d-BDD0-1E9C9B7799CC}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{7f000001-db8e-f89c-2fec-49bf726f8c12}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{9C8A3CA5-889E-4554-BEEC-EC0876E4E96A}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{F9189560-573A-4fde-B055-AE7B0F4CF080}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{99079a25-328f-4bd4-be04-00955acaa0a7}
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [DataMngr]

***** [Navigateurs] *****

-\\ Internet Explorer v9.0.8112.16421

[OK] Le registre ne contient aucune entrée illégitime.

-\\ Mozilla Firefox v10.0.1 (fr)

Profil : 4eo6avwd.default
Fichier : C:\Users\Aline\AppData\Roaming\Mozilla\Firefox\Profiles\4eo6avwd.default\prefs.js

C:\Users\Aline\AppData\Roaming\Mozilla\Firefox\Profiles\4eo6avwd.default\user.js ... Supprimé !

Supprimée : user_pref("browser.search.defaultenginename", "Web Search");
Supprimée : user_pref("browser.search.defaulturl", "hxxp://search.sweetim.com/search.asp?src=2&q=");
Supprimée : user_pref("browser.search.order.1", "Web Search");
Supprimée : user_pref("browser.startup.homepage", "hxxp://www.searchqu.com/406");
Supprimée : user_pref("sweetim.toolbar.highlight.colors", "#FFFF00,#00FFE4,#5AFF00,#0087FF,#FFCC00,#FF00F0");
Supprimée : user_pref("sweetim.toolbar.logger.ConsoleHandler.MinReportLevel", "7");
Supprimée : user_pref("sweetim.toolbar.logger.FileHandler.FileName", "ff-toolbar.log");
Supprimée : user_pref("sweetim.toolbar.logger.FileHandler.MaxFileSize", "200000");
Supprimée : user_pref("sweetim.toolbar.logger.FileHandler.MinReportLevel", "7");
Supprimée : user_pref("sweetim.toolbar.mode.debug", "false");
Supprimée : user_pref("sweetim.toolbar.previous.browser.search.defaultenginename", "Google");
Supprimée : user_pref("sweetim.toolbar.previous.browser.search.defaulturl", "hxxp://www.google.com/search?lr=&ie[...]
Supprimée : user_pref("sweetim.toolbar.previous.browser.search.selectedEngine", "Google");
Supprimée : user_pref("sweetim.toolbar.previous.browser.startup.homepage", "chrome://packardbell-partner/locale/[...]
Supprimée : user_pref("sweetim.toolbar.previous.keyword.URL", "chrome://packardbell-partner/locale/partner.prope[...]
Supprimée : user_pref("sweetim.toolbar.search.external", "<?xml version=\"1.0\"?><TOOLBAR><EXTERNAL_SEARCH engin[...]
Supprimée : user_pref("sweetim.toolbar.search.history", "streaming%20dexter%20saison%202");
Supprimée : user_pref("sweetim.toolbar.search.history.capacity", "10");
Supprimée : user_pref("sweetim.toolbar.simapp_id", "{D4A76A96-E77B-4240-A515-E4B2C36BC2E4}");
Supprimée : user_pref("sweetim.toolbar.urls.homepage", "hxxp://home.sweetim.com");
Supprimée : user_pref("sweetim.toolbar.version", "1.0.0.8");
Supprimée : user_pref("weboftrust.search.ask.display", "Ask.com Web Search");

-\\ Google Chrome v [Impossible d'obtenir la version]

Fichier : C:\Users\Aline\AppData\Local\Google\Chrome\User Data\Default\Preferences

Supprimée : "name": "Search the web (Babylon)",
Supprimée : "search_url": "hxxp://search.babylon.com/web/{searchTerms}?babsrc=browsersearch&hl={language}&[...]
Supprimée : "homepage": "hxxp://search.babylon.com/home/?ai=14797",

*************************

AdwCleaner[S1].txt - [7059 octets] - [11/02/2012 20:53:09]

*************************

Dossier Temporaire : 3 dossier(s) et 2 fichier(s) supprimés

########## EOF - C:\AdwCleaner[S1].txt - [7279 octets] ##########
0
Réponse 11 / 18
kalimusic Messages postés 14014 Date d'inscription samedi 7 novembre 2009 Statut Contributeur sécurité Dernière intervention 20 novembre 2015 3 027
11 févr. 2012 à 21:08
re,

Comment se comporte le pc maintenant ?
Nous allons utiliser cet outil de diagnostic afin d'identifier si besoin les problèmes restants.

Télécharge OTL (de OldTimer) sur ton Bureau.

Ferme toutes tes applications en cours

● Lance OTL.exe
- Sous XP double-clic sur l'icône pour lancer l'outil.
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
● L'interface principale s'ouvre :
● Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal
● Coche la case également Tous les utilisateurs
● Laisse tous les autres paramètres par défaut
● Dans la partie du bas "Personnalisation", copie/colle la liste en citation : 

msconfig 
safebootminimal 
safebootnetwork 
/md5start
volsnap.*
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
/md5stop
%temp%\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%APPDATA%\*.
%SYSTEMDRIVE%\*.exe 
%systemroot%\Tasks\*.* /s
%systemroot%\*. /mp /s 
%systemroot%\assembly\tmp\*.* /s 
hklm\software\clients\startmenuinternet|command /rs
CREATERESTOREPOINT

● Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.
● 2 rapports vont s'ouvrir au format bloc-note :
OTL.txt (qui sera affiché) ainsi que Extras.txt (réduit dans la barre des tâches)
● Ne les poste pas sur le forum, ils seraient trop long
● Héberge les sur un des sites suivants :
https://www.cjoint.com/
http://pjjoint.malekal.com/
http://threat-rc.com/
https://textup.fr/
● Tu obtiendras 2 liens que tu me donneras dans ton prochain message.

A +
0
Réponse 12 / 18
germaine147
11 févr. 2012 à 21:44
mon ordi fonctionne bien (ou du moins à priori)

rapport OTL : http://cjoint.com/data3/3BlvO0RkIkh.htm

et rapport Extras : http://cjoint.com/data3/3BlvSbNr9pj.htm


Encore merci pour ton aide !
0
Réponse 13 / 18
kalimusic Messages postés 14014 Date d'inscription samedi 7 novembre 2009 Statut Contributeur sécurité Dernière intervention 20 novembre 2015 3 027
11 févr. 2012 à 22:14
re,

1. Désinstalle si encore possible : 

iLivid     
Windows iLivid Toolbar     
SweetIM for Messenger 2.6

2. A désinstaller sauf si vraiment utile pour toi : 

TotalReduc     
SpywareBlaster 4.4     
Cocoon Software Quick Media Converter

Merci de m'indiquer ce que tu as pu faire.

A +
0
Réponse 14 / 18
germaine147
11 févr. 2012 à 22:44
J'ai désinstallé
iLivid
Spywareblaster
Quick Media Converter

je n'ai pas pu désinstallé SweetIM for Messenger 2.6 car il n'apparait pas dans les programmes

et je souhaite garder TotalReduc
0
Réponse 15 / 18
kalimusic Messages postés 14014 Date d'inscription samedi 7 novembre 2009 Statut Contributeur sécurité Dernière intervention 20 novembre 2015 3 027
11 févr. 2012 à 22:49
ok,

Relance OTL
- Sous XP double-clic sur l'icône pour lancer l'outil.
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
● Dans la partie "Personnalisation", copie/colle les instructions hébergées ici
● Clique sur le bouton Correction.
● Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.
● Accepte en cliquant sur OK.
● Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles

A + pour la dernière étape
0
Réponse 16 / 18
germaine147
11 févr. 2012 à 23:05
j'ai hébergé le rapport : http://cjoint.com/?3BlxdOjgzwE
0
Réponse 17 / 18
kalimusic Messages postés 14014 Date d'inscription samedi 7 novembre 2009 Statut Contributeur sécurité Dernière intervention 20 novembre 2015 3 027
11 févr. 2012 à 23:08
ok,

1. Relance AdwCleaner en tant qu'administrateur
● Clique sur Désinstallation

2. Ouvre la commande Exécuter en pressant Windows + R
● Dans la boite de dialogue, tape ComboFix /Uninstall
● Valide par Ok puis suivre les invites à l'écran.
● Un message confirme que ComboFix a été désinstallé.

3. Lance OTL
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
● Dans la partie "Personnalisation", copie/colle: 

:commands
[clearallrestorepoints]

● Clique sur le bouton Correction.

4. Relance OTL en tant qu'administrateur
● Clique sur le bouton Purge outils
● Puis sur OK dans la boite de dialogue qui t'invite à redémarrer le système.
● Supprime les outils et les rapports restants éventuellement sur ton Bureau

5. Mises à jour de logiciels pouvant présenter des failles de sécurité :

Tutoriel SX Check&Update

== == == == == == == == == == == == == == == == == == == == == ==

La sécurité de son PC, c'est quoi ? (par Malekal)

== == == == == == == == == == == == == == == == == == == == == ==

Bonne continuation
0
Réponse 18 / 18
germaine147
11 févr. 2012 à 23:37
Une dernière fois : un très grand merci pour l'aide !!!!!

Bye.
0

Discussions similaires

Softonic,est-ce un virus ?
techmel1 -
techmel1 -

6 réponses
Est ce que le site tlauncher est dangereux ?
caribou -
bazfile -

1 réponse
4 virus en raison d’un porno ????
valou -
Bello040420 -

9 réponses
problême Opéra est ce un virus??
sand2504 -
sand2504 -

85 réponses
Désinstaller Softonic
Diguimette -
lilidurhone -

5 réponses