Fichier etilqs_xxxx... très gourmand...

BarmanCo -  
jacques.gache Messages postés 34829 Statut Contributeur sécurité -
Bonjour,

Je ne sais pas trop où poster cette question , du coup vu qu'elle reste louche, je poste ici !

Récemment j'ai eu un problème avec C:... Il se remplissait tout seul... Trèèèèèès vite (pas loin du giga/seconde...) ce qui vous en conviendrez bloque un peu tout car impossibilité pour le système de faire des fichiers temporaires...
Du coup première réaction : Ccleaner, malwarebytes, avast, rescue CD avira et rescue CD kapersky... Sauf que... RIEN !

J'y suis donc allé en manuel... J'ai fait dossier par dossier pour trouver le gros... Finalement, le(s) fichier(s) étaient dans : "C:\windows\temp" et le nom... type "etilqs_xxxxxxxxxxxx..." du coup je supprime un fichier de... 50GO !!!! Bizarre quand même !! Je fais mes recherche, ça vient de Sqlite, qui sert à firefox et quelques autres...(http://www.sqlite.org/)

Du coup problème réglé ? Non... http://img196.imageshack.us/img196/2038/36588271.jpg et 30 secondes plus tard... http://img545.imageshack.us/img545/1031/87339682.jpg

A noter que firefox et éteint à ce moment là et qu'aucun programme SQLite ne tourne.....

Là je viens de virer avast (licence dépassé, j'ai remplacé par avira... Et celui-ci viens (au moment où j'écris ces lignes de m'indiquer que "D:\Autorun.inf" vient d'être bloqué, 30secondes plus tard... idem Sauf qu'on est sur "E:".......))

So ! Si quelqu'un est motivé pour me filer un coup de main, je suis preneur !
(Et je passe de firefox à opera... Histoire de diminuer les scriptes autonomes... ><')

Léo

P.S.: Désolé pour le pavé !

2 réponses

  1.
    jacques.gache Messages postés 34829 Statut Contributeur sécurité 1 645
     
    bonjour, pourrais tu passer USBfix , et un zhpdiag pour voir plus claire , merci

    1) passes usbfix mode suppression

    Télécharge USBFIX sur ton bureau

    http://eldesaparecido.com/tools/UsbFix.exe

    /!\ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

    * Double clic sur le raccourci UsbFix présent sur ton bureau .
    * Choisis l'option 2 ( Suppression)

    * Laisse travailler l'outil.

    * Ensuite post le rapport UsbFix.txt qui apparaîtra.

    * Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

    ( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

    * Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
    Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.

    * Tuto : http://pagesperso-orange.fr/nostools/tuto_usbfix2.html

    2) postes un zhpdiag

    Ouvre ce lien et télécharge ZHPDiag :

    https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

    cliques sur télécharger "celui du bas"

    ou directement ici: ftp://zebulon.fr/ZHPDiag2.exe

    Enregistres le sur ton Bureau.

    Une fois le téléchargement achevé

    pour XP, double-clique sur ZHPDiag

    pour Vista,et seven tu fais un clic droit sur l'icône et exécute en tant qu'administrateur.

    N'oublies pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

    /|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.

    Double cliques sur le raccourci ZHPDiag sur ton Bureau pour XP sinon clique droit et en tant que administrateur !!

    Cliques sur la loupe pour lancer l'analyse.

    si tu as un message te demandant la validation pour SIGCHECK acceptes avec OK cela est pour nous faire un rapport plus complet et pouvoir en faire une lecture plus approfondis

    Laisses l'outil travailler, il peut être assez long

    A la fin de l'analyse,clique sur l'appareil photo et enregistre le rapport sur ton Bureau.

    Fermes ZHPDiag en fin d'analyse.

    Pour me le transmettre clique sur ce lien :

    https://www.cjoint.com/

    Clique sur Parcourir et cherche le fichier C:\Documents and settings\le_nom_de_ta_session\bureau\.ZHPDiag.txt

    ou directement en choisissant bureau et ZHPDiag.txt clique dessus

    Clique sur Ouvrir.

    Clique sur "Cliquez ici pour déposer le fichier".

    Un lien de cette forme :

    http://www.cijoint.fr/cjlink.php?file=cj200905/cib7SU.txt

    est ajouté dans la page.

    Copie ce lien dans ta réponse.

    et si problème passe par celui ci : http://threat-rc.com/
    ou
    http://pjjoint.malekal.com/

    1
  2. BarmanCo
     
    Yop,

    Alors, usbfix à fait sauter les autoruns :

    http://cjoint.com/?BBnwm3hafk8

    Et voilà pour ZHP :

    http://cjoint.com/?BBnwoQxxH1n

    Déjà ça devrait être pas mal, a noter que je n'ai plus de fichier type etilqs_xxxx... dans temp !
    0
    1. jacques.gache Messages postés 34829 Statut Contributeur sécurité 1 645
       
      bonjour, il y a des choses pas bonne sur le pc ru fais ce qui suit pour nettoyer , merci

      1) fais zhpfix comme expliqué

      . Copie les lignes suivantes en GRAS entre les deux lignes


      __________________________________________________________

      M2 - MFEP: prefs.js [Léo - 2k7bfmup.default\cacaoweb@cacaoweb.org] [] cacaoweb v1.0.20 (.http://www.cacaoweb.org/
      M2 - MFEP: prefs.js [Léo - 2k7bfmup.default\foxyproxy@eric.h.jung] [] FoxyProxy Basic v2.5 (.FoxyProxy, Inc..)
      OPT:O4 - HKLM\..\Wow6432Node\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper.) -- C:\Program Files (x86)\iTunes\iTunesHelper.exe
      OPT:O23 - Service: Service Bonjour (Bonjour Service) . (.Apple Inc. - Bonjour Service.) - C:\Program Files\Bonjour\mDNSResponder.exe
      O23 - Service: Firefox Service (Firefox Service) . (...) - C:\Users\Léo\AppData\Roaming\Mozilla\Firefox\Profiles\2k7bfmup.default\extensions\startup.service@mozilla.com\svc.exe
      [HKCU\Software\AppDataLow\Software\Mp3Tube]
      [HKCU\Software\cacaoweb]
      [HKLM\Software\CrazyLoader]
      O43 - CFD: 10/01/2012 - 12:01:34 - [0,393] ----D- C:\Users\Léo\AppData\Roaming\cacaoweb
      O43 - CFD: 05/12/2010 - 11:31:56 - [0,021] ----D- C:\Users\Léo\AppData\Roaming\CrazyLoader
      O53 - SMSR:HKLM\...\startupreg\cacaoweb [Key] . (...) -- C:\Users\Léo\AppData\Roaming\cacaoweb\cacaoweb.exe
      OPT:O53 - SMSR:HKLM\...\startupreg\Adobe Reader Speed Launcher [Key] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files (x86)\Adobe\Reader 10.0\Reader\Reader_sl.exe
      O69 - SBI: SearchScopes [HKCU] {1535FEA4-583A-447D-9BBC-DF4435B53D77} - (Yahoo-Mp3Tube) - http://mp3tubetoolbarsearch.com
      O87 - FAEL: "TCP Query User{2A7AE9B7-AF67-49FD-8A9A-E55F410B105F}C:\users\léo\appdata\roaming\cacaoweb\cacaoweb.exe" | In - Private - P6 - TRUE | .(...) -- C:\Users\Léo\AppData\Roaming\cacaoweb\cacaoweb.exe
      O87 - FAEL: "UDP Query User{30F50840-AB46-46CF-9DD8-236696C4BE25}C:\users\léo\appdata\roaming\cacaoweb\cacaoweb.exe" | In - Private - P17 - TRUE | .(...) -- C:\Users\Léo\AppData\Roaming\cacaoweb\cacaoweb.exe
      [HKCU\Software\JavaSoft\Prefs\crazyloader]
      [HKLM\Software\Classes\TypeLib\{2D5E2D34-BED5-4B9F-9793-A31E26E6806E}]
      C:\Users\Léo\AppData\Roaming\cacaoweb
      C:\Users\Léo\AppData\Roaming\Crazyloader
      OPT:SS - | Auto 83456 | (Firefox Service) . (...) - C:\Users\Léo\AppData\Roaming\Mozilla\Firefox\Profiles\2k7bfmup.default\extensions\startup.service@mozilla.com\svc.exe
      OPT:SS - | Auto 30/08/2011 462184 | (Bonjour Service) . (.Apple Inc..) - C:\Program Files\Bonjour\mDNSResponder.exe
      SysRestore
      FirewallRAZ
      EmptyFlash
      EmptyTemp



      ___________________________________________________________________


      . Lance ZHPFix de Nicolas Coolman qui se trouve sur ton bureau
      . Pour XP, double-clique sur ZHPFix
      . pour Vista et seven, faire un clic droit sur l'icône et exécute en tant qu'administrateur.
      . Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)

      Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

      Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

      PS: si rien ne se colle clique sur l'icône en haut sur gauche celui juste à côté de l'appareil photos " coller le presse papier"

      !! Déconnecte toi, désactive tes défenses (anti-virus, anti-spyware ) et ferme bien toutes autres applications ( navigateurs compris ) !!



      . cliques sur OK
      . Clique sur « Tous », puis sur « Nettoyer »
      . Copie/colle la totalité du rapport dans ta prochaine réponse
      tu le trouveras dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport




      2) passes adw-cleaner mode SUPPRESSION

      Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.
      Lance le, clique sur [Suppression] puis patiente le temps du scan.
      Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.

      Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt




      3) pour être sur passes ad-remover mode NETTOYER

      Déactives ton anti-virus et anti-spyware le temps du scan

      Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
      Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
      Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.


      Télécharge Ad-Remover sur ton bureau: (Merci à l'équipe TeamXscript)

      http://security-domain.be/download/telech.php?id=3

      ou

      https://www.androidworld.fr/



      /!\ Ferme toutes tes applications ouvertes. /!\

      Double clique sur le fichier que tu viens de télécharger, à l'écran qui apparait, clique sur "Nettoyer".
      Laisse travailler l'outil.
      Poste le rapport qui s'affiche à l'écran quand l'analyse est terminée.



      ( Le rapport est sauvegardé sous C:\Ad-report-clean.log )



      3) postes des nouvelles du pc et un nouveau zhpdiag de contrôle

      Double cliques sur le raccourci ZHPDiag sur ton Bureau pour XP sinon clique droit et en tant que administrateur !!

      Cliques sur la loupe pour lancer l'analyse.

      si tu as un message te demandant la validation pour SIGCHECK acceptes avec OK cela est pour nous faire un rapport plus complet et pouvoir en faire une lecture plus approfondis

      Laisses l'outil travailler, il peut être assez long

      A la fin de l'analyse,clique sur l'appareil photo et enregistre le rapport sur ton Bureau.


      Fermes ZHPDiag en fin d'analyse.


      Pour me le transmettre clique sur ce lien :

      https://www.cjoint.com/


      Clique sur Parcourir et cherche le fichier C:\Documents and settings\le_nom_de_ta_session\bureau\.ZHPDiag.txt

      ou directement en choisissant bureau et ZHPDiag.txt clique dessus

      Clique sur Ouvrir.

      Clique sur "Cliquez ici pour déposer le fichier".

      Un lien de cette forme :

      http://www.cijoint.fr/cjlink.php?file=cj200905/cib7SU.txt

      est ajouté dans la page.

      Copie ce lien dans ta réponse.


      et si problème passe par celui ci : http://threat-rc.com/
      ou
      http://pjjoint.malekal.com/
      0
    2. Barmanco Messages postés 5 Statut Membre
       
      Alors ! :)

      J'ai refais un usbfix, car l'autorun s'est repointé :

      http://cjoint.com/?BBosIXu4wIh

      ZHPFix :

      http://cjoint.com/?BBosKitoGng

      AdwCleaner :

      http://cjoint.com/?BBosK6jCINJ

      Ad-Remover :

      http://cjoint.com/?BBosLKqoDh3

      ZHPDiag :

      http://cjoint.com/?BBosMsT6cyn

      Je suis retourné me balader dans "c:\windows\temp" et j'ai retrouvé les bestiaux...

      http://cjoint.com/?BBosNDsKQJK
      0
    3. jacques.gache Messages postés 34829 Statut Contributeur sécurité 1 645
       
      ton premier raport que tu postes est celui de usbfix que tu vien de refaire mais pourquoi il mets en bas 
      (!) Cet ordinateur n'est pas vacciné!

      alors que sur le premier il est donnés vacciné au passage du nettoyage tu as supprimer le chose ou plus tot ton anti-virus , antivir te signalera toujours cela c'est un problème de réglage regarde https://support.avira.com/hc/en-us/community/topics#post1004018
      il te faut régler antivir comme sur la capture d'écran http://threat-rc.com/affichage-des-fichiers?open=20120214185121_1137.jpg

      donc tu fais le réglage et tu relances usbbix merci
      0
    4. Barmanco Messages postés 5 Statut Membre
       
      J'ai juste désactivé la protection en temps réel au moment où j'ai passé ad-remover, j'étais en hors connexion à ce moment-ci.

      Ensuite Avira s'est réactivé seul au redémarrage.

      Pour l'autorun, il se lance sur les 4 disques en même temps sans qu'il y'ai branchement de périphériques...

      Donc là, je viens de faire la config avira comme demandé, je passe usbfix :

      https://www.cjoint.com/?BBotUaYGDS3
      0
    5. Barmanco Messages postés 5 Statut Membre
       
      Je viens de refaire un usbfix, histoire de voir si ça persiste... La réponse est oui :

      https://www.cjoint.com/?BBoupsTLAEe
      0

Discussions similaires

Ouvrir un fichier .pub sans Publisher
baissaoui -
baissaoui -

0 réponse
question pix mot caché
aorum10 -
pixlagalere -

7 réponses