SOS !!! Cheval de troie Generic.dx!b2pg

Rapport de RogueKiller:

RogueKiller V7.5.4 [07/06/2012] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: https://www.luanagames.com/index.fr.html
Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Demarrage : Mode normal
Utilisateur: Poupoue [Droits d'admin]
Mode: Recherche -- Date: 13/06/2012 14:16:50

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 2 ¤¤¤
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Infection : Root.MBR ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤


¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: WDC WD6400BPVT-60HXZT1 +++++
--- User ---
[MBR] 18a5799adb85dc9b401b95df45ade96e
[BSP] a0f566e8374670946c5973e0ec0e4787 : Windows 7 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 199 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 409600 | Size: 594338 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 1217613824 | Size: 15838 Mo
3 - [XXXXXX] FAT32-LBA (0x0c) [VISIBLE] Offset (sectors): 1250050048 | Size: 103 Mo
User = LL1 ... OK!
User != LL2 ... KO!
--- LL2 ---
[MBR] 16a37e168314fe967f395a0afdff5ff4
[BSP] a0f566e8374670946c5973e0ec0e4787 : Windows 7 MBR Code
Partition table:
0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 409600 | Size: 77824 Mo
1 - [XXXXXX] FAT16 (0x06) [VISIBLE] Offset (sectors): 159793152 | Size: 4000 Mo
2 - [ACTIVE] FAT16 (0x06) [VISIBLE] Offset (sectors): 167985152 | Size: 2000 Mo
3 - [XXXXXX] FAT16 (0x06) [VISIBLE] Offset (sectors): 172081152 | Size: 20000 Mo

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

TDSSKiller indiquait qu'aucun éléments néfastes n'avaient été trouvés. Voici le rapport:

https://pjjoint.malekal.com/files.php?id=20120613_b14i5t9o9i5

Merci beaucoup de votre aide !

J'ai fait tout ce que vous m'avez suggéré. Voici le lien du rapport ZHPDiag.

http://pjjoint.malekal.com/files.php?id=ZHPDiag_20120606_o9i6e12c12i15

Merci encore une fois de prendre de votre temps pour m'aider...

Bonjour,
voici le rapport de ADWcleaner:

# AdwCleaner v1.608 - Rapport créé le 06/06/2012 à 06:20:08
# Mis à jour le 27/05/2012 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : Poupoue - GUYLAINE
# Exécuté depuis : C:\Users\Poupoue\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\61462NHZ\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Users\Poupoue\AppData\Local\Conduit
Dossier Supprimé : C:\Users\Poupoue\AppData\LocalLow\Conduit
Dossier Supprimé : C:\Users\Poupoue\AppData\LocalLow\pdfforge
Dossier Supprimé : C:\Users\Poupoue\AppData\LocalLow\PriceGong
Dossier Supprimé : C:\Users\Poupoue\AppData\LocalLow\Search Settings
Dossier Supprimé : C:\Users\Poupoue\AppData\Roaming\Mozilla\Firefox\Profiles\8y8qjnhb.default\extensions\staged
Dossier Supprimé : C:\Program Files (x86)\Application Updater
Dossier Supprimé : C:\Program Files (x86)\Conduit
Dossier Supprimé : C:\Program Files (x86)\Common Files\spigot
Fichier Supprimé : C:\Program Files (x86)\Mozilla Firefox\searchplugins\babylon.xml

***** [Registre] *****

[*] Clé Supprimée : HKLM\SOFTWARE\Classes\Toolbar.CT3042917
Clé Supprimée : HKCU\Software\pdfforge
Clé Supprimée : HKCU\Software\Search Settings
Clé Supprimée : HKCU\Software\AppDataLow\Toolbar
Clé Supprimée : HKCU\Software\AppDataLow\Software\Conduit
Clé Supprimée : HKCU\Software\AppDataLow\Software\ConduitSearchScopes
Clé Supprimée : HKCU\Software\AppDataLow\Software\pdfforge
Clé Supprimée : HKCU\Software\AppDataLow\Software\PriceGong
Clé Supprimée : HKCU\Software\AppDataLow\Software\Search Settings
Clé Supprimée : HKLM\SOFTWARE\Application Updater
Clé Supprimée : HKLM\SOFTWARE\Conduit
Clé Supprimée : HKLM\SOFTWARE\pdfforge
Clé Supprimée : HKLM\SOFTWARE\Search Settings
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\escort.DLL
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [SearchSettings]

***** [Registre - GUID] *****

Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{09C554C3-109B-483C-A06B-F14172F1A947}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{3C471948-F874-49F5-B338-4F214A2EE0B1}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}

***** [Navigateurs] *****

-\\ Internet Explorer v9.0.8112.16421

[OK] Le registre ne contient aucune entrée illégitime.

-\\ Mozilla Firefox v8.0.1 (fr)

Nom du profil : default
Fichier : C:\Users\Poupoue\AppData\Roaming\Mozilla\Firefox\Profiles\8y8qjnhb.default\prefs.js

C:\Users\Poupoue\AppData\Roaming\Mozilla\Firefox\Profiles\8y8qjnhb.default\user.js ... Supprimé !

Supprimée : user_pref("browser.babylon.HPOnNewTab", "search.babylon.com");
Supprimée : user_pref("browser.search.defaultenginename", "Search the web (Babylon)");
Supprimée : user_pref("browser.search.order.1", "Search the web (Babylon)");
Supprimée : user_pref("browser.search.selectedEngine", "Search the web (Babylon)");
Supprimée : user_pref("browser.startup.homepage", "hxxp://search.babylon.com/home");
Supprimée : user_pref("extensions.BabylonToolbar_i.aflt", "babclient");
Supprimée : user_pref("extensions.BabylonToolbar_i.babExt", "");
Supprimée : user_pref("extensions.BabylonToolbar_i.babTrack", "");
Supprimée : user_pref("extensions.BabylonToolbar_i.hardId", "68b0874200000000000078e3b55899b9");
Supprimée : user_pref("extensions.BabylonToolbar_i.id", "68b0874200000000000078e3b55899b9");
Supprimée : user_pref("extensions.BabylonToolbar_i.instlDay", "15327");
Supprimée : user_pref("extensions.BabylonToolbar_i.instlRef", "std");
Supprimée : user_pref("extensions.BabylonToolbar_i.newTab", true);
Supprimée : user_pref("extensions.BabylonToolbar_i.newTabUrl", "hxxp://search.babylon.com/?babsrc=NT_def");
Supprimée : user_pref("extensions.BabylonToolbar_i.prdct", "BabylonToolbar");
Supprimée : user_pref("extensions.BabylonToolbar_i.prtnrId", "babylon");
Supprimée : user_pref("extensions.BabylonToolbar_i.smplGrp", "none");
Supprimée : user_pref("extensions.BabylonToolbar_i.srcExt", "def");
Supprimée : user_pref("extensions.BabylonToolbar_i.tlbrId", "base");
Supprimée : user_pref("extensions.BabylonToolbar_i.vrsn", "1.5.3.17");
Supprimée : user_pref("extensions.BabylonToolbar_i.vrsnTs", "1.5.3.1722:13:05");
Supprimée : user_pref("extensions.BabylonToolbar_i.vrsni", "1.5.3.17");

-\\ Google Chrome v19.0.1084.52

Fichier : C:\Users\Poupoue\AppData\Local\Google\Chrome\User Data\Default\Preferences

Supprimée : "homepage": "hxxp://search.babylon.com/home?AF=14325",
Supprimée : "urls_to_restore_on_startup": [ "hxxp://search.babylon.com/home?AF=14325" ]
Supprimée : "homepage": "hxxp://search.babylon.com/home?AF=14325",
Supprimée : "urls_to_restore_on_startup": [ "hxxp://search.babylon.com/home?AF=14325" ]

*************************

AdwCleaner[S1].txt - [4919 octets] - [06/06/2012 06:20:08]

########## EOF - C:\AdwCleaner[S1].txt - [5047 octets] ##########


Je dois malheureusement quitter pour le travail... je poursuis le reste dès mon retour.
Merc beaucoup de votre aide... je connaissais déjà les conseils de sécurité pour les téléchargements mais mes enfants ont commencé à utiliser mon ordinateur... on va avoir une petite discussion !!!

Ah oui ! Petit problème nouveau... mon parefeu s'est désactivé tout seul et je n'arrive plus à le réactiver ???

À plus tard, MERCI !

Bonjour, J'ai apporté mon ordinateur avec moi au travail et j'ai eu le temps de faire l'analyse avec
Malwarebytes' Anti-Malware
Mais il n'a rien trouvé... voici le rapport :

Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Version de la base de données: v2012.06.06.02

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
Poupoue :: GUYLAINE [administrateur]

2012-06-06 06:35:02
mbam-log-2012-06-06 (06-35-02).txt

Type d'examen: Examen complet
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 347704
Temps écoulé: 1 heure(s), 59 minute(s), 42 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

Et voilà ! J'ai fait tous mes devoirs :o)
La défragmentation a été effectuée.

Mon parefeu est dans McAfee et quand j'ai acheté mon portable, j'ai eu gratuitement McAfee pendant 1 an.

Ce matiin, je reçois encore le message qu'un cheval de troie a été détecté par McAfee... :o(

et au redémarrage de l'ordinateur, le parefeu s'est réactivé !

Si tu gardes McAffee il faut désinstaller AVG.
C'est l'un ou l'autre, mais il faut en garder qu'un.

Peux-tu me poster un rapport de McAffee où cette détection apparait ?
J'aimerais voir précisément ce qu'il détecte !

Parfait pour les antivirus!

Pour ce qui est du message, je tenterai de faire une capture d'écran lorsqu'il réapparaitera.
Ca sera plus tard car je suis au travail et ne peut brancher mon portable sur le réseau informatique car il n'est pas configuré... je vais devoir attendre d'être à la maison.

MERCI :o)

Rapport de aswMBR:

aswMBR version 0.9.9.1665 Copyright(c) 2011 AVAST Software
Run date: 2012-06-13 20:19:53
-----------------------------
20:19:53.151 OS Version: Windows x64 6.1.7601 Service Pack 1
20:19:53.151 Number of processors: 4 586 0x2505
20:19:53.151 ComputerName: GUYLAINE UserName: Poupoue
20:19:54.399 Initialize success
20:21:24.737 AVAST engine defs: 12061301
20:22:15.374 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-1
20:22:15.374 Disk 0 Vendor: WDC_WD64 01.0 Size: 610480MB BusType: 3
20:22:15.390 Disk 0 MBR read successfully
20:22:15.390 Disk 0 MBR scan
20:22:15.405 Disk 0 Windows 7 default MBR code
20:22:15.405 Disk 0 Partition 1 80 (A) 07 HPFS/NTFS NTFS 199 MB offset 2048
20:22:15.421 Disk 0 Partition 2 00 07 HPFS/NTFS NTFS 594338 MB offset 409600
20:22:15.452 Disk 0 Partition 3 00 07 HPFS/NTFS NTFS 15838 MB offset 1217613824
20:22:15.483 Disk 0 Partition 4 00 0C FAT32 LBA MSDOS5.0 103 MB offset 1250050048
20:22:15.515 Disk 0 scanning C:\Windows\system32\drivers
20:22:26.637 Service scanning
20:22:49.694 Modules scanning
20:22:49.710 Disk 0 trace - called modules:
20:22:50.240 ntoskrnl.exe CLASSPNP.SYS disk.sys iaStor.sys hal.dll
20:22:50.240 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0xfffffa800528f790]
20:22:50.256 3 CLASSPNP.SYS[fffff8800185143f] -> nt!IofCallDriver -> \Device\Ide\IAAStorageDevice-1[0xfffffa8004fcb050]
20:22:52.643 AVAST engine scan C:\Windows
20:22:55.700 AVAST engine scan C:\Windows\system32
20:25:18.035 AVAST engine scan C:\Windows\system32\drivers
20:25:30.936 AVAST engine scan C:\Users\Poupoue
20:26:23.009 Disk 0 MBR has been saved successfully to "C:\Users\Poupoue\Desktop\MBR.dat"
20:26:23.025 The log file has been saved successfully to "C:\Users\Poupoue\Desktop\aswMBR.txt"

Mes devoirs sont terminés pour ce soir :o)

Bonjour

Fais comme expliqué ici pour vider la quarantaine de ton antivirus.
As-tu toujours ces alertes de McAfee ?

*Refais une analyse ZHPDiag, stp (héberge le rapport sur pjjoint)
N'oublies pas :
Désactive ton antivirus avant d'exécuter les outils que nous utilisons.

Bonsoir,

J'ai vidé la quarantaine de mon antivirus.
Juste avant de faire cette action, je recevais encore des alertes. Maintenant, que ceci est fait, c'est à voir si ça va arrêter ou pas.

Voici le rapport de l'analyse de ZHPDiag:
https://pjjoint.malekal.com/files.php?id=ZHPDiag_20120615_j10w7k6e9s6

Bonjour

Pour lancer ZHPDiag, tu as bien fait un clique droit sur l'icône et exécuter en tant qu'administrateur ??

Rapport de ZHPFix 1.2.06 par Nicolas Coolman, Update du 17/05/2012
Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-2012-06-17-21-47-41.txt
Run by Poupoue at 2012-06-17 21:47:41
Windows 7 Home Premium Edition, 64-bit Service Pack 1 (Build 7601)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Web site : http://nicolascoolman.skyrock.com/

========== Logiciel(s) ==========
ABSENT Software Key: WT089498
ABSENT Software Key: {5B2C4D32-A7CD-44B0-8619-4ADBE301B2D3}

========== Clé(s) du Registre ==========
ABSENT Key: CLSID BHO: {575bddf5-790a-4d01-a37d-2863dec1c085}
SUPPRIME Key*: Service: Bonjour Service
ABSENT Key: Service: Bonjour Service
SUPPRIME Key*: Service: SMARTHelperService

========== Valeur(s) du Registre ==========
ABSENT URLSearchHook: {575bddf5-790a-4d01-a37d-2863dec1c085}
SUPPRIME MWPS Value: EnableUIADesktopToggle
SUPPRIME MWPS Value: FilterAdministratorToken
SUPPRIME RunValue: Adobe Reader Speed Launcher
SUPPRIME RunValue: QuickTime Task
SUPPRIME RunValue: HP Software Update
SUPPRIME RunValue: iTunesHelper
SUPPRIME RunValue: TkBellExe
ABSENT Valeur Standard Profile: FirewallRaz :
ABSENT Valeur Domain Profile: FirewallRaz :
Aucune valeur présente dans la clé d'exception du registre (FirewallRaz)

========== Elément(s) de donnée du Registre ==========
SUPPRIME R1 - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL

========== Dossier(s) ==========
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{0B75B17C-0EDC-4FC4-9BC4-842707B266F5}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{278F50FD-950B-40AA-BC15-A4E19CDDF92F}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{2B1093D3-F16F-4351-82A6-90CB6E046330}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{2B5EC19F-B243-4511-A025-4E8E4924ADAD}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{32CD10DD-A296-465A-A2B8-C9F953ABE6BE}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{47F592B8-A742-4E34-A602-7528120DC618}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{4E829491-F525-4C24-911E-1C8B0FCD4A1C}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{543D73A7-6CE3-45D9-923C-5DC9E6C1C600}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{5EFE3C3C-2C7A-489F-A448-F59D307B61D4}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{5F1EEFA1-25AD-4EC0-9CC6-21AF6D06BDA5}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{629DC846-5A6F-4205-A5AE-7823DE8E7928}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{6744BE59-6C56-428B-939F-4DED4BFC4086}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{8068397C-F61F-4AF0-84D0-7B09C1B4E03B}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{89FBFB6A-0CC3-4EAF-85E9-800127881927}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{8F128E71-0774-4B38-B718-5BE912080AD5}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{AD676998-03E9-4319-B88E-ED07784F9027}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{AEBD8D9A-6600-43D8-9774-4537990613D1}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{B4C7A318-3AF6-40CC-B6DD-86192449A35E}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{B708E935-EE6F-411E-879C-BBBA88E86367}
SUPPRIME Folder: C:\Users\Poupoue\AppData\Local\{BFC04EE3-831B-460A-AD24-606B470C5DAB}
SUPPRIME Flash Cookies:
SUPPRIME Temporaires Windows:

========== Fichier(s) ==========
SUPPRIME File: c:\program files (x86)\produtools_maps\prxtbprod.dll
ABSENT File: c:\program files (x86)\produtools_maps\prxtbprod.dll
SUPPRIME Flash Cookies:
SUPPRIME Temporaires Windows:

========== Restauration Système ==========
Point de restauration du système créé avec succès


========== Récapitulatif ==========
4 : Clé(s) du Registre
11 : Valeur(s) du Registre
1 : Elément(s) de donnée du Registre
22 : Dossier(s)
4 : Fichier(s)
2 : Logiciel(s)
1 : Restauration Système


End of clean in 00mn 43s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 2012-06-06 16:31:39 [42078]
C:\ZHP\ZHPFix[R2].txt - 2012-06-07 17:55:38 [1736]
C:\ZHP\ZHPFix[R3].txt - 2012-06-07 18:45:17 [1536]
C:\ZHP\ZHPFix[R4].txt - 2012-06-17 21:47:41 [3994]

Salut,
Mon Rapport de ZHPFix est fait ainsi que les mises à jour.

Merci,

Je suis même allée supprimer les nouveaux fichiers mis en quarantaine par McAfee depuis la dernière fois. :o)

Salut Poupoue

A ta place je ferais une désinstallation / réinstallation de McAfee et voir si ces alertes ont toujours lieux !