Virus se relancant tout seul

Question

Bonjour à tous, 

Voilà je vous expose mon problème, merci d'avance de m'aider :)

Je suis sur un portable lenovo R61i, j'ai xp, pour les programmes j'ai malware byte, avast gratos, tune up utilities, jk defrag... Je l'ai allègé au maximum donc supprimé tout les programmes inutiles au pc... J'ai remplacé adobe qui est un grande source de virus par sumatra ( gratuis )... Bref j'ai essayé de prendre mes précautions. 
En temps normal, il est bien rapide je n'ai a me plaindre de rien, et la il est vraiment lent, beaucoup trop... 

J'ai fais un scan complet avec malware byte et avast et le rapport a détecté des virus, 2 par malware et 1 ( ou deux :/ ) par avast... 
Je les ai supprimé et j'ai relancé le pc, il refonctionnait a merveille, limite plus rapide qu'avant. 

Mais ici les problèmes sont revenu, bizarrement alors que je n'ai rien été chercher sur le net... 
D'ou ma question, est-ce possible qu'un virus se recharge automatiquement sur mon pc? 

Bonne soirée et merci,

pitzo

Utilisateur anonyme · Answer

Salut,

Sumatra ne donne aucun virus :

http://www.security-helpzone.com/Thread-Sumatra-PDF-Un-lecteur-plus-simple-et-plus-leger-qu-Adobe-Reader

Ferme et enregistre toutes tes applications en cours        

Télécharge et enregistre ceci sur ton bureau :        

Pre_Scan          

Une fois téléchargé lance-le et laisse faire le scan

Tous les processus non vitaux seront coupés, donc il se peut que ton Antivirus aussi, c'est normal !

Si l'outil détecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"        

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaîtra sur le bureau en fin de scan grâce à ce qui suit :

&#9654 Clique sur ce lien : https://www.cjoint.com/        

&#9654 Clique sur Parcourir, et sélectionne le fichier Pre_Scan_la_date_et_l'heure.txt sur ton bureau    

&#9654 Donne moi le lien en résultant

&#9654 Si Cjoint ne fonctionne pas, consulte cette page : Autres hébergeurs en ligne

pitzora · Answer

Il me met un message d'erreur quand je le lance ... 

Winlogon, c'est quoi? Et pourquoi le nom de l'auteur est hackman :D haha

Utilisateur anonyme · Answer

Gen-hackman est un ami :

https://forums.commentcamarche.net/forum/statistics/

Quel est le message ?

pitzora · Answer

Un message avec line 15488, an error must be object ... 


merci de ta rapidité ;)

Utilisateur anonyme · Answer

Je lui fait la remonté de suite.

pitzora · Answer

j'ai résolu le probleme, c'est parce qu'il n'était pas sur mon bureau... par contre est ce normal que ca me coupe tout? que je ne vois plus que la souris et que ca prenne un certain temps?

g3n-h@ckm@n · Answer

bonsoir quel souci avec pre_scan ?

pitzora · Answer

Je l'avais lancé depuis le dossier de réception et non le bureau.
Par contre est ce normal que ca prenne facilement 10 minutes? 

J'ai coupé mon ordi et redémarré, et voila qu'il me met que windows n'a pas pu trouver la session , bizarre... 
mais la ca va  j'ai reussis a rentré grace au lecteur d'emprunte, avec le mot de passe ca n'allait pas bizarement. .. 

Merci, pitzo

juju666 · Answer

Yo, 

J'aime pas trop ce passage :  

Je l'ai allègé au maximum donc supprimé tout les programmes inutiles au pc...

Si Windows implémente des fonctions dans son système d'exploitation, c'parce qu'à un moment où l'autre elles servent ....  
 .::. Contributeur Sécurité .::.

pitzora · Answer

Je n'ai pas supprimé les programmes windows , ou quoique ce soit niveau sécurité, juste les programmes connu pour etre des cibles ou alors les programme implanté par la marques dans le pc que personne n'utilise jamais... :) 

pitzo

pitzora · Answer

j'ai lancé winlog on, mais une fois que le bureau n'est plus affiché, cela reste comme ca indéfiniment ... Ca doit faire 15 min la

g3n-h@ckm@n · Answer

ressaie en mode sans echec

pitzora · Answer

C'est possible que le lancement en mode sans echec ( avec ou sans prise en charge reseau ) ne fonctionne pas? 
Quand j'appuie sur enter pour demarrier en mode sans echec, il m'affice une fenetre avec juste un _ qui clignote... pendant longtemps aussi :p

g3n-h@ckm@n · Answer

des fois c est un peu long à partir oui...

pitzora · Answer

je recommence alors, désolé du temps que ca prend

pitzora · Answer

Ca a effectivement fonctionné, mais voila , a la fin du scan il me demande de laisser pre scan redemarrer le pc en mode normal, et la mon ordi se coupe, l'ecran et rien ne répond, mais les ventilo fonctionnent tjs... Donc j'ai du appuyer longtemps sur le bouton d'allumage du pc. 

Et pas de rapport pre scan :/

g3n-h@ckm@n · Answer

dans c:\

pitzora · Answer

https://pjjoint.malekal.com/files.php?id=20120612_j8o7q5i12t15

Voila le rapport

g3n-h@ckm@n · Answer

ca bloque au MBR encore....bien ton helper va te dire quoi faire pour la suite

pitzora · Answer

Ca veut dire que ca bloque ou? MBR c'est quoi? 

Mon helper, c'est qui? Parce que je vais devoir quitter le pc pour aujourd'hui, si c'est possible de reprendre demeain ca serait bien ... 

Pitzo

Utilisateur anonyme · Answer

Salut,

/!\ ATTENTION SUIVRE A LA LETTRE CES INDICATIONS /!\

_____________________________________________________
Logiciel à utiliser si prescrit par un helpeur qualifié et formé à l'outil

>>> Ne pas utiliser en dehors de ce cas de figure : dangereux <<<
_____________________________________________________

▶ Surtout, pense à l'enregistrement à renommer Combofix en "ton prenom.exe" avant qu'il soit enregistré sur ton disque dur

▶ Telecharge ici : Combofix

Avant d'utiliser ComboFix :

Si tu utilises AVG, il faut impérativement le désinstaller avant d'utiliser Combofix car il peut causer des dégâts en interaction avec l'outil pouvant mener à la réinstallation totale du système ! La simple désactivation du résident n'est pas suffisante.
En suivant ce lien, recherche AVG et choisis la version adéquat, puis lance l'outil.

▶ Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement :

▶ Télécharge et lance Defogger (de jpshortstuff) sur ton Bureau

▶ Une fenêtre apparaît : clique sur "Disable"

▶ Fais redémarrer l'ordinateur si l'outil te le demande

Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable".

_________________________________________________________
▶ Enregistre et ferme tous tes programmes en cours
▶ Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, toutes tes protections (Antivirus, AntiSpyware etc...) qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.
_________________________________________________________

Si tu as Windows XP -> double clique sur le logiciel pour le lancer.
Si tu as Windows Vista ou Windows 7 -> clic droit "exécuter en tant qu'administrateur" sur le logiciel pour le lancer.

¤¤ Accepte l'installation de la console de récupération si demandé ¤¤

! Ne touche à rien pendant que l'outil travaille (souris, clavier...) !

▶ Une fois que ComboFix a terminé, n'oublie pas de réactiver la garde de tes protections avant de te reconnecter à Internet

▶▶ Reviens sur le forum, et copie / colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

pitzora · Answer

Merci de m'aider :) 

Voilà pour le rapport ( ci-dessous )

J'ai une autre question qui peut paraitre idiote, mais les virus détectés sur mon pc par combofix, que faisait-il réellement a mon pc? 
Même question pour les virus généralement retrouvé sur les ordis, on parle souvent de trojan ou quoi, mais je ne vois quand même jamais des gens dire qu'on leur a voler des codes, ou bien qu'on controle reellement leur ordi? 

Par exemple, en faisant un scan avec malware et avast j'ai détecté 4 menaces, mais a part me bouffer de la mémoire et ralentir mon pc, je ne vois pas l'utilité.

Merci



ComboFix 12-06-13.02 - pierre 13/06/2012  17:42:58.1.2 - x86
Microsoft Windows XP Professionnel  5.1.2600.3.1252.33.1036.18.1014.501 [GMT 2:00]
Lancé depuis: c:\documents and settings\pierre\Bureau\pierre.exe
AV: avast! Antivirus *Disabled/Updated* {7591DB91-41F0-48A3-B128-1A293FD8233D}
FW: COMODO Firewall *Enabled* {043803A3-4F86-4ef6-AFC5-F6E02A79969B}
.
.
((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\documents and settings\pierre\Application Data\cacaoweb
c:\documents and settings\pierre\Application Data\cacaoweb\download2tUFEONhkjB4256329036.cacao
c:\documents and settings\pierre\Application Data\cacaoweb
pdfile.dat
c:\documents and settings\pierre\Application Data\cacaowebeplicating47DD89ED009E69ABC72435F82F42E0BD.cacao
c:\documents and settings\pierre\Application Data\cacaoweb\storage.db
c:\documents and settings\pierre\WINDOWS
c:\program files\cacaoweb
.
.
(((((((((((((((((((((((((((((   Fichiers créés du 2012-05-13 au 2012-06-13  ))))))))))))))))))))))))))))))))))))
.
.
2012-06-11 20:12 . 2012-06-11 21:55	--------	d-----w-	C:\Pre_Scan
2012-05-15 15:38 . 2012-05-15 15:38	--------	d-----w-	c:\program files\VVVVVV
.
.
.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-05-31 13:22 . 2008-04-14 12:00	606208	----a-w-	c:\windows\system32\crypt32.dll
2012-04-11 13:51 . 2008-04-13 19:07	2028544	----a-w-	c:\windows\system32
tkrnlpa.exe
2012-04-11 13:51 . 2008-04-14 12:00	2150400	----a-w-	c:\windows\system32
toskrnl.exe
2012-04-11 13:51 . 2008-04-14 12:00	1862400	----a-w-	c:\windows\system32\win32k.sys
2012-04-04 13:56 . 2011-12-10 08:57	22344	----a-w-	c:\windows\system32\drivers\mbam.sys
2012-06-06 21:36 . 2012-06-06 21:36	97208	----a-w-	c:\program files\mozilla firefox\components\browsercomps.dll
.
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\00avast]
@="{472083B0-C522-11CF-8763-00608CC02F24}"
[HKEY_CLASSES_ROOT\CLSID\{472083B0-C522-11CF-8763-00608CC02F24}]
2011-02-23 15:04	122512	----a-w-	c:\program files\AVAST Software\Avast\ashShell.dll
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2010-02-05 141336]
"PSQLLauncher"="c:\program files\ThinkVantage Fingerprint Software\launcher.exe" [2008-06-24 49928]
"COMODO Internet Security"="c:\program files\COMODO\COMODO Internet Security\cfp.exe" [2011-01-17 2548552]
"avast"="c:\program files\AVAST Software\Avast\avastUI.exe" [2011-02-23 3451496]
"Malwarebytes' Anti-Malware"="c:\program files\Malwarebytes' Anti-Malware\mbamgui.exe" [2012-04-04 462408]
"SunJavaUpdateSched"="c:\program files\Fichiers communs\Java\Java Update\jusched.exe" [2011-06-09 254696]
"LogitechCommunicationsManager"="c:\program files\Fichiers communs\LogiShrd\LComMgr\Communications_Helper.exe" [2007-10-25 563984]
"TkBellExe"="c:\program files\Real\RealPlayer\updateealsched.exe" [2012-02-04 296056]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 0 (0x0)
"PromptOnSecureDesktop"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon
otify\psfus]
2008-06-24 16:31	95496	----a-w-	c:\windows\system32\psqlpwd.dll
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=c:\windows\system32\guard32.dll
.
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Notification Packages	REG_MULTI_SZ   	scecli psqlpwd
.
[HKLM\~\startupfolder\C:^Documents and Settings^pierre^Menu Démarrer^Programmes^Démarrage^OpenOffice.org 3.3.lnk]
path=c:\documents and settings\pierre\Menu Démarrer\Programmes\Démarrage\OpenOffice.org 3.3.lnk
backup=c:\windows\pss\OpenOffice.org 3.3.lnkStartup
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LogitechQuickCamRibbon]
2007-10-25 15:37	2178832	----a-w-	c:\program files\Logitech\QuickCam\Quickcam.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype]
2011-10-13 08:27	17351304	----a-r-	c:\program files\Skype\Phone\Skype.exe
.
[HKEY_CURRENT_USER\software\microsoft\windows\currentversionun-]
"CTFMON.EXE"=c:\windows\system32\ctfmon.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun-]
"Persistence"=c:\windows\system32\igfxpers.exe
"HotKeysCmds"=c:\windows\system32\hkcmd.exe
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\Network Diagnostic\xpnetdiag.exe"=
"%windir%\system32\sessmgr.exe"=
"c:\Program Files\Skype\Phone\Skype.exe"=
"c:\Program Files\uTorrent\uTorrent.exe"=
.
R1 aswSnx;aswSnx;c:\windows\system32\drivers\aswSnx.sys [13/03/2011 17:26 371544]
R1 aswSP;aswSP;c:\windows\system32\drivers\aswSP.sys [13/03/2011 17:26 301528]
R1 cmdGuard;COMODO Internet Security Sandbox Driver;c:\windows\system32\drivers\cmdGuard.sys [6/01/2011 18:37 239368]
R1 cmdHlp;COMODO Internet Security Helper Driver;c:\windows\system32\drivers\cmdhlp.sys [6/01/2011 18:37 27576]
R1 dtsoftbus01;DAEMON Tools Virtual Bus Driver;c:\windows\system32\drivers\dtsoftbus01.sys [13/02/2012 15:51 242240]
R2 aswFsBlk;aswFsBlk;c:\windows\system32\drivers\aswFsBlk.sys [13/03/2011 17:26 19544]
R2 MBAMService;MBAMService;c:\program files\Malwarebytes' Anti-Malware\mbamservice.exe [10/12/2011 10:57 654408]
R2 smihlp;SMI Helper Driver (smihlp);c:\program files\Fichiers communs\ThinkVantage Fingerprint Software\Drivers\smihlp.sys [24/06/2008 18:07 12560]
R2 TuneUp.UtilitiesSvc;TuneUp Utilities Service;c:\program files\TuneUp Utilities 2011\TuneUpUtilitiesService32.exe [30/03/2011 20:19 1523008]
R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [10/12/2011 10:57 22344]
R3 NETwLx32;    Pilote de carte de la série Intel(R) Wireless WiFi Link 5000 pour Windows XP 32 bits ;c:\windows\system32\drivers\NETwLx32.sys [13/03/2011 11:27 6609920]
R3 TuneUpUtilitiesDrv;TuneUpUtilitiesDrv;c:\program files\TuneUp Utilities 2011\TuneUpUtilitiesDriver32.sys [10/02/2011 12:22 10064]
.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs
UxTuneUp
.
Contenu du dossier 'Tâches planifiées'
.
2012-06-13 c:\windows\Tasks\RealUpgradeLogonTaskS-1-5-21-861567501-1214440339-1606980848-1003.job
- c:\program files\Real\RealUpgradeealupgrade.exe [2011-11-29 15:02]
.
2012-06-13 c:\windows\Tasks\RealUpgradeScheduledTaskS-1-5-21-861567501-1214440339-1606980848-1003.job
- c:\program files\Real\RealUpgradeealupgrade.exe [2011-11-29 15:02]
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://www.google.com/
IE: Envoyer au périphérique &Bluetooth... - c:\program files\ThinkPad\Bluetooth Software\btsendto_ie_ctx.htm
IE: Envoyer à Bluetooth - c:\program files\ThinkPad\Bluetooth Software\btsendto_ie.htm
TCP: DhcpNameServer = 192.168.0.1
TCP: Interfaces\{796B9400-44DF-4BA0-8ED7-9859AD78D85D}: NameServer = 156.154.70.25,156.154.71.25
TCP: Interfaces\{AAB6BACB-9F08-4198-8786-4EE82060DF26}: NameServer = 156.154.70.25,156.154.71.25
FF - ProfilePath - c:\documents and settings\pierre\Application Data\Mozilla\Firefox\Profiles\oqut8i5j.default\
FF - prefs.js: browser.startup.homepage - www.google.be
FF - user.js: network.http.max-persistent-connections-per-server - 4
FF - user.js: nglayout.initialpaint.delay - 600
FF - user.js: content.notify.interval - 600000
FF - user.js: content.max.tokenizing.time - 1800000
FF - user.js: content.switch.threshold - 600000
.
- - - - ORPHELINS SUPPRIMES - - - -
.
MSConfigStartUp-Facebook Update - c:\documents and settings\pierre\Local Settings\Application Data\Facebook\Update\FacebookUpdate.exe
MSConfigStartUp-PC Suite Tray - c:\program files\Nokia\Nokia PC Suite 7\PCSuite.exe
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2012-06-13 18:05
Windows 5.1.2600 Service Pack 3 NTFS
.
detected NTDLL code modification:
ZwClose, ZwOpenFile
.
Recherche de processus cachés ... 
.
Recherche d'éléments en démarrage automatique cachés ... 
.
Recherche de fichiers cachés ... 
.
Scan terminé avec succès
Fichiers cachés: 0
.
**************************************************************************
.
--------------------- DLLs chargées dans les processus actifs ---------------------
.
- - - - - - - > 'winlogon.exe'(1024)
c:\windows\system32\guard32.dll
c:\windows\system32\vrlogon.dll
c:\windows\system32\psqlpwd.dll
c:\program files\ThinkVantage Fingerprint Software\homefus2.dll
c:\program files\ThinkVantage Fingerprint Software\infql2.dll
c:\program files\ThinkVantage Fingerprint Software\homepass.dll
c:\program files\ThinkVantage Fingerprint Software\bio.dll
c:\program files\ThinkVantage Fingerprint Software\qlbase.dll
c:\program files\ThinkVantage Fingerprint Software\ps2css.dll
c:\program files\ThinkVantage Fingerprint Software\pscssint.dll
c:\program files\ThinkVantage Fingerprint Software\vti.dll
.
- - - - - - - > 'lsass.exe'(1156)
c:\windows\system32\guard32.dll
c:\windows\system32\psqlpwd.dll
c:\program files\ThinkVantage Fingerprint Software\homefus2.dll
c:\program files\ThinkVantage Fingerprint Software\infql2.dll
.
Heure de fin: 2012-06-13  18:08:33
ComboFix-quarantined-files.txt  2012-06-13 16:08
.
Avant-CF: 52.358.713.344 octets libres
Après-CF: 52.377.829.376 octets libres
.
WindowsXP-KB310994-SP2-Pro-BootDisk-FRA.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professionnel" /noexecute=optin /fastdetect
.
- - End Of File - - 668C50FB6B5E92AB82D33B419F7093B5

Utilisateur anonyme · Answer

Combofix a supprimé des adwares, rien d'important.

Généralement, ceux sont des programmes espions dit Trojan, et des Rootkit... Rien de non dégommable.

> Télécharge aswMBR.exe sur ton Bureau.
> Double clique sur aswMBR.exe pour l'exécuter (Clique droit/Exécuter en tant qu'administrateur pour Vista/7)
> Clique sur le bouton Scan
> Clique sur le bouton Fix si il n'est pas grisé.
> Clique sur save log. Enregistre le rapport sur ton bureau.
> Héberge le rapport sur http://www.cjoint.com, et donne-moi le lien vers celui-ci.

pitzora · Answer

Encore merci de m'aider ;)

J'aimerai savoir ce que combofix a fait exactement et ce qu'il a détecté si ce n'est pas trop demandé de ton temps :) 

Je post le rapport des que j'ai fais la manip avec aswMBR ! 

Pitzo

pitzora · Answer

Voila pour le rapport ;) 

https://pjjoint.malekal.com/files.php?id=20120613_d5f15l11o11e8

pitzo

Utilisateur anonyme · Answer

Salut,

Réessaye Pre_Scan voir ?

Pour les adwares que Combofix a supprimé (simplement à lire) :

https://www.security-helpzone.com/2013/02/24/securite-adware-adwcleaner_suprimer_logiciels_indesirables/

On ne stocke pas ses mots de passes bancaires sur son pc... hormis dans un coffre fort :)

pitzora · Answer

Désolé du retard, mais je suis partis en voyage cette semaine. 

Voici le rapport de winlogon.exe : 

http://pjjoint.malekal.com/files.php?id=20120626_q12r1312s7b13

Merci :)

g3n-h@ckm@n · Answer

salut il aurait mieux valu le retelecharger....

Virus se relancant tout seul

28 réponses

Votre réponse

Discussions similaires

Newsletters