services.exe,svchost.exe + probleme windows7 Résolu

Question

Bonjour, 

j'ai eu récemment un problème avec une arnaque internet qui s'ouvrait sur mon ordinateur (arnaque gendarmerie nationale qui réclame 100€) j'ai réussi a l'enlevé en faisant une restauration système a la suite de quoi j'ai installé spybot pour enlever tout les malwares
cependant quelques problèmes persistent une image vaut mieux que des mots alors voilà :

http://www.noelshack.com/2012-30-1343395552-sans-titre-3.jpg

http://www.noelshack.com/2012-30-1343395541-sans-titre-4.jpg (ici c'est services.exe mais il y a la meme chose pour svchost.exe)


Configuration: Windows 7 / Firefox 15.0

Utilisateur anonyme · Answer

Tu as sans doute des virus sur ton PC.

Je te conseille de demander à un expert sécurité CCM de t'aider à faire une désinfection de ton PC, comme celle-ci: https://forums.commentcamarche.net/forum/affich-25645867-du-son-qui-sors-de-nulle-part

Utilisateur anonyme · Answer

bonjour,

j'ai des oreilles qui siflottent  :P

on parle de moi je suppose  :D

alors, quel est le problème ?

Snare94 · Answer

ah super merci ^^ le problème c'est ce qu'il y a en screen et je ne peux plus faire de mise a jour windows et avast bloque quasiment toute les 30secondes un cheval de troie qui est dans = C:\Windows\System32\services.exe alors que d'apres ce que j'ai regardé c'est tout a fait normal qu'il soit ici

Utilisateur anonyme · Answer

wép GH  :D

 *	[*] Télécharger et enregistre RogueKiller sur le bureau 
https://www.luanagames.com/index.fr.html (by tigzy) 
[*] Quitter tous les programmes
[*] Lancer RogueKiller.exe.
[*] Attendre que le Prescan ait fini ...
[*] Cliquer sur Scan. Cliquer sur Rapport et copier coller le contenu du notepad

Note : Si Roguekiller ne se lance pas, change son nom en Winlogon.

Snare94 · Answer

RogueKiller V7.6.4 [17/07/2012] par Tigzy mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows 7 (6.1.7601 Service Pack 1) 64 bits version Demarrage : Mode normal Utilisateur: Admin [Droits d'admin] Mode: Recherche -- Date: 27/07/2012 15:55:56 ¤¤¤ Processus malicieux: 1 ¤¤¤ [SUSP PATH] xsecva.exe -- C:\Users\Admin\AppData\Roaming\xsecva\xsecva.exe -> KILLED [TermProc] ¤¤¤ Entrees de registre: 7 ¤¤¤ [BLACKLIST DLL] HKLM\[...]\Run : qerizr (rundll32.exe "C:\Users\Admin\AppData\Roaming\qerizr.dll",OpenFileStreamW) -> FOUND [SUSP PATH] HKLM\[...]\Wow6432Node\Run : XSECVA ("C:\Users\Admin\AppData\Roaming\xsecva\xsecva.exe" -s) -> FOUND [HJ] HKLM\[...]\System : ConsentPromptBehaviorAdmin (0) -> FOUND [HJ] HKLM\[...]\System : EnableLUA (0) -> FOUND [ZeroAccess] HKCR\[...]\InprocServer32 : (C:\Users\Admin\AppData\Local\{d85e354f-5505-3c24-5cf5-132ebf34116c}\n.) -> FOUND [HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ [ZeroAccess][FILE] n : c:\windows\installer\{d85e354f-5505-3c24-5cf5-132ebf34116c}\n --> FOUND [ZeroAccess][FILE] @ : c:\windows\installer\{d85e354f-5505-3c24-5cf5-132ebf34116c}\@ --> FOUND [ZeroAccess][FOLDER] U : c:\windows\installer\{d85e354f-5505-3c24-5cf5-132ebf34116c}\U --> FOUND [ZeroAccess][FOLDER] L : c:\windows\installer\{d85e354f-5505-3c24-5cf5-132ebf34116c}\L --> FOUND [ZeroAccess][FILE] n : c:\users\admin\appdata\local\{d85e354f-5505-3c24-5cf5-132ebf34116c}\n --> FOUND [ZeroAccess][FILE] @ : c:\users\admin\appdata\local\{d85e354f-5505-3c24-5cf5-132ebf34116c}\@ --> FOUND [ZeroAccess][FOLDER] U : c:\users\admin\appdata\local\{d85e354f-5505-3c24-5cf5-132ebf34116c}\U --> FOUND [ZeroAccess][FOLDER] L : c:\users\admin\appdata\local\{d85e354f-5505-3c24-5cf5-132ebf34116c}\L --> FOUND [ZeroAccess][FILE] Desktop.ini : c:\windows\assembly\gac_32\desktop.ini --> FOUND [ZeroAccess][FILE] Desktop.ini : c:\windows\assembly\gac_64\desktop.ini --> FOUND ¤¤¤ Driver: [NON CHARGE] ¤¤¤ ¤¤¤ Infection : ZeroAccess ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 www.007guard.com 127.0.0.1 007guard.com 127.0.0.1 008i.com 127.0.0.1 www.008k.com 127.0.0.1 008k.com 127.0.0.1 www.00hq.com 127.0.0.1 00hq.com 127.0.0.1 010402.com 127.0.0.1 www.032439.com 127.0.0.1 032439.com 127.0.0.1 www.0scan.com 127.0.0.1 0scan.com 127.0.0.1 www.1000gratisproben.com 127.0.0.1 1000gratisproben.com 127.0.0.1 1001namen.com 127.0.0.1 www.1001namen.com 127.0.0.1 100888290cs.com 127.0.0.1 www.100888290cs.com 127.0.0.1 www.100sexlinks.com 127.0.0.1 100sexlinks.com [...] ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: WDC WD3000HLFS-01MZUV0 ATA Device +++++ --- User --- [MBR] c110dcdd6f8c55d8ad1dfc75da0afc9c [BSP] 5fbbda3159b3ea77651d5b40f82f5ab5 : Windows 7 MBR Code Partition table: 0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 286066 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[1].txt >> RKreport[1].txt PS : je vais etre pas la pendant une petite heure je te réponds des que je reviens ^^

Utilisateur anonyme · Answer

ok, quand tu sera de retours :

relance Roguekiller, clique sur Supprimer, poste son rapport,

l'infection va disparaitre, mais ce n'est pas pour autant que tu es tiré d'affaire  :P

Snare94 · Answer

Voilà j'ai refait le scan et supprimer comme tu m'as dit : RogueKiller V7.6.4 [17/07/2012] par Tigzy mail: tigzyRKgmailcom Remontees: https://www.luanagames.com/index.fr.html Blog: http://tigzyrk.blogspot.com Systeme d'exploitation: Windows 7 (6.1.7601 Service Pack 1) 64 bits version Demarrage : Mode normal Utilisateur: Admin [Droits d'admin] Mode: Suppression -- Date: 27/07/2012 17:07:42 ¤¤¤ Processus malicieux: 1 ¤¤¤ [SUSP PATH] xsecva.exe -- C:\Users\Admin\AppData\Roaming\xsecva\xsecva.exe -> KILLED [TermProc] ¤¤¤ Entrees de registre: 0 ¤¤¤ ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ [ZeroAccess][FOLDER] n : c:\windows\installer\{d85e354f-5505-3c24-5cf5-132ebf34116c} --> RAR ERROR [ZeroAccess][FILE] @ : c:\windows\installer\{d85e354f-5505-3c24-5cf5-132ebf34116c}\@ --> REMOVED AT REBOOT [ZeroAccess][FOLDER] U : c:\windows\installer\{d85e354f-5505-3c24-5cf5-132ebf34116c}\U --> RAR ERROR [ZeroAccess][FOLDER] L : c:\windows\installer\{d85e354f-5505-3c24-5cf5-132ebf34116c}\L --> RAR ERROR [ZeroAccess][FOLDER] n : c:\users\admin\appdata\local\{d85e354f-5505-3c24-5cf5-132ebf34116c} --> RAR ERROR [ZeroAccess][FOLDER] @ : c:\users\admin\appdata\local\{d85e354f-5505-3c24-5cf5-132ebf34116c}\@ --> RAR ERROR [ZeroAccess][FOLDER] U : c:\users\admin\appdata\local\{d85e354f-5505-3c24-5cf5-132ebf34116c}\U --> RAR ERROR [ZeroAccess][FOLDER] L : c:\users\admin\appdata\local\{d85e354f-5505-3c24-5cf5-132ebf34116c}\L --> RAR ERROR [ZeroAccess][FILE] Desktop.ini : c:\windows\assembly\gac_32\desktop.ini --> REMOVED AT REBOOT [ZeroAccess][FILE] Desktop.ini : c:\windows\assembly\gac_64\desktop.ini --> REMOVED AT REBOOT ¤¤¤ Driver: [NON CHARGE] ¤¤¤ ¤¤¤ Infection : ZeroAccess ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ 127.0.0.1 www.007guard.com 127.0.0.1 007guard.com 127.0.0.1 008i.com 127.0.0.1 www.008k.com 127.0.0.1 008k.com 127.0.0.1 www.00hq.com 127.0.0.1 00hq.com 127.0.0.1 010402.com 127.0.0.1 www.032439.com 127.0.0.1 032439.com 127.0.0.1 www.0scan.com 127.0.0.1 0scan.com 127.0.0.1 www.1000gratisproben.com 127.0.0.1 1000gratisproben.com 127.0.0.1 1001namen.com 127.0.0.1 www.1001namen.com 127.0.0.1 100888290cs.com 127.0.0.1 www.100888290cs.com 127.0.0.1 www.100sexlinks.com 127.0.0.1 100sexlinks.com [...] ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: WDC WD3000HLFS-01MZUV0 ATA Device +++++ --- User --- [MBR] c110dcdd6f8c55d8ad1dfc75da0afc9c [BSP] 5fbbda3159b3ea77651d5b40f82f5ab5 : Windows 7 MBR Code Partition table: 0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 286066 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[4].txt >> RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt PS2 : et j'ai cette page qui s'ouvre quand le scan est fini : http://tigzyrk.blogspot.fr/2011/09/rootkit-zeroaccess-max.html (je ne sais pas si ca peut t'aider ^^)

Utilisateur anonyme · Answer

Tigzy a pris le soin de mettre cette page pour que l'internaute Lambda puisse se débrouiller tout seul  :D


tu as effectivement un Zaccess !


*	Télécharge TDSSKiller sur ton bureau :

https://support.kaspersky.com/downloads/utils/tdsskiller.exe

*  Lance le ( Utilisateurs de vista/Seven -> Clic droit puis " Exécuter en tant qu'administrateur " ) 

*  Clique sur [Start Scan] pour démarrer l'analyse. 

*  Si des élements sont trouvés, cliques sur [Continue] puis sur [Reboot Now] 

*  Un rapport s'ouvrira au redémarrage du PC. 

*  Copie/Colle son contenu dans ta prochaine réponse. 

Note : Le rapport se trouve également sous C:\TDSSKiller.N°deversion_Date_Heure_log.txt.

note : 
 Conserve l'action proposée par défaut par l'outil :

- Si TDSS.tdl2 : l'option Delete sera cochée. 
- Si TDSS.tdl3 ou TDSS.tdl4 : assure toi que Cure soit bien cochée. 
- Si "Suspicious object" ou Sptd ou ForgedFile.Multi.Generic : laisse l'option cochée sur Skip
- Si Rootkit.Win32.ZAccess.* est détecté règle sur cure en haut , et delete en bas:D

Snare94 · Answer

je viens de le faire et le scan n'a trouvé aucune menace

Utilisateur anonyme · Answer

ok, 

on verra si ctte outil pourra faire l'affaire :


vérifie bien que la restauration systè-me soit active,

crée un nouveau point de restauration systeme au cas ou il faut restaurer le pc !


*		/!\Avertissement :
Ce logiciel n'est à utiliser que prescrit par un helper qualifié.
Ne pas utiliser en dehors de ce cas de figure : dangereux! 


	
&#9658; Télécharges ComboFix à partir de ce lien et enregistres le sur ton bureau :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 
ou ici :
https://forum.pcastuces.com/combofix_renomme_au_telechargement-f31s22.htm 
A lire 
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix 

Avant d'utiliser ComboFix :
 
&#9658; ferme les fenêtres de tous les programmes en cours.
 
&#9658; Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 
Une fois fait, sur ton bureau double-clic sur Combofix.exe. 

/!\Utilisateur de Vista : Clique droit sur le logo de Combofix, « exécuter en tant qu'Administrateur »

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.
 
- il se peut que Combofix ait besoin de se connecter à internet pour trouver les mises à jour, donc il faut l'autoriser.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.
 
- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 
- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\ComboFix\ComboFix.txt) 
&#9658; Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 
&#9658; Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

Snare94 · Answer

j'ai du envoyé le scan malgré que avast n'ai pas pu se fermé j'ai pourtant désactiver tout, en ce moment le PC redémarre car combofix a trouvé un fichier infecté (services.exe) je metterai le rapport en modification de ce post :)

Utilisateur anonyme · Answer

super,

Télécharge Malwarebytes' Anti-Malware et enregistre le sur ton bureau:

https://fr.malwarebytes.com/mwb-download/
ou :

https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
 
ou ici :
 https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/

 
/!\Utilisateur de Vista et Windows 7 : Clique droit sur le logo de Malwarebytes' Anti-Malware, « exécuter en tant qu'Administrateur »

. Double cliques sur le fichier téléchargé pour lancer le processus d'installation. 
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour 
. si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes 
. Une fois la mise à jour terminé
. rend-toi dans l'onglet, Recherche 
. Sélectionnes Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre. 
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés. 
. Cliques sur Ok pour poursuivre. 
. Si des malwares ont été détectés, cliques sur Afficher les résultats 
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. 
. rends toi dans l'onglet rapport/log 
. tu cliques dessus pour l'afficher une fois affiché 
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous 
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse 
. Tu cliques droit dans le cadre de la réponse et coller 
. À la fin du scan, il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!

Si tu as besoin d'aide regarde ce tutoriel : 
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

Snare94 · Answer

ok merci bien :)

petite question par la, tu me conseille quoi comme antivirus ?

Utilisateur anonyme · Answer

attends, on en arrivera dans peu de temps  :D

Snare94 · Answer

désolé de la réponse un peu tardive ^^

Malwarebytes Anti-Malware (Essai) 1.62.0.1300
www.malwarebytes.org

Version de la base de données: v2012.07.27.10

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
Admin :: ADMIN-PC [administrateur]

Protection: Activé

27/07/2012 22:38:22
mbam-log-2012-07-27 (22-38-22).txt

Type d'examen: Examen complet (C:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 340873
Temps écoulé: 20 minute(s), 

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 9
C:\Users\Admin\Desktop\programme divers\GP install mini\Keygen.exe (RiskWare.Tool.CK) -> Aucune action effectuée.
C:\Qoobox\Quarantine\C\Users\Admin\AppData\Roaming\qerizr.dll.vir (Trojan.Midhos) -> Mis en quarantaine et supprimé avec succès.
C:\Qoobox\Quarantine\C\Windows\assembly\GAC_32\Desktop.ini.vir (Trojan.0access) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Admin\AppData\Roaming\xsecva\xsecva.exe (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Admin\Desktop\RK_Quarantine\00000008.@.vir (Trojan.Dropper.BCMiner) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Admin\Desktop\RK_Quarantine
.vir (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Admin\Desktop\RK_Quarantine\qerizr.dll.vir (Trojan.Midhos) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Admin\Desktop\RK_Quarantine\xsecva.exe.vir (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Admin\Downloads\SoftonicDownloader_pour_daemon-tools.exe (PUP.BundleOffer.Downloader.S) -> Mis en quarantaine et supprimé avec succès.

(fin)

Utilisateur anonyme · Answer

mdr GH !


relance MBAM, refais une nouvelle mise à jour, lance un nouveau scan complet, s'il trouve des choses, mets le tout dans la quarantaine, puis vide la !


poste son rapport!

Snare94 · Answer

Voilà : 
Malwarebytes Anti-Malware (Essai) 1.62.0.1300
www.malwarebytes.org

Version de la base de données: v2012.07.27.10

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
Admin :: ADMIN-PC [administrateur]

Protection: Activé

28/07/2012 09:50:06
mbam-log-2012-07-28 (09-50-06).txt

Type d'examen: Examen personnalisé (C:\Users\Admin\Desktop\programme divers\GP install mini|)
Options d'examen activées: Système de fichiers | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: Mémoire | Démarrage | Registre | Heuristique/Extra | P2P
Elément(s) analysé(s): 2
Temps écoulé: 2 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 1
C:\Users\Admin\Desktop\programme divers\GP install mini\Keygen.exe (RiskWare.Tool.CK) -> Mis en quarantaine et supprimé avec succès.

(fin)

Utilisateur anonyme · Answer

super,

vide de nouveau la quarantaine de MBAM,


* Télécharge ZHPDiag sur ton bureau :
	

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 
ou 
http://www.premiumorange.com/zeb-help-process/zhpdiag.html 
ou 
https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/
 
* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin. 

/!\Utilisateur de Vista et Seven : 

1/ Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »

2/ Dans l'interface de Zhpdiag, clique sur l'Uac, il faut le réactiver à la fin du nettoyage.

* Clique sur le tourne vis, selectionne tous les modules.

* Clique sur l'icône représentant une loupe (« Lancer le diagnostic ») 
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette 
* Héberge le rapport ZHPDiag.txt sur Cjoint, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :


https://www.cjoint.com/  => https://www.commentcamarche.net/faq/29493-utiliser-cjoint-pour-heberger-des-fichiers

Snare94 · Answer

http://cjoint.com/12ju/BGCkJJDHbpR.htm

Utilisateur anonyme · Answer

installe la dernière version de java depuis son site dédié,

désinstalle les anciennes version !


il est temps de passer à une version plus récente d'antivirus avast ou autre, tu as la version 5 !



attention au P2P, les cracks et keygen !!!





les barres d'outils ne sont pas obligatoires !





*	Lance ZHPFix via le raccourci sur ton Bureau



Clique sur l'icone représentant la lettre H (« coller les lignes Helper ») 


ouvre ce document et fais un copier coller de la totalité du contenu, dans la fenêtre de zhpfix :


https://www.cjoint.com/?BGCk7JpUhm9



---------------------------------------------------------- 
 
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse
Tuto :

http://www.premiumorange.com/zeb-help-process/zhpfix.html

Services.exe,svchost.exe + probleme windows7

29 réponses

Discussions similaires

Newsletters