Win32/CoinMiner détecté et non supprimable Résolu/Fermé

Question

Bonjour, 

depuis plusieurs jours, Windows Defender, via les alertes de Windows 7, prétend détecter le programme Win32/CoinMiner.

Détails :

Ressources :
process:
pid:2744

process:
pid:3156

process:
pid:5156


Il réapparait après chaque suppression.

J'ai tenté une désinfection via divers logiciels (Antivir, Malwarebytes, etc.) mais sans succès. Mes définitions de virus et Windows sont à priori à jour.

J'ai regardé les posts concernant ce problème rencontré par d'autres personnes mais la solution semble dépendre de la configuration de chacun.

Quelqu'un aurait-il le temps et l'énergie de m'aider à me débarrasser de ce programme ?

Cordialement,

Guillaume



Configuration: Windows 7 / Firefox 14.0.1

Utilisateur anonyme · Answer

bonjour,

* Télécharge ZHPDiag sur ton bureau :
	

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 
ou 
http://www.premiumorange.com/zeb-help-process/zhpdiag.html 
ou 
https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/
 
* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin. 

/!\Utilisateur de Vista et Seven : 

1/ Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »

2/ Dans l'interface de Zhpdiag, clique sur l'Uac, il faut le réactiver à la fin du nettoyage.

* Clique sur le tourne vis, selectionne tous les modules.

* Clique sur l'icône représentant une loupe (« Lancer le diagnostic ») 
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette 
* Héberge le rapport ZHPDiag.txt sur Cjoint, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :


https://www.cjoint.com/  => https://www.commentcamarche.net/faq/29493-utiliser-cjoint-pour-heberger-des-fichiers

guillaumedetroyes · Answer

Bonjour et merci de cette réponse aussi rapide ! 

J'ai lancé le logiciel Zhpdiag mais je n'ai pas trouvé cette fonction uac et n'ai donc pas pu la désactiver.

Depuis peu, Malwarebytes détecte et bloque des tentatives de connexion à des sites malveillants via le processus svchost.

Je précise que l'ordi que j'ai est un cadeau récent pour me dépanner et je ne connais pas l'historique de cette machine, qui a 6 ans. Peut-être qu'un formatage sera plus efficace ?

Autre problème : depuis peu de temps également j'ai un problème de double accent circonflexe (^^) ou double tréma (¨¨) lorsque j'utilise la touche dédiée : j'ai lu qu'il pouvait s'agir d'un virus. Je préfère le préciser ici au cas où cela puisse t'éclairer.

Voici le lien vers le rapport : https://www.cjoint.com/?3HcnD0sfS35

Merci encore de ton aide ! 

Je pars demain pour 3 jours mais serai disponible aujourd'hui pour des manipulations. Merci encore et bonne journée,

Guillaume

Utilisateur anonyme · Answer

désinstalle spybot, il est inutile !

encore un pc de plus e,voyé en l'air avec des crack et keygen !!!


installe la dernière version de java depuis son site dédié  !


*	Lance ZHPFix via le raccourci sur ton Bureau



Clique sur l'icone représentant la lettre H (« coller les lignes Helper ») 


*	* Copie ( Ctrl + C ) et colle ( Ctrl + V ) les lignes suivantes en gras dans Zhpfix :
---------------------------------------------------------

O87 - FAEL: "{C01E3F23-1780-4E17-B48C-E3E76A5EBFAD}" |In - Private - P6 - TRUE | .(...) -- C:\Program Files\Nuance\Nuance Cloud Connector\GladinetClient.exe (.not file.)    
O87 - FAEL: "{BD52D87A-2EF0-4EFE-BB7B-40611D52664B}" |In - Private - P17 - TRUE | .(...) -- C:\Program Files\Nuance\Nuance Cloud Connector\GladinetClient.exe (.not file.)    
O87 - FAEL: "{492AF64D-7BFE-4C25-92EA-028F999B41AF}" |In - Private - P6 - TRUE | .(...) -- C:\Program Files\Nuance\Nuance Cloud Connector\WOSVSSSvr.exe (.not file.)    
O87 - FAEL: "{C4F29AAD-D92E-4F2E-9AFF-47DA0F8C4712}" |In - Private - P17 - TRUE | .(...) -- C:\Program Files\Nuance\Nuance Cloud Connector\WOSVSSSvr.exe (.not file.)    
O87 - FAEL: "{E5312FD6-6C40-4B78-99D4-3D81C15F567E}" |In - Private - P6 - TRUE | .(...) -- C:\Program Files\Nuance\Nuance Cloud Connector\WOSVSSSvr2003.exe (.not file.)    
O87 - FAEL: "{11A2DA0A-31C7-443B-828E-9F59C370EA50}" |In - Private - P17 - TRUE | .(...) -- C:\Program Files\Nuance\Nuance Cloud Connector\WOSVSSSvr2003.exe (.not file.)    
O87 - FAEL: "{0BFB224C-EDF1-4802-BA9C-B607BF6E366F}" |In - Private - P6 - TRUE | .(...) -- C:\Program Files\Nuance\Nuance Cloud Connector\WOSVSSSvrXP32.exe (.not file.)    
O87 - FAEL: "{E9C88D07-3980-4CAD-9845-42F4542125D2}" |In - Private - P17 - TRUE | .(...) -- C:\Program Files\Nuance\Nuance Cloud Connector\WOSVSSSvrXP32.exe (.not file.)    
O87 - FAEL: "TCP Query User{D63C35EB-C18E-45E2-9D32-EAB61CB46AD8}C:\program files\comicrack\comicrack.exe" | In - Private - P6 - TRUE | .(...) -- C:\program files\comicrack\comicrack.exe
O87 - FAEL: "UDP Query User{3CEA73E7-1669-49A1-B852-E372123CE11A}C:\program files\comicrack\comicrack.exe" | In - Private - P17 - TRUE | .(...) -- C:\program files\comicrack\comicrack.exe
[HKCU\Software\Conduit]    
[HKLM\Software\Conduit]   
O4 - HKCU\..\Run: [{D63B2EAC-4DC0-5CE4-1B42-98CD59E1A666}] . (.Vcpd - Tna.) -- C:\Users\Cindoc\AppData\Roaming\Teurx\mokyo.exe    
O4 - HKUS\S-1-5-21-1205600698-3803877809-921015042-1000\..\Run: [{D63B2EAC-4DC0-5CE4-1B42-98CD59E1A666}] . (.Vcpd - Tna.) -- C:\Users\Cindoc\AppData\Roaming\Teurx\mokyo.exe    
[HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]:Shell   
[HKLM\Software\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}]    
Emptytemp
Emptyflash
EmptyCLSID


---------------------------------------------------------- 
 
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse
Tuto :

http://www.premiumorange.com/zeb-help-process/zhpfix.html






tu as déjà MBAM sur ton pc, Malwarebytes' Anti-Malware

lance le,

. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour 
. si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes 
. Une fois la mise à jour terminé
. rend-toi dans l'onglet, Recherche 
. Sélectionnes Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre. 
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés. 
. Cliques sur Ok pour poursuivre. 
. Si des malwares ont été détectés, cliques sur Afficher les résultats 
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. 
. rends toi dans l'onglet rapport/log 
. tu cliques dessus pour l'afficher une fois affiché 
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous 
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse 
. Tu cliques droit dans le cadre de la réponse et coller 
. À la fin du scan, il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!

Si tu as besoin d'aide regarde ce tutoriel : 
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

guillaumedetroyes · Answer

Bonjour et merci de ta réponse.

J'ai fait ce que tu m'as demandé et voici déjà le rapport de ZHPFix : 

Rapport de ZHPFix 1.2.07 par Nicolas Coolman, Update du 20/07/2012
Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-05-08-2012-21-09-08.txt
Run by Cindoc at 05/08/2012 21:09:08
Windows 7 Ultimate Edition, 32-bit Service Pack 1 (Build 7601)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Web site : http://nicolascoolman.skyrock.com/

========== Clé(s) du Registre ==========
SUPPRIME Key*: HKCU\Software\Conduit
SUPPRIME Key*: HKLM\Software\Conduit
SUPPRIME Key*: HKLM\Software\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}

========== Valeur(s) du Registre ==========
SUPPRIME {C01E3F23-1780-4E17-B48C-E3E76A5EBFAD}
SUPPRIME {BD52D87A-2EF0-4EFE-BB7B-40611D52664B}
SUPPRIME {492AF64D-7BFE-4C25-92EA-028F999B41AF}
SUPPRIME {C4F29AAD-D92E-4F2E-9AFF-47DA0F8C4712}
SUPPRIME {E5312FD6-6C40-4B78-99D4-3D81C15F567E}
SUPPRIME {11A2DA0A-31C7-443B-828E-9F59C370EA50}
SUPPRIME {0BFB224C-EDF1-4802-BA9C-B607BF6E366F}
SUPPRIME {E9C88D07-3980-4CAD-9845-42F4542125D2}
ABSENT TCP Query User{D63C35EB-C18E-45E2-9D32-EAB61CB46AD8}C:/program files/comicrack/comicrack.exe
ABSENT UDP Query User{3CEA73E7-1669-49A1-B852-E372123CE11A}C:/program files/comicrack/comicrack.exe
SUPPRIME RunValue: {D63B2EAC-4DC0-5CE4-1B42-98CD59E1A666}
ABSENT RunValue: {D63B2EAC-4DC0-5CE4-1B42-98CD59E1A666}
ABSENT [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]:Shell

========== Dossier(s) ==========
SUPPRIME Folder: C:\Users\Cindoc\AppData\Local\{31BD1C4D-4653-4F6D-98B9-03BBABF6BD1F}
SUPPRIME Folder: C:\Users\Cindoc\AppData\Local\{8DA69654-4BA1-4E05-8D51-422E3F110322}
SUPPRIME Folder: C:\Users\Cindoc\AppData\Local\{C911A74E-6D1D-46E2-AED3-56C8D51EA91A}
SUPPRIME Folder: C:\Users\Cindoc\AppData\Local\{EB7904D0-63A6-46D2-94E4-B4C2354C4E82}
SUPPRIME Folder: C:\Users\Cindoc\AppData\Local\{F8E76CFB-E008-4D8E-B27B-CE05007D7E72}

========== Fichier(s) ==========
SUPPRIME File: c:\users\cindoc\appdataoaming	eurx\mokyo.exe
ABSENT File: c:\users\cindoc\appdataoaming	eurx\mokyo.exe
SUPPRIME Temporaires Windows:
SUPPRIME Flash Cookies:


========== Récapitulatif ==========
3 : Clé(s) du Registre
13 : Valeur(s) du Registre
5 : Dossier(s)
4 : Fichier(s)


End of clean in 00mn 05s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 05/08/2012 21:09:08 [2251]


J'avais déjà effectué des scans avec MAM mais j'en relance un tout de suite, dont je posterai le rapport dès qu'il sera terminé.

Merci encore et bonne soirée ! 

Guillaume

guillaumedetroyes · Answer

Après de nombreuses tentatives, il s'avère que le scan complet de MaM plante à chaque fois, à des moments différents.

L'examen rapide a toutefois détecté une menace et l'a supprimée. Voici le rapport : 

Malwarebytes Anti-Malware (PRO) 1.62.0.1300
www.malwarebytes.org

Version de la base de données: v2012.08.05.07

Windows 7 Service Pack 1 x86 NTFS
Internet Explorer 9.0.8112.16421

Protection: Activé

05/08/2012 22:14:51
mbam-log-2012-08-05 (22-14-51).txt

Type d'examen: Examen rapide
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 180600
Temps écoulé: 5 minute(s), 18 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|{D63B2EAC-4DC0-5CE4-1B42-98CD59E1A666} (Trojan.ZbotR.Gen) -> Données: C:\Users\Cindoc\AppData\Roaming\Teurx\mokyo.exe -> Mis en quarantaine et supprimé avec succès.

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

Utilisateur anonyme · Answer

ok,

relance MBAM, vide sa quarantaine,

si tu vois que l'outil ne passe pas en mode normal, lance le en mode sans echec avec la prise en charge du réseau  :D





*		/!\Avertissement :
Ce logiciel n'est à utiliser que prescrit par un helper qualifié.
Ne pas utiliser en dehors de ce cas de figure : dangereux! 


	
&#9658; Télécharges ComboFix à partir de ce lien et enregistres le sur ton bureau :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 
ou ici :
https://forum.pcastuces.com/combofix_renomme_au_telechargement-f31s22.htm 
A lire 
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix 

Avant d'utiliser ComboFix :
 
&#9658; ferme les fenêtres de tous les programmes en cours.
 
&#9658; Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 
Une fois fait, sur ton bureau double-clic sur Combofix.exe. 

/!\Utilisateur de Vista : Clique droit sur le logo de Combofix, « exécuter en tant qu'Administrateur »

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.
 
- il se peut que Combofix ait besoin de se connecter à internet pour trouver les mises à jour, donc il faut l'autoriser.

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.
 
- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 
- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\ComboFix\ComboFix.txt) 
&#9658; Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 
&#9658; Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

guillaumedetroyes · Answer

Bonjour ! 

Le système est déjà plus rapide et le problème des accents circonflexes a disparu. Aucune menace n'est détectée par les logiciels de protection.

Voici le rapport de Combo Fix : 

ComboFix 12-08-05.02 - Cindoc 06/08/2012  14:46:24.1.2 - x86
Microsoft Windows 7 Édition Intégrale   6.1.7601.1.1252.33.1036.18.3071.1900 [GMT 2:00]
Lancé depuis: c:\users\Cindoc\Desktop\ComboFix.exe
AV: Avira Desktop *Disabled/Updated* {F67B4DE5-C0B4-6C3F-0EFF-6C83BD5D0C2C}
AV: Lavasoft Ad-Watch Live! Anti-Virus *Disabled/Updated* {9FF26384-70D4-CE6B-3ECB-E759A6A40116}
SP: Avira Desktop *Disabled/Updated* {4D1AAC01-E68E-63B1-344F-57F1C6DA4691}
SP: Lavasoft Ad-Watch Live! *Disabled/Updated* {24938260-56EE-C1E5-047B-DC2BDD234BAB}
SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
((((((((((((((((((((((((((((((((((((   Autres suppressions   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\windows\TEMP\jna1387633680789229670.dll
.
.
(((((((((((((((((((((((((((((   Fichiers créés du 2012-07-06 au 2012-08-06  ))))))))))))))))))))))))))))))))))))
.
.
2012-08-06 12:54 . 2012-08-06 12:54	--------	d-----w-	c:\users\Default\AppData\Local	emp
2012-08-06 12:17 . 2012-07-16 00:41	6891424	----a-w-	c:\programdata\Microsoft\Windows Defender\Definition Updates\{92D06D61-C269-41D2-8FAD-93961FC78266}\mpengine.dll
2012-08-05 19:11 . 2012-08-05 19:11	--------	d-----w-	c:\program files\Common Files\Java
2012-08-05 19:10 . 2012-08-05 19:10	772592	----a-w-	c:\windows\system32
pDeployJava1.dll
2012-08-05 19:10 . 2012-08-05 19:10	687600	----a-w-	c:\windows\system32\deployJava1.dll
2012-08-05 18:23 . 2012-07-16 00:41	6891424	----a-w-	c:\programdata\Microsoft\Windows Defender\Definition Updates\{8B5505B4-BAF0-42AF-A46F-7D8C33549D6D}\mpengine.dll
2012-08-02 10:57 . 2012-08-02 10:57	512	----a-w-	C:\PhysicalDisk0_MBR.bin
2012-08-02 10:44 . 2012-08-05 19:09	--------	d-----w-	C:\ZHP
2012-08-02 10:44 . 2012-08-05 19:08	--------	d-----w-	c:\program files\ZHPDiag
2012-07-23 10:07 . 2012-07-23 10:07	--------	d-----w-	C:\Device
2012-07-22 15:07 . 2012-07-22 15:07	--------	d-----w-	c:\program files\Common Files\DivX Shared
2012-07-22 15:04 . 2012-07-22 15:08	--------	d-----w-	c:\program files\DivX
2012-07-22 15:01 . 2012-07-22 15:09	--------	d-----w-	c:\programdata\DivX
2012-07-22 14:41 . 2012-07-22 14:41	--------	d-----w-	c:\program files\AviSynth 2.5
2012-07-22 14:40 . 2012-07-22 15:30	--------	d-----w-	c:\program files\Ripp-it_AM
2012-07-22 12:42 . 2012-06-06 05:05	1390080	----a-w-	c:\windows\system32\msxml6.dll
2012-07-22 12:42 . 2012-06-06 05:05	1236992	----a-w-	c:\windows\system32\msxml3.dll
2012-07-22 12:42 . 2010-06-26 03:24	2048	----a-w-	c:\windows\system32\msxml3r.dll
2012-07-21 22:03 . 2012-06-12 02:40	2345984	----a-w-	c:\windows\system32\win32k.sys
2012-07-21 12:54 . 2012-08-05 19:28	--------	d-----w-	c:\users\Cindoc\AppData\Roaming\Qifoe
2012-07-21 12:54 . 2012-08-05 19:09	--------	d-----w-	c:\users\Cindoc\AppData\Roaming\Teurx
2012-07-21 12:53 . 2012-08-05 19:39	--------	d-----w-	c:\users\Cindoc\AppData\Roaming	or
2012-07-20 22:59 . 2012-07-21 12:08	--------	d-----w-	c:\users\Cindoc\AppData\Local\Windows Live
2012-07-20 22:59 . 2012-07-20 22:59	--------	d-----w-	c:\program files\Common Files\Windows Live
2012-07-20 17:12 . 2012-07-20 17:12	--------	d-----w-	c:\programdata\SlySoft
2012-07-20 17:12 . 2012-07-20 17:12	--------	d-----w-	c:\program files\DVD Genie
2012-07-20 17:11 . 2012-07-22 15:25	--------	d-----w-	c:\program files\SlySoft
2012-07-09 13:13 . 2012-07-09 13:13	--------	d-----w-	c:\users\Cindoc\AppData\Roaming\cYo
2012-07-09 13:13 . 2012-07-09 13:13	--------	d-----w-	c:\users\Cindoc\AppData\Local\cYo
2012-07-09 13:10 . 2012-07-09 13:10	--------	d-----w-	c:\program files\ComicRack
.
.
.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-07-22 15:21 . 2012-04-26 11:42	916480	----a-w-	c:\windows\expstart.exe
2012-07-20 23:08 . 2011-03-28 16:36	19736	----a-w-	c:\programdata\Microsoft\IdentityCRL\production\ppcrlconfig600.dll
2012-07-16 20:33 . 2012-04-27 16:26	70344	----a-w-	c:\windows\system32\FlashPlayerCPLApp.cpl
2012-07-16 20:33 . 2012-04-27 16:26	426184	----a-w-	c:\windows\system32\FlashPlayerApp.exe
2012-07-03 11:46 . 2012-04-26 10:05	22344	----a-w-	c:\windows\system32\drivers\mbam.sys
2012-06-02 22:19 . 2012-06-21 18:06	53784	----a-w-	c:\windows\system32\wuauclt.exe
2012-06-02 22:19 . 2012-06-21 18:06	45080	----a-w-	c:\windows\system32\wups2.dll
2012-06-02 22:19 . 2012-06-21 18:05	35864	----a-w-	c:\windows\system32\wups.dll
2012-06-02 22:19 . 2012-06-21 18:05	577048	----a-w-	c:\windows\system32\wuapi.dll
2012-06-02 22:19 . 2012-06-21 18:06	1933848	----a-w-	c:\windows\system32\wuaueng.dll
2012-06-02 22:12 . 2012-06-21 18:06	2422272	----a-w-	c:\windows\system32\wucltux.dll
2012-06-02 22:12 . 2012-06-21 18:05	88576	----a-w-	c:\windows\system32\wudriver.dll
2012-06-02 13:19 . 2012-06-21 18:05	171904	----a-w-	c:\windows\system32\wuwebv.dll
2012-06-02 13:12 . 2012-06-21 18:05	33792	----a-w-	c:\windows\system32\wuapp.exe
2012-05-31 10:25 . 2012-04-26 09:55	237072	------w-	c:\windows\system32\MpSigStub.exe
2012-07-18 23:29 . 2012-04-26 09:39	136672	----a-w-	c:\program files\mozilla firefox\components\browsercomps.dll
.
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SuperCopier2.exe"="c:\program files\SuperCopier2\SuperCopier2.exe" [2009-08-16 955392]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2010-11-20 1174016]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2011-12-01 258512]
"{0228e555-4f9c-4e35-a3ec-b109a192b4c2}"="c:\program files\Google\Gmail Notifier\gnotify.exe" [2005-07-15 479232]
"Malwarebytes' Anti-Malware"="c:\program files\Malwarebytes' Anti-Malware\mbamgui.exe" [2012-07-03 462920]
"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2012-01-17 252296]
.
c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
UltraMon.lnk - c:\windows\Installer\{B49673F8-7AB6-4A14-8213-C8A7BE370010}\IcoUltraMon.ico [2012-4-26 29310]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 0 (0x0)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)
"PromptOnSecureDesktop"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"aux1"=wdmaud.drv
.
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Security Packages	REG_MULTI_SZ   	kerberos msv1_0 schannel wdigest tspkg pku2u livessp
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Lavasoft Ad-Aware Service]
@="Service"
.
R3 DfSdkS;Defragmentation-Service;c:\program files\Ashampoo\Ashampoo WinOptimizer 8\DfsdkS.exe [x]
R3 Lavasoft Kernexplorer;Lavasoft helper driver;c:\program files\Lavasoft\Ad-Aware\KernExplorer.sys [x]
R3 Microsoft SharePoint Workspace Audit Service;Microsoft SharePoint Workspace Audit Service;c:\program files\Microsoft Office\Office14\GROOVE.EXE [x]
R3 MozillaMaintenance;Mozilla Maintenance Service;c:\program files\Mozilla Maintenance Service\maintenanceservice.exe [x]
R3 osppsvc;Office Software Protection Platform;c:\program files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE [x]
R3 RdpVideoMiniport;Remote Desktop Video Miniport Driver;c:\windows\system32\driversdpvideominiport.sys [x]
R3 Synth3dVsc;Synth3dVsc;c:\windows\system32\drivers\synth3dvsc.sys [x]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers	susbflt.sys [x]
R3 tsusbhub;tsusbhub;c:\windows\system32\drivers	susbhub.sys [x]
R3 VGPU;VGPU;c:\windows\system32\driversdvgkmd.sys [x]
R3 WO_LiveService;Ashampoo LiveTuner Service;c:\program files\Ashampoo\Ashampoo WinOptimizer 8\LiveTunerService.exe [x]
S0 Lbd;Lbd;c:\windows\system32\DRIVERS\Lbd.sys [x]
S0 sptd;sptd;c:\windows\SystemRoot\System32\Drivers\sptd.sys [x]
S1 avkmgr;avkmgr;c:\windows\system32\DRIVERS\avkmgr.sys [x]
S2 AntiVirSchedulerService;Avira Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [x]
S2 Lavasoft Ad-Aware Service;Lavasoft Ad-Aware Service;c:\program files\Lavasoft\Ad-Aware\AAWService.exe [x]
S2 LiveTunerPM;Ashampoo LiveTuner ProcessMonitor Driver;c:\program files\Ashampoo\Ashampoo WinOptimizer 8\LiveTunerProcessMonitor32.sys [x]
S2 MBAMService;MBAMService;c:\program files\Malwarebytes' Anti-Malware\mbamservice.exe [x]
S2 MsgPlusService;Messenger Plus! Service;c:\program files\Yuna Software\Messenger Plus! for Skype\MsgPlusForSkypeService.exe [x]
S2 PDFProFiltSrv;PDFProFiltSrv;c:\program files\Nuance\PDF Professional 7\PDFProFiltSrv.exe [x]
S2 PS3 Media Server;PS3 Media Server;c:\program files\PS3 Media Server\win32\service\wrapper.exe [x]
S2 UltraMonUtility;UltraMon Utility Driver;c:\program files\Common Files\Realtime Soft\UltraMonMirrorDrv\x32\UltraMonUtility.sys [x]
S3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [x]
S3 yukonw7;NDIS6.2 Miniport Driver for Marvell Yukon Ethernet Controller;c:\windows\system32\DRIVERS\yk62x86.sys [x]
.
.
--- Autres Services/Pilotes en mémoire ---
.
*NewlyCreated* - WS2IFSL
.
Contenu du dossier 'Tâches planifiées'
.
2012-08-06 c:\windows\Tasks\Ad-Aware Update (Weekly).job
- c:\program files\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [2011-11-03 04:12]
.
2012-08-06 c:\windows\Tasks\SyncBack Cindoc.job
- c:\program files\2BrightSparks\SyncBack\SyncBack.exe [2012-05-20 13:42]
.
.
------- Examen supplémentaire -------
.
uStart Page = about:blank
IE: &Envoyer à OneNote - c:\progra~1\MICROS~2\Office14\ONBttnIE.dll/105
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office14\EXCEL.EXE/3000
IE: Ouvrir avec Nuance PDF Converter 7 - c:\program files\Nuance\PDF Professional 7\cnvres_fre.dll /100
IE: Ouvrir avec PDF Professional 7 - c:\program files\Nuance\PDF Professional 7\Bin\PlusIEContextMenu.dll/PlusIEContextMenu.htm
TCP: DhcpNameServer = 212.27.40.241 212.27.40.240
FF - ProfilePath - c:\users\Cindoc\AppData\Roaming\Mozilla\Firefox\Profiles\7xngaqbk.default\
FF - prefs.js: browser.startup.homepage - chrome://speeddial/content/speeddial.xul
FF - user.js: network.cookie.cookieBehavior - 0
FF - user.js: privacy.clearOnShutdown.cookies - false
FF - user.js: security.warn_viewing_mixed - false
FF - user.js: security.warn_viewing_mixed.show_once - false
FF - user.js: security.warn_submit_insecure - false
FF - user.js: security.warn_submit_insecure.show_once - false
.
- - - - ORPHELINS SUPPRIMES - - - -
.
ShellExecuteHooks-{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA} - (no file)
Notify-!SASWinLogon - c:\program files\SUPERAntiSpyware\SASWINLO.DLL
.
.
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
------------------------ Autres processus actifs ------------------------
.
c:\windows\system32
vvsvc.exe
c:\windows\system32
vvsvc.exe
c:\program files\Avira\AntiVir Desktop\avguard.exe
c:\windows\system32\conhost.exe
c:\program files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE
c:\program files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe
c:\windows\system32	askhost.exe
c:\program files\Avira\AntiVir Desktop\avshadow.exe
c:\windows\system32\conhost.exe
c:\windows\system32\conhost.exe
c:\windows\system32\wbem\unsecapp.exe
c:\program files\DAEMON Tools Pro\DTShellHlp.exe
c:\windows\system32\java.exe
c:\windows\system32\UI0Detect.exe
c:\program files\Windows Media Player\wmpnetwk.exe
c:\windows\system32\DllHost.exe
.
**************************************************************************
.
Heure de fin: 2012-08-06  15:07:31 - La machine a redémarré
ComboFix-quarantined-files.txt  2012-08-06 13:07
.
Avant-CF: 67 633 741 824 octets libres
Après-CF: 67 414 188 032 octets libres
.
- - End Of File - - 48451BE7F39A6B3A755FF9E6396F12F0



J'ai vidé la quarantaine de MAM et je vais retenter un examen complet, en mode sans échec.

Merci encore de ton aide aussi rapide qu'efficace ! 

Guillaume

Utilisateur anonyme · Answer

bpnjour,

désinstalle Adaware :


c:\program files\Lavasoft


que dit MBAM ?

guillaumedetroyes · Answer

J'ai désinstallé Adaware (un mauvais logiciel ?).

MBAM ne détecte plus rien après un scan complet en mode sans échec.

J'ai une foule de nouveaux dossiers (autorun.inf, $recyclebin, config.msi, etc.) à la racine de mes disques durs ou partitions maintenant. Est-ce du à Combofix ? Dois-je les y laisser ?

Utilisateur anonyme · Answer

passe un coup de Usbfix pour tes supports externe  :D



*	Télécharge USBFIX sur ton bureau (Merci à El Desaparecido)

	http://services.service-webmaster.fr/cpt-clics/clics-30453-6505.html

	ou ici :

	http://general-changelog-team.fr/fr/downloads/viewdownload/15-outils-de-el-desaparecido/19-usbfix



/!\ Désactive provisoirement et seulement le temps de l'utilisation d'USBFIX, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 

- Double-clique sur l'icône Usbfix située sur ton Bureau. 
- Sur la page, clique sur le bouton :
« Recherche »

/!\ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir
- puis clique sur OK
- Laisse travailler l'outil.
- Poste le rapport qui apparaît à la fin. 
le rapport se trouve sur C:\ UsbFix.txt

guillaumedetroyes · Answer

Cette machine n'a plus de ports usb fonctionnels (cramés apparemment).
Par contre j'utilise ce pc avec un portable en réseau local filaire : l'infection peut elle se transmettre par ce biais ?
Le portable n'a pour l'instant pas fait état de détection de menaces...


Voilà le rapport de usbfix : 

############################## | UsbFix V 7.094 | [Recherche]

Mis à jour le 20/07/2012 par El Desaparecido
Lancé à 18:01:40 | 06/08/2012

Site Web: https://www.sosvirus.net/
Forum: http://forum.eldesaparecido.com
Fichier suspect ? : http://eldesaparecido.com/upload.php
Contact: contact@eldesaparecido.com

PC: System manufacturer (System Product Name) (X86-based PC) # Desktop Computer
CPU: Intel(R) Core(TM)2 CPU          6300  @ 1.86GHz (1867)
RAM -> [Total : 3071 | Free : 1491]
BIOS: Phoenix - AwardBIOS v6.00PG
BOOT: Normal boot

OS: Microsoft Windows 7 Édition Intégrale  (6.1.7601 32-Bit) # Service Pack 1
WB: Windows Internet Explorer 9.0.8112.16421

SC: Security Center Service [Enabled]
WU: Windows Update Service [Enabled]
AV: Avira Desktop [(!) Disabled | Updated]
FW: Windows FireWall Service [Enabled]

C:\ (%systemdrive%) -> Disque fixe # 98 Go (63 Go libre(s) - 64%) [Terre] # NTFS
D:\ -> Disque fixe # 200 Go (65 Go libre(s) - 33%) [Eau] # NTFS
E:\ -> Disque fixe # 112 Go (30 Go libre(s) - 26%) [Air] # NTFS
F:\ -> CD-ROM
G:\ -> CD-ROM
K:\ -> Disque fixe # 466 Go (24 Go libre(s) - 5%) [Feu] # NTFS

################## | Processus Actif |

C:\Windows\system32\csrss.exe (388)
C:\Windows\system32\wininit.exe (452)
C:\Windows\system32\csrss.exe (464)
C:\Windows\system32\services.exe (504)
C:\Windows\system32\lsass.exe (524)
C:\Windows\system32\lsm.exe (532)
C:\Windows\system32\winlogon.exe (568)
C:\Windows\system32\svchost.exe (696)
C:\Windows\system32
vvsvc.exe (768)
C:\Windows\system32\svchost.exe (808)
C:\Windows\System32\svchost.exe (884)
C:\Windows\System32\svchost.exe (944)
C:\Windows\system32\svchost.exe (1000)
C:\Windows\system32\svchost.exe (1144)
C:\Windows\system32\svchost.exe (1220)
C:\Windows\system32
vvsvc.exe (1360)
C:\Windows\System32\spoolsv.exe (1488)
C:\Program Files\Avira\AntiVir Desktop\sched.exe (1532)
C:\Windows\system32\svchost.exe (1560)
C:\Program Files\Avira\AntiVir Desktop\avguard.exe (1700)
C:\Windows\system32\svchost.exe (1764)
C:\Program Files\Yuna Software\Messenger Plus! for Skype\MsgPlusForSkypeService.exe (1816)
C:\Program Files\Nuance\PDF Professional 7\PDFProFiltSrv.exe (1888)
C:\Program Files\PS3 Media Server\win32\service\wrapper.exe (1928)
C:\Windows\system32\conhost.exe (1988)
C:\Windows\System32\svchost.exe (328)
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE (364)
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe (656)
C:\Windows\system32\java.exe (880)
C:\Program Files\Avira\AntiVir Desktop\avshadow.exe (2492)
C:\Windows\system32\conhost.exe (2500)
C:\Windows\system32\UI0Detect.exe (2568)
C:\Windows\system32\svchost.exe (2612)
C:\Windows\system32	askhost.exe (2908)
C:\Windows\system32\Dwm.exe (3024)
C:\Windows\explorer.exe (3100)
C:\Program Files\DAEMON Tools Pro\DTShellHlp.exe (3456)
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe (3464)
C:\Program Files\Google\Gmail Notifier\gnotify.exe (3472)
C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe (3516)
C:\Program Files\Common Files\Java\Java Update\jusched.exe (3532)
C:\Program Files\SuperCopier2\SuperCopier2.exe (3580)
C:\Program Files\Windows Sidebar\sidebar.exe (3608)
C:\Program Files\UltraMon\UltraMon.exe (3652)
C:\Program Files\UltraMon\UltraMonTaskbar.exe (3764)
C:\Windows\system32\SearchIndexer.exe (3876)
C:\Program Files\Windows Media Player\wmpnetwk.exe (1048)
C:\Windows\System32\svchost.exe (3264)
C:\Windows\system32\DllHost.exe (4008)
C:\Program Files\Malwarebytes' Anti-Malware\mbamservice.exe (3848)
C:\Program Files\GrabIt\GrabIt.exe (4380)
C:\Program Files\Winamp\winamp.exe (4480)
C:\Program Files\Mozilla Firefox\firefox.exe (512)
C:\Windows\system32\SearchProtocolHost.exe (5372)
C:\Program Files\Mozilla Firefox\plugin-container.exe (5980)
C:\Windows\system32\Macromed\Flash\FlashPlayerPlugin_11_3_300_265.exe (3088)
C:\Windows\system32\Macromed\Flash\FlashPlayerPlugin_11_3_300_265.exe (2760)
C:\Windows\system32	askhost.exe (3920)
C:\UsbFix\Go.exe (1300)
C:\Windows\system32\wbem\wmiprvse.exe (5088)
C:\Windows\system32\SearchFilterHost.exe (5656)

################## | Éléments infectieux |


################## | Registre |

Présent! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools
Présent! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives
Présent! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

################## | Mountpoints2 |



################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)
D:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)
E:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)
K:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)

################## | E.O.F |

Utilisateur anonyme · Answer

relance Usbfix, clique sur supprimer,

redémarre le pc, poste son rapport,

pour répondre à ta question, Adaware est inutile tout comme Spybot !

la vaccination est trop lourde !

pour l'autre question, un vers informatique peut se balader d'un pc à l'autre via une clé usb ou parfois par le réseau interne !

guillaumedetroyes · Answer

J'ai du passer usb fix en mode sans échec car il plantait en cours de route.

Que me conseilles-tu de faire concernant l'autre ordi en réseau ?

Merci encore !

Voici le rapport : 

############################## | UsbFix V 7.094 | [Suppression]

Utilisateur: Cindoc (Administrateur) # CAVE
Mis à jour le 20/07/2012 par El Desaparecido
Lancé à 19:20:51 | 06/08/2012

Site Web: https://www.sosvirus.net/
Forum: http://forum.eldesaparecido.com
Fichier suspect ? : http://eldesaparecido.com/upload.php
Contact: contact@eldesaparecido.com

PC: System manufacturer (System Product Name) (X86-based PC) # Desktop Computer
CPU: Intel(R) Core(TM)2 CPU          6300  @ 1.86GHz (1866)
RAM -> [Total : 3071 | Free : 2176]
BIOS: Phoenix - AwardBIOS v6.00PG
BOOT: Fail-safe with network boot

OS: Microsoft Windows 7 Édition Intégrale  (6.1.7601 32-Bit) # Service Pack 1
WB: Windows Internet Explorer 9.0.8112.16421

SC: Security Center Service [Enabled]
WU: Windows Update Service [Enabled]
AV: Avira Desktop [(!) Disabled | Updated]
FW: Windows FireWall Service [Enabled]

C:\ (%systemdrive%) -> Disque fixe # 98 Go (62 Go libre(s) - 63%) [Terre] # NTFS
D:\ -> Disque fixe # 200 Go (65 Go libre(s) - 32%) [Eau] # NTFS
E:\ -> Disque fixe # 112 Go (30 Go libre(s) - 26%) [Air] # NTFS
F:\ -> CD-ROM
K:\ -> Disque fixe # 466 Go (24 Go libre(s) - 5%) [Feu] # NTFS

################## | Processus Actif |

C:\Windows\system32\csrss.exe (336)
C:\Windows\system32\csrss.exe (376)
C:\Windows\system32\wininit.exe (384)
C:\Windows\system32\winlogon.exe (424)
C:\Windows\system32\services.exe (468)
C:\Windows\system32\lsass.exe (484)
C:\Windows\system32\lsm.exe (496)
C:\Windows\system32\svchost.exe (592)
C:\Windows\system32\svchost.exe (664)
C:\Windows\System32\svchost.exe (728)
C:\Windows\system32\svchost.exe (792)
C:\Windows\system32\svchost.exe (832)
C:\Windows\system32\svchost.exe (872)
C:\Windows\system32\svchost.exe (960)
C:\Windows\System32\svchost.exe (1072)
C:\Windows\System32\svchost.exe (1100)
C:\Windows\system32\svchost.exe (1300)
C:\Windows\explorer.exe (1644)
C:\Windows\system32\ctfmon.exe (1696)
C:\Program Files\DAEMON Tools Pro\DTShellHlp.exe (1788)
C:\UsbFix\Go.exe (1920)
C:\Program Files\Windows Media Player\wmpnscfg.exe (548)
C:\Program Files\Windows Media Player\wmpnscfg.exe (984)
C:\Program Files\Windows Media Player\wmpnscfg.exe (660)
C:\Program Files\Windows Media Player\wmpnscfg.exe (1204)
C:\Windows\system32\wbem\wmiprvse.exe (1352)

################## | Processus Stoppés |

Stoppé! C:\Windows\explorer.exe (1644)
Stoppé! C:\Windows\system32\ctfmon.exe (1696)
Stoppé! C:\Program Files\DAEMON Tools Pro\DTShellHlp.exe (1788)
Stoppé! C:\Program Files\Windows Media Player\wmpnscfg.exe (548)
Stoppé! C:\Program Files\Windows Media Player\wmpnscfg.exe (984)
Stoppé! C:\Program Files\Windows Media Player\wmpnscfg.exe (660)
Stoppé! C:\Program Files\Windows Media Player\wmpnscfg.exe (1204)

################## | Éléments infectieux |

Supprimé! C:\$RECYCLE.BIN\S-1-5-21-1205600698-3803877809-921015042-1000
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-1205600698-3803877809-921015042-1000
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-1730794494-3440080319-3084932272-1000
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-1770098158-3201150427-4277389790-1000
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-1826730059-2788713878-2680140797-1000
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-1917450092-321755874-3070688211-1000
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-2633402616-1900699850-1616219416-1001
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-3623371521-3029539361-1472133024-1000
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-3681563565-444877440-1709874447-1000
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-3836169106-866588654-4239182996-1001
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-3846433208-3990430851-797232665-1001
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-4003598551-4056589536-2703428521-1001
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-4083617024-2505742208-536396706-1001
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-4174271844-805264000-3595302889-1001
Supprimé! D:\$RECYCLE.BIN\S-1-5-21-473181431-1039446055-2371195297-1000
Supprimé! E:\$RECYCLE.BIN\S-1-5-20
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-1205600698-3803877809-921015042-1000
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-1730794494-3440080319-3084932272-1000
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-1770098158-3201150427-4277389790-1000
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-1826730059-2788713878-2680140797-1000
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-1917450092-321755874-3070688211-1000
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-2633402616-1900699850-1616219416-1001
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-3623371521-3029539361-1472133024-1000
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-3681563565-444877440-1709874447-1000
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-3836169106-866588654-4239182996-1001
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-3846433208-3990430851-797232665-1001
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-4003598551-4056589536-2703428521-1001
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-4083617024-2505742208-536396706-1001
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-4174271844-805264000-3595302889-1001
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-473181431-1039446055-2371195297-1000
Supprimé! K:\$RECYCLE.BIN\S-1-5-20
Supprimé! K:\$RECYCLE.BIN\S-1-5-21-1205600698-3803877809-921015042-1000
Supprimé! K:\$RECYCLE.BIN\S-1-5-21-1730794494-3440080319-3084932272-1000
Supprimé! K:\$RECYCLE.BIN\S-1-5-21-1770098158-3201150427-4277389790-1000
Supprimé! K:\$RECYCLE.BIN\S-1-5-21-1826730059-2788713878-2680140797-1000
Supprimé! K:\$RECYCLE.BIN\S-1-5-21-1917450092-321755874-3070688211-1000
Supprimé! K:\$RECYCLE.BIN\S-1-5-21-2633402616-1900699850-1616219416-1001
Supprimé! K:\$RECYCLE.BIN\S-1-5-21-3623371521-3029539361-1472133024-1000
Supprimé! K:\$RECYCLE.BIN\S-1-5-21-3681563565-444877440-1709874447-1000
Supprimé! K:\$RECYCLE.BIN\S-1-5-21-3836169106-866588654-4239182996-1001
Supprimé! K:\$RECYCLE.BIN\S-1-5-21-3846433208-3990430851-797232665-1001
Supprimé! K:\$RECYCLE.BIN\S-1-5-21-4003598551-4056589536-2703428521-1001
Supprimé! K:\$RECYCLE.BIN\S-1-5-21-4083617024-2505742208-536396706-1001
Supprimé! K:\$RECYCLE.BIN\S-1-5-21-4174271844-805264000-3595302889-1001
Supprimé! K:\$RECYCLE.BIN\S-1-5-21-473181431-1039446055-2371195297-1000
Supprimé! K:\Recycler\S-1-5-21-1343024091-448539723-1614895754-500

(!) Fichiers temporaires supprimés.

################## | Registre |

Supprimé! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools
Supprimé! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives
Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

################## | Mountpoints2 |


################## | Listing |

[06/08/2012 - 19:22:58 | D ] 	C:\$RECYCLE.BIN
[06/08/2012 - 17:39:20 | N | 2460] 	C:\aaw7boot.log
[01/08/2012 - 16:01:01 | N | 1183] 	C:\AdwCleaner[R1].txt
[01/08/2012 - 16:02:30 | N | 1243] 	C:\AdwCleaner[R2].txt
[01/08/2012 - 16:00:43 | N | 278] 	C:\AdwCleaner[S1].txt
[10/06/2009 - 23:42:20 | N | 24] 	C:\autoexec.bat
[23/07/2012 - 01:03:51 | RAD ] 	C:\Autorun.inf
[06/08/2012 - 15:07:37 | N | 12243] 	C:\ComboFix.txt
[10/06/2009 - 23:42:20 | N | 10] 	C:\config.sys
[23/07/2012 - 12:07:09 | D ] 	C:\Device
[14/07/2009 - 06:53:55 | SHD ] 	C:\Documents and Settings
[27/04/2012 - 17:05:45 | D ] 	C:\Gladinet
[22/07/2012 - 17:30:24 | N | 0] 	C:\IO.SYS
[06/08/2012 - 17:55:53 | D ] 	C:\Lyrics
[22/07/2012 - 17:30:24 | N | 0] 	C:\MSDOS.SYS
[27/04/2012 - 17:06:25 | RD ] 	C:\MSOCache
[06/08/2012 - 19:17:21 | ASH | 3219709952] 	C:\pagefile.sys
[02/08/2012 - 12:57:54 | N | 512] 	C:\PhysicalDisk0_MBR.bin
[06/08/2012 - 17:50:16 | D ] 	C:\Program Files
[06/08/2012 - 17:40:08 | D ] 	C:\ProgramData
[06/08/2012 - 15:07:54 | D ] 	C:\Qoobox
[26/04/2012 - 11:20:05 | D ] 	C:\Recovery
[06/08/2012 - 17:49:32 | SHD ] 	C:\System Volume Information
[06/08/2012 - 19:22:58 | D ] 	C:\UsbFix
[06/08/2012 - 19:21:05 | A | 2842] 	C:\UsbFix.txt
[26/04/2012 - 11:20:17 | D ] 	C:\Users
[06/08/2012 - 16:52:36 | D ] 	C:\Windows
[05/08/2012 - 21:09:09 | D ] 	C:\ZHP
[06/08/2012 - 19:22:58 | D ] 	D:\$RECYCLE.BIN
[16/10/2011 - 23:25:07 | N | 34] 	D:\.picasa.ini
[31/07/2012 - 19:35:46 | N | 41697] 	D:\A faire.rtf
[23/07/2012 - 01:03:52 | RAD ] 	D:\Autorun.inf
[16/06/2012 - 14:06:34 | N | 8531441965] 	D:\Blade Runner.mkv
[13/09/2011 - 19:37:30 | D ] 	D:\Config.Msi
[31/08/2011 - 11:49:54 | D ] 	D:\CyberLink
[10/11/2011 - 07:13:54 | ASH | 402] 	D:\desktop.ini
[27/10/2011 - 14:13:52 | D ] 	D:\FFOutput
[15/07/2011 - 12:38:32 | D ] 	D:\IDE
[07/04/2010 - 12:15:21 | N | 18785767242] 	D:\Le Seigneur des Anneaux - Le Retour du Roi.mkv
[09/07/2012 - 20:52:22 | D ] 	D:\Personnel
[23/11/2011 - 19:06:40 | D ] 	D:\restore
[06/08/2012 - 18:00:43 | D ] 	D:\Reçu
[13/06/2012 - 14:43:03 | SHD ] 	D:\System Volume Information
[20/07/2012 - 18:45:04 | ASH | 99840] 	D:\Thumbs.db
[16/02/2011 - 14:27:55 | D ] 	D:\TomTom
[18/04/2011 - 16:40:22 | N | 162] 	D:\~$ Bloodywood préparation.rtf
[14/12/2011 - 21:33:34 | N | 162] 	D:\~$ labyrinthe.docx
[22/07/2012 - 17:13:55 | N | 162] 	D:\~$estions pour Tempus Fugit.rtf
[28/06/2011 - 21:49:44 | N | 162] 	D:\~$mpte rendu du conseil d.rtf
[28/06/2011 - 21:49:44 | N | 33421] 	D:\~WRL2282.tmp
[22/07/2012 - 17:01:00 | N | 32505] 	D:\~WRL3116.tmp
[06/08/2012 - 19:22:58 | D ] 	E:\$RECYCLE.BIN
[06/08/2012 - 17:55:16 | D ] 	E:\Albums renommés
[31/01/2012 - 17:37:18 | D ] 	E:\Ambiance - JdR
[23/07/2012 - 01:03:54 | RAD ] 	E:\Autorun.inf
[23/05/2012 - 18:19:36 | D ] 	E:\B.O
[26/02/2012 - 16:17:08 | D ] 	E:\Classique
[23/05/2012 - 18:19:55 | D ] 	E:\Electro
[29/02/2012 - 16:36:46 | D ] 	E:\Expérimental
[29/02/2012 - 16:31:37 | D ] 	E:\Gothique
[23/05/2012 - 18:20:00 | D ] 	E:\Humour et sons
[06/03/2011 - 19:11:54 | D ] 	E:\Indus
[23/05/2012 - 17:54:45 | D ] 	E:\Instrumental
[07/06/2012 - 21:52:06 | D ] 	E:\Metal
[16/07/2012 - 22:34:46 | D ] 	E:\Pop
[27/09/2010 - 08:40:22 | D ] 	E:\Punk
[27/09/2010 - 08:51:41 | D ] 	E:\Rap, hip-hop, reggae
[23/05/2012 - 18:28:12 | D ] 	E:\Rock
[22/04/2011 - 20:54:16 | D ] 	E:\Symphonique
[26/09/2010 - 20:46:34 | SHD ] 	E:\System Volume Information
[12/02/2011 - 19:48:14 | D ] 	E:\Trip-Hop
[26/02/2012 - 17:08:58 | D ] 	E:\Variété francophone
[23/05/2012 - 18:28:32 | D ] 	E:\Variété internationale connue
[23/05/2012 - 18:03:19 | D ] 	E:\Variété internationale peu connue
[06/08/2012 - 19:22:58 | D ] 	K:\$RECYCLE.BIN
[23/07/2012 - 01:03:58 | RAD ] 	K:\Autorun.inf
[26/01/2010 - 15:49:50 | D ] 	K:\BD
[26/01/2010 - 16:39:10 | D ] 	K:\Comics
[23/05/2012 - 18:17:50 | D ] 	K:\Images
[18/06/2012 - 07:16:35 | D ] 	K:\Jeux videos
[16/06/2012 - 17:20:36 | D ] 	K:\Logiciels
[26/01/2010 - 17:09:59 | D ] 	K:\Mangas
[07/08/2011 - 20:21:14 | D ] 	K:\msdownld.tmp
[16/11/2009 - 20:34:10 | D ] 	K:\RECYCLER
[17/04/2011 - 23:28:56 | SHD ] 	K:\System Volume Information
[26/01/2010 - 17:29:20 | D ] 	K:\TomTom
[11/05/2012 - 19:12:09 | D ] 	K:\Videos

################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)
D:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)
E:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)
K:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_CAVE.zip
http://eldesaparecido.com/upload.php
Merci de votre contribution.

################## | E.O.F |

Utilisateur anonyme · Answer

envoie ce fichier, ceci permet d'améliorer usbfix : 


Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_CAVE.zip  
http://eldesaparecido.com/upload.php 


  
Merci de ta contribution.  


si le pc fonctionne normalement, on términe  :D 






/!\ Absent du 10/08/2012 au 02/09/ 2012 
O.o°*??? Membre, Contributeur sécurité CCM o°.Oø¤º°'°º¤ø  

O.o°* ??? Réspire à fond, Rédige ton message en bon français et de manière claire.Ca va bien se passer, tu verras, enfin on essaie !!! o°.Oø¤º°'°º¤ø

guillaumedetroyes · Answer

Fichier envoyé ! 

J'ai lancé une analyse du portable en réseau au cas où mais rien de détecté pour l'instant.

Merci encore de ton aide : c'est vraiment admirable une telle efficacité et une telle rapidité, le tout bénévolement.

Bonnes vacances ! 

Guillaume

Utilisateur anonyme · Answer

c'est vraiment admirable une telle efficacité et une telle rapidité, le tout bénévolement.

normal, je suis plus rapide que l'éclaire (au chocolat SVP) :P



pour en finir, il faut désinstaller les outils ,

/!\ Attention : 
de plus en plus de programmes proposent l'installation des barres d'outils (Toolbars, case précochée), donc n'oublie pas de décocher la/les cases correspondantes pendant l'installation.




* pour supprimer les outils de désinfection 
: 
Télecharge Delfix sur ton bureau : 

ICI

ou
	
https://www.commentcamarche.net/telecharger/securite/7111-delfix/ 

*Clique sur le bouton «  Suppression » et poste son rapport sur ton prochain message 
**Pour le désinstaller, il suffit de le relancer et cliquer sur le bouton de désinstallation. 


	
  
. télécharges Ccleaner à partir de cette adresse et enregistres le sur le bureau 

https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/  

.double-cliques sur le fichier pour lancer l'installation 

/!\ regarde bien qu'au moment d'installation, on ne t'installe pas les barres d'outils, si c'est le cas, décoche la case correspondante ! 

/!\Utilisateur de Vista et windows 7 : Clique droit sur le logo de Ccleaner, « exécuter en tant qu'Administrateur » 

.sur la fenêtre de l'installation langage bien choisir français et OK  
.cliques sur suivant  
.lis la licence et j'accepte  
.cliques sur suivant  
.la tu ne gardes de coché que mettre un raccourci sur le bureau et puis contrôler automatiquement les mises à jour de Ccleaner  
.cliques sur installer  
.cliques sur fermer  
.double-cliques sur l'icône de Ccleaner pour l'ouvrir  
.une fois ouvert tu cliques sur option et puis avancé  
.tu décoches effacer uniquement les fichiers, du dossier temp de windows plus vieux que 24 heures  
.cliques sur nettoyeur  
.cliques sur windows et dans la colonne avancé  
.coches la première case vieilles données du perfetch que celle-la ce qui te donnes la case vielles données du perfetch et la case avancé qui c'est coché automatiquement mais que celle-la  
.cliques sur analyse une fois l'analyse terminé  
.cliques sur lancer le nettoyage et sur la demande de confirmation OK il vas falloir que tu le refasses une autre fois une fois fini vériffis en appuiant de nouveau sur analyse pour être sur qu'il n'y est plus rien  
.cliques maintenant sur registre et puis sur rechercher les erreurs  
.laisses tout cochées et cliques sur réparrer les erreurs sélectionnées  
.il te demande de sauvegarder OUI  
.tu lui donnes un nom pour pouvoir la retrouver et enregistre  
.cliques sur corriger toutes les erreurs sélectionnées et sur la demande de confirmation OK  
.il supprime et fermer tu vérifies en relançant rechercher les erreurs  
.tu retournes dans option et tu recoches la case effacer uniquement les fichiers, du dossier temp de windows plus vieux que 48 heures et sur nettoyeur, windows sous avancé tu décoches la première case vieilles données du perfetch  
.tu peux fermer Ccleaner 

tuto installation & nettoyage :  
https://www.donnemoilinfo.com/tuto/CCleaner/ 



* Supprimer les anciens points de restauration système après désinfection :  

Il est nécessaire de désactiver puis réactiver la restauration système pour la purger car les points de restauration peuvent être infectés : 


Pour Windows 7 :
 
https://www.commentcamarche.net/informatique/windows/147-restaurer-windows-avec-les-points-de-restauration/

 


* fais une mise à jour de ton antivirus, lance un scan complet de ton pc, tiens moi au courant du résultat :-)

guillaumedetroyes · Answer

Voilà le rapport de désinstallation : 

# DelFix v8.9 - Rapport créé le 06/08/2012 à 20:58:39
# Mis à jour le 27/07/12 par Xplode
# Système d'exploitation : Windows 7 Ultimate Service Pack 1 (32 bits)
# Nom d'utilisateur : Cindoc - CAVE (Administrateur)
# Exécuté depuis : D:\Reçu\delfix.exe
# Option [Suppression]


~~~~~~ Dossiers(s) ~~~~~~

Supprimé : C:\Qoobox
Supprimé : C:\Program Files\ZHPDiag

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\PhysicalDisk0_MBR.bin
Supprimé : C:\Windows\grep.exe
Supprimé : C:\Windows\PEV.exe
Supprimé : C:\Windows\NIRCMD.exe
Supprimé : C:\Windows\MBR.exe
Supprimé : C:\Windows\SED.exe
Supprimé : C:\Windows\SWREG.exe
Supprimé : C:\Windows\SWSC.exe
Supprimé : C:\Windows\SWXCACLS.exe
Supprimé : C:\Windows\Zip.exe

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\Software\USBFix
Clé Supprimée : HKLM\SOFTWARE\AdwCleaner
Clé Supprimée : HKLM\SOFTWARE\Swearware
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\USBFix
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\combofix.exe

~~~~~~ Autres ~~~~~~

-> Prefetch Vidé

*************************

DelFix[S1].txt - [1209 octets] - [06/08/2012 20:58:39]

########## EOF - C:\DelFix[S1].txt - [1333 octets] ##########


J'utilise ccleaner régulièrement et j'ai refait l'opération.

A priori tout fonctionne ! 

Merci encore une fois ! 

Bonne soirée ! 

Guillaume

Utilisateur anonyme · Answer

si ton antivirus ne trouve rien, crée un nouveau point de restauration système, ça peut servire  :D

sur ce, bon surf  ;-)

guillaumedetroyes · Answer

Merci ! De même !

Utilisateur anonyme · Answer

;-)

Win32/CoinMiner détecté et non supprimable

20 réponses

Discussions similaires