PC infecté sous 7 x64, virus introuvable

Ah pardon j'ai oublié de me présenter je le fais de suite!

bonjour

desintalle spybot inutile et freine le pc

puis

Télécharge ZHPDiag ( de Nicolas coolman ).
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html


(outil de diagnostic)

Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )

Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista/Seven )

Clique sur la loupe en haut à gauche, puis laisse l'outil scanner.

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.

Rend toi sur http://pjjoint.malekal.com/

Clique sur "Parcourir "

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

Clique ensuite sur "Envoyer le fichier " et copie/colle le lien dans ton prochain message

Merci! Voilà:

https://pjjoint.malekal.com/files.php?id=ZHPDiag_20120803_l9j13n10y14g10

tu n'as pas désinstallé spybot comme demandé

fais le avant de faire la suite stp

.............

1)

Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.

https://toolslib.net

Lance le, clique sur SUPPRESSION puis patiente le temps du scan.
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.

Note : Le rapport est également sauvegardé sous C:\AdwCleane.txt

...................

2)

Téléchargez MalwareByte's Anti-Malware (que tu pourras garder ensuite)

https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/

. Enregistres le sur le bureau
. Double cliques sur le fichier téléchargé pour lancer le processus d'installation.
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, accepte
. Une fois la mise à jour terminé
. Rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen complet (examen assez long)
. Cliques sur Rechercher
. Le scan démarre.
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, clique sur Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
. Rends toi dans l'onglet rapport/log
. Tu cliques dessus pour l'afficher, une fois affiché
. Tu cliques sur edition en haut du boc notes, et puis sur sélectionner tous
. Tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller

Si tu as besoin d'aide regarde ces tutoriels :
Aide: https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
http://www.infos-du-net.com/forum/278396-11-tuto-malwarebytes-anti-malware-mbam

.................

3)

refais un nouveau rapport ZHPdiag stp

Rend toi sur http://pjjoint.malekal.com/

Clique sur "Parcourir "

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

Clique ensuite sur "Envoyer le fichier " et copie/colle le lien dans ton prochain message

Ah si je l'avais désinstallé pourtant, comme tu m'a dit! Peut-être parce que je n'avais pas redémarré après (même s'il ne me le demandais pas)?
Il m'a dit aussi qu'il y avait des fichiers qui ne pouvaient pas être supprimés.

Là j'ai redémarré, ça devrait être bon? Comment être sure qu'il s'est bien désinstallé? Je passe à la suite?

oui passe à la suite stp

je supprimerai les restes ensuite

Merci.

Voilà pour la 1ere partie, le rapport de AdwCleaner:

# AdwCleaner v1.800 - Rapport créé le 03/08/2012 à 12:19:48
# Mis à jour le 01/08/2012 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : Lisa - LISA-PC
# Exécuté depuis : C:\Users\Lisa\Desktop\adwcleaner.exe
# Option [Suppression]

***** [Services] *****

***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Hotspot Shield
Dossier Supprimé : C:\Users\Lisa\AppData\Local\Conduit
Dossier Supprimé : C:\Users\Lisa\AppData\Local\Wajam
Dossier Supprimé : C:\Users\Lisa\AppData\Local\Temp\CT1561552
Dossier Supprimé : C:\Users\Lisa\AppData\LocalLow\boost_interprocess
Dossier Supprimé : C:\Users\Lisa\AppData\LocalLow\Conduit
Dossier Supprimé : C:\Users\Lisa\AppData\LocalLow\Hotspot_Shield
Dossier Supprimé : C:\Users\Lisa\AppData\Roaming\OpenCandy
Dossier Supprimé : C:\Users\Lisa\AppData\Roaming\Mozilla\Firefox\Profiles\ra28jrsy.default\extensions\{c95a4e8e-816d-4655-8c79-d736da1adb6d}
Dossier Supprimé : C:\ProgramData\~0
Dossier Supprimé : C:\ProgramData\Hotspot Shield
Dossier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hotspot Shield
Dossier Supprimé : C:\Program Files (x86)\Conduit
Supprimé au redémarrage : C:\Program Files (x86)\Hotspot Shield
Dossier Supprimé : C:\Program Files (x86)\Hotspot_Shield
Dossier Supprimé : C:\Program Files (x86)\Mozilla Firefox\Extensions\afurladvisor@anchorfree.com

***** [Registre] *****

[*] Clé Supprimée : HKLM\SOFTWARE\Classes\Toolbar.CT1561552
Clé Supprimée : HKCU\Software\AppDataLow\Software\Conduit
Clé Supprimée : HKCU\Software\AppDataLow\Software\SmartBar
Clé Supprimée : HKCU\Software\AppDataLow\Toolbar
Clé Supprimée : HKCU\Software\Softonic
Clé Supprimée : HKLM\SOFTWARE\Boxore
Clé Supprimée : HKLM\SOFTWARE\Conduit
Clé Supprimée : HKLM\SOFTWARE\DT Soft
Clé Supprimée : HKLM\SOFTWARE\Hotspot_Shield
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Hotspot_Shield Toolbar

***** [Registre - GUID] *****

Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{D616A4A2-7B38-4DBC-9093-6FE7A4A21B17}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{87EAB409-97D7-4889-ACFA-C548FC6F3ECF}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{F9E4A054-E9B1-4BC3-83A3-76A1AE736170}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{C95A4E8E-816D-4655-8C79-D736DA1ADB6D}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{1B449A88-CB0B-4F9F-A61F-3D2312AEE571}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{EC4CA3A3-6859-460E-B2D1-94481006144A}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{F9E4A054-E9B1-4BC3-83A3-76A1AE736170}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C95A4E8E-816D-4655-8C79-D736DA1ADB6D}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{87EAB409-97D7-4889-ACFA-C548FC6F3ECF}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{A7A6995D-6EE1-4FD1-A258-49395D5BF99C}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{F9E4A054-E9B1-4BC3-83A3-76A1AE736170}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{C95A4E8E-816D-4655-8C79-D736DA1ADB6D}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{A7A6995D-6EE1-4FD1-A258-49395D5BF99C}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{F9E4A054-E9B1-4BC3-83A3-76A1AE736170}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{C95A4E8E-816D-4655-8C79-D736DA1ADB6D}
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{C95A4E8E-816D-4655-8C79-D736DA1ADB6D}]
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{C95A4E8E-816D-4655-8C79-D736DA1ADB6D}]
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{C95A4E8E-816D-4655-8C79-D736DA1ADB6D}]
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks [{C95A4E8E-816D-4655-8C79-D736DA1ADB6D}]
[x64] Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{F9E4A054-E9B1-4BC3-83A3-76A1AE736170}
[x64] Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}
[x64] Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{F9E4A054-E9B1-4BC3-83A3-76A1AE736170}

***** [Navigateurs] *****

-\\ Internet Explorer v9.0.8112.16421

[OK] Le registre ne contient aucune entrée illégitime.

-\\ Mozilla Firefox v11.0 (fr)

Nom du profil : default
Fichier : C:\Users\Lisa\AppData\Roaming\Mozilla\Firefox\Profiles\ra28jrsy.default\prefs.js

C:\Users\Lisa\AppData\Roaming\Mozilla\Firefox\Profiles\ra28jrsy.default\user.js ... Supprimé !

[OK] Le fichier ne contient aucune entrée illégitime.

-\\ Google Chrome v21.0.1180.60

Fichier : C:\Users\Lisa\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [5119 octets] - [03/08/2012 12:19:48]

########## EOF - C:\AdwCleaner[S1].txt - [5247 octets] ##########

Voilà pour la 2e partie (effectivement c'était long!)

Malwarebytes Anti-Malware (Essai) 1.62.0.1300
www.malwarebytes.org

Version de la base de données: v2012.08.03.03

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
Lisa :: LISA-PC [administrateur]

Protection: Activé

03/08/2012 12:31:55
mbam-log-2012-08-03 (12-31-55).txt

Type d'examen: Examen complet (C:\|D:\|E:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 542900
Temps écoulé: 1 heure(s), 37 minute(s), 54 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 3
HKCU\SOFTWARE\2SPI9KEA4C (Trojan.FakeAlert) -> Mis en quarantaine et supprimé avec succès.
HKCU\SOFTWARE\A9YA3MI1CF (Trojan.FakeAlert) -> Mis en quarantaine et supprimé avec succès.
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\ (Hijack.Zones) -> Mis en quarantaine et supprimé avec succès.

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 3
C:\$RECYCLE.BIN\S-1-5-21-267959045-785155741-4028056342-1002\$RAMIDUU.exe (PUP.ToolbarDownloader) -> Mis en quarantaine et supprimé avec succès.
C:\$RECYCLE.BIN\S-1-5-21-267959045-785155741-4028056342-1002\$RPX3WVD.exe (PUP.ToolbarDownloader) -> Mis en quarantaine et supprimé avec succès.
C:\$RECYCLE.BIN\S-1-5-21-267959045-785155741-4028056342-1002\$RWAGZJB.exe (PUP.Bundle.Installer.OI) -> Mis en quarantaine et supprimé avec succès.

(fin)

Et voilà pour la dernière étape!
Merci d'avance pour ta réponse.

https://pjjoint.malekal.com/files.php?id=ZHPDiag_20120803_u6b14d9v12n13

ok

1)

Copie tout le texte présent en gras ci-dessous (tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )


O43 - CFD: 03/08/2012 - 12:23:31 - [3,138] ----D C:\Program Files (x86)\Hotspot Shield => Toolbar.Conduit
O43 - CFD: 02/08/2012 - 18:53:05 - [0] ----D C:\Program Files (x86)\Software => Toolbar.Agent
O43 - CFD: 02/08/2012 - 18:53:05 - [0] ----D C:\ProgramData\Software => Toolbar.Agent
O43 - CFD: 29/07/2012 - 17:43:33 - [0] ----D C:\Users\Lisa\AppData\Local\Software => Toolbar.Agent
O43 - CFD: 03/08/2012 - 12:23:31 - [3,138] ----D C:\Program Files (x86)\Hotspot Shield => Toolbar.Conduit
O43 - CFD: 02/08/2012 - 18:53:05 - [0] ----D C:\Program Files (x86)\Software
O43 - CFD: 03/08/2012 - 11:06:16 - [4,370] ----D C:\Program Files (x86)\Spybot - Search & Destroy => Spybot - Search & Destroy
O43 - CFD: 03/08/2012 - 11:06:15 - [0,013] ----D C:\ProgramData\Spybot - Search & Destroy
O43 - CFD: 02/08/2012 - 18:47:00 - [78,489] ----D C:\Program Files (x86)\Emsisoft Anti-Malware
SysRestore
EMPTYTEMP
EMPTYFLASH

Puis Lance ZHPFix depuis le raccourci du bureau . (Clique droit -> Executer en tant qu'admin pour Vista ou Seven)

* Une fois l'outil ZHPFix ouvert ,

- Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse

le rapport se trouve dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport

...................

2)

Redemarre le pc et dis moi si tu as encore des soucis

CONTRIBUTEUR SECURITE

En désinfection, c'est la fin le plus important !
"Restez" jusqu'au bout...merci

petit souci juste après avoir lancé ZHP fix, il m'a mis un message d'erreur "impossible de... point de restauration" et après le message est parti et le rapport s'est affiché, donc je sais pas si ça a fonctionné à 100%...

Mais voici le rapport:

Rapport de ZHPFix 1.2.07 par Nicolas Coolman, Update du 20/07/2012
Fichier d'export Registre :
Run by Lisa at 03/08/2012 14:53:42
Windows 7 Home Premium Edition, 64-bit Service Pack 1 (Build 7601)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Web site : http://nicolascoolman.skyrock.com/

========== Dossier(s) ==========
SUPPRIME Reboot Folder**: C:\Program Files (x86)\Hotspot Shield
SUPPRIME Folder: C:\Program Files (x86)\Software
SUPPRIME Folder: C:\ProgramData\Software
SUPPRIME Folder: C:\Users\Lisa\AppData\Local\Software
ABSENT C:\Program Files (x86)\Software
SUPPRIME Folder: C:\Program Files (x86)\Spybot - Search & Destroy
SUPPRIME Folder: C:\ProgramData\Spybot - Search & Destroy
SUPPRIME Folder: C:\Program Files (x86)\Emsisoft Anti-Malware
SUPPRIME Temporaires Windows:
SUPPRIME Flash Cookies:

========== Fichier(s) ==========
SUPPRIME Temporaires Windows:
SUPPRIME Flash Cookies:

========== Restauration Système ==========
Point de restauration non crée

========== Récapitulatif ==========
10 : Dossier(s)
2 : Fichier(s)
1 : Restauration Système

End of clean in 00mn 08s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 03/08/2012 14:53:42 [1203]

je crois que c'était impossible d'accéder au point de restauration système ou un truc comme ça...

arf malheureusement le PC est toujours très lent, voici une liste des pb que je remarque:

- démarrage anormalement long (+ de 40s entre la saisie du mdp et l'affichage du bureau, ce n'était clairement pas comme ça avant...

- Lorsqu'on arrête ou redémarre le PC, message systématique " un programme empêche la fermeture" ou "empèche windows de redémarrer", mais avec un champ vide, donc on ne sait pas quel programme... et le message dure quelques secondes

- La 1ere ouverture de Chrome plante systématiquement, le chargement dure indéfiniment, et il faut systématiquement fermer le navigateur et le relancer, et là ça marche...

- toujours des messages d'erreurs tels que "échec requête serveur" et autres bugs quand je veux installer des choses ou simplement exécuter certains programmes ou taches...

:-(

Si vous avez une idée de ce qui pourrait causer ce pb, je vous en serait très reconnaissante!
Merci d'avance.

euh ca fait beaucoup de soucis

est ce arrivé soudainement ou fil du temps ?

tous les soucis sont ils intervenus ensemble ou individuellement ?

as tu installé ou modifié quelque chose récemment ?

Oui désolée!

Et bien j'ai l'impression que c'est arrivé à peu près au même moment, mais je n'y ai pas forcément prêté attention tout de suite, je dirai depuis quelques semaines...
Mais j'ai l'impression que ça s'est accentué depuis ces derniers jours, où j'ai installé des jeux (Diablo 3, Dirt), mais peut-être que c'est parce que j'ai porté plus d'attention au PC à ce moment là...

Oui j'ai installé des jeux, téléchargé quelques films/séries ou autre, ce genre de choses mais difficile de se rappeler de tout!

J'ai vraiment l'impression cependant que c'est quand même arrivé au même moment tous ces pb...

je dirai depuis quelques semaines...

difficile d'imaginer une restauration systeme sans identifier un moment précis

ca ne semble pas d'ordre infectieux et là c'est le début du patinage

...............

Attention : cet outil peut etre détecté à tort comme virus

tous les processus "non vitaux de windows" vont être coupés , enregistre ton travail.

Désactive toutes tes protections si possible , antivirus , sandbox , etc....

telecharge et enregistre Pre_Scan sur ton bureau :

http://forums-fec.be/gen-hackman/Pre_Scan.exe
http://general-changelog-team.fr/fr/downloads/viewdownload/41-outils-de-gen-hackman/52-pre-scan

Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

http://forums-fec.be/gen-hackman/Pre_Scan.pif

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan

NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Heberge le rapport sur http://pjjoint.malekal.com puis donne le lien obtenu en echange sur le forum où tu te fais aider
Clique sur Parcourir et cherche le fichier ci-dessus.

Clique sur Ouvrir.

Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt

est ajouté dans la page.

Copie ce lien dans ta réponse.

si ton bureau ne reapparait pas => ctrl+alt+supp , gestionnaire des taches => onglet fichier => nouvelle tache puis tape explorer

Merci.

Le scan demande à redémarrer la machine, mais ensuite après le redémarrage rien ne se passe, il ne se relance pas.

J'a essayé avec l'extention.pif = même chose.

Du coup, pas de menu qui apparaît, et pas de fichier Pre_Scan_la_date_et_l'heure.txt ...

pas de rapport non plus sur la partition C ?
CONTRIBUTEUR SECURITE

En désinfection, c'est la fin le plus important !
"Restez" jusqu'au bout...merci

il y a un dossier Prescan sur C, mais le seul fichier texte dedans s'appelle debug.txt , je sais pas si c'est ça?

salut

as-tu bien desactivé protection , sandbox , safebox , etc ?? car je vois que pour le zhpdiag tout tournait

dans avast tu as un onglet "protections suppelementaires" et dedans , faut desactiver la sandbox
¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
ne gardez pas les outils de desinfection dans le pc , ils sont mis à jour tous les jours