Virus, again.

Ashley bonsoir,

1- inscris toi sur le site s'il te plait !

2- Que te disais Avast et sur quels fichiers ?

A+

Voilà, je me suis inscrite.

Ce que me disait Avast, juste que j'avais des fichiers infectés (cheval de troie apparemment), situés dans le dossier Temp. ex: C:\Users\xxxx\AppData\Local\Temp\240983bc.exe\b185.exe

Et je viens de découvrir dans mon gestionnaire de taches un truc nommé "adfly". Je crois que c'est lié au virus qu'Avast a détecté...

Ah et les fichiers infectés que j'ai pu mettre en quarantaine étaient: Win32:Kryptik-JNY et Win32:Injector-ASV. Situés dans le dossier Temp.

Ashley0 bonjour,

Peux-tu utiliser ce logiciel de diagnostic, ça me permettra de t'aider :

* Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau,
/!\Il est très important de l'enregistrer sur le bureau / !\
* Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et laisse se dérouler l'installation
/!\L'outil a créé 3 icônes ZHPDiag , ZHPFix et MBRCheck) /!\
/!\Utilisateurs de Vista et Windows 7 : Clic droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur » /!\
* Vérifie si tu trouves une icône marquée "UAC" en haut à droite de ZHPDiag : si c'est le cas, clique dessus.
* Clique également sur l'icône du "tournevis" et dans la fenêtre d'options qui apparait coche "Tous"
* Clique sur la loupe pour « lancer le diagnostic » .
* ZHPDiag va alors analyser le contenu de ton ordinateur à la recherche d'informations sur ton système d'exploitation, la base de registre... Patiente jusqu'à la fin de l'analyse. Il peut arriver que le logiciel donne l'impression d'être bloqué ; patiente !
* En cas de blocage sur la section O80, clique sur le tournevis pour le décocher.
* Laisse l'outil travailler, il peut être assez long.
* Le rapport s'enregistre sur ton bureau et dans le dossier où est installé ZHPDiag (en général C:\ZHP\).
* Transmets moi le lien du fichier.
* Rappel des dépôts : cijoint ou pjjoint

A+

Bonjour !

Voici le lien du rapport !

https://pjjoint.malekal.com/files.php?id=ZHPDiag_20120806_u9o5x6g5j6

Salut,

Quel site, t'as donné ces alertes?

Bonjour,

Et bien je trainais sur un tumblr et j'ai du cliquer sur quelque chose... Parce que ça m'a ramené sur le site adfly et je pense que c'est là que j'ai choppé toutes ces saletés...

Ashley0,

1 - *Spybot est obsolète, peut ralentir la navigation et gêner les désinfections.
Tu peux le désinstaller >
Effectue ceci pour une désinstallation totale et propre de Spybot S&D :

1/. Désactive Tea Timer si activé :
[*]Lance Spybot
[*]Clique sur Mode, puis coche Mode avancé
[*]Clique sur Outils puis sur Résident
[*]Décoche la case Résident "Tea Timer"

2/. Retirer la vaccination de Spybot :
[*] Ferme tes navigateurs.
[*]Lance Spybot S&D, et va à l'onglet "vaccination" : clique sur "Vaccination" dans la colonne sur la gauche :
[*]Clique sur le bouton annuler (la flèche bleue qui part vers la gauche) pour annuler la vaccination.
[*]Confirme si demandé.
[*]Ferme Spybot.

3/. Désinstalle Spybot par le panneau de configuration

------------------------------------------------

Ce script va cibler certains éléments à supprimer :

* Copie tout le texte ci-dessous (en gras et italique) tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C

[MD5.B9BC276A400D91392C561B76C0AECF6A] - (...) -- C:\Users\hanasaki\AppData\Roaming\Adobe\file.exe [456192] [PID.3284]
O4 - HKCU\..\Run: [Java Runtime] . (...) -- C:\Users\hanasaki\AppData\Roaming\Adobe\file.exe
O4 - HKCU\..\Run: [Leadertech] . (...) -- C:\Users\hanasaki\AppData\Roaming\754952.exe
O4 - HKCU\..\Run: [Svhost] . (.vuxpcse tdtc yfax kqq - vordf vmbj kwjc.) -- C:\Users\hanasaki\AppData\Roaming\Svhost.exe
O4 - HKCU\..\Run: [egkepxcackaofrwsjvh] . (...) -- C:\Users\hanasaki\AppData\Roaming\egkepxcackaofrwsjvh.exe
O4 - HKUS\S-1-5-21-1019002362-4168785665-2016469878-1000\..\Run: [Java Runtime] . (...) -- C:\Users\hanasaki\AppData\Roaming\Adobe\file.exe
O4 - HKUS\S-1-5-21-1019002362-4168785665-2016469878-1000\..\Run: [Leadertech] . (...) -- C:\Users\hanasaki\AppData\Roaming\754952.exe
O4 - HKUS\S-1-5-21-1019002362-4168785665-2016469878-1000\..\Run: [Svhost] . (.vuxpcse tdtc yfax kqq - vordf vmbj kwjc.) -- C:\Users\hanasaki\AppData\Roaming\Svhost.exe
O4 - HKUS\S-1-5-21-1019002362-4168785665-2016469878-1000\..\Run: [egkepxcackaofrwsjvh] . (...) -- C:\Users\hanasaki\AppData\Roaming\egkepxcackaofrwsjvh.exe
[HKCU\Software\DC3_FEXEC] => Infection Diverse (Malware.Trace)
O61 - LFC:Last File Created 06/08/2012 - 02:10:07 ---A- C:\Users\hanasaki\AppData\Roaming\Svhost.exe [840704]
O61 - LFC:Last File Created 06/08/2012 - 02:10:07 ---A- C:\Users\hanasaki\AppData\Roaming\fcocyr.exe [840704]
O61 - LFC:Last File Created 06/08/2012 - 02:36:58 ---A- C:\Users\hanasaki\AppData\Roaming\bftkvi.exe [840704]
O61 - LFC:Last File Created 06/08/2012 - 23:53:49 ---A- C:\Users\hanasaki\AppData\Roaming\msruwe.exe [108032]
O61 - LFC:Last File Created 06/08/2012 - 23:59:10 ---A- C:\Users\hanasaki\AppData\Roaming\jmPirWwRJw.exe [17408]
[MD5.8B9CBAC4F8348E5047CE42770842CADA] [SPRF][11/04/2009] (...) -- C:\Users\hanasaki\AppData\Roaming\754952.exe [17408]
[MD5.58D535617A01A749C6FD26AEB6A877FE] [SPRF][06/08/2012] (...) -- C:\Users\hanasaki\AppData\Roaming\AdobeART.exe [38912]
[MD5.375632A54601A83F596D04ADDE2A9D0A] [SPRF][06/08/2012] (.vuxpcse tdtc yfax kqq - vordf vmbj kwjc.) -- C:\Users\hanasaki\AppData\Roaming\bftkvi.exe [840704]
[MD5.BCEFD63F3546E531693948D8EF526FBD] [SPRF][06/08/2012] (...) -- C:\Users\hanasaki\AppData\Roaming\egkepxcackaofrwsjvh.exe [418304]
[MD5.375632A54601A83F596D04ADDE2A9D0A] [SPRF][06/08/2012] (.vuxpcse tdtc yfax kqq - vordf vmbj kwjc.) -- C:\Users\hanasaki\AppData\Roaming\fcocyr.exe [840704]
[MD5.8B9CBAC4F8348E5047CE42770842CADA] [SPRF][05/08/2012] (...) -- C:\Users\hanasaki\AppData\Roaming\jmPirWwRJw.exe [17408]
[MD5.375632A54601A83F596D04ADDE2A9D0A] [SPRF][06/08/2012] (.vuxpcse tdtc yfax kqq - vordf vmbj kwjc.) -- C:\Users\hanasaki\AppData\Roaming\Svhost.exe [840704]
O87 - FAEL: "TCP Query User{9C5BC74F-6473-4FF8-BC03-EF364C4FBD12}C:\users\hanasaki\appdata\roaming\imvuclient\1vivoxvoice.exe" |In - Private - P6 - TRUE | .(...) -- C:\users\hanasaki\appdata\roaming\imvuclient\1vivoxvoice.exe (.not file.)
O87 - FAEL: "UDP Query User{C9A3D21D-5EE1-4A13-8D85-70D5940912D9}C:\users\hanasaki\appdata\roaming\imvuclient\1vivoxvoice.exe" |In - Private - P17 - TRUE | .(...) -- C:\users\hanasaki\appdata\roaming\imvuclient\1vivoxvoice.exe (.not file.)
[HKCU\Software\DC3_FEXEC] => Infection Diverse (Malware.Trace)
EmptyTemp
EmptyFlash
EmptyCLSID
FirewallRAZ

* Double-clic droit sur le raccourci portant le nom "ZHPFix" (sur ton bureau).
/ !\Utilisateurs de Vista et Windows 7 : Clic droit sur le logo de ZHPFix.exe, « exécuter en tant qu'Administrateur »/ !\
* Clique sur le H "coller les lignes Helper", les lignes copiées vont automatiquement se coller dans la fenêtre. Si ce n'est pas le cas fais un CTRL+V.
* Vérifie que toutes les lignes que je t''ai demandé de copier (et seulement elles) sont dans la fenêtre.
* Clique sur le bouton «GO » pour lancer le nettoyage
* Le rapport s'ouvre automatiquement après l'exécution du script. Il se trouve aussi sous C:\ZHP\ZHPPFixReport.txt
* Transmets-moi le lien du fichier comme indiqué en préambule "Dépôt de fichier"
*Rappel des dépôts : cijoint ou pjjoint

A+

Merci de m'avoir répondu, voici le rapport.

https://pjjoint.malekal.com/files.php?id=20120806_j6l15j7m6p5

OK,

* Télécharge Malwaresbytes anti malware ici
* Choisis la version -Download free version-
* Installe le (choisis bien "français" ; ne modifie pas les paramètres d'installation ) et mets le à jour .
(NB : S'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : https://www.malekal.com/tutorial-aboutbuster/
* Tu as un tuto si tu en as besoin : tuto
* Avant de lancer le programme Déconnecte toi d'Internet et ferme toutes tes applications.
* /I\ Sous Vista ou Seven ---> clic droit "Exécuter en tant qu'administrateur"/I\
* Clique sur l'onglet "Mise à jour" si celle ci ne t'a pas été proposée lors de l'installation.
* Clique ensuite sur l'onglet "Recherche" puis coche "Exécuter un examen Complet"
* Le scan peut durer plusieurs heures, aussi ne t'impatiente pas et laisse tourner le programme sans rien faire d'autre sur ta machine.
* Lorsque le scan est terminé clique sur "Afficher les résultats"
* Vérifie que toutes les lignes des objets infectés soient cochées, puis clique sur "Supprimer la sélection"

PS : Redémarre ta machine pour achever le nettoyage.

* Un rapport sera généré, enregistre-le dans un endroit approprié pour le retrouver et héberge-le sur ce site
* Envoie-moi le lien fourni dans ta prochaine réponse.

A+

Bonsoir ! Après 4h d'analyse, voici le rapport !

https://pjjoint.malekal.com/files.php?id=20120807_c6h11y14e10x14

Ashley,

4h oui c'est long, mais ça en valait la peine.

Vide la quarantaine de MBAM.

Que te dis Avast maintenant ? et comment se comporte ton PC ?

Refais un ZHPDiag pour voir s'il reste des traces et poste moi le lien du rapport.

A++

Bonjour,

Et bien Avast ne détecte plus rien, par contre MBAM m'a détecté plusieurs choses (trojan je crois). Donc je pense qu'il reste des traces malheureusement. Voici le rapport:

https://pjjoint.malekal.com/files.php?id=ZHPDiag_20120807_e11w12p9u13o13

Ashley tu es à nouveau bien infectée, grrrrrrrrrrrrrrrrrrrrrrr !!!

Tu as relancé MBAM ? si oui poste moi son rapport.

Nous allons restaurer le fichier Hosts de ton ordinateur :

* Télécharge [url=https://www.sfr.fr/fermeture-des-pages-perso.html]MyHosts.exe[/url] (de jeanmimigab) sur ton Bureau.
* Lance le programme (si tu es sous Windows Vista ou Windows 7, fais un clic-droit sur l'icone et choisis "Exécuter en temps qu'administrateur")
* Lorsque le programme aura terminé son travail, un rapport doit s'ouvrir, ferme le.
* Clique sur Parcourir et cherche le fichier C:\MyHosts.txt
* Transmets moi le lien du fichier comme indiqué en préambule "Dépôt de fichier"
*Rappel des dépôts : cijoint ou pjjoint

* Télécharge Roguekiller (de Tigzy) sur le Bureau
* Quitte tous tes programmes en cours
* Lance le (si tu utilises Windows Vista ou 7 : fais un clic-droit dessus et choisis "Exécuter en tant qu'administrateur")
* Clique sur le bouton (Scan)
* S'il demande pour supprimer un proxy, tape 1 (supprimer)
* Le scan terminé clique sur le bouton (Rapport)
* Le bloc note s'ouvre contenant le rapport
* Enregistre le sur ton bureau
* Transmets moi le lien du fichier comme indiqué en préambule "Dépôt de fichier"
* Rappel des dépôts : cijoint ou pjjoint
* Si le programme a été bloqué, ne pas hésiter a essayer plusieurs fois, ou renommer en winlogon.exe

A+
Heureux ceux qui peuvent donner sans s'en souvenir et prendre sans oublier !

Tout de suite aprés :

Télécharge TdssKiller
* Lance le
* choisis : télécharger la dernière version
* relance-le
* Choisis : lancer le nettoyage
* TDSSKiller va s'ouvrir, clique sur "Start Scan"
Si TDSS.tdl2 est détecté l''option délete sera cochée par défaut.
Si TDSS.tdl3 est détecté assure-toi que Cure est bien cochée.
Si TDSS.tdl4(\HardDisk0\MBR) est détecté assure toi que Cure est bien cochée.
Si Suspicious file est indiqué, laisse l''option cochée sur Skip
Si Rootkit.Win32.ZAccess.* est détecté règle sur "cure" en haut , et "delete" en bas
* une fois qu'il a terminé , redémarre s'il te le demande pour finir de nettoyer
* sinon , ferme tdssKiller et le rapport s'affichera sur le bureau
* Copie/Colle son contenu dans ta prochaine réponse.

A+

Rebonsoir, voilà le rapport de MBAM !

https://pjjoint.malekal.com/files.php?id=20120807_7x14u8g11j10

Je vais de ce pas télécharger les autres programmes.

Rapport My Host:

https://pjjoint.malekal.com/files.php?id=20120807_g8r14q8t8s8

Rapport Roguekiller:

https://pjjoint.malekal.com/files.php?id=20120807_d9e15g13h9c15

Bien, relances Roguekiller em mode [Suppression]

A+

Et le dernier rapport TdssKiller:

https://pjjoint.malekal.com/files.php?id=20120807_g8f15k10l12c7

Voilà RogueKiller relancé en mode Supression. :)