Virus gendarmerie Ukash

Merci pour la réactivité !

Voici donc le rapport

Mode: Recherche -- Date: 16/08/2012 10:56:59

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 4 ¤¤¤
[SUSP PATH] HKCU\[...]\Run : shellstyle (C:\Users\XR\AppData\Local\Microsoft\Windows\1183\shellstyle.exe) -> FOUND
[SUSP PATH] HKUS\S-1-5-21-172732496-3670148719-2321533128-1000[...]\Run : shellstyle (C:\Users\XR\AppData\Local\Microsoft\Windows\1183\shellstyle.exe) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost
::1 localhost

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: WDC WD3200AAJS-65B4A0 ATA Device +++++
--- User ---
[MBR] dfd27bbda9b6ea3d342c74ea0e5794af
[BSP] cbe1a3892920c024e3e7b9efc684338e : HP tatooed MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 292853 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 599765040 | Size: 12388 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[1].txt >>
RKreport[1].txt

Bonjour

Poste ici dans ta prochaine réponse ce rapport de Roguekiller

Merci

@+

Re

Relance Roguekiller option suppression et poste moi ensuite son rapport

Merci

@+

Merci de me suivre :)

Dois-je laisser cochées les 4 entrées avant la suppression ? Je suppose que oui mais petite hésitation ...

Voici donc le nouveau rapport après suppression ...

Demarrage : Mode sans echec avec prise en charge reseau
Utilisateur: XR [Droits d'admin]
Mode: Suppression -- Date: 16/08/2012 11:54:27

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 3 ¤¤¤
[SUSP PATH] HKCU\[...]\Run : shellstyle (C:\Users\XR\AppData\Local\Microsoft\Windows\1183\shellstyle.exe) -> DELETED
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost
::1 localhost

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: WDC WD3200AAJS-65B4A0 ATA Device +++++
--- User ---
[MBR] dfd27bbda9b6ea3d342c74ea0e5794af
[BSP] cbe1a3892920c024e3e7b9efc684338e : HP tatooed MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 292853 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 599765040 | Size: 12388 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

Re

Démarre normalement ton PC et dit moi comment cela se passe

Merci

@+

Merci pour cette aide détaillée et précieuse Guillaume ;)

Tout semble ok !

Dernière petite question : Roguekiller a crée sur le bureau un dossier quarantaine, faut-il supprimer le dossier ou uniquement son contenu ?

dans cette dernière attente merci encore de ton efficacité !!! ;)

Re

Ce n'est pas fini.

Met à jour Malwaresbytes et lance une analyse rapide et poste ensuite son rapport

Merci

@+

Oups !
l'examen rapide ne detecte rien, je suis en cours de scan avec microsoft security essential qui me dit que l'analyse préliminaire revèle des éléments nuisibles.

Malwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org

Version de la base de données: v2012.08.15.04

Windows Vista Service Pack 2 x86 NTFS
Internet Explorer 9.0.8112.16421
XR :: PC-DE-XR [administrateur]

16/08/2012 14:50:41
mbam-log-2012-08-16 (14-50-41).txt

Type d'examen: Examen rapide
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 201874
Temps écoulé: 13 minute(s), 7 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

Re

Pour vérifier les mises à jour logiciels à appliquer sur ton PC
https://www.flexera.com/products/operations/software-vulnerability-management.html
Divers liens te seront proposés pour les logiciels non à jour.

Il te faut procéder aux diverses mises à jour demandées;sinon ton problème se reproduira.

Tiens moi au courant;merci

@+

re

Secunia a detecté 4 mises à jour à effectuer ce que je vais faire.
J'attends le résultat final de mon anti virus et te tiens au courant :)

re
Effectivement mon anti virus m'a detecté 4 menaces liés à JAVA que j'ai désinstallé après avoir supprimé les menaces.
J'ai repéré dans mes programmes des petites choses du genre "Babylone" (Toolbar on IE, objectinstaller, browser manager, dealply, yontoo) .
J'ai utilisé adwcleaner qui a repéré certains éléments nuisibles que j'ai supprimé mais il subsiste des éléments browser downloder :(( Que faire ? j'ai l'impression qu'il reste du nettoyage à faire ...

Re

As tu procédé à ces diverses mises à jour?

Pour te répondre : oui j'avais adobe à mettre à jour ce que j'ai fait et java que j'ai téléchargé depuis le site de l'éditeur après l'avoir supprimé...
Entre temps mon fils a fait une erreur en téléchargeant downloader et je pense que c'est ce qui nous a donné le joli paquet surprise babylone ! Le pied quoi !

Bonjour

Ouvre ce lien et télécharge ZHPDiag de Nicolas Coolman :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Ou

https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

Serveur N°2

Ou

http://www.premiumorange.com/zeb-help-process/zhpdiag.html
en bas de la page ZHP avec un numéro de version.

Une fois le téléchargement achevé, dé zippe le fichier obtenu et place ZHPDiag.exe sur ton Bureau.

Double-clique sur l'icône pour lancer le programme. Sous Vista ou Seven clic droit « exécuter en tant que administrateur »

Clique sur la loupe pour lancer l'analyse.

Laisse l'outil travailler, il peut être assez long.

Ferme ZHPDiag en fin d'analyse.

Pour transmettre le rapport clique sur ce lien :

http://pjjoint.malekal.com/

https://www.cjoint.com/

Regarde sur le bureau

Sélectionne le fichier ZHPDiag.txt.

Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt

est ajouté dans la page.

Copie ce lien dans ta réponse.

Merci

@+

Bonjour :)

voici le rapport scanné avec ZHPDIAG

Petite question, est-ce normal qu'au moment de l'installation de ZHPDIAG je me retrouve avec 3 raccourcis sur le bureau : ZHPDIAG, MBRCHECK et ZHPFIX ?

http://pjjoint.malekal.com/files.php?id=ZHPDiag_20120817_p7o13r11b14s9

http://pjjoint.malekal.com/files.php?read=ZHPDiag_20120817_p7o13r11b14s9

Re

Oui c'est normal ces 3 raccourcis

Utilisation de l'outil ZHPFix :

* Copie tout le texte présent dans l'encadré ci-dessous (tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )
-------------------------------------------------------------------------------------------------


O2 - BHO: Babylon toolbar helper - {2EECD738-5844-4a99-B4B6-146BF802613B} Clé orpheline
O3 - Toolbar: (no name) - [HKLM]{98889811-442D-49dd-99D7-DC866BE87DBC} . (...) -- (.not file.)
[MD5.00000000000000000000000000000000] [APT] [DealPlyUpdate] (...) -- C:\Program Files\DealPly\DealPlyUpdate.exe (.not file.)
O43 - CFD: 17/11/2008 - 22:35:04 - [0,487] ----D C:\ProgramData\{3276BE95_AF08_429F_A64F_CA64CB79BCF6}
[HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ecdf796-c2dc-4d79-a620-cce0c0a66cc9}]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2EECD738-5844-4a99-B4B6-146BF802613B}]
[HKLM\Software\Classes\CLSID\{98889811-442D-49dd-99D7-DC866BE87DBC}]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{A6174F27-1FFF-E1D6-A93F-BA48AD5DD448}]
O4 - HKLM\..\Run: [hpqSRMon] Clé orpheline
[MD5.00000000000000000000000000000000] [APT] [{90B7E64D-A9C6-432F-9544-41DFDA88B0AF}] (...) -- C:\Users\XR\AppData\Local\Temp\HpUpdate\15234\sp44626.exe (.not file.)
[MD5.00000000000000000000000000000000] [APT] [{F882E50E-6042-4FE5-9D52-D21EED2516B2}] (...) -- E:\bluetooth driver\uninstall.exe (.not file.)
R3 - URLSearchHook: (no name) - {6ec85fcf-87ad-41d7-ae1f-f116f8ad4848} . (.Adobe Systems Inc. - Adobe PDF Plug-In For Firefox and Netscape 10.1.4.) (No version) -- (.not file.)
[MD5.00000000000000000000000000000000] [APT] [Scheduled Update for Ask Toolbar] (...) -- C:\Program Files\Ask.com\UpdateTask.exe (.not file.)
[HKCU\Software\AppDataLow\Software\Avanquest_FR]
O69 - SBI: SearchScopes [HKCU] {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} [DefaultScope] - (Search the web (Babylon)) - http://search.babylon.com
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2EECD738-5844-4A99-B4B6-146BF802613B}]
C:\Windows\System32\Tasks\Scheduled Update for Ask Toolbar

FirewallRAZ
Emptytemp
EmptyCLSID


--------------------------------------------------------------------------------------------
Puis lance ZHPFix depuis le raccourci du bureau. Sous Vista :Clic droit sur l'icône ZHPFix.exe
« Exécuter en tant qu'administrateur »
.

* Une fois l'outil ZHPFix ouvert, clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

*Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

*Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur le bouton « GO » pour lancer le nettoyage,

-> laisse travailler l'outil et ne touche à rien ...

-> Si il t'est demandé de redémarrer le PC pour finir le nettoyage, fais le !

Une fois terminé, un nouveau rapport s'affiche : poste le contenu de ce dernier dans ta prochaine réponse ...

( ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ ZHPFixReport.txt )

@+

Re :)

Voici le rapport du nettoyage avec ZHPFIX !
Encore merci pour ton aide !

http://pjjoint.malekal.com/files.php?id=20120817_q13s5n5w109

Re

On finalise

1) Télécharge DelFix de Xplode

* Lance le.
* A l'invite, [Suppression]
* Un rapport va s'ouvrir à la fin, colle le dans la réponse

Ensuite pour le désinstaller ; tu relances et tu passes à l'option [Désinstallation]


2)Tu disposes de Ccleaner ;met le à jour et lance une analyse avec ces réglages.
.double-cliques ou clic droit sous Vista ou Seven sur l'icône de Ccleaner pour l'ouvrir
.une fois ouvert tu cliques sur option et puis avancé
.tu décoches effacer uniquement les fichiers, du dossier temp de windows plus vieux que 24 heures
.cliques sur nettoyeur
.cliques sur windows et dans la colonne avancé
. coches la première case vieilles données du perfetch ce qui te donnes la case vielles données du perfetch
.cliques sur analyse une fois l'analyse terminé
.cliques sur lancer le nettoyage et sur la demande de confirmation OK il vas falloir que tu le refasses une autre fois une fois fini vérifies en appuyant de nouveau sur analyse pour être sur qu'il n'y est plus rien
.clique maintenant sur registre et puis sur rechercher les erreurs
.laisse tout coché et clique sur réparer les erreurs sélectionnées
.il te demande de sauvegarder OUI
.tu lui donnes un nom pour pouvoir la retrouver et enregistre
.clique sur corriger toutes les erreurs sélectionnées et sur la demande de confirmation OK
.il supprime et une fois fermé tu vérifies en relançant rechercher les erreurs
.tu retournes dans option et tu recoches la case effacer uniquement les fichiers, du dossier temp de windows plus vieux que 48 heures et sur nettoyeur, windows sous avancé tu décoches la première case vieilles données du perfetch
.tu peux fermer Ccleaner.

3)Purge la restauration sur Vista.
Comment faire :

https://www.commentcamarche.net/faq/13214-vista-desactiver-reactiver-la-restauration-systeme-de-vista

Cela supprime toutes traces des diverses infections ;et permettra une éventuelle restauration sans infections

@+

Voici le rapport DelFix, je passe à la suite!

http://pjjoint.malekal.com/files.php?id=20120817_f15v5x7m15e5