Sujet Précédent Sujet Suivant

HELP : Trojan qui détecte mots de passe FTP

Fermé
clarabulle Messages postés 16 Date d'inscription mercredi 15 août 2012 Statut Membre Dernière intervention 17 août 2012 - 16 août 2012 à 20:39
 Utilisateur anonyme - 17 août 2012 à 19:35
Bonjour,

Je me permets de poster ici suite à un piratage de mes sites web qui m'incitent à croire que j'ai été infectée par un trojan. En effet plusieurs sites que je gère ont été piraté, alors qu'ils n'ont aucun lien entre eux, et sont sur des hébergeurs différents. C'est également la conclusion des forumeurs du /webmastering et ils m'ont conseillé de vous demander de l'aide ;)

Le trojan suspecté serait donc capable de connaître mes mots de passe ftp, et le pirate procède ensuite à des injections de code et à des ajouts de fichiers .ftp sur mes sites.

Pour l'instant, j'ai -en plus du changement de mes mots de passe ftp et admin :
- réalisé un scan spybot : résultat 1 fichier win32.Agent.ode dans system 32 qui s'intitule : C_12566.NLS
- réalisé un scan complet Avira antivirus : aucun virus detecté.

On m'a dit qu'il fallait probablement faire une désinfection plus poussée avec votre aide : que puis-je faire de plus?

Un grand merci par avance à celles et ceux qui voudront bien m'aider !

17 réponses

Réponse 1 / 17
Utilisateur anonyme
16 août 2012 à 20:53
Bonjour

On va faire une analyse de ton systéme.


* Télécharge ZHPDiag ( de Nicolas coolman ).
ou
ZHPDiag
ou
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Ou le lien FTP en secours :
ftp://zebulon.fr/ZHPDiag2.exe

***********************
/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, (icône en forme de parchemin) exécuter en tant qu'Administrateur /!\
* Laisse toi guider lors de l'installation
* Il se lancera automatiquement à la fin de l'installation
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur le site pjjoint.malekal.com ou cijoint.fr ou toofiles puis copie/colle le lien fournit dans ta prochaine réponse sur le forum
0
Réponse 2 / 17
clarabulle Messages postés 16 Date d'inscription mercredi 15 août 2012 Statut Membre Dernière intervention 17 août 2012
16 août 2012 à 21:19
et voilà : https://pjjoint.malekal.com/files.php?id=ZHPDiag_20120816_h13v7r9d8n11

merci bcp!
0
Réponse 3 / 17
Utilisateur anonyme
16 août 2012 à 22:49
Télécharge USBFIX sur ton bureau (Merci à El Desaparecido/C_XX)

http://eldesaparecido.com/tools/UsbFix.exe

\ !/Désactive provisoirement la protection en temps réel de ton Antivirus et de tes Antispywares.\ !/
* Double-clique sur l'icône Usbfix située sur ton Bureau.
* Clique sur le bouton.
* suppression
* Branches tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir
* Cliques sur OK
* Laisses Usbfix scanner ton système
* Postes le rapport qui se trouve ici ===========?C:\ UsbFix.txt

\ !/Apres l'option suppression il est recommander de redémarrer votre pc .Pensez a réactiver vos protections . (Antivirus et Antispywares.)\ !/
0
Réponse 4 / 17
clarabulle Messages postés 16 Date d'inscription mercredi 15 août 2012 Statut Membre Dernière intervention 17 août 2012
16 août 2012 à 23:13
et hop!

(pas de disque/stockage externe utilisé donc uniquement le scan des disques locaux)

############################## | UsbFix V 7.096 | [Deletion]

User: Eric (Administrator) # MBPERIC
Updated 15/08/2012 by El Desaparecido
Started at 22:54:52 | 16/08/2012

Website: https://www.sosvirus.net/
Forum: http://forum.eldesaparecido.com
Suspicious file ? : http://eldesaparecido.com/upload.php
Contact: contact@eldesaparecido.com

PC: Apple Inc. (MacBookPro7,1) (x64-based PC) # Notebook
CPU: Intel(R) Core(TM)2 Duo CPU P8600 @ 2.40GHz (2394)
RAM -> [Total : 3831 | Free : 1197]
BIOS: Default System BIOS
BOOT: Normal boot

OS: Microsoft Windows 7 Édition Intégrale (6.1.7600 64-Bit) #
WB: Windows Internet Explorer 9.0.8112.16421

SC: Security Center Service [(!) Disabled]
WU: Windows Update Service [Enabled]
AV: Avira Desktop [Enabled | Updated]
FW: Windows FireWall Service [(!) Disabled]

C:\ (%systemdrive%) -> Fixed drive # 183 Gb (10 Mb free - 5%) [BOOTCAMP] # NTFS
D:\ -> CD-ROM
E:\ -> Fixed drive # 50 Gb (5 Mb free - 9%) [Macintosh HD] # HFS
G:\ -> CD-ROM

################## | Active Processes |

C:\Windows\system32\csrss.exe (448)
C:\Windows\system32\wininit.exe (528)
C:\Windows\system32\csrss.exe (552)
C:\Windows\system32\services.exe (576)
C:\Windows\system32\lsass.exe (592)
C:\Windows\system32\lsm.exe (600)
C:\Windows\system32\svchost.exe (724)
C:\Windows\system32\nvvsvc.exe (796)
C:\Windows\system32\svchost.exe (836)
C:\Windows\System32\svchost.exe (888)
C:\Windows\System32\svchost.exe (924)
C:\Windows\system32\svchost.exe (960)
C:\Windows\system32\svchost.exe (468)
C:\Windows\system32\WUDFHost.exe (1016)
C:\Windows\system32\svchost.exe (1080)
C:\Windows\system32\winlogon.exe (1192)
C:\Windows\system32\WLANExt.exe (1236)
C:\Windows\system32\conhost.exe (1244)
C:\Windows\system32\nvvsvc.exe (1500)
C:\Program Files (x86)\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe (1716)
C:\Windows\system32\AppleOSSMgr.exe (1764)
C:\Windows\system32\AppleTimeSrv.exe (1796)
C:\Program Files\Bonjour\mDNSResponder.exe (1824)
C:\Windows\System32\svchost.exe (1856)
C:\Windows\system32\svchost.exe (1892)
C:\Program Files (x86)\Parallels\Parallels Tools\Services\prl_tools_service.exe (1068)
C:\Program Files (x86)\Parallels\Parallels Tools\Services\prl_tools.exe (1508)
C:\Windows\system32\svchost.exe (2056)
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE (2140)
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe (2256)
C:\Windows\system32\svchost.exe (2576)
C:\Windows\system32\WUDFHost.exe (2660)
C:\Windows\system32\taskhost.exe (2972)
C:\Windows\system32\Dwm.exe (2128)
C:\Windows\Explorer.EXE (2344)
C:\Program Files\Boot Camp\Bootcamp.exe (156)
C:\Program Files (x86)\Stardock\ObjectDockFree\ObjectDock.exe (3268)
C:\Program Files (x86)\Parallels\Parallels Tools\prl_cc.exe (3420)
C:\Program Files (x86)\Razer\DeathAdder\razerhid.exe (3528)
C:\Program Files (x86)\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe (3584)
C:\Program Files (x86)\Stardock\ObjectDockFree\Dock64.exe (3800)
C:\Program Files (x86)\Razer\DeathAdder\razerofa.exe (3900)
C:\Program Files\iPod\bin\iPodService.exe (3300)
C:\Program Files\Windows Media Player\wmpnetwk.exe (3560)
C:\Windows\System32\svchost.exe (3032)
C:\Windows\system32\wuauclt.exe (1976)
C:\Windows\system32\taskhost.exe (5088)
C:\Program Files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE (5584)
C:\Windows\system32\SearchIndexer.exe (3892)
C:\Windows\System32\spoolsv.exe (4516)
C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe (5920)
C:\Users\Eric\AppData\Roaming\Dropbox\bin\Dropbox.exe (2548)
C:\Program Files (x86)\Adobe\Acrobat 10.0\Acrobat\AcroTray.exe (10396)
C:\Program Files (x86)\Desktop Lighter\DLighter.exe (2916)
C:\Program Files (x86)\Avira\AntiVir Desktop\sched.exe (4136)
C:\Program Files (x86)\Avira\AntiVir Desktop\avguard.exe (9112)
C:\Program Files (x86)\Avira\AntiVir Desktop\avshadow.exe (5196)
C:\Windows\system32\conhost.exe (4728)
C:\Program Files (x86)\Avira\AntiVir Desktop\avgnt.exe (9440)
C:\Program Files (x86)\Mozilla Firefox\firefox.exe (8580)
C:\Program Files\Microsoft Office\Office14\WINWORD.EXE (7040)
C:\Program Files (x86)\Mozilla Firefox\plugin-container.exe (5636)
C:\Users\Eric\AppData\Local\Google\Google Talk Plugin\googletalkplugin.exe (5740)
C:\Program Files (x86)\Mozilla Firefox\plugin-container.exe (10608)
C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerPlugin_11_3_300_262.exe (11588)
C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerPlugin_11_3_300_262.exe (6608)
C:\Program Files (x86)\HMA! Pro VPN\bin\HMA! Pro VPN.exe (1932)
C:\Program Files (x86)\OpenVPN\bin\openvpnserv.exe (11748)
C:\Program Files (x86)\HMA! Pro VPN\bin\openvpn.exe (10868)
C:\Windows\system32\conhost.exe (1516)
C:\Program Files (x86)\ZHPDiag\ZHPDiag.exe (7804)
C:\Windows\system32\taskeng.exe (1848)
C:\Windows\system32\SearchProtocolHost.exe (5924)
C:\Windows\system32\SearchFilterHost.exe (10668)
C:\UsbFix\Go.exe (8380)
C:\Windows\system32\wbem\wmiprvse.exe (10660)

################## | Stopped processes |

Stopped! C:\Windows\system32\nvvsvc.exe (796)
Stopped! C:\Windows\system32\WUDFHost.exe (1016)
Stopped! C:\Windows\system32\WLANExt.exe (1236)
Stopped! C:\Windows\system32\conhost.exe (1244)
Stopped! C:\Windows\system32\nvvsvc.exe (1500)
Stopped! C:\Program Files (x86)\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe (1716)
Stopped! C:\Windows\system32\AppleOSSMgr.exe (1764)
Stopped! C:\Windows\system32\AppleTimeSrv.exe (1796)
Stopped! C:\Program Files\Bonjour\mDNSResponder.exe (1824)
Stopped! C:\Program Files (x86)\Parallels\Parallels Tools\Services\prl_tools_service.exe (1068)
Stopped! C:\Program Files (x86)\Parallels\Parallels Tools\Services\prl_tools.exe (1508)
Stopped! C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE (2140)
Stopped! C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe (2256)
Stopped! C:\Windows\system32\WUDFHost.exe (2660)
Stopped! C:\Windows\system32\taskhost.exe (2972)
Stopped! C:\Program Files\Boot Camp\Bootcamp.exe (156)
Stopped! C:\Program Files (x86)\Stardock\ObjectDockFree\ObjectDock.exe (3268)
Stopped! C:\Program Files (x86)\Parallels\Parallels Tools\prl_cc.exe (3420)
Stopped! C:\Program Files (x86)\Razer\DeathAdder\razerhid.exe (3528)
Stopped! C:\Program Files (x86)\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe (3584)
Stopped! C:\Program Files (x86)\Stardock\ObjectDockFree\Dock64.exe (3800)
Stopped! C:\Program Files (x86)\Razer\DeathAdder\razerofa.exe (3900)
Stopped! C:\Program Files\iPod\bin\iPodService.exe (3300)
Stopped! C:\Program Files\Windows Media Player\wmpnetwk.exe (3560)
Stopped! C:\Windows\system32\wuauclt.exe (1976)
Stopped! C:\Windows\system32\taskhost.exe (5088)
Stopped! C:\Program Files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE (5584)
Stopped! C:\Windows\system32\SearchIndexer.exe (3892)
Stopped! C:\Windows\System32\spoolsv.exe (4516)
Stopped! C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe (5920)
Stopped! C:\Users\Eric\AppData\Roaming\Dropbox\bin\Dropbox.exe (2548)
Stopped! C:\Program Files (x86)\Adobe\Acrobat 10.0\Acrobat\AcroTray.exe (10396)
Stopped! C:\Program Files (x86)\Desktop Lighter\DLighter.exe (2916)
Stopped! C:\Program Files (x86)\Avira\AntiVir Desktop\sched.exe (4136)
Stopped! C:\Program Files (x86)\Avira\AntiVir Desktop\avguard.exe (9112)
Stopped! C:\Program Files (x86)\Avira\AntiVir Desktop\avshadow.exe (5196)
Stopped! C:\Windows\system32\conhost.exe (4728)
Stopped! C:\Program Files (x86)\Avira\AntiVir Desktop\avgnt.exe (9440)
Stopped! C:\Program Files (x86)\HMA! Pro VPN\bin\HMA! Pro VPN.exe (1932)
Stopped! C:\Program Files (x86)\OpenVPN\bin\openvpnserv.exe (11748)
Stopped! C:\Program Files (x86)\HMA! Pro VPN\bin\openvpn.exe (10868)
Stopped! C:\Windows\system32\taskeng.exe (1848)
Stopped! C:\Windows\system32\SearchProtocolHost.exe (5924)

################## | Files # Infected Folders |

Deleted ! C:\$RECYCLE.BIN\S-1-5-20
Deleted ! C:\$RECYCLE.BIN\S-1-5-21-3281177828-1103832624-532424505-1001

(!) Temporary files deleted.

################## | Registry |


################## | Mountpoints2 |

Deleted ! HKCU\.\.\.\.\Explorer\MountPoints2\{07e25b67-da86-11df-ad2b-5c5948c95e63}
Deleted ! HKCU\.\.\.\.\Explorer\MountPoints2\{25518a4e-fb49-11e0-9808-5c5948c95e63}
Deleted ! HKCU\.\.\.\.\Explorer\MountPoints2\{28356249-cbd5-11df-8f12-806e6f6e6963}

################## | Listing |

[16/08/2012 - 22:56:55 | SHD ] C:\$Recycle.Bin
[19/03/2012 - 17:02:03 | N | 192] C:\BnetLog.txt
[27/02/2012 - 14:35:45 | SHD ] C:\Boot
[27/02/2012 - 14:35:42 | RSH | 383562] C:\bootmgr
[28/09/2010 - 07:58:32 | N | 8192] C:\BOOTSECT.BAK
[11/08/2012 - 19:58:21 | D ] C:\Config.Msi
[14/07/2009 - 07:08:56 | SHD ] C:\Documents and Settings
[02/08/2009 - 09:59:51 | N | 171136] C:\grldr
[26/07/2012 - 16:07:06 | ASH | 3012501504] C:\hiberfil.sys
[03/10/2010 - 11:50:19 | D ] C:\Intel
[20/01/2011 - 21:23:16 | RHD ] C:\MSOCache
[26/07/2012 - 16:07:13 | ASH | 4016672768] C:\pagefile.sys
[14/07/2009 - 05:20:08 | D ] C:\PerfLogs
[26/07/2012 - 16:02:04 | D ] C:\Program Files
[16/08/2012 - 21:11:42 | D ] C:\Program Files (x86)
[16/08/2012 - 12:06:21 | HD ] C:\ProgramData
[27/09/2010 - 22:06:29 | SHD ] C:\Recovery
[16/08/2012 - 22:56:57 | SHD ] C:\System Volume Information
[06/09/2011 - 21:20:18 | D ] C:\Temp
[28/09/2010 - 22:21:30 | D ] C:\TEMP_PARALLELS_TOOLS
[16/08/2012 - 22:56:55 | D ] C:\UsbFix
[16/08/2012 - 22:55:21 | A | 9646] C:\UsbFix.txt
[27/09/2010 - 22:08:55 | D ] C:\Users
[09/05/2012 - 02:24:41 | D ] C:\Windows
[27/02/2012 - 14:35:44 | N | 206312] C:\XELDZ
[16/08/2012 - 21:13:38 | D ] C:\ZHP
[05/06/2011 - 18:27:19 | N | 0] E:\.dbfseventsd
[30/06/2012 - 01:15:00 | N | 16384] E:\.DS_Store
[25/02/2010 - 09:46:32 | N | 0] E:\.file
[30/06/2012 - 22:40:43 | ND ] E:\.fseventsd
[28/03/2010 - 07:21:21 | ND ] E:\.HFS+ Private Directory Data

[11/09/2010 - 17:03:29 | N | 589824] E:\.hotfiles.btree
[28/03/2010 - 07:21:22 | N | 25165824] E:\.journal
[28/03/2010 - 07:21:21 | N | 4096] E:\.journal_info_block
[28/03/2010 - 08:12:51 | ND ] E:\.Spotlight-V100
[28/03/2010 - 08:18:36 | ND ] E:\.Trashes
[27/01/2010 - 06:36:43 | ND ] E:\.vol
[25/06/2012 - 14:30:22 | ND ] E:\Applications
[11/09/2010 - 22:10:39 | ND ] E:\bin
[25/02/2010 - 09:46:30 | ND ] E:\cores
[25/02/2010 - 09:46:30 | ND ] E:\dev
[28/03/2010 - 07:25:01 | N | 4096] E:\etc
[11/09/2010 - 17:08:23 | N | 4096] E:\Guides de l'utilisateur et informations
[11/09/2010 - 17:03:42 | ND ] E:\home
[26/07/2011 - 21:43:45 | ND ] E:\Library
[24/04/2010 - 03:32:06 | N | 18665472] E:\mach_kernel
[11/09/2010 - 17:03:42 | ND ] E:\net
[25/02/2010 - 09:46:30 | ND ] E:\Network
[28/03/2010 - 07:27:48 | ND ] E:\private
[11/09/2010 - 22:10:42 | ND ] E:\sbin
[11/09/2010 - 22:12:56 | ND ] E:\System
[28/03/2010 - 07:25:01 | N | 4096] E:\tmp
[11/09/2010 - 17:08:22 | ND ] E:\Users
[28/09/2010 - 22:20:32 | ND ] E:\usr
[28/03/2010 - 07:25:01 | N | 4096] E:\var
[01/07/2012 - 20:28:50 | ND ] E:\Volumes

################## | Vaccin |

C:\Autorun.inf -> Vaccine created by UsbFix (El Desaparecido)

################## | Upload |

Please send the file: C:\UsbFix_Upload_Me_MBPERIC.zip
http://eldesaparecido.com/upload.php
Thank you for your contribution.

################## | E.O.F |
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 17
Utilisateur anonyme
16 août 2012 à 23:32
(pas de disque/stockage externe utilisé donc uniquement le scan des disques locaux)
h:\readme.exe ===> le h correspond a une unite de stockage .Laquelle?
Tu dois la retrouver et la desinfecter.
h:\readme.exe ===> Il appartient à une famille de chevaux de Troie (Trojan).
Grâce à l'ouverture d'un port internet, il peut accéder et contrôler à distance un ordinateur à l'insu de son utilisateur.


* Télécharge et installe : Malwarebyte's Anti-Malware
* A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
* Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
* Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet" puis "Rechercher"
* Sélectionne tes disques durs" puis clique sur "Lancer l'examen"
* A la fin du scan, clique sur Afficher les résultats
* Coche tous les éléments détectés puis clique sur Supprimer la sélection
* Enregistre le rapport
* S'il t'est demandé de redémarrer, clique sur Yes
* Poste le rapport de scan après la suppression ici.(poste le rapport, même si rien n'est détecté.)
* Si tu as besoin d'aide regarde ce tutorial
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
0
Réponse 6 / 17
clarabulle Messages postés 16 Date d'inscription mercredi 15 août 2012 Statut Membre Dernière intervention 17 août 2012
17 août 2012 à 12:07
Re-Bonjour,

J'ai suivi ces étapes hier soir, et suis partie me coucher en laissant tourner MBAM. Ce matin, Blue screen of death avec commer erreur : PAGED_FAULT_IN_NON_PAGED_AREA.

J'ai malgré tout relancé le scan, et rebelotte au bout de 10mn : Blue Screen...
0
Réponse 7 / 17
Utilisateur anonyme
17 août 2012 à 12:51
Lances l'analyse Mbam en mode sans échec.

Démarrer Windows en « mode sans échec »


Avec la touche F8
- Au démarrage de l'ordinateur presser successivement (intervalle d'une seconde) la touche F8 jusqu'à arriver au menu de démarrage avancé permettant de sélectionner le Mode sans échec.
- Vous naviguez dans le menu jusqu'à l'option « Mode sans échec avec prise en charge réseau» grâce aux flèches de direction.
- Validez avec la touche Entrée.
Note : Sur certains ordinateurs, c'est la touche F5 qu'il convient d'utiliser.
0
Réponse 8 / 17
clarabulle Messages postés 16 Date d'inscription mercredi 15 août 2012 Statut Membre Dernière intervention 17 août 2012
17 août 2012 à 15:07
Ca a planté à nouveau en mode sans echec. Du coup j'ai relancé le scan mais uniquement avec mon disque C:/ et ca a fonctionné. Mon disque E:/ est la partition mac osx donc je ne pense pas que le problème vienne de là!

et voilà le rapport, qui est clean :
Malwarebytes Anti-Malware (Essai) 1.62.0.1300
www.malwarebytes.org

Version de la base de données: v2012.08.16.10

Windows 7 Service Pack 1 x64 NTFS (Mode sans échec/Réseau)
Internet Explorer 9.0.8112.16421
Eric :: MBPERIC [administrateur]

Protection: Désactivé

17/08/2012 14:44:11
mbam-log-2012-08-17 (14-44-11).txt

Type d'examen: Examen complet (C:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 481269
Temps écoulé: 16 minute(s), 30 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)


merci encore pour le temps passé à m'aider nanard4700 !
0
Réponse 9 / 17
Utilisateur anonyme
17 août 2012 à 15:17
* Télécharge OtmoveIT (de Old_Timer) sur ton Bureau
http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/ (de OldTimer) sur ton Bureau
* Double-clique sur OTMoveIt.exe pour le lancer.
* Assure toi que la case Unregister Dll's and Ocx's soit bien cochée.
* copie la liste en gras ci-dessous et colle la dans le cadre de gauche de OTMoveIt sous Paste List of Files/Folders to move.


------------------------------------------------------



:files
h:\readme.exe
C:\Windows\Tasks\AutoKMS.job

:reg
[-HKCU\Software\Ask.com.tmp]


:commands
[emptytemp]
[start explorer]
[reboot]



-----------------------------

* clique sur MoveIt! pour lancer la suppression.
* Le résultat apparaitra dans le cadre "Results".
* Clique sur Exit pour fermer.
* Poste le rapport situé dans C:\_OTMoveIt\MovedFiles.
* Il te sera peut-être demandé de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes.
0
Réponse 10 / 17
clarabulle Messages postés 16 Date d'inscription mercredi 15 août 2012 Statut Membre Dernière intervention 17 août 2012
17 août 2012 à 16:25
et hop! En revanche impossible de trouver readme.exe sur les quelques clefs usb que j'aurais pu utiliser récemment.

All processes killed
========== FILES ==========
File/Folder h:\readme.exe not found.
C:\Windows\Tasks\AutoKMS.job moved successfully.
========== REGISTRY ==========
Registry key HKEY_CURRENT_USER\Software\Ask.com.tmp\ not found.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 56475 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Eric
->Temp folder emptied: 2951731 bytes
->Temporary Internet Files folder emptied: 1695070029 bytes
->Java cache emptied: 11862356 bytes
->FireFox cache emptied: 207394923 bytes
->Google Chrome cache emptied: 89008759 bytes
->Apple Safari cache emptied: 42603520 bytes
->Opera cache emptied: 4668454 bytes
->Flash cache emptied: 58696 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 108300797 bytes
%systemroot%\system32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 1634284 bytes
%systemroot%\system32\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment folder emptied: 755 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 136416 bytes
%systemroot%\sysnative\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment folder emptied: 749 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 2 064,00 mb


OTM by OldTimer - Version 3.1.21.0 log created on 08172012_161715

Files moved on Reboot...
File C:\Users\Eric\AppData\Local\Temp\OICE_8EFF3642-A8B9-4703-8612-43B63B4E57C0.0\8BABBFD1. not found!
C:\Users\Eric\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
File C:\Users\Eric\AppData\Local\Temp\~DF627B34CFC6B5DBFF.TMP not found!
File C:\Users\Eric\AppData\Local\Temp\~DF779F4C9BA2BD13E1.TMP not found!
File C:\Users\Eric\AppData\Local\Temp\~DFA6D07D0F86FB27B1.TMP not found!
File C:\Users\Eric\AppData\Local\Temp\~DFB0A17D5F68398FD6.TMP not found!
File C:\Users\Eric\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Word\~WRS{5B47384A-F059-4D57-BE32-50A680E736D9}.tmp not found!
File C:\Users\Eric\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Word\~WRS{798A369A-0A32-4C20-AADD-30984160FA78}.tmp not found!
File C:\Users\Eric\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Word\~WRS{80E6CCBB-C68E-4479-B0A1-505F3D168DB1}.tmp not found!
File C:\Users\Eric\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Word\~WRS{C33C07DB-1B53-4CB6-90BA-889C8929C04D}.tmp not found!
File C:\Users\Eric\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\14D0C87B.png not found!
File C:\Users\Eric\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\405435E2.jpeg not found!
File C:\Users\Eric\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\5D419B7A.png not found!
File C:\Users\Eric\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\68CE3C1D.jpeg not found!
File C:\Users\Eric\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\9CBE404E.jpeg not found!
File C:\Users\Eric\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\ADE1F341.jpeg not found!
File C:\Users\Eric\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\AE657F7.jpeg not found!
File C:\Users\Eric\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\D27E3040.gif not found!
File C:\Users\Eric\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\EBDDE18C.jpeg not found!
File C:\Users\Eric\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.MSO\F318133.jpeg not found!

Registry entries deleted on Reboot...
0
Réponse 11 / 17
Utilisateur anonyme
17 août 2012 à 16:51
On continu.

/!\ A l'attention de ceux qui passent sur ce sujet /!\
Le logiciel qui suit n'est pas à utiliser à la légère et peut faire des dégâts s'il est mal utilisé ! Ne le faites que si un helpeur du forum qui connait bien cet outil vous l'a recommandé.

/!\ Désactive tous tes logiciels de protection (Antivirus, Antispywares) /!\

* Télécharge combofix(de sUBs) sur ton Bureau.
* Double-clique sur ComboFix.exe afin de le lancer.
* Il va te demander d'installer la console de récupération : accepte. (important en cas de problème)
/!\ Ne touche ni à la souris, ni au clavier durant le scan /!\
* Lorsque la recherche sera terminée, un rapport apparaîtra.
* Héberge le rapport C:\Combofix.txt sur le site pjjoint.malekal.com ou cijoint.fr ou toofiles puis copie/colle le lien fournit dans ta prochaine réponse sur le forum
#Si combofix ne veut pas se lancer renommes le en ccm.exe et éxécutes le en mode sans échec .
Tutoriel officiel de Combofix : Tuto Combofix
0
Réponse 12 / 17
clarabulle Messages postés 16 Date d'inscription mercredi 15 août 2012 Statut Membre Dernière intervention 17 août 2012
17 août 2012 à 17:18
oops je ne parviens pas à arrêter avira pour lancer combofix. Je ne peux que "desactiver la protection en temps réel" mais dans le gestionnaire de programmes impossible de fermer le programme complètement. Et combofix affiche le message suivant :

Le scanneur en temps réel ci-dessus (Avira) est toujours actif mais ComboFix va continuer à s'executer. Veuillez noter que c'est à vos risques et périls.

Il n'y a qu'un bouton OK.... je clique quand même ?
0
Réponse 13 / 17
Utilisateur anonyme
17 août 2012 à 17:35
En cliquant sur l'icone d'avira dans le systray Activer protection en temps réel ne doit pas être coché et le petit parapluie doit être fermé.
A présent ton antivirus ne fonctionne plus en résident.
Si combo t'affiche toujours le message exécutes le en mode sans échec.
0
Réponse 14 / 17
clarabulle Messages postés 16 Date d'inscription mercredi 15 août 2012 Statut Membre Dernière intervention 17 août 2012
17 août 2012 à 17:55
et voilà! https://pjjoint.malekal.com/files.php?id=20120817_p14o7v6k9m13
j'ai redemarré et combofix ne m'a plus affiché de message.
0
Réponse 15 / 17
Utilisateur anonyme
17 août 2012 à 18:28
Le dernier rapport ne montre aucune autre infection.
Pour tes sites web changes tes mots de passe et si tu es toujours piraté alors je te conseilles de voir du coté des hébergeurs.
0
Réponse 16 / 17
clarabulle Messages postés 16 Date d'inscription mercredi 15 août 2012 Statut Membre Dernière intervention 17 août 2012
17 août 2012 à 18:32
OK!

Faut-il conserver Malwarebytes actif ou je peux le supprimer maintenant?

Un immense merci pour ton aide, je ne m'imaginais pas avoir une aide aussi personnalisée et compétente en un temps record comme cela en postant un message sur ce forum!

Je te souhaite un très bon week end!
0
Réponse 17 / 17
Utilisateur anonyme
Modifié par nanard4700 le 17/08/2012 à 19:35
Tu peux garder malawarebytes et faire un scan complet 1 fois/mois.
Pense a le mettre a jour avant chaque analyse.( 3ieme onglet en partant de la gauche.)

Pour supprimer combofix.



*Cliquez sur Démarrer >> Exécuter ...
*Maintenant, tapez ou fait un copié/collé ComboFix /uninstall et cliquez sur OK. (vérifies bien l'espace entre combofix et /).
*Tu auras l'impression que Combofix démarre, mais en réalité il va s'autodétruire :-)

Bon week end a toi.

********************************************
Le cerveau a des capacités tellement étonnantes qu'aujourd'hui pratiquement tout le monde en a un.
0