Ordinateur infecté Résolu/Fermé

Question

Bonjour, 

ci-joint rapport de Hyjckthis suite à infection de mon ordinateur.
J'espère qu'il y aura quelqu'un pour m'aider à erradiquer le virus qui perturbe mon ordi :
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:14:01, on 17/09/2012
Platform: Unknown Windows (WinNT 6.01.3505 SP1)
MSIE: Internet Explorer v9.00 (9.00.8112.16448)
Boot mode: Normal

Running processes:
C:\Windows\system32	askhost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Mozilla Thunderbird	hunderbird.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Google\Google Toolbar\GoogleToolbarUser_32.exe
C:\Windows\system32\Macromed\Flash\FlashUtil32_11_4_402_265_ActiveX.exe
C:\Program Files\OpenOffice.org 3\program\swriter.exe
C:\Program Files\OpenOffice.org 3\program\soffice.exe
C:\Program Files\OpenOffice.org 3\program\soffice.bin
C:\Windows\system32	askhost.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://g.uk.msn.com/CQDSK/3
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.orange.fr/portail
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://g.uk.msn.com/CQDSK/3
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.myheritage.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\ProgramData\Real\RealPlayer\BrowserRecordPlugin\IEpbrowserrecordplugin.dll
O2 - BHO: Windows Live ID Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll
O4 - HKLM\..\Run: [hpsysdrv] c:\program files\hewlett-packard\HP odometer\hpsysdrv.exe
O4 - HKLM\..\Run: [Easybits Recovery] C:\Program Files\EasyBits For Kids\ezRecover.exe
O4 - HKLM\..\Run: [RtHDVCpl] C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe -s
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Real\RealPlayer\Updateealsched.exe" -osboot
O4 - HKCU\..\Run: [swg] "C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKCU\..\RunOnce: [036DFF8A02B18E7EE310E1F3F875F020] C:\ProgramData\036DFF8A02B18E7EE310E1F3F875F020\036DFF8A02B18E7EE310E1F3F875F020.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVICE RÉSEAU')
O4 - Startup: Dropbox.lnk = Hibert\AppData\Roaming\Dropbox\bin\Dropbox.exe
O4 - Startup: OpenOffice.org 3.3.lnk = C:\Program Files\OpenOffice.org 3\program\quickstart.exe
O9 - Extra button: @C:\Program Files\Windows Live\Writer\WindowsLiveWriterShortcuts.dll,-1004 - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: @C:\Program Files\Windows Live\Writer\WindowsLiveWriterShortcuts.dll,-1003 - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\microsoft shared\windows live\wlidnsp.dll
O10 - Unknown file in Winsock LSP: c:\program files\common files\microsoft shared\windows live\wlidnsp.dll
O11 - Options group: [ACCELERATED_GRAPHICS] Accelerated graphics
O13 - Gopher Prefix: 
O15 - Trusted Zone: https://applications-et-logiciels.orange.fr/
O16 - DPF: {5A779DC0-837B-4590-AC42-C7C0847478C5} (OrangeInstaller_ModuleIE Control) - http://logicielsgratuits.orange.fr/download_service/Install/OrangeInstaller.cab
O16 - DPF: {9DF1C00D-8426-4337-972C-DC042D19A916} (FTMediaPlayer Class) - http://webtv.guidetv.orange.fr/resources/OCS_9418.cab
O18 - Protocol: wlpg - {E43EF6CD-A37A-4A9B-9E6F-83F89B8E6324} - C:\Program Files\Windows Live\Photo Gallery\AlbumDownloadProtocolHandler.dll
O23 - Service: Emsisoft Anti-Malware 6.6 - Service (a2AntiMalware) - Emsisoft GmbH - C:\Program Files\Emsisoft Anti-Malware\a2service.exe
O23 - Service: Adobe Acrobat Update Service (AdobeARMservice) - Adobe Systems Incorporated - C:\Program Files\Common Files\Adobe\ARM\1.0\armsvc.exe
O23 - Service: Adobe Flash Player Update Service (AdobeFlashPlayerUpdateSvc) - Adobe Systems Incorporated - C:\Windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe
O23 - Service: Avira Planificateur (AntiVirSchedulerService) - Avira Operations GmbH & Co. KG - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira Protection temps réel (AntiVirService) - Avira Operations GmbH & Co. KG - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Easybits Services for Windows (ezSharedSvc) - EasyBits Software AS - C:\Windows\System32\ezSharedSvcHost.exe
O23 - Service: Service Google Update (gupdate) (gupdate) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Service Google Update (gupdatem) (gupdatem) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: HP Support Assistant Service - Hewlett-Packard Company - C:\Program Files\Hewlett-Packard\HP Support Framework\hpsa_service.exe
O23 - Service: HP Quick Synchronization Service (HPDrvMntSvc.exe) - Hewlett-Packard Company - C:\Program Files\Hewlett-Packard\Shared\HPDrvMntSvc.exe
O23 - Service: hpqwmiex - Hewlett-Packard Company - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - c:\Program Files\Common Files\LightScribe\LSSrvc.exe




Configuration: Windows 7 / Internet Explorer 9.0

juju666 · Answer

Bonjour,

Envoie le fichier suivant sur https://www.virustotal.com/gui/ et colle le lien vers l'analyse :

C:\ProgramData\036DFF8A02B18E7EE310E1F3F875F020\036DFF8A02B18E7EE310E1F3F875F020.exe  

A+

Hibert · Answer

Re-bonjour,

voici le lien
https://www.virustotal.com/gui/file/5f9f979d62c3a39a24d50f8fe86817cc4d1b9949aa12d0df71c45f105de31bd7

Merci

juju666 · Answer

C'est à priori une nouvelle cochonsté.

Tu peux l'envoyer sur http://upload.malekal.com STP ? Merci.


=================

Ensuite : 

&#9654 Désactive ton antivirus le temps de la manipulation car OTM est détecté comme une infection à tort. 

&#9654 Télécharge OTM (OldTimer) sur ton Bureau : 

&#9654 Double-clique sur OTM.exe afin de le lancer. 

&#9654 Copie (Ctrl+C) le texte suivant ci-dessous : 

:Files
C:\ProgramData\036DFF8A02B18E7EE310E1F3F875F020\036DFF8A02B18E7EE310E1F3F875F020.exe 

:commands
[emptytemp]


&#9654 Colle (Ctrl+V) le texte précédemment copié dans le cadre Paste Instructions for Items to be Moved. 

&#9654 Clique maintenant sur le bouton MoveIt! puis ferme OTM 

Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer. 
Accepte en cliquant sur YES. 

&#9654 Poste le rapport situé dans ce dossier : C:\_OTM\MovedFiles\ 

*Le nom du rapport correspond au moment de sa création : date_heure.log
 
=============================

Relance HijackThis.
Choisis "Do a system scan only"
Coche la ligne suivante :

O4 - HKCU\..\RunOnce: [036DFF8A02B18E7EE310E1F3F875F020] C:\ProgramData\036DFF8A02B18E7EE310E1F3F875F020\036DFF8A02B18E7EE310E1F3F875F020.exe 

Clique sur Fix checked!
Redémarre le PC.

=============================

&#9654 Télécharge et installe Malwarebytes' Anti-Malware (MBAM). 

&#9654 Exécute-le. Accepte la mise à jour.



&#x25CF; Uniquement en cas de problème de mise à jour:

&#x25CF; Télécharger mises à jour manuelles MBAM 

&#x25CF; Exécute le fichier après l'installation de MBAM 



&#9654 Sélectionne "Exécuter un examen complet" 
&#9654 Clique sur "Rechercher" 
&#9654 L'analyse démarre, le scan est relativement long, c'est normal. 

A la fin de l'analyse, un message s'affiche : 

 Citation :

    L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés. 

&#9654 Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi. 
&#9654 Ferme tes navigateurs. 
&#9654 Si des malwares ont été détectés, clique sur Afficher les résultats. 
&#9654 Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
    MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse : ferme le. 

Si MBAM demande à redémarrer le pc : &#9654  fais-le. 

Au redémarrage, relance MBAM, onglet "Rapport/Logs", copie/colle celui qui correspond à l'analyse effectuée. 

A+

Hibert · Answer

Re-bonjour, voici le rapport OTM All processes killed Error: Unable to interpret in the current context! Error: Unable to interpret < > in the current context! ========== COMMANDS ========== [EMPTYTEMP] User: All Users User: Default ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: Hibert ->Temp folder emptied: 51924094 bytes ->Temporary Internet Files folder emptied: 520316689 bytes ->Java cache emptied: 4766288 bytes ->Flash cache emptied: 7359 bytes User: Public %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 126641577 bytes %systemroot%\system32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 544988 bytes %systemroot%\system32\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment folder emptied: 741 bytes RecycleBin emptied: 2032 bytes Total Files Cleaned = 672,00 mb OTM by OldTimer - Version 3.1.21.0 log created on 09172012_175252 Files moved on Reboot... Registry entries deleted on Reboot...

juju666 · Answer

Tu peux recommencer OTM car tu n'as pas sélectionné la première ligne.

Hibert · Answer

Désolé du contre-temps en plus avec la souris qui déconne...
All processes killed
========== FILES ==========
C:\ProgramData\036DFF8A02B18E7EE310E1F3F875F020\036DFF8A02B18E7EE310E1F3F875F020.exe moved successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Hibert
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 8918311 bytes
->Java cache emptied: 0 bytes
->Flash cache emptied: 492 bytes
 
User: Public
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 527786 bytes
%systemroot%\system32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment folder emptied: 0 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 9,00 mb
 
 
OTM by OldTimer - Version 3.1.21.0 log created on 09172012_184107

Files moved on Reboot...
File C:\Windows	emp\TMP00000080370911C36D09541A not found!

Registry entries deleted on Reboot...

juju666 · Answer

voilà qui est tout de suite mieux ! ^^

Hibert · Answer

En ce qui concerne Kijackthis :
je ne trouve absolument pas la ligne 04 - HKCU....
Il y a d'abord une fenêtre qui s'ouvre après quelques secondes d'analyse = difficile de traduire puisque c'est en anglais avec termes techniques.

Merci

juju666 · Answer

Passe à Malwarebytes dans ce cas.

Hibert · Answer

C'est en pleine exécution.
Merci en tout cas de cette "oreille attentive".
J'avais déjà fait appel à un contributeur sur ce forum et j'avais été pleinement satisfait...

Hibert

juju666 · Answer

:-)

Attention tout de même à vérifier le statut et non la signature de celui qui te répond : certains "s'autoproclament" helper; en d'autres termes, ils s'attribuent un titre qu'ils ne méritent pas.

Hibert · Answer

Voici le rapport de 

Malwarebytes Anti-Malware (Essai) 1.65.0.1400
www.malwarebytes.org

Version de la base de données: v2012.09.17.07

Windows 7 Service Pack 1 x86 NTFS
Internet Explorer 9.0.8112.16421
Hibert :: NUMBERONE [administrateur]

Protection: Activé

17/09/2012 19:00:13
mbam-log-2012-09-17 (20-31-04).txt

Type d'examen: Examen complet (C:\|D:\|Q:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 318675
Temps écoulé: 1 heure(s), 29 minute(s), 39 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 1
HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\Live Security Platinum (Rogue.LiveSecurityPlatinum) -> Aucune action effectuée.

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 1
HKCR\CLSID\{FBEB8A05-BEEE-4442-804E-409D6C4515E9}\InProcServer32| (Trojan.0Access) -> Mauvais: (C:\$Recycle.Bin\S-1-5-21-2644217166-1046959794-775496894-1000\$f91f51e629c0c0ca21b177413a247592
.) Bon: (shell32.dll) -> Aucune action effectuée.

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 1
C:\_OTM\MovedFiles\09172012_184107\C_ProgramData\036DFF8A02B18E7EE310E1F3F875F020\036DFF8A02B18E7EE310E1F3F875F020.exe (Trojan.FakeAlert) -> Aucune action effectuée.

(fin)

juju666 · Answer

Tu as bien cliqué sur "Supprimer la sélection" ? 
Le PC a bien redémarré ?

Hibert · Answer

Oui j'ai cliqué sur "supprimer la sélection"
redémarré l'ordinateur avec succès.
Y a t'il une suite désormais ?

juju666 · Answer

Le doit aller mieux nan ? 
Si oui et que tu ne souhaite pas pousser les analyses on envoie le final
Si non on fait un diagnostic plus complet.

Hibert · Answer

y a juste la souris qui déconne ?
Est-ce un dégât collatéral ?

juju666 · Answer

la souris déconne ... ?

Hibert · Answer

c'est depuis le début en fait

juju666 · Answer

Essaie avec une autre souris :-)

Hibert · Answer

je viens de le faire et tout est OK
problème matériel donc :  ouf !
Bon que dois-je faire maintenant ?

juju666 · Answer

https://gen-hackman.kanak.fr/

:-)

Hibert · Answer

Bon j'ai essayé d'installer delfix mais une sécurité m'empêche de le faire.
Voici par contre le rapport de purera :
Total space cleaned: 104.45 MB

Pour Ccleaner je l'utilise régulièrement et vais m'imprimer les autres conseils de sécurité.

Voilà 

merci en attendant.

juju666 · Answer

Une sécurité ? DelFix ? 
Explique

Hibert · Answer

après analyse de sécurité
une barre s'affiche en bas en indiquant que delfix n'est pas fréquemment utilisé et qu'il pourrait nuire à l'ordinateur.
Si l'on clique sur "action" la nouvelle fenêtre indique alors à nouveau que cela risque d'endomager l'ordinateur.
Voilà.
Sur ce je te laisse et vais profiter d'une bonne nuit de sommeil grâce à toi.
Bonne nuit et à demain.

Merci encore de ton attention

hibert

juju666 · Answer

Ah ouais le SmartScreen d'internet expl'horreur .... 

Faut choisir Actions -> Options supplémentaires -> Exécuter quand même.

Bonne nuit, à demain.

Hibert · Answer

Bonjour,
J'aime bien ta définition de IE !
voici donc delfix
# DelFix v8.9 - Rapport créé le 18/09/2012 à 08:12:02
# Mis à jour le 27/07/12 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (32 bits)
# Nom d'utilisateur : Hibert - NUMBERONE (Administrateur)
# Exécuté depuis : C:\Users\Hibert\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\CQ59X0HO\delfix.exe
# Option [Suppression]


~~~~~~ Dossiers(s) ~~~~~~

Supprimé : C:\_OTM
Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hijackthis
Supprimé : C:\Program Files\Trend Micro\Hijackthis

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\Users\Hibert\Desktop\HijackThis.lnk
Supprimé : C:\Users\Hibert\Downloads\OTM.exe

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKLM\SOFTWARE\OldTimer Tools
Clé Supprimée : HKLM\SOFTWARE\TrendMicro\Hijackthis
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Hijackthis
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\HijackThis.exe

~~~~~~ Autres ~~~~~~

-> Prefetch Vidé

*************************

DelFix[S1].txt - [1060 octets] - [18/09/2012 08:12:02]

########## EOF - C:\DelFix[S1].txt - [1184 octets] ##########

juju666 · Answer

Héhé ;)

Voilà tout propre tout OK ! 

J'espère pour toi qu'on ne devra plus se voir, ou alors pas pour un virus :-)

A+

Hibert · Answer

Je ne te fais pas la bise mais le coeur y est !
Effectivement moins on se verra et mieux on se portera mais comme tu l'indiques la meilleure défense contre les virus informatiques vient de notre comportement et comme l'être humain a bien des défauts on est donc jamais à l'abris.

merci de tout coeur.

Et fais profiter aux autres de tes connaissances.

Amicalement

Hibert

juju666 · Answer

Et fais profiter aux autres de tes connaissances.  

Je n'y manque à aucun moment : https://forums-fec.be/

:D

Julien

Ordinateur infecté

29 réponses

Discussions similaires

Newsletters