Infectée ? Résolu

Question

Bonjour, 

Voilà ce qu'il s'est passé : Je ne parvenais plus à envoyer de mails depuis outlook, le message d'erreur indiquait que mon IP était bloquée pour cause de SPAM (j'utilise le smtp de laposte).

Du coup, je suis allée sur Spamhaus pour essayer de comprendre. Comme j'y comprend rien aux IP, j'ai cherché sur internet, et le site mon IP m'en a indiqué plusieurs. 

C'est en fait l'adresse IP du proxy qui est indiquée comme infectée (This IP is infected with, or is NATting for a machine infected with Win32/Zbot). Est ce mon ordinateur qui est infecté ou non ?

Que puis je faire pour débloquer mon IP ?

Merci d'avance.

Configuration: Windows XP / Firefox 16.0

g3n-h@ckm@n · Answer

salut

&#9654 Téléchargez UsbFix (créé par El Desaparecido) sur votre Bureau.

&#9654 Si votre antivirus affiche une alerte, ignorez-la et désactivez l'antivirus temporairement.
&#9654 Branchez toutes vos sources de données externes à votre PC (clé USB, disque dur externe, etc...) sans les ouvrir.
&#9654 Double cliquez sur UsbFix.exe.  

&#9654 Cliquez sur Suppression.
&#9654 Laissez travailler l'outil. 

&#9654 À la fin du scan, un rapport va s'afficher, postez-le dans votre prochaine réponse sur le forum.

&#9654 Le rapport est aussi sauvegardé à la racine du disque système ( C:\UsbFix.txt ).
&#9654 Tutoriel vidéo

lafoug · Answer

OK, c'est en cours (je n'ai pas l'ADSL alors le telechargement prend du temps...)

Par contre je pensais que l'adresse IP du proxy ne correspondait pas à mon ordinateur ?

g3n-h@ckm@n · Answer

non mais tu transmets peut etre une infection via le proxy :)

lafoug · Answer

Ok, ca devient compliqué à comprendre pour moi là :) 

Bref voilà le rapport :  

############################## | UsbFix V 7.097 | [Suppression]

Utilisateur: rh (Administrateur) # RH-B18AAC719447
Mis à jour le 02/09/2012 par El Desaparecido
Lancé à 10:15:41 | 23/10/2012

Site Web: https://www.sosvirus.net/
Forum: http://forum.eldesaparecido.com
Fichier suspect ? : http://eldesaparecido.com/upload.php
Contact: contact@eldesaparecido.com

PC: Sony Corporation (VGN-FE31H) (X86-based PC
CPU: Intel(R) Core(TM)2 CPU         T5500  @ 1.66GHz (1662)
RAM -> [Total : 1022 | Free : 587]
BIOS: Phoenix NoteBIOS 4.0 Release 6.1     
BOOT: Normal boot

OS: Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 3
WB: Windows Internet Explorer 8.0.6001.18702

SC: Security Center Service [Enabled]
WU: Windows Update Service [Enabled]
FW: Windows FireWall Service [Enabled]

C:\ (%systemdrive%) -> Disque fixe # 56 Go (8 Go libre(s) - 15%) [] # NTFS
D:\ -> Disque fixe # 48 Go (40 Go libre(s) - 84%) [VAIO] # NTFS
E:\ -> CD-ROM
G:\ -> Disque amovible # 2 Go (2 Go libre(s) - 100%) [FLASH DRIVE] # FAT
H:\ -> CD-ROM
J:\ -> Disque fixe # 931 Go (102 Go libre(s) - 11%) [Iomega_HDD] # NTFS

################## | Processus Actif |

C:\WINDOWS\System32\smss.exe (908)
C:\WINDOWS\system32\winlogon.exe (1000)
C:\WINDOWS\system32\services.exe (1044)
C:\WINDOWS\system32\lsass.exe (1056)
C:\WINDOWS\system32\svchost.exe (1228)
C:\Program Files\COMODO\COMODO Internet Security\cmdagent.exe (1316)
C:\WINDOWS\system32\svchost.exe (1344)
C:\Program Files\Avira\AntiVir Desktop\sched.exe (372)
C:\Program Files\Avira\AntiVir Desktop\avguard.exe (608)
C:\Program Files\Avira\AntiVir Desktop\avshadow.exe (1872)
C:\WINDOWS\system32\svchost.exe (296)
C:\Program Files\COMODO\COMODO Internet Security\cfp.exe (3848)
C:\WINDOWS\System32\svchost.exe (2624)
C:\WINDOWS\system32\wscntfy.exe (1640)
C:\WINDOWS\system32\dllhost.exe (3760)
C:\WINDOWS\eHome\ehRecvr.exe (3460)
C:\WINDOWS\Explorer.exe (1408)
C:\WINDOWS\system32\ctfmon.exe (568)
C:\Program Files\Mozilla Firefox\firefox.exe (940)
C:\UsbFix\Go.exe (3428)

################## | Processus Stoppés |

Stoppé! C:\Program Files\COMODO\COMODO Internet Security\cmdagent.exe (1316)
Stoppé! C:\Program Files\Avira\AntiVir Desktop\sched.exe (372)
Stoppé! C:\Program Files\Avira\AntiVir Desktop\avguard.exe (608)
Stoppé! C:\Program Files\Avira\AntiVir Desktop\avshadow.exe (1872)
Stoppé! C:\Program Files\COMODO\COMODO Internet Security\cfp.exe (3848)
Stoppé! C:\WINDOWS\system32\wscntfy.exe (1640)
Stoppé! C:\WINDOWS\system32\dllhost.exe (3760)
Stoppé! C:\WINDOWS\eHome\ehRecvr.exe (3460)
Stoppé! C:\WINDOWS\Explorer.exe (1408)
Stoppé! C:\WINDOWS\system32\ctfmon.exe (568)
Stoppé! C:\Program Files\Mozilla Firefox\firefox.exe (940)

################## | Éléments infectieux |

Supprimé! C:\Recycler\S-1-5-21-1715567821-789336058-725345543-1003
Supprimé! D:\Recycler\S-1-5-21-1715567821-789336058-725345543-1003
Supprimé! J:\$RECYCLE.BIN\S-1-5-21-1433380237-4052255794-1379328099-1000
Supprimé! J:\$RECYCLE.BIN\S-1-5-21-2049771772-4063163144-2280390523-1003
Supprimé! J:\$RECYCLE.BIN\S-1-5-21-2309557506-4055022646-350959340-1001
Supprimé! J:\$RECYCLE.BIN\S-1-5-21-535859356-3305582182-1015659180-1000
Supprimé! J:\Recycler\S-1-5-21-1409082233-1563985344-1177238915-500
Supprimé! J:\Recycler\S-1-5-21-1715567821-789336058-725345543-1003
Supprimé! J:\Recycler\S-1-5-21-2862922127-3725124092-2389952977-1005
Supprimé! J:\Recycler\S-1-5-21-3567027884-3879178732-2000210541-1006
Supprimé! J:\syncguid.dat

(!) Fichiers temporaires supprimés.

################## | Registre |


################## | Mountpoints2 |


################## | Listing |

[16/03/2011 - 21:30:20 | D ] 	C:\1c07f11cb559f236bfc7bba33a
[15/03/2011 - 17:18:20 | N | 0] 	C:\AUTOEXEC.BAT
[23/10/2012 - 10:10:20 | RASHD ] 	C:\Autorun.inf
[15/03/2011 - 17:09:32 | N | 209] 	C:\Boot.bak
[24/04/2011 - 18:50:49 | N | 325] 	C:\boot.ini
[24/04/2011 - 18:50:48 | D ] 	C:\cmdcons
[03/08/2004 - 22:00:08 | N | 263488] 	C:\cmldr
[20/10/2012 - 10:58:16 | D ] 	C:\Config.Msi
[15/03/2011 - 17:18:20 | N | 0] 	C:\CONFIG.SYS
[15/03/2011 - 17:56:37 | D ] 	C:\DELL
[22/03/2011 - 13:49:23 | D ] 	C:\Documents and Settings
[22/10/2012 - 10:29:16 | ASH | 1071828992] 	C:\hiberfil.sys
[15/03/2011 - 17:18:20 | N | 0] 	C:\IO.SYS
[15/03/2011 - 17:18:20 | N | 0] 	C:\MSDOS.SYS
[19/03/2011 - 17:30:23 | RD ] 	C:\MSOCache
[10/08/2004 - 13:00:00 | N | 47564] 	C:\NTDETECT.COM
[18/03/2011 - 07:03:38 | N | 252240] 	C:
tldr
[22/10/2012 - 10:29:15 | ASH | 1610612736] 	C:\pagefile.sys
[09/09/2011 - 21:28:43 | N | 1423] 	C:\pcauditd.log
[20/10/2012 - 10:58:18 | D ] 	C:\Program Files
[09/09/2011 - 19:09:47 | N | 73062] 	C:\PureRa.txt
[23/10/2012 - 10:20:51 | SHD ] 	C:\RECYCLER
[27/08/2012 - 19:13:00 | D ] 	C:\Sharing Downloads
[25/12/2011 - 18:53:13 | SHD ] 	C:\System Volume Information
[23/10/2012 - 10:20:51 | D ] 	C:\UsbFix
[23/10/2012 - 10:20:52 | A | 3615] 	C:\UsbFix.txt
[23/10/2012 - 10:10:32 | N | 41273105] 	C:\UsbFix_Upload_Me_RH-B18AAC719447.zip
[22/10/2012 - 10:30:42 | D ] 	C:\WINDOWS
[27/08/2007 - 02:13:24 | N | 737952542] 	D:\1001 Pattes.AVI
[19/07/2012 - 17:22:46 | D ] 	D:\8ddea97362abf615aed6ed305072
[19/07/2012 - 17:21:22 | D ] 	D:\a8530b3c85da33b383
[12/01/2012 - 12:41:12 | D ] 	D:\a9c2a920a12733849a87
[23/10/2012 - 10:10:20 | RASHD ] 	D:\Autorun.inf
[26/04/2006 - 20:11:20 | N | 727140352] 	D:\Bridget Jones 1 - Le journal de Briget Jones Fr.avi
[18/10/2010 - 14:53:28 | N | 733396992] 	D:\Centurion.2010.DvDRip.AC3-FxM.avi
[28/04/2011 - 10:23:32 | N | 892536678] 	D:\Escape From New York [DVDRip] [By KooKoo] [h33t].avi
[06/01/2008 - 21:30:40 | N | 671227904] 	D:\FourmiZ.avi
[02/08/2012 - 09:13:57 | D ] 	D:\Grey's Anatomy S6
[14/08/2005 - 13:19:34 | N | 1445207078] 	D:\LA_CITE_DE_DIEU_DVDRIP_FRENCH_Rip_Ratomoerto.AVI
[02/06/2009 - 11:21:55 | N | 730970112] 	D:\Le Dernier Gang - Policier - Vincent Elbaz Clemence Poesy - Octobre 2007.avi
[02/11/2006 - 03:26:58 | N | 738134016] 	D:\Le Parfum Histoire D'un Meurtrier (Drame) (Ben Whishaw, Dustin Hoffman, Alan Rickman).avi
[17/03/2004 - 18:58:20 | N | 721074176] 	D:\Les larmes du soleil.avi
[25/09/2011 - 13:48:26 | N | 736665600] 	D:\Paul.avi
[23/10/2012 - 10:20:51 | SHD ] 	D:\RECYCLER
[29/06/2012 - 20:31:26 | SHD ] 	D:\System Volume Information
[28/05/2009 - 09:04:46 | RD ] 	E:\VIDEO_TS
[28/05/2009 - 09:04:17 | RD ] 	E:\AUDIO_TS
[11/10/2012 - 12:36:12 | N | 209385] 	G:\anniv alycya.pdf
[11/10/2012 - 12:36:32 | N | 3821568] 	G:\anniv alycya.doc
[11/10/2012 - 12:39:46 | N | 109375] 	G:\coloriage alycya.pdf
[23/10/2012 - 10:10:22 | RASHD ] 	G:\Autorun.inf
[12/02/2011 - 00:16:00 | R | 85076769] 	H:\IomegaEncryptionSetup.exe
[23/10/2012 - 10:19:26 | SHD ] 	J:\$RECYCLE.BIN
[04/11/2011 - 17:06:18 | N | 71741105] 	J:\AIR - The virgin Suicides.rar
[05/08/2012 - 12:32:56 | D ] 	J:\charlemagne
[05/08/2012 - 12:33:03 | D ] 	J:\christophe
[05/05/2012 - 20:31:54 | D ] 	J:\divers dessin animés et mangas
[06/07/2012 - 20:56:05 | D ] 	J:\films
[07/01/2012 - 13:56:00 | D ] 	J:\films solène
[05/08/2012 - 12:33:00 | D ] 	J:\IED
[13/04/2012 - 09:49:36 | D ] 	J:\music manu
[23/10/2012 - 10:20:51 | SHD ] 	J:\RECYCLER
[17/03/2012 - 08:58:32 | SHD ] 	J:\System Volume Information
[05/08/2012 - 12:33:07 | D ] 	J:\séries

################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)
D:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)
G:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)
J:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_RH-B18AAC719447.zip
http://eldesaparecido.com/upload.php
Merci de votre contribution.

################## | E.O.F |

g3n-h@ckm@n · Answer

Attention !!! : Seuls ces liens sont officiels ne pas telecharger l'outil sur d'autres liens !!
Attention !!! : cet outil peut etre détecté à tort comme virus
Attention !!! : cet outil est puissant suivre scrupuleusement les instructions ci-dessous

tous les processus "non vitaux de windows" vont être coupés , enregistre ton travail.

Désactive toutes tes protections si possible , antivirus , sandbox , pare-feux , etc....

telecharge et enregistre Pre_Scan sur ton bureau :

https://forums-fec.be/gen-hackman/Pre_Scan.exe

si le lien ne fonctionne pas :

http://www.archive-host.com

Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

https://forums-fec.be/gen-hackman/Pre_Scan.pif

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan

Il est possible que l'outil fasse redemarrer ton pc , laisse-le faire

NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Heberge le rapport sur https://forums-fec.be/upload puis donne le lien obtenu en echange sur le forum où tu te fais aider

lafoug · Answer

C'est quoi winlogon ? je pensais que c'était un fichier indispensable à windows ?

g3n-h@ckm@n · Answer

non il a été renommé comme ca pour tromper l'ennemi pour pas que les infections les stoppent , je lui ai donné le nom d'un processus legitime de windows ^^

lafoug · Answer

J'ai executé l'outil. il a fonctionné pendant un moment, puis une fenêtre est apparue me disant que windows manquait de mémoire vive et me disant qu'il allait y remédier. J'ai mis oui, et là ca a buggé. L'écran est resté vide (mon fond d'écran sans rien d'autre) pendant plus de 30mn. J'ai finis par faire reset.

Je fais quoi du coup ?

g3n-h@ckm@n · Answer

essaie en mode sans echec de le relancer option Kill

lafoug · Answer

Même message au bout de 2h30 de scan ... :(

g3n-h@ckm@n · Answer

heberge C:\pre_scan.txt et donne le lien obtenu  
  
¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤

lafoug · Answer

le voilà :  	https://forums-fec.be/upload/www/?a=d&i=4950195699


... je déconnecte pour ce soir... 
Merci de ton aide.

g3n-h@ckm@n · Answer

antivir pas desactivé , comodo pareil....enfin bon tant pis 

relance pre_scan , clique sur diag et heberge le rapport

lafoug · Answer

Zut, je ne pensais pas que Comodo et Antivir s'ouvraient en mode sans echec... 
voilà le nouveay rapport :  	https://forums-fec.be/upload/www/?a=d&i=0397563417

g3n-h@ckm@n · Answer

tu etais pas en mode sans echec

Boot : Normal

lafoug · Answer

?? Pas compris. 

Pour le scan j'étais en mode sans echec si. 
Pour le diagnostic non.... mais pour le diag comodo et antivir étaient off

Bref, mon ordi est effectivement infecté ou non ?
Je fais quoi ?

g3n-h@ckm@n · Answer

hello

Pour le scan j'étais en mode sans echec si. 

impossible

===================

 bref....

relance pre_scan , clique sur diag puis heberge le rapport à nouveau

lafoug · Answer

Ben je suis quand mm pas stupide ! Pour le deuxième scan j'étais en mode sans échec!  Mais le rapport n'a pas du s'enregistrer a cause du bug, et donc ce doit etre le rapport du premier scan...

J'effectue la nouvelle manip'

lafoug · Answer

VOilà le nouveau rapport de diag :

 	https://forums-fec.be/upload/www/?a=d&i=0867827096

g3n-h@ckm@n · Answer

tu as pris la version payante de comodo ou gratuit ? uniquement le parefeu ou la suite complete ?

lafoug · Answer

Gratuite. Uniquement le parefeu.

g3n-h@ckm@n · Answer

ok alors desinstalle geek buddy

==========================

Télécharge et enregistre ADWcleaner sur ton bureau :

ADWCleaner (Merci à Xplode)

Lance le,

(Pour vista et seven => clic droit "executer en tant qu'administrateur")

clique sur suppression et poste son rapport.

lafoug · Answer

Fait !

# AdwCleaner v2.005 - Rapport créé le 24/10/2012 à 12:27:19
# Mis à jour le 14/10/2012 par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : rh - RH-B18AAC719447
# Mode de démarrage : Normal
# Exécuté depuis : C:\Documents and Settingsh\Mes documents\Téléchargements\AdwCleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\4jtz8v7o.default\extensions\{99079a25-328f-4bd4-be04-00955acaa0a7}
Dossier Supprimé : C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\4jtz8v7o.default\Searchqutoolbar
Dossier Supprimé : C:\Documents and Settings\All Users\Application Data\Trymedia
Fichier Supprimé : C:\Documents and Settingsh\Application Data\Mozilla\Firefox\Profiles\xotpm4jx.default\searchplugins\Search_Results.xml
Fichier Supprimé : C:\Program Files\Mozilla FireFox\searchplugins\Search_Results.xml

***** [Registre] *****

Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{9D717F81-9148-4F12-8568-69135F087DB0}
Clé Supprimée : HKCU\Software\Softonic
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Windows Searchqu Toolbar

***** [Navigateurs] *****

-\ Internet Explorer v8.0.6001.18702

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Search - SearchAssistant] = hxxp://dts.search-results.com/sr?src=ieb&appid=0&systemid=410&sr=0&q={searchTerms} --> hxxp://www.google.com

-\ Mozilla Firefox v16.0.1 (fr)

Nom du profil : default 
Fichier : C:\Documents and Settingsh\Application Data\Mozilla\Firefox\Profiles\xotpm4jx.default\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

Nom du profil : default 
Fichier : C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\4jtz8v7o.default\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [2295 octets] - [24/10/2012 12:27:19]

########## EOF - C:\AdwCleaner[S1].txt - [2355 octets] ##########

g3n-h@ckm@n · Answer

ok refais un diag voir ce qu il reste avec pre_scan

lafoug · Answer

Voilà : https://forums-fec.be/upload/www/?a=d&i=7300979269

g3n-h@ckm@n · Answer

desinstalle tout Java

===============

Fais analyser le(s) fichier(s) suivants sur Virustotal :

Virus Total

    clique sur "Parcourir" et trouve puis selectionne ce(s) fichier(s) :

 C:\Windows\System32\mhn.dll 

    * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
    * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
    * Lorsque l'analyse est terminée colle le lien de(s)( la) page(s)  dans ta prochaine réponse.

====================

 Attention !!! pense à re-désactiver tes protections

Clique sur ce lien : https://www.cjoint.com/?BJyoTjdE5CV

Selectionne tout le texte qui s'y trouve CTRL+A puis CTRL+C ou clic droit/copier

Relance Pre_scan puis choisis l'option "Script"

une page va s'ouvrir

logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

lafoug · Answer

Voilà le premier résultat : https://www.virustotal.com/gui/file/77c91e9d700dcd0994c5a17ba0f82111611b538a01f39e5710e90114a10bf32b

g3n-h@ckm@n · Answer

fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.


&#9654 Télécharge ici :

Malwarebytes  

&#9654 Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

&#9654 Lance Malwarebyte's .

Fais un examen dit "Complet" .

&#9654 Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
&#9654 à la fin tu cliques sur "résultat" .
&#9654 Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

&#9654 Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


&#9654 Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

lafoug · Answer

Et voilà !

Malwarebytes Anti-Malware 1.65.1.1000
www.malwarebytes.org

Version de la base de données: v2012.10.25.04

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
rh :: RH-B18AAC719447 [administrateur]

25/10/2012 17:27:24
mbam-log-2012-10-25 (17-27-24).txt

Type d'examen: Examen complet (C:\|D:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 262416
Temps écoulé: 56 minute(s), 7 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

g3n-h@ckm@n · Answer

magnifique encore des soucis ?

lafoug · Answer

Ben a priori l'IP de mon proxi est toujours considérée comme infectée... 
Mais j'ai pas trop compris si ca correspondait à moi ou non ?

g3n-h@ckm@n · Answer

tu utilises quoi comme proxy ?

lafoug · Answer

Aucune idée, je sais même pas vraiment ce que c'est...

g3n-h@ckm@n · Answer

pre_scan te l'avait pas detecté ?????

lafoug · Answer

euh, je sais pas trop. C'est du charabia pour moi les rapports de pre-scan. J'ai regardé le rapport, voilà ce que j'ai trouvé : 

[HKU\S-1-5-21-1715567821-789336058-725345543-1003 | PhishingFilter]|[Enabled] : 2
[HKU\S-1-5-21-1715567821-789336058-725345543-1003 | PhishingFilter]|[EnabledV8] : 1
[HKU\S-1-5-21-1715567821-789336058-725345543-1003 | Internet settings]|[EnableHttp1_1] : 1
[HKU\S-1-5-20 | Internet settings]|[MigrateProxy] : 1
[HKU\S-1-5-21-1715567821-789336058-725345543-1003 | Internet settings]|[MigrateProxy] : 1
[HKU\S-1-5-18 | Internet settings]|[MigrateProxy] : 1
[HKU\S-1-5-21-1715567821-789336058-725345543-1003 | Internet settings]|[AutoConfigProxy] : wininet.dll

g3n-h@ckm@n · Answer

non non mais il t'a pas affiché un fenetre demandant de supprimer ou pas le proxy pendant le scan ?

lafoug · Answer

Non, mais vu qu'en même temps à chaque fois le scan a buggé avant la fin...

g3n-h@ckm@n · Answer

nan mais c est au debut qu il te dit ca ^^

lafoug · Answer

Ben non alors !

g3n-h@ckm@n · Answer

c'est qui qui te dit ca ? au fait ? malwarebytes ?

lafoug · Answer

Non c'est outlook. J'avais un message d'erreur lorsque je voulais envoyer des mails me disant que mon IP est bloquée pour SPAM ou je sais pas quoi ((This IP is infected with, or is NATting for a machine infected with Win32/Zbot)... Comme je ne spam pas... 
Du coup, je suis allée voir chez spamhaus (l'adresse indiquée comme me bloquant). J'ai vu que c'est le site CBL qui avait l'adresse IP de mon proxy (pas la mienne) bloquée. Hier à la fin des manips j'ai donc demandé à être débloquée. Ca a marché... et quelques heures plus tard j'étais de nouveau bloquée. J'en ai donc déduit que le problème n'est pas résolu. 
J'ai réeesayé de me débloquer ce matin. Pour moment ca marche, mais pour combien de temps ?...

g3n-h@ckm@n · Answer

attendons un peu :)

lafoug · Answer

Je suis de nouveau bloquée :(

g3n-h@ckm@n · Answer

? Télécharge Dr Web CureIt sur ton Bureau : ? redemarre en mode sans échec ?- Double clique (clic droit "en tant qu'admin" sous Vista) et ensuite clique sur ; ?- Clique à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton . Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X". ?- Lorsque le scan rapide est terminé, clique sur le menu puis ; Choisis l'onglet , et décoche . Clique ensuite sur . ?- De retour à la fenêtre principale : clique pour activer selectionne tous les disques ?- Clique le bouton avec flèche verte sur la droite, et le scan débutera. ?- Clique pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter". ?- Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône , au dessous, et choisis . ?- Du menu principal de l'outil, au haut à gauche, clique sur le menu et choisis . Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv ?-pour le rapport tu l enregistres sur ton bureau , tu clic droit dessus /envoyer vers / dossiers compresses ensuite : tu m'envoies l'archive comme ceci : clique sur ce lien : https://www.cjoint.com/ ? Clique sur Parcourir et cherche le fichier ci-dessus. ? Clique sur Ouvrir. ? Clique sur "creer le lien cjoint". Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cjge368/cijSKAP5fU.txt est ajouté dans la page. ? Copie ce lien dans ta réponse. ?- Ferme Dr.Web Cureit ?- Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage). ¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤

lafoug · Answer

Dr Web a effectivement trouvé un (des?) trojans ! 
Voici le rapport : http://cjoint.com/12oc/BJCtkS25Qkh.htm

g3n-h@ckm@n · Answer

bof il a vidé la quarantaine d'antivir ^^

lafoug · Answer

ah oui effectivement... je n'avais pas réalisé ca :/

Mais comme c'est l'IP de mon proxy qui est infectée peut etre que ce n'est pas chez moi ? J'ai du mal à comprendre a quoi correspond cet IP en fait...
Est ce que je peux changer de Proxy ? Ou bien est ce que c'est du a mon fournisseur internet ?

g3n-h@ckm@n · Answer

re

essaie de te renseigner auprès de ton fournisseur internet peut être aura-t-il une réponse concluante...tiens moi au courant :)

lafoug · Answer

hum... ca c'est un peu compliqué. Je vis en Afrique, et j'ai déjà essayé de contacter mon fournisseurs d'accès internet... Le problème est qu'il est a peu près impossible de tomber sur quelqu'un de compétent... 
Quelle question est ce qu'il faudrait que je lui pose exactement ? Cet IP et ce proxy correspondent à quoi ?

g3n-h@ckm@n · Answer

j'ai jamais contacté de FAI ^^

====

on va voir un autre diag voir s'il nous en apprend un peu plus

==

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 => Clique ici pour voir la Configuration

&#9654 Copie et colle le contenu de ce qui suit en gras dans la partie inférieure d'OTL "Personnalisation"

/md5start
explorer.exe
winlogon.exe
wininit.exe
volsnap.sys
atapi.sys
ndisuio.sys
net.exe
tdx.sys
netbt.sys
afd.sys
net1.exe
Rundll32.exe
/md5stop 
netsvcs
safebootminimal
safebootnetwork 
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\system32\*.exe /lockedfiles
%systemroot%\system32\*.ini
%systemroot%\Tasks\*.*
%systemroot%\system32\Tasks\*.*
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\system32\config\*.exe /s
%systemroot%\system32\*.sys 
HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
CREATERESTOREPOINT 

&#9654 Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\<Bureau ou Desktop>\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

heberge OTL.txt et extra.txt sur https://forums-fec.be/upload et donne les liens

lafoug · Answer

Voilà les rapports :
https://forums-fec.be/upload/www/?a=d&i=7226708588
 	https://forums-fec.be/upload/www/?a=d&i=6310108344

g3n-h@ckm@n · Answer

ATTENTION !!! : Script personnalisé pour cette machine uniquement , ne pas reproduire !! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.


&#9654Copie la liste qui se trouve en gras ci-dessous,

&#9654 colle-la dans la zone sous "Personnalisation" :


:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
Teatimer.exe

:OTL
IE - HKLM\..\SearchScopes,DefaultScope = 
IE - HKU\S-1-5-18\..\SearchScopes,DefaultScope = 
IE - HKU\S-1-5-19\..\SearchScopes,DefaultScope = 
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Secondary Start Pages = Reg Error: Value error.
FF - prefs.js..browser.search.defaultenginename: "SpeedBit Search" 
FF - prefs.js..browser.search.defaulturl: "http://search1.speedbit.com/" 
FF - prefs.js..browser.search.order.1: "SpeedBit Search" 
IE - HKU\S-1-5-21-1715567821-789336058-725345543-1003\..\SearchScopes\{7F4EFF06-7032-458e-AE16-1C1D8255C28A}: "URL" = http://home.speedbit.com/search.aspx?site=shdefault&pid=%s&aid=%s&shr=%d&q={searchTerms} 
FF - prefs.js..extensions.enabledItems: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}:6.0.22     
FF - prefs.js..extensions.enabledItems: {CAFEEFAC-0016-0000-0025-ABCDEFFEDCBA}:6.0.25 
FF - prefs.js..extensions.enabledItems: {CAFEEFAC-0016-0000-0027-ABCDEFFEDCBA}:6.0.27 
FF - prefs.js..keyword.URL: "http://search1.speedbit.com/" 
FF - user.js - File not found
O3 - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present 
[5 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] 
[1 C:\Documents and Settings\rh\Mes documents\*.tmp files -> C:\Documents and Settings\rh\Mes documents\*.tmp -> ] 

:Reg
[HKEY_LOCAL_MACHINE\Software\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32] 
""="%SystemRoot%\system32\shell32.dll"

:Files
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\*

:commands
[CLEARALLRESTOREPOINTS]
[emptytemp]
[start explorer]
[reboot]


&#9654 Clique sur "Correction" pour lancer la suppression.


&#9654 Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage.

lafoug · Answer

Voilà le rapport :


All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
No active process named iexplore.exe was found!
No active process named firefox.exe was found!
No active process named msnmsgr.exe was found!
No active process named Teatimer.exe was found!
========== OTL ==========
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\DefaultScope| /E : value set successfully!
HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes\DefaultScope| /E : value set successfully!
HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes\DefaultScope| /E : value set successfully!
HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\Secondary Start Pages| /E : value set successfully!
Prefs.js: "SpeedBit Search" removed from browser.search.defaultenginename
Prefs.js: "http://search1.speedbit.com/" removed from browser.search.defaulturl
Prefs.js: "SpeedBit Search" removed from browser.search.order.1
Registry key HKEY_USERS\S-1-5-21-1715567821-789336058-725345543-1003\Software\Microsoft\Internet Explorer\SearchScopes\{7F4EFF06-7032-458e-AE16-1C1D8255C28A}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7F4EFF06-7032-458e-AE16-1C1D8255C28A}\ not found.
Prefs.js: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}:6.0.22 removed from extensions.enabledItems
Prefs.js: {CAFEEFAC-0016-0000-0025-ABCDEFFEDCBA}:6.0.25 removed from extensions.enabledItems
Prefs.js: {CAFEEFAC-0016-0000-0027-ABCDEFFEDCBA}:6.0.27 removed from extensions.enabledItems
Prefs.js: "http://search1.speedbit.com/" removed from keyword.URL
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\10 deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Internet Explorer\Restrictions\ deleted successfully.
C:\WINDOWS\System32\CONFIG.TMP deleted successfully.
C:\WINDOWS\System32\SET389.tmp deleted successfully.
C:\WINDOWS\System32\SET3D9.tmp deleted successfully.
C:\WINDOWS\System32\SET3DE.tmp deleted successfully.
C:\WINDOWS\System32\SET3E5.tmp deleted successfully.
C:\Documents and Settingsh\Mes documents\~WRL0003.tmp deleted successfully.
========== REGISTRY ==========
HKEY_LOCAL_MACHINE\Software\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32\""|"%SystemRoot%\system32\shell32.dll" /E : value set successfully!
========== FILES ==========
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\AWQAILCA folder moved successfully.
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\desktop.ini moved successfully.
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\GDHHL18J folder moved successfully.
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\GN698L0K folder moved successfully.
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat moved successfully.
C:\WINDOWS\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\K4NW0T3X folder moved successfully.
========== COMMANDS ==========
Restore point Set: OTL Restore Point
 
[EMPTYTEMP]
 
User: Administrateur
->Temp folder emptied: 81920 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->FireFox cache emptied: 33219481 bytes
->Flash cache emptied: 1074 bytes
 
User: All Users
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: LocalService
->Temp folder emptied: 66016 bytes
->Temporary Internet Files folder emptied: 279409 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32902 bytes
 
User: rh
->Temp folder emptied: 243382631 bytes
->Temporary Internet Files folder emptied: 6789983 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 124871056 bytes
->Flash cache emptied: 5342 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 92944859 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 67 bytes
RecycleBin emptied: 1095108596 bytes
 
Total Files Cleaned = 1 523,00 mb
 
 
OTL by OldTimer - Version 3.2.69.0 log created on 10292012_121110

Files\Folders moved on Reboot...

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

g3n-h@ckm@n · Answer

a-t-on du mieux ?

lafoug · Answer

Ben je peux retester de me debloquer. Mon soucis c'est qu'ils spécifient que si on se débloque "trop" de fois sans avoir résolu le problème, après ce ne sera plus possible... Du coup, j'hésite, je ne sais pas à partir de quand c'est "trop". Je l'ai déjà fait 2 fois...

g3n-h@ckm@n · Answer

retente un coup

lafoug · Answer

Ok, c'est fait. on va voir combien de temps ca dure :)

g3n-h@ckm@n · Answer

ok tiens-moi au jus surtout !

lafoug · Answer

Pour moment ca marche toujours...
Mais je préfère ne pas crier victoire trop tot !!!

C'est quoi les dernières manip que tu as faites ?

g3n-h@ckm@n · Answer

re

reajustement des navigateurs et arrangement d'une clé de registre redirigée à defalut pas sur le bon fichier

lafoug · Answer

Ben écoute ca marche toujours... les autres fois ca avait bloqué avant.

Merci beaucoup e tout cas ! 
Si jamais ca rebug je reviendrais :)

g3n-h@ckm@n · Answer

pas de soucis :)

lafoug · Answer

C'était trop beau pour être vrai :


Une erreur inconnue s'est produite. Compte : 'Anne', Serveur : 'smtp.laposte.net', Protocole : SMTP, Réponse du serveur : '550 mwinf8502-out ME Adresse IP source bloquee pour incident de spam. Client host blocked for spamming issues. LPN103_101 Ref http://www.spamhaus.org/query/bl?ip=41.75.64.11 [101]', Port : 465, Sécurisé (SSL) : Oui, Erreur de serveur : 550, Numéro d'erreur : 0x800CCC69

g3n-h@ckm@n · Answer

desactive ou desinstalle outloook

lafoug · Answer

Tu veux dire desinstaller/réinstaller ? Car le but est justement de l'utiliser... 
Si oui, y a-t-il un moyen de le faire en gardant mon carnet d'adresse et mes mails ?

g3n-h@ckm@n · Answer

https://www.google.fr/search?q=recuperer+le+carnet+d%27adresse+d%27outlook&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:fr:official&client=firefox-a

lafoug · Answer

OK j'ai trouvé. Pour le desinstaller je peux passer par ajout/supression de pgm ou bien ca ne suffit pas ?

Autre question : comment je pourrais le réinstaller après ? je n'ai pas de cd...

g3n-h@ckm@n · Answer

https://www.winportal.fr/

lafoug · Answer

C'est pas sensé etre payant comme logiciel ? !

g3n-h@ckm@n · Answer

ben je sais pas du tout je m'n suis jamais servi ^^

lafoug · Answer

j'vais en profiter pour essayer thunderbird. CA faisait un moment que je voulais changer... Jte dirais si ca marche :)

g3n-h@ckm@n · Answer

prends gmail

lafoug · Answer

mais g mail c'est pour créer une adresse pas pour lire les messages sur l'ordi. j'ai déjà une adresse mail...

g3n-h@ckm@n · Answer

heu.....je te suis pas.....tu les lis sur le pc les mails !

lafoug · Answer

hum certes... Mais moi ce que que veux c'est un logiciel comme outlook express qui me permettre d'envoyer et recevoir mes mails sans passer par un navigateur. Il se connecte seulement le temps d'envoyer et recevoir, stock les mails sur le pc, et gère plusieurs adresses mails  :)

lafoug · Answer

en tout cas le spam bloque tjs!

g3n-h@ckm@n · Answer

ah ok ben demande à la section messagerie ils sauront peut etre mieux te renseigner que moi sur un logiciel du style parce que moi sorti des virus....

lafoug · Answer

mais pas avec une adresse Gmail...
Seulement mon adresse laposte... j'crois que je vais être obligée de changer d'adresse mail... :(

g3n-h@ckm@n · Answer

ah.....

Infectée ?

79 réponses

Discussions similaires

Newsletters