Virus???

Question

Bonjour, 

Mon ordinateur rame bcp, quand je regarde un film impossible de rester en plein écran.
J'ai Avira Free antivirus qui souvent me dit qu'il a bloqué une fichier autorun.
J'ai fait un nettoyage avec Ccleaner et un scan avec adwcleaner dont voici la note :

# AdwCleaner v2.005 - Rapport créé le 30/10/2012 à 21:21:20
# Mis à jour le 14/10/2012 par Xplode
# Système d'exploitation : Windows Vista (TM) Home Premium Service Pack 2 (32 bits)
# Nom d'utilisateur : Geraldine - MARGUERITE
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\Geraldine\Downloads\adwcleaner.exe
# Option [Recherche]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Présent : C:\ProgramData\Ask
Fichier Présent : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\eBay.lnk
Fichier Présent : C:\Users\Geraldine\AppData\Roaming\Mozilla\Firefox\Profiles\siew3wlf.default\searchplugins\Askcom.xml

***** [Registre] *****

Clé Présente : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}
Clé Présente : HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{79A765E1-C399-405B-85AF-466F52E918B0}
Clé Présente : HKLM\SOFTWARE\Classes\Interface\{813A22E0-3E2B-4188-9BDA-ECA9878B8D48}
Clé Présente : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}
Clé Présente : HKU\S-1-5-21-906692380-3679643185-3258927319-1001\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}
Valeur Présente : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{D4027C7F-154A-4066-A1AD-4243D8127440}]

***** [Navigateurs] *****

-\ Internet Explorer v9.0.8112.16421

[OK] Le registre ne contient aucune entrée illégitime.

-\ Mozilla Firefox v16.0.2 (fr)

Nom du profil : default 
Fichier : C:\Users\Geraldine\AppData\Roaming\Mozilla\Firefox\Profiles\siew3wlf.default\prefs.js

Présente : user_pref("browser.search.order.1", "Ask.com");

*************************

AdwCleaner[R1].txt - [1775 octets] - [30/10/2012 21:21:20]

########## EOF - C:\AdwCleaner[R1].txt - [1835 octets] ##########

Je ne sais pas si j'ai un virus ou sic'est mon pc qui prend de l'âge. j'ai aussi et je dois refaire un nettoyage de la poussière.
Merci de votre aide.
Configuration: Windows Vista / Firefox 16.0

cassie43 · Answer

J'ai oublier de spécifier que ce soir avira me détecte ceci :
TR/Fakealert.grb.321

Smart91 · Answer

Bonjour

OK en effet au regard du rapport AdwCleaner,  
Tu as des adware et des barre d'outils inutiles et/ou infectées qui modifie ton navigateur Internet.

- Relance AdwCleaner
- Clique sur [Suppression]. Sauvegarde tout travail en cours puis accepte la fermeture des programmes en cours d'exécution.
- Patiente le temps du nettoyage.
- Une fois le scan fini, il te sera proposé de redémarrer.
- Au redémarrage du PC, un rapport s'ouvrira. Poste le  contenu dans ta prochaine réponse.
- Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

Smart

cassie43 · Answer

Bonsoir Smart,
Merci de ton aide voici le rapport après supression et redémarrage

# AdwCleaner v2.005 - Rapport créé le 30/10/2012 à 22:33:07
# Mis à jour le 14/10/2012 par Xplode
# Système d'exploitation : Windows Vista (TM) Home Premium Service Pack 2 (32 bits)
# Nom d'utilisateur : Geraldine - MARGUERITE
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\Geraldine\Downloads\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\ProgramData\Ask
Fichier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\eBay.lnk
Fichier Supprimé : C:\Users\Geraldine\AppData\Roaming\Mozilla\Firefox\Profiles\siew3wlf.default\searchplugins\Askcom.xml

***** [Registre] *****

Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{79A765E1-C399-405B-85AF-466F52E918B0}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{813A22E0-3E2B-4188-9BDA-ECA9878B8D48}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{D4027C7F-154A-4066-A1AD-4243D8127440}]

***** [Navigateurs] *****

-\ Internet Explorer v9.0.8112.16421

[OK] Le registre ne contient aucune entrée illégitime.

-\ Mozilla Firefox v16.0.2 (fr)

Nom du profil : default 
Fichier : C:\Users\Geraldine\AppData\Roaming\Mozilla\Firefox\Profiles\siew3wlf.default\prefs.js

Supprimée : user_pref("browser.search.order.1", "Ask.com");

*************************

AdwCleaner[R1].txt - [1904 octets] - [30/10/2012 21:21:20]
AdwCleaner[R2].txt - [1964 octets] - [30/10/2012 22:32:45]
AdwCleaner[S1].txt - [1751 octets] - [30/10/2012 22:33:07]

########## EOF - C:\AdwCleaner[S1].txt - [1811 octets] ##########

Smart91 · Answer

OK. Maintenant tu vas faire ceci:

* Télécharge et installe Malwarebytes
* A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
* Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme). C'est très important
* Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet puis "Rechercher"
* Ne t'inquiète pas, l'analyse peut durer plusieurs heures en fonction du nombre de fichiers et infections à analyser 
* A la fin de l'analyse, clique sur "Afficher les résultats"
* Coche tous les éléments détectés puis clique sur "Supprimer la sélection"
* Enregistre le rapport
* S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes
* Un rapport apparait après la suppression : poste le dans ta prochaine réponse.
 
Smart

Smart91 · Answer

Attendons la fin du scan  MBAM

Smart

Smart91 · Answer

Tout a l'air OK

On va faire un diagnostic du PC:

Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou depuis ce lien si le premier a des soucis:
http://www.forums-fec.be/ZHP/ZHPDiag2.exe

Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions.
 
/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau. 
-  Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer.
- Si tu possèdes Avast 6 ou 7 comme antivirus, à l'alerte choisis "lancer normalement" 
- Si tu obtiens le message "Voulez-vous autoriser le programme suivant..." tu réponds Oui
(/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix)
-  Clique sur le tournevis en haut à droite de la fenêtre et "coche toutes les cases
-  Clique sur la loupe  pour lancer l'analyse. 
-  Laisse l'outil travailler, il peut être assez long. 
-  Ferme ZHPDiag en fin d'analyse. 
-  Pour transmettre le rapport clique sur ce lien: http://pjjoint.malekal.com/
-  Clique sur Parcourir et cherche le répertoire C:\ZHP
-  Sélectionne le fichier ZHPDiag.txt. puis clique sur "Ouvrir"
-  Ensuite Clique sur "Envoyer le fichier". 
-  Copie le lien obtenu  dans ta réponse. 

Smart

Smart91 · Answer

Je me demande si ce n'est pas un faux positif de la part d'Avira
Le rapport montre que tu as des restes d'un autre antivirus Symantec et de spybot celui ne sert à rien et ne fait que ralentir ton PC.
Il se peut que tu ais également une infection transmissible par support amovible (clés ou disque USB par exemple)
Et également des restes d'adware et de barres d'outils inutiles

On va vérifier tout cela:

Tout d'abord

Va sur ce site https://www.virustotal.com/gui/
- Clique sur "Choose File"
- Dans nom du fichier colle ce fichier : C:\Users\Geraldine\Pictures
ew_070709202454_13.jpg
- Clique sur "Ouvrir" puis sur "Scan It"
- Le Fichier est mis en file d'attente. 
- Clique sur Reanalyse si  c'est proposé
- Attends la fin du scan ey poste le lien vers le rapport
Le lien se trouve en haut dans la barre d'adresse du navigateur Internet

Ensuite

- Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore la et désactive l'antivirus temporairement.
- Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
-  Double clique sur le raccourci UsbFix sur ton Bureau, l'installation se fera automatiquement
-Clique sur "Recherche"
- Laisse travailler l'outil
- A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

Smart

Smart91 · Answer

OK, c'est bon le fichier ne semble pas infecté.
J'attends l'autre rapport 
 
Smart

Smart91 · Answer

C'est une vieille version de USBFix
Il faut le télécharger depuis le lien que je t'avais donné:
http://services.service-webmaster.fr/cpt-clics/clics-30453-6505.html 

Et refaire le scan

Smart

Smart91 · Answer

On va faire le nettoyage et la vaccination:
- Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
-  Double clique sur le raccourci UsbFix sur ton Bureau
- Clique sur "Suppression"
- Laisse travailler l'outil
- Ton Bureau va disparaitre puis l'ordinateur va redémarrer : c'est normal
- A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur) 
 
Smart

Smart91 · Answer

J'ai vu que tu as sur ton PC des outils comme Kill'em (qui est obsolète), ComboFix et autres. 
Ton PC a donc déjà été infecté, sais-tu par quelle infection ? 

Refais un scan ZHPDiag (coche toutes les cases des options) et poste le rapport via pjjoint 

Smart  
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

Smart91 · Answer

j'ai Avira qui me dit ceci quand j'ai fait la manip précédente:
C:\UsbFix\Quarantine\G\Recycler\...\jwgkvsq.vmx.vir un virus ou programme indésirable WORM/Confcker.T a été trouvé l'accès au fichier a été refusé. 
J'avais oublié de te répondre. L'alerte Avira est correcte mais snas conséquence car le fichier trouvé est inactif car il a été mis en quarantaine par USBFix
Pour les outils on les désinstallera en fin d'infection

Comment se comporte le PC ?

Désinstalle Spybot ==> https://www.commentcamarche.net/faq/7371-desinstaller-proprement-spybot-search-and-destroy-1-6

Le dernier rapport montre quelques restes que l'on va supprimer manuellement:

- Ferme toutes tes applications en cours
- Lance ZHPFix via le raccourci sur ton Bureau, (Si tu es sous Vista ou Windows 7 n'oublie pas clic droit ==> en tant qu'administrateur")
- Si tu ne l'as pas, télécharge le depuis ce lien: https://www.zebulon.fr/telechargements/securite/systeme/zhpfix.html
- Si tu obtiens le message "Voulez-vous autoriser le programme suivant..." tu réponds Oui
- Copie/colle les lignes en gras suivantes :
 
---------------------------------------------------------- 
[MD5.00000000000000000000000000000000] [APT] [{62029D92-7F7D-4B08-9A8E-8736C2E9CFDC}] (...) -- F:\Welcome.exe (.not file.)
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{df780f87-ff2b-4df8-92d0-73db16a1543a}]
O4 - HKLM\..\Run: [CCUTRAYICON] Clé orpheline
O4 - HKCU\..\Run: [Power2GoExpress] Clé orpheline
O4 - HKUS\S-1-5-21-906692380-3679643185-3258927319-1001\..\Run: [Power2GoExpress] Clé orpheline
O4 - Global Startup: C:\Users\Geraldine\Desktop\Corbeille.lnk - Clé orpheline
[MD5.00000000000000000000000000000000] [APT] [{AC406E5F-76DD-473C-B025-5897E2D999AE}] (...) -- F:\Fran#ais\ar505fra.exe (.not file.)
[MD5.00000000000000000000000000000000] [APT] [{BD862006-4DB5-4B72-82C6-59B586F167D5}] (...) -- F:\monsetup.exe (.not file.)
O69 - SBI: SearchScopes [HKCU] {FB4785C8-F99D-4CFC-A03A-7D72B0665FEB} - (Ask Search) - http://www.search.ask.com/?o=10148&l=dis
[MD5.00000000000000000000000000000000] [APT] [{D8D60677-734E-4644-8B49-D250A126B820}] (...) -- F:\setup.exe (.not file.)
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) . (...) - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe (.not file.)    => Symantec%Security Technologies
[HKCU\Software\Avg]
[HKLM\Software\Avg]
O43 - CFD: 05/12/2009 - 17:49:18 - [0,281] ----D C:\Program Files\AVG
O43 - CFD: 17/08/2007 - 01:07:17 - [0,000] ----D C:\Program Files\Grisoft  
O43 - CFD: 06/07/2007 - 17:33:56 - [0,438] ----D C:\Program Files\Common Files\Symantec Shared
EmptyTemp
EmptyFlash
FirewallRAZ

---------------------------------------------------------- 
- Clique sur l'icône représentant le presse-papier ("coller le presse-papier")
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes 
- Clique sur le bouton « GO » pour le lancer le nettoyage
- Copie/colle la totalité du rapport dans ta prochaine réponse 

Et redémarre le PC


Smart

Smart91 · Answer

Salut Jacques, merci de ton intervention. 

@cassie 
Jacques à raison. comme tes lecteurs et ton PC ont été vaccinés par USBFix. Tu peux désactiver le blocage de la fonction auto-démarrage d'antivir.  Ainsi tu n'auras plus les alertes d'Antivir
  
En fait tu utilises Windows Media Player Plus qui est un Add-On pour Media Player. 
Je ne connais pas cet Add-On. 
Désinstalle le et réinstalle la version standard de Microsoft 

Et dis moi ce qu'il en retourne 

Smart 
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

Smart91 · Answer

"ok j'ai supprimer windows media player plus mais le pb persiste."
Ok mais est-ce que tu as réinstallé Media Player sur le site de Microsoft

"De même j'ai fis la manip pour enlever autorun mais il persiste sur le E:/ mais ne le fais plus pour les autres "
Là je ne vois pas.
Est-ce qu tu as bien fait cette mainip:

* Configuration > Coche Mode expert 
* Guard > Recherche > Action si résultat positif > Autodémarrage 
* Décoche "Bloquer la fonction d'autodémarrage"  

Smart

Virus???

14 réponses

Votre réponse

Discussions similaires

Newsletters