Virus dans ma restaruration du systeme

Question

Bonjour
J'ai un gros souci ...
J'ai un virus dans ma restauration du systeme car je ne peut desactiver et mon pc plante aussi bien en mode sans echec.
Le souci de se virus est que quand je laisse le pc allumé pendant 5 ou 6 heures il y a 7 pages google qui s'ouvre tout seul sur mon pc .
Suite a de nombreux nettoyage rien a faire ...
Merci d'avance pour votre coup de pouce
Astrid

Regis59 · Answer

Salut

Une infection dans ta restauration systeme est inactive.

télécharge HijackThis ici: 
http://telechargement.zebulon.fr/138-hijackthis-1991.html 

Dézippe le dans un dossier prévu à cet effet. 
Par exemple C:\hijackthis < Enregistre le bien dans c : ! 
Démo : (Merci a Balltrap34 pour cette réalisation)   
http://pageperso.aol.fr/balltrap34/Hijenr.gif 

Lance le puis: 
clique sur "do a system scan and save logfile" (cf démo) 
faire un copier coller du log entier sur le forum

Démo : (Merci a Balltrap34 pour cette réalisation)   
http://pageperso.aol.fr/balltrap34/demohijack.htm
	
Bon courage

A+

Regis59 · Answer

Salut

De rien, on va essayer de les supprimer déjà.

Lance ce scan en ligne: 
http://www.bitdefender.fr/scan8/ie.html  
Copie/colle le rapport
Aide en image : http://pageperso.aol.fr/rginformatique/mapage/defender.htm

A+

Astrid · Answer

ca a etait un peu long mais voici le log

BitDefender Online Scanner
  
  
 
Rapport d'analyse généré à: Sun, Feb 04, 2007 - 23:49:18
 
 
  
  
 
Voie d'analyse: A:\;C:\;D:\;F:\;
  
  
 
 
  
  
 
Statistiques
 
Temps
 01:34:26
 
Fichiers
 573026
 
Directoires
 4320
 
Secteurs de boot
 2
 
Archives
 33871
 
Paquets programmes
 71383
 
  
  
 
Résultats
 
Virus identifiés
 4
 
Fichiers infectés
 5
 
Fichiers suspects
 0
 
Avertissements
 0
 
Désinfectés
 0
 
Fichiers effacés
 5
 
  
  
 
Info sur les moteurs
 
Définition virus
 418483
 
Version des moteurs
 AVCORE v1.0 (build 2371) (i386) (Dec 13 2006 11:16:42)
 
Analyse des plugins
 14
 
Archive des plugins
 38
 
Unpack des plugins
 6
 
E-mail plugins
 6
 
Système plugins
 1
 
  
  
 
Paramètres d'analyse
 
Première action
 Désinfecté
 
Seconde Action
 Supprimé
 
Heuristique
 Oui
 
Acceptez les avertissements
 Oui
 
Extensions analysées
 *;
 
Excludez les extensions
  
 
Analyse d'emails
 Oui
 
Analyse des Archives
 Oui
 
Analyser paquets programmes
 Oui
 
Analyse des fichiers
 Oui
 
Analyse de boot
 Oui
 
  
  
 
  Fichier analysé
  Statut
 
C:\Documents and Settings\Sebastien\Mes documents\EMULE\Avid Liquid 7 (Multilanguages) Crack Sp1 Sp2.rar=>Avid Liquid 7 (multilanguages)+crack+SP1+SP2\2 PlugIns\BobWebb.plugins.for.Avid.Liquid.exe
 Infecté par: Win32.Worm.Mytob.BT
 
C:\Documents and Settings\Sebastien\Mes documents\EMULE\Avid Liquid 7 (Multilanguages) Crack Sp1 Sp2.rar=>Avid Liquid 7 (multilanguages)+crack+SP1+SP2\2 PlugIns\BobWebb.plugins.for.Avid.Liquid.exe
 Echec de la désinfection
 
C:\Documents and Settings\Sebastien\Mes documents\EMULE\Avid Liquid 7 (Multilanguages) Crack Sp1 Sp2.rar=>Avid Liquid 7 (multilanguages)+crack+SP1+SP2\2 PlugIns\BobWebb.plugins.for.Avid.Liquid.exe
 Supprimé
 
C:\Documents and Settings\Sebastien\Mes documents\EMULE\Avid Liquid 7 (Multilanguages) Crack Sp1 Sp2.rar
 Echec de la mise à jour
 
C:\System Volume Information\_restore{49F28418-17A8-4A0F-AA82-AFE2F6D806F2}\Fifoed\A0244575.exe
 Infecté par: Trojan.BuskyDropper.1.Gen
 
C:\System Volume Information\_restore{49F28418-17A8-4A0F-AA82-AFE2F6D806F2}\Fifoed\A0244575.exe
 Echec de la désinfection
 
C:\System Volume Information\_restore{49F28418-17A8-4A0F-AA82-AFE2F6D806F2}\Fifoed\A0244575.exe
 Supprimé
 
C:\System Volume Information\_restore{49F28418-17A8-4A0F-AA82-AFE2F6D806F2}\RP1117\S0251214.Acl
 Infecté par: Win32.MyPics.A@mm
 
C:\System Volume Information\_restore{49F28418-17A8-4A0F-AA82-AFE2F6D806F2}\RP1117\S0251214.Acl
 Echec de la désinfection
 
C:\System Volume Information\_restore{49F28418-17A8-4A0F-AA82-AFE2F6D806F2}\RP1117\S0251214.Acl
 Supprimé
 
C:\System Volume Information\_restore{49F28418-17A8-4A0F-AA82-AFE2F6D806F2}\RP1117\S0251215.Acl
 Infecté par: Win32.MyPics.A@mm
 
C:\System Volume Information\_restore{49F28418-17A8-4A0F-AA82-AFE2F6D806F2}\RP1117\S0251215.Acl
 Echec de la désinfection
 
C:\System Volume Information\_restore{49F28418-17A8-4A0F-AA82-AFE2F6D806F2}\RP1117\S0251215.Acl
 Supprimé
 
C:\WINDOWS\system32\drivers\etc\hosts.bak
 Infecté par: Trojan.QHost.CU
 
C:\WINDOWS\system32\drivers\etc\hosts.bak
 Echec de la désinfection
 
C:\WINDOWS\system32\drivers\etc\hosts.bak
 Supprimé

Regis59 · Answer

Salut

Pourquoi avoir telecharger un crack pour SP1/SP2?

Supprime ceci:

C:\Documents and Settings\Sebastien\Mes documents\EMULE\Avid Liquid 7 (Multilanguages) Crack Sp1 Sp2.rar 

A+

Astrid · Answer

Bonsoir regis
C mon copain qui a telecharger avid pour voir ce que c t
mais je crois pas que les pages google s'ouvre de ce fichier.
De toutes les façons je l'ai supprimer.

Regis59 · Answer

ok.

Prends connaissance du contenu le lien suivant:
http://www.f-secure.com/products/license-terms/eult_fra.pdf
Tu as donc pris connaissance et accepté les conditions d'utilisations du programme blacklight qui est inclus dans le dossier compressé navilog1.zip que tu vas télécharger.
Maintenant fais un clic droit sur ce lien :
http://perso.orange.fr/il.mafioso/Navifix/navilog1.zip
Enregistrer la cible (du lien) sous... et enregistre-le sur ton bureau.
Fais un clic droit sur navilog1.zip et choisis "tout extraire"
Ensuite double clique sur navilog1.bat
Laisses-toi guider. Au menu principal, choisis 1 et valides.
(ne fais pas le choix 2 sans notre avis/accord)
Patientes jusqu'au message :
*** Analyse Termine le ..... ***
Appuies sur une touche comme demandé, le blocnote va s'ouvrir.
Copies-colles l'intégralité dans une réponse. Refermes le blocnote.
Le rapport est en outre sauvegardé à la racine du disque (fixnavi.txt)

Astrid · Answer

Voici ce que tu m'a demander

Search Navipromo version 1.0.3 commencé le 05/02/2007 à 21:14:14,18
 
!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Poster ce rapport sur le forum pour le faire analyser !!!
!!! Ne pas lancer la partie désinfection sans l'avis d'un spécialiste !!!

Fix lancé depuis C:\Documents and Settings\Sebastien\Bureau
avilog1
Mise a jour le 01.02.2007 a 21h00 by IL-MAFIOSO

Executé en mode normal

*** Recherche Programmes installes *** 

 


*** Recherche dossiers dans C:\WINDOWS ***


 

*** Recherche dossiers dans C:\Program Files ***


 

*** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***


 

*** Recherche dossiers dans C:\Documents and Settings\Sebastien\Application Data ***



*** Recherche avec BlackLight Engine/F-secure ***
BlackLight Engine est un produit de F-secure, pour + d'infos :
https://www.f-secure.com/en


F-SECURE BLACKLIGHT ROOTKIT ELIMINATOR
======================================

Copyright 2005-2006 F-Secure Corporation. All rights reserved.
This is a beta version. It will expire on 1st of April, 2007.
Version information: 2.2.1055.

[+] Started on 02/05/07 at 21:14:15.
[-] ERROR: F-Secure BlackLight could not acquire debug privileges.
[+] Exited on 02/05/07 at 21:14:15 (return code = 3).


*** Recherche fichiers *** 




*** Recherche cles registre *** 


Recharche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs] 
 
 

Recharche dans [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ModuleUsage] 
 
 

Recherche Clé Magic Control 
 
 
 
*** Module de recherche complémentaire *** 
(recherche fichiers spécifiques) 
 
 
 
*** Analyse Terminé le 05/02/2007 à 21:14:57,14 ***

Regis59 · Answer

Salut

Quels genres de pages s ouvrent?

Télécharge ceci: (merci a S!RI pour ce programme).
http://siri.urz.free.fr/Fix/SmitfraudFix.exe
Exécute le Smitfraudfix.exe et choisit l’option 1, il va générer un rapport
Copie/colle le sur le poste stp.

Astrid · Answer

Salut !!
Voici le rapport.
Ce sont des pages www.google.fr qui s'ouvre 
toutes seuls .
Alors si je laisse le pc allumé au bout de 7 ou 8 heures j'ai 6 ou 7 pages google d'ouverte.


SmitFraudFix v2.139

Rapport fait à 16:22:13,65, 06/02/2007
Executé à partir de C:\Documents and Settings\Sebastien\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Sebastien


»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Sebastien\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\SEBAST~1\Favoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files 


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau
 
 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{0B5F7FDF-0717-45BF-B49D-695F3168C7FE}"="Master Browseui"

[HKEY_CLASSES_ROOT\CLSID\{0B5F7FDF-0717-45BF-B49D-695F3168C7FE}\InProcServer32]
@="C:\WINDOWS\admparsel.dll"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{0B5F7FDF-0717-45BF-B49D-695F3168C7FE}\InProcServer32]
@="C:\WINDOWS\admparsel.dll"



»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» pe386-msguard-lzx32-huy32


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

Regis59 · Answer

Des pages google vierges?

A+

Astrid · Answer

Oui en effet plutot étonnant mais ce sont des pages de demarrage google qui sont vierges ou plutot le logo de google comme sur https://www.google.fr/?gws_rd=ssl

Regis59 · Answer

Salut

Ok, je vois que ta page de démarrage est google.
Ici: R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.google.fr/?gws_rd=ssl

Si tu la modifie et tu met une autre page de démarrage, le probleme persiste?

A+

Virus dans ma restaruration du systeme

12 réponses

Newsletters