Désinfection PC

Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   -  
Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   -
Bonjour,

Je viens de récupérer le PC d'une connaissance et je soupçonne fortement la machine d'avoir récupérer quelques saletés, est-ce que quelqu'un aurait le temps de jeter un oeil ?

Voila le rapport zhpdiag :

https://pjjoint.malekal.com/files.php?id=ZHPDiag_20130123_8l6v9h10h6

Merci beaucoup. :-)



Quant à ces féroces soldats, je le dis, c'est pas pour cafter,
mais y font rien qu'a mugir dans nos campagnes.
-Pierre Desproges-

12 réponses

  1.
    Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Salut,

    Désinstalle toutes les barres d'outils.

    Télécharge http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/28-adwcleaner AdwCleaner ( d'Xplode ) sur ton bureau.
    Lance le, clique sur [Suppression] puis patiente le temps du scan (Pas besoin de faire de Recherche avant).
    Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.

    Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

    3
  2. Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   4 215
     
    Yahou, une prise main par le maitre en personne. ;-)

    # AdwCleaner v2.107 - Rapport créé le 23/01/2013 à 05:58:34
    # Mis à jour le 21/01/2013 par Xplode
    # Système d'exploitation : Windows 7 Home Premium (64 bits)
    # Nom d'utilisateur : Floriane - FLORIANE-PCPORT
    # Mode de démarrage : Normal
    # Exécuté depuis : C:\Users\Floriane\Downloads\adwcleaner.exe
    # Option [Suppression]

    ***** [Services] *****

    ***** [Fichiers / Dossiers] *****

    Dossier Supprimé : C:\Program Files (x86)\BittorrentBar_FR
    Dossier Supprimé : C:\Program Files (x86)\Conduit
    Dossier Supprimé : C:\Program Files (x86)\DealPly
    Dossier Supprimé : C:\ProgramData\Babylon
    Dossier Supprimé : C:\ProgramData\InstallMate
    Dossier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\DealPly
    Dossier Supprimé : C:\ProgramData\Premium
    Dossier Supprimé : C:\Users\Floriane\AppData\Local\Babylon
    Dossier Supprimé : C:\Users\Floriane\AppData\Local\Conduit
    Dossier Supprimé : C:\Users\Floriane\AppData\LocalLow\AVG Security Toolbar
    Dossier Supprimé : C:\Users\Floriane\AppData\LocalLow\BabylonToolbar
    Dossier Supprimé : C:\Users\Floriane\AppData\LocalLow\BittorrentBar_FR
    Dossier Supprimé : C:\Users\Floriane\AppData\LocalLow\Conduit
    Dossier Supprimé : C:\Users\Floriane\AppData\Roaming\Babylon
    Fichier Supprimé : C:\Program Files (x86)\Mozilla Firefox\searchplugins\babylon.xml
    Fichier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\eBay.lnk
    Fichier Supprimé : C:\user.js
    Fichier Supprimé : C:\Users\Floriane\AppData\Local\Temp\kujytuo.exe

    ***** [Registre] *****

    Clé Supprimée : HKCU\Software\AppDataLow\Software\AVG Security Toolbar
    Clé Supprimée : HKCU\Software\AppDataLow\Software\BittorrentBar_FR
    Clé Supprimée : HKCU\Software\AppDataLow\Software\Conduit
    Clé Supprimée : HKCU\Software\AppDataLow\Software\SmartBar
    Clé Supprimée : HKCU\Software\AppDataLow\Toolbar
    Clé Supprimée : HKCU\Software\AVG Security Toolbar
    Clé Supprimée : HKCU\Software\Conduit
    Clé Supprimée : HKCU\Software\Google\Chrome\Extensions\gaiilaahiahdejapggenmdmafpmbipje
    Clé Supprimée : HKCU\Software\InstallCore
    Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{2EECD738-5844-4A99-B4B6-146BF802613B}
    Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{97F2FF5B-260C-4CCF-834A-2DDA4E29E39E}
    Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{98889811-442D-49DD-99D7-DC866BE87DBC}
    Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{EF79F67A-6AD7-4715-A0F8-932FCA442023}
    Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{0842E22B-BF8F-4307-86F7-F812FB90BC62}
    Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{2EECD738-5844-4A99-B4B6-146BF802613B}
    Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{97F2FF5B-260C-4CCF-834A-2DDA4E29E39E}
    Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{98889811-442D-49DD-99D7-DC866BE87DBC}
    Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EF79F67A-6AD7-4715-A0F8-932FCA442023}
    Clé Supprimée : HKCU\Software\Softonic
    Clé Supprimée : HKCU\Software\StartSearch
    Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}
    Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{AFDBDDAA-5D3F-42EE-B79C-185A7020515B}
    Clé Supprimée : HKLM\Software\Babylon
    Clé Supprimée : HKLM\Software\BittorrentBar_FR
    Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{09C554C3-109B-483C-A06B-F14172F1A947}
    Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4EAF-B541-F8DE92DD98DB}
    Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\escort.DLL
    Clé Supprimée : HKLM\SOFTWARE\Classes\Prod.cap
    Clé Supprimée : HKLM\SOFTWARE\Classes\Toolbar.CT2849852
    Clé Supprimée : HKLM\Software\Conduit
    Clé Supprimée : HKLM\Software\DealPly
    Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\MyBabylontb_RASAPI32
    Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\MyBabylontb_RASMANCS
    Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{0842E22B-BF8F-4307-86F7-F812FB90BC62}
    Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{0842E22B-BF8F-4307-86F7-F812FB90BC62}
    Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{2EECD738-5844-4A99-B4B6-146BF802613B}
    Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{3C471948-F874-49F5-B338-4F214A2EE0B1}
    Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{E46C8196-B634-44A1-AF6E-957C64278AB1}
    Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{EF79F67A-6AD7-4715-A0F8-932FCA442023}
    Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\gaiilaahiahdejapggenmdmafpmbipje
    Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{3ED1D60E-5DFD-4A5F-B29E-213C9710F23F}
    Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{8A8E6C83-A879-41EE-A373-146A12FABF3B}
    Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}
    Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{AFDBDDAA-5D3F-42EE-B79C-185A7020515B}
    Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EF79F67A-6AD7-4715-A0F8-932FCA442023}
    Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\BittorrentBar_FR Toolbar
    Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{44C3C1DB-2127-433C-98EC-4C9412B5FC3A}
    Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{4D5132DD-BB2B-4249-B5E0-D145A8C982E1}
    Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{706D4A4B-184A-4434-B331-296B07493D2D}
    Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{8BE10F21-185F-4CA0-B789-9921674C3993}
    Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{94C0B25D-3359-4B10-B227-F96A77DB773F}
    Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{B0B75FBA-7288-4FD3-A9EB-7EE27FA65599}
    Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{B173667F-8395-4317-8DD6-45AD1FE00047}
    Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{B32672B3-F656-46E0-B584-FE61C0BB6037}
    Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{BFE569F7-646C-4512-969B-9BE3E580D393}
    Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{C2434722-5C85-4CA0-BA69-1B67E7AB3D68}
    Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{C2996524-2187-441F-A398-CD6CB6B3D020}
    Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{E047E227-5342-4D94-80F7-CFB154BF55BD}
    Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{E3F79BE9-24D4-4F4D-8C13-DF2C9899F82E}
    Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{E77EEF95-3E83-4BB8-9C0D-4A5163774997}
    Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{EF79F67A-6AD7-4715-A0F8-932FCA442023}]
    Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{EF79F67A-6AD7-4715-A0F8-932FCA442023}]
    Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks [{EF79F67A-6AD7-4715-A0F8-932FCA442023}]
    Valeur Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Toolbar [{EF79F67A-6AD7-4715-A0F8-932FCA442023}]

    ***** [Navigateurs] *****

    -\\ Internet Explorer v8.0.7600.16869

    Remplacé : [HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURls - Tabs] = hxxp://search.babylon.com/?AF=100482&babsrc=NT_ss&mntrId=ca9c33e1000000000000904ce58f0ef6 --> hxxp://www.google.com

    -\\ Mozilla Firefox v18.0.1 (fr)

    Fichier : C:\Users\Floriane\AppData\Roaming\Mozilla\Firefox\Profiles\gfzziuvg.default\prefs.js

    C:\Users\Floriane\AppData\Roaming\Mozilla\Firefox\Profiles\gfzziuvg.default\user.js ... Supprimé !

    Supprimée : user_pref("CT2849852_Firefox.csv", "[{\"from\":\"Abs Layer\",\"action\":\"loading toolbar\",\"time\"[...]
    Supprimée : user_pref("browser.babylon.HPOnNewTab", "search.babylon.com");
    Supprimée : user_pref("extensions.BabylonToolbar.admin", false);
    Supprimée : user_pref("extensions.BabylonToolbar.aflt", "babsst");
    Supprimée : user_pref("extensions.BabylonToolbar.babExt", "");
    Supprimée : user_pref("extensions.BabylonToolbar.babTrack", "affID=100482");
    Supprimée : user_pref("extensions.BabylonToolbar.bbDpng", 27);
    Supprimée : user_pref("extensions.BabylonToolbar.dfltLng", "fr");
    Supprimée : user_pref("extensions.BabylonToolbar.dfltSrch", true);
    Supprimée : user_pref("extensions.BabylonToolbar.hmpg", true);
    Supprimée : user_pref("extensions.BabylonToolbar.id", "ca9c33e1000000000000904ce58f0ef6");
    Supprimée : user_pref("extensions.BabylonToolbar.instlDay", "15341");
    Supprimée : user_pref("extensions.BabylonToolbar.instlRef", "sst");
    Supprimée : user_pref("extensions.BabylonToolbar.keyWordUrl", "hxxp://search.babylon.com/?AF=100482&babsrc=adbar[...]
    Supprimée : user_pref("extensions.BabylonToolbar.lastDP", 27);
    Supprimée : user_pref("extensions.BabylonToolbar.lastVrsnTs", "1.5.3.1721:58:29");
    Supprimée : user_pref("extensions.BabylonToolbar.mntrFFxVrsn", "3.6");
    Supprimée : user_pref("extensions.BabylonToolbar.newTab", true);
    Supprimée : user_pref("extensions.BabylonToolbar.newTabUrl", "hxxp://search.babylon.com/?babsrc=NT_bb");
    Supprimée : user_pref("extensions.BabylonToolbar.noFFXTlbr", false);
    Supprimée : user_pref("extensions.BabylonToolbar.prdct", "BabylonToolbar");
    Supprimée : user_pref("extensions.BabylonToolbar.propectorlck", 92637067);
    Supprimée : user_pref("extensions.BabylonToolbar.prtkDS", 0);
    Supprimée : user_pref("extensions.BabylonToolbar.prtkHmpg", 0);
    Supprimée : user_pref("extensions.BabylonToolbar.prtnrId", "babylon");
    Supprimée : user_pref("extensions.BabylonToolbar.ptch_0717", true);
    Supprimée : user_pref("extensions.BabylonToolbar.smplGrp", "azb");
    Supprimée : user_pref("extensions.BabylonToolbar.srcExt", "ss");
    Supprimée : user_pref("extensions.BabylonToolbar.tlbrId", "tb9");
    Supprimée : user_pref("extensions.BabylonToolbar.vrsn", "1.5.3.17");
    Supprimée : user_pref("extensions.BabylonToolbar.vrsnTs", "1.5.3.1721:58:29");
    Supprimée : user_pref("extensions.BabylonToolbar.vrsni", "1.5.3.17");
    Supprimée : user_pref("extensions.BabylonToolbar_i.aflt", "babsst");
    Supprimée : user_pref("extensions.BabylonToolbar_i.babExt", "");
    Supprimée : user_pref("extensions.BabylonToolbar_i.babTrack", "affID=100482");
    Supprimée : user_pref("extensions.BabylonToolbar_i.hardId", "ca9c33e1000000000000904ce58f0ef6");
    Supprimée : user_pref("extensions.BabylonToolbar_i.id", "ca9c33e1000000000000904ce58f0ef6");
    Supprimée : user_pref("extensions.BabylonToolbar_i.instlDay", "15341");
    Supprimée : user_pref("extensions.BabylonToolbar_i.instlRef", "sst");
    Supprimée : user_pref("extensions.BabylonToolbar_i.newTab", false);
    Supprimée : user_pref("extensions.BabylonToolbar_i.prdct", "BabylonToolbar");
    Supprimée : user_pref("extensions.BabylonToolbar_i.prtnrId", "babylon");
    Supprimée : user_pref("extensions.BabylonToolbar_i.smplGrp", "none");
    Supprimée : user_pref("extensions.BabylonToolbar_i.srcExt", "ss");
    Supprimée : user_pref("extensions.BabylonToolbar_i.tlbrId", "tb9");
    Supprimée : user_pref("extensions.BabylonToolbar_i.vrsn", "1.5.3.17");
    Supprimée : user_pref("extensions.BabylonToolbar_i.vrsnTs", "1.5.3.1721:58:29");
    Supprimée : user_pref("extensions.BabylonToolbar_i.vrsni", "1.5.3.17");
    Supprimée : user_pref("smartbar.machineId", "FS7AFZFNQSK6W6TTS4PUZONNYKHQTFL9SK6XC3MSEPTNULPPRUMW7KCVOY9ZZQ7QKZQ[...]

    *************************

    AdwCleaner[S1].txt - [11506 octets] - [23/01/2013 05:58:34]

    ########## EOF - C:\AdwCleaner[S1].txt - [11567 octets] ##########

    0
  3. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections :

    Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/

    * Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
    (Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

    Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

    * Lance OTL
    * En haut à droite de Analyse rapide, coche "tous les utilisateurs"
    * Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :

    netsvcs
    msconfig
    safebootminimal
    safebootnetwork
    activex
    drivers32
    %ALLUSERSPROFILE%\Application Data\*.
    %ALLUSERSPROFILE%\Application Data\*.exe /s
    %APPDATA%\*.
    %APPDATA%\*.exe /s
    %temp%\.exe /s
    %SYSTEMDRIVE%\*.exe
    %systemroot%\*. /mp /s
    %systemroot%\system32\consrv.dll
    %systemroot%\system32\*.dll /lockedfiles
    %systemroot%\Tasks\*.job /lockedfiles
    %systemroot%\system32\drivers\*.sys /lockedfiles
    %systemroot%\System32\config\*.sav
    /md5start
    explorer.exe
    winlogon.exe
    wininit.exe
    /md5stop
    HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
    HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
    CREATERESTOREPOINT
    nslookup www.google.fr /c
    SAVEMBR:0
    hklm\software\clients\startmenuinternet|command /rs
    hklm\software\clients\startmenuinternet|command /64 /rs

    * Clique sur le bouton Analyse.

    NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT
    * Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent), donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message.
    NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT
    0
    1. Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   4 215
       
      Bon, je viens de faire deux tentatives, au moment ou OTL crée un point de restauration, plaf, BSOD dans la face avec un message du genre : PAGE_FAULT_IN_NONPAGED_AREA

      Approximativement, l'écran passe trop vite pour noter exactement.

      l'antivirus (MS security essential) se réveil aussi pour me dire qu'il y à un trojan : rootkit:Alureon->Mbr::Alureon

      Je le laisse nettoyer ou j'attends la suite ?
      0
  4. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Passe un coup de TDSSKiller : https://forum.malekal.com/viewtopic.php?t=28637&start=
    Lire ce qui est écrit au niveau des suppressions/réparation (delete et cure), ne pas supprimer n'importe quoi.
    Poste le rapport ici.

    0
    1. Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   4 215
       
      Ca m'a détecter un rootkit, j'ai fait cure (pas de supress proposer), redémarrer comme demander et voila le rapport au redémarrage :

      09:04:17.0611 2436 TDSS rootkit removing tool 2.8.15.0 Oct 31 2012 21:47:35
      09:04:17.0813 2436 ============================================================
      09:04:17.0813 2436 Current date / time: 2013/01/23 09:04:17.0813
      09:04:17.0813 2436 SystemInfo:
      09:04:17.0813 2436
      09:04:17.0813 2436 OS Version: 6.1.7600 ServicePack: 0.0
      09:04:17.0813 2436 Product type: Workstation
      09:04:17.0813 2436 ComputerName: FLORIANE-PCPORT
      09:04:17.0813 2436 UserName: Floriane
      09:04:17.0813 2436 Windows directory: C:\Windows
      09:04:17.0813 2436 System windows directory: C:\Windows
      09:04:17.0813 2436 Running under WOW64
      09:04:17.0813 2436 Processor architecture: Intel x64
      09:04:17.0813 2436 Number of processors: 2
      09:04:17.0813 2436 Page size: 0x1000
      09:04:17.0813 2436 Boot type: Normal boot
      09:04:17.0813 2436 ============================================================
      09:04:22.0291 2436 BG loaded
      09:04:23.0710 2436 Drive \Device\Harddisk0\DR0 - Size: 0x7470C06000 (465.76 Gb), SectorSize: 0x200, Cylinders: 0xED81, SectorsPerTrack: 0x3F, TracksPerCylinder: 0xFF, Type 'K0', Flags 0x00000040
      09:04:23.0726 2436 ============================================================
      09:04:23.0726 2436 \Device\Harddisk0\DR0:
      09:04:23.0726 2436 MBR partitions:
      09:04:23.0726 2436 \Device\Harddisk0\DR0\Partition1: MBR, Type 0x7, StartLBA 0x800, BlocksNum 0x63800
      09:04:23.0726 2436 \Device\Harddisk0\DR0\Partition2: MBR, Type 0x7, StartLBA 0x64000, BlocksNum 0x389B8000
      09:04:23.0726 2436 \Device\Harddisk0\DR0\Partition3: MBR, Type 0x7, StartLBA 0x38A1C000, BlocksNum 0x1969800
      09:04:23.0726 2436 ============================================================
      09:04:24.0116 2436 C: <-> \Device\Harddisk0\DR0\Partition2
      09:04:29.0217 2436 D: <-> \Device\Harddisk0\DR0\Partition3
      09:04:29.0217 2436 ============================================================
      09:04:29.0217 2436 Initialize success
      09:04:29.0217 2436 ============================================================
      0

  5. Vous n’avez pas trouvé la réponse que vous recherchez ?

    Posez votre question
  6. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    OK retour à OTL :)
    0
    1. Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   4 215
       
      Ca scan, encore merci pour l'aide. :-)
      0
  8. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Paye ton pack pourri \o

    Par curiosité, tu peux aller voir ce fichier : C:\Users\Floriane\AppData\Roaming\5iwjoq8.bat
    Clic droit / modifier et tu colles le contenu ici.
    Si c'est trop long, utilise pjjoint.

    ~~

    Relance OTL.
    o sous Persfonnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
    Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:

    :OTL
    O4 - HKLM..\Run: [0cleog4] C:\Users\Floriane\AppData\Roaming\v8uivv8.exe (TeamViewer GmbH)
    SRV - [2012/10/03 18:08:11 | 000,000,092 | -H-- | M] () [Auto | Stopped] -- C:\Users\Floriane\AppData\Roaming\5iwjoq8.bat -- (v8uivv8)
    [2012/12/28 11:08:19 | 000,090,176 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\12a8lqc.dat
    [2012/12/13 18:35:55 | 000,001,304 | -HS- | C] () -- C:\Users\Floriane\AppData\Local\1pb78m8n6he1l1565b3k36w7o7of8ksb88y53s63tpqg0vl
    [2012/12/13 18:35:55 | 000,001,304 | -HS- | C] () -- C:\ProgramData\1pb78m8n6he1l1565b3k36w7o7of8ksb88y53s63tpqg0vl
    [2012/11/20 08:19:10 | 000,090,176 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\123ckus.dat
    [2012/11/08 09:43:03 | 000,060,992 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\mjks588.dat
    [2012/11/04 10:51:06 | 000,090,176 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\gmznnbb.dat
    [2012/10/11 20:57:51 | 000,090,176 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\gmzdanb.dat
    [2012/10/11 20:57:49 | 000,086,080 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\asfebji.dat
    [2012/10/11 20:57:47 | 000,060,992 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\ekseldi.dat
    [2012/10/03 18:08:11 | 000,000,092 | -H-- | C] () -- C:\Users\Floriane\AppData\Roaming\5iwjoq8.bat
    [2012/10/03 18:08:09 | 000,090,176 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\lj1y6nb.dat
    [2012/10/03 18:08:07 | 000,086,080 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\aftr4sb.dat
    [2012/10/03 18:08:06 | 000,060,992 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\slr8k5s.dat

    * redemarre le pc sous windows et poste le rapport ici

    0
    1. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
       
      PS : tu fesseras la proprio de la machine de ma part, semble pas y avoir d'antivirus installé.
      0
    2. Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   4 215
       
      Voilz deja le .bat, je fait la suite :

      @echo off
      set path=C:\Users\Floriane\AppData\Roaming\
      set exe="%path%"v8uivv8.exe
      %exe%
      0
  9. Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   4 215
     
    Ca ne m'a pas demander de redémarage, voila le rapport :

    ========== OTL ==========
    Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\0cleog4 deleted successfully.
    C:\Users\Floriane\AppData\Roaming\v8uivv8.exe moved successfully.
    Service v8uivv8 stopped successfully!
    Service v8uivv8 deleted successfully!
    C:\Users\Floriane\AppData\Roaming\5iwjoq8.bat moved successfully.
    C:\Users\Floriane\AppData\Roaming\12a8lqc.dat moved successfully.
    C:\Users\Floriane\AppData\Local\1pb78m8n6he1l1565b3k36w7o7of8ksb88y53s63tpqg0vl moved successfully.
    C:\ProgramData\1pb78m8n6he1l1565b3k36w7o7of8ksb88y53s63tpqg0vl moved successfully.
    C:\Users\Floriane\AppData\Roaming\123ckus.dat moved successfully.
    C:\Users\Floriane\AppData\Roaming\mjks588.dat moved successfully.
    C:\Users\Floriane\AppData\Roaming\gmznnbb.dat moved successfully.
    C:\Users\Floriane\AppData\Roaming\gmzdanb.dat moved successfully.
    C:\Users\Floriane\AppData\Roaming\asfebji.dat moved successfully.
    C:\Users\Floriane\AppData\Roaming\ekseldi.dat moved successfully.
    File C:\Users\Floriane\AppData\Roaming\5iwjoq8.bat not found.
    C:\Users\Floriane\AppData\Roaming\lj1y6nb.dat moved successfully.
    C:\Users\Floriane\AppData\Roaming\aftr4sb.dat moved successfully.
    C:\Users\Floriane\AppData\Roaming\slr8k5s.dat moved successfully.

    OTL by OldTimer - Version 3.2.69.0 log created on 01232013_100329

    0
  10. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    tu peux envoyer v8uivv8.exe sur http://upload.malekal.com
    il doit être dans C:\OTL\MoveIT\C\Users\Floriane\AppData\Roaming\v8uivv8.exe
    (quelques choses comme ça).

    ~~

    Ca doit être bon.

    Installe Malwarebyte et fais un scan avec : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
    Fais le seulement si tu es parvenu à envoyer le fichier.
    0
    1. Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   4 215
       
      bon, ben ça charge, 200Mo en upload, je patiente. :-)
      0
    2. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
       
      L'exe fait 200Mo ?!
      Ca passera pas :)
      0
    3. Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   4 215
       
      je peut essayer de te l'envoyer par un autre moyen, mais ça galere aussi.

      Y'a pas de risque tant que je lance pas l'exe ?
      0
  11. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Y'a pas de risque tant que je lance pas l'exe ?

    yep.

    Bha je voulais voir ce que c'était comme malware, le coup du bat, c'est original.
    Si tu zips, ça reste gros ?
    Sinon par mediafire.
    0
    1. Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   4 215
       
      Je suis en train de l'up sur mon site, dans 15/30 minutes, ça devrait le faire, et ensuite je lance le scan.
      0
    2. Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   4 215
       
      Voila la bête :

      http://infofacile.org/v8uivv8.exe
      0
    3. Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   4 215
       
      Prévient quand t'a fini de le DL que je dégage ce truc de mon site. :-)
      0
    5. Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   4 215
       
      Rhaaa, mais pourquoi j'ai même pas essayer de le zipper. ;-)

      Bon, le scan à trouver un truc (sans doute l'exe de 200 Ko), mais le programme s'est fermer tout seul comme un sagouin avant d'avoir fini (pas de log ou de rapport).

      Vu que le pote qui m'a amené le PC doit partir, je vais pas relancer un scan qui prend trois plombe, il finira la désinfection tout seul comme un grand. ;-)

      Donc les prochains messages viendront sans doute d'un pseudo non enregistré, mais c'est bien le même PC.

      Je suivrait tout ça bien au chaud de chez moi.

      En tout cas, on voie le bout, encore merci de ton aide.
      0
  13. Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   4 215
     
    Bonjour. Je suis l'ami de Pierrecastor (je sui stoujours connecté à son compte, donc j'en profite pour écrire directement!).

    J'ai lancé le scan avec Malwarebytes, et après 2h, j'ai reçu ce rapport:

    Malwarebytes Anti-Malware 1.70.0.1100
    www.malwarebytes.org

    Version de la base de données: v2013.01.23.08

    Windows 7 x64 NTFS
    Internet Explorer 8.0.7600.16385
    Floriane :: FLORIANE-PCPORT [administrateur]

    24/01/2013 08:42:31
    mbam-log-2013-01-24 (08-42-31).txt

    Type d'examen: Examen complet (C:\|)
    Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
    Options d'examen désactivées: P2P
    Elément(s) analysé(s): 546299
    Temps écoulé: 1 heure(s), 57 minute(s), 38 seconde(s)

    Processus mémoire détecté(s): 0
    (Aucun élément nuisible détecté)

    Module(s) mémoire détecté(s): 0
    (Aucun élément nuisible détecté)

    Clé(s) du Registre détectée(s): 0
    (Aucun élément nuisible détecté)

    Valeur(s) du Registre détectée(s): 0
    (Aucun élément nuisible détecté)

    Elément(s) de données du Registre détecté(s): 0
    (Aucun élément nuisible détecté)

    Dossier(s) détecté(s): 0
    (Aucun élément nuisible détecté)

    Fichier(s) détecté(s): 0
    (Aucun élément nuisible détecté)

    (fin)

    normalement, si j'ai bien compris, tout devrait être clean, mais je préfère avoir votre avis, et savoir, si il faut faire quelque chose d'autre derrière!

    Encore merci pour tout.
    0
    1. Pierrecastor Messages postés 10830 Date d'inscription   Statut Modérateur Dernière intervention   4 215
       
      Rhoo, hé l'autre, y me vole mon compte. ;-)

      Bon, faut croire que Malwarebytes Anti-Malware à du virer le malware lors du premier scan qui s'est planter en cour de route, mais on va attendre l'avis de Malekal pour en être sur.


      Pierrecastor, le seul, le vrai. ;-)
      0