Désinfection PC
Pierrecastor -  
Bonjour,

Je viens de récupérer le PC d'une connaissance et je soupçonne fortement la machine d'avoir récupérer quelques saletés, est-ce que quelqu'un aurait le temps de jeter un oeil ?

Voila le rapport zhpdiag :

https://pjjoint.malekal.com/files.php?id=ZHPDiag_20130123_8l6v9h10h6

Merci beaucoup. :-)



Quant à ces féroces soldats, je le dis, c'est pas pour cafter,
mais y font rien qu'a mugir dans nos campagnes.
-Pierre Desproges-

12 réponses

Résumé de la discussion

Une machine Windows d'occasion est soupçonnée d'être infestée par des barres d'outils et logiciels indésirables, avec un rapport ZHPDiag fourni et des détails sur la configuration matérielle. Plusieurs conseils opérationnels suggèrent de désinstaller les barres d'outils, d'exécuter AdwCleaner, puis de partager le rapport généré et d'utiliser OTL, TDSSKiller et Malwarebytes pour nettoyer les traces. Le fil détaille des éléments supprimés tels que Babylon, Conduit et des barres associées, ainsi que des préférences modifiées dans Firefox et Internet Explorer; un rapport AdwCleaner et des éléments OTL ont été partagés. D'autres interventions indiquent que le diagnostic n'était pas totalement concluant et qu'une reprise des scans pourrait être nécessaire une fois le PC entre les mains d'un proche ou d'un technicien.

Bobot (l’IA à votre service)
  1. Malekal_morte- Modérateur
    Salut,

    Désinstalle toutes les barres d'outils.

    Télécharge http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/28-adwcleaner AdwCleaner ( d'Xplode ) sur ton bureau.
    Lance le, clique sur [Suppression] puis patiente le temps du scan (Pas besoin de faire de Recherche avant).
    Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.

    Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

    1. Pierrecastor Auteur Modérateur
      Yahou, une prise main par le maitre en personne. ;-)

      # AdwCleaner v2.107 - Rapport créé le 23/01/2013 à 05:58:34
      # Mis à jour le 21/01/2013 par Xplode
      # Système d'exploitation : Windows 7 Home Premium (64 bits)
      # Nom d'utilisateur : Floriane - FLORIANE-PCPORT
      # Mode de démarrage : Normal
      # Exécuté depuis : C:\Users\Floriane\Downloads\adwcleaner.exe
      # Option [Suppression]

      ***** [Services] *****

      ***** [Fichiers / Dossiers] *****

      Dossier Supprimé : C:\Program Files (x86)\BittorrentBar_FR
      Dossier Supprimé : C:\Program Files (x86)\Conduit
      Dossier Supprimé : C:\Program Files (x86)\DealPly
      Dossier Supprimé : C:\ProgramData\Babylon
      Dossier Supprimé : C:\ProgramData\InstallMate
      Dossier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\DealPly
      Dossier Supprimé : C:\ProgramData\Premium
      Dossier Supprimé : C:\Users\Floriane\AppData\Local\Babylon
      Dossier Supprimé : C:\Users\Floriane\AppData\Local\Conduit
      Dossier Supprimé : C:\Users\Floriane\AppData\LocalLow\AVG Security Toolbar
      Dossier Supprimé : C:\Users\Floriane\AppData\LocalLow\BabylonToolbar
      Dossier Supprimé : C:\Users\Floriane\AppData\LocalLow\BittorrentBar_FR
      Dossier Supprimé : C:\Users\Floriane\AppData\LocalLow\Conduit
      Dossier Supprimé : C:\Users\Floriane\AppData\Roaming\Babylon
      Fichier Supprimé : C:\Program Files (x86)\Mozilla Firefox\searchplugins\babylon.xml
      Fichier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\eBay.lnk
      Fichier Supprimé : C:\user.js
      Fichier Supprimé : C:\Users\Floriane\AppData\Local\Temp\kujytuo.exe

      ***** [Registre] *****

      Clé Supprimée : HKCU\Software\AppDataLow\Software\AVG Security Toolbar
      Clé Supprimée : HKCU\Software\AppDataLow\Software\BittorrentBar_FR
      Clé Supprimée : HKCU\Software\AppDataLow\Software\Conduit
      Clé Supprimée : HKCU\Software\AppDataLow\Software\SmartBar
      Clé Supprimée : HKCU\Software\AppDataLow\Toolbar
      Clé Supprimée : HKCU\Software\AVG Security Toolbar
      Clé Supprimée : HKCU\Software\Conduit
      Clé Supprimée : HKCU\Software\Google\Chrome\Extensions\gaiilaahiahdejapggenmdmafpmbipje
      Clé Supprimée : HKCU\Software\InstallCore
      Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{2EECD738-5844-4A99-B4B6-146BF802613B}
      Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{97F2FF5B-260C-4CCF-834A-2DDA4E29E39E}
      Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{98889811-442D-49DD-99D7-DC866BE87DBC}
      Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{EF79F67A-6AD7-4715-A0F8-932FCA442023}
      Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{0842E22B-BF8F-4307-86F7-F812FB90BC62}
      Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{2EECD738-5844-4A99-B4B6-146BF802613B}
      Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{97F2FF5B-260C-4CCF-834A-2DDA4E29E39E}
      Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{98889811-442D-49DD-99D7-DC866BE87DBC}
      Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EF79F67A-6AD7-4715-A0F8-932FCA442023}
      Clé Supprimée : HKCU\Software\Softonic
      Clé Supprimée : HKCU\Software\StartSearch
      Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}
      Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{AFDBDDAA-5D3F-42EE-B79C-185A7020515B}
      Clé Supprimée : HKLM\Software\Babylon
      Clé Supprimée : HKLM\Software\BittorrentBar_FR
      Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{09C554C3-109B-483C-A06B-F14172F1A947}
      Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4EAF-B541-F8DE92DD98DB}
      Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\escort.DLL
      Clé Supprimée : HKLM\SOFTWARE\Classes\Prod.cap
      Clé Supprimée : HKLM\SOFTWARE\Classes\Toolbar.CT2849852
      Clé Supprimée : HKLM\Software\Conduit
      Clé Supprimée : HKLM\Software\DealPly
      Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\MyBabylontb_RASAPI32
      Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\MyBabylontb_RASMANCS
      Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{0842E22B-BF8F-4307-86F7-F812FB90BC62}
      Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{0842E22B-BF8F-4307-86F7-F812FB90BC62}
      Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{2EECD738-5844-4A99-B4B6-146BF802613B}
      Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{3C471948-F874-49F5-B338-4F214A2EE0B1}
      Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{E46C8196-B634-44A1-AF6E-957C64278AB1}
      Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{EF79F67A-6AD7-4715-A0F8-932FCA442023}
      Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\gaiilaahiahdejapggenmdmafpmbipje
      Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{3ED1D60E-5DFD-4A5F-B29E-213C9710F23F}
      Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{8A8E6C83-A879-41EE-A373-146A12FABF3B}
      Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}
      Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{AFDBDDAA-5D3F-42EE-B79C-185A7020515B}
      Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EF79F67A-6AD7-4715-A0F8-932FCA442023}
      Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\BittorrentBar_FR Toolbar
      Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{44C3C1DB-2127-433C-98EC-4C9412B5FC3A}
      Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{4D5132DD-BB2B-4249-B5E0-D145A8C982E1}
      Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{706D4A4B-184A-4434-B331-296B07493D2D}
      Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{8BE10F21-185F-4CA0-B789-9921674C3993}
      Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{94C0B25D-3359-4B10-B227-F96A77DB773F}
      Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{B0B75FBA-7288-4FD3-A9EB-7EE27FA65599}
      Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{B173667F-8395-4317-8DD6-45AD1FE00047}
      Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{B32672B3-F656-46E0-B584-FE61C0BB6037}
      Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{BFE569F7-646C-4512-969B-9BE3E580D393}
      Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{C2434722-5C85-4CA0-BA69-1B67E7AB3D68}
      Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{C2996524-2187-441F-A398-CD6CB6B3D020}
      Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{E047E227-5342-4D94-80F7-CFB154BF55BD}
      Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{E3F79BE9-24D4-4F4D-8C13-DF2C9899F82E}
      Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{E77EEF95-3E83-4BB8-9C0D-4A5163774997}
      Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{EF79F67A-6AD7-4715-A0F8-932FCA442023}]
      Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{EF79F67A-6AD7-4715-A0F8-932FCA442023}]
      Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks [{EF79F67A-6AD7-4715-A0F8-932FCA442023}]
      Valeur Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Toolbar [{EF79F67A-6AD7-4715-A0F8-932FCA442023}]

      ***** [Navigateurs] *****

      -\\ Internet Explorer v8.0.7600.16869

      Remplacé : [HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURls - Tabs] = hxxp://search.babylon.com/?AF=100482&babsrc=NT_ss&mntrId=ca9c33e1000000000000904ce58f0ef6 --> hxxp://www.google.com

      -\\ Mozilla Firefox v18.0.1 (fr)

      Fichier : C:\Users\Floriane\AppData\Roaming\Mozilla\Firefox\Profiles\gfzziuvg.default\prefs.js

      C:\Users\Floriane\AppData\Roaming\Mozilla\Firefox\Profiles\gfzziuvg.default\user.js ... Supprimé !

      Supprimée : user_pref("CT2849852_Firefox.csv", "[{\"from\":\"Abs Layer\",\"action\":\"loading toolbar\",\"time\"[...]
      Supprimée : user_pref("browser.babylon.HPOnNewTab", "search.babylon.com");
      Supprimée : user_pref("extensions.BabylonToolbar.admin", false);
      Supprimée : user_pref("extensions.BabylonToolbar.aflt", "babsst");
      Supprimée : user_pref("extensions.BabylonToolbar.babExt", "");
      Supprimée : user_pref("extensions.BabylonToolbar.babTrack", "affID=100482");
      Supprimée : user_pref("extensions.BabylonToolbar.bbDpng", 27);
      Supprimée : user_pref("extensions.BabylonToolbar.dfltLng", "fr");
      Supprimée : user_pref("extensions.BabylonToolbar.dfltSrch", true);
      Supprimée : user_pref("extensions.BabylonToolbar.hmpg", true);
      Supprimée : user_pref("extensions.BabylonToolbar.id", "ca9c33e1000000000000904ce58f0ef6");
      Supprimée : user_pref("extensions.BabylonToolbar.instlDay", "15341");
      Supprimée : user_pref("extensions.BabylonToolbar.instlRef", "sst");
      Supprimée : user_pref("extensions.BabylonToolbar.keyWordUrl", "hxxp://search.babylon.com/?AF=100482&babsrc=adbar[...]
      Supprimée : user_pref("extensions.BabylonToolbar.lastDP", 27);
      Supprimée : user_pref("extensions.BabylonToolbar.lastVrsnTs", "1.5.3.1721:58:29");
      Supprimée : user_pref("extensions.BabylonToolbar.mntrFFxVrsn", "3.6");
      Supprimée : user_pref("extensions.BabylonToolbar.newTab", true);
      Supprimée : user_pref("extensions.BabylonToolbar.newTabUrl", "hxxp://search.babylon.com/?babsrc=NT_bb");
      Supprimée : user_pref("extensions.BabylonToolbar.noFFXTlbr", false);
      Supprimée : user_pref("extensions.BabylonToolbar.prdct", "BabylonToolbar");
      Supprimée : user_pref("extensions.BabylonToolbar.propectorlck", 92637067);
      Supprimée : user_pref("extensions.BabylonToolbar.prtkDS", 0);
      Supprimée : user_pref("extensions.BabylonToolbar.prtkHmpg", 0);
      Supprimée : user_pref("extensions.BabylonToolbar.prtnrId", "babylon");
      Supprimée : user_pref("extensions.BabylonToolbar.ptch_0717", true);
      Supprimée : user_pref("extensions.BabylonToolbar.smplGrp", "azb");
      Supprimée : user_pref("extensions.BabylonToolbar.srcExt", "ss");
      Supprimée : user_pref("extensions.BabylonToolbar.tlbrId", "tb9");
      Supprimée : user_pref("extensions.BabylonToolbar.vrsn", "1.5.3.17");
      Supprimée : user_pref("extensions.BabylonToolbar.vrsnTs", "1.5.3.1721:58:29");
      Supprimée : user_pref("extensions.BabylonToolbar.vrsni", "1.5.3.17");
      Supprimée : user_pref("extensions.BabylonToolbar_i.aflt", "babsst");
      Supprimée : user_pref("extensions.BabylonToolbar_i.babExt", "");
      Supprimée : user_pref("extensions.BabylonToolbar_i.babTrack", "affID=100482");
      Supprimée : user_pref("extensions.BabylonToolbar_i.hardId", "ca9c33e1000000000000904ce58f0ef6");
      Supprimée : user_pref("extensions.BabylonToolbar_i.id", "ca9c33e1000000000000904ce58f0ef6");
      Supprimée : user_pref("extensions.BabylonToolbar_i.instlDay", "15341");
      Supprimée : user_pref("extensions.BabylonToolbar_i.instlRef", "sst");
      Supprimée : user_pref("extensions.BabylonToolbar_i.newTab", false);
      Supprimée : user_pref("extensions.BabylonToolbar_i.prdct", "BabylonToolbar");
      Supprimée : user_pref("extensions.BabylonToolbar_i.prtnrId", "babylon");
      Supprimée : user_pref("extensions.BabylonToolbar_i.smplGrp", "none");
      Supprimée : user_pref("extensions.BabylonToolbar_i.srcExt", "ss");
      Supprimée : user_pref("extensions.BabylonToolbar_i.tlbrId", "tb9");
      Supprimée : user_pref("extensions.BabylonToolbar_i.vrsn", "1.5.3.17");
      Supprimée : user_pref("extensions.BabylonToolbar_i.vrsnTs", "1.5.3.1721:58:29");
      Supprimée : user_pref("extensions.BabylonToolbar_i.vrsni", "1.5.3.17");
      Supprimée : user_pref("smartbar.machineId", "FS7AFZFNQSK6W6TTS4PUZONNYKHQTFL9SK6XC3MSEPTNULPPRUMW7KCVOY9ZZQ7QKZQ[...]

      *************************

      AdwCleaner[S1].txt - [11506 octets] - [23/01/2013 05:58:34]

      ########## EOF - C:\AdwCleaner[S1].txt - [11567 octets] ##########

      1. Malekal_morte- Modérateur
        Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections :

        Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/

        * Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
        (Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

        Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

        * Lance OTL
        * En haut à droite de Analyse rapide, coche "tous les utilisateurs"
        * Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :

        netsvcs
        msconfig
        safebootminimal
        safebootnetwork
        activex
        drivers32
        %ALLUSERSPROFILE%\Application Data\*.
        %ALLUSERSPROFILE%\Application Data\*.exe /s
        %APPDATA%\*.
        %APPDATA%\*.exe /s
        %temp%\.exe /s
        %SYSTEMDRIVE%\*.exe
        %systemroot%\*. /mp /s
        %systemroot%\system32\consrv.dll
        %systemroot%\system32\*.dll /lockedfiles
        %systemroot%\Tasks\*.job /lockedfiles
        %systemroot%\system32\drivers\*.sys /lockedfiles
        %systemroot%\System32\config\*.sav
        /md5start
        explorer.exe
        winlogon.exe
        wininit.exe
        /md5stop
        HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
        HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
        HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
        HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
        CREATERESTOREPOINT
        nslookup www.google.fr /c
        SAVEMBR:0
        hklm\software\clients\startmenuinternet|command /rs
        hklm\software\clients\startmenuinternet|command /64 /rs

        * Clique sur le bouton Analyse.

        NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT
        * Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent), donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message.
        NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT
        1. Pierrecastor Auteur Modérateur
          Bon, je viens de faire deux tentatives, au moment ou OTL crée un point de restauration, plaf, BSOD dans la face avec un message du genre : PAGE_FAULT_IN_NONPAGED_AREA

          Approximativement, l'écran passe trop vite pour noter exactement.

          l'antivirus (MS security essential) se réveil aussi pour me dire qu'il y à un trojan : rootkit:Alureon->Mbr::Alureon

          Je le laisse nettoyer ou j'attends la suite ?
      2. Malekal_morte- Modérateur
        Passe un coup de TDSSKiller : https://forum.malekal.com/viewtopic.php?t=28637&start=
        Lire ce qui est écrit au niveau des suppressions/réparation (delete et cure), ne pas supprimer n'importe quoi.
        Poste le rapport ici.

        1. Pierrecastor Auteur Modérateur
          Ca m'a détecter un rootkit, j'ai fait cure (pas de supress proposer), redémarrer comme demander et voila le rapport au redémarrage :

          09:04:17.0611 2436 TDSS rootkit removing tool 2.8.15.0 Oct 31 2012 21:47:35
          09:04:17.0813 2436 ============================================================
          09:04:17.0813 2436 Current date / time: 2013/01/23 09:04:17.0813
          09:04:17.0813 2436 SystemInfo:
          09:04:17.0813 2436
          09:04:17.0813 2436 OS Version: 6.1.7600 ServicePack: 0.0
          09:04:17.0813 2436 Product type: Workstation
          09:04:17.0813 2436 ComputerName: FLORIANE-PCPORT
          09:04:17.0813 2436 UserName: Floriane
          09:04:17.0813 2436 Windows directory: C:\Windows
          09:04:17.0813 2436 System windows directory: C:\Windows
          09:04:17.0813 2436 Running under WOW64
          09:04:17.0813 2436 Processor architecture: Intel x64
          09:04:17.0813 2436 Number of processors: 2
          09:04:17.0813 2436 Page size: 0x1000
          09:04:17.0813 2436 Boot type: Normal boot
          09:04:17.0813 2436 ============================================================
          09:04:22.0291 2436 BG loaded
          09:04:23.0710 2436 Drive \Device\Harddisk0\DR0 - Size: 0x7470C06000 (465.76 Gb), SectorSize: 0x200, Cylinders: 0xED81, SectorsPerTrack: 0x3F, TracksPerCylinder: 0xFF, Type 'K0', Flags 0x00000040
          09:04:23.0726 2436 ============================================================
          09:04:23.0726 2436 \Device\Harddisk0\DR0:
          09:04:23.0726 2436 MBR partitions:
          09:04:23.0726 2436 \Device\Harddisk0\DR0\Partition1: MBR, Type 0x7, StartLBA 0x800, BlocksNum 0x63800
          09:04:23.0726 2436 \Device\Harddisk0\DR0\Partition2: MBR, Type 0x7, StartLBA 0x64000, BlocksNum 0x389B8000
          09:04:23.0726 2436 \Device\Harddisk0\DR0\Partition3: MBR, Type 0x7, StartLBA 0x38A1C000, BlocksNum 0x1969800
          09:04:23.0726 2436 ============================================================
          09:04:24.0116 2436 C: <-> \Device\Harddisk0\DR0\Partition2
          09:04:29.0217 2436 D: <-> \Device\Harddisk0\DR0\Partition3
          09:04:29.0217 2436 ============================================================
          09:04:29.0217 2436 Initialize success
          09:04:29.0217 2436 ============================================================
      4. Malekal_morte- Modérateur
        OK retour à OTL :)
        1. Pierrecastor Auteur Modérateur
          Ca scan, encore merci pour l'aide. :-)
      6. Malekal_morte- Modérateur
        Paye ton pack pourri \o

        Par curiosité, tu peux aller voir ce fichier : C:\Users\Floriane\AppData\Roaming\5iwjoq8.bat
        Clic droit / modifier et tu colles le contenu ici.
        Si c'est trop long, utilise pjjoint.

        ~~

        Relance OTL.
        o sous Persfonnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
        Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:

        :OTL
        O4 - HKLM..\Run: [0cleog4] C:\Users\Floriane\AppData\Roaming\v8uivv8.exe (TeamViewer GmbH)
        SRV - [2012/10/03 18:08:11 | 000,000,092 | -H-- | M] () [Auto | Stopped] -- C:\Users\Floriane\AppData\Roaming\5iwjoq8.bat -- (v8uivv8)
        [2012/12/28 11:08:19 | 000,090,176 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\12a8lqc.dat
        [2012/12/13 18:35:55 | 000,001,304 | -HS- | C] () -- C:\Users\Floriane\AppData\Local\1pb78m8n6he1l1565b3k36w7o7of8ksb88y53s63tpqg0vl
        [2012/12/13 18:35:55 | 000,001,304 | -HS- | C] () -- C:\ProgramData\1pb78m8n6he1l1565b3k36w7o7of8ksb88y53s63tpqg0vl
        [2012/11/20 08:19:10 | 000,090,176 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\123ckus.dat
        [2012/11/08 09:43:03 | 000,060,992 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\mjks588.dat
        [2012/11/04 10:51:06 | 000,090,176 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\gmznnbb.dat
        [2012/10/11 20:57:51 | 000,090,176 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\gmzdanb.dat
        [2012/10/11 20:57:49 | 000,086,080 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\asfebji.dat
        [2012/10/11 20:57:47 | 000,060,992 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\ekseldi.dat
        [2012/10/03 18:08:11 | 000,000,092 | -H-- | C] () -- C:\Users\Floriane\AppData\Roaming\5iwjoq8.bat
        [2012/10/03 18:08:09 | 000,090,176 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\lj1y6nb.dat
        [2012/10/03 18:08:07 | 000,086,080 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\aftr4sb.dat
        [2012/10/03 18:08:06 | 000,060,992 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\slr8k5s.dat

        * redemarre le pc sous windows et poste le rapport ici

        1. Malekal_morte- Modérateur
          PS : tu fesseras la proprio de la machine de ma part, semble pas y avoir d'antivirus installé.
        2. Pierrecastor Auteur Modérateur
          Voilz deja le .bat, je fait la suite :

          @echo off
          set path=C:\Users\Floriane\AppData\Roaming\
          set exe="%path%"v8uivv8.exe
          %exe%
      7. Pierrecastor Auteur Modérateur
        Ca ne m'a pas demander de redémarage, voila le rapport :

        ========== OTL ==========
        Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\0cleog4 deleted successfully.
        C:\Users\Floriane\AppData\Roaming\v8uivv8.exe moved successfully.
        Service v8uivv8 stopped successfully!
        Service v8uivv8 deleted successfully!
        C:\Users\Floriane\AppData\Roaming\5iwjoq8.bat moved successfully.
        C:\Users\Floriane\AppData\Roaming\12a8lqc.dat moved successfully.
        C:\Users\Floriane\AppData\Local\1pb78m8n6he1l1565b3k36w7o7of8ksb88y53s63tpqg0vl moved successfully.
        C:\ProgramData\1pb78m8n6he1l1565b3k36w7o7of8ksb88y53s63tpqg0vl moved successfully.
        C:\Users\Floriane\AppData\Roaming\123ckus.dat moved successfully.
        C:\Users\Floriane\AppData\Roaming\mjks588.dat moved successfully.
        C:\Users\Floriane\AppData\Roaming\gmznnbb.dat moved successfully.
        C:\Users\Floriane\AppData\Roaming\gmzdanb.dat moved successfully.
        C:\Users\Floriane\AppData\Roaming\asfebji.dat moved successfully.
        C:\Users\Floriane\AppData\Roaming\ekseldi.dat moved successfully.
        File C:\Users\Floriane\AppData\Roaming\5iwjoq8.bat not found.
        C:\Users\Floriane\AppData\Roaming\lj1y6nb.dat moved successfully.
        C:\Users\Floriane\AppData\Roaming\aftr4sb.dat moved successfully.
        C:\Users\Floriane\AppData\Roaming\slr8k5s.dat moved successfully.

        OTL by OldTimer - Version 3.2.69.0 log created on 01232013_100329

        1. Malekal_morte- Modérateur
          tu peux envoyer v8uivv8.exe sur http://upload.malekal.com
          il doit être dans C:\OTL\MoveIT\C\Users\Floriane\AppData\Roaming\v8uivv8.exe
          (quelques choses comme ça).

          ~~

          Ca doit être bon.

          Installe Malwarebyte et fais un scan avec : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
          Fais le seulement si tu es parvenu à envoyer le fichier.
          1. Pierrecastor Auteur Modérateur
            bon, ben ça charge, 200Mo en upload, je patiente. :-)
          2. Malekal_morte- Modérateur
            L'exe fait 200Mo ?!
            Ca passera pas :)
          3. Pierrecastor Auteur Modérateur
            je peut essayer de te l'envoyer par un autre moyen, mais ça galere aussi.

            Y'a pas de risque tant que je lance pas l'exe ?
        2. Malekal_morte- Modérateur
          Y'a pas de risque tant que je lance pas l'exe ?

          yep.

          Bha je voulais voir ce que c'était comme malware, le coup du bat, c'est original.
          Si tu zips, ça reste gros ?
          Sinon par mediafire.
          1. Pierrecastor Auteur Modérateur
            Je suis en train de l'up sur mon site, dans 15/30 minutes, ça devrait le faire, et ensuite je lance le scan.
          2. Pierrecastor Auteur Modérateur
            Voila la bête :

            http://infofacile.org/v8uivv8.exe
          3. Pierrecastor Auteur Modérateur
            Prévient quand t'a fini de le DL que je dégage ce truc de mon site. :-)
          5. Pierrecastor Auteur Modérateur
            Rhaaa, mais pourquoi j'ai même pas essayer de le zipper. ;-)

            Bon, le scan à trouver un truc (sans doute l'exe de 200 Ko), mais le programme s'est fermer tout seul comme un sagouin avant d'avoir fini (pas de log ou de rapport).

            Vu que le pote qui m'a amené le PC doit partir, je vais pas relancer un scan qui prend trois plombe, il finira la désinfection tout seul comme un grand. ;-)

            Donc les prochains messages viendront sans doute d'un pseudo non enregistré, mais c'est bien le même PC.

            Je suivrait tout ça bien au chaud de chez moi.

            En tout cas, on voie le bout, encore merci de ton aide.
        4. Pierrecastor Auteur Modérateur
          Bonjour. Je suis l'ami de Pierrecastor (je sui stoujours connecté à son compte, donc j'en profite pour écrire directement!).

          J'ai lancé le scan avec Malwarebytes, et après 2h, j'ai reçu ce rapport:

          Malwarebytes Anti-Malware 1.70.0.1100
          www.malwarebytes.org

          Version de la base de données: v2013.01.23.08

          Windows 7 x64 NTFS
          Internet Explorer 8.0.7600.16385
          Floriane :: FLORIANE-PCPORT [administrateur]

          24/01/2013 08:42:31
          mbam-log-2013-01-24 (08-42-31).txt

          Type d'examen: Examen complet (C:\|)
          Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
          Options d'examen désactivées: P2P
          Elément(s) analysé(s): 546299
          Temps écoulé: 1 heure(s), 57 minute(s), 38 seconde(s)

          Processus mémoire détecté(s): 0
          (Aucun élément nuisible détecté)

          Module(s) mémoire détecté(s): 0
          (Aucun élément nuisible détecté)

          Clé(s) du Registre détectée(s): 0
          (Aucun élément nuisible détecté)

          Valeur(s) du Registre détectée(s): 0
          (Aucun élément nuisible détecté)

          Elément(s) de données du Registre détecté(s): 0
          (Aucun élément nuisible détecté)

          Dossier(s) détecté(s): 0
          (Aucun élément nuisible détecté)

          Fichier(s) détecté(s): 0
          (Aucun élément nuisible détecté)

          (fin)

          normalement, si j'ai bien compris, tout devrait être clean, mais je préfère avoir votre avis, et savoir, si il faut faire quelque chose d'autre derrière!

          Encore merci pour tout.
          1. Pierrecastor Auteur Modérateur
            Rhoo, hé l'autre, y me vole mon compte. ;-)

            Bon, faut croire que Malwarebytes Anti-Malware à du virer le malware lors du premier scan qui s'est planter en cour de route, mais on va attendre l'avis de Malekal pour en être sur.

            Pierrecastor, le seul, le vrai. ;-)