Virus sur disque dur

bonsoir,

* [*] Télécharger et enregistre RogueKiller sur le bureau
https://www.luanagames.com/index.fr.html (by tigzy)
[*] Quitter tous les programmes
[*] Lancer RogueKiller.exe.
[*] Attendre que le Prescan ait fini ...
[*] Cliquer sur Scan. Cliquer sur Rapport et copier coller le contenu du notepad

Note : Si RogueKiller ne se lance pas, change son nom en Winlogon.

Tuto :
http://tigzyrk.blogspot.fr/2012/10/fr-roguekiller-tutoriel-officiel.html

Bonsoir,

Merci pour ton aide.

Alors voilà:

RogueKiller V8.5.0 [Feb 9 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : https://www.luanagames.com/index.fr.html
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur : Anne-Gaëlle [Droits d'admin]
Mode : Recherche -- Date : 09/02/2013 22:28:08
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 3 ¤¤¤
[RUN][SUSP PATH] HKLM\[...]\Run : PPort11reminder ("C:\Program Files\ScanSoft\PaperPort\Ereg\Ereg.exe" -r "C:\ProgramData\ScanSoft\PaperPort\11\Config\Ereg\Ereg.ini") -> TROUVÉ
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> TROUVÉ
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤
SSDT[75] : NtCreateSection @ 0x82C3EE35 -> HOOKED (Unknown @ 0x8DA39736)
SSDT[276] : NtRequestWaitReplyPort @ 0x82C50FE0 -> HOOKED (Unknown @ 0x8DA39740)
SSDT[289] : NtSetContextThread @ 0x82CA010B -> HOOKED (Unknown @ 0x8DA3973B)
SSDT[314] : NtSetSecurityObject @ 0x82BCD03C -> HOOKED (Unknown @ 0x8DA39745)
SSDT[332] : NtSystemDebugControl @ 0x82C05EF1 -> HOOKED (Unknown @ 0x8DA3974A)
SSDT[334] : NtTerminateProcess @ 0x82BFE173 -> HOOKED (Unknown @ 0x8DA396D7)
S_SSDT[573] : NtUserSetWindowsHookEx -> HOOKED (Unknown @ 0x8DA3975E)
S_SSDT[576] : NtUserSetWinEventHook -> HOOKED (Unknown @ 0x8DA39763)

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

127.0.0.1 localhost
::1 localhost

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: WDC WD3200BEVT-60ZCT1 ATA Device +++++
--- User ---
[MBR] 0fe3f1ce9a6c384bfca63fe8afa2bbad
[BSP] a42e8987c742f1b760c6835e3f84a893 : Toshiba tatooed MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 294568 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 603277312 | Size: 10673 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: ST950032 5AS USB Device +++++
--- User ---
[MBR] f01fb6606e5f197d7e239aa65299bec4
[BSP] 107dea9252f211275ae8481c8824d09f : Windows XP MBR Code
Partition table:
0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 476937 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[1]_S_09022013_222808.txt >>
RKreport[1]_S_09022013_222808.txt

tu as 2 passages à faire avec Rogeukiller !

relance Rogurkiller :

[*] Cliquer sur Supprimer Cliquer sur Rapport et copier coller le contenu du notepad

[*] Cliquer sur Racc. RAZ. Cliquer sur Rapport et copier coller le contenu du notepad

1/SUPPR:

RogueKiller V8.5.0 [Feb 9 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : https://www.luanagames.com/index.fr.html
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur : Anne-Gaëlle [Droits d'admin]
Mode : Suppression -- Date : 09/02/2013 22:48:11
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 3 ¤¤¤
[RUN][SUSP PATH] HKLM\[...]\Run : PPort11reminder ("C:\Program Files\ScanSoft\PaperPort\Ereg\Ereg.exe" -r "C:\ProgramData\ScanSoft\PaperPort\11\Config\Ereg\Ereg.ini") -> SUPPRIMÉ
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0)
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤
SSDT[75] : NtCreateSection @ 0x82C3EE35 -> HOOKED (Unknown @ 0x8DA39736)
SSDT[276] : NtRequestWaitReplyPort @ 0x82C50FE0 -> HOOKED (Unknown @ 0x8DA39740)
SSDT[289] : NtSetContextThread @ 0x82CA010B -> HOOKED (Unknown @ 0x8DA3973B)
SSDT[314] : NtSetSecurityObject @ 0x82BCD03C -> HOOKED (Unknown @ 0x8DA39745)
SSDT[332] : NtSystemDebugControl @ 0x82C05EF1 -> HOOKED (Unknown @ 0x8DA3974A)
SSDT[334] : NtTerminateProcess @ 0x82BFE173 -> HOOKED (Unknown @ 0x8DA396D7)
S_SSDT[573] : NtUserSetWindowsHookEx -> HOOKED (Unknown @ 0x8DA3975E)
S_SSDT[576] : NtUserSetWinEventHook -> HOOKED (Unknown @ 0x8DA39763)

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

127.0.0.1 localhost
::1 localhost

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: WDC WD3200BEVT-60ZCT1 ATA Device +++++
--- User ---
[MBR] 0fe3f1ce9a6c384bfca63fe8afa2bbad
[BSP] a42e8987c742f1b760c6835e3f84a893 : Toshiba tatooed MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 294568 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 603277312 | Size: 10673 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: ST950032 5AS USB Device +++++
--- User ---
[MBR] f01fb6606e5f197d7e239aa65299bec4
[BSP] 107dea9252f211275ae8481c8824d09f : Windows XP MBR Code
Partition table:
0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 476937 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[1]_D_09022013_224811.txt >>
RKreport[1]_D_09022013_224811.txt

...ET LA IL EST EN TRAIN DE RAMER SUR LA 2EME PARTIE, J'ENTENDS COUINER LE DISQ DUR...JE LE LAISSE BOSSER...

ET VOILA LA 2EME PARTIE:

RogueKiller V8.5.0 [Feb 9 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : https://www.luanagames.com/index.fr.html
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur : Anne-Gaëlle [Droits d'admin]
Mode : Raccourcis RAZ -- Date : 09/02/2013 23:13:13
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

¤¤¤ Attributs de fichiers restaures: ¤¤¤
Bureau: Success 7 / Fail 0
Lancement rapide: Success 0 / Fail 0
Programmes: Success 406 / Fail 0
Menu demarrer: Success 1 / Fail 0
Dossier utilisateur: Success 153 / Fail 0
Mes documents: Success 34 / Fail 34
Mes favoris: Success 0 / Fail 0
Mes images: Success 55 / Fail 0
Ma musique: Success 0 / Fail 0
Mes videos: Success 0 / Fail 0
Disques locaux: Success 3164 / Fail 0
Sauvegarde: [NOT FOUND]

Lecteurs:
[C:] \Device\HarddiskVolume1 -- 0x3 --> Restored
[D:] \Device\HarddiskVolume2 -- 0x3 --> Restored
[E:] \Device\CdRom0 -- 0x5 --> Skipped
[F:] \Device\CdRom1 -- 0x5 --> Skipped
[G:] \Device\CdRom2 -- 0x5 --> Skipped
[H:] \Device\HarddiskVolume3 -- 0x3 --> Restored

Termine : << RKreport[2]_SC_09022013_231313.txt >>
RKreport[1]_D_09022013_224811.txt ; RKreport[2]_SC_09022013_231313.txt

ok,

est ce que tu arrives à voir les fichiers cachés par l'infections ?

tu peux me donner quelque noms de ces fichiers bizzares et leurs chemins d'accès ?

* Télécharge ZHPDiag sur ton bureau :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou
http://www.premiumorange.com/zeb-help-process/zhpdiag.html

* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.

/!\Utilisateur de Vista, Seven et W8 :

* Clique droit sur le logo de ZHPdiag (l'icône est sous forme de parchemin), « exécuter en tant qu'Administrateur »

* Clique sur le tourne vis, sélectionne tous les modules.

* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur Cjoint, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :

https://www.cjoint.com/ => https://www.commentcamarche.net/faq/29493-utiliser-cjoint-pour-heberger-des-fichiers

Bonjour,

Excuse moi de ne pas avoir répondu hier soir...tombée de fatigue
Les fichiers en transparence sur le bureau sont les suivants:
Maxkdesk.ini2 (C:\Users\Anne-Gaëlle\Desktop)

ah je viens de décocher caché il n'est plus en transparence

PP11Thumbs.ptn2
PP11Thumbs.ptn

mais les 2 derniers n'étaient déjà plus en transparence

Et dans mon disque dur, toujours $RECYCLEBIN en bleu
autorun.inf
et Recycler

Ah et maintenant quand j'ouvre le disque dur avira me dit qu'il bloque autorun.exe

Je m'occupe tout de suite de ZHPDiag

Merci encore, je te poste le rapport dès que c'est fini

Voilà:
https://www.cjoint.com/?CBklpzV8XXa

installe la dernière version d'Adobe reader et java depuis leurs sites dédiés !

attention à l'installation des barres d'outils !

* Lance ZHPFix via le raccourci sur ton Bureau (icone sous forme de seringue)

/!\Utilisateur de Vista, Seven et W8 :

* Clique droit sur le logo de ZHPfix, « exécuter en tant qu'Administrateur »

* * Copie ( Ctrl + C ) et colle ( Ctrl + V ) les lignes suivantes en gras dans Zhpfix :
---------------------------------------------------------

[HKCU\Software\AppDataLow\Software\blekkotb_031]
O43 - CFD: 01/09/2012 - 18:32:08 - [34,928] ----D C:\Users\Anne-Gaëlle\AppData\Local\blekkotb_031
O69 - SBI: SearchScopes [HKCU] {E08A9998-D98F-476f-8F5C-37C80FE0A4DA} - (Jeux.fr) - http://search.conduit.com
[HKLM\Software\Classes\CLSID\{3C471948-F874-49F5-B338-4F214A2EE0B1}]
[HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{E08A9998-D98F-476f-8F5C-37C80FE0A4DA}]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{f78e6501-b9de-48b9-b86c-6da8542ccc4e}]
[HKCU\Software\AppDataLow\Software\blekkotb_031]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\29799DE249E7DBC459FC6C8F07EB8375]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\0238BBE24EA3A70408B81E4BB89C15E5]
C:\Users\Anne-Gaëlle\AppData\Local\blekkotb_031
R0 - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://search.rpidity.com
R0 - HKCU\SOFTWARE\Classes\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.rpidity.com
R1 - HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs = http://search.rpidity.com
O42 - Logiciel: Whitesmoke - (.Secure Digital Services.) [HKLM] -- {18BEEA50-526B-486A-A66A-BF0AB729E4CD}
[HKLM\Software\Trymedia Systems]
O69 - SBI: SearchScopes [HKCU] {8d3f2882-5b4c-4af1-9ab1-c9d00235e15e} - (Searcheo) - http://www.searcheo.fr
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{18BEEA50-526B-486A-A66A-BF0AB729E4CD}]
[HKLM\Software\Trymedia Systems]
[HKLM\Software\Classes\Prod.cap]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{02478D38-C3F9-4EFB-9B51-7695ECA05670}]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{02478D38-C3F9-4EFB-9B51-7695ECA05670}]
O90 - PUC: "05AEEB81B625A6846AA6FBA07B924EDC" . (.Whitesmoke.) -- C:\Windows\Installer\{18BEEA50-526B-486A-A66A-BF0AB729E4CD}\ARPPRODUCTICON.exe
[HKCU\Software\AVAST Software]
[HKLM\Software\AVAST Software]
O42 - Logiciel: Norton Internet Security - (.Symantec Corporation.) [HKLM] -- {7B15D70E-9449-4CFB-B9BC-798465B2BD5C}
O43 - CFD: 10/03/2011 - 17:03:49 - [0] ----D C:\Program Files\AVAST Software
O43 - CFD: 06/12/2011 - 09:44:15 - [0] ----D C:\ProgramData\AVAST Software
O43 - CFD: 10/01/2012 - 08:57:47 - [0,002] ----D C:\ProgramData\AVG2012
O43 - CFD: 09/02/2013 - 21:34:26 - [2,598] ----D C:\Program Files\Spybot - Search & Destroy
O43 - CFD: 09/02/2013 - 21:34:26 - [0,091] ----D C:\ProgramData\Spybot - Search & Destroy
P2 - FPN: [HKLM] [@pandonetworks.com/PandoWebPlugin] - (...) -- C:\Program Files\Pando Networks\Media Booster\npPandoWebPlugin.dll (.not file.)
Emptytemp
EmptyClsid

----------------------------------------------------------
* Clique sur l'icone représentant le presse-papier (L'icone entre l'appareil photo et le parchemin, en haut à droite de la page d'outil)

- Clique sur le bouton « GO » pour lancer le nettoyage,
- confirme le nettoyage
- Copie/colle la totalité du rapport dans ta prochaine réponse
Tuto :

http://www.premiumorange.com/zeb-help-process/zhpfix.html

Voilà le rapport:

Rapport de ZHPFix 1.3.14 par Nicolas Coolman, Update du 05/02/2013
Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-10-02-2013-18-20-13.txt
Run by Anne-Gaëlle at 10/02/2013 18:20:13
Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)

========== Logiciel(s) ==========
SUPPRIME Whitesmoke
SUPPRIME Norton Internet Security

========== Clé(s) du Registre ==========
SUPPRIME [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{18BEEA50-526B-486A-A66A-BF0AB729E4CD}]
SUPPRIME Key: HKCU\Software\AppDataLow\Software\blekkotb_031
SUPPRIME Key: SearchScopes :{E08A9998-D98F-476f-8F5C-37C80FE0A4DA}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{3C471948-F874-49F5-B338-4F214A2EE0B1}
ABSENT Key: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{E08A9998-D98F-476f-8F5C-37C80FE0A4DA}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{f78e6501-b9de-48b9-b86c-6da8542ccc4e}
ABSENT Key: HKCU\Software\AppDataLow\Software\blekkotb_031
SUPPRIME Key: HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\29799DE249E7DBC459FC6C8F07EB8375
SUPPRIME Key: HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\0238BBE24EA3A70408B81E4BB89C15E5
SUPPRIME Key: HKLM\Software\Trymedia Systems
SUPPRIME Key: SearchScopes :{8d3f2882-5b4c-4af1-9ab1-c9d00235e15e}
ABSENT Key: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{18BEEA50-526B-486A-A66A-BF0AB729E4CD}
SUPPRIME Key: HKLM\Software\Classes\Prod.cap
SUPPRIME Key: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{02478D38-C3F9-4EFB-9B51-7695ECA05670}
SUPPRIME Key: HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{02478D38-C3F9-4EFB-9B51-7695ECA05670}
SUPPRIME Key: \Software\Classes\Installer\Products\\05AEEB81B625A6846AA6FBA07B924EDC
SUPPRIME Key: \Software\Classes\Installer\Features\05AEEB81B625A6846AA6FBA07B924EDC
SUPPRIME Key: HKCU\Software\AVAST Software
SUPPRIME Key: HKLM\Software\AVAST Software
SUPPRIME Key: Mozilla Plugin: @pandonetworks.com/PandoWebPlugin

passe l'un de ces fichiers sur le site de virus total pour voir ce que c'est !

* Rends-toi sur cette page :
https://www.virustotal.com/gui/
* Clique sur "Choose File"
* Vas sur ton disque chercher les fichiers bizzares un par un à passer sur le site

un rapport va s'élaborer ligne à ligne
attends un peu, il doit comprendre la taille du fichier envoyé
une fois le rapport complet, copie et colle le lien du rapport sur ton prochain message.

Le problème c'est qu'ils sont cochés caches
Quand j'ouvre le disque dur je les vois mais pas par l'explorer.

Quand je veux les decocher cachés, messages d'erreur, me dit que je n'ai pas les droits

les fichier autorun.inf ne sont que des fichiers d'execution automatiques des supports externes que tu branches sur ton pc !

pour recycler.bin, c'est la corbeille du lecteur H :

fais un passage avec MBAM, puis on va essayer de les virer !

* /!\ Utilisateur de Vista : Ne pas oublier de désactiver l'UAC juste le temps de désinfection de ton pc, il sera à réactiver plus tard :

Télécharge Malwarebytes' Anti-Malware et enregistre le sur ton bureau:

https://fr.malwarebytes.com/mwb-download/
ou :

https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

/!\Utilisateur de Vista, Windows 7 et W8 : Clique droit sur le logo de Malwarebytes' Anti-Malware, « exécuter en tant qu'Administrateur »

. Double cliques sur le fichier téléchargé pour lancer le processus d'installation.
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes
. Une fois la mise à jour terminé
. rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre.
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, cliques sur Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
. rends toi dans l'onglet rapport/log
. tu cliques dessus pour l'afficher une fois affiché
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. Tu cliques droit dans le cadre de la réponse et coller
. À la fin du scan, il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!

Si tu as besoin d'aide regarde ce tutoriel :
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/