Au secours, j'ai un virus! Que faire avec mon fichier OTL? Fermé

Question

Bonjour, 

Voilà, je pense avoir un virus sur mon pc car Avast n'arrête pas de me dire qu'une menace a été détectée mais genre toutes les minutes. 
J'ai télécharger Adw Cleaner, j'ai mon rapport. Puis j'ai installé OTL, j'ai fait un scan et j'ai eu également un rapport que j'ai envoyé sur pjjoint. De là, quelqu'un pourrait-il m'aider svp?

Merci beaucoup d'avance!!!

gene813 · Answer

Bjr,

Le mieux est de planifier un scan par Avast, il le fera avant de démarrer Windows et pourra ainsi éradiquer le virus.

(avast ==> Lancer un scan ==> scan au démarrage)

Sil trouve, il vous demandera l'action à effectuer, perso je prends toujours le chiffre 2.

Pim'sVet · Answer

Merci! Je vais tester ;)

lilidurhone · Answer

Hello

Le mieux serait de poster le lien de ton rapport non?
Afin qu'un contributeur sécurité puisse le voir 
Après ce n'est que mon avis 


Bonne journée

Pim'sVet · Answer

https://pjjoint.malekal.com/files.php?id=20130220_w11b11f9u10k11

Hé bien voilà le lien.
Si quelqu'un peut m'aider, ce serait super trop de la balle du top!

¡El Desaparecido! · Answer

Hello ,

 # Télécharge RogueKiller par Tigzy.

# Ferme toutes tes applications en cours
# Lance RogueKiller.exe
# Si l'infection bloque le programme, il faut le relancer plusieurs fois ou le renommer en winlogon.exe
# Laisse le prescan se terminer, clique sur Scan 
# Clique sur Rapport pour l'ouvrir puis copie/colle le dans ton prochain message

Pim'sVet · Answer

Ok je fais ça de suite! merci bcp ;)

¡El Desaparecido! · Answer

Relance RogueKiller.exe

? Clique sur Suppression 
? Clique sur Rapport pour l'ouvrir puis copie/colle le sur le dans ton prochain message.

Pim'sVet · Answer

Voilà, voilà RogueKiller V8.5.1 [Feb 19 2013] par Tigzy mail : tigzyRKgmailcom Remontees : https://www.luanagames.com/index.fr.html Site Web : https://www.luanagames.com/index.fr.html Blog : http://tigzyrk.blogspot.com/ Systeme d'exploitation : Windows Vista (6.0.6002 Service Pack 2) 64 bits version Demarrage : Mode normal Utilisateur : Stéphanie [Droits d'admin] Mode : Suppression -- Date : 20/02/2013 14:48:56 | ARK || FAK || MBR | ¤¤¤ Processus malicieux : 1 ¤¤¤ [Microsoft][HJNAME] notepad.exe -- C:\Windows\SysWOW64\notepad.exe [7] -> TUÉ [TermProc] ¤¤¤ Entrees de registre : 3 ¤¤¤ [HJ DESK] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0) [HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0) [HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0) ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ [ZeroAccess][FILE] @ : C:\Windows\Installer\{c354ce65-6374-3b38-3bce-b77226b9226e}\@ [-] --> SUPPRIMÉ AU REBOOT [Del.Parent][FILE] 00000008.@ : C:\Windows\Installer\{c354ce65-6374-3b38-3bce-b77226b9226e}\U\00000008.@ [-] --> SUPPRIMÉ [ZeroAccess][FOLDER] ROOT : C:\Windows\Installer\{c354ce65-6374-3b38-3bce-b77226b9226e}\U --> SUPPRIMÉ [Del.Parent][FILE] 00000004.@ : C:\Windows\Installer\{c354ce65-6374-3b38-3bce-b77226b9226e}\L\00000004.@ [-] --> SUPPRIMÉ [Del.Parent][FILE] 201d3dde : C:\Windows\Installer\{c354ce65-6374-3b38-3bce-b77226b9226e}\L\201d3dde [-] --> SUPPRIMÉ [Del.Parent][FILE] 76603ac3 : C:\Windows\Installer\{c354ce65-6374-3b38-3bce-b77226b9226e}\L\76603ac3 [-] --> SUPPRIMÉ [ZeroAccess][FOLDER] ROOT : C:\Windows\Installer\{c354ce65-6374-3b38-3bce-b77226b9226e}\L --> SUPPRIMÉ [ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_32\Desktop.ini [-] --> SUPPRIMÉ AU REBOOT [ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_64\Desktop.ini [-] --> SUPPRIMÉ AU REBOOT [Susp.ASLR][FILE] services.exe : C:\Windows\system32\services.exe [-] --> REMPLACÉ AU REBOOT (C:\Windows\winsxs\amd64_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.0.6001.18000_none_2b7e5beb85a67240\services.exe) ¤¤¤ Driver : [NON CHARGE] ¤¤¤ ¤¤¤ Infection : ZeroAccess ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ --> C:\Windows\system32\drivers\etc\hosts 127.0.0.1 localhost ::1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: WDC WD10EADS-65L5B1 +++++ --- User --- [MBR] b4852d969683fb89273950cc71807dde [BSP] 3334498b9e5c51310fa968d8a7002f92 : HP tatooed MBR Code Partition table: 0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 940084 Mo 1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 1925293860 | Size: 13782 Mo User = LL1 ... OK! User = LL2 ... OK! +++++ PhysicalDrive1: BUFFALO HD-PCU2 USB Device +++++ --- User --- [MBR] f4819c1470a3bf8488f107cf5a10cba5 [BSP] da286d5100ef975d5ff99b00d5e85dc2 : MBR Code unknown Partition table: 0 - [XXXXXX] FAT32-LBA (0x0c) [VISIBLE] Offset (sectors): 64 | Size: 476937 Mo User = LL1 ... OK! Error reading LL2 MBR! Termine : << RKreport[3]_D_20022013_144856.txt >> RKreport[1]_S_20022013_143905.txt ; RKreport[2]_S_20022013_144714.txt ; RKreport[3]_D_20022013_144856.txt

¡El Desaparecido! · Answer

Redémarre le pc,

Refais un Scan avec Roguekiller et post le nouveau rapport stp

Pim'sVet · Answer

Voilà, par contre dès que le scan est fini j'ai cette page qui se lance. http://tigzyrk.blogspot.be/2011/09/rootkit-zeroaccess-max.html Peux tu me dire c'est quoi Zero Access stp? Merci en tout cas, c'est cool de ta part :) RogueKiller V8.5.1 [Feb 19 2013] par Tigzy mail : tigzyRKgmailcom Remontees : https://www.luanagames.com/index.fr.html Site Web : https://www.luanagames.com/index.fr.html Blog : http://tigzyrk.blogspot.com/ Systeme d'exploitation : Windows Vista (6.0.6002 Service Pack 2) 64 bits version Demarrage : Mode normal Utilisateur : Stéphanie [Droits d'admin] Mode : Recherche -- Date : 20/02/2013 16:07:39 | ARK || FAK || MBR | ¤¤¤ Processus malicieux : 0 ¤¤¤ ¤¤¤ Entrees de registre : 0 ¤¤¤ ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ [ZeroAccess][FOLDER] U : C:\Windows\Installer\{c354ce65-6374-3b38-3bce-b77226b9226e}\U --> TROUVÉ [ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_32\Desktop.ini [-] --> TROUVÉ [ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_64\Desktop.ini [-] --> TROUVÉ ¤¤¤ Driver : [NON CHARGE] ¤¤¤ ¤¤¤ Infection : ZeroAccess ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ --> C:\Windows\system32\drivers\etc\hosts 127.0.0.1 localhost ::1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: WDC WD10EADS-65L5B1 +++++ --- User --- [MBR] b4852d969683fb89273950cc71807dde [BSP] 3334498b9e5c51310fa968d8a7002f92 : HP tatooed MBR Code Partition table: 0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 940084 Mo 1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 1925293860 | Size: 13782 Mo User = LL1 ... OK! User = LL2 ... OK! +++++ PhysicalDrive1: BUFFALO HD-PCU2 USB Device +++++ --- User --- [MBR] f4819c1470a3bf8488f107cf5a10cba5 [BSP] da286d5100ef975d5ff99b00d5e85dc2 : MBR Code unknown Partition table: 0 - [XXXXXX] FAT32-LBA (0x0c) [VISIBLE] Offset (sectors): 64 | Size: 476937 Mo User = LL1 ... OK! Error reading LL2 MBR! +++++ PhysicalDrive2: Generic- Compact Flash USB Device +++++ Error reading User MBR! User = LL1 ... OK! Error reading LL2 MBR! +++++ PhysicalDrive3: Generic- SM/xD-Picture USB Device +++++ Error reading User MBR! User = LL1 ... OK! Error reading LL2 MBR! +++++ PhysicalDrive4: Generic- SD/MMC USB Device +++++ Error reading User MBR! User = LL1 ... OK! Error reading LL2 MBR! Termine : << RKreport[6]_S_20022013_160739.txt >> RKreport[1]_S_20022013_143905.txt ; RKreport[2]_S_20022013_144714.txt ; RKreport[3]_D_20022013_144856.txt ; RKreport[4]_S_20022013_150639.txt ; RKreport[5]_S_20022013_155625.txt ; RKreport[6]_S_20022013_160739.txt

¡El Desaparecido! · Answer

ZeroAcess c'est un rootkit  
 
La page http://tigzyrk.blogspot.be/2011/09/rootkit-zeroaccess-max.html qui s'ouvre te l'explique justement :)

* Télécharge Malwarebytes Anti Rootkit sur ton Bureau

* Décompresse le fichier mbar xxxxx.zip sur ton bureau (clic droit sur mbarxxx.zip et choisir decompresser ici) 
* Lance le en double-cliquant sur le fichier  mbar.exe.  (dans le repertoire mbar)
 Important: Sous Vista et Windows 7, il faut lancer le fichier par  clic-droit -> Exécuter en tant qu'administrateur

* Fenêtre suivante, clique sur "Next"

* Clique sur l'option de mise à jour "Update" 
* Patientez pendant la mise à jour, puis cliquez sur "Next"


* Si cela n'est pas déjà fait, sélectionne les 3 cases (drivers, Sectors, System).
* Afin de lancer la recherche, clic sur "Scan".


* Une fois le scan terminé, une fenêtre s'ouvre, clic sur OK. Deux possibilités s'offrent à toi :

* Si le programme n'a rien trouvé, clique sur Exit. 
   
* Si des infections sont présentes ton PC redemarrera plusieurs fois
* 2 Rapports sont générés et sont enregistrés dans le repertoire d'ou tu as lancé Mbar.exe en général le Bureau.

*poste les 2 rapports dans ta prochaine réponse en fichiers joints.

Pim'sVet · Answer

Merci pour ta réponse.

J'ai effectué le scan, le PC n'a pas redémarré mais le programme a bien trouvé des infections.

Voici les liens des deux rapports:

https://pjjoint.malekal.com/files.php?id=20130220_i9o12n13e14c10
https://pjjoint.malekal.com/files.php?id=20130220_n7g14h7q9j11

Je vais redémarrer le PC et relancer un scan.

¡El Desaparecido! · Answer

Hello Pim'vet,

 
# Télécharge AdwCleaner par Xplode sur ton bureau.
# Exécute AdwCleaner.exe.
# Clic sur Suppression, puis patiente le temps du scan.

# Une fois le scan fini, un rapport s'ouvrira. Poste son contenu dans ta prochaine réponse. 
# Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

Pim'sVet · Answer

Bonjour!
Voilà le rapport :)

# AdwCleaner v2.112 - Rapport créé le 21/02/2013 à 09:04:05
# Mis à jour le 10/02/2013 par Xplode
# Système d'exploitation : Windows (TM) Vista Home Premium Service Pack 2 (64 bits)
# Nom d'utilisateur : Stéphanie - GEORGES
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\Stéphanie\Tracing\Downloads\adwcleaner0.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Fichier Supprimé : C:\Program Files (x86)\Mozilla Firefox\searchplugins\babylon.xml
Fichier Supprimé : C:\Users\Stéphanie\AppData\Roaming\Mozilla\Firefox\Profiles\yqxy6b40.default\searchplugins\delta.xml
Supprimé au redémarrage : C:\Program Files (x86)\Conduit
Supprimé au redémarrage : C:\ProgramData\Ask
Supprimé au redémarrage : C:\ProgramData\Babylon
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\Local\Conduit
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\Local\Google\Chrome\User Data\Default\Extensions\elhjaoldnkkbifioodjndkijecdeinld
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\Local\moovida air
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\LocalLow\BabylonToolbar
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\LocalLow\Conduit
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\LocalLow\Hotbar
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\LocalLow\PriceGong
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\LocalLow\ShoppingReport
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\Roaming\Babylon
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\Roaming\moovida-1
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\Roaming\Mozilla\Firefox\Profiles\yqxy6b40.default\Conduit
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\Roaming\Mozilla\Firefox\Profiles\yqxy6b40.default\ConduitCommon
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\Roaming\Mozilla\Firefox\Profiles\yqxy6b40.default\CT2849852
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\Roaming\Mozilla\Firefox\Profiles\yqxy6b40.default\extensions\{ef79f67a-6ad7-4715-a0f8-932fca442023}
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\Roaming\OfferBox
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\Roaming\OpenCandy
Supprimé au redémarrage : C:\Users\Stéphanie\AppData\Roaming\yourfiledownloader
Supprimé au redémarrage : C:\Windows\Installer\{2C8574B5-6935-4FCE-860E-F4E8602378FF}
Supprimé au redémarrage : C:\Windows\SysWOW64\Browser Manager

***** [Registre] *****

Clé Supprimée : HKCU\Software\DataMngr
Clé Supprimée : HKCU\Software\DataMngr_Toolbar
Clé Supprimée : HKCU\Software\Google\Chrome\Extensions\elhjaoldnkkbifioodjndkijecdeinld
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{15D2D75C-9CB2-4EFD-BAD7-B9B4CB4BC693}
Clé Supprimée : HKCU\Software\596dcdeb36fea45
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}
Clé Supprimée : HKLM\Software\Babylon
Clé Supprimée : HKLM\SOFTWARE\Classes\Prod.cap
Clé Supprimée : HKLM\Software\DataMngr
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\596dcdeb36fea45
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\elhjaoldnkkbifioodjndkijecdeinld

***** [Navigateurs] *****

-\ Internet Explorer v7.0.6002.18005

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Main - Start Page] = hxxp://www.delta-search.com/?affID=119295&babsrc=HP_ss&mntrId=20277c6400000000000000248c2ea145 --> hxxp://www.google.com

-\ Mozilla Firefox v19.0 (fr)

Fichier : C:\Users\Stéphanie\AppData\Roaming\Mozilla\Firefox\Profiles\yqxy6b40.default\prefs.js

C:\Users\Stéphanie\AppData\Roaming\Mozilla\Firefox\Profiles\yqxy6b40.default\user.js ... Supprimé !

Supprimée : user_pref("extensions.BabylonToolbar_i.newTab", true);
Supprimée : user_pref("extensions.BabylonToolbar_i.newTabUrl", "hxxp://www.delta-search.com/?affID=119295&babsrc[...]

-\ Google Chrome v24.0.1312.57

Fichier : C:\Users\Stéphanie\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [30947 octets] - [19/02/2013 18:27:29]
AdwCleaner[S2].txt - [4193 octets] - [21/02/2013 09:04:05]

########## EOF - C:\AdwCleaner[S2].txt - [4253 octets] ##########

¡El Desaparecido! · Answer

Re,

  Télécharges ComboFix à partir de ce lien et enregistres le sur ton bureau : 
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 

Avant d'utiliser ComboFix : 

? ferme les fenêtres de tous les programmes en cours. 

? Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 
Une fois fait, sur ton bureau double-clic sur Combofix.exe. 

/!\Utilisateur de Vista : Clique droit sur le logo de Combofix, « exécuter en tant qu'Administrateur » 

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc. 

- il se peut que Combofix ait besoin de se connecter à internet pour trouver les mises à jour, donc il faut l'autoriser. 

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes. 

- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 
- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\ComboFix\ComboFix.txt) 
? Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 
? Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

Pim'sVet · Answer

Ok merci! J'envoie ça dès que possible

Au secours, j'ai un virus! Que faire avec mon fichier OTL?

16 réponses

Discussions similaires