Info virus

Salut

tu peux poster le rapport d'antivir stp ? ou tu te rappelle sur quel fichier c'était détecté ?
histoire de voir sur quoi on va bosser

A+

Salut,

[*] Télécharger sur le bureau https://www.luanagames.com/index.fr.html (by tigzy)
[*] !!! ATTENTION !! Sur la page de RogueKiller - "Prendre Lien de téléchargement" - avec les cercles violets. En cliquant sur ces cercles le programme se télécharge.
[*] Quitter tous les programmes
[*] Lancer RogueKiller.exe.
[*] Attendre que le Prescan ait fini ...
[*] Lance un scan afin de débloquer le bouton Suppression à droite.
[*] Clic sur Suppression.
Poste le rapport ici.

!!! Je répète bien faire Suppression à droite et poster le rapport. !!!

Ok donc fais-le en mode sans échec avec prise en charge du réseau.
Faut tapoter F8 quand le pc démarre

.::. Contributeur Sécurité .::.

Transfère roguekiller par une clé usb

je viens de lancer roguekiller
RogueKiller V8.5.4 [Mar 18 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : https://www.luanagames.com/index.fr.html
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur : [Droits d'admin]
Mode : Suppression -- Date : 03/05/2013 10:29:44
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 4 ¤¤¤
[HJ SMENU] HKCU\[...]\Advanced : Start_ShowMyGames (0) -> REMPLACÉ (1)
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0)
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0)
[HJ INPROC][ZeroAccess] HKCR\[...]\InprocServer32 : (C:\$Recycle.Bin\S-1-5-21-150696370-2413224713-2917858777-1000\$d19424cef0be266d509fd6213c360f0a\n.) [x] -> REMPLACÉ (C:\Windows\system32\shell32.dll)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
[ZeroAccess][FILE] @ : C:\$recycle.bin\S-1-5-21-150696370-2413224713-2917858777-1000\$d19424cef0be266d509fd6213c360f0a\@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 00000001.@ : C:\$recycle.bin\S-1-5-21-150696370-2413224713-2917858777-1000\$d19424cef0be266d509fd6213c360f0a\U\00000001.@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 80000000.@ : C:\$recycle.bin\S-1-5-21-150696370-2413224713-2917858777-1000\$d19424cef0be266d509fd6213c360f0a\U\80000000.@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 800000cb.@ : C:\$recycle.bin\S-1-5-21-150696370-2413224713-2917858777-1000\$d19424cef0be266d509fd6213c360f0a\U\800000cb.@ [-] --> SUPPRIMÉ
[ZeroAccess][FOLDER] ROOT : C:\$recycle.bin\S-1-5-21-150696370-2413224713-2917858777-1000\$d19424cef0be266d509fd6213c360f0a\U --> SUPPRIMÉ
[ZeroAccess][FOLDER] ROOT : C:\$recycle.bin\S-1-5-21-150696370-2413224713-2917858777-1000\$d19424cef0be266d509fd6213c360f0a\L --> SUPPRIMÉ

¤¤¤ Driver : [CHARGE] ¤¤¤
SSDT[75] : NtCreateSection @ 0x8226DFA5 -> HOOKED (Unknown @ 0x8C4F3436)
SSDT[289] : NtSetContextThread @ 0x822CF25F -> HOOKED (Unknown @ 0x8C4F343B)
SSDT[334] : NtTerminateProcess @ 0x8222D173 -> HOOKED (Unknown @ 0x8C4F33D7)
S_SSDT[573] : NtUserSetWindowsHookEx -> HOOKED (Unknown @ 0x8C4F3440)
S_SSDT[576] : NtUserSetWinEventHook -> HOOKED (Unknown @ 0x8C4F3445)

¤¤¤ Ruches Externes: ¤¤¤
-> D:\windows\system32\config\SOFTWARE
-> D:\windows\system32\config\SYSTEM
-> D:\Users\Default\NTUSER.DAT

¤¤¤ Infection : ZeroAccess ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

127.0.0.1 localhost
::1 localhost

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: WDC WD1600BEVT-75ZCT2 +++++
--- User ---
[MBR] 5a762c2d40acb49f501fbfa13c3b7073
[BSP] 44abab8931fea7e2130a2b5ccd3e8668 : Windows Vista MBR Code
Partition table:
0 - [XXXXXX] DELL-UTIL (0xde) [VISIBLE] Offset (sectors): 63 | Size: 39 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 81920 | Size: 15000 Mo
2 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 30801920 | Size: 137586 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: Spaceloop 2GB USB Device +++++
--- User ---
[MBR] b2d9634ddfa16d5d8299caf3612155f4
[BSP] 49d83f5c6d41b6d0af459c9dfb4122be : MBR Code unknown
Partition table:
0 - [ACTIVE] FAT16 (0x06) [VISIBLE] Offset (sectors): 63 | Size: 1929 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[2]_D_03052013_102944.txt >>
RKreport[1]_S_03052013_102801.txt ; RKreport[2]_D_03052013_102944.txt

Bien ZeroAccess est dégagé :)

Les téléchargements doivent fonctionner maintenant.

Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections :

▶ Télécharge ici :OTL

▶ Fais un double clic sur l'icône pour le lancer (clic droit executer en tant qu'administrateur sous Vista, Windows 7 ou Windows 8). Vérifier que toutes les autres fenêtres sont fermées afin qu'il s'exécute sans interruption.

▶ Quand la fenêtre apparaît, Coche la case Tous les utilisateurs
▶ Coche les cases à coté de Recherche Lop et Recherche Purity.
▶ Laisse tous les autres paramètres par défaut

▶ Copie et colle le contenu de ce qui suit en gras dans la partie inférieure d'OTL "Personnalisation"


msconfig
netsvcs
/md5start
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
services.exe
winsock.*
/md5stop
%temp%\*.exe /s
%ALLUSERSPROFILE%\Application Data\*.exe /s
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.*
BASESERVICES
CREATERESTOREPOINT
SAVEMBR:0

▶ Clic sur Analyse.

A la fin du scan, 2 Bloc-Notes vont s'ouvrir avec les rapports (OTL.txt et extras.txt).

NE PAS COPIER/COLLER LE RAPPORT ICI - LIRE JUSQU'AU BOUT

Ces fichiers se trouvent à côté de l'exécutable OTL.exe

héberge OTL.txt et extra.txt sur FEC Upload et donne les liens obtenus en échange

NE PAS COPIER/COLLER LE LIEN DE SUPPRESSION, CONSERVE-LE SI TU DESIRE ENSUITE SUPPRIMER LES RAPPORTS DE LA BASE DE DONNEES FEC

j ai une bonne et une mauvaise nouvelle :
la bonne nouvelle est que zeroaccess a été dégagé j'ai refais un scan.
mais la mauvaise nouvelle est que je n'arrive toujours pas à téléchargé. je viens d'essayer de télécharger la version actualisé d'avira (tjrs le meme message ... programme contenait un virus a été supprimé)

Ouais mais QUI détecte ça ? C'est pas un truc genre Optimizer Pro ?

aucune idée qui détecte çà!

Bah si c'est quoi le bidule qui se lance pour dire que le machin téléchargé contenait un virus ?

tu vois l'exemple OTL
j'ai cliqué dessus.
puis executé.
message : otl.exe vient d'etre supprimé car il contenait un virus.
pas moyer d'enristrer en direct quoi que ce soit et pourtant d'après le scan roguekiller et avira mon pc est clean....
je suis largé..

faut pas cliquer sur exécuter mais sur enregistrer.
message : otl.exe vient d'etre supprimé car il contenait un virus.
la fenêtre du message elle porte un nom , non ???

meme lorsque je fais enregistrer:
ce programme contenait un virus et vient d'etre supprimé
a coté : en savoir plus
je suis dirigé vers aide et support windows
je viens egalement de me rendre compte que je n'avais plus de windows defender...
ca peut avoir une influence?

Mouais et d'un autre navigateur comme firefox par exemple ça donne quoi ?

je suis maudit
je telecharge firefox 100% et en guise de message de confirmation mon message traditionnel
contenait un virus a été supprimé.
résultat des courses supprimé

bon ben tu transfère OTL comme t'as fais pour roguekiller, via une clé usb :)
on verra bien sur les rapports otl ce qui grouille toujours sur la machine.

ok je mets en route mon 2 pc et je copie/colle OTL
après je reviens vers toi

bon je viens de mouliner OTL avec succès j'ai les 2 rapports j'y comprend rien.
faut il créer un compte sur FEC upload ou on peut déposer direct.

Pas obliger de créer un compte tu dépose le 1er fichier et tu copie/colle la ligne "Lien de téléchargement : ..."
Tu fais pareil pour le 2nd fichier

c'est fait !
et maintenant?