Trojan gen downloader Résolu/Fermé

Question

Bonsoir, 
Après un scan, il s'avère que trojan gen downloader s'est installé confortablement sur mon ordinateur, je recherche donc l'aide de quelqu'un pour l'en déloger.
Merci d'avance!


Configuration: Windows 7 / Chrome 26.0.1410.64

juju666 · Answer

Bonsoir :)

Qui le détecte ? Où ? 
Un peu plus de précisions seraient les bienvenues ;)

A+

Brexi · Answer

Avast l'a détecté dans un premier temps, depuis toutes les 3 minutes environ avast me fait une piqûre de rappel avec le message suivant "cheval de troie bloqué"   
objet: C:\windows\installer\...  
Infection: Win32:ZAccess-PB [trj]  
Action: mis en quarantaine  
Processus:C:\windows\syswow64\svchost.exe  

  J'ai également lancé un scan superantispyware et ais mis le dit "trojan.agent/gen-downloader" en quarantaine.

juju666 · Answer

Infection: Win32:ZAccess-PB [trj]  
 Ben voilà :)

superantispyware : poubelle ça vaut plus rien et ça va nous gêner.
Pareil pour : Spybot/AD-Aware/MacàFric Security Bidon si présents

&#9654 Télécharge sur cette page:  RogueKiller (choisir entre la version 32 et 64 bits selon ton Windows, si tu ne sais pas, demande moi!)
&#9654 Enregistre et ferme tous les programmes en cours
&#9654 Lance RogueKiller et attend que le Prescan ait fini
&#9654 Accepte l'EULA puis clique sur Scan. 
&#9654 Une fois terminé, clique sur Rapport et copie/colle le rapport dans ta prochaine réponse.

Brexi · Answer

Voila le rapport: RogueKiller V8.5.4 _x64_ [Mar 18 2013] par Tigzy mail : tigzyRKgmailcom Remontees : https://www.luanagames.com/index.fr.html Site Web : https://www.luanagames.com/index.fr.html Blog : http://tigzyrk.blogspot.com/ Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version Demarrage : Mode normal Utilisateur : Lucas [Droits d'admin] Mode : Recherche -- Date : 03/05/2013 01:28:47 | ARK || FAK || MBR | ¤¤¤ Processus malicieux : 2 ¤¤¤ [BLPATH] cacaoweb.exe -- C:\Users\Lucas\AppData\Roaming\cacaoweb\cacaoweb.exe [-] -> TUÉ [TermProc] [SUSP PATH] YontooDesktop.exe -- C:\Users\Lucas\AppData\Roaming\Yontoo\YontooDesktop.exe [7] -> TUÉ [TermProc] ¤¤¤ Entrees de registre : 8 ¤¤¤ [RUN][BLPATH] HKCU\[...]\Run : cacaoweb ("C:\Users\Lucas\AppData\Roaming\cacaoweb\cacaoweb.exe" -noplayer) [-] -> TROUVÉ [RUN][SUSP PATH] HKCU\[...]\Run : Yontoo Desktop ("C:\Users\Lucas\AppData\Roaming\Yontoo\YontooDesktop.exe") [7] -> TROUVÉ [RUN][BLPATH] HKUS\S-1-5-21-3714802650-2468626267-1178235633-1001[...]\Run : cacaoweb ("C:\Users\Lucas\AppData\Roaming\cacaoweb\cacaoweb.exe" -noplayer) [-] -> TROUVÉ [RUN][SUSP PATH] HKUS\S-1-5-21-3714802650-2468626267-1178235633-1001[...]\Run : Yontoo Desktop ("C:\Users\Lucas\AppData\Roaming\Yontoo\YontooDesktop.exe") [7] -> TROUVÉ [HJ DESK] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ [HJ DESK] HKCU\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ [HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> TROUVÉ [HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ [ZeroAccess][FILE] @ : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\@ [-] --> TROUVÉ [ZeroAccess][FOLDER] U : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U --> TROUVÉ [ZeroAccess][FOLDER] L : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\L --> TROUVÉ [ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_32\Desktop.ini [-] --> TROUVÉ [ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_64\Desktop.ini [-] --> TROUVÉ [Susp.ASLR][FILE] services.exe : C:\Windows\system32\services.exe [-] --> TROUVÉ ¤¤¤ Driver : [NON CHARGE] ¤¤¤ ¤¤¤ Infection : Rogue.ProgFiles|ZeroAccess ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ --> C:\Windows\system32\drivers\etc\hosts ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: ST9640320AS +++++ --- User --- [MBR] 9bdb89a7dcf62f83291f2d3fe2e494bd [BSP] ee2bdaa9eb275e6ef7785d0a79d3ead1 : Windows 7/8 MBR Code Partition table: 0 - [XXXXXX] FAT32-LBA (0x1c) [HIDDEN!] Offset (sectors): 2048 | Size: 25600 Mo 1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 52430848 | Size: 260473 Mo 2 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 585879552 | Size: 324406 Mo User = LL1 ... OK! User = LL2 ... OK! +++++ PhysicalDrive1: ST9640320AS +++++ --- User --- [MBR] e7723cfd3972ed6fbfb02291033389cf [BSP] fb7125154b8e9affe51ee86074033c7a : Empty MBR Code Partition table: 0 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 16065 | Size: 610470 Mo User = LL1 ... OK! User = LL2 ... OK! +++++ PhysicalDrive2: USB Disk +++++ --- User --- [MBR] e7c4811166bab12f5c19592cc9af1009 [BSP] df4f83c1f72e36823a12b0dfc7617313 : Empty MBR Code Partition table: 0 - [XXXXXX] FAT16 (0x06) [VISIBLE] Offset (sectors): 129 | Size: 1909 Mo User = LL1 ... OK! Error reading LL2 MBR! Termine : << RKreport[1]_S_03052013_012847.txt >> RKreport[1]_S_03052013_012847.txt Merci pour le temps que tu m'accordes! =)

juju666 · Answer

Avec plaisir ^^
Le bouton "Suppression" est dégrisé en principe, clique dessus, laisse redémarrer le pc si nécessaire, et viens poster le nouveau rapport.

Ensuite faudra réparer les services de Windows, sont très certainement endommagés.

Brexi · Answer

Le nouveau rapport: RogueKiller V8.5.4 _x64_ [Mar 18 2013] par Tigzy mail : tigzyRKgmailcom Remontees : https://www.luanagames.com/index.fr.html Site Web : https://www.luanagames.com/index.fr.html Blog : http://tigzyrk.blogspot.com/ Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version Demarrage : Mode normal Utilisateur : Lucas [Droits d'admin] Mode : Suppression -- Date : 03/05/2013 01:42:39 | ARK || FAK || MBR | ¤¤¤ Processus malicieux : 2 ¤¤¤ [BLPATH] cacaoweb.exe -- C:\Users\Lucas\AppData\Roaming\cacaoweb\cacaoweb.exe [-] -> TUÉ [TermProc] [SUSP PATH] YontooDesktop.exe -- C:\Users\Lucas\AppData\Roaming\Yontoo\YontooDesktop.exe [7] -> TUÉ [TermProc] ¤¤¤ Entrees de registre : 6 ¤¤¤ [RUN][BLPATH] HKCU\[...]\Run : cacaoweb ("C:\Users\Lucas\AppData\Roaming\cacaoweb\cacaoweb.exe" -noplayer) [-] -> SUPPRIMÉ [RUN][SUSP PATH] HKCU\[...]\Run : Yontoo Desktop ("C:\Users\Lucas\AppData\Roaming\Yontoo\YontooDesktop.exe") [7] -> SUPPRIMÉ [HJ DESK] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0) [HJ DESK] HKCU\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0) [HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0) [HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0) ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ [ZeroAccess][FILE] @ : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\@ [-] --> SUPPRIMÉ AU REBOOT [Del.Parent][FILE] 00000004.@ : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U\00000004.@ [-] --> SUPPRIMÉ [Del.Parent][FILE] 00000008.@ : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U\00000008.@ [-] --> SUPPRIMÉ [Del.Parent][FILE] 000000cb.@ : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U\000000cb.@ [-] --> SUPPRIMÉ [Del.Parent][FILE] 80000000.@ : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U\80000000.@ [-] --> SUPPRIMÉ [ZeroAccess][FOLDER] ROOT : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U --> SUPPRIMÉ [Del.Parent][FILE] 00000004.@ : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\L\00000004.@ [-] --> SUPPRIMÉ [Del.Parent][FILE] 76603ac3 : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\L\76603ac3 [-] --> SUPPRIMÉ [ZeroAccess][FOLDER] ROOT : C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\L --> SUPPRIMÉ [ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_32\Desktop.ini [-] --> SUPPRIMÉ AU REBOOT [ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_64\Desktop.ini [-] --> SUPPRIMÉ AU REBOOT [Susp.ASLR][FILE] services.exe : C:\Windows\system32\services.exe [-] --> REMPLACÉ AU REBOOT (C:\Windows\winsxs\amd64_microsoft-windows-s..s-servicecontroller_31bf3856ad364e35_6.1.7600.16385_none_2b54b20ee6fa07b1\services.exe) ¤¤¤ Driver : [NON CHARGE] ¤¤¤ ¤¤¤ Infection : Rogue.ProgFiles|ZeroAccess ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ --> C:\Windows\system32\drivers\etc\hosts ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: ST9640320AS +++++ --- User --- [MBR] 9bdb89a7dcf62f83291f2d3fe2e494bd [BSP] ee2bdaa9eb275e6ef7785d0a79d3ead1 : Windows 7/8 MBR Code Partition table: 0 - [XXXXXX] FAT32-LBA (0x1c) [HIDDEN!] Offset (sectors): 2048 | Size: 25600 Mo 1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 52430848 | Size: 260473 Mo 2 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 585879552 | Size: 324406 Mo User = LL1 ... OK! User = LL2 ... OK! +++++ PhysicalDrive1: ST9640320AS +++++ --- User --- [MBR] e7723cfd3972ed6fbfb02291033389cf [BSP] fb7125154b8e9affe51ee86074033c7a : Empty MBR Code Partition table: 0 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 16065 | Size: 610470 Mo User = LL1 ... OK! User = LL2 ... OK! +++++ PhysicalDrive2: USB Disk +++++ --- User --- [MBR] e7c4811166bab12f5c19592cc9af1009 [BSP] df4f83c1f72e36823a12b0dfc7617313 : Empty MBR Code Partition table: 0 - [XXXXXX] FAT16 (0x06) [VISIBLE] Offset (sectors): 129 | Size: 1909 Mo User = LL1 ... OK! Error reading LL2 MBR! Termine : << RKreport[2]_D_03052013_014239.txt >> RKreport[1]_S_03052013_012847.txt ; RKreport[2]_D_03052013_014239.txt

juju666 · Answer

Parfait, la machine a bien redémarré ? 
Qu'en pense Avast! maintenant ? :-)

~~

 Télécharge  Farbar Service Scanner  sur ton Bureau.

&#x25CF; Coche les cases suivantes :

Internet Services
Windows Firewall
System Restore
Security Center
Windows Update
Windows Defender
Others Services


&#x25CF; Clique sur "Scan".
&#x25CF; Un rapport FSS.txt est crée dans le dossier où se trouve l'outil.

Héberge le rapport sur FEC Upload et poste le lien obtenu en échange

Brexi · Answer

Hum, Avast semble ne pas avoir trop apprécié j'ai le message suivant en le démarrant: Fail to load language dll [1033\UILangRes.dll]

De plus lorsque je lance le scan avec fss j'ai le message suivant: "Impossible de démarrer ou d'exécuter le programme ou la fonction"\??\C:\watcom-1.3\binw\sc.exe" en raison d'une incompatibilité avec les versions 64 bits de windows...

Mais j'ai tout de même le rapport ci joint: https://forums-fec.be/upload/www/?a=d&i=6490995351

juju666 · Answer

Avast! a pris une claque à cause du ZeroAccess qui était sur ta machine, désinstalle-le.

Et des services sont bien touchés comme je le craignais.

&#x25CF; Télécharge Service Repair (Eset) sur ton Bureau.

&#x25CF; Exécute le, clique sur Yes dans la boite de dialogue.
&#x25CF; A la fin, clique sur Yes pour autoriser le redémarrage.
&#x25CF; L'outil va créer un dossier CC Support dans le répertoire où l'outil a été exécuté.
&#x25CF; Héberge le rapport CC Support\Logs\SvcRepair.txt sur FEC Upload et poste le lien obtenu en échange

Brexi · Answer

Pour  Avast je n'arrive pas du tout à le désinstaller, même en mode sans echec..  

sinon voila le rapport: https://forums-fec.be/upload/www/?a=d&i=8717446822

juju666 · Answer

T'inquiète pas on trouvera une solution pour avast :)
Toute façon pour le peu qu'il a servi dans ton cas ... héhé

 Refais FSS comme ICI on va voir si Eset a bien travaillé (à première vue oui)

Brexi · Answer

Voici le rapport: https://forums-fec.be/upload/www/?a=d&i=8564675913

C'est pas faux ^^
D'ailleurs connaîtrais tu un antivirus gratuit plus efficace?

juju666 · Answer

Bah disons que sur la scène du gratuit il est (normalement) sur la première marche du podium donc bon :/

Y'a plus qu'à réactiver Windaube Defender et réinstaller donc et ce sera parfait, néanmoins on va contrôler le tout :
 
Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections : 

&#9654 Télécharge ici :OTL

&#9654 Fais un double clic sur l'icône pour le lancer (clic droit executer en tant qu'administrateur sous Vista, Windows 7 ou Windows 8). Vérifier que toutes les autres fenêtres sont fermées afin qu'il s'exécute sans interruption.

&#9654 Quand la fenêtre apparaît, Coche la case Tous les utilisateurs
&#9654 Coche les cases à coté de Recherche Lop et Recherche Purity.
&#9654 Laisse tous les autres paramètres par défaut 

&#9654 Copie et colle le contenu de ce qui suit en gras dans la partie inférieure d'OTL "Personnalisation"


msconfig 
netsvcs 
/md5start
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
services.exe
winsock.*
/md5stop
%temp%\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%SYSTEMDRIVE%\*.*
BASESERVICES
CREATERESTOREPOINT
SAVEMBR:0

&#9654 Clic sur Analyse.

A la fin du scan, 2 Bloc-Notes vont s'ouvrir avec les rapports (OTL.txt et extras.txt).

NE PAS COPIER/COLLER LE RAPPORT ICI - LIRE JUSQU'AU BOUT

Ces fichiers se trouvent à côté de l'exécutable OTL.exe

héberge OTL.txt et extra.txt sur FEC Upload et donne les liens obtenus en échange  

NE PAS COPIER/COLLER LE LIEN DE SUPPRESSION, CONSERVE-LE SI TU DESIRE ENSUITE SUPPRIMER LES RAPPORTS DE LA BASE DE DONNEES FEC

Brexi · Answer

Voici l'extras: https://forums-fec.be/upload/www/?a=d&i=7036909426
et l'OTL: https://forums-fec.be/upload/www/?a=d&i=0875079708

Merci encore pour ton aide :)

juju666 · Answer

De rien Lucas :)

J'ai un doute sur un fichier.
Envoie C:\Windows\IFinst27.exe sur https://www.virustotal.com/gui/ et copie/colle le lien vers l'analyse une fois celle-ci terminée. S'il t'informe que le fichier a déjà été analysé, clique sur Réanalyser

Brexi · Answer

ça a l'air plutôt clean:
https://www.virustotal.com/gui/file/2405e5479aeb7d43d1362969b9c439e5931b8f900f9adfe0faaa986365415193

juju666 · Answer

Mouais mouais mouais ...........

Bon fait déjà ça le temps que j'ai plus d'infos sur ce fichier.
Envoie-le sur http://upload.malekal.com 

~~

Relance OTL, colle ça en personnalisation :


:OTL
[2013/03/14 21:41:10 | 000,000,000 | ---D | M] (cacaoweb) -- C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org  
[2013/03/29 20:09:57 | 000,000,000 | ---D | M] (Yontoo) -- C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com
[2013/04/20 12:57:22 | 000,000,000 | ---D | C] -- C:\adobeTemp      
[2013/05/03 10:02:30 | 000,001,288 | ---- | M] () -- C:\Users\Public\Desktop\Panda Cloud Cleaner.lnk      
[2013/05/03 01:40:10 | 000,000,000 | ---D | M] -- C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U      
[2013/05/03 00:10:43 | 000,004,608 | ---- | M] () -- C:\Windows\assembly\GAC_32\Desktop.ini      
[2013/05/03 00:10:43 | 000,006,144 | ---- | M] () -- C:\Windows\assembly\GAC_64\Desktop.ini      
[2013/05/02 23:13:06 | 000,000,000 | ---D | M] -- C:\Users\Lucas\AppData\Roaming\cacaoweb 
[2013/05/03 00:13:59 | 000,000,000 | ---D | M] -- C:\Users\Lucas\AppData\Roaming\Yontoo 
@Alternate Data Stream - 24 bytes -> C:\Windows:C9647CA7FCF860C0      
@Alternate Data Stream - 143 bytes -> C:\ProgramData\Temp:981884E7      
@Alternate Data Stream - 141 bytes -> C:\ProgramData\Temp:52DBE86F      
@Alternate Data Stream - 133 bytes -> C:\ProgramData\Temp:5D458568      

:Files
net start RpcSs /C

:Commands
[EMPTYTEMP]
 
 
Click correction et poste le rapport

Brexi · Answer

pour OTL je refais ceci également? :

"? Quand la fenêtre apparaît, Coche la case Tous les utilisateurs 
? Coche les cases à coté de Recherche Lop et Recherche Purity. 
? Laisse tous les autres paramètres par défaut "

juju666 · Answer

Nan sinon je l'aurais précisé :)

Brexi · Answer

Voila: 
All processes killed
========== OTL ==========
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\defaults\preferences folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\defaults folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome\skin folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome\locale\fr-FR folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome\locale\es-ES folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome\locale\en-US folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome\locale\de-DE folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome\locale folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome\content folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org\chrome folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\cacaoweb@cacaoweb.org folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com\skin folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com\META-INF folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com\locale\en-US folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com\locale folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com\defaults\preferences folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com\defaults folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com\content folder moved successfully.
C:\Users\Lucas\AppData\Roaming\mozilla\Firefox\Profiles\aj23q5if.default\extensions\plugin@yontoo.com folder moved successfully.
C:\adobeTemp\backup folder moved successfully.
C:\adobeTemp folder moved successfully.
C:\Users\Public\Desktop\Panda Cloud Cleaner.lnk moved successfully.
C:\Windows\Installer\{cb619894-0b3b-430a-57b7-05d7dfbb6c66}\U folder moved successfully.
C:\Windows\assembly\GAC_32\Desktop.ini moved successfully.
C:\Windows\assembly\GAC_64\Desktop.ini moved successfully.
C:\Users\Lucas\AppData\Roaming\cacaoweb folder moved successfully.
C:\Users\Lucas\AppData\Roaming\Yontoo\dat\update folder moved successfully.
C:\Users\Lucas\AppData\Roaming\Yontoo\dat folder moved successfully.
C:\Users\Lucas\AppData\Roaming\Yontoo folder moved successfully.
ADS C:\Windows:C9647CA7FCF860C0 deleted successfully.
ADS C:\ProgramData\Temp:981884E7 deleted successfully.
ADS C:\ProgramData\Temp:52DBE86F deleted successfully.
ADS C:\ProgramData\Temp:5D458568 deleted successfully.
========== FILES ==========
[color=#A23BEC]< net start RpcSs /C >/color
C:\Users\Lucas\Downloads\cmd.bat deleted successfully.
C:\Users\Lucas\Downloads\cmd.txt deleted successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 57616 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: Lucas
->Temp folder emptied: 331453713 bytes
->Temporary Internet Files folder emptied: 112131028 bytes
->Java cache emptied: 1726368 bytes
->FireFox cache emptied: 104112260 bytes
->Google Chrome cache emptied: 269183180 bytes
->Flash cache emptied: 58361 bytes
 
User: Public
 
User: UpdatusUser
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 401408 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 91572010 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 42305291 bytes
RecycleBin emptied: 11159460002 bytes
 
Total Files Cleaned = 11 551,00 mb
 
 
OTL by OldTimer - Version 3.2.69.0 log created on 05032013_133149

Files\Folders moved on Reboot...
C:\Users\Lucas\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
C:\Users\Lucas\AppData\Local\Microsoft\Windows\Temporary Internet Files\counters.dat moved successfully.

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

juju666 · Answer

ça me semble tout bon :)
Reste à voir pour Avast!.

Utilise AswClear pour le désinstaller.
Je te conseille de le faire directement en mode sans échec.
Donc tant que tu es en mode narmol tu le télécharges sur ton bureau puis tu démarre en sans échec et tu lance le bidule de désinstallation avast.

Brexi · Answer

D'ac' :)
 Je viens de découvrir un autre problème concernant les touches raccourcis pour le son à gauche de mon clavier, elle n'ont plus aucun effet. Apparemment cela concerne également toutes les touches de raccourcis fn à part celles concernant la luminosité et la calculatrice.. :(

juju666 · Answer

Han ouais ça ce sont des dommages collatéraux. 
On verra ça après quand le pc sera stable, c'est une histoire de drivers :)
Tu me diras quelle marque et surtout quel MODELE ton pc (genre "toshiba satellite c660D-1g2")

Brexi · Answer

C'est un asus n73sv-v2g-ty540v

juju666 · Answer

ok.
Avast! désinstallé ?

juju666 · Answer

et normalement le driver du clavier pour les touche Fn ça doit être ça : http://dlcdnet.asus.com/pub/ASUS/nb/Drivers/ATKPackage/ATKPackage_WIN7_32_WIN7_64_z100007.zip
Si pas faut regarder ce qu'ils proposent là dedans : http://support.asus.com/download.aspx?SLanguage=fr-fr&m=N73SV&p=3&s=267&os=30&hashedid=ZpdgdjiZ43Hy8Jx0

Brexi · Answer

C'est bon avast desinstallé!

juju666 · Answer

parfait.
tu as vu pour le driver des touches Fn ci-dessus ?

Avast! 8 : http://ftp01net.telechargement.fr/avast_free_antivirus_setup.exe

Brexi · Answer

j'ai installé ce que tu m'a proposé et j'ai trois messages à l'ouverture de windows:

- "you have to install ATK0100 driver"
-"ERROR           Can't open ACPIATK0100 kernel mode driver"
-" P4G  This program can only be executed on the ASUS computer"

juju666 · Answer

Bon désinstalle le truc installé alors et essaie celui-ci : http://dlcdnet.asus.com/pub/ASUS/nb/Drivers/KB_filter/KBFilter_WIN7_64_1003.zip

T'as réinstallé avast ?

Brexi · Answer

C'est fait mais ya aucun changements :(

juju666 · Answer

http://support.asus.com/download/options.aspx?SLanguage=fr-fr&type=1

 Détection automatique du modèle

Cette fonction déterminera automatiquement le modèle que vous utilisez actuellement et vous redirigera vers la page de téléchargement appropriée.  

Clique sur Démarrer

Brexi · Answer

ensuite je suppose qu'il faut que je telecharge les mêmes drivers?

juju666 · Answer

ceux qui correspondent à clavier ou keyboard en anglais ^_^

Brexi · Answer

Yeah ça fonctionne! :)
Tout est bon alors?

juju666 · Answer

Salut,
Ouep :)

 Passe un coup de delfix en cochant toutes cases : https://www.commentcamarche.net/telecharger/securite/7111-delfix/

~~

Installe Malwarebyte's Anti-Malware : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Fais des scans réguliers avec, il est efficace.

~~

Sécurise ton PC ! 

Un exploit sur site web permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.
Exemple avec : Exploit Java

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash :
https://www.commentcamarche.net/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite

https://forum.malekal.com/viewtopic.php?t=15960&start=

Désactive Java de tes navigateurs WEB : https://www.commentcamarche.net/faq/35621-desactiver-java-sur-ses-navigateurs-web


Passe le mot à tes amis !

~~

Le reste de la sécurité : http://forum.malekal.com/comment-securiser-son-ordinateur.html  

Bonne lecture et n'oublie pas d'indiquer que ton sujet est résolu :)

Brexi · Answer

Encore un grand merci pour ton aide ! :)

juju666 · Answer

Mais avec plaisir Lucas :)

Trojan gen downloader

38 réponses

Discussions similaires