Fichier infecté dans Systeme32

Résolu
Max -  
Bonjour,
Je solicite votre aide au sujet d'un problème que je rencontre avec mon ordinateur portable.
Tout à l'heure, alors que je regardais un film sur ce PC, avast m'apprend qu'une "URL malveillante vient d'être bloquée". Le fichier en question étant dans C>Windows>System32> et se nommant svt.exe.
L'appareil ne présente pas de problème en particulier, mais l'antivirus ne cesse d'afficher le message d'alerte.
J'ai essayé de supprimer le fichier, sans succès (TrusterInstaller m'en empêche)

Auriez-vous une solution à me proposer ? Ces messages bruyants et incessants me rendent fous...

Merci beaucoup,
Bonne soirée

10 réponses

  1.  Malekal_morte- Modérateur
    Salut,

    Télécharge https://toolslib.net AdwCleaner ( d'Xplode ) sur ton bureau.
    Lance le, clique sur [Suppression] puis patiente le temps du scan (Pas besoin de faire de Recherche avant).
    Une fois le scan fini, un rapport s'ouvrira. Copie/colle le contenu du rapport dans ta prochaine réponse par un copier/coller.
    Si cela ne fonctionne pas, utilise le site http://pjjoint.malekal.com pour héberger le rapport, donne le lien du rapport dans un nouveau message.

    Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

    puis :

    Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt
    Fournir les deux rapports :

    Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/

    * Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
    (Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

    Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

    * Lance OTL
    * En haut à droite de Analyse rapide, coche "tous les utilisateurs"
    * Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :

    netsvcs
    msconfig
    safebootminimal
    safebootnetwork
    activex
    drivers32
    %ALLUSERSPROFILE%\Application Data\*.
    %ALLUSERSPROFILE%\Application Data\*.exe /s
    %APPDATA%\*.
    %APPDATA%\*.exe /s
    %temp%\*.exe /s
    %SYSTEMDRIVE%\*.exe
    %systemroot%\*. /mp /s
    %systemroot%\system32\consrv.dll
    %systemroot%\system32\*.dll /lockedfiles
    %systemroot%\Tasks\*.job /lockedfiles
    %systemroot%\system32\drivers\*.sys /lockedfiles
    %systemroot%\System32\config\*.sav
    /md5start
    explorer.exe
    winlogon.exe
    wininit.exe
    /md5stop
    HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
    HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
    CREATERESTOREPOINT
    nslookup www.google.fr /c
    SAVEMBR:0
    hklm\software\clients\startmenuinternet|command /rs
    hklm\software\clients\startmenuinternet|command /64 /rs

    * Clique sur le bouton Analyse.

    * Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
    Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message.
    Je répète : donne le lien du rapport pjjoint ici dans un nouveau message.

    NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE

    1. Malekal_morte- Modérateur
      Tu es infecté par ZeroAccess.

      Transfère par clef USB, si tu peux pas télécharger.

      [*] Télécharger sur le bureau https://forum.malekal.com/viewtopic.php?t=29444&start=
      [*] !!! ATTENTION !! Sur la page de RogueKiller - "Prendre Lien de téléchargement" - avec les cercles violets. En cliquant sur ces cercles le programme se télécharge.
      [*] Quitter tous les programmes
      [*] Lancer RogueKiller.exe.
      [*] Attendre que le Prescan ait fini ...
      [*] Lance un scan afin de débloquer le bouton Suppression à droite.
      [*] Clic sur Suppression.
      Poste le rapport ici.

      !!! Je répète bien faire Suppression à droite et poster le rapport. !!!

      La suite demain, je vais me pieuter :)
      1. Max
        Voici le rapport s'étant affiché:
        ¤¤¤ Entrees de registre: 2 ¤¤¤
        [ZeroAccess] HKCR\[...]\InprocServer32 : (\\.\globalroot\systemroot\Installer\{848ec4ef-b4fb-6501-ab69-678738a3a5c6}\n.) -> REPLACED (c:\windows\system32\wbem\wbemess.dll)
        [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

        ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
        [ZeroAccess][FILE] n : c:\windows\installer\{848ec4ef-b4fb-6501-ab69-678738a3a5c6}\n --> REMOVED
        [ZeroAccess][FILE] @ : c:\windows\installer\{848ec4ef-b4fb-6501-ab69-678738a3a5c6}\@ --> REMOVED AT REBOOT
        [Del.Parent][FILE] 00000001.@ : c:\windows\installer\{848ec4ef-b4fb-6501-ab69-678738a3a5c6}\U\00000001.@ --> REMOVED
        [Del.Parent][FILE] 80000000.@ : c:\windows\installer\{848ec4ef-b4fb-6501-ab69-678738a3a5c6}\U\80000000.@ --> REMOVED
        [Del.Parent][FILE] 800000cb.@ : c:\windows\installer\{848ec4ef-b4fb-6501-ab69-678738a3a5c6}\U\800000cb.@ --> REMOVED
        [ZeroAccess][FOLDER] U : c:\windows\installer\{848ec4ef-b4fb-6501-ab69-678738a3a5c6}\U --> REMOVED
        [ZeroAccess][FILE] n : c:\documents and settings\tigzy\local settings\application data\{848ec4ef-b4fb-6501-ab69-678738a3a5c6}\n --> REMOVED
        [ZeroAccess][FILE] @ : c:\documents and settings\tigzy\local settings\application data\{848ec4ef-b4fb-6501-ab69-678738a3a5c6}\@ --> REMOVED

        ¤¤¤ Driver: [CHARGE] ¤¤¤
        SSDT[98] : NtLoadKey @ 0x8061C482 -> HOOKED (Unknown @ 0xF8CD30E2)
        SSDT[122] : NtOpenProcess @ 0x805C1296 -> HOOKED (Unknown @ 0xF8CD30B0)
        SSDT[128] : NtOpenThread @ 0x805C1522 -> HOOKED (Unknown @ 0xF8CD30B5)
        SSDT[193] : NtReplaceKey @ 0x8061C332 -> HOOKED (Unknown @ 0xF8CD30EC)
        SSDT[204] : NtRestoreKey @ 0x8061BC3E -> HOOKED (Unknown @ 0xF8CD30E7)

        ¤¤¤ Infection : ZeroAccess ¤¤¤
        [...]

        Type d'examen: Examen complet
        Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
        Options d'examen désactivées: P2P
        Elément(s) analysé(s): 189868
        Temps écoulé: 7 minute(s), 1 seconde(s)

        Processus mémoire détecté(s): 0
        (Aucun élément nuisible détecté)

        Module(s) mémoire détecté(s): 0
        (Aucun élément nuisible détecté)

        Clé(s) du Registre détectée(s): 1
        HKCU\SOFTWARE\CLASSES\CLSID\{42AEDC87-2188-41FD-B9A3-0C966FEABEC1}\INPROCSERVER32 (Trojan.Zaccess) -> Mis en quarantaine et supprimé avec succès.

        Valeur(s) du Registre détectée(s): 1
        HKCU\SOFTWARE\CLASSES\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InprocServer32| (Trojan.Zaccess) -> Données: C:\Documents and Settings\tigzy\Local Settings\Application Data\{848ec4ef-b4fb-6501-ab69-678738a3a5c6}\n. -> Mis en quarantaine et supprimé avec succès.

        Elément(s) de données du Registre détecté(s): 0
        (Aucun élément nuisible détecté)

        Dossier(s) détecté(s): 0
        (Aucun élément nuisible détecté)

        Fichier(s) détecté(s): 5
        C:\Documents and Settings\tigzy\Bureau\LogicielsDesinfection\HideProc(v1.0)\HideProcDrv.sys (Rootkit.Agent) -> Aucune action effectuée.
        C:\Documents and Settings\tigzy\Bureau\RK_Quarantine\00000001.@.vir (Trojan.Small) -> Mis en quarantaine et supprimé avec succès.
        C:\Documents and Settings\tigzy\Bureau\RK_Quarantine\80000000.@.vir (Trojan.Sirefef) -> Mis en quarantaine et supprimé avec succès.
        C:\Documents and Settings\tigzy\Bureau\RK_Quarantine\800000cb.@.vir (Rootkit.0Access) -> Mis en quarantaine et supprimé avec succès.
        C:\Documents and Settings\tigzy\Bureau\RK_Quarantine\n.vir (Trojan.Dropper.PE4) -> Mis en quarantaine et supprimé avec succès.

        (fin)
    2. Max
      Quand je tente de telecharger le premier logiciel a partir du lien miroir (premier lien), firefox ne trouve pas la page :/
      2. Max
        la, oui. Merci :)
      3. Max
        "Ce programme contenait un virus et vient d'être supprimé"
        C'est peut-être avast qui plante, non ?
    3. Malekal_morte- Modérateur
      ok ZeroAccess a mis en vrac, pas mal de trucs, on arrangera à la fin quand on aura fini de nettoyer.

      Télécharge http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/28-adwcleaner AdwCleaner ( d'Xplode ) sur ton bureau.
      Lance le, clique sur [Suppression] puis patiente le temps du scan (Pas besoin de faire de Recherche avant).
      Une fois le scan fini, un rapport s'ouvrira. Copie/colle le contenu du rapport dans ta prochaine réponse par un copier/coller.
      Si cela ne fonctionne pas, utilise le site http://pjjoint.malekal.com pour héberger le rapport, donne le lien du rapport dans un nouveau message.

      Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

      puis :

      Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt
      Fournir les deux rapports :

      Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/

      * Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
      (Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

      Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

      * Lance OTL
      * En haut à droite de Analyse rapide, coche "tous les utilisateurs"
      * Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :

      netsvcs
      msconfig
      safebootminimal
      safebootnetwork
      activex
      drivers32
      %ALLUSERSPROFILE%\Application Data\*.
      %ALLUSERSPROFILE%\Application Data\*.exe /s
      %APPDATA%\*.
      %APPDATA%\*.exe /s
      %temp%\*.exe /s
      %SYSTEMDRIVE%\*.exe
      %systemroot%\*. /mp /s
      %systemroot%\system32\consrv.dll
      %systemroot%\system32\*.dll /lockedfiles
      %systemroot%\Tasks\*.job /lockedfiles
      %systemroot%\system32\drivers\*.sys /lockedfiles
      %systemroot%\System32\config\*.sav
      /md5start
      explorer.exe
      winlogon.exe
      wininit.exe
      /md5stop
      HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
      HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
      HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
      CREATERESTOREPOINT
      nslookup www.google.fr /c
      SAVEMBR:0
      hklm\software\clients\startmenuinternet|command /rs
      hklm\software\clients\startmenuinternet|command /64 /rs

      * Clique sur le bouton Analyse.

      * Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
      Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message.
      Je répète : donne le lien du rapport pjjoint ici dans un nouveau message.

      NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE

      2. Max
        Voici le rapport de donnees du premier logiciel:

        Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 32 bits version
        Demarrage : Mode normal
        Utilisateur : Maxime [Droits d'admin]
        Mode : Recherche -- Date : 08/06/2013 00:25:49
        | ARK || FAK || MBR |

        ¤¤¤ Processus malicieux : 0 ¤¤¤

        ¤¤¤ Entrees de registre : 4 ¤¤¤
        [HJ DESK] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ
        [HJ DESK] HKCU\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ
        [HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> TROUVÉ
        [HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ

        ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
        [ZeroAccess][FOLDER] $NtUninstallKB58934$ : C:\windows\$NtUninstallKB58934$ --> TROUVÉ
        [Faked.Drv][FILE] tdx.sys : C:\windows\system32\drivers\tdx.sys [-] --> TROUVÉ

        ¤¤¤ Driver : [CHARGE] ¤¤¤

        ¤¤¤ Infection : ZeroAccess ¤¤¤

        ¤¤¤ Fichier HOSTS: ¤¤¤
        --> C:\windows\system32\drivers\etc\hosts

        ¤¤¤ MBR Verif: ¤¤¤

        +++++ PhysicalDrive0: WDC WD3200BPVT-80JJ5T0 +++++
        --- User ---
        [MBR] 08824852bcacf7ad50f0a606645b04b6
        [BSP] 157c58985a93fe14dfea6f66166b01ab : Windows 7/8 MBR Code
        Partition table:
        0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 102400 Mo
        1 - [XXXXXX] FAT32 (0x1b) [HIDDEN!] Offset (sectors): 209717248 | Size: 15360 Mo
        2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 241174528 | Size: 187468 Mo
        3 - [XXXXXX] UNKNOWN (0xef) [VISIBLE] Offset (sectors): 625108992 | Size: 16 Mo
        User = LL1 ... OK!
        User = LL2 ... OK!

        +++++ PhysicalDrive1: TDKMedia Trans-It Drive USB Device +++++
        --- User ---
        [MBR] ad94e008f1fbe1f2ada9602272837e4a
        [BSP] e814d54d99a3aab77faa95ec9d5355c0 : MBR Code unknown
        Partition table:
        0 - [ACTIVE] FAT32 (0x0b) [VISIBLE] Offset (sectors): 128 | Size: 3811 Mo
        User = LL1 ... OK!
        Error reading LL2 MBR!

        Termine : << RKreport[1]_S_08062013_002549.txt >>
        RKreport[1]_S_08062013_002549.txt

        Je suis en train de faire tourner OTL.

        Merci énormément pour ton aide ;)
        1. Malekal_morte- Modérateur
          C'est AdwCleaner qu'il faut faire avant OTL.
          1. Max
            C'est ce que j'ai fait. Je viens de t'envoyer le rapport de AdwCleaner, et maintenant, OTL est en train de tourner ;)
          2. Malekal_morte- Modérateur
            non tu as envoyé un rapport RogueKiller.
            Donc fais AdwCleaner.
          3. Max
            Au temps pour moi ^^'
            Voici le bon document:

            # AdwCleaner v2.302 - Rapport créé le 08/06/2013 à 11:30:03
            # Mis à jour le 06/06/2013 par Xplode
            # Système d'exploitation : Windows 7 Starter Service Pack 1 (32 bits)
            # Nom d'utilisateur : Maxime - PC-DE-MAXIME
            # Mode de démarrage : Normal
            # Exécuté depuis : C:\Users\Maxime\Desktop\adwcleaner.exe
            # Option [Suppression]

            ***** [Services] *****

            ***** [Fichiers / Dossiers] *****

            ***** [Registre] *****

            ***** [Navigateurs] *****

            -\\ Internet Explorer v10.0.9200.16576

            [OK] Le registre ne contient aucune entrée illégitime.

            -\\ Mozilla Firefox v21.0 (fr)

            Fichier : C:\Users\Maxime\AppData\Roaming\Mozilla\Firefox\Profiles\ju3l18nm.default\prefs.js

            [OK] Le fichier ne contient aucune entrée illégitime.

            *************************

            AdwCleaner[S1].txt - [8424 octets] - [08/06/2013 11:11:24]
            AdwCleaner[S2].txt - [833 octets] - [08/06/2013 11:30:03]

            ########## EOF - C:\AdwCleaner[S2].txt - [892 octets] ##########
          4. Max
            J'essaie d'envoyer le rapport, mais lorsque je poste, CCM me marque : titre du message non renseigné.
            Édit: c'est d'autant plus bizarre que ce message à pu s'envoyer --'
            Tu as une adresse email sinon ?
          5. Malekal_morte- Modérateur
            donc utilise pjjoint...
        2. Malekal_morte- Modérateur
          yep ça doit être bon :)

          Installe Malwarebyte's Anti-Malware : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
          Fais des scans réguliers avec, il est efficace.

          Sécurise ton PC !

          Important - ton infection est venue par un exploit sur site web :

          Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.
          Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.
          Exemple avec : Exploit Java

          Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
          Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

          IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash :
          /faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite
          https://forum.malekal.com/viewtopic.php?t=15960&start=

          Désactive Java de tes navigateurs WEB : https://www.commentcamarche.net/faq/35621-desactiver-java-sur-ses-navigateurs-web

          Passe le mot à tes amis !

          ~~

          Filtrer les PUPs/Adwares les plus fréquents avec HOSTS Anti-PUPs/Adwares : http://www.malekal.com/2012/01/10/hosts-anti-pupsadware/

          ~~

          Le reste de la sécurité : http://forum.malekal.com/comment-securiser-son-ordinateur.html

          1. Max
            Je fais faire ça :)
            Merci beaucoup pour ton aide. Je ne sais pas ce que j'aurais fait sans toi ^^"
            Encore une petite chose: depuis toutes ces manipulations, j'ai plein d'icônes translucides qui sont apparues dans le bureau, mais aussi dans mes documents... Comment puis-je m'en débarrasser ? ^^'

            Discussions similaires

            Ouvrir un fichier .pub sans Publisher
            baissaoui

            0 réponse
            question pix mot caché
            aorum10

            7 réponses