TR/ATRAPS.Gen2

Salut,

A transférer par clef USB :

[*] Télécharger sur le bureau https://forum.malekal.com/viewtopic.php?t=29444&start= (suivre le lien officiel)
[*] !!! ATTENTION !! Sur la page de RogueKiller - "Prendre Lien de téléchargement" - avec les cercles violets. En cliquant sur ces cercles le programme se télécharge.
[*] Quitter tous les programmes
[*] Lancer RogueKiller.exe.
[*] Attendre que le Prescan ait fini ...
[*] Lance un scan afin de débloquer le bouton Suppression à droite.
[*] Clic sur Suppression.
[*] Copie/colle le contenu du rapport ici.

!!! Je répète bien faire Suppression à droite et poster le rapport. !!!

Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left

Salut,
Ok faut que je transfère par clef USB mais je pourrai pas le faire dans l'immédiat donc je te tiens au jus dès que possible.
Merci pour la réponse rapide

Bonjour
Voila le rapport
:
RogueKiller V8.5.4 [Mar 18 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : http://www.sur-la-toile.com/discussion-193725-1--RogueKiller-Remontees.html
Site Web : http://www.sur-la-toile.com/RogueKiller/
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur : Celine [Droits d'admin]
Mode : Suppression -- Date : 14/06/2013 15:21:46
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 2 ¤¤¤
[DLL] explorer.exe -- C:\Windows\explorer.exe : C:\ProgramData\ACTIV Software\ActivApplications\ActivFocusHook.dll [x] -> DECHARGÉE
[DLL] explorer.exe -- C:\Windows\explorer.exe : C:\ProgramData\ACTIV Software\ActivApplications\ActivFocusHook.dll [x] -> DECHARGÉE

¤¤¤ Entrees de registre : 6 ¤¤¤
[RUN][SUSP PATH] HKCU\[...]\Run : Kujytuo ("C:\Users\Celine\AppData\Roaming\kujytuo.exe") [7] -> SUPPRIMÉ
[TASK][SUSP PATH] Test TimeTrigger : C:\Users\Celine\AppData\Local\Temp\Runner.exe C:\Users\Celine\AppData\Local\Temp\DNS.exe [x] -> SUPPRIMÉ
[HJ DESK] HKCU\[...]\ClassicStartMenu : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0)
[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0)
[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0)
[HJ INPROC][ZeroAccess] HKCR\[...]\InprocServer32 : (C:\$Recycle.Bin\S-1-5-18\$4a13d1b68ebca775230f53fdc0f86b12\n) [-] -> REMPLACÉ (C:\Windows\system32\wbem\fastprox.dll)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
[ZeroAccess][FILE] n : C:\$recycle.bin\S-1-5-18\$4a13d1b68ebca775230f53fdc0f86b12\n [-] --> SUPPRIMÉ AU REBOOT
[ZeroAccess][FILE] @ : C:\$recycle.bin\S-1-5-18\$4a13d1b68ebca775230f53fdc0f86b12\@ [-] --> SUPPRIMÉ AU REBOOT
[ZeroAccess][FILE] @ : C:\$recycle.bin\S-1-5-21-2302317321-2393293590-2250420488-1000\$4a13d1b68ebca775230f53fdc0f86b12\@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 00000004.@ : C:\$recycle.bin\S-1-5-18\$4a13d1b68ebca775230f53fdc0f86b12\U\00000004.@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 00000008.@ : C:\$recycle.bin\S-1-5-18\$4a13d1b68ebca775230f53fdc0f86b12\U\00000008.@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 000000cb.@ : C:\$recycle.bin\S-1-5-18\$4a13d1b68ebca775230f53fdc0f86b12\U\000000cb.@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 80000000.@ : C:\$recycle.bin\S-1-5-18\$4a13d1b68ebca775230f53fdc0f86b12\U\80000000.@ [-] --> SUPPRIMÉ
[ZeroAccess][FOLDER] ROOT : C:\$recycle.bin\S-1-5-18\$4a13d1b68ebca775230f53fdc0f86b12\U --> SUPPRIMÉ
[ZeroAccess][FOLDER] ROOT : C:\$recycle.bin\S-1-5-21-2302317321-2393293590-2250420488-1000\$4a13d1b68ebca775230f53fdc0f86b12\U --> SUPPRIMÉ
[Del.Parent][FILE] 00000004.@ : C:\$recycle.bin\S-1-5-18\$4a13d1b68ebca775230f53fdc0f86b12\L\00000004.@ [-] --> SUPPRIMÉ
[Del.Parent][FILE] 76603ac3 : C:\$recycle.bin\S-1-5-18\$4a13d1b68ebca775230f53fdc0f86b12\L\76603ac3 [-] --> SUPPRIMÉ
[ZeroAccess][FOLDER] ROOT : C:\$recycle.bin\S-1-5-18\$4a13d1b68ebca775230f53fdc0f86b12\L --> SUPPRIMÉ
[ZeroAccess][FOLDER] ROOT : C:\$recycle.bin\S-1-5-21-2302317321-2393293590-2250420488-1000\$4a13d1b68ebca775230f53fdc0f86b12\L --> SUPPRIMÉ
[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC\Desktop.ini [-] --> SUPPRIMÉ AU REBOOT

¤¤¤ Driver : [CHARGE] ¤¤¤
SSDT[75] : NtCreateSection @ 0x82832FA5 -> HOOKED (Unknown @ 0x8DDF592E)
SSDT[289] : NtSetContextThread @ 0x8289425F -> HOOKED (Unknown @ 0x8DDF5933)
SSDT[334] : NtTerminateProcess @ 0x827F2173 -> HOOKED (Unknown @ 0x8DDF58CF)
S_SSDT[573] : NtUserSetWindowsHookEx -> HOOKED (Unknown @ 0x8DDF5938)
S_SSDT[576] : NtUserSetWinEventHook -> HOOKED (Unknown @ 0x8DDF593D)
IRP[IRP_MJ_CREATE] : \SystemRoot\system32\DRIVERS\iaStor.sys -> HOOKED ([MAJOR] Unknown @ 0x8581A1F8)
IRP[IRP_MJ_CLOSE] : \SystemRoot\system32\DRIVERS\iaStor.sys -> HOOKED ([MAJOR] Unknown @ 0x8581A1F8)
IRP[IRP_MJ_DEVICE_CONTROL] : \SystemRoot\system32\DRIVERS\iaStor.sys -> HOOKED ([MAJOR] Unknown @ 0x8581A1F8)
IRP[IRP_MJ_INTERNAL_DEVICE_CONTROL] : \SystemRoot\system32\DRIVERS\iaStor.sys -> HOOKED ([MAJOR] Unknown @ 0x8581A1F8)
IRP[IRP_MJ_POWER] : \SystemRoot\system32\DRIVERS\iaStor.sys -> HOOKED ([MAJOR] Unknown @ 0x8581A1F8)
IRP[IRP_MJ_SYSTEM_CONTROL] : \SystemRoot\system32\DRIVERS\iaStor.sys -> HOOKED ([MAJOR] Unknown @ 0x8581A1F8)
IRP[IRP_MJ_PNP] : \SystemRoot\system32\DRIVERS\iaStor.sys -> HOOKED ([MAJOR] Unknown @ 0x8581A1F8)

¤¤¤ Infection : ZeroAccess ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts

127.0.0.1 localhost
::1 localhost

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: Hitachi HTS542516K9SA00 +++++
--- User ---
[MBR] f8ada940ab039b8373d7617ed501025c
[BSP] 21f961e148e9f6b285c501544a50005c : Windows Vista MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 1500 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 3074048 | Size: 76313 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 159363072 | Size: 74813 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Termine : << RKreport[2]_D_14062013_152146.txt >>
RKreport[1]_S_14062013_152024.txt ; RKreport[2]_D_14062013_152146.txt

Sur le bureau, tu dois avoir un dossier RK_Quarantine.
Clic droit dessus puis envoyers vers et dossier compressé.
Cela va créer un fichier RK_Quarantaine.zip

Vas sur http://upload.malekal.com
clic sur Parcourir
sélectionne RK_Quarantaine.zip puis envoyer.

~~

Télécharge http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/28-adwcleaner AdwCleaner ( d'Xplode ) sur ton bureau.
Lance le, clique sur [Suppression] puis patiente le temps du scan (Pas besoin de faire de Recherche avant).
Une fois le scan fini, un rapport s'ouvrira. Copie/colle le contenu du rapport dans ta prochaine réponse par un copier/coller.
Si cela ne fonctionne pas, utilise le site http://pjjoint.malekal.com pour héberger le rapport, donne le lien du rapport dans un nouveau message.

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

puis :

Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\*.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
CREATERESTOREPOINT
nslookup www.google.fr /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs

* Clique sur le bouton Analyse.

* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message.
Je répète : donne le lien du rapport pjjoint ici dans un nouveau message.

NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE

Rapport Adw :
# AdwCleaner v2.303 - Rapport créé le 14/06/2013 à 15:45:39
# Mis à jour le 08/06/2013 par Xplode
# Système d'exploitation : Windows Vista (TM) Home Premium Service Pack 2 (32 bits)
# Nom d'utilisateur : Celine - HARRY
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\Celine\Desktop\adwcleaner.exe
# Option [Suppression]

***** [Services] *****

***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Program Files\DnsBasic
Dossier Supprimé : C:\Program Files\DomaIQ Uninstaller
Dossier Supprimé : C:\ProgramData\Ask
Dossier Supprimé : C:\ProgramData\Babylon
Dossier Supprimé : C:\ProgramData\DnsBasic
Dossier Supprimé : C:\Users\Celine\AppData\Local\Supreme Savings
Dossier Supprimé : C:\Users\Celine\AppData\LocalLow\BabylonToolbar
Dossier Supprimé : C:\Users\Celine\AppData\LocalLow\Delta
Dossier Supprimé : C:\Users\Celine\AppData\LocalLow\Toolbar4
Dossier Supprimé : C:\Users\Celine\AppData\Roaming\Babylon
Dossier Supprimé : C:\Users\Celine\AppData\Roaming\WebPlayerBdd
Fichier Supprimé : C:\Program Files\Mozilla Firefox\searchplugins\babylon.xml
Fichier Supprimé : C:\user.js
Fichier Supprimé : C:\Users\Celine\AppData\Roaming\kujytuo.exe
Fichier Supprimé : C:\Users\Celine\AppData\Roaming\Mozilla\Firefox\Profiles\s83hwpk6.default\bProtector_extensions.rdf
Fichier Supprimé : C:\Users\Celine\AppData\Roaming\Mozilla\Firefox\Profiles\s83hwpk6.default\searchplugins\Askcom.xml
Fichier Supprimé : C:\Users\Celine\AppData\Roaming\Mozilla\Firefox\Profiles\s83hwpk6.default\searchplugins\delta.xml

***** [Registre] *****

Clé Supprimée : HKCU\Software\AppDataLow\Software\Crossrider
Clé Supprimée : HKCU\Software\BabylonToolbar
Clé Supprimée : HKCU\Software\DataMngr
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{96BD48DD-741B-41AE-AC4A-AFF96BA00F7E}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{79A765E1-C399-405B-85AF-466F52E918B0}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{CD95D125-2992-4858-B3EF-5F6FB52FBAD6}
Clé Supprimée : HKCU\Software\YahooPartnerToolbar
Clé Supprimée : HKLM\Software\Babylon
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4EAF-B541-F8DE92DD98DB}
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{C26644C4-2A12-4CA6-8F2E-0EDE6CF018F3}
Clé Supprimée : HKLM\SOFTWARE\Classes\bbylntlbr.bbylntlbrHlpr
Clé Supprimée : HKLM\SOFTWARE\Classes\bbylntlbr.bbylntlbrHlpr.1
Clé Supprimée : HKLM\SOFTWARE\Classes\Prod.cap
Clé Supprimée : HKLM\Software\DataMngr
Clé Supprimée : HKLM\Software\DomaIQ
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{31111111-1111-1111-1111-110111991162}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{628F3201-34D0-49C0-BB9A-82A26AEFB291}
Clé Supprimée : HKLM\Software\Supreme Savings
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{4F11ACBB-393F-4C86-A214-FF3D0D155CC3}]

***** [Navigateurs] *****

-\\ Internet Explorer v9.0.8112.16483

Remplacé : [HKLM\SOFTWARE\Microsoft\Internet Explorer\Main - Start Page] = hxxp://www.bigseekpro.com/burn4free/{7B769DC1-B36F-438C-BE23-268E3A9E152C} --> hxxp://www.google.com

-\\ Mozilla Firefox v21.0 (fr)

Fichier : C:\Users\Celine\AppData\Roaming\Mozilla\Firefox\Profiles\s83hwpk6.default\prefs.js

C:\Users\Celine\AppData\Roaming\Mozilla\Firefox\Profiles\s83hwpk6.default\user.js ... Supprimé !

Supprimée : user_pref("browser.babylon.HPOnNewTab", "search.babylon.com");
Supprimée : user_pref("browser.search.defaultengine", "Ask.com");
Supprimée : user_pref("extensions.BabylonToolbar_i.aflt", "babsst");
Supprimée : user_pref("extensions.BabylonToolbar_i.babExt", "");
Supprimée : user_pref("extensions.BabylonToolbar_i.babTrack", "affID=108988");
Supprimée : user_pref("extensions.BabylonToolbar_i.hardId", "fae266430000000000000013e8ca95e9");
Supprimée : user_pref("extensions.BabylonToolbar_i.id", "fae266430000000000000013e8ca95e9");
Supprimée : user_pref("extensions.BabylonToolbar_i.instlDay", "15436");
Supprimée : user_pref("extensions.BabylonToolbar_i.instlRef", "sst");
Supprimée : user_pref("extensions.BabylonToolbar_i.newTab", true);
Supprimée : user_pref("extensions.BabylonToolbar_i.newTabUrl", "hxxp://search.babylon.com/?AF=108988&tt=290312_b[...]
Supprimée : user_pref("extensions.BabylonToolbar_i.prdct", "BabylonToolbar");
Supprimée : user_pref("extensions.BabylonToolbar_i.prtnrId", "babylon");
Supprimée : user_pref("extensions.BabylonToolbar_i.smplGrp", "none");
Supprimée : user_pref("extensions.BabylonToolbar_i.srcExt", "ss");
Supprimée : user_pref("extensions.BabylonToolbar_i.tlbrId", "base");
Supprimée : user_pref("extensions.BabylonToolbar_i.vrsn", "1.5.3.17");
Supprimée : user_pref("extensions.BabylonToolbar_i.vrsnTs", "1.5.3.1715:59:36");
Supprimée : user_pref("extensions.BabylonToolbar_i.vrsni", "1.5.3.17");
Supprimée : user_pref("extensions.delta.admin", false);
Supprimée : user_pref("extensions.delta.aflt", "babsst");
Supprimée : user_pref("extensions.delta.appId", "{C26644C4-2A12-4CA6-8F2E-0EDE6CF018F3}");
Supprimée : user_pref("extensions.delta.autoRvrt", "false");
Supprimée : user_pref("extensions.delta.dfltLng", "en");
Supprimée : user_pref("extensions.delta.excTlbr", false);
Supprimée : user_pref("extensions.delta.ffxUnstlRst", true);
Supprimée : user_pref("extensions.delta.id", "fae266430000000000000013e8ca95e9");
Supprimée : user_pref("extensions.delta.instlDay", "15822");
Supprimée : user_pref("extensions.delta.instlRef", "sst");
Supprimée : user_pref("extensions.delta.newTab", false);
Supprimée : user_pref("extensions.delta.prdct", "delta");
Supprimée : user_pref("extensions.delta.prtnrId", "delta");
Supprimée : user_pref("extensions.delta.rvrt", "false");
Supprimée : user_pref("extensions.delta.smplGrp", "none");
Supprimée : user_pref("extensions.delta.tlbrId", "base");
Supprimée : user_pref("extensions.delta.tlbrSrchUrl", "");
Supprimée : user_pref("extensions.delta.vrsn", "1.8.16.16");
Supprimée : user_pref("extensions.delta.vrsnTs", "1.8.16.1614:05:18");
Supprimée : user_pref("extensions.delta.vrsni", "1.8.16.16");

-\\ Google Chrome v27.0.1453.110

Fichier : C:\Users\Celine\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [6683 octets] - [14/06/2013 15:45:39]

########## EOF - C:\AdwCleaner[S1].txt - [6743 octets] ##########

Rapport OTL :
http://pjjoint.malekal.com/files.php?id=20130614_h15v5c11x6t14

désolé pour le temps mais j'ai un peu galéré

ok désinfecté.

Télécharge ce fichier sur ton bureau : https://www.malekal.com/download/ZeroAccess_ReparsePoint.cmd
(sur le lien - Clic droit / enregistrer la cible du lien sous et mets sur le ton bureau).

Tu dois donc avoir sur ton bureau ZeroAccess_ReparsePoint.cmd

Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.

Mets toi sur ta session.

Sur ZeroAccess_ReparsePoint.cmd
Clic droit / executer en tant qu'administrateur.
Une fenêtre noire va s'ouvrir et se fermer.
Un fichier texte va s'ouvrir, enregistre le sur le bureau (Menu Fichier / Enregistrer sous).

Redémarre en mode normal.

Regarde ce que ça donne pour Windows Defender et MSE.
Donne le contenu du fichier texte.

Ca me fait toujours pareil :
sous mozilla ca veut pas m'ouvrir et sous Explorer ca me dit que le fichier a un virus quand je fais "enregistrer la cible sous"
je n'ai donc pas fichier zeroacces..... .cmd