Sujet Précédent Sujet Suivant

Virus Qvo6 qui ne veut pas partir!!

Résolu/Fermé
eylo3451 Messages postés 7 Date d'inscription dimanche 22 septembre 2013 Statut Membre Dernière intervention 22 septembre 2013 - 22 sept. 2013 à 10:49
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 - 22 sept. 2013 à 13:20
Bonjour,

Je viens vers vous car depuis hier j'essaie de supprimer un virus qui ne me lâche pas : qvo6.
Il est apparu sur Chrome (surement en lien avec une extension...), au démarrage en tant que nouvel onglet. J'ai essayé de le supprimer dans les paramètres de Chrome (au démarrage du navigateur et dans la liste des moteurs de recherche) mais à chaque redémarrage de chrome il réapparaissait. J'ai finis par désinstaller chrome (après avoir lancé un scan rapide avec malwarebyte >> 1 fichier infecté Trojan.FakeAlert sur C:\end) et je me suis mise sur Opéra.

Premier lancement : tout va bien, pas d'onglet avec qvo6. Pensant qu'il devait tout de même être caché quelque part, j'ai lancé adwcleaner et Junkware Removal Tool puis j'ai redémarré... et de nouveau qvo6 qui apparait en onglet au démarrage d'opéra...
Désespérée, je désinstalle (avec Révo) deux logiciels (DProtect et Wsys - je me demande bien comment ils sont apparus...) qui avaient été identifié avec le log de Junkware Removal Tool. Je relance ADW puis je redémarre le PC. Et de nouveau, au redémarrage d'opéra, je me retrouve une fois de plus avec qvo6 en nouvel onglet...

Je ne sais donc plus quoi faire pour me séparer de ce virus...
Voici donc les différents logs que j'ai pu réaliser:

Scan Rogue Killer:
1) 
RogueKiller V8.6.12 [Sep 18 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : http://www.adlice.com/forum/
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur : Elodie [Droits d'admin]
Mode : Recherche -- Date : 09/19/2013 00:01:37
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 1 ¤¤¤
[SUSP PATH] UnsignedThemesSvc.exe -- C:\Windows\UnsignedThemesSvc.exe [7] -> TUÉ [TermProc]

¤¤¤ Entrees de registre : 2 ¤¤¤
[HJ POL][PUM] HKCU\[...]\System : DisableTaskMgr (0) -> TROUVÉ
[HJ POL][PUM] HKCU\[...]\System : DisableRegistryTools (0) -> TROUVÉ

¤¤¤ Tâches planifiées : 0 ¤¤¤

¤¤¤ Entrées Startup : 0 ¤¤¤

¤¤¤ Navigateurs web : 0 ¤¤¤

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤
[Address] SSDT[75] : NtCreateSection @ 0x83647F95 -> HOOKED (Unknown @ 0x8E2F29BE)
[Address] SSDT[276] : NtRequestWaitReplyPort @ 0x8365A132 -> HOOKED (Unknown @ 0x8E2F29C8)
[Address] SSDT[289] : NtSetContextThread @ 0x836A92CF -> HOOKED (Unknown @ 0x8E2F29C3)
[Address] SSDT[314] : NtSetSecurityObject @ 0x835D6027 -> HOOKED (Unknown @ 0x8E2F29CD)
[Address] SSDT[332] : NtSystemDebugControl @ 0x8360EEE9 -> HOOKED (Unknown @ 0x8E2F29D2)
[Address] SSDT[334] : NtTerminateProcess @ 0x8360716B -> HOOKED (Unknown @ 0x8E2F295F)
[Address] Shadow SSDT[573] : NtUserSetWindowsHookEx -> HOOKED (Unknown @ 0x8E2F29E6)
[Address] Shadow SSDT[576] : NtUserSetWinEventHook -> HOOKED (Unknown @ 0x8E2F29EB)

¤¤¤ Ruches Externes: ¤¤¤

¤¤¤ Infection :  ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> %SystemRoot%\System32\drivers\etc\hosts


127.0.0.1       localhost
::1             localhost


¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: (\\.\PHYSICALDRIVE0 @ IDE) (Lecteurs de disque standard) - TOSHIBA MK3255GSX +++++
--- User ---
[MBR] 816d05275a5444783d643ffe6f86f7b7
[BSP] 37b5b42b7c5b9d0d9f45c31b30f4e5e1 : Windows Vista MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 1500 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 3074048 | Size: 152463 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 315318272 | Size: 151280 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: (\\.\PHYSICALDRIVE1 @ USB) (Lecteurs de disque standard) - Generic-Multi-Card       USB Device +++++
--- User ---
[MBR] a6e2bf9f2697c4101352ee32148834e7
[BSP] df4f83c1f72e36823a12b0dfc7617313 : Empty MBR Code
Partition table:
0 - [ACTIVE] FAT16 (0x06) [VISIBLE] Offset (sectors): 227 | Size: 952 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

+++++ PhysicalDrive2: (\\.\PHYSICALDRIVE2 @ USB) (Lecteurs de disque standard) - Samsung S2 Portable USB Device +++++
--- User ---
[MBR] 757e092ccdf52ba1587e7fe09ee0ff8d
[BSP] 930ee67cf308329c91fab90fd10aa6e6 : Windows XP MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 64 | Size: 476937 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[0]_S_09192013_000137.txt >>


2) ADW puis nettoyage >> de nouveau qvo6 au démarrage d'opéra... 
# AdwCleaner v3.004 - Rapport créé le 19/09/2013 à 00:39:18
# Mis à jour le 15/09/2013 par Xplode
# Système d'exploitation : Windows Vista (TM) Home Premium Service Pack 2 (32 bits)
# Nom d'utilisateur : Elodie - PC-DE-ELODIE
# Exécuté depuis : C:\Users\Elodie\Downloads\AdwCleaner.exe
# Option : Nettoyer

***** [ Services ] *****


***** [ Fichiers / Dossiers ] *****

Dossier Supprimé : C:\Users\Elodie\AppData\Local\Temp\eIntaller
Dossier Supprimé : C:\Users\Elodie\AppData\Local\Temp\Wajam
Dossier Supprimé : C:\Users\Elodie\AppData\LocalLow\uTorrentBar_FR

***** [ Raccourcis ] *****


***** [ Registre ] *****

Clé Supprimée : HKLM\SOFTWARE\Google\Chrome\Extensions\jpmbfleldcgkldadpdinhjjopdfpjfjp
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Offerbox
Clé Supprimée : HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Application\WsysSvc
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{08C06D61-F1F3-4799-86F8-BE1A89362C85}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{4DAAC69C-CBA7-45E2-9BC8-1044483D3352}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{898EA8C8-E7FF-479B-8935-AEC46303B9E5}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{483830EE-A4CD-4B71-B0A3-3D82E62A6909}
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{08C06D61-F1F3-4799-86F8-BE1A89362C85}]
Donnée Restaurée : HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}

***** [ Navigateurs ] *****

-\\ Internet Explorer v7.0.6002.18005


*************************

AdwCleaner[R0].txt - [2202 octets] - [19/09/2013 00:38:08]
AdwCleaner[S0].txt - [1932 octets] - [19/09/2013 00:39:18]

########## EOF - C:\AdwCleaner\AdwCleaner[S0].txt - [1992 octets] ##########

3) de nouveau Rogue Killer: 
RogueKiller V8.6.12 [Sep 18 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : http://www.adlice.com/forum/
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows Vista (6.0.6002 Service Pack 2) 32 bits version
Demarrage : Mode normal
Utilisateur : Elodie [Droits d'admin]
Mode : Recherche -- Date : 09/19/2013 00:52:38
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 1 ¤¤¤
[SUSP PATH] UnsignedThemesSvc.exe -- C:\Windows\UnsignedThemesSvc.exe [7] -> TUÉ [TermProc]

¤¤¤ Entrees de registre : 2 ¤¤¤
[HJ POL][PUM] HKCU\[...]\System : DisableTaskMgr (0) -> TROUVÉ
[HJ POL][PUM] HKCU\[...]\System : DisableRegistryTools (0) -> TROUVÉ

¤¤¤ Tâches planifiées : 0 ¤¤¤

¤¤¤ Entrées Startup : 0 ¤¤¤

¤¤¤ Navigateurs web : 0 ¤¤¤

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤
[Address] SSDT[75] : NtCreateSection @ 0x8364FF95 -> HOOKED (Unknown @ 0x8E231AFE)
[Address] SSDT[276] : NtRequestWaitReplyPort @ 0x83662132 -> HOOKED (Unknown @ 0x8E231B08)
[Address] SSDT[289] : NtSetContextThread @ 0x836B12CF -> HOOKED (Unknown @ 0x8E231B03)
[Address] SSDT[314] : NtSetSecurityObject @ 0x835DE027 -> HOOKED (Unknown @ 0x8E231B0D)
[Address] SSDT[332] : NtSystemDebugControl @ 0x83616EE9 -> HOOKED (Unknown @ 0x8E231B12)
[Address] SSDT[334] : NtTerminateProcess @ 0x8360F16B -> HOOKED (Unknown @ 0x8E231A9F)
[Address] Shadow SSDT[573] : NtUserSetWindowsHookEx -> HOOKED (Unknown @ 0x8E231B26)
[Address] Shadow SSDT[576] : NtUserSetWinEventHook -> HOOKED (Unknown @ 0x8E231B2B)

¤¤¤ Ruches Externes: ¤¤¤

¤¤¤ Infection :  ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> %SystemRoot%\System32\drivers\etc\hosts


127.0.0.1       localhost
::1             localhost


¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: (\\.\PHYSICALDRIVE0 @ IDE) (Lecteurs de disque standard) - TOSHIBA MK3255GSX +++++
--- User ---
[MBR] 816d05275a5444783d643ffe6f86f7b7
[BSP] 37b5b42b7c5b9d0d9f45c31b30f4e5e1 : Windows Vista MBR Code
Partition table:
0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 1500 Mo
1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 3074048 | Size: 152463 Mo
2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 315318272 | Size: 151280 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: (\\.\PHYSICALDRIVE1 @ USB) (Lecteurs de disque standard) - Generic-Multi-Card       USB Device +++++
--- User ---
[MBR] a6e2bf9f2697c4101352ee32148834e7
[BSP] df4f83c1f72e36823a12b0dfc7617313 : Empty MBR Code
Partition table:
0 - [ACTIVE] FAT16 (0x06) [VISIBLE] Offset (sectors): 227 | Size: 952 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

+++++ PhysicalDrive2: (\\.\PHYSICALDRIVE2 @ USB) (Lecteurs de disque standard) - Samsung S2 Portable USB Device +++++
--- User ---
[MBR] 757e092ccdf52ba1587e7fe09ee0ff8d
[BSP] 930ee67cf308329c91fab90fd10aa6e6 : Windows XP MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 64 | Size: 476937 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[0]_S_09192013_005238.txt >>
RKreport[0]_S_09192013_000137.txt


Malwarebyte's Anti-Malware 
Malwarebytes Anti-Malware 1.75.0.1300
www.malwarebytes.org

Version de la base de données: v2013.09.18.12

Windows Vista Service Pack 2 x86 NTFS
Internet Explorer 7.0.6002.18005
Elodie :: PC-DE-ELODIE [administrateur]

19/09/2013 01:10:47
mbam-log-2013-09-19 (01-10-47).txt

Type d'examen: Examen complet (C:\|E:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 444802
Temps écoulé: 3 heure(s), 58 minute(s), 35 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 1
HKLM\SOFTWARE\Google\Chrome\Extensions\ifohbjbgfchkkfhphahclmkpgejiplfo (PUP.Optional.Elex.A) -> Mis en quarantaine et supprimé avec succès.

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 10
C:\$RECYCLE.BIN\S-1-5-21-1535872771-62515368-1316973727-1000\$R31WMMK\1\wajam_install.exe (PUP.Optional.Wajam.A) -> Mis en quarantaine et supprimé avec succès.
C:\AdwCleaner\Quarantine\C\Users\Elodie\AppData\Local\Temp\eIntaller\2DF80F09BB424ac5A6A24234B0888C62\eXQ.exe.vir (PUP.Optional.DProtect.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Elodie\AppData\Local\Temp\Wajam_download.exe (PUP.Optional.Wajam) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Elodie\AppData\Local\Temp\adks_ar_qvo6.exe (PUP.Optional.Elex) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Elodie\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\I2QRBA6L\wajam_download[1].exe (PUP.Optional.Wajam) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Elodie\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\Y6EBA86Y\wajam_install[1].exe (PUP.Optional.Wajam.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Elodie\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\YT507NW3\adks_ar_qvo6[1].exe (PUP.Optional.Elex) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Elodie\Downloads\77ZipSetup.exe (Adware.InstallBrain) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Elodie\Downloads\SoftonicDownloader_pour_lion-transformation-pack.exe (PUP.Optional.Softonic) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Elodie\Downloads\SoftonicDownloader_pour_windows-8-transformation-pack.exe (PUP.Optional.Softonic) -> Mis en quarantaine et supprimé avec succès.

(fin)

Désolée pour la longueur, je voulais vous montrer les rapports effectués...
Je précise qu'avant de poster, j'ai essayé de trouver des solutions avec les postes déjà existants!

Merci à vous :)
Élodie.

4 réponses

Réponse 1 / 4
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
Modifié par Malekal_morte- le 22/09/2013 à 10:50
Salut,

Désinstalle / Réinstalle Google Chrome comme expliqué à la fin de cette page : https://www.malekal.com/reparer-google-chrome/?t=35837&start=


Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left
0
eylo3451 Messages postés 7 Date d'inscription dimanche 22 septembre 2013 Statut Membre Dernière intervention 22 septembre 2013
22 sept. 2013 à 10:55
Salut,
Il est sur Opéra car j'ai désinstallé Chrome. Il apparaît à chaque démarrage du navigateur...
0
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
22 sept. 2013 à 10:58
DProtect vient avec un pack qvo6.
Dprotect remet qvo6 dans les raccourcis des navigateurs => https://www.malekal.com/qvo6-en-v9-com-isafe-et-trojan-win32-staser/

Il a du avoir le temps de toucher le raccourci d'Opera avant que tu ne le vires...
Je pense qu'AdwCleaner ne doit pas nettoyer les raccourcis d'Opera et clef.

Donc le mieux c'est de le désinstaller et réinstaller Opera ou remettre Google Chrome.
0
Réponse 2 / 4
eylo3451 Messages postés 7 Date d'inscription dimanche 22 septembre 2013 Statut Membre Dernière intervention 22 septembre 2013
22 sept. 2013 à 11:25
Buchhulk, j'ai tout de fais ce que tu m'as dit :)

JRT: https://www.cjoint.com/?0Iwlx5Glhgn

ZHPDiag: https://www.cjoint.com/?0IwlzjD46Qz
0
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
22 sept. 2013 à 11:26
Fais ça : https://forums.commentcamarche.net/forum/affich-28760632-virus-qvo6-qui-ne-veut-pas-partir#1
0
eylo3451 Messages postés 7 Date d'inscription dimanche 22 septembre 2013 Statut Membre Dernière intervention 22 septembre 2013
22 sept. 2013 à 11:28
Et je désinstalle Opéra ? (avant de réinstaller Chrome)
0
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
22 sept. 2013 à 11:29
Comme tu veux.
Pour Opera, si tu veux qu'il n'y est plus qvo6 au démarrage.

Sur l'icone de lancement, clic droit / propriétés
dans cible à la fin tu vires tout ce qui commence par http.
0
eylo3451 Messages postés 7 Date d'inscription dimanche 22 septembre 2013 Statut Membre Dernière intervention 22 septembre 2013
22 sept. 2013 à 11:37
Pour le raccourcis d'Opéra j'ai ça : https://www.cjoint.com/?0IwlJzuc7vx Il n'y à rien à supprimer...
Je vais réinstaller Chrome et voir ce qui se passe...
0
Réponse 3 / 4
eylo3451 Messages postés 7 Date d'inscription dimanche 22 septembre 2013 Statut Membre Dernière intervention 22 septembre 2013
Modifié par eylo3451 le 22/09/2013 à 11:46
Chrome réinstallé... Mais comment être sûre que qvo6 n'y est plus?? Car au dernier redémarrage d'Opéra il était toujours présent :/
0
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
22 sept. 2013 à 11:56
Désinstalle Opera.
Réinstalle le si tu veux l'utiliser.
0
eylo3451 Messages postés 7 Date d'inscription dimanche 22 septembre 2013 Statut Membre Dernière intervention 22 septembre 2013
22 sept. 2013 à 12:25
Opéra déinsinstallé! ça à l'air d'être bon...
0
Réponse 4 / 4
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
22 sept. 2013 à 13:20
:)

Pour ne plus te faire avoir.
A lire - Programmes parasites / PUPs : https://www.malekal.com/adwares-pup-protection/

0

Discussions similaires

Annuaire portable gratuit à partir d'un nom
dani26 -
Authority -

9 réponses
Est ce que le site tlauncher est dangereux ?
caribou -
bazfile -

1 réponse
Comment trouver un numéro à partir du nom et prénom
papillon -
guyguy -

10 réponses
Trouver un numero de portable a partir d'un nom svp
Hafhoufti -
Babe -

2 réponses
Trouver un nom avec une adresse
lakshmi66 -
Nath01 -

11 réponses