win32 Malware-gen Fermé

Question

Bonjour, 

Je me permet de poster ici car j'ai un problème depuis quelques jours... A chaque fois que j'allume mon pc, j'ai un message d'Avast me disant que je suis infecté par "win32 Malware-gen"... J'ai déjà lu quelques postes sur ce sujet, et il me faut apparemment un traitement personnalisé. Quelqu'un peut-il m'aider ? 
Merci d'avance....


Configuration: Windows 7 / Firefox 24.0

Malekal_morte- · Answer

Salut,

Détecté dans quel fichier svchost.exe ?

Ryukuharu · Answer

Oui c'est dans ce dossier ci...

ben loua · Answer

Expliques un petit-peu plus ton problème car sur avast (normalement) il suffit de mettre en quarantaine pour éliminer un virus.

Ryukuharu · Answer

J'ai fais plusieurs analyse avec Avast, il me trouve toujours ce virus "Win32 Malware-gen => svchost.exe". J'ai beau demander à le mettre en quarantaine il continue de me l'afficher continuellement à chaque démarrage de mon ordinateur... J'ai utilisé tout les outils conseillé et rien ni fait...

ben loua · Answer

Lances un scan au démarrage (Dans ses paramètres sélectionnes : mettre en quarentaine).Cela peut prendre un certain temps.

Malekal_morte- · Answer

[*] Télécharger sur le bureau https://forum.malekal.com/viewtopic.php?t=29444&start= (suivre le lien officiel) 
[*] !!! ATTENTION !! Sur la page de RogueKiller - "Prendre Lien de téléchargement" - avec les cercles violets. En cliquant sur ces cercles le programme se télécharge. 
[*] Quitter tous les programmes 
[*] Lancer RogueKiller.exe. 
[*] Attendre que le Prescan ait fini ... 
[*] Lance un scan afin de débloquer le bouton Suppression à droite. 
[*] Clic sur Suppression. 
[*] Copie/colle le contenu du rapport ici. 

!!! Je répète bien faire Suppression à droite et poster le rapport. !!! 


puis :



Télécharge et installe Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Mets le à jour, fais un scan rapide, supprime tout et poste le rapport ici. 
!!! Malwarebyte doit être à jour avant de faire le scan !!! 
Coche tout ce qui est détecté - puis bouton supprimer sélection pour tout supprimer.

Ryukuharu · Answer

Pour plus d'information voici ce qu'avast m'affiche : 
URL:	http://bookmakers55.free.fr/Bitcoin/1/API.class
processus:	C:\Windows\System32\svchost.exe
infection:	Java:Malware-gen [Trj]

Je vais faire ce que tu demandes Malekal.

Ryukuharu · Answer

Voici le rapport : RogueKiller V8.7.2 _x64_ [Oct 3 2013] par Tigzy mail : tigzyRKgmailcom Remontees : http://www.adlice.com/forum/ Site Web : https://www.luanagames.com/index.fr.html Blog : http://tigzyrk.blogspot.com/ Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version Demarrage : Mode normal Utilisateur : Ryùku Haru [Droits d'admin] Mode : Suppression -- Date : 10/12/2013 12:05:17 | ARK || FAK || MBR | ¤¤¤ Processus malicieux : 0 ¤¤¤ ¤¤¤ Entrees de registre : 2 ¤¤¤ [HJ DESK][PUM] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0) [HJ DESK][PUM] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0) ¤¤¤ Tâches planifiées : 0 ¤¤¤ ¤¤¤ Entrées Startup : 0 ¤¤¤ ¤¤¤ Navigateurs web : 0 ¤¤¤ ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver : [NON CHARGE 0x0] ¤¤¤ ¤¤¤ Ruches Externes: ¤¤¤ ¤¤¤ Infection : ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ --> %SystemRoot%\System32\drivers\etc\hosts 127.0.0.1 www.007guard.com 127.0.0.1 007guard.com 127.0.0.1 008i.com 127.0.0.1 www.008k.com 127.0.0.1 008k.com 127.0.0.1 www.00hq.com 127.0.0.1 00hq.com 127.0.0.1 010402.com 127.0.0.1 www.032439.com 127.0.0.1 032439.com 127.0.0.1 www.0scan.com 127.0.0.1 0scan.com 127.0.0.1 1000gratisproben.com 127.0.0.1 www.1000gratisproben.com 127.0.0.1 1001namen.com 127.0.0.1 www.1001namen.com 127.0.0.1 100888290cs.com 127.0.0.1 www.100888290cs.com 127.0.0.1 www.100sexlinks.com 127.0.0.1 100sexlinks.com [...] ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: (\.\PHYSICALDRIVE0 @ SCSI) (Lecteurs de disque standard) - WDC WD20EARS-22MVWB0 +++++ --- User --- [MBR] 043853cf7a60afeb6c40a668ddd58882 [BSP] 75c3b83843f7263e552895d92b0d510a : Windows 7/8 MBR Code Partition table: 0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 19456 Mo 1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 39847936 | Size: 100 Mo 2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 40052736 | Size: 944078 Mo 3 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 1973524480 | Size: 944093 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[0]_D_10122013_120517.txt >> RKreport[0]_S_10122013_120448.txt

Malekal_morte- · Answer

Encore ce bitcoin :/

Ryukuharu · Answer

Et le rapport de Malwarebyte 

Malwarebytes Anti-Malware 1.75.0.1300
www.malwarebytes.org

Version de la base de données: v2013.10.12.03

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 10.0.9200.16721
Ryùku Haru :: RYÙKUHARU-PC [administrateur]

12/10/2013 12:06:35
mbam-log-2013-10-12 (12-06-35).txt

Type d'examen: Examen rapide
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 264145
Temps écoulé: 5 minute(s), 13 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

Malekal_morte- · Answer

Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt 
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/    

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.    
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)    

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL    
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :    



netsvcs   
msconfig   
safebootminimal   
safebootnetwork   
activex   
drivers32   
%ALLUSERSPROFILE%\Application Data\*.   
%ALLUSERSPROFILE%\Application Data\*.exe /s   
%APPDATA%\*.   
%APPDATA%\*.exe /s   
%temp%\*.exe /s   
%SYSTEMDRIVE%\*.exe   
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles   
%windir%\Tasks\*.job /lockedfiles   
%systemroot%\system32\drivers\*.sys /lockedfiles   
%systemroot%\System32\config\*.sav   
/md5start   
explorer.exe   
winlogon.exe
services.exe
wininit.exe
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s
HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s
CREATERESTOREPOINT   
nslookup https://www.google.fr/?gws_rd=ssl /c   
SAVEMBR:0   
hklm\software\clients\startmenuinternet|command /rs   
hklm\software\clients\startmenuinternet|command /64 /rs



* Clique sur le bouton Analyse.

* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans une réponse.
Je répète : donne le lien du rapport pjjoint ici en réponse.

NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE

Ryukuharu · Answer

Voici le résultat : 

https://pjjoint.malekal.com/files.php?id=20131012_n8z5w14k6x10 => OTL.txt 
https://pjjoint.malekal.com/files.php?id=20131012_d6v10b13f11d11 => Extras.txt

Malekal_morte- · Answer

Désinstalle 
Spybot - pas efficace
Les trucs McAfee, pas efficace non plus. 




Relance OTL. 
o sous Personnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:  

:OTL
O4 - HKU\S-1-5-21-251609934-4198598261-2937682344-1001..\Run: [Akamai NetSession Interface] C:\Users\Ryùku Haru\AppData\Local\Akamai
etsession_win.exe (Akamai Technologies, Inc.) 
:Commands
[emptytemp] 
[emptyflash] 
[resethosts]
[reboot]

* poste le rapport ici 


~~~

Zip le dossier C:\_OTL 
Ouvre Mon Ordinateur / Poste de travail => Disque C 
Tu dois voir le dossier _OTL, ouvre le.
Là tu dois voir un dossier MovedFiles - NE PAS OUVRIR.
Dessus, fais : Clic droit / Envoyer vers dossier compressé.
Cela va créer un fichier MovedFiles.zip
Envoie ce fichier MovedFiles.zip sur http://upload.malekal.com

Ne pas envoyer OTL.exe qui se trouve sur le bureau, bien ouvrir Mon Ordinateur / Poste de travail puis le disque C.

Ryukuharu · Answer

Voici : 

All processes killed
========== OTL ==========
Registry value HKEY_USERS\S-1-5-21-251609934-4198598261-2937682344-1001\Software\Microsoft\Windows\CurrentVersion\Run\Akamai NetSession Interface deleted successfully.
C:\Users\Ryùku Haru\AppData\Local\Akamai
etsession_win.exe moved successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 57472 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: hedev
->Temp folder emptied: 43164427 bytes
 
User: Public
 
User: Richard
->Temp folder emptied: 18646089 bytes
->Temporary Internet Files folder emptied: 34860867 bytes
->Google Chrome cache emptied: 6449066 bytes
->Flash cache emptied: 673 bytes
 
User: RyÃ¹ku Haru
 
User: Ryùku
 
User: Ryùku Haru
->Temp folder emptied: 38325796 bytes
->Temporary Internet Files folder emptied: 67488888 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 392564742 bytes
->Google Chrome cache emptied: 34909306 bytes
->Flash cache emptied: 63363 bytes
 
User: Ry--ku Haru
->Temporary Internet Files folder emptied: 875616 bytes
->Google Chrome cache emptied: 6709244 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 95423773 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 97907 bytes
RecycleBin emptied: 776122614 bytes
 
Total Files Cleaned = 1 446,00 mb
 
 
[EMPTYFLASH]
 
User: All Users
 
User: Default
->Flash cache emptied: 0 bytes
 
User: Default User
->Flash cache emptied: 0 bytes
 
User: hedev
 
User: Public
 
User: Richard
->Flash cache emptied: 0 bytes
 
User: RyÃ¹ku Haru
 
User: Ryùku
 
User: Ryùku Haru
->Flash cache emptied: 0 bytes
 
User: Ry--ku Haru
 
Total Flash Files Cleaned = 0,00 mb
 
C:\Windows\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully
 
OTL by OldTimer - Version 3.2.69.0 log created on 10122013_182725

Files\Folders moved on Reboot...
C:\Users\Ryùku Haru\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
C:\Users\Ryùku Haru\AppData\Local\Microsoft\Windows\Temporary Internet Files\counters.dat moved successfully.
File move failed. C:\Windows	emp\_avast_\Webshlock.txt scheduled to be moved on reboot.

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

Malekal_morte- · Answer

Zip le dossier C:\_OTL 
Ouvre Mon Ordinateur / Poste de travail => Disque C 
Tu dois voir le dossier _OTL, ouvre le. 
Là tu dois voir un dossier MovedFiles - NE PAS OUVRIR. 
Dessus, fais : Clic droit / Envoyer vers dossier compressé. 
Cela va créer un fichier MovedFiles.zip 
Envoie ce fichier MovedFiles.zip sur http://upload.malekal.com 

Ne pas envoyer OTL.exe qui se trouve sur le bureau, bien ouvrir Mon Ordinateur / Poste de travail puis le disque C.

Ryukuharu · Answer

Il est impossible pour moi d'envoyer sur ce site http://upload.malekal.com, j'ai fais comme vous avez demandé mais "le fichier est invalide".

Win32 Malware-gen

16 réponses

Discussions similaires