Cheveal de troie via adresse payroll@adp.com Fermé

Question

Bonjour, 

Je reçois des mail avec l'adresse payroll@adp.com avec fichier joint que je n'ouvre jamais. J suis sus outlook. A chaque fois que je sélection ce mail pour le supprimer, mon anti-virus Kapersky me détecte le chargement et m'indique la suppression ou la mise en quarantaine mais je m'aperçois dans le rapport de l'anti-virus que que suis infecté!

La nouvelle est que à chaque fois que je veux imprimer un document, une fenêtre d'alerte provenant de l'antivirus m'indique :

Activité suspecte
Le processus a tenté d'accéder au cache DNS lors de la session
Programme potentiellement dangereux
Processus (PID : 5160)
C:\WINDOWS\SYSTEM32\HPZIPM12.EXE

Ensuite, il m'est demandé d'autoriser ou de terminer le processus et quoi que je fasse, je suis à nouveau infecté par je ne sais quoi...

Qu'en pensez-vous?
Connaissez-vous cette infection?
De plus mon PC rame sans arrêt...
Merci pour votre aide et vos conseils.
Fred

Utilisateur anonyme · Answer

Bonsoir

Pour de plus amples informations, fait ceci stp

Ouvre ce lien et télécharge ZHPDiag de Nicolas Coolman : 

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Ou

https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/

en bas de la page ZHP avec un numéro de version.
 
Une fois le téléchargement achevé, 

Double-clique sur l'icône pour lancer le programme.  Sous Vista ; Seven ou Windows 8 clic droit «  exécuter en tant que administrateur » 

 
Dans la fenêtre ZHPDiag qui vient de s'ouvrir,  clique sur "Configurer"

Clique sur  la loupe  en bas à gauche avec le signe plus   pour lancer l'analyse.


Laisse l'outil travailler, il peut être assez long. 

Un rapport s'ouvre. Ce rapport se trouve également sur ton bureau 

Pour transmettre le rapport clique sur ce lien: 
http://pjjoint.malekal.com/

Si problème utilise un des suivants

https://forums-fec.be/upload 
 https://www.cjoint.com/


Regarde sur le bureau
 
Sélectionne le fichier ZHPDiag.txt. 

Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.com/cjlink.php?file=cj200905/cijSKAP5fU.txt 

est ajouté dans la page. 

Copie ce lien dans ta réponse.

Merci

@+

fredstil · Answer

Voici le résultat

https://pjjoint.malekal.com/files.php?id=ZHPDiag_20140121_z12y5d13e10u10

Utilisateur anonyme · Answer

Re

1) Télécharge AdwCleaner ( d'Xplode ) sur ton bureau. 
Lance le, clique sur [Scanner]   puis patiente le temps du scan. 
Une fois le scan terminé clique sur le bouton  [Nettoyer] 
Patiente durant le nettoyage. Lis le message qui apparaît, puis clique sur  Ok  . Le PC va être redémarré automatiquement et le rapport s'ouvrira à la fin du redémarrage. 
Poste le rapport

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

A lire :
 Les programmes potentiellement indésirables :
https://www.malekal.com/adwares-pup-protection/

Les toolbars, c'est pas obligatoire ( par Malekal ) :https://forum.malekal.com/viewtopic.php?t=6173&start=


2)Télécharge Malwaresbytes anti malware ici  
https://fr.malwarebytes.com/mwb-download/

 
* Installe le (choisis bien "français" ; ne modifie pas les paramètres d'installe ) et  mets le à jour .   

A la fin de l'installation : 									Décoches « activer l'esssai gratuit de malwarebytes PRO »

* Potasse le tuto pour te familiariser avec le prg : 

https://forum.pcastuces.com/sujet.asp?f=31&s=3 

(cela dis, il est très simple d'utilisation). 

relance Malwaresbytes en suivant scrupuleusement ces consignes : 

! Déconnecte toi et ferme toutes applications en cours ! 

* Lance Malwarebyte's.   Sous Vista ;Seven ou Windows 8   (clic droit de la souris « exécuter en tant que administrateur »)

*Procèdes à une mise à jour

*Fais un examen dit "Rapide"

--> Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ). 
--> à la fin tu cliques sur  "Afficher les résultats" "   . 
--> Vérifie que tous les objets infectés soient validés, puis  clique sur " supprimer la sélection "   . 

 Note   : si il faut redémarrer ton PC pour finir le nettoyage, fais le ! 


 Poste le rapport sauvegardé après la suppression des objets infectés   (dans l'onglet "rapport/log"de Malwaresbytes, le dernier en date)



@+

fredstil · Answer

Rapport Scan ADW Cleaner :

# AdwCleaner v3.017 - Rapport créé le 22/01/2014 à 07:04:38
# Mis à jour le 12/01/2014 par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : Administrateur - SERVEURHPDC7900
# Exécuté depuis : C:\Documents and Settings\Administrateur\Mes documents\Téléchargements\adwcleaner.exe
# Option : Nettoyer

***** [ Services ] *****

[#] Service Supprimé : dealplylive
[#] Service Supprimé : dealplylivem

***** [ Fichiers / Dossiers ] *****

Dossier Supprimé : C:\Documents and Settings\All Users\Application Data\Babylon
[!] Dossier Supprimé : C:\Documents and Settings\All Users\Application Data\DealPlyLive
Dossier Supprimé : C:\Program Files\DealPly
[!] Dossier Supprimé : C:\Program Files\DealPlyLive
Dossier Supprimé : C:\Documents and Settings\Administrateur\Local Settings\Application Data\DealPlyLive
Dossier Supprimé : C:\Documents and Settings\Administrateur\Local Settings\Application Data\visualbeeexe
Dossier Supprimé : C:\Documents and Settings\Administrateur\Application Data\Babylon
Dossier Supprimé : C:\Documents and Settings\Administrateur\Application Data\DealPly
Dossier Supprimé : C:\Documents and Settings\Administrateur\Menu Démarrer\Programmes\DealPly
Dossier Supprimé : C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\y31f7wok.default\Extensions\{906000A4-88D9-4D52-B209-7A772970D91F}
Fichier Supprimé : C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\y31f7wok.default\bProtector_extensions.rdf
Fichier Supprimé : C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\y31f7wok.default\searchplugins\Babylon.xml
Fichier Supprimé : C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\y31f7wok.default\searchplugins\BrowserDefender.xml
Fichier Supprimé : C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\y31f7wok.default\searchplugins\visualbee.xml
Fichier Supprimé : C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\y31f7wok.default\user.js
Fichier Supprimé : C:\WINDOWS\Tasks\DealPlyLiveUpdateTaskMachineCore.job
Fichier Supprimé : C:\WINDOWS\Tasks\DealPlyLiveUpdateTaskMachineUA.job

***** [ Raccourcis ] *****


***** [ Registre ] *****

Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\DealPly
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\dealplylive.exe
Clé Supprimée : HKLM\SOFTWARE\Classes\dealplyliveupdate.coreclass
Clé Supprimée : HKLM\SOFTWARE\Classes\DealPlyLiveUpdate.CoreClass.1
Clé Supprimée : HKLM\SOFTWARE\Classes\DealPlyLiveUpdate.OnDemandCOMClassSvc
Clé Supprimée : HKLM\SOFTWARE\Classes\dealplyliveupdate.ondemandcomclasssvc.1.0
Clé Supprimée : HKLM\SOFTWARE\Classes\DealPlyLiveUpdate.Update3COMClassService
Clé Supprimée : HKLM\SOFTWARE\Classes\DealPlyLiveUpdate.Update3COMClassService.1.0
Clé Supprimée : HKLM\SOFTWARE\Classes\dealplyliveupdate.update3websvc
Clé Supprimée : HKLM\SOFTWARE\Classes\dealplyliveupdate.update3websvc.1.0
Clé Supprimée : HKLM\SOFTWARE\Classes\Prod.cap
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs [bProtectTabs]
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dealplylive.exe
Clé Supprimée : HKLM\SOFTWARE\534dc8de26de417
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{80FABB17-63AF-4655-9F07-B6509EE37AF2}
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{F48FC5B2-094A-44C7-B48C-289738C9582D}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{80FABB17-63AF-4655-9F07-B6509EE37AF2}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{AE48ED75-5A56-4C5F-BBCE-6F1AC3875F66}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{CA5D945F-E738-4D0B-A0B5-25AC51C64659}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{F48FC5B2-094A-44C7-B48C-289738C9582D}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{F7698761-4ABA-45C2-A5BB-D2163922C725}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{AE48ED75-5A56-4C5F-BBCE-6F1AC3875F66}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{AE48ED75-5A56-4C5F-BBCE-6F1AC3875F66}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{AE48ED75-5A56-4C5F-BBCE-6F1AC3875F66}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}
Clé Supprimée : HKCU\Software\BabSolution
Clé Supprimée : HKCU\Software\DataMngr
Clé Supprimée : HKCU\Software\DataMngr_Toolbar
Clé Supprimée : HKCU\Software\DealPly
Clé Supprimée : HKCU\Software\DealPlyLive
Clé Supprimée : HKCU\Software\Softonic
Clé Supprimée : HKCU\Software\YahooPartnerToolbar
Clé Supprimée : HKLM\Software\DataMngr
Clé Supprimée : HKLM\Software\DealPly
Clé Supprimée : HKLM\Software\DealPlyLive
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\DealPly
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\DealPly
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\DealPly
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{15D2D75C-9CB2-4EFD-BAD7-B9B4CB4BC693}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\DealPly
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\0FF2AEFF45EEA0A48A4B33C1973B6094
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\305B09CE8C53A214DB58887F62F25536

***** [ Navigateurs ] *****

-\ Internet Explorer v8.0.6001.18702

Paramètre Restauré : HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURls [bProtectTabs]

-\ Mozilla Firefox v26.0 (fr)

[ Fichier : C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\y31f7wok.default\prefs.js ]

Ligne Supprimée : user_pref("browser.newtab.url", "hxxp://visualbee.delta-search.com/?babsrc=NT_ss&mntrId=822D00248120825C&affID=121377&tsp=4968");

-\ Google Chrome v32.0.1700.76

[ Fichier : C:\Documents and Settings\Administrateur\Local Settings\Application Data\Google\Chrome\User Data\Default\preferences ]

Supprimée : icon_url
Supprimée : search_url
Supprimée : keyword

*************************

AdwCleaner[R0].txt - [6535 octets] - [22/01/2014 07:02:44]
AdwCleaner[S0].txt - [6464 octets] - [22/01/2014 07:04:38]

########## EOF - C:\AdwCleaner\AdwCleaner[S0].txt - [6524 octets] ##########

fredstil · Answer

Voici le rapport de Malwaresbytes

https://pjjoint.malekal.com/files.php?id=20140122_x6p10o13o6r10

je peux tous supprimer?

Utilisateur anonyme · Answer

Bonjour

Oui tu peux tout supprimer  et ensuite me poster ce rapport

Merci

@+

Cheveal de troie via adresse payroll@adp.com

6 réponses

Discussions similaires