comment suprimer malware--win32/Caphaw Résolu

Question

Bonjour,

ACER Windows 8.1  Home, 64 bits. 

Antivirus commercial: Kaspersky  Pure 3.0 , m'a averti que j'avais ce virus mais il ne peut pas me le supprimer automatiquement.  Aucun service à cette Cie ni par téléphone ni par e-mail. 

Besoin de votre aide. car j'ai d'autres problèmes à régler et je commence par celui ci que je crois qu'il est la plus important.   

Espérant vous lire sous peu.

Utilisateur anonyme · Answer

Salut,

- Télécharge ZHPDiag sur ton bureau

- Laisse-toi guider lors de l'installation.

- Ouvre ZHPDiag (icône parchemin)

- Clique sur Complet.

Note: Pour les utilisateurs de Vista/Seven/8, cliquer droit sur l'icône et "Exécuter en tant qu'administrateur",

-  Héberge le rapport ZHPDiag.txt présent sur ton bureau sur Cjoint puis copie/colle le lien fourni dans ta prochaine réponse.

- Aide : Comment utiliser Cjoint ?

Tutoriel ZHPDiag

porcupine65 · Answer

Je n'arrive pas à le telecharger quelque chose bloque . quoi faire ?

Utilisateur anonyme · Answer

Re,

C'est à dire ?

désactive ton antivirus et voir désactive le smartscreen de Windows 8 si tu as Windows 8.

Pour le smartscreen voir là => http://www.sosvirus.net/win8-comment-desactiver-smartscreen-t82239.html
 
+

porcupine65 · Answer

Bonjour,

J'ai répondu à ce message il y a 10 minutes .   Voulez vous me dire si vous l'avez reçu car je ne vois pas .  Je vous écris à partir d'un autre ordinateur. 

Merci.

Utilisateur anonyme · Answer

Re,

Ben je ne vois pas ta réponse alors ...
 
++

porcupine65 · Answer

Bon je vous reponde d'un autre ordi car le   -cheval-de-troie     a bloqué tout communication avec vous par ma connexion à votre site.  

Je réécris un peu condensé. (pages publicitaires sur votre site empêchaient de     télécharger, je crois encore le cheval de Troie. 

Je vous envoie les explications de mon message antérieur qui ne sait pas enregistré. 
J'ai fait l'analyse de mon ordi avec Malwarebytes et j'ai supprimé les virus. (J'ai eu aussi de la difficulté  pour telecharger le logiciel).
La publicité sur la page de ZIHDialog m'empêchait de le télécharger.

J'ai suivi vos conseils sur le smart screen et j'ai pu ouvrir le fichier zhpdiag.
voici le lien pour le rapport: https://www.cjoint.com/?3IkpLETrwPD
Espérant vous lire sous peu. 
Merci.

Utilisateur anonyme · Answer

Re,

Là c'est mieux :

- Copie les lignes qui sont ci-dessous en gras:


Script ZHPFix
ShortcutFix
O2 - BHO: Wondershare Video Converter Ultimate 7.1.0 [64Bits] - {451C804F-C205-4F03-B48E-537EC94937BF} . (.Wondershare - Browser Helper Object.) -- C:\ProgramData\Wondershare\Video Converter Ultimate\WSBrowserAppMgr.dll
[MD5.00000000000000000000000000000000] [APT] [APSnotifierPP1] (...) -- C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe (.not file.)   [0]
[MD5.00000000000000000000000000000000] [APT] [APSnotifierPP2] (...) -- C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe (.not file.)   [0]
[MD5.00000000000000000000000000000000] [APT] [APSnotifierPP3] (...) -- C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe (.not file.)   [0]
[MD5.00000000000000000000000000000000] [APT] [LaunchApp] (...) -- C:\Program Files (x86)\MyPC Backup\MyPC Backup.exe (.not file.)   [0]
[MD5.00000000000000000000000000000000] [APT] [LaunchSignup] (...) -- C:\Program Files (x86)\MyPC Backup\Signup Wizard.exe (.not file.)   [0]
[MD5.00000000000000000000000000000000] [APT] [PCHelpers1st] (...) -- C:\Program Files (x86)\Optimizer Pro\Optimizer Pro.exe (.not file.)   [0]
[MD5.00000000000000000000000000000000] [APT] [PCHelpers_period] (...) -- C:\Program Files (x86)\Optimizer Pro\Optimizer Pro.exe (.not file.)   [0]
[MD5.00000000000000000000000000000000] [APT] [PerfMonitor_strtp] (...) -- C:\Program Files (x86)\Optimizer Pro\PerformanceMonitor.exe (.not file.)   [0]
O39 - APT: APSnotifierPP1 - (...) -- C:\Windows\Tasks\APSnotifierPP1.job   [378]
O39 - APT: APSnotifierPP1 - (...) -- C:\Windows\System32\Tasks\APSnotifierPP1   [378]
O39 - APT: APSnotifierPP2 - (...) -- C:\Windows\Tasks\APSnotifierPP2.job   [376]
O39 - APT: APSnotifierPP2 - (...) -- C:\Windows\System32\Tasks\APSnotifierPP2   [376]
O39 - APT: APSnotifierPP3 - (...) -- C:\Windows\Tasks\APSnotifierPP3.job   [376]
O39 - APT: APSnotifierPP3 - (...) -- C:\Windows\System32\Tasks\APSnotifierPP3   [376]
O39 - APT: PCHelpers1st - (...) -- C:\Windows\Tasks\PCHelpers1st.job   [294]
O39 - APT: PCHelpers1st - (...) -- C:\Windows\System32\Tasks\PCHelpers1st   [294]
O39 - APT: PCHelpers_period - (...) -- C:\Windows\Tasks\PCHelpers_period.job   [294]
O39 - APT: PCHelpers_period - (...) -- C:\Windows\System32\Tasks\PCHelpers_period   [294]
O42 - Logiciel: allday savings - (.allday savings.) [HKLM][64Bits] -- 395821AD-3E17-4F17-BAB2-932B7EA6E81B
[HKCU\Software\AppDataLow\Software\TheBestDeals]
C:\Users\Daniel\AppData\Roaming\VOPackage
C:\Users\Daniel\AppData\Local\TelevisionFanatic
O45 - LFCP:[MD5.5549768DF9C9BE456DFFE50B2219A849] - 2014-09-09 - 19:23:43 ---A- - C:\Windows\Prefetch\WISECUSTOMCALLA31.EXE-29CFB4F2.pf
O45 - LFCP:[MD5.82627E608A914AA5EAB82B9FB57E0FF7] - 2014-09-09 - 19:23:49 ---A- - C:\Windows\Prefetch\WISECUSTOMCALLA37.EXE-9DD21410.pf
O69 - SBI: prefs.js [daniel - tgeohoa5.default] user_pref("{21EAF666-26B3-4a3c-ABD0-CA2F5A326744}.ScriptData_whiteListSearch", "{\"isearch.babylon.com\":\"q\",\"search.imesh.net\[...]
HKLM\SOFTWARE\Microsoft\Tracing\BackupStack_RASAPI32
HKLM\SOFTWARE\Microsoft\Tracing\BackupStack_RASMANCS
HKLM\SOFTWARE\Microsoft\Tracing\MyPC Backup_RASAPI32
HKLM\SOFTWARE\Microsoft\Tracing\MyPC Backup_RASMANCS
HKLM\SOFTWARE\Microsoft\Tracing\Signup Wizard_RASAPI32
HKLM\SOFTWARE\Microsoft\Tracing\Signup Wizard_RASMANCS
HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\DealKeeperUntemp_RASAPI32
HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\DealKeeperUntemp_RASMANCS
HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\PennyBeeW_RASAPI32
HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\PennyBeeW_RASMANCS
HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\SystemOptimizerPro_RASAPI32
HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\SystemOptimizerPro_RASMANCS
HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\utilDealKeeper_RASAPI32
HKLM\SOFTWARE\Wow6432Node\Microsoft\Tracing\utilDealKeeper_RASMANCS
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{451C804F-C205-4F03-B48E-537EC94937BF}]
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\APSnotifierPP1]
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\APSnotifierPP2]
[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\APSnotifierPP3]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\395821AD-3E17-4F17-BAB2-932B7EA6E81B]
C:\Users\Daniel\AppData\LocalLow\TelevisionFanaticEI
C:\Windows\Tasks\APSnotifierPP1.job
C:\Windows\System32\Tasks\APSnotifierPP1
C:\Windows\Tasks\APSnotifierPP2.job
C:\Windows\System32\Tasks\APSnotifierPP2
C:\Windows\Tasks\APSnotifierPP3.job
C:\Windows\System32\Tasks\APSnotifierPP3
C:\Windows\Tasks\PCHelpers1st.job
C:\Windows\System32\Tasks\PCHelpers1st
C:\Windows\Tasks\PCHelpers_period.job
C:\Windows\System32\Tasks\PCHelpers_period
O43 - CFD: 2014-09-01 - 17:24:51 - [] ----D C:\Users\Daniel\AppData\Roaming\Systweak 
O23 - Service: McAfee Application Installer Cleanup (0202461400431678) (0202461400431678mcinstcleanup) . (...) - C:\Windows\TEMP\020246~1.exe (.not file.)    
[MD5.00000000000000000000000000000000] [APT] [Secure Fast PC Autorun] (...) -- C:\Program Files (x86)\Developerts LLC\Secure Fast PC\Secure Fast PC.exe (.not file.)   [0] 
[MD5.00000000000000000000000000000000] [APT] [{70963D05-C20E-4CCC-B810-5B085AE83B09}] (...) -- C:\Users\daniel\AppData\Local\SafetySearch\uninstall.exe (.not file.)   [0]    
O43 - CFD: 2014-09-07 - 13:17:16 - [] ----D C:\ProgramData\FUYYXMKubU
EmptyPrefetch
EmptyFlash
FirewallRAZ
EmptyTemp 

- Ouvre ZHPfix, (icône seringue)

Note: Pour les utilisateurs de Vista/Seven/8, cliquer droit sur l'icône et "Exécuter en tant qu'administrateur",

- Clique sur Importer, puis colle les lignes dans la partie prévue pour,

- Clique sur Go.

- Clique sur Oui pour confirmer le nettoyage des données et celui de la corbeille.

- Héberge le rapport ZHPFix.txt présent sur ton bureau sur Cjoint puis copie/colle le lien fourni dans ta prochaine réponse.

Aide : Comment utiliser Cjoint ?


P.S. Si le bureau disparaît, fais Ctrl + Alt + Suppr afin d'ouvrir le gestionnaire des tâches puis dans Applications, clique sur Nouvelle tâche puis tape explorer.exe. Le bureau devrait normalement réapparaître.

/!\ Attention, ta corbeille va être vidée. Vérifie qu'il n'y ait aucun fichier supprimé par mégarde à l'intérieur. /!\

Utilisateur anonyme · Answer

Re,

 - Copie les lignes qui sont dans le lien ci-dessous :

https://textup.fr/104680NC

- Ouvre ZHPfix, (icône seringue)

Note: Pour les utilisateurs de Vista/Seven/8, cliquer droit sur l'icône et "Exécuter en tant qu'administrateur",

- Clique sur Importer, puis colle les lignes dans la partie prévue pour,

- Clique sur Go.

- Clique sur Oui pour confirmer le nettoyage des données et celui de la corbeille.

- Héberge le rapport ZHPFix.txt présent sur ton bureau sur Cjoint puis copie/colle le lien fourni dans ta prochaine réponse.

Aide : Comment utiliser Cjoint ?


P.S. Si le bureau disparaît, fais Ctrl + Alt + Suppr afin d'ouvrir le gestionnaire des tâches puis dans Applications, clique sur Nouvelle tâche puis tape explorer.exe. Le bureau devrait normalement réapparaître.

/!\ Attention, ta corbeille va être vidée. Vérifie qu'il n'y ait aucun fichier supprimé par mégarde à l'intérieur. /!\

porcupine65 · Answer

voici le lien:  https://www.cjoint.com/?3IksPkOAQ9b 

je vois que ma corbeille est encore pleine et mon ecran n'a pas disparu.  J'ai oublié d'exécuter en tant qu'administrateur.

Espérant de tes nouvelles. 

Merci.

porcupine65 · Answer

Bonjur

Je vous écris encore de mon autre ordi.

voici l'autre lien pour la 2e partie.  https://www.cjoint.com/?3IktCyEGknq  

 Espérant de te nouvelles. 

Merci

Utilisateur anonyme · Answer

Re,

Refais un rapport avec ZHPDiag et dis moi comment va ton PC.

porcupine65 · Answer

Bonjour

Voici le rapport demandé https://www.cjoint.com/?3IlosotxcPV

Concernant mon ordi:  mon antivirus antivirus Kaspersky, mentionne que mon cheval de Troie est encore la. Il n'arrive pas encore à le supprimer.

J'ai rentré dans votre site et le cheval de Troie me déconnecte alors je vous répond par un autre ordi. (j'envoie mes réponses par courriel de l'une à l'autre, la seule façon que j'ai trouvé pour les rapports).

Windows a installé les mises à jour hier avant fermer mon ordi.

Merci et j'attend de tes nouvelles.

Utilisateur anonyme · Answer

Re,

Il signal dans quel fichier le "cheval de 3" ?

++

porcupine65 · Answer

celui dans le titre de ma demande d'aide.  Malware: Win32/Caphaw  (alerte sévère) 

Je ne peux pas copier les détails du message.  Il mentionne que ce virus se copie tout seul dans:  %APPDATA% FOLDERS utilisant le même nom.  il s'introduit tout seul legitime pour etre plus difficile à être supprime comme cmd.exe. explorer.exe, firefox, exe iexpore exe.  etc.  (je ne sais pas si ces détails peuvent aider).

J'ai d'autres problèmes dans l'ordi (je ne trouve plus mon ie explorer, car il a été supprimée, j'utlise Comodo Dragon (pas évident) recommandé.  L'ordi a été acheté en mai 2014 , et a été configuré par des techniciens et lors de premiers problèmes de virus ils ont demandé l'argent pour le réparer et 2 jours après les problèmes sont revenus.  Un  logiciel gratuit a été installé ( mais demandant l'argent, il n'a pas été activé et impossible à enlever. (J'aimerai que tu puisses régler aussi ces problèmes  si c'est possible).   

Je vous remercie de tontemps et de ta patience.

J'attend de tes nouvelles.

Utilisateur anonyme · Answer

Re, Après avoir fais ce qui suit, redémarre le PC normalemetn et dis moi si tu as encore les alertes. - Copie les lignes qui sont ci-dessous en gras: Script ZHPFix O42 - Logiciel: Search App by Ask - (.APN, LLC.) [HKLM][64Bits] -- {4F524A2D-5350-4500-76A7-A758B70C0F05} O42 - Logiciel: Shopping App by Ask - (.APN, LLC.) [HKLM][64Bits] -- {4F524A2D-5354-2D53-5045-A758B70C0F05} O43 - CFD: 2014-08-01 - 17:51:31 - [] ----D C:\Users\Daniel\AppData\Local\AskPartnerNetwork [MD5.FADF3E9C8C1C8EBFB301853DFC28A71C] [WIS][2014-08-01] (.APN, LLC - Search App by Ask.) -- C:\Windows\Installer\165b541b.msi [507904] [MD5.B1159E8E9E619085A6BC5F374765C899] [WIS][2014-08-01] (.APN, LLC - Shopping App by Ask.) -- C:\Windows\Installer\242f27a2.msi [512000] [HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{4F524A2D-5350-4500-76A7-A758B70C0F05}] [HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{4F524A2D-5354-2D53-5045-A758B70C0F05}] C:\Users\Daniel\AppData\Local\AskPartnerNetwork O68 - StartMenuInternet: [HKLM\..\Shell\open\Command] (...) -- firefox.exe (.not file.) O43 - CFD: 2014-09-07 - 11:32:31 - [] ----D C:\Users\Daniel\AppData\Roaming\SmootherWeb O43 - CFD: 2014-08-15 - 02:02:11 - [] ----D C:\Users\Daniel\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\SmootherWeb SS - | Demand 1658-07-10 0 | (McAWFwk) . (...) - C:\Program Files (x86)\COMMON~1\mcafee\actwiz\mcawfwk.exe O42 - Logiciel: SmootherWeb - (.SmootherWeb LLC.) [HKCU][64Bits] -- SmootherWeb - Ouvre ZHPfix, (icône seringue) Note: Pour les utilisateurs de Vista/Seven/8, cliquer droit sur l'icône et "Exécuter en tant qu'administrateur", - Clique sur Importer, puis colle les lignes dans la partie prévue pour, - Clique sur Go. - Clique sur Oui pour confirmer le nettoyage des données et celui de la corbeille. - Héberge le rapport ZHPFix.txt présent sur ton bureau sur Cjoint puis copie/colle le lien fourni dans ta prochaine réponse. Aide : Comment utiliser Cjoint ? P.S. Si le bureau disparaît, fais Ctrl + Alt + Suppr afin d'ouvrir le gestionnaire des tâches puis dans Applications, clique sur Nouvelle tâche puis tape explorer.exe. Le bureau devrait normalement réapparaître. /!\ Attention, ta corbeille va être vidée. Vérifie qu'il n'y ait aucun fichier supprimé par mégarde à l'intérieur. /!\

porcupine65 · Answer

Quand j'ai cliqué sur GO dans ZPHFix une fenetre de mon antivirus a apparu me demandant, l'autorisation à cette application à deux reprises, alors je l'ai placé dans le groupe de confiance.   J'ai cliqué autoriser maintenant. Windows m'a demandé autorisation pour désinstaller aussi . j'ai cliqué ok. 

Le travail a commencé avec ZPHFix. (et ca lui a pris 30 minutes environ). le bureau n'a pas disparu.

j'ai redémarré et Le même 'annonce de Security alert a réapparu. (we detected potential theats that might compromise your privacy or damage your computer. Your access to these items may be supsended until you take an action).

rapport https://www.cjoint.com/?3Ilury19pw4 

Espérant de tes nouvelles. 

Merci.

Utilisateur anonyme · Answer

Re,

 - Télécharge CCleaner

- Installe le, puis lance le.

- Va dans l'onglet Options puis Avancé et décoche Effacer uniquement les fichiers[...].

- Clique sur l'onglet Nettoyeur puis clique sur Analyser. À la fin de l'analyse, clique sur Nettoyer.

- Rends toi à l'onglet Registre puis clique sur Chercher les erreurs. Clique ensuite sur Corriger les erreurs sélectionnées.

- Accepte la sauvegarde puis enregistre la dans tes documents (tu pourras la supprimer si aucun problème n'apparaît après la suppression).

- Clique ensuite sur Corriger toutes les erreurs sélectionnées puis sur Fermer

- Tu peux renouveler ces opérations tous les jours.

Aide : Tutoriel Ccleaner

Puis, redémarre ton PC et dis moi si tu as encore des messages d'alertes ...
 
Ce ne sont pas les mauvaises herbes qui étouffent le bon grain, c'est la négligence du cultivateur.

porcupine65 · Answer

Bonjour

J'ai suivi vos instructions et j'ai téléchargée google chromo qui m«'avait été proposé.

 Avant de redémarrer le système, j'ai rentré dans l'internet avec commodo dragon et l'annonce a apparu.  

J'ai redémarre le système, j'ai rentré dans mes deux navigateurs et voila le problème est réglé cet maudit annonce n'apparaît plus et je vous réponde à partir de l'ordinateur qui avait le problème.

Je suis en train de vous écrire et l'annonce a apparu.  Je crois qu'il rentre par mon navigateur internet.    je vais refaire le clean up.   »Je vous avise.

Utilisateur anonyme · Answer

Re,

Clean Up ???

Ne fais rien d'autres en parallèle sinon je ne vais pas m'en sortir et toi également.

Refais un rapport avec ZHPDiag.

+

porcupine65 · Answer

Dessolé, je vais suivre à la lettre tes instructions. 

L'annonce apparaît de nouveau,mais  je peux vous écrire à partir de l'ordi en question.

Voici le rapport. https://www.cjoint.com/?3ImoPRirOd5

Merci.

porcupine65 · Answer

Quand je parlait de clean up,  je voulais dire faire de nouveau vos instructions avec ccleaner

Utilisateur anonyme · Answer

Re,

fais une capture d'écran avec cette fenêtre d'afficher, héberge l'image sur Cjoint, puis fais ceci :

- Télécharge OTL sur ton bureau.

- Fais un double clic sur l'icône pour le lancer. 

Vérifie que toutes les autres fenêtres sont fermées afin qu'il s'exécute sans interruption.

- Quand la fenêtre apparaît, coche la case "Tous les utilisateurs"

- Sous Processus, Modules, Services, Pilotes, Registre: standard, Registre: approfondi coche "Tous".

- Coche également les cases "Recherche Lop" et "Recherche Purity".

- Dans la partie Personnalisation, colle ceci :


         HKCU\Software
        HKCU\Software\AppDataLow /s
        HKLM\Software
        HKCU\Software\Microsoft\Command Processor /s
        HKLM\Software\Microsoft\Command Processor /s
        HKLM\Software\Microsoft\Windows\CurrentVersion\RunMRU /s
        HKLM\System\CurrentControlSet\Control\Session Manager\AppcertDlls /s
        %Homedrive%\*
        %Homedrive%\*.
        %Homedrive%\Recycler\*.exe /s
        %Homedrive%\Recycler\*.scr /s
        %Homedrive%\Recycler\*.pif /s
        %Homedrive%\Recycler\*.vb* /s
        %Homedrive%\$Recycle.bin\*.exe /s
        %Homedrive%\$Recycle.bin\*.scr /s
        %Homedrive%\$Recycle.bin\*.pif /s
        %Homedrive%\$Recycle.bin\*.vb* /s
        %Userprofile%\*
        %Userprofile%\*.
        %Allusersprofile%\*
        %Allusersprofile%\*.
        %LocalAppData%\*
        %LocalAppData%\*.
        %Userprofile%\Local Settings\*
        %Userprofile%\Local Settings\*.
        %Userprofile%\Local Settings\Application Data\*
        %Userprofile%\Local Settings\Application Data\*.
        %Userprofile%\AppData\Local\Google\Chrome\User Data\Default\Pepper Data\Shockwave Flash\WritableRoot\#SharedObjects\*
        %Userprofile%\AppData\Local\Google\Chrome\User Data\Default\Pepper Data\Shockwave Flash\WritableRoot\#SharedObjects\*.
        %Userprofile%\Local Settings\Application Data\Google\Chrome\User Data\Default\Pepper Data\Shockwave Flash\WritableRoot\#SharedObjects\*
        %Userprofile%\Local Settings\Application Data\Google\Chrome\User Data\Default\Pepper Data\Shockwave Flash\WritableRoot\#SharedObjects\*.
        %programFiles%\*
        %programFiles%\*.
        %programfiles%\Google\Desktop\*.
        %ProgramFiles%\Common Files\*.
        %ProgramFiles(X86)%\Common Files\*.
        %Systemroot%\Installer\*.
        %Systemroot%\Temp\*.exe /s
        %systemroot%\system32\*.dll /lockedfiles
        %systemroot%\system32\*.exe /lockedfiles
        %systemroot%\system32\*.in*
        %systemroot%\PSS\* /s
        %systemroot%\Tasks\*
        %systemroot%\Tasks\*.
        %systemroot%\system32\Tasks\*
        %systemroot%\system32\Tasks\*.
        %systemroot%\syswow64\Tasks\*
        %systemroot%\syswow64\Tasks\*.
        %systemroot%\system32\drivers\*.sy* /lockedfiles
        %systemroot%\system32\config\*.exe /s
        %Systemroot%\ServiceProfiles\*.exe /s
        %systemroot%\system32\*.sys
        dir %Homedrive%\* /S /A:L /C
        msconfig
        activex
        /md5start
        explorer.exe
        winlogon.exe
        wininit.exe
        volsnap.sys
        atapi.sys
        ndis.sys
        cdrom.sys
        i8042prt.sys
        iastor.sys
        tdx.sys
        netbt.sys
        afd.sys
        /md5stop
        netsvcs
        safebootminimal
        safebootnetwork
        CREATERESTOREPOINT



- Clique sur le bouton Analyse. L'analyse ne va pas durer longtemps.

- Quand l'analyse est terminée, deux fenêtres du Bloc-notes vont s'ouvrir. >OTL.Txt et Extras.Txt. Ces fichiers sont sauvegardés au même endroit que OTL.

- Héberge les rapports OTL.Txt et Extras.Txt présent sur ton bureau sur Cjoint puis copie/colle le lien fourni dans ta prochaine réponse.

Aide :
 
- Comment utiliser Cjoint ?

- Tutoriel OTL

porcupine65 · Answer

j'ai lancé l'analyse et j'ai remarqué que la fenetre purity s'est decroché tout seule.   Je dis attendre la fin de l'analyse ?

porcupine65 · Answer

je dois attendre la fin de l'analyse ?

porcupine65 · Answer

Je me répété.

quand j'ai lancé analyse le coché sur recherche purity s'est enlevé tout seul.

l'analyse s'est poursuit et mon antivirus m'a encore demandé si je pouvais faire confiance au site OTL. J'ai dit ok. l'analyse s'est poursuit.

Une fenêtre noir à apparu et elle est disparue.

L'annonce potentialthreat details a encore apparue.

Quand j'ai ouvert mon navigateur chorme, pour aller dans votre site .un advertissement web a apparu me dissant qu'une extension s'est ajouté pour copier tous les sites visités et m'a invité à supprimer et je l'ai fait.

Voici les rapports obtenus: 

	https://www.cjoint.com/?3Ims471J9QM 
https://www.cjoint.com/?3Ims5SIFWQC 

Esperant vous lire sous peu , Merci.

Utilisateur anonyme · Answer

Re,

- Lance OTL Clique sur l'icône présent sur ton bureau

Note: Sous Vista, Seven, 8 clique droit ""Exécuter en tant qu'Administrateur"

- Important :Copie-colle correctement le script ci-dessous dans la fenêtre personnalisation :


:OTL 
DRV:[b]64bit:[/b] - File not found [Kernel | On_Demand | Stopped] -- C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys -- (esgiguard)
DRV:[b]64bit:[/b] - [2012-05-28 14:28:18 | 000,197,264 | ---- | M] (McAfee, Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\HipShieldK.sys -- (HipShieldK)
File not found (No name found) -- C:\USERS\DANIEL\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\TGEOHOA5.DEFAULT\EXTENSIONS\{9F93BD66-D3D2-427D-B37F-743603E2388D}.XPI
File not found (No name found) -- C:\USERS\DANIEL\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\TGEOHOA5.DEFAULT\EXTENSIONS\TOOLBAR_ORJ-ST-SPE@APN.ASK.COM.XPI
O3:[b]64bit:[/b] - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O3:[b]64bit:[/b] - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
[2014-09-01 14:08:00 | 000,000,000 | ---D | C] -- C:\Users\Daniel\Documents\Optimizer Pro
@Alternate Data Stream - 220 bytes -> C:\Users\Daniel\OneDrive:ms-properties

:Reg
[HKEY_USERS\S-1-5-21-2145278835-1897977521-357834142-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SmootherWeb]




- Clique ensuite sur Correction laisse l'outil travailler.

un fichier "LOG" doit s'ouvrir avec le bloc-notes.

Autrement Il est sauvegardé dans le dossier C:\_OTL\Moved Files\

- Héberge le rapport xxxx2014_xxxxxx.log présent sur ton bureau au redémarrage de ton PC sur Cjoint puis copie/colle le lien fourni dans ta prochaine réponse.

Aide : 

- Comment utiliser Cjoint ?
 
- Tutoriel OTL Options "Script" 
 
Ce ne sont pas les mauvaises herbes qui étouffent le bon grain, c'est la négligence du cultivateur.

porcupine65 · Answer

Bonjour

Voici le rapport que j'ai trouvé https://www.cjoint.com/?3InoHClWOUk 

je me demandait si nous pouvions mettre un autre antivirus comme avg la version d'essaie savoir s'il peut detecter et supprimer le cheval de troie ou s'il ne detecte rien.

Merci

Utilisateur anonyme · Answer

Re,

Met l'extension .txt au fichier que tu m'a envoyer.

Puis redémarre le PC et dis moi si tu as encore ce message.

porcupine65 · Answer

Bonjour, Le message a apparu, j'ai enfin pu copier ce message et je vous le colle ci-bas. J'ai eu des améliorations dans mon système , mes adresses https sur google chrome le cadenas est vert , celles de Comodo Dragon sont vert et changent avec un icone jaune, sur le même site google .ca je peux renter dans votre site avec Google chrome sans difficulté,et il ne me deconnecte pas. Comodo Dragon me déconnecte de votre site quand je rentre mon mot de passe et je vais aller visionner votre réponse. Pouvons nous desistaller ComoDO Dragon, voir si le problème viens de là ? Voici le texte de Security Alert , la rubrique en haut en rouge , je ne peux pas vous la copier. voici le reste. Installation Win32/Caphaw often uses a legitimate file name to avoid suspicion. It scans the folder for legitimate file names, then copies itself into the %APPDATA% folder using the same name. For example, the file name for Task Manager is askmgr.exe. Caphaw might copy itself into your PC as %APPDATA% askmgr.exe. Caphaw can also use these file names: \lssas.exe - note that a legitimate file called lsass.exe exists in the same folder %windir% \assembly ativeimages_v2.0.50727_32 emp\zapf.tmp\system.data.entity.design.dll %windir% \svchost.exe - note that a legitimate file with the same name exists in Caphaw injects itself into legitimate processes like the following to make it more difficult to remove: cmd.exe explorer.exe firefox.exe iexplore.exe reader_sl.exe svchost.exe Caphaw creates mutexes to make sure that only one instance of itself is running in memory. To run every time Windows starts, some variants of Caphaw create an entry in the system registry: In subkey: HKCU\Software\Microsoft\Windows\CurrentVersion\Run Sets value: "" (for example, {FAD5ADC3-DABB-6BFF-ED11-CB329C7D70E2}) With data: "" (for example "%APPDATA%\Microsoft\Excel\xlstart\winmine.exe") Older variants of Caphaw also install a rootkit component. An infected master boot record (MBR) is detected as Trojan:DOS/Caphaw.A. Spreads Via Skype One Caphaw variant, Win32/Caphaw.N, can do a number of actions on Skype, including: Disabling audio alerts Downloading files from a remote server Sending messages and files to your Removing traces of its actions on Skype, like file transfers , recent conversations Facebook Caphaw can spread by hijacking your Facebook account and posting a copy of itself into your friends' walls. Shared and removable drives Caphaw can spread to other PCs via shared and removable drives. It creates shortcut files that link to a hidden Caphaw copy in the root folder of the shared or removable drive. If you click on the shortcut file, the Caphaw copy runs. Drive-by malware Caphaw can be installed via drive-by exploits. It's been known to be installed using vulnerabilities in Adobe Flash or Java. Payload Lets a malicious hacker control your PC Caphaw lets a malicious hacker access and control your PC. The actions we've observed include: Control your desktop Control your mouse and keyboard Access your files and folders Upload your files to a hacker-controlled FTP server Delete files Download and run other files Redirect Internet traffic via a proxy server Send ICMP packets that can be used in distributed denial-of-service Log and redirect web traffic from Firefox and Internet Explorer Shut down or restart your PC Spread to other PCs upon command Log keystrokes Change your PC settings Start or stop programs Update itself Steals banking information Caphaw can inject code and fake phone numbers into online banking websites when you visit them. It does this to try and steal your login information for these websites. It targets the online banking websites for these institutions: Barclays Bank of Scotland Co-Operative Bank Egg.Com Fidelity First Direct HSBC InterActive Brokers John Lewis Financial Leicester Lloyds Bank MBNA NatWest POFS Save Credit RBS Santander Tesco Finance Theaa Ulster Bank VirginMoney YorkShire Bank

porcupine65 · Answer

Bonjour

J'attend de vos nouvelles. 

Merci et bonne journée.

Utilisateur anonyme · Answer

Re,

&#x25B6; Télécharge  RogueKiller (par tigzy) sur le bureau

Version32bits

Version 64bits

Info: Comment savoir quelle version 32 bits ou 64 bits est exécutée sur mon système ?

Note: Si le programme bloqué par un malware, renommer l'exécutable en winlogon.exe, ou changer l'extension de fichier en .fr (ex: Roguekiller.fr)

&#x25B6; Lance RogueKiller, "Exécuter en tant qu'administrateur" sous Windows : 7/8 et Vista

Note : Attends que le PreScan ait fini.

&#x25B6; Clique sur Scan.

Note : Patiente le temps du scan.

&#x25B6; Clique sur Rapport

&#x25B6; Clique sur Fichier, puis Enregistrer sous ...  et enregistre le sur ton bureau !

&#x25B6; Héberge le rapport RKreport_SCN_xxxxxxxx_xxxxxx.log présent sur ton bureau  sur Cjoint puis copie/colle le lien fourni dans ta prochaine réponse.

&#x25B6; Aide : Comment utiliser Cjoint ?

&#x2794; Tutoriel RogueKiller

porcupine65 · Answer

J'ai eu de la miséré à télécharger RogueKiller, un virus est rentré au même temps et mon antivirus l'a arrête.  Le logiciel  demandait de mettre une version plus récent et quand j'ai dit oui, des pups ont commencé à renter. Jai cancellé et recommancé de nouveau.  

Beaucoup des pubs de publicité ont apparu, aussi quand j'ai rentré de nouveau dans votre site pour vous répondre. 

voici le rapport: https://www.cjoint.com/?3IqvzXvdeZ4

Espérant vous lire sous peu, Merci.

porcupine65 · Answer

Bonjour,

J'ai lancé de nouveau l'analyse complet de mon antivirus et il a détecté plusieurs cheval de Troie qu'il a supprimé.  J'ai redémarré mon ordi et le fameux message n'appairait plus.  Je crois que le problème est réglé ?   

Est ce que je peux supprimé les rapports gardés ,je vais garder seulement CCleaner. est ce OK ?

Utilisateur anonyme · Answer

Re,

Si tu n'as plus de souci, fais ce qui suit :

 - Télécharge DelFix sur ton bureau.

- Lance le,

Note: Pour les utilisateurs de Vista/Seven/8, cliquer droit sur l'icône et "Exécuter en tant qu'administrateur",

- Coche toutes les cases.

- Patiente pendant le scan jusqu'à l'ouverture du rapport.

- Héberge le rapport DelFix.txt présent sur ton bureau sur Cjoint puis copie/colle le lien fourni dans ta prochaine réponse.

Aide : Comment utiliser Cjoint ?

Note : Le rapport se trouve également sous C:\DelFix.txt
______________________________________________________________

- Télécharge TFC (de OldTimer) sur ton bureau.

- Lance TFC,  "Exécuter en tant qu'administrateur" sous Windows : 7/8 et Vista

- Clique sur Start

Note : Patiente le temps du scan, une fois terminer

- Clique sur Exit

- Redémarre ton PC normalement

porcupine65 · Answer

Bonjour 

Quand j'ai cliqué sur Cjoint, dans la fenêtre internet il y a eu de pups de antivirus qui ont apparu. J'ai fermé et recommencé sans problème. 

Voici le rapport ttp://cjoint.com/?3Irr1bG01U5

Le message n'apparaît plus.
 Comment bloquer ces pubs ? 

Merci et j'attend de tes nouvelles.

Utilisateur anonyme · Answer

Re,

Voilà, la désinfection de ton PC étant terminée, je t'invite à installer les mises à jour ainsi que à prendre les addons pour ton navigateur si tu ne les as déjà pas, puis de lire certaines pages internet qui t'aideront à comprendre et de ce fait t'éviteront d'autres problèmes.

- N'oublies pas de mettre à jour java: 

- Mettre à jour la console java


- N'oublies pas de mettre à jour Adobe flash player pour Firefox et Internet explorer

=> Adobe Flash Player pour Firefox

=> Adobe Flash Player pour Internet Explorer


- N'oublies pas de mettre à jour adobe reader

=> Adobe reader


==> N'oubliez pas décochez l'offre proposé par adobe concernant Macfee !!! 

N'oublies pas aussi de maintenir Windows à jour via Windows update 
 
N'oublies pas de défragmenter de temps en temps ton disque dur: 

Avec par exemple Deffagler ou disk-defrag

Information sur la défragmention à lire : Qu'est-ce que la fragmentation?


Oublies les genres de nettoyeurs comme Tuneup ,Glary et autres nettoyeurs miracles ils ne te feront que ralentir ta machine et nettoyer plus blanc que blanc peut provoquer de graves dysfonctionnements 


- Internet Explorer:

- Sécurise tes navigateurs par exemple avec WOT et simple adblock pour Internet explorer 

=> Pour télécharger WOT pour "Internet Explorer"

=> Pour simple adblock

 => Pour AdBlockPlus

- Chrome:

=> Pour télécharger WOT pour "Chrome"

=> Pour télécharger Adblock pour "Chrome"


- Firefox:

=> Wot pour firefox

=> Adblock Plus firefox


- Fais attention à ce que tu télécharges où et comment 

Évités si possible de télécharger sur O1net, tom's guide, télécharger.com et Softonic et compagnie car ils repackent les logiciels avec des programmes potentiellement indésirables (PUP's)

=> A lire On entends beaucoup parler de PUP / LPI mais que signifie tout ça ? 

=> A lire Fausses mises à jours - Comment les éviter

=> A lire Logiciel Potentiellement Indésirable - Comment se protéger !

=> A lire Les toolbars ... un cauchemar !


- Sécurisation du PC des logiciels potentiellement indésirables , toolbars , etc... 

Lorsqu'on est sous Windows et qu'on adore installer tout un tas de softs étranges, il faut savoir rester vigilant. En effet, certains programmes d'install proposent durant l'installation des toolbars et autres adware qui seront difficiles par la suite à retirer de votre système. 

En général, on fait attention, et on décoche les cases qui vont bien, mais il suffit d'une fois, d'un petit coup de barre et on laisse passer la toolbar fatale. 

Mais pourquoi se prendre la tête alors qu'un petit soft peut faire le travail pour vous ? 

Télécharge : => unchecky un service qui tourne en tâche de fond sous Windows, qui détectera automatiquement les logiciels additionnels dans les programmes d'installation et qui décochera les cases qu'il faut pour éviter de se faire polluer.

Inscrit toi sur le forum pour mettre le sujet en résolu si tu ne l'a pas déjà fait ! 

N'oublies pas de mettre ton sujet en résolu => marquer un fil de discussion comme etant resolu 

Sois prudent et bon surf! ;) 

++

porcupine65 · Answer

Je tiens à vous remercier énormément de votre précieuse aide, de ton temps et de ta patience pour régler mon problème.

BRAVO pour votre courtoisie, et votre professionnalisme tout au long du processus 

Encore merci pour vos conseils qui me seront très utiles. 

Bonne semaine.

Comment suprimer malware--win32/Caphaw

37 réponses

Discussions similaires

Newsletters