Tentative de décontamination

Résolu
anakin6661 Messages postés 90 Statut Membre -  
Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   -
Bonjour,

Je viens vers vous car je n'arrive pas à décontaminer le PC d'un ami.
il a tester quelques outils => adware et kaspersky internet security.
Je ne sais quel antivirus et firewall il utilisait jusqu'à maintenant mais je vois des traces de microsoft defender
J'ai déjà fais pas mal de boulot mais certaines choses restent en place.
Par exemple, au démarrage de la session utilisateur, j'ai un message d'un dll absent, dll introuvable sur la toile ... slaveredmoires.dll
Je subodore que cela provient d'un virus.
Pour ma part, j'ai utiliser d'autres outils :
malwarebytes, ccleaner, kaspersky rescuedisk 10, roguekiller
Plus de 16.000 fichiers infectés supprimés, du virus, du trojan, cheval de troie, des petits trucs bien sympa et un PC bien infecté.
Le virus soit est toujours présent soit laisse des traces.

Si quelqu'un peut me venir en aide, quel utilitaire dois-je installer en premier pour vous fournir un premier rapport ?

--
Merci Aux personnes qui nous répondent sans demander quoi que ce soit en retour si ce n'est du respect et peu de fautes ... :)

3 réponses

  1.
    Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Salut,

    Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

    Télécharge et lance le scan FRST, 3 rapports FRST seront générés :
    • FRST.txt
    • Shortcut.txt
    • Additionnal.txt


    Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

    0
    1. anakin6661 Messages postés 90 Statut Membre 6
       
      Bonjour MALEKAL morte

      Merci de ton aide.

      Pour le rapport Shortcut, j'ai coché la case raccourci en cours de scan, je ne pense pas que c'était très judicieux, mais la case n'était pas coché en version française et pensant que ça ne sortirait pas de rapport, j'ai coché pendant.
      Si c'était une erreur, je referai les rapports Mardi et je te reposterai tout cela.

      Voici le rapport FRST.txt:
      https://pjjoint.malekal.com/files.php?id=FRST_20170505_e9o8q11q12t12
      Voici le rapport Shortcut.txt
      https://pjjoint.malekal.com/files.php?id=20170505_u9t12n14e7l14
      Voici le rapport Additionnal.txt
      https://pjjoint.malekal.com/files.php?id=20170505_z11w14f6q15k8

      Je te souhaite un bon weekend et merci d'avance.
      0
  2. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

    Ouvre le bloc-notes : Touche Windows + R,
    Dans le champs "Exécuter", saisir notepad et OK.
    Copie/Colle dedans ce qui suit : 

    CreateRestorePoint:
    CloseProcesses:
     ShellExecuteHooks: Pas de nom - {22670D5C-0546-11E7-A198-64006A5CFC35} - C:\Users\Paul guiseppi\AppData\Roaming\Zoziystipu\Coutation.dll -> Pas de fichier 
     ShellIconOverlayIdentifiers: [KzShlobj] -> {AAA0C5B8-933F-4200-93AD-B143D7FFF9F2} => -> Pas de fichier 
     2017-05-04 15:07 - 2015-10-30 09:24 - 00000000 ____D C:\Windows\system32\Tasks_Migrated 
     2017-05-04 13:00 - 2017-03-14 18:25 - 00000000 ____D C:\Users\Paul guiseppi\AppData\Roaming\Pludige 
    Task: {B4299459-F34E-4A95-A31D-806135421532} - System32\Tasks\{2F63D99F-24C5-EC6F-D7F2-5C41D13A9177} => Regsvr32.exe /s /n /i:"/rt" "C:\PROGRA~3\95658a2b\81d066ba.dll" <==== ATTENTION
    Task: {E91E76EE-7CA8-4474-AEE0-CDD77ED560B5} - System32\Tasks\HHEAKngcwDgsODJ => C:\Users\Paul guiseppi\AppData\Roaming\XFsHU4m\VCHpeig.exe [2015-02-06] ( )
    Task: {0584E953-614A-4B62-B770-AD773DFD6C29} - System32\Tasks\c7Taa6s9LMA3vzg => C:\Users\Paul guiseppi\AppData\Roaming\LwJ9pI2\kXJYOwg.exe 
    Task: {7E4528DF-FE54-453B-AA00-AE8B2F7A2E94} - System32\Tasks\Ckecuk Cache => C:\Program Files (x86)\Mokagecerpuly\xtermose.exe 
    Hosts:
    EmptyTemp:
    RemoveProxy:
    Reboot:


    Une fois, le texte collé dans le Bloc-notes,
    Menu "Fichier" puis "Enregistrer sous",
    A gauche, place toi sur le Bureau,
    Dans le champs en bas, nom du fichier mets : fixlist.txt
    Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

    Relance FRST et clique sur le bouton "Corriger / Fix"
    Un redémarrage sera peut-être nécessaire ( pas obligatoire )
    Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

    Redémarre l'ordinateur.

    2°)
    Réinitialise/Répare les navigateurs WEB concernés par les problèmes :

    3°)
    Termine par un nettoyage Malwarebytes - Tutoriel Malwarebytes Anti-Malware version gratuite

    4°)
    Vois ce que cela donne et si des améliorations ont eu lieu.
    Si ce n'est pas le cas, s itu as encore des pages de pubs intempestives, précise sur quel navigateur WEB.

    0
    1. anakin6661 Messages postés 90 Statut Membre 6
       
      Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 08-05-2017
      Exécuté par Paul guiseppi (09-05-2017 09:40:58) Run:1
      Exécuté depuis C:\Users\Paul guiseppi\Desktop
      Profils chargés: Paul guiseppi (Profils disponibles: UpdatusUser & Paul guiseppi)
      Mode d'amorçage: Normal
      ==============================================

      fixlist contenu:

      CreateRestorePoint:
      CloseProcesses:
      ShellExecuteHooks: Pas de nom - {22670D5C-0546-11E7-A198-64006A5CFC35} - C:\Users\Paul guiseppi\AppData\Roaming\Zoziystipu\Coutation.dll -> Pas de fichier
      ShellIconOverlayIdentifiers: [KzShlobj] -> {AAA0C5B8-933F-4200-93AD-B143D7FFF9F2} => -> Pas de fichier
      2017-05-04 15:07 - 2015-10-30 09:24 - 00000000 ____D C:\Windows\system32\Tasks_Migrated
      2017-05-04 13:00 - 2017-03-14 18:25 - 00000000 ____D C:\Users\Paul guiseppi\AppData\Roaming\Pludige
      Task: {B4299459-F34E-4A95-A31D-806135421532} - System32\Tasks\{2F63D99F-24C5-EC6F-D7F2-5C41D13A9177} => Regsvr32.exe /s /n /i:"/rt" "C:\PROGRA~3\95658a2b\81d066ba.dll" <==== ATTENTION
      Task: {E91E76EE-7CA8-4474-AEE0-CDD77ED560B5} - System32\Tasks\HHEAKngcwDgsODJ => C:\Users\Paul guiseppi\AppData\Roaming\XFsHU4m\VCHpeig.exe [2015-02-06] ( )
      Task: {0584E953-614A-4B62-B770-AD773DFD6C29} - System32\Tasks\c7Taa6s9LMA3vzg => C:\Users\Paul guiseppi\AppData\Roaming\LwJ9pI2\kXJYOwg.exe
      Task: {7E4528DF-FE54-453B-AA00-AE8B2F7A2E94} - System32\Tasks\Ckecuk Cache => C:\Program Files (x86)\Mokagecerpuly\xtermose.exe
      Hosts:
      EmptyTemp:
      RemoveProxy:
      Reboot:


      Le Point de restauration a été créé avec succès.
      Processus fermé avec succès.
      HKLM\Software\Microsoft\Windows\CurrentVersion\explorer\ShellExecuteHooks\\{22670D5C-0546-11E7-A198-64006A5CFC35} => valeur supprimé(es) avec succès
      HKCR\CLSID\{22670D5C-0546-11E7-A198-64006A5CFC35} => clé non trouvé(e).
      HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellIconOverlayIdentifiers\KzShlobj => clé supprimé(es) avec succès
      HKCR\CLSID\{AAA0C5B8-933F-4200-93AD-B143D7FFF9F2} => clé non trouvé(e).
      C:\Windows\system32\Tasks_Migrated => déplacé(es) avec succès
      C:\Users\Paul guiseppi\AppData\Roaming\Pludige => déplacé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{B4299459-F34E-4A95-A31D-806135421532} => clé supprimé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{B4299459-F34E-4A95-A31D-806135421532} => clé supprimé(es) avec succès
      C:\Windows\System32\Tasks\{2F63D99F-24C5-EC6F-D7F2-5C41D13A9177} => déplacé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{2F63D99F-24C5-EC6F-D7F2-5C41D13A9177} => clé supprimé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{E91E76EE-7CA8-4474-AEE0-CDD77ED560B5} => clé supprimé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E91E76EE-7CA8-4474-AEE0-CDD77ED560B5} => clé supprimé(es) avec succès
      C:\Windows\System32\Tasks\HHEAKngcwDgsODJ => déplacé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\HHEAKngcwDgsODJ => clé supprimé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{0584E953-614A-4B62-B770-AD773DFD6C29} => clé supprimé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{0584E953-614A-4B62-B770-AD773DFD6C29} => clé supprimé(es) avec succès
      C:\Windows\System32\Tasks\c7Taa6s9LMA3vzg => déplacé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\c7Taa6s9LMA3vzg => clé supprimé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{7E4528DF-FE54-453B-AA00-AE8B2F7A2E94} => clé supprimé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{7E4528DF-FE54-453B-AA00-AE8B2F7A2E94} => clé supprimé(es) avec succès
      C:\Windows\System32\Tasks\Ckecuk Cache => déplacé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Ckecuk Cache => clé supprimé(es) avec succès
      Hosts restauré(es) avec succès.

      ========= RemoveProxy: =========

      HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer => clé supprimé(es) avec succès
      HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
      HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
      HKU\S-1-5-21-2015688758-2509880799-2512706056-1002\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
      HKU\S-1-5-21-2015688758-2509880799-2512706056-1002\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès


      ========= Fin de RemoveProxy: =========


      =========== EmptyTemp: ==========

      BITS transfer queue => 138417 B
      DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 81740191 B
      Java, Flash, Steam htmlcache => 506 B
      Windows/system/drivers => 50884585 B
      Edge => 3105730 B
      Chrome => 5045085 B
      Firefox => 5722395 B
      Opera => 0 B

      Temp, IE cache, history, cookies, recent:
      Default => 0 B
      Users => 0 B
      ProgramData => 0 B
      Public => 0 B
      systemprofile => 128 B
      systemprofile32 => 128 B
      LocalService => 3298 B
      NetworkService => 0 B
      UpdatusUser => 0 B
      Paul guiseppi => 294234386 B

      RecycleBin => 0 B
      EmptyTemp: => 420.5 MB données temporaires supprimées.

      ================================


      Le système a dû redémarrer.

      Fin de Fixlog 09:42:22

      0
  3. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712
     
    Refais un nettoyage Malwarebytes en le mettant à jour avant =)
    0
    1. anakin6661 Messages postés 90 Statut Membre 6
       
      Nettoyage effectué
      Le PC vient de lancer plein de mises à jours.
      Toujours la fenêtre d'erreur au démarrage de la session : SlaveredMoires.dll
      Je verrai après avoir fait toutes les mises à jours et installé un antivirus à jours
      Merci beaucoup de ton aide
      0
    2. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712 > anakin6661 Messages postés 90 Statut Membre
       
      Pour ton erreur au démarrage :

      Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

      Ouvre le bloc-notes : Touche Windows + R,
      Dans le champs "Exécuter", saisir notepad et OK.
      Copie/Colle dedans ce qui suit : 

      CreateRestorePoint:
      CloseProcesses:
      Task: {2E969774-3056-4D85-AD14-4A8DF113ACF2} - System32\Tasks\Paul guiseppiWolfsbanesSubtitleV2 => Rundll32.exe SlaveredMoires.dll,main 7 1 <==== ATTENTION
      Task: {B4299459-F34E-4A95-A31D-806135421532} - System32\Tasks\{2F63D99F-24C5-EC6F-D7F2-5C41D13A9177} => Regsvr32.exe /s /n /i:"/rt" "C:\PROGRA~3\95658a2b\81d066ba.dll" <==== ATTENTION
      Task: {927F7CC6-9303-4E8D-B543-EC4E453D2F3C} - System32\Tasks\7ARjY0k2SMLJtXp => C:\Users\Paul guiseppi\AppData\Roaming\kPvpQya\vEPCNbC.exe 
      C:\Users\Paul guiseppi\AppData\Roaming\kPvpQya
      C:\PROGRA~3\95658a2b
      Hosts:
      EmptyTemp:
      RemoveProxy:
      Reboot:


      Une fois, le texte collé dans le Bloc-notes,
      Menu "Fichier" puis "Enregistrer sous",
      A gauche, place toi sur le Bureau,
      Dans le champs en bas, nom du fichier mets : fixlist.txt
      Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

      Relance FRST et clique sur le bouton "Corriger / Fix"
      Un redémarrage sera peut-être nécessaire ( pas obligatoire )
      Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

      Redémarre l'ordinateur.
      0
    3. anakin6661 Messages postés 90 Statut Membre 6
       
      voici le rapport:
      Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 08-05-2017
      Exécuté par Paul guiseppi (10-05-2017 09:15:16) Run:2
      Exécuté depuis C:\Users\Paul guiseppi\Desktop
      Profils chargés: Paul guiseppi (Profils disponibles: UpdatusUser & Paul guiseppi)
      Mode d'amorçage: Normal
      ==============================================

      fixlist contenu:

      CreateRestorePoint:
      CloseProcesses:
      Task: {2E969774-3056-4D85-AD14-4A8DF113ACF2} - System32\Tasks\Paul guiseppiWolfsbanesSubtitleV2 => Rundll32.exe SlaveredMoires.dll,main 7 1 <==== ATTENTION
      Task: {B4299459-F34E-4A95-A31D-806135421532} - System32\Tasks\{2F63D99F-24C5-EC6F-D7F2-5C41D13A9177} => Regsvr32.exe /s /n /i:"/rt" "C:\PROGRA~3\95658a2b\81d066ba.dll" <==== ATTENTION
      Task: {927F7CC6-9303-4E8D-B543-EC4E453D2F3C} - System32\Tasks\7ARjY0k2SMLJtXp => C:\Users\Paul guiseppi\AppData\Roaming\kPvpQya\vEPCNbC.exe
      C:\Users\Paul guiseppi\AppData\Roaming\kPvpQya
      C:\PROGRA~3\95658a2b
      Hosts:
      EmptyTemp:
      RemoveProxy:
      Reboot:


      Le Point de restauration a été créé avec succès.
      Processus fermé avec succès.
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{2E969774-3056-4D85-AD14-4A8DF113ACF2} => clé supprimé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{2E969774-3056-4D85-AD14-4A8DF113ACF2} => clé supprimé(es) avec succès
      C:\WINDOWS\System32\Tasks\Paul guiseppiWolfsbanesSubtitleV2 => déplacé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Paul guiseppiWolfsbanesSubtitleV2 => clé supprimé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{B4299459-F34E-4A95-A31D-806135421532} => clé non trouvé(e).
      C:\WINDOWS\System32\Tasks\{2F63D99F-24C5-EC6F-D7F2-5C41D13A9177} => non trouvé(e).
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{2F63D99F-24C5-EC6F-D7F2-5C41D13A9177} => clé non trouvé(e).
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{927F7CC6-9303-4E8D-B543-EC4E453D2F3C} => clé supprimé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{927F7CC6-9303-4E8D-B543-EC4E453D2F3C} => clé supprimé(es) avec succès
      C:\WINDOWS\System32\Tasks\7ARjY0k2SMLJtXp => déplacé(es) avec succès
      HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\7ARjY0k2SMLJtXp => clé supprimé(es) avec succès
      C:\Users\Paul guiseppi\AppData\Roaming\kPvpQya => déplacé(es) avec succès
      "C:\PROGRA~3\95658a2b" => non trouvé(e).
      C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
      Hosts restauré(es) avec succès.

      ========= RemoveProxy: =========

      HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
      HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
      HKU\S-1-5-21-2015688758-2509880799-2512706056-1002\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
      HKU\S-1-5-21-2015688758-2509880799-2512706056-1002\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès


      ========= Fin de RemoveProxy: =========


      =========== EmptyTemp: ==========

      BITS transfer queue => 6053888 B
      DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 8439500 B
      Java, Flash, Steam htmlcache => 0 B
      Windows/system/drivers => 2677385 B
      Edge => 7031142 B
      Chrome => 0 B
      Firefox => 10955781 B
      Opera => 0 B

      Temp, IE cache, history, cookies, recent:
      Default => 0 B
      Users => 0 B
      ProgramData => 0 B
      Public => 0 B
      systemprofile => 128 B
      systemprofile32 => 0 B
      LocalService => 2474 B
      NetworkService => 0 B
      UpdatusUser => 0 B
      Paul guiseppi => 10237014 B

      RecycleBin => 246386 B
      EmptyTemp: => 43.5 MB données temporaires supprimées.

      ================================


      Le système a dû redémarrer.

      Fin de Fixlog 09:16:05

      0
    4. Malekal_morte- Messages postés 178136 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 712 > anakin6661 Messages postés 90 Statut Membre
       
      Vois ce que cela donne pour les erreurs rundll au démarrage.
      0
    5. anakin6661 Messages postés 90 Statut Membre 6
       
      par contre je n'arrive pas a lancer windows defender
      j'ai essayé tout ce qu'il y avait sur microsoft.com mais impossible de lancer le service windows defender
      0

Discussions similaires

Nous avons détecté une tentative de connexion inhabituelle
Floried0 -
MPMP10 -

3 réponses
Tentative de connexion bloquée (à répétition ! )
Utilisateur anonyme -
Utilisateur anonyme -

1 réponse
Samsung Galaxy A33 5G "réinitialisation non autorisée"
MRL2 -
SATS_fr -

3 réponses
Option de connexion est désactivé sur pc HP
franky95 -
georges97 -

2 réponses
manque de ressources a excel
tamarii -
Raymond PENTIER -

10 réponses