infection pc.fc-on-internet Résolu/Fermé

Question

Bonjour,
Je suis infecter par pc.fc-on-internet. Des fenétre intempestives souvrent reguliérement ce qui ralentit mon ordinateur et me géne considerablement. Mon anti-virus (Norton) marche parfaitement bien, j'ai fait des analyse pourtant impossible de m'en debarasser. Je suis allé sur le site officiel ou une demarche de desinstalation est possible mais cela ne donne aucun resultat. Ayant consulté quelques rubriques de ce forum, j'ai pris les devants en téléchargeant Navilog1.
Pourriez vous m'expliquer la demarche a suivre s'il vous plait ?   

Merci d'avance

anthony5151 · Answer

Bonsoir,


Tout d'abord, désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection): 

- Va dans démarrer puis panneau de configuration 
- Double Clique sur l'icône "Comptes d'utilisateurs" 
- Clique ensuite sur désactiver et valide. 


Tu peux installer navilog si ce n'est pas féja fait.
Une fois l'installation terminée, fais un Clic-droit sur le raccourci Navilog1 présent sur ton bureau et choisis "Exécuter en tant qu'administrateur". 

Au menu principal, Fais le choix 1 
Laisse toi guider et patiente. 
Patiente jusqu'au message : 
*** Analyse Termine le ..... *** 
Appuie sur une touche le blocnote va s'ouvrir. 
Copie-colle l'intégralité du rapport ici.

0156_scarface · Answer

Merci de ta reponse =)    Alors j'ai fait ce que tu ma demandé de faire et voici le raport :




Search Navipromo version 3.6.0 commencé le 06/07/2008 à  3:13:07,40

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!
!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:\Program Files
avilog1
Session actuelle : "scarface" 

Mise à jour le 27.06.2008 à 23h00 par IL-MAFIOSO

Microsoft Windows Vista 6.0.6001 
Internet Explorer : 7.0.6001.18000 
Système de fichiers : NTFS

Recherche executé en mode normal

*** Recherche Programmes installés ***


*** Recherche dossiers dans "C:\Windows" ***


*** Recherche dossiers dans "C:\Program Files" ***


*** Recherche dossiers dans "C:\ProgramData" ***


*** Recherche dossiers dans "c:\progra~2\micros~1\windows\startm~1\programs" ***


*** Recherche dossiers dans "c:\users\scarface\appdataoaming\micros~1\windows\startm~1\programs" ***


*** Recherche dossiers dans "C:\Users\scarface\AppData\Local\virtualstore\Program Files" ***


*** Recherche dossiers dans "C:\Users\scarface\AppData\Roaming" ***

*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***
pour + d'infos : http://www.gmer.net

Aucun Fichier trouvé


*** Recherche avec GenericNaviSearch ***
!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!
!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans "C:\Windows\system32" *

* Recherche dans "C:\Users\scarface\AppData\Local\Microsoft" *

* Recherche dans "C:\Users\scarface\AppData\Local\virtualstore\windows\system32" *

* Recherche dans "C:\Users\scarface\AppData\Local" *

Fichiers suspects :

ikqkcsu.exe trouvé ! 
ikqkcsu.dat trouvé ! 
ikqkcsu_nav.dat trouvé ! 
ikqkcsu_navps.dat trouvé ! 



*** Recherche fichiers *** 


C:\Windows\system32
vs2.inf trouvé !

*** Recherche clés spécifiques dans le Registre ***


*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :


2)Recherche Heuristique :

* Dans "C:\Windows\system32" :


* Dans "C:\Users\scarface\AppData\Local\Microsoft" :


* Dans "C:\Users\scarface\AppData\Local\virtualstore\windows\system32" :


* Dans "C:\Users\scarface\AppData\Local" :

ikqkcsu_nav.dat trouvé !
ikqkcsu_navps.dat trouvé !

3)Recherche Certificats :

Certificat Egroup trouvé !
Certificat Electronic-Group trouvé !
Certificat OOO-Favorit trouvé !
Certificat Sunny-Day-Design-Ltd absent !

4)Recherche fichiers connus :



*** Analyse terminée le 06/07/2008 à  3:30:20,47 ***

anthony5151 · Answer

Ok !

1) Relance Navilog1 et laisse-toi guider. Au menu principal, choisis 2 et valide. 

Le fix va t'informer qu'il va alors redémarrer ton PC 
Ferme toutes les fenêtres ouvertes et enregistre tes documents personnels ouverts 
Appuie sur une touche comme demandé. 
(si ton Pc ne redémarre pas automatiquement, fais le toi même) 
Au redémarrage de ton PC, choisis ta session habituelle. 

Patiente jusqu'au message : 
*** Nettoyage Termine le ..... *** 

Le bloc note va s'ouvrir, copie/colle ici le rapport, comme tu l’as fait pour l’autre. 




2)  Télécharge hijackthis sur ton bureau, puis installe le : 
http://www.commentcamarche.net/telecharger/telecharger 159 hijackthis

Renomme le, puis lance le et clique sur "Do a system scan and save a logfile" 
fais un copier-coller du rapport entier sur le forum

0156_scarface · Answer

Excuse moi mais vu qu'au redemarage navilog1 ne s'est pa réouvert je doit attendre le message dans le bloc note ou réouvrir navilog1 ?  merci d'avance

0156_scarface · Answer

Excuse moi mais vu qu'au redemarage navilog1 ne s'est pa réouvert je doit attendre le message dans le bloc note ou réouvrir navilog1 ? merci d'avance       j'attend ta reponse avant de toucher à quoi que ce soit

anthony5151 · Answer

Tu as eu le message *** Nettoyage Termine le ..... ***  ?

Le rapport est enregistré sur C:\cleannavi.txt  :  pour le retrouver, menu démarrer --> clique sur Ordinateur --> Disque dur (par défaut C).

anthony5151 · Answer

Le rapport n'est pas complet, tu es sûr d'avoir tout copié ?  S'il n'y avait que ça, il faut recommencer ce qui est indiqué au message 3

0156_scarface · Answer

oui il n'y avait que sa  donc je vais recommencer l'etape 2  

Au faite pendant l'analyse puis-je avoir des activités exterieur (ex : MSN ) ?

anthony5151 · Answer

Relis bien ce qui est écrit :
"Ferme toutes les fenêtres ouvertes et enregistre tes documents personnels ouverts"

==> donc non, pas de msn en même temps ;)

0156_scarface · Answer

J'ai refais la 2éme étape mais cela fait 50 minute et toujours pas de message de la fin de l'analyse que dois-je faire?

anthony5151 · Answer

As-tu bien désactivé le contrôle des comptes utilisateurs ?


Bon, redémarre en mode sans échec :

Pour cela, tu tapotes la touche F8 dès le début de l’allumage du PC sans t’arrêter (avant le logo windows) 
Un menu va apparaitre, déplace-toi avec les flèches du clavier sur Démarrer en mode sans échec puis tape Entrée. 
Une fois sur le bureau, s’il n’y a pas toutes les couleurs et autres, c’est normal ! 

Puis recommence l'analyse avec navilog (si ça ne fonctionne pas, redémarre en mode normal et explique moi le problème ici)

0156_scarface · Answer

Oui je viens de reverifier le controle des comptes utilisateurs est bien desactivé je vais redemarer en mode sans echec et je te tiens au courant 


merci de m'avoir repondu

0156_scarface · Answer

J'ai redemarer en mode sans echec , j'ai relancer l'etape 2 le redemarage ne s'est pas fait automatiquement alors j'ai redemarer moi meme. Au demarage navilog1 ne s'execute pas. Mes programes demarage souvrent sans probléme Ensuite j'ai attendu le message ou allait étre inscrit que l'analyse etait terminé mais rien ne sait fait. J'ai chercher le raport dans cleannavi.txt mais ce fichier est inexistant. Que dois-je faire maintenant  ?

A oui j'ai des mises a jours a instaler ont elles un cause avec ce disfonctionement?

merci davance

0156_scarface · Answer

Voila le rapport que tu m'as demandé de poster :




Clean Navipromo version 3.6.0 commencé le 07/07/2008 à  0:58:58,83

Outil exécuté depuis C:\Program Files
avilog1
Session actuelle : "scarface" 

Mise à jour le 27.06.2008 à 23h00 par IL-MAFIOSO

Microsoft Windows Vista 6.0.6001 
Internet Explorer : 7.0.6001.18000
Système de fichiers : NTFS


Mode suppression par méthode manuelle

Nom du fichier saisi : ikqkcsu

Nettoyage exécuté au redémarrage de l'ordinateur

*** Recherche, création sauvegardes et suppression ***

* Suppression dans "C:\Windows\system32" *

* Suppression dans "C:\Users\scarface\AppData\Local\Microsoft" *

* Suppression dans "C:\Users\scarface\AppData\Local\virtualstore\windows\system32" *

* Suppression dans "C:\Users\scarface\AppData\Local" *

ikqkcsu.exe trouvé !
Copie ikqkcsu.exe réalisée avec succès !
ikqkcsu.exe supprimé !

ikqkcsu.dat trouvé !
Copie ikqkcsu.dat réalisée avec succès !
ikqkcsu.dat supprimé !

ikqkcsu_nav.dat trouvé !
Copie ikqkcsu_nav.dat réalisée avec succès !
ikqkcsu_nav.dat supprimé !

ikqkcsu_navps.dat trouvé !
Copie ikqkcsu_navps.dat réalisée avec succès !
ikqkcsu_navps.dat supprimé !


*** Suppression dossiers dans "C:\Windows" ***


*** Suppression dossiers dans "C:\Program Files" ***


*** Suppression dossiers dans "C:\ProgramData" ***


*** Suppression dossiers dans "c:\progra~2\micros~1\windows\startm~1\programs" ***


*** Suppression dossiers dans c:\users\scarface\appdataoaming\micros~1\windows\startm~1\programs ***


*** Suppression dossiers dans "C:\Users\scarface\AppData\Local\virtualstore\Program Files" ***


*** Suppression dossiers dans "C:\Users\scarface\AppData\Roaming" ***



*** Suppression fichiers ***

C:\Windows\system32
vs2.inf supprimé !

*** Suppression fichiers temporaires ***

Nettoyage contenu C:\Windows\Temp effectué !
Nettoyage contenu C:\Users\scarface\AppData\Local\Temp effectué !

*** Traitement Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Suppression avec sauvegardes nouveaux fichiers Instant Access :

2)Recherche, création sauvegardes et suppression Heuristique :


* Dans "C:\Windows\system32" *


* Dans "C:\Users\scarface\AppData\Local\Microsoft" *


* Dans "C:\Users\scarface\AppData\Local\virtualstore\windows\system32" *


* Dans "C:\Users\scarface\AppData\Local" *


*** Sauvegarde du Registre vers dossier Safebackup ***

sauvegarde du Registre réalisée avec succès !

*** Nettoyage Registre ***

Nettoyage Registre Ok


*** Certificats ***

Certificat Egroup supprimé !
Certificat Electronic-Group supprimé !
Certificat OOO-Favorit supprimé !
Certificat Sunny-Day-Design-Ltdt absent !

*** Nettoyage terminé le 07/07/2008 à  1:07:11,71 ***

anthony5151 · Answer

Parfait :)

On va vérifier si toute l'infection a été éliminée :
Télécharge hijackthis sur ton bureau, puis installe le : 
http://www.commentcamarche.net/telecharger/telecharger 159 hijackthis

Renomme le (avec le nom que tu veux), puis lance le et clique sur "Do a system scan and save a logfile" 
Fais un copier-coller du rapport entier sur le forum.

anthony5151 · Answer

OK, il n'y a plus que cette ligne qui parait étrange...

O4 - HKCU\..\Run: [680b5ab1] rundll32.exe "C:\Users\scarface\AppData\Local\Temp\mtanexfn.dll",b 

Peux-tu aller à cette adresse : https://www.virustotal.com/gui/
Clique sur parcourir, puis navigue jusqu'à ce fichier que tu vas soumettre à analyse :  C:\Users\scarface\AppData\Local\Temp\mtanexfn.dll

Ensuite, copie/colle le rapport ici ;)

0156_scarface · Answer

J'ai fait ce que tu m'as dit mais quand je parcours je ne trouve pa le dossier "AppData" 

pour "users" je suis allé sur uilisateur car  il sufisait de traduire mais pour "AppData" ya-t-il une traduction?

anthony5151 · Answer

AppData est le nom exact, mais c'est un dossier caché... Pour l'afficher :

# Menu démarrer --> ordinateur
# Clique sur le menu outils  en haut à droite puis options des dossiers
# Dans la nouvelle fenêtre, clique sur l'onglet Affichage en haut
# Coche dans la liste "Afficher les fichiers cachés"
# Décoche "masquer les fichier proteger du systeme d exploitation (recommandée)"
# Tu vas recevoir un message qui te dit que cela peut endommager le système, n'en tiens pas compte


Puis réessaye l'analyse sur https://www.virustotal.com/gui/

0156_scarface · Answer

J'ai fait comme tu ma dit mais je ne trouve pas le fichier mtanexfn . Par contre je trouve le fichier nfxenatm qui est 

mtanexfn a l'envers . Dois-je l'analyser ?

anthony5151 · Answer

Oui tu peux.  Si tu n'y arrives pas, réutilise directement l'option 4 de navilog et entre le nom du fichier que tu as dans AppData

0156_scarface · Answer

Voici le resultat pour nfxenatm

Antivirus Version Dernière mise à jour Résultat 
AhnLab-V3 2008.7.8.0 2008.07.07 - 
AntiVir 7.8.0.64 2008.07.07 - 
Authentium 5.1.0.4 2008.07.06 - 
Avast 4.8.1195.0 2008.07.07 - 
AVG 7.5.0.516 2008.07.07 - 
BitDefender 7.2 2008.07.07 - 
CAT-QuickHeal 9.50 2008.07.07 - 
ClamAV 0.93.1 2008.07.07 - 
DrWeb 4.44.0.09170 2008.07.07 - 
eSafe 7.0.17.0 2008.07.07 - 
eTrust-Vet 31.6.5934 2008.07.07 - 
Ewido 4.0 2008.07.07 - 
F-Prot 4.4.4.56 2008.07.06 - 
F-Secure 7.60.13501.0 2008.07.03 - 
Fortinet 3.14.0.0 2008.07.07 - 
GData 2.0.7306.1023 2008.07.07 - 
Ikarus T3.1.1.26.0 2008.07.07 - 
Kaspersky 7.0.0.125 2008.07.07 - 
McAfee 5333 2008.07.07 - 
Microsoft 1.3704 2008.07.07 - 
NOD32v2 3248 2008.07.07 - 
Norman 5.80.02 2008.07.07 Vundo.gen197 
Panda 9.0.0.4 2008.07.07 - 
Prevx1 V2 2008.07.07 - 
Rising 20.51.60.00 2008.07.06 - 
Sophos 4.31.0 2008.07.07 - 
Sunbelt 3.1.1509.1 2008.07.04 - 
Symantec 10 2008.07.07 - 
TheHacker 6.2.96.374 2008.07.07 - 
TrendMicro 8.700.0.1004 2008.07.07 - 
VBA32 3.12.6.8 2008.07.07 - 
VirusBuster 4.5.11.0 2008.07.07 - 
Webwasher-Gateway 6.6.2 2008.07.07 - 
Information additionnelle 
File size: 638 bytes 
MD5...: 13170e279fef23bc32da1bb824a91249 
SHA1..: b7cb150e716618a53aca0c9398c6640704a77cce 
SHA256: 9ce40dca382f63928aed3d93a2da3683803a9094943728762a9559f6ffaca863 
SHA512: 11fd7f0c146725c3e5033f6b6449ae5e7f90309337b838255d1f9b24441af004
6e7260c1d9004f3d861d5b8b3b79d385db386e9f177d9962f83fad3b5df3126a 
PEiD..: - 
PEInfo: - 











Pour mtanexfn je vais utiliser l'option 4 de navilog1


Merci pour ta reponse


Pour

anthony5151 · Answer

Bonsoir,

As-tu encore des fenêtres intempestives pc.fc-on-internet ?

La ligne que je t'ai signalé comme suspecte dans le rapport Hijackthis indique une possibilité d'infection par Vundo (autre que celle qu'on a nettoyé avec navilog, qui ne supprime que Magic.control), ce que confirme l'un des antivirus de Virustotal.
Normalement, Vundo laisse des traces aux lignes 02 et 20, mais cette infection reconnait parfois Hijackthis et arrive à s'en cacher : c'est pour remédier à ça qu'il faut renommer Hijackthis, comme je te l'avais demandé, mais apparemment tu ne l'as pas fait.

Donc, avant de passer à une procédure de désinfection, peux tu le renommer en faisant ceci : clique sur menu démarrer --> ordinateur --> disque dur C --> Programmes --> Trend Micro --> ouvre le dossier HijackThis --> renomme le fichier HijackThis.exe en choisissant "renommer" et en mettant le nom de ton choix.

Puis refais un scan hijackthis, et poste le rapport ici stp

0156_scarface · Answer

Non je n'ai plus de fenétre intempestives fc.pc-on-internet. Pour Hijackthis je l'avais renomer anthony5151 des que tu 

m'as demander de le renomer. Je vais refaire un scan hijackthis et je te poste le rapport sur le topik. 

Merci beaucoup pour l'aide que tu m'apportes

0156_scarface · Answer

Voici le rapport hijackthis que tu m'as demandé. Au faite tu avais raison, je n'avais pas renommer hijackthis en faite je 

l'ai fait mais dans le bureau du coup j'ai du juste renommer le racourci.




Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 04:47:53, on 09/07/2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32	askeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\conime.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\RtHDVCpl.exe
C:\Acer\Empowering Technology\SysMonitor.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSLoader.exe
C:\Program Files\ScanSoft\OmniPageSE4\OpWareSE4.exe
C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE
C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE
C:\Windows\ehome\ehmsas.exe
C:\Acer\Empowering Technology\eRecovery\ERAGENT.EXE
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
C:\Program Files\Windows Media Player\wmplayer.exe
C:\Program Files\Sports Interactive\Football Manager 2008\fm.exe
C:\Windows\system32\wuauclt.exe
C:\Program Files\iTunes\iTunes.exe
C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceHelper.exe
C:\Program Files\Common Files\Apple\Mobile Device Support\bin\distnoted.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\anthony5151.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://us.norton.com/antivirus
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\Windows\system32\eDStoolbar.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Acer Empowering Technology Monitor] C:\Acer\Empowering Technology\SysMonitor.exe
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
O4 - HKLM\..\Run: [PCMMediaSharing] C:\Program Files\Acer Arcade Live\Acer HomeMedia Connect\Kernel\DMS\PCMMediaSharing.exe
O4 - HKLM\..\Run: [StartCCC] C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
O4 - HKLM\..\Run: [Apanel] C:\ACERSW\config\SetApanel.cmd
O4 - HKLM\..\Run: [WarReg_PopUp] C:\Acer\WR_PopUp\WarReg_PopUp.exe
O4 - HKLM\..\Run: [Acer Tour Reminder] C:\Acer\AcerTour\Reminder.exe
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Common Files\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [OpwareSE4] "C:\Program Files\ScanSoft\OmniPageSE4\OpwareSE4.exe"
O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [DelegateRun] C:\Program Files\NCH Swift Sound\Delegate\delegate.exe /logon
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter
O4 - HKCU\..\Run: [TVAgent WiFi] C:\Club-Internet\Wizard\Agent_wifi.exe
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [680b5ab1] rundll32.exe "C:\Users\scarface\AppData\Local\Temp\mtanexfn.dll",b
O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O4 - Startup: OneNote 2007 - Capture d'écran et lancement.lnk = C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE
O4 - Global Startup: Empowering Technology Launcher.lnk = ?
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O13 - Gopher Prefix: 
O16 - DPF: {04CB5B64-5915-4629-B869-8945CEBADD21} (Module de délivrance de certificat MINEFI) - https://static.impots.gouv.fr/abos/static/securite/certdgi1.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/player/DivXBrowserPlugin.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary/ZIntro.cab56649.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game01.zylom.com/activex/zylomgamesplayer.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {D6E7CFB5-C074-4D1C-B647-663D1A8D96BF} (Facebook Photo Uploader 4) - http://upload.facebook.com/controls/FacebookPhotoUploader4_5.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
O16 - DPF: {F8C5C0F1-D884-43EB-A5A0-9E1C4A102FA8} (GoPetsWeb Control) - https://secure.gopetslive.com/dev/GoPetsWeb.cab
O23 - Service: Acer HomeMedia Connect Service - CyberLink - C:\Program Files\Acer Arcade Live\Acer HomeMedia Connect\Kernel\DMS\CLMSServer.exe
O23 - Service: ePerformance Service (AcerMemUsageCheckService) - Unknown owner - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: eDSService.exe (eDataSecurity Service) - HiTRSUT - C:\Acer\Empowering Technology\eDataSecurity\eDSService.exe
O23 - Service: eRecovery Service (eRecoveryService) - Acer Inc. - C:\Acer\Empowering Technology\eRecovery\eRecoveryService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: PIXMA Extended Survey Program (IJPLMSVC) - Unknown owner - C:\Program Files\Canon\IJPLM\IJPLMSVC.EXE
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Symantec IS Password Validation (ISPwdSvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus\isPwdSvc.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: LiveUpdate Notice Service Ex (LiveUpdate Notice Ex) - Symantec Corporation - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: LiveUpdate Notice Service - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe
O23 - Service: Planificateur LiveUpdate automatique - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Symantec AppCore Service (SymAppCore) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe

0156_scarface · Answer

A oui je voulais te parler d'un truc aussi 

A chaque demarage, un message d'erreur se nommant "RunDDL" me dit 



Erreur de chargement de 

C:/Users/scarface/AppData/Local/Temp/mtanexfn.dll

Le module spécifié est introuvable.




Qu'est ce que ça peut bien être ?

anthony5151 · Answer

Bonsoir,

Ce message d'erreur vient du fait que le registre de ton ordinateur a toujours une trace d'infection, puisqu'il tente d'exécuter à chaque démarrage le fichier mtanexfn.dll, ce que le rapport hijackthis confirme avec la ligne suivante :
O4 - HKCU\..\Run: [680b5ab1] rundll32.exe "C:\Users\scarface\AppData\Local\Temp\mtanexfn.dll",b

Je te conseille maintenant d'installer MalwareByte's Anti-Malware pour finir la désinfection : http://www.malwarebytes.org/mbam/program/mbam-setup.exe

Télécharge le, installe le, lance le, mets le à jour.
Puis, redémarre ton ordinateur en mode sans échec (redémarre et tapote sur F8 avant l'apparition du logo Windows), fais un scan complet de ton ordinateur et supprime tout ce qui est détecté.
Redémarre en mode normal et poste le rapport ici


Le tutorial en image est ici : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

0156_scarface · Answer

J'ai telecharger MalwareByte's Anti-Malware et ja'ai effectuer une analyse complete en suivant tes instructions . 

J'ai supprimé les élements infectés et ils ont été placés en quarantaine. Dois-je les suprimer de la quarantaine?

Voici le rapport que tu m'as demandé :




Malwarebytes' Anti-Malware 1.20
Version de la base de données: 941
Windows 6.0.6001 Service Pack 1

22:21:43 11/07/2008
mbam-log-7-11-2008 (22-21-43).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 213955
Temps écoulé: 36 minute(s), 24 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 2
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 2
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\affri (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Adsl Software Limited (Rogue.MalWarrior) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\680b5ab1 (Trojan.Vundo) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
C:\ProgramData\Adsl Software Limited (Rogue.MalWarrior) -> Quarantined and deleted successfully.
C:\ProgramData\Adsl Software Limited\WinSpywareProtect (Rogue.MalWarrior) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
C:\ProgramData\Adsl Software Limited\WinSpywareProtect\WinSpywareProtect.exe (Rogue.MalWarrior) -> Quarantined and deleted successfully.

anthony5151 · Answer

Comme tu le vois, il s'agissait bien de Vundo, et Malware Byte's a supprimé la ligne associée au message d'erreur que tu avais au démarrage :
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\680b5ab1

Tu ne devrais donc plus avoir ce message ? Peux-tu poster un nouveau rapport hijackthis stp ?

Tu peux en effet supprimer la quarantaine de MalwareByte's

0156_scarface · Answer

Oui je n'ai plus ce message au demarrage =) merci beaucoup

Voici le rapport hijackthis que tu m'as demandé :




Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:24:27, on 11/07/2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32	askeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\RtHDVCpl.exe
C:\Acer\Empowering Technology\SysMonitor.exe
C:\Acer\Empowering Technology\eDataSecurity\eDSLoader.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.EXE
C:\Program Files\ScanSoft\OmniPageSE4\OpWareSE4.exe
C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE
C:\Windows\ehome\ehmsas.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Acer\Empowering Technology\eRecovery\ERAGENT.EXE
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
C:\Windows\system32\conime.exe
C:\Windows\system32\wuauclt.exe
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLLoginProxy.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Program Files\Trend Micro\HijackThis\anthony5151.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://us.norton.com/antivirus
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\Windows\system32\eDStoolbar.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [Acer Empowering Technology Monitor] C:\Acer\Empowering Technology\SysMonitor.exe
O4 - HKLM\..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
O4 - HKLM\..\Run: [PCMMediaSharing] C:\Program Files\Acer Arcade Live\Acer HomeMedia Connect\Kernel\DMS\PCMMediaSharing.exe
O4 - HKLM\..\Run: [StartCCC] C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
O4 - HKLM\..\Run: [Apanel] C:\ACERSW\config\SetApanel.cmd
O4 - HKLM\..\Run: [WarReg_PopUp] C:\Acer\WR_PopUp\WarReg_PopUp.exe
O4 - HKLM\..\Run: [Acer Tour Reminder] C:\Acer\AcerTour\Reminder.exe
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Common Files\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [OpwareSE4] "C:\Program Files\ScanSoft\OmniPageSE4\OpwareSE4.exe"
O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [DelegateRun] C:\Program Files\NCH Swift Sound\Delegate\delegate.exe /logon
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter
O4 - HKCU\..\Run: [TVAgent WiFi] C:\Club-Internet\Wizard\Agent_wifi.exe
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [updateMgr] C:\Program Files\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB7_0_9
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O4 - Startup: OneNote 2007 - Capture d'écran et lancement.lnk = C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE
O4 - Global Startup: Empowering Technology Launcher.lnk = ?
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O13 - Gopher Prefix: 
O16 - DPF: {04CB5B64-5915-4629-B869-8945CEBADD21} (Module de délivrance de certificat MINEFI) - https://static.impots.gouv.fr/abos/static/securite/certdgi1.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w3/pr01/resources/VistaMSNPUpldfr-fr.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://download.divx.com/player/DivXBrowserPlugin.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary/ZIntro.cab56649.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game01.zylom.com/activex/zylomgamesplayer.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {D6E7CFB5-C074-4D1C-B647-663D1A8D96BF} (Facebook Photo Uploader 4) - http://upload.facebook.com/controls/FacebookPhotoUploader4_5.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
O16 - DPF: {F8C5C0F1-D884-43EB-A5A0-9E1C4A102FA8} (GoPetsWeb Control) - https://secure.gopetslive.com/dev/GoPetsWeb.cab
O23 - Service: Acer HomeMedia Connect Service - CyberLink - C:\Program Files\Acer Arcade Live\Acer HomeMedia Connect\Kernel\DMS\CLMSServer.exe
O23 - Service: ePerformance Service (AcerMemUsageCheckService) - Unknown owner - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: eDSService.exe (eDataSecurity Service) - HiTRSUT - C:\Acer\Empowering Technology\eDataSecurity\eDSService.exe
O23 - Service: eRecovery Service (eRecoveryService) - Acer Inc. - C:\Acer\Empowering Technology\eRecovery\eRecoveryService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: PIXMA Extended Survey Program (IJPLMSVC) - Unknown owner - C:\Program Files\Canon\IJPLM\IJPLMSVC.EXE
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Symantec IS Password Validation (ISPwdSvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus\isPwdSvc.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: LiveUpdate Notice Service Ex (LiveUpdate Notice Ex) - Symantec Corporation - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: LiveUpdate Notice Service - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe
O23 - Service: Planificateur LiveUpdate automatique - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Symantec AppCore Service (SymAppCore) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe

anthony5151 · Answer

Très bien, ton rapport Hijackthis ne montre plus d'infections ;)

Avant de retourner surfer sur internet, il y a quelques petites choses que tu dois faire pour améliorer sensiblement la sécurité de ton ordinateur, ça t'évitera peut-être de devoir revenir ici avec une nouvelle infection dans le futur ;)  Mais sache qu'aucun logiciel de sécurité ne te protègera à 100%, ce qui fait la différence, c'est ta vigilance lorsque tu télécharges ou installes quelque chose : pour en savoir plus, je t'invite à bien lire la page indiquée tout en bas de ce message (6).



1) Relance Hijackthis (pour la dernière fois), fais "scan system only" et coche ces lignes (pas dangereuses mains inutiles) : 
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - Global Startup: Empowering Technology Launcher.lnk = ? 
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime     
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game01.zylom.com/activex/zylomgamesplayer.cab 
O16 - DPF: {F8C5C0F1-D884-43EB-A5A0-9E1C4A102FA8} (GoPetsWeb Control) - https://secure.gopetslive.com/dev/GoPetsWeb.cab     


Ensuite, clique sur "Fix checked" 



2) Télécharge ToolsCleaner sur ton bureau pour nettoyer l'ordi de tous les outils qu'on a utilisé : 
ftp://ftp.commentcamarche.com/download/ToolsCleaner2.exe 
installe-le normalement, puis lance-le. 
Clique sur Recherche et laisse le scan se finir.
Cliquez sur Suppression pour nettoyer. 
Tu peux aussi supprimer les fichiers temporaires.
Ensuite, supprime manuellement ToolsCleaner.



3) Sécurise ton ordinateur : 

- Antivirus : Norton consomme beaucoup de mémoire pour une efficacité très limitée, ce qui est inacceptable pour un logiciel payant… Je te conseille vivement d’en changer (maintenant ou au terme de ton abonnement) pour Antivir qui est le meilleur antivirus gratuit actuel (avec AVG). Il faut d’abord que tu réussisses à désinstaller proprement Norton, en utilisant l’utilitaire fourni par Symantec
Pour Norton 2002 ou versions antérieures : http://service1.symantec.com/SUPPORT/INTER/navintl.nsf/fdocid/20011010123420905
Pour Norton 2003 ou versions plus récentes : http://service1.symantec.com/SUPPORT/INTER/tsgeninfointl.nsf/fr_docid/20050414110429924

Tutorial et lien pour Antivir : https://www.malekal.com/avira-free-security-antivirus-gratuit/ 


- Pare-feu : Tu n’as apparemment aucun pare-feu (sauf peut-être celui de Windows, qui est inefficace) : Télécharge ZoneAlarm !  Tutorial et lien : https://www.malekal.com/tutoriel-zonealarm-firewall/  


- Anti-Spyware : Comme anti-spyware, tu n’as que Windows Defender qui est très rudimentaire… Installe plutôt Spybot (efficace pour sa protection résidente + vaccination) et garde MalwareByte’s Anti-Malware en complément (efficace pour ses scans de désinfection).


- Failles de sécurité : Ton rapport montre que Adobe Acrobat Reader n'est pas à jour, il y a une nouvelle version ;)  Supprime l'ancienne : Démarrer --> panneau de configuration --> Désinstaller un programme --> sélectionne Adobe Reader et supprime le.
Puis installe la nouvelle version depuis cette adresse : https://get2.adobe.com/reader/otherversions/



4) Télécharge et installe CCleaner (attention à l'installation, pense à DECOCHER l'installation de Yahoo toolbar discrètement proposé en plus de CCleaner). Utilise la fonction cleaner de ce logiciel, puis la fonction registry à trois reprises pour effectuer des nettoyages (tu peux garder ce logiciel et l'utiliser régulièrement) : 
https://www.commentcamarche.net/telecharger/ 168 ccleaner 



5) Pour finir le nettoyage, il faut désactiver puis réactiver la restauration système (pour créer un nouveau point de restauration sain et éviter le retour de l'infection). 

* Fais un clic droit sur poste de travail (qui est sur ton bureau ou dans le menu démarrer), puis propriétés. 
* Sélectionne l'onglet restauration du système 

* Coche l'option Désactiver la restauration du système sur tous les lecteurs 
* Clique sur OK. 

Puis refais la manipulation inverse pour réactiver la restauration système. 



6) Je t'invite enfin à visiter cette page, très complète, pour avoir des informations supplémentaires sur la façon de sécuriser ton ordinateur : 
https://www.malekal.com/proteger-pc-virus-pirates/?f=36&t=381&sid=d03ac6bc6efb6e5384089615e97fc435

0156_scarface · Answer

Fffiioooouu j'y est passer une bonne heure et demi mais au moins c'est fait =) 

Par contre j'ai un petit probleme pour la restauration systéme je ne trouve pas le poste de travail -_-'  

Sous Vista le poste de travail a été remplacé par " ordinateur " non ?  

Ci c'est bien le cas pourrait tu m'informer de la demarche à suivre stp ? Merci d'avance

Merci aussi pour ton aide exceptionnel serieusement je ne penser pas trouver quelqu'un comme toi sur un forum vu 

que c'était la première fois que je postais un probléme sur un forum ^^ Merci du fond du coeur

0156_scarface · Answer

Je voulais te dire que depuis que j'ai instalé les logiciels que tu m'as demandé d'installer le son sur dailymotion saute et je ne peux plus ecouter mes musiques sur Itunes 

Est-ce normal?

0156_scarface · Answer

Excuse moi d'avoir parler trop vite c'est réglé pour Itunes par contre toujours pas pour dailymotion =s

0156_scarface · Answer

Nouveau probléme =s

Desolé de t'embeter autant mais je ne peux plus lancer firefox mais internet explorer marche 

comment faire pour pouvoir lancer firefox?  

merci d'avance

anthony5151 · Answer

Pour la restauration du système :
Sur vista (j'avais oublié), menu démarrer --> clic droit sur Ordinateur --> protection du système
Désactive la restauration, clique sur appliquer, puis réactive la.


Ensuite, pour tes deux problèmes :

- Comment ça tu ne peux plus lancer Firefox ?  Il ne se lance pas ou tu n'arrives pas à aller sur des pages web avec ?  (si c'est la deuxième solution, c'est peut-être un problème de règlage du pare-feu)

- Pour dailymotion, c'est peut-être un problème de performances de ton système (étant donné qu'on a installlé pas mal de choses). As-tu utilisé CCleaner comme indiqué dans mon dernier message ?  Et as-tu réussi à désinstaller correctement Norton ? (et éventuellement Windows Defender)

0156_scarface · Answer

Merci j'ai pu desactiver puis reactiver la restauration systéme en créent un nouveau point de restauration =)

Pour Firefox maintenant il n'y a plus aucun probléme c'est juste hier quand je cliquait dessus il y avait un chargement 

mais ensuite rien alors qu'internet explorer marchait

Pour dailymotion non plus il n'y a plus de soucis. J'ai utilisé ccleaner comme tu ma l'a indiqué et tout va mieux =)

Pour norton ca c'est bien passé je l'ai desinstalé corectement et l'instalation d'antivir c'est bien deroulé

Merci beaucoup de ton aide qui m'a été extrémement precieuse.

Tu m'as fourni des réponses claires et de qualités et ceci pendant toutes la manoeuvre 

MERCI BEAUCOUP

anthony5151 · Answer

Heureux d'avoir pu t'aider ;)
N'hésite pas à revenir en cas de besoin

Bonne continuation, et bon surf (sans infection) !

Infection pc.fc-on-internet

37 réponses

Discussions similaires