PC infesté de virus Résolu

Question

Bonjour,

Je suis sur un pc portable sous Vista qui n'avait pas d'antivirus installé et qui était infecté par un virus : Win PC Defender. J'ai réussi à le supprimer grace à Malwarebytes AntiMalware (du moins je pense) mais j'ai ensuite essayé d'installer deux antivirus : Avira Antivir Premium et Eset NOD32 en eval, l'installation du 1er a marché mais il ne se lance pas, apres redemarrage il detectait des virus mais se fermait tout seul, pour NOD32 je n'ai pas pu l'installer. J'ai installé HIJackthis mais il est tout de suite corrompu (application win32 non valide) et le centre de sécurité de Vista est désactivé et impossible à activer.

Avez vous une marche à suivre pour résoudre cela ?

Merci d'avance

redskins72 · Answer

voila un lien qui va te premettre de faire un scan en ligne sans rien avoir a instalé : http://onecare.live.com/site/fr-CH/default.htm

matduchesne · Answer

Salut,

J'ai installé le scan en ligne mais il télécharge les outils d'analyse puis affiche un message d'erreur.

redskins72 · Answer

tu a koi comme message d'erreur ??

geoffrey5 · Answer

Bonjour,

Ton PC est infecté par Bagle...

Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection):

&#x25B6; Vas dans "Démarrer" puis Panneau de configuration.
&#x25B6; Double Clique sur l'icône Comptes d'utilisateurs et sur Activer ou désactiver le contrôle des comptes d'utilisateurs.
&#x25B6; Clique sur Continuer.
&#x25B6; Décoche la case Utiliser le contrôle des comptes d'utilisateurs pour vous aider à protéger votre ordinateur.
&#x25B6; Valide par OK et redémarre le PC.



&#x25B6; Telecharge maintenant FindyKill sur ton bureau

&#x25B6; tutoriel installation

&#x25B6; tutoriel recherche

/!\ Ne fait pas le nettoyage tout dessuite /!\

&#x25B6; Lance l installation avec les parametres par default

&#x25B6; Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

&#x25B6; Fais un clic droit sur le raccourci FindyKill sur ton bureau

&#x25B6; Choisi "Executer en tant qu administrateur"

&#x25B6; Au menu principal,choisi l option 1 (Recherche)

&#x25B6; Post le rapport FindyKill.txt

 * Note : le rapport FindyKill.txt est sauvegardé a la racine du disque

matduchesne · Answer

############################## [ FindyKill V4.728 ]

# User : fred (Administrateurs) # PC-DE-FRED
# Update on 03/05/09 by Chiquitine29
# Start at: 11:31:45 | 11/05/2009
# Website : http://pagesperso-orange.fr/NosTools/findykill.html

# Intel(R) Pentium(R) Dual  CPU  T3200  @ 2.00GHz
# Microsoft® Windows Vista™ Édition Familiale Premium  (6.0.6001 32-bit) # Service Pack 1
# Internet Explorer 7.0.6001.18000
# Windows Firewall Status : Enabled

# C:\ # Disque fixe local # 69,65 Go (30,09 Go free) [ACER] # NTFS
# D:\ # Disque fixe local # 69,64 Go (69,28 Go free) [DATA] # NTFS
# E:\ # Disque CD-ROM

############################## [ Processus actifs ]

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\agrsmsvc.exe
C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe
C:\Program Files\Acer Arcade Deluxe\HomeMedia\Kernel\DMP\CLHNService.exe
C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSService.exe
C:\Program Files\Acer\Empowering Technology\Service\ETService.exe
C:\PROGRA~1\COMMON~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Acer\Mobility Center\MobilityService.exe
C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe
C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Cyberlink\Shared files\RichVideo.exe
C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32	askeng.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Windows\system32	askeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\igfxpers.exe
C:\Windows\RtHDVCpl.exe
C:\Windows\PLFSetI.exe
C:\Windows\ehome\ehtray.exe
C:\Windows\system32\igfxsrvc.exe
C:\Users\fred\AppData\Roaming\drivers\winupgro.exe
C:\Windows\ehome\ehmsas.exe
C:\Users\fred\AppData\Local\Temp\RtkBtMnt.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\Windows\system32\msiexec.exe
C:\Users\fred\AppData\Roaming\m\flec006.exe
C:\Windows\system32\wintems.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Windows Live\Toolbar\wltuser.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Windows\system32\conime.exe
C:\Windows\system32\wbem\wmiprvse.exe
 
################## [ Processus infectieux stoppés ]  

"C:\Users\fred\AppData\Roaming\drivers\winupgro.exe"  (3316)
"C:\Users\fred\AppData\Roaming\m\flec006.exe"  (1680)
"C:\Windows\system32\wintems.exe"  (2908)

################## [ Fichiers / Dossiers infectieux ]

Found ! C:\Windows\Prefetch\134488.EXE-DED9156D.pf 
Found ! C:\Windows\Prefetch\147202.EXE-989BCE29.pf 
Found ! C:\Windows\Prefetch\FLEC006.EXE-B043DD3B.pf 
Found ! C:\Windows\Prefetch\KEY_GEN.EXE-B82D973D.pf 
Found ! C:\Windows\system32\ban_list.txt 
Found ! C:\Windows\system32\mdelk.exe 
Found ! C:\Windows\system32\wintems.exe 
Found ! "C:\Users\fred\AppData\Roaming\drivers" 
Found ! "C:\Users\fred\AppData\Roaming\drivers\downld" 
Found ! "C:\Users\fred\AppData\Roaming\drivers\srosa2.sys" 
Found ! "C:\Users\fred\AppData\Roaming\drivers\wfsintwq.sys" 
Found ! "C:\Users\fred\AppData\Roaming\drivers\winupgro.exe" 
Found ! "C:\Users\fred\AppData\Roaming\m" 
Found ! "C:\Users\fred\AppData\Roaming\m\data.oct" 
Found ! "C:\Users\fred\AppData\Roaming\m\flec006.exe" 
Found ! "C:\Users\fred\AppData\Roaming\m\list.oct" 
Found ! "C:\Users\fred\AppData\Roaming\m\shared" 
Found ! "C:\Users\fred\AppData\Roaming\m\srvlist.oct" 

################## [ Infected Temp Files ]

Found ! C:\Users\fred\Local Settings\Temporary Internet Files\Content.IE5\EEF1LOCI\b64_1[1].jpg  
Found ! C:\Users\fred\Local Settings\Temporary Internet Files\Content.IE5\SESYCRYG\file[1].txt  
Found ! C:\Users\fred\Local Settings\Temporary Internet Files\Content.IE5\TXBU6YOK\b64[1].jpg  
Found ! C:\Users\fred\Local Settings\Temporary Internet Files\Content.IE5\TXBU6YOK\b64_3[2].jpg  
Found ! C:\Users\fred\Local Settings\Temporary Internet Files\Content.IE5\TXBU6YOK\b64_3[3].jpg  
Found ! C:\Users\fred\AppData\Roaming\Microsoft\Windows\Cookies\Low\fred@crackle[1].txt  

################## [ Registre / Clés infectieuses ]

Found ! HKEY_USERS\S-1-5-21-504484228-3954232422-1517048897-1000\Software\Local AppWizard-Generated Applications\key_gen  
Found ! HKEY_USERS\S-1-5-21-504484228-3954232422-1517048897-1000\Software\Local AppWizard-Generated Applications\msnmsgr  
Found ! HKEY_USERS\S-1-5-21-504484228-3954232422-1517048897-1000\Software\Local AppWizard-Generated Applications\winupgro  
Found ! HKEY_USERS\S-1-5-21-504484228-3954232422-1517048897-1000\Software\bisoft  
Found ! HKEY_USERS\S-1-5-21-504484228-3954232422-1517048897-1000\Software\DateTime4  
Found ! HKEY_USERS\S-1-5-21-504484228-3954232422-1517048897-1000\Software\FFC  
Found ! HKEY_USERS\S-1-5-21-504484228-3954232422-1517048897-1000\Software\MuleAppData  
Found ! HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\key_gen  
Found ! HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\msnmsgr  
Found ! HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\winupgro  
Found ! HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa  
Found ! HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa  
Found ! HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\srosa  
Found ! HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA  
Found ! HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA  
Found ! HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SROSA   
Found ! HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sK9Ou0s  
Found ! HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\sK9Ou0s  
Found ! HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sK9Ou0s  
Found ! HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SK9OU0S  
Found ! HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SK9OU0S  
Found ! HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SK9OU0S  
Found ! HKEY_CURRENT_USER\Software\bisoft  
Found ! HKEY_CURRENT_USER\Software\DateTime4  
Found ! HKEY_CURRENT_USER\Software\MuleAppData    
Found ! HKEY_CURRENT_USER\Software\FFC   
Found ! HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"drvsyskit" 
Found ! HKEY_USERS\S-1-5-21-504484228-3954232422-1517048897-1000\Software\Microsoft\Windows\CurrentVersion\Run\"drvsyskit"  
Found ! HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"german.exe" 
Found ! HKEY_USERS\S-1-5-21-504484228-3954232422-1517048897-1000\Software\Microsoft\Windows\CurrentVersion\Run\"german.exe"  
Found ! HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"mule_st_key" 
Found ! HKEY_USERS\S-1-5-21-504484228-3954232422-1517048897-1000\Software\Microsoft\Windows\CurrentVersion\Run\"mule_st_key"  

# (!) HKLM\SYSTEM\...\Services\srosa -> Start = 0x1
# (!) HKLM\SYSTEM\...\Services\sK9Ou0s -> Start = 0x1 

################## [ Recherche dans supports amovibles]


################## [ Registre / Mountpoints2 ]

# -> Not found !  

################## [ ! Fin du rapport # FindyKill V4.728 ! ]

geoffrey5 · Answer

Ok maintenant fais ceci stp :

&#x25B6; tutoriel nettoyage

&#x25B6; Veille à ce que le contrôle des comptes utilisateurs (UAC) soit désactivé.

&#x25B6; Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir


&#x25B6; Fais clic droit sur le raccourci FindyKill sur ton bureau

&#x25B6; Choisi executer en tant qu administrateur

&#x25B6; Au menu principal,choisi l option 2 (Suppression)


/!\ il y aura un redémarrage, laisse travailler l outils jusqu a l apparition du message "nettoyage effectué"

/!\ Ne te sert pas du pc durant la suppression , ton bureau ne sera pas accessible c est normal !

&#x25B6; ensuite post le rapport FindyKill.txt

* Note : le rapport FindyKill.txt est sauvegardé a la racine du disque


/!\ Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tapes explorer.exe et valides) /!\


A lire :

le danger des cracks

bagle/beagle

matduchesne · Answer

############################## [ FindyKill V4.728 ]

# User : fred (Administrateurs) # PC-DE-FRED
# Update on 03/05/09 by Chiquitine29
# Start at: 11:50:04 | 11/05/2009
# Website : http://pagesperso-orange.fr/NosTools/findykill.html

# Intel(R) Pentium(R) Dual  CPU  T3200  @ 2.00GHz
# Microsoft® Windows Vista™ Édition Familiale Premium  (6.0.6001 32-bit) # Service Pack 1
# Internet Explorer 7.0.6001.18000
# Windows Firewall Status : Enabled

# C:\ # Disque fixe local # 69,65 Go (30,1 Go free) [ACER] # NTFS
# D:\ # Disque fixe local # 69,64 Go (69,28 Go free) [DATA] # NTFS
# E:\ # Disque CD-ROM

############################## [ Active Processes ] 

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\LogonUI.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\agrsmsvc.exe
C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe
C:\Program Files\Acer Arcade Deluxe\HomeMedia\Kernel\DMP\CLHNService.exe
C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSService.exe
C:\Program Files\Acer\Empowering Technology\Service\ETService.exe
C:\PROGRA~1\COMMON~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Acer\Mobility Center\MobilityService.exe
C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe
C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Cyberlink\Shared files\RichVideo.exe
C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32	askeng.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Windows\system32\DllHost.exe
C:\Windows\system32	askeng.exe
C:\Windows\system32\userinit.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32unonce.exe
C:\Windows\system32\conime.exe
C:\Windows\system32\wbem\wmiprvse.exe

################## [ Infected Files \ Folders ]

Deleted ! C:\Windows\Prefetch\134488.EXE-DED9156D.pf  
Deleted ! C:\Windows\Prefetch\147202.EXE-989BCE29.pf  
Deleted ! C:\Windows\Prefetch\FLEC006.EXE-B043DD3B.pf  
Deleted ! C:\Windows\Prefetch\KEY_GEN.EXE-B82D973D.pf  
Deleted ! C:\Windows\system32\ban_list.txt  
Deleted ! C:\Windows\system32\mdelk.exe  
Deleted ! C:\Windows\system32\wintems.exe  
Deleted ! "C:\Users\fred\AppData\Roaming\drivers\srosa2.sys"  
Deleted ! "C:\Users\fred\AppData\Roaming\drivers\wfsintwq.sys"  
Deleted ! "C:\Users\fred\AppData\Roaming\drivers\winupgro.exe"  
Deleted ! "C:\Users\fred\AppData\Roaming\m\data.oct"  
Deleted ! "C:\Users\fred\AppData\Roaming\m\flec006.exe"  
Deleted ! "C:\Users\fred\AppData\Roaming\m\list.oct"  
Deleted ! "C:\Users\fred\AppData\Roaming\m\srvlist.oct"  
Deleted ! "C:\Users\fred\AppData\Roaming\drivers\downld"  
Deleted ! "C:\Users\fred\AppData\Roaming\drivers"  
Deleted ! "C:\Users\fred\AppData\Roaming\m\shared"  
Deleted ! "C:\Users\fred\AppData\Roaming\m"  

################## [ Infected Temp Files ]

Deleted ! C:\Users\fred\AppData\Local\Temp\AutoRun.exe  
Deleted ! C:\Users\fred\AppData\Roaming\Microsoft\Windows\Cookies\Low\fred@crackle[1].txt  
Deleted ! C:\Users\fred\Local Settings\Temporary Internet Files\Content.IE5\EEF1LOCI\b64_1[1].jpg  
Deleted ! C:\Users\fred\Local Settings\Temporary Internet Files\Content.IE5\SESYCRYG\file[1].txt  
Deleted ! C:\Users\fred\Local Settings\Temporary Internet Files\Content.IE5\TXBU6YOK\b64[1].jpg  
Deleted ! C:\Users\fred\Local Settings\Temporary Internet Files\Content.IE5\TXBU6YOK\b64_3[2].jpg  
Deleted ! C:\Users\fred\Local Settings\Temporary Internet Files\Content.IE5\TXBU6YOK\b64_3[3].jpg  

################## [ Registry / Infected keys ] 

Deleted ! HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\srosa   
Deleted ! HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA   
Deleted ! HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA   
Deleted ! HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SROSA    
Deleted ! HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sK9Ou0s   
Deleted ! HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_SK9OU0S   
Deleted ! HKEY_CURRENT_USER\Software\bisoft   
Deleted ! HKEY_CURRENT_USER\Software\DateTime4   
Deleted ! HKEY_CURRENT_USER\Software\MuleAppData     
Deleted ! HKEY_CURRENT_USER\Software\FFC    
Deleted ! HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\key_gen   
Deleted ! HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\msnmsgr   
Deleted ! HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\winupgro   
Deleted ! HKEY_USERS\S-1-5-21-504484228-3954232422-1517048897-1000\Software\FFC   
Deleted ! HKEY_USERS\S-1-5-21-504484228-3954232422-1517048897-1000\Software\MuleAppData   
Deleted ! HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"drvsyskit"  
Deleted ! HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"german.exe"  
Deleted ! HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\"mule_st_key"  

################## [ Cleaning Removable drives ] 


################## [ Registry / Mountpoint2 ]

# -> Not found !  

################## [ States / Restarting of services ]  

# Services : [ Auto=2 / Request=3 / Disable=4 ]

# Ndisuio -> # Type of startup =3  
# EapHost -> # Type of startup =2  
# Wlansvc -> # Type of startup =2  
# SharedAccess -> # Type of startup =2  
# wuauserv -> # Type of startup =2  
# wscsvc -> # Type of startup =2  
# WinDefend -> # Type of startup =2  
# -> UAC is Enable.  

################## [ Searching Other Infections ]

# Références de comparaison Bagle MD5 :

File ... : C:\Users\fred\AppData\Roaming\drivers\winupgro.exe
CRC32 .. : b9b74a84
MD5 .... : dc56a64624a1169cdd25d62dae2aaf35 
 
Deleted ! : C:\Program Files\Windows Live\Messenger\msnmsgr.exe
# Taille : 847872 # MD5 : DC56A64624A1169CDD25D62DAE2AAF35

 
################## [ Corrupted files # Re-Installation required ] 
 
C:\Acer\Preload\Autorun\APP\BisonUtl\LiveUpdate.exe
C:\Program Files\Acer Arcade Deluxe\Acer Arcade Deluxe\Kernel\CLML\TaskScheduler.exe
C:\Program Files\Acer Arcade Deluxe\Acer Arcade Deluxe\TaskScheduler.exe
C:\Program Files\Acer Arcade Deluxe\Acer Arcade Deluxe\Update.exe
C:\Program Files\Acer GameZone\Agatha Christie Death on the Nile\Launch.exe
C:\Program Files\Acer GameZone\Alice Greenfingers\Launch.exe
C:\Program Files\Acer GameZone\Azada\Launch.exe
C:\Program Files\Acer GameZone\Backspin Billiards\Launch.exe
C:\Program Files\Acer GameZone\Big Kahuna Reef\Launch.exe
C:\Program Files\Acer GameZone\Bricks of Egypt\Launch.exe
C:\Program Files\Acer GameZone\Cake Mania\Launch.exe
C:\Program Files\Acer GameZone\Chicken Invaders 3\Launch.exe
C:\Program Files\Acer GameZone\Diner Dash Flo on the Go\Launch.exe
C:\Program Files\Acer GameZone\Jewel Quest Solitaire\Launch.exe
C:\Program Files\Acer GameZone\Kick N Rush\Launch.exe
C:\Program Files\Acer GameZone\Mahjong Escape Ancient China\Launch.exe
C:\Program Files\Acer GameZone\Mahjongg Artifacts\Launch.exe
C:\Program Files\Acer GameZone\Mystery Case Files - Huntsville\Launch.exe
C:\Program Files\Acer GameZone\Mystery Solitaire - Secret Island\Launch.exe
C:\Program Files\Acer GameZone\Turbo Pizza\Launch.exe
C:\Program Files\Acer GameZone\Zuma Deluxe\Launch.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

################################### [ Cracks / Keygens / Serials ]

# -> Nothing found !  

################## [ ! End of Report # FindyKill V4.728 ! ]

geoffrey5 · Answer

On continue...

&#x25B6; Telecharge et installe UsbFix de C_XX & Chiquitine29

&#x25B6; tutoriel d'installation

&#x25B6; tutoriel recherche

&#x25B6; Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

&#x25B6; Fais un clic droit sur le raccourci UsbFix présent sur ton bureau et choisi "Exécuter en tant qu'administrateur" .

&#x25B6; Choisi l'option 1 ( Recherche )

&#x25B6; Laisse travailler l'outil.

&#x25B6; Ensuite post le rapport UsbFix.txt qui apparaîtra.

&#x25B6; Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

* Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
          Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
          Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

matduchesne · Answer

############################## [ UsbFix V3.018 # Scan ]

# User : fred (Administrateurs) # PC-DE-FRED
# Update on 11/05/09 by Chiquitine29, C_XX & Chimay8
# WebSite : http://pagesperso-orange.fr/NosTools/usbfix.html
# Start at: 12:10:05 | 11/05/2009

# Intel(R) Pentium(R) Dual  CPU  T3200  @ 2.00GHz
# Microsoft® Windows Vista™ Édition Familiale Premium  (6.0.6001 32-bit) # Service Pack 1
# Internet Explorer 7.0.6001.18000
# Windows Firewall Status : Disabled

# C:\ # Disque fixe local # 69,65 Go (30,22 Go free) [ACER] # NTFS
# D:\ # Disque fixe local # 69,64 Go (69,28 Go free) [DATA] # NTFS
# E:\ # Disque CD-ROM

############################## [ Processus actifs ]

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\agrsmsvc.exe
C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe
C:\Program Files\Acer Arcade Deluxe\HomeMedia\Kernel\DMP\CLHNService.exe
C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSService.exe
C:\Program Files\Acer\Empowering Technology\Service\ETService.exe
C:\PROGRA~1\COMMON~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Acer\Mobility Center\MobilityService.exe
C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe
C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Cyberlink\Shared files\RichVideo.exe
C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32	askeng.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Windows\system32	askeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\conime.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32
otepad.exe
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\igfxpers.exe
C:\Windows\RtHDVCpl.exe
C:\Windows\PLFSetI.exe
C:\Windows\ehome\ehtray.exe
C:\Windows\system32\igfxsrvc.exe
C:\Windows\ehome\ehmsas.exe
C:\Users\fred\AppData\Local\Temp\RtkBtMnt.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Windows Live\Toolbar\wltuser.exe
C:\Windows\servicing\TrustedInstaller.exe
C:\Windows\system32\SearchProtocolHost.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Windows\system32\wbem\wmiprvse.exe

################## [  Registre # Startup ]

HKCU_Main:  "Local Page"="C:\Windows\system32\blank.htm" 
HKCU_Main:  "Search Page"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF" 
HKCU_Main:  "Start Page"="www.google.com" 
HKLM_logon: "Userinit"="C:\Windows\system32\userinit.exe," 
HKLM_logon: "LegalNoticeCaption"="" 
HKLM_logon: "LegalNoticeText"="" 
HKLM_Run:    IgfxTray=C:\Windows\system32\igfxtray.exe 
HKLM_Run:    HotKeysCmds=C:\Windows\system32\hkcmd.exe 
HKLM_Run:    Persistence=C:\Windows\system32\igfxpers.exe 
HKLM_Run:    RtHDVCpl=RtHDVCpl.exe 
HKLM_Run:    PLFSetI=C:\Windows\PLFSetI.exe 
HKLM_Run:    eRecoveryService= 
HKLM_Run:    HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversionun\OptionalComponents= 
HKCU_Run:    MsnMsgr="C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background  
HKCU_Run:    DMSN=C:\Program Files\Dialflirt\dialmsn.exe  
HKCU_Run:    ehTray.exe=C:\Windows\ehome\ehTray.exe  
HKCU_Run:    kiywyum="c:\users\fred\appdata\local\kiywyum.exe" kiywyum  

################## [ Informations ]


################## [ Fichiers # Dossiers infectieux ]


################## [ Registre # Clés Run infectieuses ]


################## [ Registre # Mountpoints2 ]

HKCU\Software\Microsoft\....\MountPoints2\{440f17d6-362f-11de-83c3-001d72d3e550}\Shell\AutoRun\command  
HKCU\Software\Microsoft\....\MountPoints2\{440f17d6-362f-11de-83c3-001d72d3e550}\Shell\open\Command  

################## [ ! Fin du rapport # UsbFix V3.018 ! ]

geoffrey5 · Answer

Tu n'as pas de clé usb, ni de disque dur externe ??

matduchesne · Answer

non c'est un ordinateur portable qui n'est pas à moi, si mon copain en utilise je lui demanderai et je referai le test.

geoffrey5 · Answer

Le problème c'est que si ses clés usb sont infectées, le PC sera de nouveau infecté quand il va les brancher  :s

Désinstalle Hijackthis et ensuite fais ceci stp :

&#x25B6; Télécharge Random's System Information Tool (RSIT).

&#x25B6; Un tutoriel sera à ta disposition sur mon site web pour l'installer et l'utiliser correctement.

&#x25B6; Double clique sur RSIT.exe pour lancer l'outil.

&#x25B6; Clique sur 'Continue' à l'écran Disclaimer.

&#x25B6; Si l'outil Hijackthis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence.

&#x25B6; Une fois le scan fini , 2 rapports vont apparaitre. Poste le contenu des 2 rapports.

( C:\RSIT\log.txt et C:\RSIT\info.txt )

CTRL A pour sélectionner tout, CTRL C pour copier et puis CTRL V pour coller

matduchesne · Answer

Logfile of random's system information tool 1.06 (written by random/random)
Run by fred at 2009-05-11 12:22:53
Microsoft® Windows Vista™ Édition Familiale Premium  Service Pack 1
System drive C: has 31 GB (43%) free of 71 GB
Total RAM: 3000 MB (65% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:22:59, on 11/05/2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18226)
Boot mode: Normal

Running processes:
C:\Windows\system32	askeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\conime.exe
C:\Windows\system32
otepad.exe
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\System32\igfxpers.exe
C:\Windows\RtHDVCpl.exe
C:\Windows\PLFSetI.exe
C:\Windows\ehome\ehtray.exe
C:\Windows\system32\igfxsrvc.exe
C:\Windows\ehome\ehmsas.exe
C:\Users\fred\AppData\Local\Temp\RtkBtMnt.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Windows Live\Toolbar\wltuser.exe
C:\Windows\system32
otepad.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Users\fred\Desktop\RSIT.exe
C:\Program Files	rend micro\fred.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.acer.com/rdr.aspx?b=ACAW&l=040c&s=2&o=vp32&d=1008&m=aspire_5735
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.acer.com/rdr.aspx?b=ACAW&l=040c&s=2&o=vp32&d=1008&m=aspire_5735
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://homepage.acer.com/rdr.aspx?b=ACAW&l=040c&s=2&o=vp32&d=1008&m=aspire_5735
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - URLSearchHook: (no name) - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - (no file)
O1 - Hosts: ::1 localhost
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SearchHelper.dll
O2 - BHO: ShowBarObj Class - {83A2F9B1-01A2-4AA5-87D1-45B6B8505E96} - C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\ActiveToolBand.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Program Files\Windows Live\Toolbar\wltcore.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDStoolbar.dll
O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Program Files\Windows Live\Toolbar\wltcore.dll
O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [PLFSetI] C:\Windows\PLFSetI.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [DMSN] C:\Program Files\Dialflirt\dialmsn.exe
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [kiywyum] "c:\users\fred\appdata\local\kiywyum.exe" kiywyum
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O13 - Gopher Prefix: 
O16 - DPF: {3860DD98-0549-4D50-AA72-5D17D200EE10} (Windows Live OneCare safety scanner control) - http://cdn.scan.onecare.live.com/resource/download/scanner/fr-CH/wlscctrl2.cab
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~1\GOEC62~1.DLL
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - Agere Systems - C:\Windows\system32\agrsmsvc.exe
O23 - Service: NTI Backup Now 5 Agent Service (BUNAgentSvc) - NewTech Infosystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe
O23 - Service: CLHNService - Unknown owner - C:\Program Files\Acer Arcade Deluxe\HomeMedia\Kernel\DMP\CLHNService.exe
O23 - Service: eDataSecurity Service - Egis Incorporated - C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSService.exe
O23 - Service: Empowering Technology Service (ETService) - Unknown owner - C:\Program Files\Acer\Empowering Technology\Service\ETService.exe
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom SA - C:\PROGRA~1\COMMON~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
O23 - Service: Google Desktop Manager 5.7.808.7150 (GoogleDesktopManager-080708-050100) - Google - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: MobilityService - Unknown owner - C:\Acer\Mobility Center\MobilityService.exe
O23 - Service: NTI Backup Now 5 Backup Service (NTIBackupSvc) - NewTech InfoSystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe
O23 - Service: NTI Backup Now 5 Scheduler Service (NTISchedulerSvc) - Unknown owner - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\Cyberlink\Shared files\RichVideo.exe

geoffrey5 · Answer

&#x25B6; Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection): 

&#x25B6; Clique sur Démarrer puis sur panneau de configuration 
&#x25B6; Double Clique sur l'icône "Comptes d'utilisateurs" 
&#x25B6; Clique ensuite sur désactiver et valide.
&#x25B6; Redémarre le PC 

http://www.laboratoire-microsoft.org/tips-23933-desactiver-uac-vista.html 


Ton PC est aussi infecté par l'ad-aware Navipromo/Magic Control qui affiche des publicités intempestives.
Il s'installe via certains programmes, dont ceux-ci :

&#9679; Funky Emoticons
&#9679; go-astro
&#9679; GoRecord
&#9679; HotTVPlayer / HotTVPlayer & Paris Hilton
&#9679; Live-Player
&#9679; MailSkinner
&#9679; Messenger Skinner
&#9679; Instant Access
&#9679; InternetGameBox
&#9679; Officiale Emule (Version d'Emule modifiée)
&#9679; Original Solitaire
&#9679; SuperSexPlayer
&#9679; Speed Downloading
&#9679; Sudoplanet
&#9679; Webmediaplayer

/!\ Fais attention de ne pas faire la même erreur, donc évite ces programmes /!\


&#x25B6; Télécharge sur le bureau Navilog1  

*Si ton antivirus s'affole , le désactiver 
sous vista : Clic-droit sur le raccourci Navilog1 présent sur le bureau et choisis "Exécuter en tant qu'administrateur
sous XP : double-clic dessus pour l'installer et le lancer 

 
&#x25B6; Quand installé 
&#x25B6; taper F 
&#x25B6; Appuyer sur une touche jusqu' arriver aux options 
&#x25B6; Choisir Recherche ( = taper 1 ) 

&#x25B6;ne pas utiliser les autres sans avis , il peut y avoir des processus légitimes 

&#x25B6;un rapport : fixnavi.txt dans ==> C:
 
&#x25B6;le copier et le coller dans la réponse

matduchesne · Answer

Search Navipromo version 3.7.6 commencé le 11/05/2009 à 12:34:56,70

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!
!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:\Program Files
avilog1

Mise à jour le 14.03.2009 à 18h00 par IL-MAFIOSO

Microsoft® Windows Vista™ Édition Familiale Premium  ( v6.0.6001 ) Service Pack 1
X86-based PC ( Multiprocessor Free : Intel(R) Pentium(R) Dual  CPU  T3200  @ 2.00GHz )
BIOS : Ver 1.00PARTTBL
USER : fred ( Administrator )
BOOT : Normal boot




C:\ (Local Disk) - NTFS - Total:69 Go (Free:30 Go)
D:\ (Local Disk) - NTFS - Total:69 Go (Free:69 Go)
E:\ (CD or DVD)


Recherche executé en mode normal


*** Recherche dossiers dans "C:\Windows" ***


*** Recherche dossiers dans "C:\Program Files" ***


*** Recherche dossiers dans "c:\progra~2\micros~1\windows\startm~1\programs" ***


*** Recherche dossiers dans "c:\progra~2\micros~1\windows\startm~1" ***


*** Recherche dossiers dans "C:\ProgramData" ***


*** Recherche dossiers dans "c:\users\fred\appdataoaming\micros~1\windows\startm~1\programs" ***


*** Recherche dossiers dans "C:\Users\fred\AppData\Local\virtualstore\Program Files" ***



*** Recherche dossiers dans "C:\Users\fred\AppData\Local" ***




*** Recherche dossiers dans "C:\Users\fred\AppData\Roaming" ***


*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***
pour + d'infos : http://www.gmer.net



*** Recherche avec GenericNaviSearch ***
!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!
!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans "C:\Windows\system32" *

* Recherche dans "C:\Users\fred\AppData\Local\Microsoft" *

* Recherche dans "C:\Users\fred\AppData\Local\virtualstore\windows\system32" *

* Recherche dans "C:\Users\fred\AppData\Local" *



*** Recherche fichiers *** 



*** Recherche clés spécifiques dans le Registre ***
!! Les clés trouvées ne sont pas forcément infectées !!


[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"kiywyum"="\"c:\users\fred\appdata\local\kiywyum.exe\" kiywyum"


*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :


2)Recherche Heuristique :

* Dans "C:\Windows\system32" :


* Dans "C:\Users\fred\AppData\Local\Microsoft" :


* Dans "C:\Users\fred\AppData\Local\virtualstore\windows\system32" :


* Dans "C:\Users\fred\AppData\Local" :


3)Recherche Certificats :

Certificat Egroup absent !
Certificat Electronic-Group absent !
Certificat Montorgueil absent !
Certificat OOO-Favorit absent !
Certificat Sunny-Day-Design-Ltd absent !

4)Recherche autres dossiers et fichiers connus :



*** Analyse terminée le 11/05/2009 à 12:45:13,17 ***

geoffrey5 · Answer

&#x25B6; Relance navilog1 

&#x25B6; Choisis cette fois l'option 2  

note : le bureau disparaît 

&#x25B6; il va y avoir un redémarrage du pc 

&#x25B6; mettre le rapport dans la réponse

matduchesne · Answer

Clean Navipromo version 3.7.6 commencé le 11/05/2009 à 13:33:35,04

Outil exécuté depuis C:\Program Files
avilog1

Mise à jour le 14.03.2009 à 18h00 par IL-MAFIOSO

Microsoft® Windows Vista™ Édition Familiale Premium  ( v6.0.6001 ) Service Pack 1
X86-based PC ( Multiprocessor Free : Intel(R) Pentium(R) Dual  CPU  T3200  @ 2.00GHz )
BIOS : Ver 1.00PARTTBL
USER : fred ( Administrator )
BOOT : Normal boot




C:\ (Local Disk) - NTFS - Total:69 Go (Free:31 Go)
D:\ (Local Disk) - NTFS - Total:69 Go (Free:69 Go)
E:\ (CD or DVD)


Mode suppression automatique 
avec prise en charge résultats Catchme et GNS


Nettoyage exécuté au redémarrage de l'ordinateur

 
*** fsbl1.txt non trouvé ***
(Assurez-vous que Catchme n'avait rien trouvé lors de la recherche)
 

*** Suppression avec sauvegardes résultats GenericNaviSearch ***

* Suppression dans "C:\Windows\System32" *


* Suppression dans "C:\Users\fred\AppData\Local\Microsoft" *


* Suppression dans "C:\Users\fred\AppData\Local\virtualstore\windows\system32" *


* Suppression dans "C:\Users\fred\AppData\Local" *



*** Suppression dossiers dans "C:\Windows" ***


*** Suppression dossiers dans "C:\Program Files" ***


*** Suppression dossiers dans "c:\progra~2\micros~1\windows\startm~1\programs" ***


*** Suppression dossiers dans "c:\progra~2\micros~1\windows\startm~1" ***


*** Suppression dossiers dans "C:\ProgramData" ***


*** Suppression dossiers dans c:\users\fred\appdataoaming\micros~1\windows\startm~1\programs ***


*** Suppression dossiers dans "C:\Users\fred\AppData\Local\virtualstore\Program Files" ***


*** Suppression dossiers dans "C:\Users\fred\AppData\Local" ***


*** Suppression dossiers dans "C:\Users\fred\AppData\Roaming" ***



*** Suppression fichiers ***


*** Suppression fichiers temporaires ***

Nettoyage contenu C:\Windows\Temp effectué !
Nettoyage contenu C:\Users\fred\AppData\Local\Temp effectué !

*** Traitement Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Suppression avec sauvegardes nouveaux fichiers Instant Access :

2)Recherche, création sauvegardes et suppression Heuristique :


* Dans "C:\Windows\system32" *



* Dans "C:\Users\fred\AppData\Local\Microsoft" *



* Dans "C:\Users\fred\AppData\Local\virtualstore\windows\system32" *



* Dans "C:\Users\fred\AppData\Local" *



*** Sauvegarde du Registre vers dossier Safebackup ***

sauvegarde du Registre réalisée avec succès !

*** Nettoyage Registre ***

Nettoyage Registre Ok


*** Certificats ***

Certificat Egroup absent !
Certificat Electronic-Group absent !
Certificat Montorgueil absent !
Certificat OOO-Favorit absent !
Certificat Sunny-Day-Design-Ltdt absent !


*** Recherche autres dossiers et fichiers connus ***



*** Nettoyage terminé le 11/05/2009 à 13:37:25,96 ***

geoffrey5 · Answer

Tu as lancé 2 fois la désinfection ??

matduchesne · Answer

Non ? Une seule fois

geoffrey5 · Answer

Ok...

&#x25B6; Télécharge malwarebyte's anti-malware 

&#x25B6; Un tutoriel sera à ta disposition pour l'installer et l'utiliser correctement.
 
&#x25B6; Fais la mise à jour du logiciel (elle se fait normalement à l'installation) 

&#x25B6; Lance une analyse complète en cliquant sur "Exécuter un examen complet"

&#x25B6; Sélectionnes les disques que tu veux analyser et cliques sur "Lancer l'examen"

&#x25B6; L'analyse peut durer un bon moment.....

&#x25B6; Une fois l'analyse terminée, cliques sur "OK" puis sur "Afficher les résultats"

&#x25B6; Vérifies que tout est bien coché et cliques sur "Supprimer la sélection" => et ensuite sur "OK"

&#x25B6; Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum


* Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... 
Faites le en cliquant sur "oui" à la question posée

matduchesne · Answer

Malwarebytes' Anti-Malware 1.36
Version de la base de données: 2108
Windows 6.0.6001 Service Pack 1

11/05/2009 16:22:01
mbam-log-2009-05-11 (16-22-01).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 188558
Temps écoulé: 2 hour(s), 0 minute(s), 59 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Users\fred\Downloads\LiveTV_start.exe (Rogue.Installer) -> Quarantined and deleted successfully.

geoffrey5 · Answer

Ok maintenant supprime ce qu'il y a dans la quarantaine de Malwarebytes et refais un RSIT et poste les rapports stp

matduchesne · Answer

Il n'y a que log.txt qui est apparu


*********************************************************************************
Logfile of random's system information tool 1.06 (written by random/random)
Run by fred at 2009-05-11 17:17:33
Microsoft® Windows Vista™ Édition Familiale Premium  Service Pack 1
System drive C: has 31 GB (44%) free of 71 GB
Total RAM: 3000 MB (71% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:17:34, on 11/05/2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18226)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32	askeng.exe
C:\Windows\System32\igfxtray.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\System32\igfxpers.exe
C:\Windows\RtHDVCpl.exe
C:\Windows\PLFSetI.exe
C:\Windows\ehome\ehtray.exe
C:\Windows\system32\igfxsrvc.exe
C:\Windows\ehome\ehmsas.exe
C:\Users\fred\AppData\Local\Temp\RtkBtMnt.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Users\fred\Desktop\RSIT.exe
C:\Program Files	rend micro\fred.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.acer.com/rdr.aspx?b=ACAW&l=040c&s=2&o=vp32&d=1008&m=aspire_5735
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.acer.com/rdr.aspx?b=ACAW&l=040c&s=2&o=vp32&d=1008&m=aspire_5735
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://homepage.acer.com/rdr.aspx?b=ACAW&l=040c&s=2&o=vp32&d=1008&m=aspire_5735
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - URLSearchHook: (no name) - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - (no file)
O1 - Hosts: ::1 localhost
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SearchHelper.dll
O2 - BHO: ShowBarObj Class - {83A2F9B1-01A2-4AA5-87D1-45B6B8505E96} - C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\ActiveToolBand.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Program Files\Windows Live\Toolbar\wltcore.dll
O3 - Toolbar: Acer eDataSecurity Management - {5CBE3B7C-1E47-477e-A7DD-396DB0476E29} - C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDStoolbar.dll
O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Program Files\Windows Live\Toolbar\wltcore.dll
O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [PLFSetI] C:\Windows\PLFSetI.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [DMSN] C:\Program Files\Dialflirt\dialmsn.exe
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O13 - Gopher Prefix: 
O16 - DPF: {3860DD98-0549-4D50-AA72-5D17D200EE10} (Windows Live OneCare safety scanner control) - http://cdn.scan.onecare.live.com/resource/download/scanner/fr-CH/wlscctrl2.cab
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~1\GOEC62~1.DLL
O23 - Service: Agere Modem Call Progress Audio (AgereModemAudio) - Agere Systems - C:\Windows\system32\agrsmsvc.exe
O23 - Service: NTI Backup Now 5 Agent Service (BUNAgentSvc) - NewTech Infosystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe
O23 - Service: CLHNService - Unknown owner - C:\Program Files\Acer Arcade Deluxe\HomeMedia\Kernel\DMP\CLHNService.exe
O23 - Service: eDataSecurity Service - Egis Incorporated - C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSService.exe
O23 - Service: Empowering Technology Service (ETService) - Unknown owner - C:\Program Files\Acer\Empowering Technology\Service\ETService.exe
O23 - Service: France Telecom Routing Table Service (FTRTSVC) - France Telecom SA - C:\PROGRA~1\COMMON~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe
O23 - Service: Google Desktop Manager 5.7.808.7150 (GoogleDesktopManager-080708-050100) - Google - C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: MobilityService - Unknown owner - C:\Acer\Mobility Center\MobilityService.exe
O23 - Service: NTI Backup Now 5 Backup Service (NTIBackupSvc) - NewTech InfoSystems, Inc. - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe
O23 - Service: NTI Backup Now 5 Scheduler Service (NTISchedulerSvc) - Unknown owner - C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\Cyberlink\Shared files\RichVideo.exe

geoffrey5 · Answer

Ok...

relance Hijackthis en cliquant sur scan only et coches ces lignes stp :

R3 - URLSearchHook: (no name) - {08C06D61-F1F3-4799-86F8-BE1A89362C85} - (no file) 
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file) 
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) 
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')     

puis tu cliques sur fix checked.


ensuite :


&#x25B6; Télécharge CCleaner

&#x25B6; Tu auras un tutoriel pour l'installer et l'utiliser correctement.

&#x25B6; Fais le nettoyage et recherche les erreurs du registre comme expliqué en bas du tutoriel.


Il va surement falloir que tu réinstalles certains logiciels car Bagle les avait surement infecté... Comme Windows Live Messenger je pense...

Est-ce que tu as encore des problèmes ??

matduchesne · Answer

J'ai fait le hijackthis mais la ligne suivante n'y figurait pas :

O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL') 


J'ai fait un ccleaner.

Je pense que le PC va aller beaucoup mieux, je vais lui réinstaller le wifi et il me redira à l'usage. Vu son utilisation et les sites et programmes visités, je pense qu'il faudra recommencer d'ici peu.

Merci beaucoup pour l'aide, je peux afficher le problème comme résolu ?

geoffrey5 · Answer

Il faut le mettre au courant... Il faut qu'il lise le sujet, qu'il lise les tutos d'explication que je t'ai envoyé pour qu'il comprenne les infections qu'il a attrappé... Et aussi lire les pages sur la prévention informatique que je vais te donner en bas de ce message...

Tu peux faire ceci pour terminer proprement :

Voici un excellent petit logiciel très utile qui te permettra de savoir les nouvelles mises à jour disponibles pour les différents logiciels installés sur ton PC :

&#x25B6; Télécharge Update Checker

&#x25B6; Installe le avec les paramètres par défaut en cliquant chaques fois sur Suivant.

&#x25B6; Une fois installé, patiente quelques secondes et tu verras apparaître une icône verte dans ta barre des tâches te signalant qu'il y a des mises à jour disponibles.

&#x25B6; Double-cliques sur l'icône pour être redirrigé sur le site de téléchargement des mises à jour.

&#x25B6; Un conseil : n'installe pas les BETA qui sont listées en dessous.

&#x25B6; Tu installes les mises à jour que tu désires, les plus importantes sont :

&#9679; Java

&#9679; Adobe Reader

&#9679; Adobe Flash Player

&#9679; Internet explorer


Ensuite :


Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection): 

&#x25B6; Clique sur Démarrer puis sur panneau de configuration
&#x25B6; Double Clique sur l'icône "Comptes d'utilisateurs"
&#x25B6; Clique ensuite sur désactiver et valide.
&#x25B6; Redémarre le PC. 


Pour supprimer toutes les traces des logiciels qui ont servi à traiter les infections spécifiques :  

&#x25B6; Télécharge Toolscleaner sur ton Bureau  

&#x25B6; Fais un clic droit sur ToolsCleaner2.exe et sélectionne "Exécuter en tant qu'administrateur"
&#x25B6; Clique sur Recherche et laisse le scan se terminer. 
&#x25B6; Clique sur Suppression pour finaliser. 
&#x25B6; Tu peux, si tu le souhaites, te servir des Options facultatives. 
&#x25B6; Clique sur Quitter, pour que le rapport puisse se créer. 
&#x25B6; Le rapport (TCleaner.txt) se trouve à la racine de votre disque dur (C:\)...colle le dans ta réponse




Désactive et réactive la Restauration du système :


Le fait de faire cette manipulation va supprimer tous les virus qui auraient pu se loger dans les
points de restauration que tu avais créé auparavant.. Il est donc recommandé de la faire : 

 
Voici un tutoriel qui t expliquera comment désactiver et réactiver la restauration du système.


Tu peux mettre ton problème résolu !! Comment mettre résolu ??


Ensuite vas réactiver le contrôle des comptes et créer un point de restauration !! IMPORTANT


IMPORTANT : lire les quelques liens pour la prévention et la sécurité de votre PC qui se trouvent en bas de la page !!


WOT - Extension pour ton navigateur internet :

Voici une extension à télécharger qui te permettra, en faisant tes recherches sur google, de savoir si le site proposé lors de tes recherches est un site de confiance ou un site à éviter car il pourrait infecter ton PC :


Pour Firefox : https://addons.mozilla.org/fr/firefox/addon/wot-safe-browsing-tool/

Pour internet explorer : https://chrome.google.com/webstore/detail/wot-web-of-trust-website/bhmmomiinigofkjcapegjjndpbikblnp

matduchesne · Answer

Voilà c'est fait.

Merci infinimement pour ton aide précieuse et le temps que tu m'as consacré

geoffrey5 · Answer

Mais de rien, je t'ai aidé avec plaisir  ;-)

N'oublies pas de mettre ton ami au courant !

@+

PHIL670 · Answer

Bonjour et sous XP  il y'a quelque chose  à faire pour les comptes utilisateurs?

Il n'y a pas d'option de désactivation?

Compte admin ; 1 obligatoire

Les  2 autres  , j'ai mis invité

C'est bon?

PHIL670 · Answer

Bonjour et sous XP  il y'a quelque chose  à faire pour les comptes utilisateurs?

Il n'y a pas d'option de désactivation?

Compte admin ; 1 obligatoire

Les  2 autres  , j'ai mis invité

C'est bon?

PC infesté de virus

30 réponses

Newsletters