Hardcore virus: System security version 4.51

Re,

il manque un parefeu contrôlant les connexions sortantes.

je te suggère Online Armor :

https://www.malekal.com/tutorial-online-armor-free/

(si la politique de l'entreprise le permet)

===

tu peux faire cette procédure de nettoyage :

Lis bien et exécute cette manip dans l’ordre.

#Télécharge et installe ces logiciels (si tu ne les as pas) pour les 3 premiers
mets les à jour, comme indiqué dans les démos ou tutos.

Ne les utilise pas tout de suite.

Antispywares et autres :

Télécharge Malwarebytes' Anti-Malware (MBAM) et enregistre le sur ton bureau à partir de ce lien :

https://www.malwarebytes.com/

A la fin du téléchargement, ferme toutes les fenêtres et programmes, y compris celui-ci.

Double-clique sur l'icône Download_mbam-setup.exe sur ton bureau pour démarrer le programme d'installation.

Pendant l'installation, suis les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet). N'apporte aucune modification aux réglages par défaut et, en fin d'installation, vérifie que les options Update Malwarebytes' Anti-Malware et Launch Malwarebytes' Anti-Malware sont cochées.

MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse. Comme MBAM se met automatiquement à jour en fin d'installation, clique sur OK pour fermer la boîte de dialogue.

Nettoyeurs (de fichiers inutiles) et autres :

*Ccleaner (gratuit)
Téléchargement :
https://www.01net.com/telecharger/windows/Utilitaire/nettoyeurs_et_installeurs/fiches/32599.html
Tuto :
https://www.vulgarisation-informatique.com/nettoyer-windows-ccleaner.php

Lors de l’installation, [décoche] l’option qui t’installerait la barre Yahoo !

========================================
->Affiche tous les fichiers et dossiers :
clique sur démarrer/panneau de configuration (en affichage classique)/option des dossiers/affichage

[Coche] « afficher les dossiers et fichiers cachés »

[Décoche] la case « Masquer les fichiers protégés du système d'exploitation (recommandé) »

[Décoche] « masquer les extensions dont le type est connu »

Puis fais [appliquer] pour valider les changements.

Et [Ok]
.

=======================================

========================================
->Lance CCleaner.

Suppression des fichiers temporaires

Va dans la section "Options" situé dans la marge gauche.
Décoche "Avancé"
Retourne ensuite dans la section "Nettoyeur"
Fais bien attention de cocher toutes ces cases dans la marge gauche (Internet Explorer/Windows Explorer/Système)
• Clique sur [Analyse]
• Patiente le temps du scan, qui peut prendre un peu de temps si c'est la première fois.
• Une fois le scan terminé, clique sur [Lancer le Nettoyage]

========================================
Lance Malwarebytes AntiMalware

Dans l'onglet analyse, vérifie que "Exécuter un scan rapide" est coché et clique sur le bouton Rechercher pour démarrer l'analyse.

MBAM analyse ton ordinateur. L'analyse peut prendre un certain temps. Il suffit de vérifier de temps en temps son avancement.

A la fin de l'analyse, un message s'affiche indiquant la fin de l'analyse. Clique sur OK pour poursuivre.

Si des malwares ont été détectés, leur liste s'affiche.
En cliquant sur Suppression (?) , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

MBAM va ouvrir le bloc-notes et y copier le rapport d'analyse. Ferme le bloc-note. (Le rapport peut être retrouvé sous l'onglet Rapports/logs)

Ferme MBAM en cliquant sur Quitter.

Poste le rapport dans ta réponse.
========================================

->Relance CCleaner.
Suppression des incohérences du registre

• Clique sur l'icône [Registre] situés dans la marge à gauche
• Puis clique sur [Analyser les erreurs]
• Patiente pendant que CCleaner scan ton registre.
• Une fois le scan terminé, coche toutes les entrèes qu'il t'aura trouvée.
• Tu peux cliquer ensuite sur [Corriger les erreurs].

Quand l'outil te le demandera, choisis de sauvegarder les entrées cochées pour les restaurer ultérieurement.
========================================
->Vide ta Corbeille.
========================================

- > Ouvre ce lien pour scanner ton PC avec un BitDefender en ligne (uniquement sous Internet Explorer) :

http://www.bitdefender.fr/scan_fr/scan8/ie.html

Utilisation :
Cliquer sur "J'accepte" puis accepter également l'ActiveX bloqué par la barre anti-popup du SP2 qui clignotera en haut et l'installer.

A l'ouverture de la page "Scanner Options", cliquer sur [click here] de "To change this and other settings, click here" puis cliquer sur le + devant "Second option" et cocher "Report only" puis cliquer sur [OK].

Ensuite, cliquer sur "Cliquez ici pour scanner".
Patienter jusqu'à la fin du scan qui peut durer assez longtemps...

Copier/coller le rapport entier sur le forum.

Tutoriel en images ici : http://pageperso.aol.fr/rginformatique/mapage/defender.htm (merci à Balltrap34 pour cette réalisation)
[Recoche] la case « Masquer les fichiers protégés du système d'exploitation (recommandé) »

salut Lyonnais92,
j'ai supprimé les fichiers et vérifié après redémarrage qu'ils n'étaient pas réapparus, c'est ok. Nous en avons fini ?

Bonjour,

supprime via l'Explorateur Windows :

C:\WINDOWS\System32\tmp.reg
C:\WINDOWS\System32\tmp.txt

fais redémarrer l'ordi et vérifie qu'ils ne sont plus là.

salut, Lyonnais92, voici le rapport

http://www.cijoint.fr/cjlink.php?file=cj200907/cijNEiV7pr.txt

merci

Bonjour,

tu peux remettre un rapport ZHPDiag (avec toutes les options cochées) pour vérifier.

Salut Lyonnais92, je n'ai pas pu le faire avant, donc voici le résultat de la dernière opération que tu m'as demandé de faire:

############################## [ UsbFix V3.032 ]

# User : Gege (Administrateurs) # E897B7E69BD2459
# Update on 15/06/09 by Chiquitine29
# Start at: 16:39:21 | 11/07/2009
# Website : http://pagesperso-orange.fr/NosTools/usbfix.html

# AMD Athlon(tm) Processor
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 8.0.6001.18702
# Windows Firewall Status : Enabled
# AV : AVG Anti-Virus Free 8.5 [ Enabled | Updated ]

# A:\ # Lecteur de disquettes 3 ½ pouces
# C:\ # Disque fixe local # 12,56 Go (3,01 Go free) # NTFS
# D:\ # Disque CD-ROM
# E:\ # Disque CD-ROM
# F:\ # Disque fixe local # 12,08 Go (9,96 Go free) # FAT32
# G:\ # Disque amovible
# H:\ # Disque amovible # 3,82 Go (3,82 Go free) # FAT32

############################## [ Processus actifs ]

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\System32\alg.exe

################## [ Fichiers # Dossiers infectieux ]

Supprimé ! C:\WINDOWS\system32\autorun.inf
Supprimé ! H:\autorun.inf
Supprimé ! H:\recycler\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx

################## [ Registre # Clés Run infectieuses ]

# HKLM\software\microsoft\security center "AntiVirusOverride" # -> Reset sucessfully !

################## [ Registre # Mountpoints2 ]

################## [ Listing des fichiers présent ]

[26/02/2008 17:50|--a------|0] - C:\AUTOEXEC.BAT
[20/06/2009 20:00|---hs----|216] - C:\boot.ini
[05/08/2004 14:00|-rahs----|4952] - C:\Bootfont.bin
[26/02/2008 17:50|--a------|0] - C:\CONFIG.SYS
[?|?|?] - C:\hiberfil.sys
[26/02/2008 17:50|-rahs----|0] - C:\IO.SYS
[26/02/2008 17:50|-rahs----|0] - C:\MSDOS.SYS
[05/08/2004 14:00|-rahs----|47564] - C:\NTDETECT.COM
[26/11/2008 19:56|-rahs----|252240] - C:\ntldr
[?|?|?] - C:\pagefile.sys
[12/06/2009 18:06|--a------|3960] - C:\rapport.txt
[11/04/2009 11:01|--a------|594] - C:\updatedatfix.log
[11/07/2009 16:40|--a------|2712] - C:\UsbFix.txt
[11/07/2009 16:38|--a------|1534] - H:\BOOTEX.LOG
[12/06/2009 19:54|--a------|263979] - H:\img-6121307-0001.pdf
[12/06/2009 19:55|--a------|25600] - H:\CAME Philippe M‚gane estate extrˆme 85 ch.xls

################## [ Vaccination ]

# C:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.
# F:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.
# H:\autorun.inf ( # Not infected ) -> Folder created by UsbFix.

################## [ ! Fin du rapport # UsbFix V3.032 ! ]

Alors ça a l'air bon ?
merci

Bonjour,

Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

# Double clic sur le raccourci UsbFix présent sur ton bureau

# choisis l'option 2 ( Suppression )

# Ton bureau disparaitra et le pc redémarrera .

# Au redémarrage , UsbFix scannera ton pc , laisse travailler l'outil.

# Ensuite poste le rapport UsbFix.txt qui apparaitra avec le Bureau .

# Note : Le rapport UsbFix.txt est sauvegardé à la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

salut Lyonnais92, voici le rapport usbfix:

############################## [ UsbFix V3.032 ]

# User : Gege (Administrateurs) # E897B7E69BD2459
# Update on 15/06/09 by Chiquitine29
# Start at: 19:30:31 | 20/06/2009
# Website : http://pagesperso-orange.fr/NosTools/usbfix.html

# AMD Athlon(tm) Processor
# Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
# Internet Explorer 8.0.6001.18702
# Windows Firewall Status : Enabled
# AV : AVG Anti-Virus Free 8.5 [ Enabled | Updated ]

# A:\ # Lecteur de disquettes 3 ½ pouces
# C:\ # Disque fixe local # 12,56 Go (1,79 Go free) # NTFS
# D:\ # Disque CD-ROM
# E:\ # Disque CD-ROM
# F:\ # Disque fixe local # 12,08 Go (10,76 Go free) # FAT32
# G:\ # Disque amovible
# H:\ # Disque amovible # 3,82 Go (3,82 Go free) # FAT32

############################## [ Processus actifs ]

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgemc.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\DartyBox_v3\Bewan\AssistantDB\AssistantDB_Bewan.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\HP\Digital Imaging\bin\hpqSTE08.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

################## [ Registre Startup ]

HKCU_Main: "Local Page"="C:\\WINDOWS\\system32\\blank.htm"
HKCU_Main: "Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
HKCU_Main: "Start Page"="http://www.dartybox.com"
HKLM_logon: "Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"
HKLM_logon: "DefaultUserName"="Gege"
HKLM_logon: "AltDefaultUserName"="Gege"
HKLM_logon: "LegalNoticeCaption"=""
HKLM_logon: "LegalNoticeText"=""

HKLM_Run: NeroFilterCheck=C:\WINDOWS\system32\NeroCheck.exe
HKLM_Run: Cmaudio=RunDll32 cmicnfg.cpl,CMICtrlWnd
HKLM_Run: HP Software Update=C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
HKLM_Run: AVG8_TRAY=C:\PROGRA~1\AVG\AVG8\avgtray.exe
HKLM_Run: HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents=
HKCU_Run: CTFMON.EXE=C:\WINDOWS\system32\ctfmon.exe
HKCU_Run: Assistant DartyBox=C:\Program Files\DartyBox_v3\Bewan\AssistantDB\AssistantDB_Bewan.exe -m
HKCU_Run: swg=C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
HKCU_Run: msnmsgr="C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background

HKLM_expl: "HonorAutoRunSetting"=dword:00000001

################## [ Fichiers # Dossiers infectieux ]

Présent ! C:\WINDOWS\system32\autorun.inf
Présent ! H:\autorun.inf
Présent ! H:\recycler\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx

################## [ Registre # Clés Run infectieuses ]

Présent ! HKLM\software\microsoft\security center "AntiVirusOverride" ( 0x1 )

################## [ Registre # Mountpoints2 ]

HKCU\...\Explorer\MountPoints2\{7399d1f0-3923-11dd-b5a0-0050ba24bba4}\Shell\AutoRun\Command

################## [ ! Fin du rapport # UsbFix V3.032 ! ]

Je suis un peu dégoûté car la clé usb de mon ami a tendance à s'ouvrir toute seule lorsqu'on l'insert dans le port usb du pc et donc ça fait une alerte de sécurité d'avg qui signale les virus présent sur elle. Si elle a réinfecté le pc ça va pas le faire . Du coup j'ai refait tourner MBAM, il a trouvé un fichier infecté, j'ai nettoyé et je t'envoie le rapport :

Malwarebytes' Anti-Malware 1.38
Database version: 2315
Windows 5.1.2600 Service Pack 3

20/06/2009 19:22:55
mbam-log-2009-06-20 (19-22-55).txt

Scan type: Quick Scan
Objects scanned: 95465
Time elapsed: 10 minute(s), 45 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 0
Registry Keys Infected: 0
Registry Values Infected: 0
Registry Data Items Infected: 1
Folders Infected: 0
Files Infected: 0

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
(No malicious items detected)

Registry Values Infected:
(No malicious items detected)

Registry Data Items Infected:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.

Folders Infected:
(No malicious items detected)

Files Infected:
(No malicious items detected)

Voilà,

encore merci pour ton aide, j'attends tes instructions

Bonjour,

oui, USBFix va nettoyer la clé USB.

On utilisera aussi la fonction vacciner qui devrait mimiser les risques de réinfection.

Ds lors que tu as un fichier .exe (par exemple) qui est infecté, même si il est dans une partition "Linux", tu peux l'exécuter de l'OS Windows.

Clairement, son patron ne sait pas quels risques il court.

salut Lyonnais92,

mon ami va essayer de voir avec son entreprise... Ses connections internet sont limitées à certains sites de fournisseurs, et pour communiquer entre collègues, peut-être que pour l'employeur il n'y a donc pas besoin d'anti-virus et pare-feu ou que l'employeur pense que refuser ces protections dissuade ses employés d'aller surfer ?... Moi je pense que le virus lui a été transmis par un collègue qui l'a lui-même attrapé sur son PC perso(du collègue).

Si j'installe linux avec une partition commune en fat32 pour stocker des fichiers (donc accessibles des 2 OS) (chacun aura sa partition), les virus peuvent-ils transiter par linux pour aller attaquer windows ?

l'outil que tu me donne est pour nettoyer la clé USB c'est ça ? je suis tes instructions ce week-end et te renvoie le rapport. Puis-je faire ces manip (usbfix) en mode sans échec ou dois-je le faire obligatoirement en mode normal ?

Merci

Bonsoir,

le passage à Linux va bloquer les infections.

par contre, elles vont réapparaître si on réutilise Windows sur cet ordi (sauf si on ne copie que des fichiers sains).

Si l'ordi professionnel est infecté, il est vraiment impossible de convaincre son responsable qu'il faut désinfecter et protéger ? Arguer des risques pour les clients ?

====

Pour continuer :

Télécharge et installe [url=http://sd-1.archive-host.com/membres/up/127028005715545653/UsbFix.exe] [COLOR="Blue"][B]UsbFix[/B][/COLOR][/url] de C_XX & Chiquitine29

Branche tes [B]sources de données externes[/B] à ton PC, (clé USB, disque dur externe, etc...) susceptibles d avoir été infectées sans les ouvrir

# Double clic sur le raccourci UsbFix présent sur ton bureau .

# Choisie l'[B]option 1[/B] ( Recherche )

# Laisse travailler l'outil.

# Ensuite [B]poste[/B] le rapport UsbFix.txt qui apparaitra.

# Note : Le rapport UsbFix.txt est sauvegardé a la racine du disque. ( C:\UsbFix.txt )

( CTRL+A Pour tout sélectionner , CTRL+C pour copier et CTRL+V pour coller )

# Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

up !

Bonjour,

voici pour Lyonnais92 le lien vers le résultat d'analyse ZHPDiag

http://www.cijoint.fr/cjlink.php?file=cj200906/cij0BM44Ju.txt

Petite question maintenant: le virus s'est vraissemblablement transmis par une clé usb qui transite entre ce pc et un pc professionnel de mon ami qui est connecté à internet par 3G (avec une carte SIM dans le PC, je ne connaissais pas ce système). Hors sur ce pc professionnel, impossible d'installer de protection pour le net(le pc refuse d'installer le pare-feu windows: non autorisé, voir l'administrateur du réseau !). Donc je pense que mon ami va systématiquement réinfecter son pc perso, s'il y envoie des données de son pc professionnel: clé usb ou même mail (?) .
Donc ma question est : Si je lui installe ubuntu sur son pc personnel, le virus provenant de son pc professionnel et transmis par sa clé usb ne pourra pas attaquer ubuntu (incompatibilité entre le virus et ubuntu) et mon ami peut donc continuer à faire transiter des choses d'un pc vers l'autre, est-ce exact ?
Parce que je crois que mon ami n'est pas prêt d'avoir l'autorisation de protéger son pc professionnel...
Linux est-il une bonne alternative pour remédier à ce problème ?

PS: merci iM12 pour le lien, même s'il arrive après la résolution du problème.

Bonjour,

bon, l'outil semble avoir bien nettoyé.

Refais tourner ZHPDiag et remets le rapport en lien cijoint.

bonjour,
voici le rapport crée par MBAM après anlyse et suppression :

Malwarebytes' Anti-Malware 1.37
Version de la base de données: 2275
Windows 5.1.2600 Service Pack 3

14/06/2009 15:54:53
mbam-log-2009-06-14 (15-54-53).txt

Type de recherche: Examen rapide
Eléments examinés: 86914
Temps écoulé: 4 minute(s), 15 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 2
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 2
Fichier(s) infecté(s): 6

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SystemSecurity2009 (Rogue.SystemSecurity) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\11985984 (Rogue.Multiple.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\91995976 (Rogue.Multiple.H) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
C:\Documents and Settings\All Users\Application Data\11985984 (Rogue.Multiple.H) -> Quarantined and deleted successfully.
C:\Documents and Settings\All Users\Application Data\91995976 (Rogue.Multiple.H) -> Quarantined and deleted successfully.

Fichier(s) infecté(s):
c:\documents and settings\all users\application data\11985984\11985984.exe (Rogue.Multiple.H) -> Quarantined and deleted successfully.
c:\documents and settings\all users\application data\11985984\11985984.glu (Rogue.Multiple.H) -> Quarantined and deleted successfully.
c:\documents and settings\all users\application data\11985984\pc11985984cnf (Rogue.Multiple.H) -> Quarantined and deleted successfully.
c:\documents and settings\all users\application data\11985984\pc11985984ins (Rogue.Multiple.H) -> Quarantined and deleted successfully.
c:\documents and settings\all users\application data\91995976\91995976.exe (Rogue.Multiple.H) -> Quarantined and deleted successfully.
c:\documents and settings\Gege\Bureau\System Security 2009.lnk (Rogue.SystemSecurity) -> Quarantined and deleted successfully.

bonjour,
je fais ça dans le week-end , merci et bonne soirée.

Bonjour,

pas le bon outil.

1) Imprime ces instructions car il faudra fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

2) Télécharge Malwarebytes' Anti-Malware (MBAM) et enregistre le sur ton Bureau à partir de ce lien :

https://download.cnet.com/Malwarebytes/3000-8022_4-10804572.html

3) A la fin du téléchargement, ferme toutes les fenêtres et programmes, y compris celui-ci.

4) Double-clique sur l'icône Download_mbam-setup.exe sur ton bureau pour démarrer le programme d'installation.

5) Pendant l'installation, suis les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet). N'apporte aucune modification aux réglages par défaut et, en fin d'installation, vérifie que les options Update Malwarebytes' Anti-Malware et Launch Malwarebytes' Anti-Malware sont cochées.

6) MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse. Comme MBAM se met automatiquement à jour en fin d'installation, clique sur OK pour fermer la boîte de dialogue. La fenêtre principale de MBAM s'affiche :

7) Dans l'onglet analyse, vérifie que "Exécuter une analyse rapide" est coché et clique sur le bouton Rechercher pour démarrer l'analyse.

8) MBAM analyse ton ordinateur. L'analyse peut prendre un certain temps. Il suffit de vérifier de temps en temps son avancement.

9) A la fin de l'analyse, un message s'affiche indiquant la fin de l'analyse. Clique sur OK pour poursuivre.

10) Si des malwares ont été détectés, leur liste s'affiche.
En cliquant sur Suppression (?) , MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

11) MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Ferme le Bloc-notes. (Le rapport peut être retrouvé sous l'onglet Rapports/logs)

12) Ferme MBAM en cliquant sur Quitter.

13) Poste le rapport dans ta réponse

et smitfraudfix:

SmitFraudFix v2.422

Rapport fait à 18:05:12,10, 12/06/2009
Executé à partir de C:\Documents and Settings\Administrateur\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Documents and Settings\Administrateur\Bureau\SmitfraudFix\Policies.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts

»»»»»»»»»»»»»»»»»»»»»»»» C:\

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp

»»»»»»»»»»»»»»»»»»»»»»»» C:\Documents and Settings\Administrateur\Application Data

»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer

»»»»»»»»»»»»»»»»»»»»»»»» C:\DOCUME~1\ADMINI~1\Favoris

»»»»»»»»»»»»»»»»»»»»»»»» Bureau

»»»»»»»»»»»»»»»»»»»»»»»» C:\Program Files

»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues

»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

»»»»»»»»»»»»»»»»»»»»»»»» o4Patch
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

o4Patch
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""
"LoadAppInit_DLLs"=dword:00000001

»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"

»»»»»»»»»»»»»»»»»»»»»»»» RK

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""

»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Carte D-Link DFE-530TX PCI Fast Ethernet (rev.A) - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.1.254

HKLM\SYSTEM\CCS\Services\Tcpip\..\{C34BC978-CE27-4488-8301-8DF69F198D24}: DhcpNameServer=192.168.1.254
HKLM\SYSTEM\CS1\Services\Tcpip\..\{C34BC978-CE27-4488-8301-8DF69F198D24}: DhcpNameServer=192.168.1.254
HKLM\SYSTEM\CS3\Services\Tcpip\..\{C34BC978-CE27-4488-8301-8DF69F198D24}: DhcpNameServer=192.168.1.254
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.254
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.254
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.254

»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll

»»»»»»»»»»»»»»»»»»»»»»»» Fin

bonjour,
voilà pour virus total :

Fichier 11985984.exe_ reçu le 2009.06.12 15:56:10 (UTC)Antivirus Version Dernière mise à jour Résultat
a-squared 4.5.0.18 2009.06.12 Trojan.Win32.Winwebsec!IK
AhnLab-V3 5.0.0.2 2009.06.12 -
AntiVir 7.9.0.187 2009.06.12 -
Antiy-AVL 2.0.3.1 2009.06.12 -
Authentium 5.1.2.4 2009.06.12 -
Avast 4.8.1335.0 2009.06.11 -
AVG 8.5.0.339 2009.06.12 Downloader.Small.GBM
BitDefender 7.2 2009.06.12 -
CAT-QuickHeal 10.00 2009.06.12 -
ClamAV 0.94.1 2009.06.12 -
Comodo 1320 2009.06.12 -
DrWeb 5.0.0.12182 2009.06.12 Trojan.Fakealert.4362
eSafe 7.0.17.0 2009.06.11 Win32.FakeAlert.Dx
eTrust-Vet 31.6.6555 2009.06.12 -
F-Prot 4.4.4.56 2009.06.12 -
F-Secure 8.0.14470.0 2009.06.12 FraudTool.Win32.SystemSecurity.mf
Fortinet 3.117.0.0 2009.06.12 W32/FakeAV.AX!tr
GData 19 2009.06.12 -
Ikarus T3.1.1.59.0 2009.06.12 Trojan.Win32.Winwebsec
K7AntiVirus 7.10.762 2009.06.12 -
Kaspersky 7.0.0.125 2009.06.12 not-a-virus:FraudTool.Win32.SystemSecurity.mf
McAfee 5643 2009.06.11 FakeAlert-WinwebSecurity.a
McAfee+Artemis 5643 2009.06.11 FakeAlert-WinwebSecurity.a
McAfee-GW-Edition 6.7.6 2009.06.12 Trojan.LooksLike.Backdoor.Hupigon
Microsoft 1.4701 2009.06.12 -
NOD32 4151 2009.06.12 -
Norman 6.01.09 2009.06.12 -
nProtect 2009.1.8.0 2009.06.12 -
Panda 10.0.0.14 2009.06.12 -
PCTools 4.4.2.0 2009.06.12 -
Rising 21.33.44.00 2009.06.12 -
Sophos 4.42.0 2009.06.12 Mal/FakeAV-AX
Sunbelt 3.2.1858.2 2009.06.12 FraudTool.Win32.RogueSecurity (v)
Symantec 1.4.4.12 2009.06.12 Trojan.Fakeavalert
TheHacker 6.3.4.3.344 2009.06.11 -
TrendMicro 8.950.0.1092 2009.06.12 -
VBA32 3.12.10.7 2009.06.12 -
ViRobot 2009.6.12.1783 2009.06.12 -

Information additionnelle
File size: 368675 bytes
MD5...: 8f6f65e296032be424ea4671003a5061
SHA1..: d613e11429a62a0afc99b6df7395779494c5c3f7
SHA256: cd1e46f815be96dca17aef7618840084448fff54c7f09daaec38e3309d9767ee
ssdeep: -<BR>
PEiD..: -
TrID..: File type identification<BR>Win32 Dynamic Link Library (generic) (55.4%)<BR>Win16/32 Executable Delphi generic (15.1%)<BR>Generic Win/DOS Executable (14.6%)<BR>DOS Executable Generic (14.6%)<BR>Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
PEInfo: PE Structure information<BR><BR>( base data )<BR>entrypointaddress.: 0x1197<BR>timedatestamp.....: 0x4a2edc65 (Tue Jun 09 22:04:21 2009)<BR>machinetype.......: 0x14c (I386)<BR><BR>( 4 sections )<BR>name viradd virsiz rawdsiz ntrpy md5<BR>.text 0x1000 0x559c8 0x55a00 7.90 56dada6876809d5a19e9ec30b64ff528<BR>.rdata 0x57000 0x126 0x200 3.15 90cec9653a43480c9c8c678c1e0ad5ac<BR>.data 0x58000 0x50008 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e<BR>.rsrc 0xa9000 0x3ef0 0x4000 6.01 39fad5cca6c90239fdd83f296b6dba76<BR><BR>( 1 imports ) <BR>> KERNEL32.dll: GetModuleHandleW, VirtualAlloc, EnterCriticalSection, LeaveCriticalSection, GetCurrentThreadId, WideCharToMultiByte, DeleteCriticalSection, GetLastError<BR><BR>( 0 exports ) <BR>
PDFiD.: -
RDS...: NSRL Reference Data Set<BR>-
ThreatExpert info: <a href='http://www.threatexpert.com/report.aspx?md5=8f6f65e296032be424ea4671003a5061' target='_blank'>https://www.symantec.com?md5=8f6f65e296032be424ea4671003a5061</a>

Alors on verra si tu es dispo vers 17-18h

Bonne soirée et encore merci .