TR/Alureon.19456U.3' [trojan] Help please...

Question

Bonjour,
Bon ben voila, victime d'une belle saloperie...
Donc si vous pouvez m'expliquer que faire pour l'enlever sachant que je suis mauvais en informatique. Le plus gros probléme est que sa me redemare mon pc de temps en temps. Voila merci d'avance et bonne journée.

plopus · Answer

re

SUPPRIME les CRACKS et KEYGEN car c'est sa qui ta infecté, fait le maintenant car sinon tu va relancer les infections

donc tu es beaucoup infecté, tu as peu de tout... du Vundo + infection USB + toolbar nefaste + autres malware et trojan :

NE te sert plus de ton PC a part pour faire les instructions données, et FAIT LES DANS L'ORDRE et poste les rapports au fur et a mesure :

    *  Télécharge ToolbarSD (de Team IDN) sur ton Bureau
https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/ToolBarSD.exe?attachauth=ANoY7cpVobGk5bHnxrhQ4yaoEUDJvOYNnEGyYjgqHZz5GqZLfutR3fMFPlsC3-CGIilfupPAguYATNyua3csodN_frdMK8sSzUpit10Yac-QJCOkMqJKkbdKcP6ySs8trWPgoNVIq4TGGWCe6o0txXQv-ZueJF9vZzw3RXsGwFYIqN2lvF2LPdQzS8mE1d5kWOVOz6EMzQuE5-lClSJM869uq3oc7-t7yg%3D%3D&attredirects=3
    * Lance l'installation du programme en exécutant le fichier téléchargé.
    * Double-clique maintenant sur le raccourci de Toolbar-S&D.
    * Sélectionne la langue souhaitée en tapant la lettre de ton choix puis en validant avec la touche Entrée.
    * Choisit option 2 SUPPRESSION
        * /!\ Ne ferme pas la fenêtre lors de la suppression /!\
    * Un rapport sera généré, poste son contenu ici.


* NOTE : Si ton Bureau ne réapparait pas, appuie simultanément sur Ctrl+Alt+Suppr pour ouvrir le Gestionnaire des tâches.
Rends-toi sur l'onglet "Processus". Clique en haut à gauche sur Fichier et choisis "Exécuter..."
Tape explorer puis valide.



puis Branche tous ce que tu peux branché au PC, tout ce que tu as branché au PC est infecté , car tu as de vilaine infection USB qui donne acces a ton PC a un pirate :

    *  Telecharge UsbFix (de C_XX & Chiquitine29) sur ton bureau
   http://sd-1.archive-host.com/membres/up/127028005715545653/UsbFix.exe
    * Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d'avoir été infectés sans les ouvrir
    * Double clic sur le raccourci UsbFix sur ton bureau, l'installation se fera automatiquement
    * Choisi l'option 2 SUPPRESSION
    * Laisse travailler l'outil
    * Ensuite post le rapport UsbFix.txt qui apparaîtra
    * Note : le rapport UsbFix.txt est sauvegardé a la racine du disque

* Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus


puis

    *  Télécharge Malwarebytes
    https://www.clubic.com/telecharger-fiche215092-malwarebytes-anti-malware.html
    * Fais la mise à jour du logiciel (elle se fait normalement à l'installation)
    * Lance une analyse complète en cliquant sur "Exécuter un examen complet"
    * Sélectionnes les disques que tu veux analyser et cliques sur "Lancer l'examen"
    * L'analyse peut durer un bon moment.....
    * Une fois l'analyse terminée, cliques sur "OK" puis sur "Afficher les résultats"
    * Vérifies que tout est bien coché et cliques sur "Supprimer la sélection" => et ensuite sur "OK"
    * Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum

* Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Faites le en cliquant sur "oui" à la question posée


POSTE LES RAPPORTS au fur et a mesure et après cela ne pense pas que c'est fini, je posterai la suite après

PaBlo37 · Answer

-----------\  ToolBar S&D 1.2.9   XP/Vista

   Microsoft (R) Windows Script Host Version 5.7
   Copyright (C) Microsoft Corporation 1996-2001. Tous droits r‚serv‚s.
   Microsoft® Windows Vista™ Édition Familiale Basique  ( v6.0.6000 ) 
   X86-based PC ( Multiprocessor Free : Intel(R) Pentium(R) D CPU 2.80GHz )
   BIOS : Default System BIOS
   USER : agnès rivière ( Administrator )
   BOOT : Normal boot
   Antivirus : AntiVir Desktop 9.0.1.32 (Activated)
   C:\ (Local Disk) - NTFS - Total:108 Go (Free:30 Go)
   D:\ (Local Disk) - NTFS - Total:27 Go (Free:27 Go)
   E:\ (CD or DVD)
   F:\ (USB)
   G:\ (USB)
   H:\ (USB)
   I:\ (USB)
   J:\ (USB)

   "C:\ToolBar SD" ( MAJ : 22-08-2009|18:42 )
   Option : [2] ( 20/09/2009|18:58 )

   [ UAC => 1 ]

   -----------\ SUPPRESSION

   Supprime! - [Service] ASKService
   Supprime! - [Service] ASKUpgrade
   Supprime! - C:\Program Files\AskBarDis\bar
   Supprime! - C:\Program Files\AskBarDis\unins000.dat
   Supprime! - C:\Program Files\AskBarDis\unins000.exe
   Supprime! - C:\Program Files\AskBarDis

   -----------\  Recherche de Fichiers / Dossiers ...


   -----------\  [..\Internet Explorer\Main]

   [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
   "Local Page"="C:\Windows\system32\blank.htm"
   "Search Page"="https://www.msn.com/fr-fr/?redirfallthru=http%3a%2f%2fhome.microsoft.com%2fintl%2fbr%2faccess%2fallinone.asp%3f"
   "Start Page"="https://www.google.fr/?gws_rd=ssl"
   "Default_Page_URL"="https://www.dailymotion.com/fr"
   "Start Page Redirect Cache"="https://www.msn.com/fr-fr?ocid=iehp"
   "Url"="https://www.msn.com/fr-fr/actualite/"

   [HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
   "Start Page"="https://www.msn.com/fr-fr/"
   "Default_Page_URL"="https://www.dailymotion.com/fr"
   "Default_Search_URL"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
   "Search Page"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
   "Local Page"="C:\Windows\System32\blank.htm"


   --------------------\  Recherche d'autres infections

Voila

plopus · Answer

continue la procedure

PaBlo37 · Answer

-----------\  ToolBar S&D 1.2.9   XP/Vista

   Microsoft (R) Windows Script Host Version 5.7
   Copyright (C) Microsoft Corporation 1996-2001. Tous droits r‚serv‚s.
   Microsoft® Windows Vista™ Édition Familiale Basique  ( v6.0.6000 ) 
   X86-based PC ( Multiprocessor Free : Intel(R) Pentium(R) D CPU 2.80GHz )
   BIOS : Default System BIOS
   USER : agnès rivière ( Administrator )
   BOOT : Normal boot
   Antivirus : AntiVir Desktop 9.0.1.32 (Activated)
   C:\ (Local Disk) - NTFS - Total:108 Go (Free:30 Go)
   D:\ (Local Disk) - NTFS - Total:27 Go (Free:27 Go)
   E:\ (CD or DVD)
   F:\ (USB)
   G:\ (USB)
   H:\ (USB)
   I:\ (USB)
   J:\ (USB)

   "C:\ToolBar SD" ( MAJ : 22-08-2009|18:42 )
   Option : [2] ( 20/09/2009|18:58 )

   [ UAC => 1 ]

   -----------\ SUPPRESSION

   Supprime! - [Service] ASKService
   Supprime! - [Service] ASKUpgrade
   Supprime! - C:\Program Files\AskBarDis\bar
   Supprime! - C:\Program Files\AskBarDis\unins000.dat
   Supprime! - C:\Program Files\AskBarDis\unins000.exe
   Supprime! - C:\Program Files\AskBarDis

   -----------\  Recherche de Fichiers / Dossiers ...


   -----------\  [..\Internet Explorer\Main]

   [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
   "Local Page"="C:\Windows\system32\blank.htm"
   "Search Page"="https://www.msn.com/fr-fr/?redirfallthru=http%3a%2f%2fhome.microsoft.com%2fintl%2fbr%2faccess%2fallinone.asp%3f"
   "Start Page"="https://www.google.fr/?gws_rd=ssl"
   "Default_Page_URL"="https://www.dailymotion.com/fr"
   "Start Page Redirect Cache"="https://www.msn.com/fr-fr?ocid=iehp"
   "Url"="https://www.msn.com/fr-fr/actualite/"

   [HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
   "Start Page"="https://www.msn.com/fr-fr/"
   "Default_Page_URL"="https://www.dailymotion.com/fr"
   "Default_Search_URL"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
   "Search Page"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
   "Local Page"="C:\Windows\System32\blank.htm"


   --------------------\  Recherche d'autres infections

   C:\Windows\system32\AdddJPVw.ini
   C:\Windows\system32\AdddJPVw.ini2
   C:\Windows\system32\ceLklUvw.ini
   C:\Windows\system32\ceLklUvw.ini2
   C:\Windows\system32\LTCeefii.ini
   C:\Windows\system32\LTCeefii.ini2
   C:\Windows\system32\mVyGiSDd.ini
   C:\Windows\system32\mVyGiSDd.ini2
   C:\Windows\system32\oWEMlUtv.ini
   C:\Windows\system32\oWEMlUtv.ini2
   [b]==> VUNDO <==/b
 
   --------------------\  ROGUES ..

   C:\PROGRA~1\Spyware Guard 2008

   --------------------\  Cracks & Keygens ..

   C:\Users\AGNSRI~1\Documents\Shareaza Downloads\Metadata\(ECHELON) crazy eminem in love (Crack).zip.xml
   C:\Users\AGNSRI~1\Documents\Shareaza Downloads\Metadata\third wold 96 degrees in the side.Crack.All.Version.zip.xml
   C:\Users\AGNSRI~1\Downloads\keygen.exe


   [ UAC => 1 ]


   1 - "C:\ToolBar SD\TB_1.txt" - 20/09/2009| 4:38 - Option : [1]
   2 - "C:\ToolBar SD\TB_2.txt" - 20/09/2009|19:01 - Option : [2]

   -----------\  Fin du rapport a 19:01:15,68

plopus · Answer

supprime immediatement ceci :

C:\Users\AGNSRI~1\Downloads\keygen.exe 

puis passe a USBfix et ensuite malwarebyte voir le poste  4
ici :  https://forums.commentcamarche.net/forum/affich-14449063-tr-alureon-19456u-3-trojan-help-please#4


la tu as donc fait toolbar SD continue la procedure...

PaBlo37 · Answer

C:\Users\AGNSRI~1\Downloads\keygen.exe
Alors je le trouve pas... Donc difficile de le supprimé je fait comment ?

plopus · Answer

on verra après continue la procedure

PaBlo37 · Answer

############################## | UsbFix V6.035 |

User : agnès rivière (Administrateurs) # CAZENABERIVIERE
Update on 20/09/2009 by Chiquitine29, C_XX & Chimay8
Start at: 21:10:02 | 20/09/2009
Website : http://pagesperso-orange.fr/NosTools/index.html

Intel(R) Pentium(R) D CPU 2.80GHz
Microsoft® Windows Vista™ Édition Familiale Basique  (6.0.6000 32-bit) # 
Internet Explorer 8.0.6001.18813
Windows Firewall Status : Enabled
AV : AntiVir Desktop 9.0.1.32 [ Enabled | Updated ]

C:\ -> Disque fixe local # 108,06 Go (30,15 Go free) [SYSTEM] # NTFS
D:\ -> Disque fixe local # 27,32 Go (27,23 Go free) [DATA] # NTFS
E:\ -> Disque CD-ROM
F:\ -> Disque amovible
G:\ -> Disque amovible
H:\ -> Disque amovible
I:\ -> Disque amovible
J:\ -> Disque amovible

############################## | Processus actifs |

C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\Ati2evxx.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Ati2evxx.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\spoolsv.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\system32	askeng.exe
C:\Windows\Explorer.EXE
C:\Windows\msa.exe
C:\Windows\system32	askeng.exe
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\Windows\system32\svchost.exe
C:\firststeps\OnlineDiagnostic\TestManager\TestHandler.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\system32\WUDFHost.exe
C:\Windows\system32	askeng.exe
C:\Windows\system32unonce.exe
C:\Windows\system32\conime.exe
C:\Windows\system32\msfeedssync.exe
C:\Windows\system32\wbem\wmiprvse.exe

################## | Fichiers # Dossiers infectieux |

Supprimé ! C:\Windows\system32\autorun.inf  
Supprimé ! C:\install.exe 

################## | Registre # Clés Run infectieuses |


################## | Registre # Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\{18e37db7-9513-11dc-9cbf-0019db561481}\Shell\Auto\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{2e8e410e-49c2-11de-a107-0019db561481}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{9a069198-7de0-11dd-a13a-0019db561481}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{bd68a6d0-1d26-11de-b19a-0019db561481}\Shell\Auto\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{bfcb5ada-b7a0-11dd-a9b6-0019db561481}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{c3317325-a3c4-11de-871f-0019db561481}\Shell\AutoRun\Command  
Supprimé ! HKCU\...\Explorer\MountPoints2\{d5081a62-b8b2-11dd-8b8c-0019db561481}\Shell\AutoRun\Command  

################## | Listing des fichiers présent |

[06/12/2006 10:23|--a------|15] C:\appinst.cmd 
[18/09/2006 23:43|--a------|24] C:\autoexec.bat 
[02/11/2006 11:53|-rahs----|438840] C:\bootmgr 
[07/02/2007 21:24|-ra-s----|8192] C:\BOOTSECT.BAK 
[18/09/2006 23:43|--a------|10] C:\config.sys 
[07/11/2007 08:00|--a------|17734] C:\eula.1028.txt 
[07/11/2007 08:00|--a------|17734] C:\eula.1031.txt 
[07/11/2007 08:00|--a------|10134] C:\eula.1033.txt 
[07/11/2007 08:00|--a------|17734] C:\eula.1036.txt 
[07/11/2007 08:00|--a------|17734] C:\eula.1040.txt 
[07/11/2007 08:00|--a------|118] C:\eula.1041.txt 
[07/11/2007 08:00|--a------|17734] C:\eula.1042.txt 
[07/11/2007 08:00|--a------|17734] C:\eula.2052.txt 
[07/11/2007 08:00|--a------|17734] C:\eula.3082.txt 
[07/11/2007 08:00|--a------|1110] C:\globdata.ini 
[07/11/2007 08:00|--a------|843] C:\install.ini 
[07/11/2007 08:03|--a------|76304] C:\install.res.1028.dll 
[07/11/2007 08:03|--a------|96272] C:\install.res.1031.dll 
[07/11/2007 08:03|--a------|91152] C:\install.res.1033.dll 
[07/11/2007 08:03|--a------|97296] C:\install.res.1036.dll 
[07/11/2007 08:03|--a------|95248] C:\install.res.1040.dll 
[07/11/2007 08:03|--a------|81424] C:\install.res.1041.dll 
[07/11/2007 08:03|--a------|79888] C:\install.res.1042.dll 
[07/11/2007 08:03|--a------|75792] C:\install.res.2052.dll 
[07/11/2007 08:03|--a------|96272] C:\install.res.3082.dll 
[07/02/2007 22:30|-rahs----|0] C:\IO.SYS 
[07/02/2007 22:30|-rahs----|0] C:\MSDOS.SYS 
[29/02/2004 17:44|--a------|52576] C:\orange.bmp 
[?|?|?] C:\pagefile.sys 
[07/02/2007 21:26|--a------|1122] C:\Prodlog.txt 
[09/11/2006 16:05|--a------|42] C:\sort-d.txt 
[02/04/2009 21:41|--ah-----|268] C:\sqmdata00.sqm 
[03/04/2009 14:13|--ah-----|268] C:\sqmdata01.sqm 
[03/04/2009 14:15|--ah-----|208] C:\sqmdata02.sqm 
[03/04/2009 21:37|--ah-----|268] C:\sqmdata03.sqm 
[05/04/2009 00:30|--ah-----|268] C:\sqmdata04.sqm 
[05/04/2009 22:55|--ah-----|268] C:\sqmdata05.sqm 
[06/04/2009 12:30|--ah-----|268] C:\sqmdata06.sqm 
[06/04/2009 18:52|--ah-----|268] C:\sqmdata07.sqm 
[20/05/2009 09:15|--ah-----|268] C:\sqmdata08.sqm 
[03/06/2009 19:07|--ah-----|268] C:\sqmdata09.sqm 
[18/06/2009 05:43|--ah-----|268] C:\sqmdata10.sqm 
[12/09/2009 15:41|--ah-----|268] C:\sqmdata11.sqm 
[27/03/2009 20:32|--ah-----|268] C:\sqmdata12.sqm 
[29/03/2009 01:03|--ah-----|268] C:\sqmdata13.sqm 
[30/03/2009 11:42|--ah-----|268] C:\sqmdata14.sqm 
[30/03/2009 15:18|--ah-----|268] C:\sqmdata15.sqm 
[31/03/2009 05:29|--ah-----|268] C:\sqmdata16.sqm 
[02/04/2009 09:18|--ah-----|268] C:\sqmdata17.sqm 
[02/04/2009 09:47|--ah-----|268] C:\sqmdata18.sqm 
[02/04/2009 15:17|--ah-----|268] C:\sqmdata19.sqm 
[02/04/2009 21:41|--ah-----|244] C:\sqmnoopt00.sqm 
[03/04/2009 14:13|--ah-----|244] C:\sqmnoopt01.sqm 
[03/04/2009 14:15|--ah-----|172] C:\sqmnoopt02.sqm 
[03/04/2009 21:37|--ah-----|244] C:\sqmnoopt03.sqm 
[05/04/2009 00:30|--ah-----|244] C:\sqmnoopt04.sqm 
[05/04/2009 22:55|--ah-----|244] C:\sqmnoopt05.sqm 
[06/04/2009 12:30|--ah-----|244] C:\sqmnoopt06.sqm 
[06/04/2009 18:52|--ah-----|244] C:\sqmnoopt07.sqm 
[20/05/2009 09:15|--ah-----|244] C:\sqmnoopt08.sqm 
[03/06/2009 19:07|--ah-----|244] C:\sqmnoopt09.sqm 
[18/06/2009 05:43|--ah-----|244] C:\sqmnoopt10.sqm 
[12/09/2009 15:41|--ah-----|244] C:\sqmnoopt11.sqm 
[27/03/2009 20:32|--ah-----|244] C:\sqmnoopt12.sqm 
[29/03/2009 01:03|--ah-----|244] C:\sqmnoopt13.sqm 
[30/03/2009 11:42|--ah-----|244] C:\sqmnoopt14.sqm 
[30/03/2009 15:18|--ah-----|244] C:\sqmnoopt15.sqm 
[31/03/2009 05:29|--ah-----|244] C:\sqmnoopt16.sqm 
[02/04/2009 09:17|--ah-----|244] C:\sqmnoopt17.sqm 
[02/04/2009 09:47|--ah-----|244] C:\sqmnoopt18.sqm 
[02/04/2009 15:17|--ah-----|244] C:\sqmnoopt19.sqm 
[20/09/2009 19:38|--a------|2801] C:\TB.txt 
[14/07/2007 16:09|--a------|1212] C:	okiErrorLog.txt 
[20/09/2009 21:16|--a------|7195] C:\UsbFix.txt 
[07/11/2007 08:00|--a------|5686] C:\vcredist.bmp 
[07/11/2007 08:09|--a------|1442522] C:\VC_RED.cab 
[07/11/2007 08:12|--a------|232960] C:\VC_RED.MSI 
[14/11/2006 09:42|--a------|15] C:\vtype.cmd 
[06/03/2008 23:39|--a------|0] D:	estwma.raw 

################## | Vaccination |

# C:\autorun.inf -> Folder created by UsbFix.  
# D:\autorun.inf -> Folder created by UsbFix.  

################## | Upload | 

Veuillez envoyer le fichier : C:\Users\AGNSRI~1\Desktop\UsbFix_Upload_Me_cazenaberiviere.zip : https://www.androidworld.fr/ 
Merci pour votre contribution .  

################## | ! Fin du rapport # UsbFix V6.035 ! |

Voila le rapport usbfix

plopus · Answer

FAIT AUSSI SA /


Veuillez envoyer le fichier : C:\Users\AGNSRI~1\Desktop\UsbFix_Upload_Me_cazenaberiviere.zip : https://www.androidworld.fr/
Merci pour votre contribution . 

tu clic sur le lien et ensuite tu clic sur parcourir en milieu de pag eet tu va chercher le dossier qui est sur ton bureau qui sappel

UsbFix_Upload_Me_cazenaberiviere.zip 

et tu l'envoie, ensuite continue la procedure avec malwarebyte


ensuite tu affiche les dossier caché a l'aide de sa :
https://www.commentcamarche.net/informatique/windows/185-afficher-les-extensions-et-les-fichiers-caches-sous-windows/

et tu va chercher le fichier, et supprime le :
C:\Users\AGNSRI~1\Downloads\keygen.exe 

et après sa utilise CCleaner : https://www.malekal.com/tutoriel-ccleaner/
va dans option/avancé et decoche la 1er case et nettoie plusieurs fois dans les 2 onglets jusuqu' a trouver 0erreur

ensuite poste un nouveau RSIT APRES avoir fait ce qui a au dessus

PaBlo37 · Answer

C'est bon je l'ai supprimé.
J'ai fait une recherche d'infections via malwarebyte. Sa prend pas mal du temps, j'ai fait le bon truc ? 
Bon ben plus qu'a attendre.

PaBlo37 · Answer

Malwarebytes' Anti-Malware 1.24
Version de la base de données: 1012
Windows 6.0.6000 

02:54:03 20/09/2009
mbam-log-9-20-2009 (02-54-03).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 146645
Temps écoulé: 2 hour(s), 24 minute(s), 45 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 9
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 4

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\CLSID\{6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\xml.xml (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{500bca15-57a7-4eaf-8143-8c619470b13d} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{500bca15-57a7-4eaf-8143-8c619470b13d} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\xml.xml.1 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{9afb8248-617f-460d-9366-d71cdeda3179} (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Bifrost (Backdoor.Bifrose) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} (Trojan.Vundo) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Windows\System32\msxml71.dll (Trojan.FakeAlert) -> Delete on reboot.
C:\Users\agnès rivière\AppData\Local\Mozilla\Firefox\Profiles\1j76d114.default\Cache\0D589BD1d01 (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Users\agnès rivière\Downloads\keygen.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Users\agnès rivière\AppData\Roaming\addon.dat (Malware.Trace) -> Quarantined and deleted successfully.


Voila les rapports si c'est bien sa.

dédétraqué · Answer

Salut PaBlo37


Ne pas sollicité plusieurs helper avec le même problème, ton poste sera fermé ici :
http://forum.telecharger.01net.com/forum/#post5916607

Bonne désinfection


@++ :)

Salut plopus  ;)

plopus · Answer

salut

merci Dedetraqué

oui pablo , une seul personne doit t'aider sinon on s'y retrouve +

je serai de retour ce soir vers 19h

Fait sa pour :

Fait un scan en ligne ici ave internet explorer et poste le rapport ene entier avec les lignes detectés
http://www.bitdefender.fr/scan_fr/scan8/ie.html

ou la  https://www.kaspersky.fr/downloads

puis fait un scan avec superantispyware et poste le rapport en supprimant ce qu'il trouve  http://www.infos-du-net.com/telecharger/SUPERAntiSpyware,0301-7377.html

et après poste un nouveau RSIT et dit moi comment sa va ?

norulz · Answer

Looks like you have pktier.exe on your system 
I have it on my external hard drives and cant get rid of it 
Ive clean installed xp but as soon as i connect a drive things start to crash.
looks like its very new so bigger company's aren't interested yet .

i haven got it fixed yet but if anybody know how ,would be great 
Thanks

Lyonnais92 · Answer

Hi norulz,

let's try that :

Open this link and download ZHPDiag :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
hxxp://telechargement.zebulon.fr/telecharger-zhpdiag.html

Register the file on your Desktop.

Double click on ZHPDiag.exe and follow the instructions.

I think you may choose the english version of the tool

Don't forget to check the case so you have a short link on your Desktop

Double click on the short link ZHPDiag on your Destktop.


/|\ the tool created two icons ZHPDiag et ZHPFix (we wil use ZHPFix at the next step).

Click on the  Screw-driver and after on All (Tous) so all the options be checked.

Uncheck the cases O45 et O61.

Click on the Magnifying glass and run the analysys.

Wait until the tool has finished (maybe a long time)

Close ZHPDiag.


To transmit the report, click on this link :

http://www.cijoint.fr/

Click on Parcourir and search the directory where you installed  ZHPDiag (in general C:\Program Files\ZHPDiag).

Select the file ZHPDiag.txt.

Click on "Cliquez ici pour déposer le fichier".

A link as this one :

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt

is added inside the page.

Copy this link in your answer.

norulz · Answer

Thanks for the reply 
i have installed ,both icons on desktop

I have a clean install of xp sp3 no updates 
i will get the virus/trojan/malware as soon as i connect a hard drive

Lyonnais92 · Answer

Hi,

Ok,

don't connect your external hard drive.

But execute ZHPDiag and post the repots as I asked you.

Lyonnais92 · Answer

Hi,

sorry Ididn't see my answer.

It was on the next page.

I am waiting the report.

norulz · Answer

This is the report from zhdiag.
i can connect a drive and infect my system , if i don't wait to long i can restore.
I know its infected when google crome or firefox crashes on closure.

Rapport de ZHPDiag v1.24.15 par Nicolas Coolman
Run by Gareth & Madre at 10/2/2009 7:34:55 AM
Web site :  http://www.premiumorange.com/zeb-help-process/zhpdiag.html
Platform : Microsoft Windows XP (5.1.2600) Service Pack 3
MSIE: Internet Explorer v6.0.2900.5512
MFIE: Mozilla Firefox (3.5.3)

Boot mode: Normal (Normal boot)
Total RAM: 4.0 Gb (85 % free)
System drive C: 466 Go (459 Go free)

---\ Running Processes
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
C:\Program Files\BitDefender\BitDefender 2009\bdagent.exe
C:\Program Files\Canon\SolutionMenu\CNSLMAIN.exe
C:\Program Files\Canon\MyPrinter\BJMyPrt.exe
C:\Program Files\Microsoft ActiveSync\Wcescomm.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Documents and Settings\Gareth & Madre\Local Settings\Application Data\Google\Update\GoogleUpdate.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\ati2sgag.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\system32\services.exe
C:\Program Files\Canon\IJPLM\IJPLMSVC.EXE
C:\Program Files\Common Files\BitDefender\BitDefender Update Service\livesrv.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\BitDefender\BitDefender 2009\vsserv.exe

---\ Internet Explorer Start Page (R0)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home

---\ Internet Explorer Search Page (R1)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = https://www.bing.com/?toHttps=1&redig=8F3F334EA60E4B1CB4D040DCFE393A89{SUB_RFC1766}/srchasst/srchasst.htm

---\ Internet Explorer URLSearchHook (R3)
R3 - URLSearchHook: Microsoft Url Search Hook - {CFBFAE00-17A6-11D0-99CB-00C04FD64497} - %SystemRoot%\system32\shdocvw.dll

---\ Browser Helper Objects (O2)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

---\ Auto loading programs from Registry (O4)
O4 - HKLM\..\Run: [StartCCC] C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [BDAgent] C:\Program Files\BitDefender\BitDefender 2009\bdagent.exe
O4 - HKLM\..\Run: [CanonSolutionMenu] C:\Program Files\Canon\SolutionMenu\CNSLMAIN.exe /logon
O4 - HKLM\..\Run: [CanonMyPrinter] C:\Program Files\Canon\MyPrinter\BJMyPrt.exe /logon
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKCU\..\Run: [H/PC Connection Agent] C:\Program Files\Microsoft ActiveSync\Wcescomm.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Google Update] C:\Documents and Settings\Gareth & Madre\Local Settings\Application Data\Google\Update\GoogleUpdate.exe" /c
O4 - HKCU\..\Run: [Skype] C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized

---\ Extra items in the IE right-click menu (O8)
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

---\ Extra buttons on main IE button toolbar, or extra items in IE 'Tools' menu (O9)
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~2\INetRepl.dll,211
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFBARH.ICO
O9 - Extra button: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe,302

---\ Extra protocols and protocol Hijackers (O18)
O18 - Handler: cdl - {3dd53d40-7b8b-11D0-b013-00aa0059ce02} - C:\WINDOWS\system32\urlmon.dll
O18 - Handler: dvd - {12D51199-0DB5-46FE-A120-47A3D7D937CC} - C:\WINDOWS\system32\msvidctl.dll
O18 - Handler: gopher - {79eac9e4-baf9-11ce-8c82-00aa004ba90b} - C:\WINDOWS\system32\urlmon.dll
O18 - Handler: mhtml - {05300401-BCBC-11d0-85E3-00C04FD85AB4} - C:\Windows\system32\inetcomm.dll
O18 - Handler: ms-itss - {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Program Files\Common Files\Microsoft Shared\Information Retrieval\MSITSS.DLL
O18 - Handler: mso-offdap11 - {32505114-5902-49B2-880A-1F7738E5A384} - C:\PROGRA~1\COMMON~1\MICROS~1\WEBCOM~1\11\OWC11.DLL
O18 - Handler: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O18 - Handler: sysimage - {76E67A63-06E9-11D2-A840-006008059382} - C:\Windows\system32\mshtml.dll
O18 - Handler: tv - {CBD30858-AF45-11D2-B6D6-00C04FBBDE6E} - C:\WINDOWS\system32\msvidctl.dll
O18 - Handler: wia - {13F3EA8B-91D7-4F0A-AD76-D2853AC8BECE} - C:\WINDOWS\system32\wiascr.dll
O18 - Filter: Class Install Handler - {32B533BB-EDAE-11d0-BD5A-00AA00B92AF1} - C:\WINDOWS\system32\urlmon.dll
O18 - Filter: text/webviewhtml - {733AC4CB-F1A4-11d0-B951-00A0C90312E1} - C:\Windows\system32\SHELL32.dll
O18 - Filter: text/xml - {807553E5-5146-11D5-A672-00B0D022E945} - C:\Program Files\Common Files\Microsoft Shared\OFFICE11\MSOXMLMF.DLL

---\ AppInit_DLLs Registry value Autorun (O20)
O20 - Winlogon Notify: AtiExtEvent - C:\WINDOWS\System32\Ati2evxx.dll
O20 - Winlogon Notify: dimsntfy - C:\WINDOWS\System32\%SystemRoot%\System32\dimsntfy.dll

---\ ShellServiceObjectDelayLoad (O21)
O21 - SSODL: PostBootReminder - {7849596a-48ea-486e-8937-a2a3009f31a9} - %SystemRoot%\system32\SHELL32.dll
O21 - SSODL: CDBurn - {fbeb8a05-beee-4442-804e-409d6c4515e9} - %SystemRoot%\system32\SHELL32.dll
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - %SystemRoot%\system32\webcheck.dll
O21 - SSODL: SysTray - {35CEC8A3-2BE6-11D2-8773-92E220524153} - C:\WINDOWS\system32\stobject.dll

---\ SharedTaskScheduler (O22)
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - %SystemRoot%\system32\browseui.dll
O22 - SharedTaskScheduler: (no name) - {8C7461EF-2B13-11d2-BE35-3078302C2030} - %SystemRoot%\system32\browseui.dll

---\ non Microsoft non disabled Windows XP/NT/2000 Services (O23)
O23 - Service:  (Ati HotKey Poller) - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart (ATI Smart) - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: PIXMA Extended Survey Program (IJPLMSVC) - C:\Program Files\Canon\IJPLM\IJPLMSVC.EXE
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - C:\Program Files\Common Files\BitDefender\BitDefender Update Service\livesrv.exe" /service
O23 - Service: Machine Debug Manager (MDM) - C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
O23 - Service: Print Spooler (Spooler) - C:\WINDOWS\system32\spoolsv.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - C:\Program Files\BitDefender\BitDefender 2009\vsserv.exe" /service

---\ Windows Active Desktop Components (O24)
O24 - Desktop Component 0: My Current Home Page - file:About:Home


End of the scan: 110 lines

Thanks Gareth

Lyonnais92 · Answer

Hi,

you didn't check the Options as I required.

So the report contains only poor information (like an HijackThis report).

First, when you reopen ZHPDiag, click on the yellow "Helmet" and choose English.

Click on the Screw-driver and choose All.

Uncheck the lines O45 and O61 and run then tool by clicking on the magnifying glass.

The report will be too long to be sent inside your answer, so use the mean I told you with cijoint.

With this report (and ZHPFix), we wil delete a key in the register.


After,if you don't want to connect your infected drive, we wil use a Live Cd with a Linux OS to delete the file in the external Hard disk.

TR/Alureon.19456U.3' [trojan] Help please...

23 réponses

Discussions similaires

Newsletters