ANTIVIRUS PLUS

Ok mais en mode sans échec il m'affiche ce message : la restauration système ne peut être activé en mode sans échec , redémarrer en mode normal
et l'état des lecteur est toujours exécution d'....
Que faire, est ce normal ?

ok ,réessaie la manip en démarrant en mode sans echec (en tapotant la touche F8 ou F5 au démarrage) .

Oui j'ai désactivé la restauration système mais ca reste bloqué sur exécution d'...

Tu as désactivé ta resto systeme dans un premier temps ?

Désolé mais j'ai l'impression que la restauration systeme ne fonctionne pas car l'etat des lecteurs est tj sur execution d'..
le virus ne la bloquerait il pas ?

Mais le scan de bitdefender n'avais rien détecter et pourtant il était encore infecté
je comprend pas pourquoi d'un coup il aurait disparu ?
je veux pas te mettre en doute j'essaie juste de comprendre
la restauration systeme je l'ai lancé mais les lecteurs C et D sont tj en Execution d'.... ca prend beaucoup de temps ?

Merci beaucoup pour tes compétences et surtout pour ta patience

Mais le virus qui est apparu avec mon antivirus
on l' a supprimé ?

Si tu as fait la manip avec la resto systeme alors ma réponse est oui (tu peux refaire un scan si tu as un doute).

Si tu n'as pas de questions ,je met ce topique en résolu et te souhaite une bonne continuation .

voici le rapport tclainer :

[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

--> Recherche:

C:\UsbFix.txt: trouvé !
C:\_OTM: trouvé !
C:\UsbFix: trouvé !
C:\Rsit: trouvé !
C:\Documents and Settings\sandrine\Mes documents\Téléchargements\OTM.exe: trouvé !
C:\Documents and Settings\sandrine\Bureau\UsbFix.exe: trouvé !
C:\Documents and Settings\sandrine\Bureau\Rsit.exe: trouvé !
C:\Program Files\trend micro\HijackThis.exe: trouvé !
C:\Program Files\trend micro\hijackthis.log: trouvé !

Fichiers temporaires nettoyés !
Corbeille vidée!
---------------------------------
--> Suppression:
C:\Documents and Settings\sandrine\Mes documents\Téléchargements\OTM.exe: supprimé !
C:\Program Files\trend micro\HijackThis.exe: supprimé !
C:\UsbFix.txt: supprimé !
C:\Documents and Settings\sandrine\Bureau\UsbFix.exe: supprimé !
C:\Documents and Settings\sandrine\Bureau\Rsit.exe: supprimé !
C:\Program Files\trend micro\hijackthis.log: supprimé !
C:\_OTM: supprimé !
C:\UsbFix: supprimé !
C:\Rsit: supprimé !

Dans le fichier 'C:\System Volume Information\_restore{2DB37729-7E03-4F82-ADEF-4057C22A22C7}\R­P487\A0106084.exe' 

C'est ta restauration systeme ,on va la purger .

Pour supprimer toutes les traces des logiciels qui ont servi à traiter les infections spécifiques :

· Télécharge ToolsCleaner de A.Roshtein sur ton Bureau.
http://pc-system.fr/
· Clique sur Recherche et laisse le scan se terminer.
· Clique, sur Suppression pour finaliser.
· Tu peux, si tu le souhaites, te servir des Options facultatives.
· Clique sur Quitter, pour que le rapport puisse se créer.
· Poste moi le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur( C:\).

============================================

Maintenant que ton PC n'est plus infecté, désactive ta "Restauration du système" puis réactive la afin de créer un point de restauration sain.

* Désactivation :
Cliquer droit sur le "Poste de travail" > Propriétés > onglet "Restauration du système" > cocher la case "Désactiver la Restauration du système sur tous les lecteurs"
> Appliquer patiente jusqu a que cela soit marqué "désactivée" puis Ok.

* Activation :
Suivre le même chemin ; décocher la case "Désactiver la Restauration du système sur tous les lecteurs"
> Appliquer attends que cela soit a nouveau sur "surveillance" puis Ok. Redémarrer l'ordinateur..

Pendant le scan de bitdefender mon antivirus a détecter de nouveau un virus voici le rapport:

Dans le fichier 'C:\System Volume Information\_restore{2DB37729-7E03-4F82-ADEF-4057C22A22C7}\RP487\A0106084.exe'
un virus ou un programme indésirable 'TR/Agent.118256' [trojan] a été détecté.
Action exécutée : Supprimer le fichier

et voici le rapport bitdefender :

BitDefender Online Scanner
Rapport d'analyse gnr : Fri, Jan 22, 2010 - 21:57:41
Voie d'analyse: C:\;D:\;F:\;
Statistiques
Temps
00:44:23
Fichiers
139465
Directoires
6940
Secteurs de boot
0
Archives
1154
Paquets programmes
10692
Rsultats
Virus identifis
0
Fichiers infects
0
Fichiers suspects
0
Avertissements
0
Dsinfects
0
Fichiers effacs
0
info sur les moteurs
Dfinition virus
4895955
Version des moteurs
AVCORE v2.1 Windows/i386 11.0.0.33 (Nov 24 2009)
Analyse des plugins
17
Archive des plugins
44
Unpack des plugins
8
E-mail plugins
6
Systme plugins
4
Paramtres d'analyse
Premire action
Désinfecté
Seconde Action
Supprimés
Heuristique
Oui
Acceptez les avertissements
Oui
Extensions analyses
exe;com;dll;ocx;scr;bin;dat;386;vxd;sys;wdm;cla;class;ovl;ole;hlp;doc;dot;xls;ppt;wbk;wiz;pot;ppa;xla;xlt;vbs;vbe;mdb;rtf;htm;hta;html;xml;xtp;php;asp;js;shs;chm;lnk;pif;prc;url;smm;pfd;msi;ini;csc;cmd;bas;
Excludez les extensions
Analyse d'emails
Oui
Analyse des Archives
Oui
Analyser paquets programmes
Oui
Analyse des fichiers
Oui
Analyse de boot
Oui
Fichier analys
Statut
Aucun virus trouvé.

Une derniere vérif avant de conclure :

Fais ce scan anti-virus en ligne avec Internet Explorer, accepte l'active X : https://www.bitdefender.fr/

la barre anti-popup du (en haut) va se mettre à clignoter,
clic dessus et choisis "accepter l'active X" pour faire fonctionner le scan anti-virus.
Une fois qu'il a terminé colle le rapport ici stp

tutoriel

Comment puis je le tester ?
car là tout à l'air de fonctionner mis à par la dernière alerte de l'antivirus tout à l'heure

Comment va le pc ?

Je n'ai pas trouvé la case "Unregister Dll's and Ocx's
mais j'ai lancé OTM et ANTIVIR m'a immediatement signalé un virus
Voici le rapport :

All processes killed
========== FILES ==========
C:\Documents and Settings\sandrine\Application Data\SystemProc folder moved successfully.
File move failed. C:\WINDOWS\system32\Z-PG_Md.exe scheduled to be moved on reboot.
========== COMMANDS ==========

[EMPTYTEMP]

User: Default User
->Temp folder emptied: 16384 bytes
->Temporary Internet Files folder emptied: 32902 bytes

User: All Users

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 3662971 bytes

User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 13725401 bytes

User: Administrateur
->Temp folder emptied: 16384 bytes
->Temporary Internet Files folder emptied: 32768 bytes

User: sandrine
->Temp folder emptied: 216872 bytes
->Temporary Internet Files folder emptied: 11369244 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 45517027 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 19569 bytes
%systemroot%\System32 .tmp files removed: 3072 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 608910 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 13525104 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 106023 bytes
RecycleBin emptied: 254804218 bytes

Total Files Cleaned = 328,00 mb

OTM by OldTimer - Version 3.1.6.0 log created on 01222010_113020

Files moved on Reboot...
File C:\WINDOWS\system32\Z-PG_Md.exe not found!
C:\WINDOWS\temp\Perflib_Perfdata_a7c.dat moved successfully.

Registry entries deleted on Reboot...

Excuse moi mais y a t il encore un problème ? tout n'est pas éradiqué ?

C:\WINDOWS\system32\Z-PG_Md.exe est infecté :

AntiVir 7.9.1.146 2010.01.21 TR/Agent.118256 
McAfee+Artemis 5868 2010.01.21 Artemis!509FD9D3E6B0
McAfee-GW-Edition 6.8.5 2010.01.21 Trojan.Agent.118256 
Prevx 3.0 2010.01.21 High Risk Cloaked Malware 
Sophos 4.50.0 2010.01.21 Troj/FakeAV-ANM 

Télécharge OTM de OldTimer sur ton Bureau en cliquant sur ce lien :

http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/

Double-clique sur OTMoveIt3.exe pour le lancer.

Vérifie que la case devant "Unregister Dll's and Ocx's est bien cochée.

Copie la liste qui se trouve en gras ci-dessous,

et colle-la dans le cadre de gauche de OTMoveIt : "Paste instructions for item to be moved".

:files
C:\Documents and Settings\sandrine\Application Data\SystemProc 
C:\WINDOWS\system32\Z-PG_Md.exe    

:commands
[purity]
[emptytemp]
[start explorer]
[reboot]

Clique sur "MoveIt!" pour lancer la suppression.

Le résultat apparaitra dans le cadre "Results".

Clique sur "Exit" pour fermer.

Poste le rapport situé dans C:\_OTMoveIt\MovedFiles sous le nom xxxxxx_xxxxxxxxxx.log .

Il te sera peut-être demander de redémarrer le pc pour achever la suppression. Si c'est le cas accepte par Yes.

Ensuite dis moi si le pc va mieux ?

Excuse moi mais y a t il encore un problème ? tout n'est pas éradiqué ?

Voici les rapports :
de C:\WINDOWS\system32\Z-PG_Md.exe

Fichier -GK2o6-Ar9_O_2.exe reçu le 2010.01.21 19:21:54 (UTC)
Situation actuelle: terminé
Résultat: 5/41 (12.20%)
Formaté Formaté
Impression des résultats Impression des résultats
Antivirus Version Dernière mise à jour Résultat
a-squared 4.5.0.50 2010.01.21 -
AhnLab-V3 5.0.0.2 2010.01.21 -
AntiVir 7.9.1.146 2010.01.21 TR/Agent.118256
Antiy-AVL 2.0.3.7 2010.01.21 -
Authentium 5.2.0.5 2010.01.21 -
Avast 4.8.1351.0 2010.01.21 -
AVG 9.0.0.730 2010.01.21 -
BitDefender 7.2 2010.01.21 -
CAT-QuickHeal 10.00 2010.01.21 -
ClamAV 0.94.1 2010.01.21 -
Comodo 3660 2010.01.21 -
DrWeb 5.0.1.12222 2010.01.21 -
eSafe 7.0.17.0 2010.01.21 -
eTrust-Vet 35.2.7250 2010.01.21 -
F-Prot None 2010.01.20 -
F-Secure 9.0.15370.0 2010.01.21 -
Fortinet 4.0.14.0 2010.01.21 -
GData 19 2010.01.21 -
Ikarus T3.1.1.80.0 2010.01.21 -
Jiangmin 13.0.900 2010.01.21 -
K7AntiVirus 7.10.951 2010.01.20 -
Kaspersky 7.0.0.125 2010.01.21 -
McAfee 5868 2010.01.21 -
McAfee+Artemis 5868 2010.01.21 Artemis!509FD9D3E6B0
McAfee-GW-Edition 6.8.5 2010.01.21 Trojan.Agent.118256
Microsoft 1.5302 2010.01.21 -
NOD32 4794 2010.01.21 -
Norman 6.04.03 2010.01.20 -
nProtect 2009.1.8.0 2010.01.21 -
Panda 10.0.2.2 2010.01.21 -
PCTools 7.0.3.5 2010.01.21 -
Prevx 3.0 2010.01.21 High Risk Cloaked Malware
Rising 22.31.03.04 2010.01.21 -
Sophos 4.50.0 2010.01.21 Troj/FakeAV-ANM
Sunbelt 3.2.1858.2 2010.01.21 -
Symantec 20091.2.0.41 2010.01.21 -
TheHacker 6.5.0.8.157 2010.01.21 -
TrendMicro 9.120.0.1004 2010.01.21 -
VBA32 3.12.12.1 2010.01.20 -
ViRobot 2010.1.21.2148 2010.01.21 -
VirusBuster 5.0.21.0 2010.01.20 -
Information additionnelle
File size: 118256 bytes
MD5 : 509fd9d3e6b08762782b9d3a5e55197f
SHA1 : 02ea38d4b444e162cc45bc6449a1eb89591623a7
SHA256: 19e8918b9d609dc42e829f4d38271602de6145f64d33e2d0de89c631fe3d378c
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x323C
timedatestamp.....: 0x4A2AE2A2 (Sat Jun 6 23:41:54 2009)
machinetype.......: 0x14C (Intel I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x5A5A 0x5C00 6.42 0bc2ffd32265a08d72b795b18265828d
.rdata 0x7000 0x1190 0x1200 5.18 f179218a059068529bdb4637ef5fa28e
.data 0x9000 0x1AF98 0x400 4.71 975304d6dd6c4a4f076b15511e2bbbc0
.ndata 0x24000 0xB000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rsrc 0x2F000 0x48D0 0x4A00 5.87 4cc3f89c214e350e27ed0f562ca7c749

( 8 imports )

> advapi32.dll: RegQueryValueExA, RegSetValueExA, RegEnumKeyA, RegEnumValueA, RegOpenKeyExA, RegDeleteKeyA, RegDeleteValueA, RegCloseKey, RegCreateKeyExA
> comctl32.dll: ImageList_AddMasked, ImageList_Destroy, -, ImageList_Create
> gdi32.dll: SetBkColor, GetDeviceCaps, DeleteObject, CreateBrushIndirect, CreateFontIndirectA, SetBkMode, SetTextColor, SelectObject
> kernel32.dll: CompareFileTime, SearchPathA, GetShortPathNameA, GetFullPathNameA, MoveFileA, SetCurrentDirectoryA, GetFileAttributesA, GetLastError, CreateDirectoryA, SetFileAttributesA, Sleep, GetTickCount, CreateFileA, GetFileSize, GetModuleFileNameA, GetCurrentProcess, CopyFileA, ExitProcess, SetFileTime, GetTempPathA, GetCommandLineA, SetErrorMode, LoadLibraryA, lstrcpynA, GetDiskFreeSpaceA, GlobalUnlock, GlobalLock, CreateThread, CreateProcessA, RemoveDirectoryA, GetTempFileNameA, lstrlenA, lstrcatA, GetSystemDirectoryA, GetVersion, CloseHandle, lstrcmpiA, lstrcmpA, ExpandEnvironmentStringsA, GlobalFree, GlobalAlloc, WaitForSingleObject, GetExitCodeProcess, GetModuleHandleA, LoadLibraryExA, GetProcAddress, FreeLibrary, MultiByteToWideChar, WritePrivateProfileStringA, GetPrivateProfileStringA, WriteFile, ReadFile, MulDiv, SetFilePointer, FindClose, FindNextFileA, FindFirstFileA, DeleteFileA, GetWindowsDirectoryA
> ole32.dll: CoTaskMemFree, OleInitialize, OleUninitialize, CoCreateInstance
> shell32.dll: SHGetPathFromIDListA, SHBrowseForFolderA, SHGetFileInfoA, ShellExecuteA, SHFileOperationA, SHGetSpecialFolderLocation
> user32.dll: EndDialog, ScreenToClient, GetWindowRect, EnableMenuItem, GetSystemMenu, SetClassLongA, IsWindowEnabled, SetWindowPos, GetSysColor, GetWindowLongA, SetCursor, LoadCursorA, CheckDlgButton, GetMessagePos, LoadBitmapA, CallWindowProcA, IsWindowVisible, CloseClipboard, SetClipboardData, EmptyClipboard, RegisterClassA, TrackPopupMenu, AppendMenuA, CreatePopupMenu, GetSystemMetrics, SetDlgItemTextA, GetDlgItemTextA, MessageBoxIndirectA, CharPrevA, DispatchMessageA, PeekMessageA, DestroyWindow, CreateDialogParamA, SetTimer, SetWindowTextA, PostQuitMessage, SetForegroundWindow, wsprintfA, SendMessageTimeoutA, FindWindowExA, SystemParametersInfoA, CreateWindowExA, GetClassInfoA, DialogBoxParamA, CharNextA, OpenClipboard, ExitWindowsEx, IsWindow, GetDlgItem, SetWindowLongA, LoadImageA, GetDC, EnableWindow, InvalidateRect, SendMessageA, DefWindowProcA, BeginPaint, GetClientRect, FillRect, DrawTextA, EndPaint, ShowWindow
> version.dll: GetFileVersionInfoSizeA, GetFileVersionInfoA, VerQueryValueA

( 0 exports )
TrID : File type identification
Win32 Executable MS Visual C++ (generic) (65.2%)
Win32 Executable Generic (14.7%)
Win32 Dynamic Link Library (generic) (13.1%)
Generic Win/DOS Executable (3.4%)
DOS Executable Generic (3.4%)
ssdeep: 3072:vQIURTXJ2ceAMP/SZCNCz77q1/amx4Dkcbyw:vsYmMP/SZPupaK4Dkgb
Prevx Info: http://info.prevx.com/aboutprogramtext.asp?PX5=946B7326F072257BCD2201D33F4F7B008DCD3D0D
PEiD : -
packers (F-Prot): NSIS
RDS : NSRL Reference Data Set

et de C:\WINDOWS\PCFriend.INI :
0 bytes size received / Se ha recibido un archivo vacio

Il va falloir analyser un ou des fichier(s) suspect(s) !

Il se peut qu'il se trouvent dans les " dossiers cachés " du systeme.
Il faut donc les rendre visibles pour le scan.

Pour afficher les dossiers et fichiers cachés:

Panneau de configuration > Options des dossiers > onglet Affichage.

Coche Afficher les fichiers et dossiers cachés,
Décoche Masquer les extensions de fichiers connus
Décoche Masquer les fichiers protégés du Système.
Un message de mise en garde va apparaitre. Clique sur OK pour confirmer ton choix.
Les fichiers et dossiers cachés du système apparaitront alors dans l'explorateur Windows en transparence.

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ces fichiers : C:\WINDOWS\system32\Z-PG_Md.exe
C:\WINDOWS\PCFriend.INI

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse.

Voici le rapport de mbam

Malwarebytes' Anti-Malware 1.44
Version de la base de données: 3604
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

21/01/2010 21:26:19
mbam-log-2010-01-21 (21-26-19).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 201314
Temps écoulé: 49 minute(s), 3 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Rhosts a fonctionné puisque ton ficheir Host a été restauré (google en français) .

J'attend le scan ne MBAM .