Trojans détectés, impossible à supprimer!

Résolu
nikitabe -  
Bonjour à tous,

Je me suis fait infecté hier par une série de trojan via le disque dure externe d'un amis.
J'ai de nombreuses alertes de Antivir, et dès que je les supprimes, mon ordi reboot!

J'ai lancé un scan antivir qui n'a rien trouvé, un premier scan complet de malwarebyte qui a trouvé 13 détections, puis un deuxième rapide qui en à trouvé 4.

Dès que je reboot après le scan, les alertes reprennent de plus belle. Donc je ne pense pas que c'est avec malwarebyte que règlerais mon problème.

Que dois je faire ?

Merci beaucoup d'avance!

nik.

22 réponses

Résumé de la discussion

Une infection par des trojans s'est propagée via un disque dur externe, provoquant des alertes antivirus et des redémarrages après suppression; l'ordinateur Windows XP montre des symptômes persistants. Plusieurs réponses recommandent d'utiliser Malwarebytes et des outils spécialisés comme Combofix, puis d'analyser les éléments de démarrage et les vecteurs de résidus avec HijackThis et CCleaner. Des utilisateurs signalent des quarantaines et suppressions de fichiers malveillants, la déconnexion d'internet et des scans en Safe Mode; des éléments suspects comme des démarrages sont ciblés. La série de conseils souligne aussi la nécessité de récupérer les données hors ligne et de réinstaller proprement le système si les infections persistent.

Bobot (l’IA à votre service)
  1. Destrio5 Modérateur
    Non, on va utiliser UsbFix pour cela.

    --> Télécharge UsbFix (par El Desaparecido & C_XX) sur ton Bureau.

    --> Branche tes sources de données externes à ton PC (clé USB, disque dur externe, carte SD, etc...) sans les ouvrir.

    --> Double-clique sur le programme UsbFix situé sur ton Bureau.

    --> Choisis l'option 1 (Recherche).

    --> Laisse travailler l'outil.

    --> Poste le rapport UsbFix.txt.

    Note : le rapport UsbFix.txt est sauvegardé à la racine du disque (C:\UsbFix.txt).

    "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
    1. nikitabe Auteur
      Bonjour,

      J'ai finalement formaté, c'est un peu barbar mais n'était pas souvent chez moi ces temps ci, j'ai choisit de réglé ce problème définitivement.

      tout est rentré dans l'ordre, Merci bcp destrio pour ton aide!

      Bonne journée!

      ps: est ce possible que lors de mon back up des fichiers infectés se sont glissé dans mon disque dure externe ? dois je le scanner avec combo pour etre sur avant de les remettre sur mon nouveau disque formaté ? Merci
      1. Destrio5 Modérateur
        --> http://www.microsoft.com/downloads/details.aspx?FamilyId=15491F07-99F7-4A2D-983D-81C2137FF464&displaylang=fr

        Tu glisses le fichier sur ComboFix.
        1. Destrio5 Modérateur
          Il vaudrait mieux installer la console de récupération.
          1. nikitabe Auteur
            hello,

            J'ai essayé de mettre mon ordi infecté en ligne, un fois que je le connecte au wifi il déconne grave et malgré qu'il soit connecté il ne sait pas ouvrir une page internet et se connecté.

            Je ne sais pas trop quoi faire, as tu une idée ?
        3. Destrio5 Modérateur
          /!\ Désactive tes protections résidentes (Antivirus, etc...) /!\

          --> Télécharge ComboFix (de sUBs) sur ton Bureau.
          --> Double-clique sur ComboFix.exe (le .exe n'est pas forcément visible) afin de le lancer.
          --> Il va te demander d'installer la console de récupération : accepte.
          --> Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse.

          Pour t'aider : Un guide et un tutoriel sur l'utilisation de ComboFix
          1. nikitabe Auteur
            Bonsoir Destrio,

            Mon ordi infecté est déconnecté à internet, la console de récupe n'est pas encore installée. Je peu l'installer si c'est nécessaire.

            Voici le lien:
            http://www.cijoint.fr/cjlink.php?file=cj201004/cijWTFuHUd.txt

            Merci!
        4. Destrio5 Modérateur
          Bonjour,

          --> Télécharge OTL (de OldTimer) sur ton Bureau.
          --> Double-clique sur OTL pour le lancer.
          (Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)
          --> Une fenêtre apparaît. Dans la section Output en haut de cette fenêtre, coche Minimal Output.
          --> Coche également les cases à côté de LOP Check et Purity Check.
          --> Enfin, clique sur le bouton Run Scan. Le scan ne prendra pas beaucoup de temps.
          --> Une fois l'analyse terminée, deux fenêtres vont s'ouvrir dans le Bloc-notes : OTL.txt et Extras.txt. Ils se trouvent au même endroit que OTL (donc par défaut sur le Bureau).

          Pour me transmettre les rapports :
          --> Clique sur ce lien : http://www.cijoint.fr/
          --> Clique sur Parcourir... et cherche le fichier du rapport que tu souhaites me transmettre.
          --> Clique sur Ouvrir.
          --> Clique sur Cliquez ici pour déposer le fichier.
          --> Un lien de cette forme, hxxp://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt, est ajouté dans la page.
          --> Copie-colle ce lien dans ta réponse.
          1. nikitabe Auteur
            hello,

            voila le lien pour otl.txt
            http://www.cijoint.fr/cjlink.php?file=cj201004/cijBiCo08w.txt

            et le lien pour extra
            http://www.cijoint.fr/cjlink.php?file=cj201004/cijMjg2Hf9.txt

            Comme je ne savais pas lequel tu avais besoin je t'ai mis les deux.

            Je dois aller bosser mnt, dis moi les démarches à faire, je les feraient ec soir en rentrant.

            Merci bcp et bonne journée !

            Nik.
        5. nikitabe Auteur
          re,

          au redémarrage j'ai encore eu des alertes de avira, je ne pense pas que le problème soit résolu...

          voici le dernier rapport mbam:

          Malwarebytes' Anti-Malware 1.45
          www.malwarebytes.org

          Version de la base de données: 3970

          Windows 5.1.2600 Service Pack 3 (Safe Mode)
          Internet Explorer 8.0.6001.18702

          10/04/2010 0:39:57
          mbam-log-2010-04-10 (00-39-57).txt

          Type d'examen: Examen complet (C:\|)
          Elément(s) analysé(s): 248147
          Temps écoulé: 1 heure(s), 10 minute(s), 53 seconde(s)

          Processus mémoire infecté(s): 0
          Module(s) mémoire infecté(s): 0
          Clé(s) du Registre infectée(s): 0
          Valeur(s) du Registre infectée(s): 0
          Elément(s) de données du Registre infecté(s): 0
          Dossier(s) infecté(s): 0
          Fichier(s) infecté(s): 4

          Processus mémoire infecté(s):
          (Aucun élément nuisible détecté)

          Module(s) mémoire infecté(s):
          (Aucun élément nuisible détecté)

          Clé(s) du Registre infectée(s):
          (Aucun élément nuisible détecté)

          Valeur(s) du Registre infectée(s):
          (Aucun élément nuisible détecté)

          Elément(s) de données du Registre infecté(s):
          (Aucun élément nuisible détecté)

          Dossier(s) infecté(s):
          (Aucun élément nuisible détecté)

          Fichier(s) infecté(s):
          C:\Program Files\Internet Explorer\js.mui (Trojan.Downloader) -> Quarantined and deleted successfully.
          C:\Documents and Settings\Aurél\Local Settings\Temp\wmpscfgs.exe (Trojan.Agent) -> Quarantined and deleted successfully.
          C:\Program Files\Internet Explorer\wmpscfgs.exe (Trojan.Agent) -> Quarantined and deleted successfully.
          C:\Documents and Settings\Aurél\rundll32.exe (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.
          1. nikitabe Auteur
            ok j'ai supprimé le fichier (il n'y en avait qu'un) je te poste ici un nouvel hijackthis, et un scan complet malwarebyte est en cours, je posterais le log plus tard.

            Merci de vérifier s'il n'y a plus de problème. Un tout grand merci pour ton coup de main! Dis moi les démarches à faire ensuite.

            Logfile of Trend Micro HijackThis v2.0.2
            Scan saved at 21:57:10, on 9/04/2010
            Platform: Windows XP SP3 (WinNT 5.01.2600)
            MSIE: Internet Explorer v8.00 (8.00.6001.18702)
            Boot mode: Safe mode

            Running processes:
            C:\WINDOWS\System32\smss.exe
            C:\WINDOWS\system32\winlogon.exe
            C:\WINDOWS\system32\services.exe
            C:\WINDOWS\system32\lsass.exe
            C:\WINDOWS\system32\svchost.exe
            C:\WINDOWS\system32\svchost.exe
            C:\WINDOWS\system32\userinit.exe
            C:\WINDOWS\Explorer.EXE
            C:\Program Files\HijackThis\HijackThis.exe

            R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.shscomputer.be/
            R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
            R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
            R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
            R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
            R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
            O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
            O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet\tools\BitCometBHO_1.4.1.10.dll
            O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
            O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
            O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
            O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
            O2 - BHO: Ask Toolbar BHO - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (file missing)
            O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
            O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
            O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
            O3 - Toolbar: Foxit Toolbar - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll (file missing)
            O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
            O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
            O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe"
            O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
            O4 - HKLM\..\Run: [itype] "c:\Program Files\Microsoft IntelliType Pro\itype.exe"
            O4 - HKLM\..\Run: [QuickTime Task] "c:\program files\quicktime\qttask .exe" -atboottime
            O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "C:\Program Files\Fichiers communs\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin
            O4 - HKLM\..\Run: [DivXUpdate] "C:\Program Files\DivX\DivX Update\DivXUpdate.exe" /CHECKNOW
            O4 - HKLM\..\Run: [IntelliPoint] "c:\Program Files\Microsoft IntelliPoint\ipoint.exe"
            O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet
            O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
            O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
            O4 - HKLM\..\Run: [moboug] C:\WINDOWS\system32\pukoovusi.exe
            O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
            O4 - HKCU\..\Run: [DAEMON Tools Lite] "c:\program files\daemon tools lite\DTLite.exe" -autorun
            O4 - HKCU\..\Run: [moboug] C:\Documents and Settings\Aurél\Application Data\Microsoft\pukoovusi.exe
            O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
            O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
            O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
            O4 - S-1-5-18 Startup: Stardock ObjectDock.lnk = C:\Program Files\Stardock\ObjectDock\ObjectDock.exe (User 'SYSTEM')
            O4 - .DEFAULT Startup: Stardock ObjectDock.lnk = C:\Program Files\Stardock\ObjectDock\ObjectDock.exe (User 'Default user')
            O4 - Startup: Stardock ObjectDock.lnk = C:\Program Files\Stardock\ObjectDock\ObjectDock.exe
            O4 - Global Startup: Wireless Configuration Utility HW.51.lnk = C:\Program Files\802.11 Wireless LAN\802.11g Wireless Cardbus & PCI Adapter HW.51 V1.00\WlanCU.exe
            O8 - Extra context menu item: &Traduire à partir de l'anglais - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html
            O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
            O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
            O8 - Extra context menu item: Recherche &Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
            O8 - Extra context menu item: Tout télécharger avec BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm
            O8 - Extra context menu item: Télécharger avec BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm
            O8 - Extra context menu item: Télécharger toutes les vidéos avec BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddVideo.htm
            O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
            O9 - Extra button: BitComet - {D18A0B52-D63C-4ed0-AFC6-C1E3DC1AF43A} - res://C:\Program Files\BitComet\tools\BitCometBHO_1.4.1.10.dll/206 (file missing)
            O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
            O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
            O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
            O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
            O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (Ma-Config control) - http://ma-config.com/plugins/MaConfig_4_0_2_0.cab
            O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
            O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
            O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Fichiers communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
            O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
            O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program Files\ma-config.com\maconfservice.exe
            O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe
            O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
            O23 - Service: RUMBA AS/400 Shared Folders (rgeimauim) - Four-F - C:\Documents and Settings\Aurél\Application Data\Microsoft\moumyvyl.exe
            O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
            1. Utilisateur anonyme
              re,

              Ask n'est pas partie...

              on va faire manuellement :

              tu vas dans le System ( C: )
              suprime:
              Files\Ask.com\GenericAskToolbar.dll
              (Tu verra plusieurs fois GenericAskToolbar.dll , supprime a chaque fois).
              1. nikitabe Auteur
                Malwarebytes' Anti-Malware 1.45
                www.malwarebytes.org

                Version de la base de données: 3970

                Windows 5.1.2600 Service Pack 3 (Safe Mode)
                Internet Explorer 8.0.6001.18702

                9/04/2010 20:36:47
                mbam-log-2010-04-09 (20-36-47).txt

                Type d'examen: Examen complet (C:\|)
                Elément(s) analysé(s): 248105
                Temps écoulé: 1 heure(s), 11 minute(s), 4 seconde(s)

                Processus mémoire infecté(s): 0
                Module(s) mémoire infecté(s): 0
                Clé(s) du Registre infectée(s): 0
                Valeur(s) du Registre infectée(s): 0
                Elément(s) de données du Registre infecté(s): 0
                Dossier(s) infecté(s): 0
                Fichier(s) infecté(s): 3

                Processus mémoire infecté(s):
                (Aucun élément nuisible détecté)

                Module(s) mémoire infecté(s):
                (Aucun élément nuisible détecté)

                Clé(s) du Registre infectée(s):
                (Aucun élément nuisible détecté)

                Valeur(s) du Registre infectée(s):
                (Aucun élément nuisible détecté)

                Elément(s) de données du Registre infecté(s):
                (Aucun élément nuisible détecté)

                Dossier(s) infecté(s):
                (Aucun élément nuisible détecté)

                Fichier(s) infecté(s):
                C:\Program Files\Internet Explorer\js.mui (Trojan.Downloader) -> Quarantined and deleted successfully.
                C:\Program Files\Internet Explorer\wmpscfgs.exe (Trojan.Agent) -> Quarantined and deleted successfully.
                C:\Documents and Settings\Aurél\rundll32.exe (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.
                2. nikitabe Auteur
                  je ne sais pas pq le 'end of file' ne se met pas, mais ce rapport est bien complet!
                  1. nikitabe Auteur
                    Hello, si bas le nouvel hijackthis après Otm et cc cleaner

                    (je n'ai déjà plus d'alerte antivir lors de l'ouverture de windows! )

                    Logfile of Trend Micro HijackThis v2.0.2
                    Scan saved at 18:38:02, on 9/04/2010
                    Platform: Windows XP SP3 (WinNT 5.01.2600)
                    MSIE: Internet Explorer v8.00 (8.00.6001.18702)
                    Boot mode: Normal

                    Running processes:
                    C:\WINDOWS\System32\smss.exe
                    C:\WINDOWS\system32\winlogon.exe
                    C:\WINDOWS\system32\services.exe
                    C:\WINDOWS\system32\lsass.exe
                    C:\WINDOWS\system32\nvsvc32.exe
                    C:\WINDOWS\system32\svchost.exe
                    C:\WINDOWS\System32\svchost.exe
                    C:\WINDOWS\Explorer.EXE
                    C:\WINDOWS\system32\spoolsv.exe
                    C:\Program Files\Avira\AntiVir Desktop\sched.exe
                    C:\Program Files\Avira\AntiVir Desktop\avguard.exe
                    C:\Program Files\Java\jre6\bin\jqs.exe
                    C:\Program Files\Fichiers communs\Nero\Nero BackItUp 4\NBService.exe
                    C:\WINDOWS\system32\svchost.exe
                    C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
                    C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
                    C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe
                    C:\WINDOWS\SOUNDMAN.EXE
                    C:\WINDOWS\system32\RUNDLL32.EXE
                    C:\WINDOWS\system32\pukoovusi.exe
                    C:\WINDOWS\system32\ctfmon.exe
                    C:\Documents and Settings\Aurél\Application Data\Microsoft\pukoovusi.exe
                    c:\program files\fichiers communs\java\java update\jusched .exe
                    c:\program files\microsoft intellitype pro\itype .exe
                    c:\program files\microsoft intellipoint\ipoint .exe
                    c:\program files\divx\divx update\divxupdate .exe
                    c:\program files\daemon tools lite\dtlite .exe
                    C:\Documents and Settings\Aurél\Application Data\Microsoft\sossore.exe
                    C:\Documents and Settings\Aurél\Application Data\Microsoft\sossore.exe
                    c:\Program Files\Microsoft IntelliType Pro\dpupdchk.exe
                    C:\DOCUME~1\AURL~1\LOCALS~1\Temp\VWJ7.tmp
                    C:\WINDOWS\system32\ZoneLabs\vsmon.exe
                    C:\Program Files\Stardock\ObjectDock\ObjectDock.exe
                    C:\DOCUME~1\AURL~1\LOCALS~1\Temp\3627.exe
                    C:\Program Files\HijackThis\HijackThis.exe

                    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.shscomputer.be/
                    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =

                    https://www.msn.com/fr-fr/?ocid=iehp
                    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =

                    https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
                    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =

                    https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
                    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

                    https://www.msn.com/fr-fr/?ocid=iehp
                    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
                    O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program

                    Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
                    O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program

                    Files\BitComet\tools\BitCometBHO_1.4.1.10.dll
                    O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search &

                    Destroy\SDHelper.dll
                    O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
                    O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live -

                    {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows

                    Live\WindowsLiveLogin.dll
                    O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program

                    files\google\googletoolbar1.dll
                    O2 - BHO: Ask Toolbar BHO - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program

                    Files\Ask.com\GenericAskToolbar.dll
                    O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program

                    Files\Java\jre6\bin\jp2ssv.dll
                    O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program

                    Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
                    O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program

                    files\google\googletoolbar1.dll
                    O3 - Toolbar: Foxit Toolbar - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program

                    Files\Ask.com\GenericAskToolbar.dll
                    O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
                    O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
                    O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe"
                    O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
                    O4 - HKLM\..\Run: [itype] "c:\Program Files\Microsoft IntelliType Pro\itype.exe"
                    O4 - HKLM\..\Run: [QuickTime Task] "c:\program files\quicktime\qttask .exe" -atboottime
                    O4 - HKLM\..\Run: [AdobeCS4ServiceManager] "C:\Program Files\Fichiers

                    communs\Adobe\CS4ServiceManager\CS4ServiceManager.exe" -launchedbylogin
                    O4 - HKLM\..\Run: [DivXUpdate] "C:\Program Files\DivX\DivX Update\DivXUpdate.exe" /CHECKNOW
                    O4 - HKLM\..\Run: [IntelliPoint] "c:\Program Files\Microsoft IntelliPoint\ipoint.exe"
                    O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet
                    O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
                    O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
                    O4 - HKLM\..\Run: [moboug] C:\WINDOWS\system32\pukoovusi.exe
                    O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
                    O4 - HKCU\..\Run: [DAEMON Tools Lite] "c:\program files\daemon tools lite\DTLite.exe" -autorun
                    O4 - HKCU\..\Run: [moboug] C:\Documents and Settings\Aurél\Application Data\Microsoft\sossore.exe
                    O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
                    O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
                    O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
                    O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
                    O4 - S-1-5-18 Startup: Stardock ObjectDock.lnk = C:\Program Files\Stardock\ObjectDock\ObjectDock.exe (User

                    'SYSTEM')
                    O4 - .DEFAULT Startup: Stardock ObjectDock.lnk = C:\Program Files\Stardock\ObjectDock\ObjectDock.exe (User

                    'Default user')
                    O4 - Startup: Stardock ObjectDock.lnk = C:\Program Files\Stardock\ObjectDock\ObjectDock.exe
                    O4 - Global Startup: Wireless Configuration Utility HW.51.lnk = C:\Program Files\802.11 Wireless LAN\802.11g

                    Wireless Cardbus & PCI Adapter HW.51 V1.00\WlanCU.exe
                    O8 - Extra context menu item: &Traduire à partir de l'anglais - res://C:\Program

                    Files\Google\GoogleToolbar1.dll/cmwordtrans.html
                    O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
                    O8 - Extra context menu item: Pages similaires - res://C:\Program

                    Files\Google\GoogleToolbar1.dll/cmsimilar.html
                    O8 - Extra context menu item: Recherche &Google - res://C:\Program

                    Files\Google\GoogleToolbar1.dll/cmsearch.html
                    O8 - Extra context menu item: Tout télécharger avec BitComet - res://C:\Program

                    Files\BitComet\BitComet.exe/AddAllLink.htm
                    O8 - Extra context menu item: Télécharger avec BitComet - res://C:\Program

                    Files\BitComet\BitComet.exe/AddLink.htm
                    O8 - Extra context menu item: Télécharger toutes les vidéos avec BitComet - res://C:\Program

                    Files\BitComet\BitComet.exe/AddVideo.htm
                    O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program

                    Files\Google\GoogleToolbar1.dll/cmcache.html
                    O9 - Extra button: BitComet - {D18A0B52-D63C-4ed0-AFC6-C1E3DC1AF43A} - res://C:\Program

                    Files\BitComet\tools\BitCometBHO_1.4.1.10.dll/206 (file missing)
                    O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network

                    Diagnostic\xpnetdiag.exe
                    O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} -

                    C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
                    O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program

                    Files\Messenger\msmsgs.exe
                    O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program

                    Files\Messenger\msmsgs.exe
                    O16 - DPF: {867E13F2-7F31-44FB-AC97-CD38E0DC46EF} (Ma-Config control) -

                    http://ma-config.com/plugins/MaConfig_4_0_2_0.cab
                    O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir

                    Desktop\sched.exe
                    O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir

                    Desktop\avguard.exe
                    O23 - Service: FLEXnet Licensing Service - Acresso Software Inc. - C:\Program Files\Fichiers

                    communs\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
                    O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program

                    Files\Java\jre6\bin\jqs.exe
                    O23 - Service: Ma-Config Service (maconfservice) - CybelSoft - C:\Program

                    Files\ma-config.com\maconfservice.exe
                    O23 - Service: Nero BackItUp Scheduler 4.0 - Nero AG - C:\Program Files\Fichiers communs\Nero\Nero BackItUp

                    4\NBService.exe
                    O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
                    O23 - Service: RUMBA AS/400 Shared Folders (rgeimauim) - Four-F - C:\Documents and

                    Settings\Aurél\Application Data\Microsoft\moumyvyl.exe
                    O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD -

                    C:\WINDOWS\system32\ZoneLabs\vsmon.exe
                    1. Utilisateur anonyme
                      ok,

                      bon , tu passeras ccleaner avec les réglages donnés, et tu posteras un hijackthis pour contrôler et finaliser le reste après, Merci tu fais cela dans l'ordre

                      1) passes ccleaner avec les réglages donnés

                      télécharges Ccleaner à partir de cette adresses

                      https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/

                      .enregistres le sur le bureau
                      .double-cliques sur le fichier pour lancer l'installation
                      .sur la fenêtre de l'installation langage bien choisir français et OK
                      .cliques sur suivant
                      .lis la licence et j'accepte
                      .cliques sur suivant
                      .la tu ne gardes de coché que mettre un raccourci sur le bureau et puis contrôler automatiquement les mises à jour de Ccleaner
                      .cliques sur intaller
                      .cliques sur fermer
                      .double-cliques sur l'icône de Ccleaner pour l'ouvrir
                      .une fois ouvert tu cliques sur option et puis avancé
                      .tu décoches effacer uniquement les fichiers, du dossier temp de windows plus vieux que 48 heures
                      .cliques sur nettoyeur
                      .cliques sur windows et dans la colonne avancé
                      .cochesla première case vieilles données du perfetch que celle-la ce qui te donnes la case vielles données du perfetch et la case avancé qui c'est coché automatiquement mais que celle-la
                      .cliques sur analyse une fois l'analyse terminé
                      .cliques sur lancer le nettoyage et sur la demande de confirmation OK il vas falloir que tu le refasses une autre fois une fois fini vériffis en appuiant de nouveau sur analyse pour être sur qu'il n'y est plus rien
                      .cliques maintenant sur registre et puis sur rechercher les erreurs
                      .laisses tout cochées et cliques sur réparrer les erreurs sélectionnées
                      .il te demande de sauvegarder OUI
                      .tu lui donnes un nom pour pouvoir la retrouver et enregistre
                      .cliques sur corriger toutes les erreurs sélectionnées et sur la demande de confirmation OK
                      .il supprime et fermer tu vériffis en relancant rechercher les erreurs
                      .tu retournes dans option et tu recoches la case effacer uniquement les fichiers, du dossier temp de windows plus vieux que 48 heures et sur nettoyeur, windows sous avancé tu décoches la première case vieilles données du perfetch
                      .tu peux fermer Ccleaner

                      pour aider si besion tutoriel: https://www.vulgarisation-informatique.com/nettoyer-windows-ccleaner.php

                      ou plus ici: http://www.lescofofides.fr/forum/viewtopic.php?f=30&t=96

                      2) postes un rapport hijackthis

                      HijackThis est un outil développé par merijn, capable de détecter les composants ajoutés à votre navigateur, les programmes lancés au démarrage du système, etc. Le programme vous permet de consulter tous les éléments et éventuellement de les retirer de l'ordinateur. HijackThis est, par exemple, en mesure de forcer le changement de la page d'accueil. Cette fonction est particulièrement utile lorsque votre navigateur ne vous permet plus de modifier la page d'accueil car un site se l'est appropriée ! Le logiciel peut également enregistrer des paramètres par défaut et ignorer certains éléments définis.

                      télécharge Hijackthis : http://www.trendsecure.com/portal/en-US/tools/security_tools/hijackthis

                      .cliques sur download
                      .cliques sur download Hijackthis installer
                      .enregistres le sur le bureau
                      .Tu fermes tout les programmes ouverts y compris le navigateur. sauf ton anti-virus et pare-feux
                      .installes le , il va s'installer par défaut dans C:\Program Files\Trend Micro\HijackThis
                      .Cliques sur "Do a system scan and save the logfile"
                      .Cela va t'ouvrir un bloc note à la fin du scan.
                      .Copie son contenu et poste le dans ton prochain message. sinon le rapport est dans C:\Program Files\Trend Micro\HijackThis\ hijackthis "document texte"

                      si besion d'aide pour l'installation : https://www.androidworld.fr/

                      des expliquations en images pour l'utiliser : http://pagesperso-orange.fr/rginformatique/section%20virus/demohijack.htm
                      1. nikitabe Auteur
                        Malwarebytes' Anti-Malware 1.45
                        www.malwarebytes.org

                        Version de la base de données: 3970

                        Windows 5.1.2600 Service Pack 3 (Safe Mode)
                        Internet Explorer 8.0.6001.18702

                        9/04/2010 15:27:19
                        mbam-log-2010-04-09 (15-27-19).txt

                        Type d'examen: Examen complet (C:\|)
                        Elément(s) analysé(s): 248269
                        Temps écoulé: 1 heure(s), 9 minute(s), 34 seconde(s)

                        Processus mémoire infecté(s): 0
                        Module(s) mémoire infecté(s): 0
                        Clé(s) du Registre infectée(s): 0
                        Valeur(s) du Registre infectée(s): 0
                        Elément(s) de données du Registre infecté(s): 0
                        Dossier(s) infecté(s): 0
                        Fichier(s) infecté(s): 4

                        Processus mémoire infecté(s):
                        (Aucun élément nuisible détecté)

                        Module(s) mémoire infecté(s):
                        (Aucun élément nuisible détecté)

                        Clé(s) du Registre infectée(s):
                        (Aucun élément nuisible détecté)

                        Valeur(s) du Registre infectée(s):
                        (Aucun élément nuisible détecté)

                        Elément(s) de données du Registre infecté(s):
                        (Aucun élément nuisible détecté)

                        Dossier(s) infecté(s):
                        (Aucun élément nuisible détecté)

                        Fichier(s) infecté(s):
                        C:\Program Files\Internet Explorer\js.mui (Trojan.Downloader) -> Quarantined and deleted successfully.
                        C:\Documents and Settings\Aurél\Local Settings\Temp\wmpscfgs.exe (Trojan.Agent) -> Quarantined and deleted successfully.
                        C:\Program Files\Internet Explorer\wmpscfgs.exe (Trojan.Agent) -> Quarantined and deleted successfully.
                        C:\Documents and Settings\Aurél\rundll32.exe (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.
                        1. Utilisateur anonyme
                          ok,

                          si tu n'arrives pas on va faire avec le rapport HJT ( que tu as deja poster )

                          télécharge MalwareBytes, fait un scane complet et poste son rapport stp
                          1. nikitabe Auteur
                            Voila plusieurs fois que j'essaye d'envoyer le rapport, je le poste, je valide, ça charge et puis rien ne se passe.

                            Je vais encore essayer.
                            1. nikitabe Auteur
                              oui je rapport est complet, j'ai juste oublié la dernière ligne " end of file".

                              Je t'envoie le rapport rsit de suite.
                              • 1
                              • 2

                              Discussions similaires

                              Supprimer l'historique de commandes et d'achats sur Amazon
                              Matthew5

                              25 réponses