Problème : Impossible de supprimer Malware

Télécharge HostsXpert sur ton Bureau :

http://www.funkytoad.com/download/HostsXpert.zip

---> Décompresse-le (Clic droit >> Extraire ici)

/!\Utilisateur de Vista : Clique droit sur le logo de HostsXpert, « exécuter en tant qu'Administrateur »

---> Double-clique sur HostsXpert pour le lancer , laisse travailler l'outil.

---> clique sur le bouton "Restore MS Hosts File" puis ferme le programme

PS : Avant de cliquer sur le bouton "Restore MS Hosts File", vérifie que le cadenas en haut à gauche est ouvert sinon tu vas avoir un message d'erreur.

Voici le rapport de Malwarebytes':

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4055

Windows 5.1.2600 Service Pack 2
Internet Explorer 7.0.5730.13

02/05/2010 21:26:51
mbam-log-2010-05-02 (21-26-51).txt

Type d'examen: Examen complet (C:\|E:\|)
Elément(s) analysé(s): 265569
Temps écoulé: 41 minute(s), 7 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

déja fait :)

pour MBAM

mettre à jour avant

Voici le rapport de List Kill'em :
http://www.cijoint.fr/cjlink.php?file=cj201005/cijFMMPc35.txt

Je fais l'analyse de Malewarebyte maintenant.

Rebonjour,
Oui donc je vais relancer List Kill'em et je te fais aussi savoir que j'avais déja scanné mon ordi avec Malwarebytes auparavant :) mais je vais le refaire après le Kill'em merci beaucoup :D

oui

autant pour moi

on reprend à killem

1)

Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau.
mais cette fois-ci :

choisis l'option CLEAN
ton PC va redemarrer,

laisse travailler l'outil.

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

colle le contenu dans ta reponse

..............................

2)

Téléchargez MalwareByte's Anti-Malware (que tu pourras garder)

http://www.malwarebytes.org/mbam/program/mbam-setup.exe

. Enregistres le sur le bureau
. Double cliques sur le fichier téléchargé pour lancer le processus d'installation.
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, accepte
. Une fois la mise à jour terminé
. Rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen complet (examen assez long)
. Cliques sur Rechercher
. Le scan démarre.
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, clique sur Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
. Rends toi dans l'onglet rapport/log
. Tu cliques dessus pour l'afficher, une fois affiché
. Tu cliques sur edition en haut du boc notes, et puis sur sélectionner tous
. Tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. tu cliques droit dans le cadre de la reponse et coller

Si tu as besoin d'aide regarde ces tutoriels :
Aide: https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
http://www.infos-du-net.com/forum/278396-11-tuto-malwarebytes-anti-malware-mbam

bien

/!\ Il faut impérativement désactiver tous tes logiciels de protection pour utiliser ce programme/!\
* Télécharge mbr.exe de Gmer ici : http://www2.gmer.net/mbr/mbr.exe et enregistre le fichier sur le Bureau.
* Merci à Malekal pour le tutoriel
* Désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
* Double clique sur mbr.exe
* Un rapport sera généré : mbr.log
* En cas d'infection, ce message "MBR rootkit code detected" va apparaitre.
* Pour supprimer le rootkit aller dans le menu Démarrer=> Exécuter et tapez la commande en gras: "%userprofile%\Bureau\mbr" -f
* (veuillez à bien respecter les guillemets)
* Dans le mbr.log cette ligne apparaitra "original MBR restored successfully !"
* Réactive tes protections .Poste ce rapport et supprime le ensuite.

o Pour vérifier désactive tes protections et coupe la connexion. (Antivirus et antispywares, HIPS et autre résident)
o Relance mbr.exe
o Réactive tes protections.
o Le nouveau mbr.log devrait être celui-ci :
o Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net
o device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

Voici le copié collé de Virus Total :

Antivirus Version Dernière mise à jour Résultat
a-squared 4.5.0.50 2010.05.01 -
AhnLab-V3 2010.05.02.00 2010.05.01 -
AntiVir 8.2.1.224 2010.04.30 -
Antiy-AVL 2.0.3.7 2010.04.30 -
Authentium 5.2.0.5 2010.05.01 -
Avast 4.8.1351.0 2010.05.01 -
Avast5 5.0.332.0 2010.05.01 -
AVG 9.0.0.787 2010.05.01 -
BitDefender 7.2 2010.05.01 -
CAT-QuickHeal 10.00 2010.05.01 -
ClamAV 0.96.0.3-git 2010.05.01 -
Comodo 4732 2010.05.01 -
DrWeb 5.0.2.03300 2010.05.01 -
eSafe 7.0.17.0 2010.04.29 -
eTrust-Vet 35.2.7462 2010.04.30 -
F-Prot 4.5.1.85 2010.04.30 -
F-Secure 9.0.15370.0 2010.05.01 -
Fortinet 4.0.14.0 2010.05.01 -
GData 21 2010.05.01 -
Ikarus T3.1.1.80.0 2010.05.01 -
Jiangmin 13.0.900 2010.05.01 -
Kaspersky 7.0.0.125 2010.05.01 -
McAfee 5.400.0.1158 2010.05.01 -
McAfee-GW-Edition 6.8.5 2010.05.01 -
Microsoft 1.5703 2010.05.01 -
NOD32 5077 2010.05.01 -
Norman 6.04.12 2010.05.01 -
nProtect 2010-05-01.01 2010.05.01 -
Panda 10.0.2.7 2010.05.01 -
PCTools 7.0.3.5 2010.05.01 -
Prevx 3.0 2010.05.01 -
Rising 22.45.04.03 2010.04.30 -
Sophos 4.53.0 2010.05.01 -
Sunbelt 6247 2010.05.01 -
Symantec 20091.2.0.41 2010.05.01 -
TheHacker 6.5.2.0.274 2010.04.30 -
TrendMicro 9.120.0.1004 2010.05.01 -
VBA32 3.12.12.4 2010.04.30 -
ViRobot 2010.5.1.2299 2010.05.01 -
VirusBuster 5.0.27.0 2010.05.01 -
Information additionnelle
File size: 54 bytes
MD5 : fea9182683d2b5034c6baf8854b17059
SHA1 : 7732d9e56d781d9ba0b23fa6f83b780c7f4a89c3
SHA256: c37a05b38bed23c570903ea759c6c1c7a5a9fd2ce0626191ab9308e0fc45fde3
TrID : File type identification
file seems to be plain text/ASCII (0.0%)
ssdeep: 3:2EdKLEmuEMn8Luv:Xxmurn8qv
sigcheck: publisher....: n/a
copyright....: n/a
product......: n/a
description..: n/a
original name: n/a
internal name: n/a
file version.: n/a
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned
PEiD : -
RDS : NSRL Reference Data Set
-

Oui mais il ne me télécharge aucun fichier txt. Donc j'ai pensé que copier coller ce qu'il y a sur le site suffirait. J'ai voulu désactivé/activé tout ce que tu ma dit de faire à propos des dossier mais c'était déjà comme ça donc aucun changement.

vu

as tu fais Virus Total ?

Voici le fichier de The Avenger:

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

File move operation "c:\truc.bak|c:\windows\system32\drivers\atapi.sys" completed successfully.

Completed script processing.

*******************

Finished! Terminate.

ok

1)

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ce fichier :

c:\windows\system32\bd2070n.dat

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse.

Si tu ne trouves pas le fichier alors

Affiche tous les fichiers et dossiers :

Pour cela :
Clique sur démarrer/panneau de configuration/option des dossiers/affichage

Cocher afficher les dossiers cachés

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"

Décocher masquer les extensions dont le type est connu

Puis fais «appliquer» pour valider les changements.

Et OK

.........................................

2)

ouvre l'explorateur Windows, cherche

C:\WINDOWS\SoftwareDistribution\Download\327771f7f3830b5acec68906a2aac4ab\atapi.sys

clic droit dessus et Copier

mets toi dans C:\ et clic droit et Coller.

Clix droit sur le nouveau fichier et Renommer.

Tu l'appelles truc.bak

Tu ignores l'alerte.

===

1. Télécharge The Avenger par Swandog46 sur le Bureau

http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/

Clique sur Avenger.zip pour ouvrir le fichier
Extraire avenger.exe sur le bureau

2. Copier tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C):

Begin copying here:

Files to move:
c:\truc.bak | c:\windows\system32\drivers\atapi.sys

IMPORTANT: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.

Ferme toutes les applications et ton navigateur

3. Maintenant, lance The Avenger en cliquant sur son icône du bureau.

Vérifie que la case devant "Automatically disable any rootkits found" n'est pas cochée.

Cclique sur l'icone de droite (en rose et bleu). Le texte va se copier dans la fenêtre.

Clique sur Execute

4. The Avenger va automatiquement faire ce qui suit:

Il va Re-démarrer le système.
Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, ceci est NORMAL.
Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt
The Avenger aura également sauvegardé tous les fichiers, etc., que tu lui as demandé de supprimer, les aura compactés (zipped) et tranféré l'archive zip ici C:\avenger\backup.zip.

5. Pour finir copier/coller le contenu du ficher c:\avenger.txt dans ta réponse

rebonsoir, désolé j'ai mis du temps avant de répondre. Donc voici le compte rendu de combofix:
http://www.cijoint.fr/cjlink.php?file=cj201005/cijDxt4pK6.txt

Attention, avant de commencer, lit attentivement la procédure, et imprime la

Aide à l'utilisation
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Télécharge ComboFix de sUBs sur ton Bureau :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

/!\ Déconnecte-toi du net et DESACTIVES TOUTES LES DEFENSES, antivirus et antispyware y compris /!\

---> Double-clique sur ComboFix.exe
Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter

SURTOUT INSTALLES LA CONSOLE DE RECUPERATION
(si il te propose de l'installer remets provisoirement internet)

---> Mets-le en langue française F
Tape sur la touche 1 (Yes) pour démarrer le scan.

Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

Note : Le rapport se trouve également là : C:\ComboFix.txt

Et finalement list em que je t'envoie uploadé sur cijoint :
http://www.cijoint.fr/cjlink.php?file=cj201005/cij3RXXRp2.txt

Mbr:

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\ACPI -> 0x89812a90
NDIS: Atheros AR8121/AR8113/AR8114 PCI-E Ethernet Controller -> SendCompleteHandler -> 0x8824d5c0
Warning: possible MBR rootkit infection !
copy of MBR has been found in sector 0x01D1C4581
malicious code @ sector 0x01D1C4584 !
PE file found in sector at 0x01D1C459A !
MBR rootkit infection detected ! Use: "mbr.exe -f" to fix.
original MBR restored successfully !

Ok alors j'ai les trois rapports :
USB fix :

############################## | UsbFix V6.110 |

User : Chuckya (Administrateurs) # CHUCKYACOMP
Update on 29/04/2010 by El Desaparecido , C_XX & Chimay8
Start at: 16:37:31 | 01/05/2010
Website : http://pagesperso-orange.fr/NosTools/index.html
Contact : FindyKill.Contact@gmail.com

Processeur Intel Pentium III Xeon
Microsoft Windows XP Professionnel (5.1.2600 32-bit) # Service Pack 2
Internet Explorer 7.0.5730.13
Windows Firewall Status : Enabled
AV : AntiVir Desktop 10.0.1.43 [ (!) Disabled | (!) Outdated ]
AV : My Security Engine [ Enabled | Updated ]
FW : My Security Engine[ Enabled ]

A:\ -> Lecteur de disquettes 3 ½ pouces
C:\ -> Disque fixe local # 48,83 Go (33,43 Go free) # NTFS
D:\ -> Disque CD-ROM
E:\ -> Disque fixe local # 184,06 Go (93,04 Go free) [Chuckya E] # NTFS

################## | Elements infectieux |

Supprimé ! C:\Documents and Settings\Chuckya\vnc-4_1_3-x86_win32.exe
Supprimé ! C:\DOCUME~1\Chuckya\LOCALS~1\Temp\utt1E0.tmp.bat
Supprimé ! C:\Recycler\S-1-5-21-1229272821-838170752-725345543-1003
Supprimé ! E:\Recycler\S-1-5-21-1229272821-838170752-725345543-1003

################## | Registre |

Supprimé ! [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe]
Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoFind"
Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoRecentDocsHistory"
Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoRecentDocsMenu"
Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoResolveSearch"
Supprimé ! [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] "NoRun"

################## | Mountpoints2 |

Supprimé ! HKCU\...\Explorer\MountPoints2\{25e109f8-3919-11df-a7db-e7561cfa060f}\Shell\AutoRun\Command
Supprimé ! HKCU\...\Explorer\MountPoints2\{25e109f9-3919-11df-a7db-e7561cfa060f}\Shell\AutoRun\Command

################## | Listing des fichiers présent |

[24/04/2010 20:31|--a------|75] C:\adl
[20/04/2010 19:05|--a------|50] C:\AUTOEXEC.BAT
[28/03/2010 12:19|--a------|608256] C:\blackra1n.exe
[04/04/2010 15:19|--a------|9638] C:\blackra1n.log
[26/03/2010 22:36|--a------|784] C:\boot.ini
[06/09/2002 21:59|-rahs----|4952] C:\Bootfont.bin
[26/03/2010 22:36|-rahs----|293] C:\boot_OLD.ini
[04/08/2004 01:00|-r-hs----|263488] C:\cmldr
[26/03/2010 22:17|--a------|0] C:\CONFIG.SYS
[26/03/2010 22:17|-rahs----|0] C:\IO.SYS
[22/07/2008 15:01|--a------|73728] C:\lsremora.dll
[26/03/2010 22:17|-rahs----|0] C:\MSDOS.SYS
[04/08/2004 00:38|-rahs----|47564] C:\NTDETECT.COM
[04/08/2004 00:59|-rahs----|251712] C:\ntldr
[?|?|?] C:\pagefile.sys
[27/03/2010 01:38|--a------|522] C:\RHDSetup.log
[01/05/2010 16:38|--a------|2826] C:\UsbFix.txt
[26/03/2010 22:36|--a------|52] C:\XP_Version.txt

################## | Vaccination |

# C:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido).
# E:\autorun.inf -> Dossier créé par UsbFix (El Desaparecido).

################## | Upload |

Veuillez envoyer le fichier : C:\UsbFix_Upload_Me_CHUCKYACOMP.zip : https://www.ionos.fr/?affiliate_id=77097
Merci pour votre contribution .

################## | ! Fin du rapport # UsbFix V6.110 ! |

une infection par support usb, une infection mbr et probablement d'autres à vérifier

Je cherche beaucoup...et maintenant je trouve !
(sourire)

Ok Mais tu sais un peu près quel genre de Malware j'ai?