Virus Win32/Alureon.H

salut

tu peux desinstaller ton firefox (le 1er) et installer la version 3
http://download.cdn.mozilla.net/pub/firefox/releases/3.6.3/win32/fr/Firefox%20Setup%203.6.3.exe

puis

* Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag)
(Sous Vista ou 7, en faisant un clic droit en tant qu'administrateur)
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
* Copie/colle les lignes suivantes et place les dans ZHPFix :

[HKCU\Software\?? ?? ???? ????? ??? ?? ????]
O44 - LFC:[MD5.F1FBA6185A6A2BC6456970914875078E] - 16/05/2010 - 12:24:11 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\PEV.exe [256512]
O64 - Services: CurCS - (.not file.) - pxtdypow (pxtdypow) .(.Pas de propriétaire - Pas de description.) - LEGACY_PXTDYPOW
O64 - Services: CurCS - (.not file.) - pxtdypow (pxtdypow) .(.Pas de propriétaire - Pas de description.) - LEGACY_PXTDYPOW
MBRFix

* Ok
* Clique sur « Tous », puis sur « Nettoyer »
* Copie/colle la totalité du rapport dans ta prochaine réponse

puis

Sous VISTA

==> Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection):
https://www.androidworld.fr/

* Va dans démarrer puis panneau de configuration
* Double Clique sur l'icône "Comptes d'utilisateurs"
* Clique ensuite sur désactiver et valide.

---------------------------------------------------------------------------------

Pour supprimer toutes les traces des logiciels qui ont servi à traiter les infections spécifiques :

* Télécharge Toolscleaner sur ton Bureau
https://www.commentcamarche.net/telecharger/securite/22061-toolscleaner/
* Double-clique sur ToolsCleaner2.exe et laisse le travailler
* Clique sur Recherche et laisse le scan se terminer.
* Clique sur Suppression pour finaliser.
* Tu peux, si tu le souhaites, te servir des Options facultatives.
* Clique sur Quitter, pour que le rapport puisse se créer.
* Le rapport (TCleaner.txt) se trouve à la racine de votre disque dur (C:\)...colle le dans ta prochaine réponse

puis

verfie la vulnerabilité de windows et aussi d'autre produits, tu desinstalle les ancienne version des logiciels que tu dois mettre a jour

- Soit par le biais de ce site internet il faut installer l'active X puis
clic start scan et le site montre d'une croix rouge les faille de
sécurité pour quelques produits important installé sur le PC comme
java, IE, windows, flashplayer, adobe...les + importantes
https://www.flexera.com/products/operations/software-vulnerability-management.html

- Soit on peut aussi passer par un logiciel a installer qui scan le PC et
affiche TOUTES les mises a jour des logiciels et produits installé sur
le PC
https://filehippo.com/windows/tuning-utilities/

puis purge ta restauration avec sa https://www.commentcamarche.net/faq/5097-virus-system-volume-information
puis creer un point de restauration sain avec sa https://www.commentcamarche.net/informatique/windows/147-restaurer-windows-avec-les-points-de-restauration/

pour eviter ce genre de probleme, arrete emule, limewire (poubelle a virus) et autres P2P qui propage la plupart des virus

apres sa retante une manip chkdsk et sfc des fois que, desoler je ne puis plus t'aider cela doit peut etre venir de la reparation de windows

@+

Salut plopus,

Le rapport ZHPdiag:
http://www.cijoint.fr/cj201005/cijVpF36m4.txt

Mais franchement, ne te prends pas la tête. S'il n'y a rien à faire, y a rien à faire !!!! T'en as fait déjà beaucoup et je te remercie encore une fois.

salut

bon je commence a etre pessimiste pour ce mode sans echec :(

peut tu heberger un nouveau rapport ZHPdiag pour voir si il y a evolutions ou non

oki,

refait un scan GMER stp et poste le rapport

puis un scan rapide avec MBAM en ayant fait une mise a jour avec avant
et retente le MSE

C'est fait.
Voilà le rapport combofix:
http://www.cijoint.fr/cj201005/cijljMLblG.txt
Et le rapport ZHPdiag:
http://www.cijoint.fr/cj201005/cijPQmkF6c.txt

Oui oui j'ai désinstallé microsoft one care au profit d'antivir.

CHKDSK effectué
Concernant sfc /scannow, toujours le même problème. La commande me réclame le cd windows XP SP3 que je n'ai pas. Je n'ai que le cd d'installation de windows media center et il ne me le prend pas.

Dossier C:\JB1:
- fichier "CF9492" (de type fichier fichier CFXXE)
- fichier dirRoot
- fichier errTrap1
- fichier ViPev02

Dossier C:\JB13727J:
http://www.cijoint.fr/cj201005/cijnTfPfuy.doc
(je t'ai fait des imprim écran car le dossier était volumineux).
Je viens de recevoir tes dernières instructions. Je passe à ces dernières ???

Voilà pour C:\WINDOWS\Tasks\WebReg 20080117122208.job
URL:
http://www.virustotal.com/fr/analisis/60ae4fa96525d12512ac332024872567bcedf2a0ba5a698819d33d3cb5c9c69d-1274695089
Rapport:
Fichier WebReg_20080117122208.job reçu le 2010.05.24 09:58:09 (UTC)
Situation actuelle: en cours de chargement ... mis en file d'attente en attente en cours d'analyse terminé NON TROUVE ARRETE

Résultat: 0/41 (0%)
en train de charger les informations du serveur...
Votre fichier est dans la file d'attente, en position: ___.
L'heure estimée de démarrage est entre ___ et ___ .
Ne fermez pas la fenêtre avant la fin de l'analyse.
L'analyseur qui traitait votre fichier est actuellement stoppé, nous allons attendre quelques secondes pour tenter de récupérer vos résultats.
Si vous attendez depuis plus de cinq minutes, vous devez renvoyer votre fichier.
Votre fichier est, en ce moment, en cours d'analyse par VirusTotal,
les résultats seront affichés au fur et à mesure de leur génération.
Formaté Impression des résultats Votre fichier a expiré ou n'existe pas.
Le service est en ce moment, stoppé, votre fichier attend d'être analysé (position : ) depuis une durée indéfinie.
Vous pouvez attendre une réponse du Web (re-chargement automatique) ou taper votre e-mail dans le formulaire ci-dessous et cliquer "Demande" pour que le système vous envoie une notification quand l'analyse sera terminée. Email:

Antivirus Version Dernière mise à jour Résultat
a-squared 4.5.0.50 2010.05.10 -
AhnLab-V3 2010.05.23.00 2010.05.22 -
AntiVir 8.2.1.242 2010.05.23 -
Antiy-AVL 2.0.3.7 2010.05.24 -
Authentium 5.2.0.5 2010.05.23 -
Avast 4.8.1351.0 2010.05.23 -
Avast5 5.0.332.0 2010.05.23 -
AVG 9.0.0.787 2010.05.23 -
BitDefender 7.2 2010.05.24 -
CAT-QuickHeal 10.00 2010.05.24 -
ClamAV 0.96.0.3-git 2010.05.22 -
Comodo 4930 2010.05.24 -
DrWeb 5.0.2.03300 2010.05.24 -
eSafe 7.0.17.0 2010.05.23 -
eTrust-Vet 35.2.7506 2010.05.24 -
F-Prot 4.6.0.103 2010.05.23 -
F-Secure 9.0.15370.0 2010.05.24 -
Fortinet 4.1.133.0 2010.05.23 -
GData 21 2010.05.24 -
Ikarus T3.1.1.84.0 2010.05.24 -
Jiangmin 13.0.900 2010.05.22 -
Kaspersky 7.0.0.125 2010.05.24 -
McAfee 5.400.0.1158 2010.05.24 -
McAfee-GW-Edition 2010.1 2010.05.23 -
Microsoft 1.5802 2010.05.24 -
NOD32 5139 2010.05.23 -
Norman 6.04.12 2010.05.23 -
nProtect 2010-05-23.01 2010.05.23 -
Panda 10.0.2.7 2010.05.23 -
PCTools 7.0.3.5 2010.05.24 -
Prevx 3.0 2010.05.24 -
Rising 22.49.00.03 2010.05.24 -
Sophos 4.53.0 2010.05.24 -
Sunbelt 6346 2010.05.24 -
Symantec 20101.1.0.89 2010.05.24 -
TheHacker 6.5.2.0.286 2010.05.24 -
TrendMicro 9.120.0.1004 2010.05.24 -
TrendMicro-HouseCall 9.120.0.1004 2010.05.24 -
VBA32 3.12.12.5 2010.05.22 -
ViRobot 2010.5.20.2326 2010.05.24 -
VirusBuster 5.0.27.0 2010.05.23 -
Information additionnelle
File size: 408 bytes
MD5...: 558a6794ce03d7d3c7b28c9a51e5c1e7
SHA1..: 541122cb322471e3612548c428bb5220f5d5f588
SHA256: 60ae4fa96525d12512ac332024872567bcedf2a0ba5a698819d33d3cb5c9c69d
ssdeep: 6:D/MAl6tKzbdlrgUiElREYW6fslIPcUSp6ttOalml8Cglpxn67l/1:DDbzbdpZi
MUqslIvJblmKCglPn67P

PEiD..: -
PEInfo: -
RDS...: NSRL Reference Data Set
-
pdfid.: -
trid..: Unknown!
sigcheck:
publisher....: n/a
copyright....: n/a
product......: n/a
description..: n/a
original name: n/a
internal name: n/a
file version.: n/a
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned

salut

- clic ici https://www.virustotal.com/gui/
- clic sur parcourir en milieu de page
- dans la nouvelle fenetre copie colle la (les) ligne a analyser une par une :

C:\WINDOWS\Tasks\WebReg 20080117122208.job

C:\Documents and Settings\All Users\Application Data\Microsoft\OneCare Protection\Definition Updates\{F075AB95-0729-4E7B-AEEA-08A6B5CA994D}\MpKsl0a072260.sys

- clic sur ouvrir
- clic sur envoyer, un rappport va s'etablir
SI ON TE DIT le fichier a deja ete analyser clic sur réanalyser
et copie colle le rapport ici + l' URL du rapport (adresse internet)

puis

* Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag)
(Sous Vista ou 7, en faisant un clic droit en tant qu'administrateur)
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
* Copie/colle les lignes suivantes et place les dans ZHPFix :

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified
[HKCU\Software\LdShih]
[HKCU\Software\?? ?? ???? ????? ??? ?? ????]
O53 - SMSR:HKLM\...\startupreg\MSKDetectorExe [Key] . (.McAfee, Inc. - McAfee SpamKiller Account Detector.) -- C:\Program Files\McAfee\SpamKiller\MSKDetct.exe

* Ok
* Clique sur « Tous », puis sur « Nettoyer »
* Copie/colle la totalité du rapport dans ta prochaine réponse

puis refapsse un coup de CCleaner regsitre compris

puis refait un CHKDSK et un sfc

Toujours pas de mode sans échec. Mais, j'ai failli y croire ce coup ci car le PC a mis plus de temps à rebooter. Une fenêtre est apparue 1 seconde pour vraissemblement m'informer du reboot. Je n'ai pas eu le temps de la lire.
Et voilà le rapport ZHPdiag:
http://www.cijoint.fr/cj201005/cijCFwovUa.txt

Voilà le rapport combofix:
http://www.cijoint.fr/cjlink.php?file=cj201005/cijHeirr3V.txt
Dis moi si je me suis pas planté dans l'insertion du fichier CFScript.txt car je n'ai pas eu à taper 1 comme tu me l'indiquais.

essaye de faire ce qui suit assez vite pour pas les rootkits te rajoute encore des choses

va dans demarrer/panneau de config/desinstaller un programme et desintalle :

J2SE Runtime Environment 5.0 Update 10 - (.Sun Microsystems, Inc..) [HKLM]
J2SE Runtime Environment 5.0 Update 6 - (.Sun Microsystems, Inc..) [HKLM]
Java 6 Update 7

+ les logiciels que tu n'uilise plus mais pas ce que tu connais pas, pour gagner de la place car tu en a bientot plus sur C:

ensuite

Crée un fichier avec le bloc-note, clic droit sur le bureau et choisit nouveau/document texte
tu NOMME le fichier CFscript
copie colle le contenu ci-dessous a l'interieur du fichier texte (blocnote) :

copie tous ce qui ce trouve dans le lien
http://www.cijoint.fr/cj201005/cijMoh5mWW.txt

Sauvegarde bien le fichier avec le nom suivant : CFScript.txt
Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe (que tu a renommer)
tu reste clic dessus le fichier Cfscript et tu le depose sur l'icone de combofix renommé

Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.
Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
Une fois le scan achevé, un rapport va s'afficher: poste son contenu.

puis

- Telecharge et installe CCleaner
https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/
- une fois installer, lance le
- va dans option/avancé et decoche la 1er ligne
- et nettoie plusieurs fois dans les onglets regsitre et nettoyeur jusqu' a trouver 0erreur

et ensuite installe la derniere version de java https://www.java.com/fr/download/linux_manual.jsp

apres sa teste le mode sans echec et reposte un NOUVEAU ZHPdiag

Voilà le rapport TCleaner:
http://www.cijoint.fr/cjlink.php?file=cj201005/cijWVEcVTI.txt

bon ok, je comprends mieux le pourqu'oi du comment

tu es encore bien infecter !!

supprilme tes cracks et keygen car l'infection ce relance sans cesse

fait sa :

Pour supprimer toutes les traces des logiciels qui ont servi à traiter les infections spécifiques :

* Télécharge Toolscleaner sur ton Bureau
https://www.commentcamarche.net/telecharger/securite/22061-toolscleaner/
* Double-clique sur ToolsCleaner2.exe et laisse le travailler
* Clique sur Recherche et laisse le scan se terminer.
* Clique sur Suppression pour finaliser.
* Tu peux, si tu le souhaites, te servir des Options facultatives.
* Clique sur Quitter, pour que le rapport puisse se créer.
* Le rapport (TCleaner.txt) se trouve à la racine de votre disque dur (C:\)...colle le dans ta prochaine réponse

puis tu devras retelecharger les outils c'est normal

desactive ton antivirus et TOUTES tes protections

clic droit sur l'url ci dessous et choisit enregistré la cible du lien sous
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

tu choisit l'emplacement du BUREAU et tu RENOMME le fichier en ton prenom par exemple

puis lance combofix, suit les indications, il te sera demander d'installer la console de recuperation, fait le puis
DEBRANCHE LE CABLE INTERNET ou la wifi et poursuit la recherche des nuisibles

une fois le scan fait enregsitre le rapport et poste le ici dans ta prochaine reponse

mouais, bon la je commence a caler :-/

peut tu me poster un nouveau ZHPdiag, stp pour que 'lon verif un trcu ensemble et te faire faire une manip

Salut,

Je tente de démarrer en mode sans échec normal. J'ai effectivement tenté le mode sans échec avec prise en charge réseau. Mais, cela ne donne rien non plus.

Voilà le contenu du journal d'évènement:
Nom Type Description Taille
Application Journal Enregistrements d'erreurs d'application 64,0 Ko
Sécurité Journal Enregistrements d'audits de sécurité 64,0 Ko
Système Journal Enregistrements d'erreurs système 512,0 Ko
ACEEventLog Journal Enregistrements d'erreurs de journal personnalisé --
Canal+ Journal Enregistrements d'erreurs de journal personnalisé 64,0 Ko
Internet Explorer Journal Enregistrements d'erreurs de journal personnalisé --
Media Center Journal Enregistrements d'erreurs de journal personnalisé 64,0 Ko

Le contenu du journal d'application:
Type Date Heure Source Catégorie Événement Utilisateur Ordinateur
Informations 23/05/2010 11:01:56 gupdate Aucun 0 N/A JB
Informations 23/05/2010 11:01:51 EAPOL Aucun 2002 N/A JB
Informations 23/05/2010 11:01:51 EAPOL Aucun 2003 N/A JB
Informations 23/05/2010 11:01:34 SecurityCenter Aucun 1800 N/A JB
Informations 23/05/2010 11:01:24 Avira AntiVir AntiVir 4096 SYSTEM JB
Informations 23/05/2010 11:01:20 RegSrvc Aucun 0 N/A JB
Informations 23/05/2010 11:01:18 gupdate Aucun 0 N/A JB
Informations 23/05/2010 11:01:17 Bonjour Service Aucun 1 N/A JB
Informations 23/05/2010 11:01:11 EvtEng Aucun 0 N/A JB

Le contenu du journal sécurité:
Type Date Heure Source Catégorie Événement Utilisateur Ordinateur
Audit des succès 25/12/2006 11:44:29 Security Événements système 517 SYSTEM JB

Le contenu du journal système:
http://www.cijoint.fr/cjlink.php?file=cj201005/cijR8SUD6O.txt

Et le ntbtlog.txt (qui est toujours aussi long, pourtant j'ai fait ce que tu m'indiquais)
http://www.cijoint.fr/cjlink.php?file=cj201005/cijSlRUwrP.txt

salut

quand tu essaye de demarrer en mode sans echec tu choisit mode sans echec tout court ou avec prise en charge du reseau ?

essaye sa :

* Ouvrir l'Observ. : commande eventvwr
* Sélectionner le journal applications (en le cliquant)
* Dans la barre d'outil de l'observateur, il clique sur l'icône Propriétés (ça ouvre les properties de l'appli)
* Onglet général / Effacer le journal

ensuite refait l'etape avec le log %systemroot%\ntbtlog.txt

mais une fois que tu effacer le journal, tu refait l'etape avec le ntbtlog.txt
et tu essaye de demarrer en MODE SANS ECHEC TOUT COURT et UNE SEUL FOIS

une fois fait poste le contenu du journal d'evenement + le ntbtlog.txt, pas apres avoir booter 15 fois.

Bon, oki

va sur ce site https://www.touslesdrivers.com/index.php?v_page=29

clic sur lancer detection, tu devras installer un active X, une fois fait, reclic sur lancer la detection patiente :

une nouvelle page va s'ouvrir avec une liste de materiel et dessous TOUS les dfrivers disponible, pour chaque categorie tu installe LE DERNIER DRIVER en DATE, car dans 1 meme categorie tu peux avoir 3 ou 4 mise a jour qui n'ont pas etait faite, tu installe qu'une, la derniere en date de sortie

Salut,

Voilà ce que cela a donné:

1- le fichier ntbtlog.txt n'existait pas. Je l'ai crée et sauvegardé comme me le proposait la commande windows.

2- le mode sans échec a encore foiré.

3- l'observateur d'évènement livre les infos suivantes:
- le fichier journal évènement/application est endommagé et ne peut s'ouvrir.
- dans le fichier journal évènement/système, j'ai trouvé les évènements suivants qui correspondent à l"heure à laquelle le PC a rebooté du mode sans échec:
* Le système a détecté que la carte réseau \DEVICE\TCPIP_{A06D4F50-737F-4A05-A62A-485F1A6BBC94} était déconnectée du réseau, et la configuration réseau de la carte a été abandonnée. Si la carte réseau n'était pas déconnectée, ceci peut indiquer un disfonctionnement. Contactez le fabricant pour des pilotes mis à jour.
* L'explorateur a forcé une élection sur le réseau \Device\NetBT_Tcpip_{A06D4F50-737F-4A05-A62A-485F1A6BBC94} car un maître explorateur a été arrêté.

4- Je te poste dans la réponse suivant le rapport rendu par %systemroot%\ntbtlog.txt

slt

* Démarrer en mode normal
* Touche Windows + Pause
* Onglet Avancé
* Bouton Rapport d'erreurs
* Cliquer Activer les rapports d'erreurs
* Cocher Système d'exploitation Windows
* Cocher Programmes
* Cliquer Choisir les programmes
* Cocher Tous les programmes
* Cocher Composants Windows
* Cocher Programmes de Microsoft
* Valider par OK les deux fenêtres
* Dans la frame Démarrage et récupération Cliquer sur Paramètres
* Dans la frame Défaillance du système
o Cocher Ecrire un événement dans le journal système
o Cocher Envoyer une alerter d'administration
o Décocher redémarrer automatiquement (comme ça il verra vite l'empleur du problème)
* Valider par OK toutes les fenêtres
* Cliquer Démarrer / Exécuter
* Saisir la commande

notepad %systemroot%\ntbtlog.txt

* Supprimer le contenu du ntbtlog.txt
* Sauvegarder le fichier vide
* Tenter un démarrage en mode sans échec
* Si ça foire redémarrer en mode normal et aller voir ce que dit l'observateur d'événements (Système / Application)
* Si pas d'information ouvrir le fichier :

%systemroot%\ntbtlog.txt

et copie colle toutes les info que tu as pu recup

tu as oui ou non ce dossier

C:\WINDOWS\ServicePackFiles\i386

tu as executer le 1er fichier .bat qui crée c:\i386

puis ensuite

tu telecharge le 2eme lien sur ton bureau, tu l'execute acceptte la fusion

et apres tu fait SFC.

c'est EXACTEMENT ce que tu as fait ?