Virus, analyse apres traitement personnel

Question

Bonjour,  


Hier soir, au cour de balades hasardeuses, j'ai été infecté en masse (plein de fenêtres, d'erreur, d'installation, de "votre pc est infecté, cliquez ici pour télécharger blablabla", ...). J'ai, je pense, complètement nettoyé mon pc mais j'aimerai être sur de cela, je dois par exemple utiliser en autre ma cb et je n'aimerai pas que cela finisse mal ! 

Voici exactement ce que j'ai fait : 

- nettoyage manuel des clé run de local user et machine dans le registre. 
  (actuellement clean) 

- nettoyage de msconfig. 
  (actuellement clean) 

- utilisation de l'antivirus Antivir. 
  (actuellement clean) 

- utilisation de spybot. 
  (actuellement clean) 

- utilisation de Ccleaner. 
  (actuellement clean) 

- utilisation de Hijackthis. 
  (actuellement clean) 

- utilisation de Sophos anti root kit. 
  (clean mais reste deux clé hiden dans le registre impossible a supprimer) 

- suppression d'un module IE a l'origine de pop de pub, fait a la barbare (suppression de tout dossiers contenant et de toute valeur dans le registre s'y rapportant) 

Tout ces outils émettaient pas mal de positif au début mais semble a présent ok. J'ai également trouvé lors de mes recherche des fichiers log contenant des informations comme des adresse visité apres infections et une multitude de code incompréhensible, je les ai simplement supprimé, quel sont les risques ?)  
Dans le doute, si quelqu'un pouvait me confirmer et / ou analyser la chose pour être sur que tout soit propre, je lui en serai extrêmement reconnaissant ^^ 

Voila, merci d'avance.


(ps : j'oubliais : systeme windows 7 enregistré et a jour, navigateurs a jour)

Utilisateur anonyme · Answer

Bonjour
On va faire un diagnostic du PC pour voir
* Télécharge ZHPDiag (de Nicolas Coolman)
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
Héberge le rapport ICI

Plop · Answer

Merci pour votre intervention, voici le rapport : http://www.cijoint.fr/cjlink.php?file=cj201006/cijPlxu3gH.txt

Utilisateur anonyme · Answer

Tu dois désactiver le TeaTimer de Spybot, car il va gêner les outils:
* Ouvre Spybot S&D
* Dans le menu Mode, séléctionne le mode avancé.
* Une fenêtre demande confirmation clique sur oui.
* Une fois le mode avancé actif, va dans l'onglet Outils.
* Clique sur Résident.
* La partie Résident comporte deux lignes qui sont normalement cochées :
=>Résident "SDHelper" (bloqueur de téléchargements nuisibles pour Internet Explorer) actif.
=>Résident "TeaTimer" (Protection des réglages système fondamentaux) actif
* Décoche la ligne TeaTimer.
* Redémarre Spybot (le fermer et le réouvrir)
* Retourne dans le menu Résident  et vérifie qu'il soit bien désactivé.


Télécharge UsbFix (de El Desaparecido, C_XX)  sur ton bureau­
https://www.ionos.fr/?affiliate_id=77097

# Clic droit sur UsbFix présent sur ton bureau, et clique sur  
exécuter en tant qu'administrateur, puis clique sur exécuter
 pour lancer l'installation qui se fera automatiquement

# Clique sur Suppression

# Branche toutes tes sources et données externes (clé USB, disque dur
externe...) sans les ouvrir sur ton PC, et clique sur OK

# La suppression est lancée. Le bureau va disparaitre, c'est normal

# Une fois le nettoyage terminé, le bureau va réapparaitre, et il se
pourrai que ton navigateur s'ouvre à la page d'upload de l'outil te
demandant d'envoyer le fichier UsbFix_Upload_Me

# Clique sur Parcourir pour aller chercher le fichier 
compressé qui se trouve à la racine du disque

# Dans le menu déroulant, sélectionne UsbFix, et clique sur Envoyer
le fichier

# Ensuite poste le rapport UsbFix.txt qui apparaitra avec le bureau .

# Le rapport UsbFix.txt est sauvegardé a la racine du disque.( C:\UsbFix.txt )

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Plop · Answer

Re bonjour,


J'ai du partir bosser hier et pas rallumer le pc depuis. Ce matin, je navigue en vitesse avec mon café, je visite 2 forum de reparation scooter et sur la page de recherche google, m'appretant a entrer sur un 3eme forum, alerte antivir ... je me croyais débarrassé ...

- Dans le fichier 'C:\Windows\SysWOW64\dkfphttp.exe'
un virus ou un programme indésirable 'TR/Agent.ked' [trojan] a été détecté.
Action exécutée : Refuser l'accès

- Dans le fichier 'C:\Users\Root\AppData\Roaming\B005BB3768324E212BDFB3AB5A3A8BE7\setupupdater0000.exe'
un virus ou un programme indésirable 'TR/Spy.1066496' [trojan] a été détecté.
Action exécutée : Refuser l'accès

Après une dizaine d'alerte a la suite, j'ai supprimé le premier uniquement.


Pour ce qui concerne UsbFix, je n'ai pour le moment pas de support de stockage sous la main (HD chez les parents et clé usb perdu ...).

J'ai donc executé l'outil sans dont voici le rapport :




############################## | UsbFix 7.006 | [Suppression]

Utilisateur: Root (Administrateur) # TERMINAL [Acer Aspire X3810]
Mis à jour le 07/06/10 par El Desaparecido / C_XX
Lancé à 06:05:56 | 10/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: Intel(R) Core(TM)2 Quad CPU Q8200 @ 2.33GHz
CPU 2: Intel(R) Core(TM)2 Quad CPU Q8200 @ 2.33GHz
Microsoft Windows 7 Édition Intégrale  (6.1.7600 64-Bit) # 
Internet Explorer 8.0.7600.16385

Pare-feu Windows: Activé

RAM -> 6143 Mo 
C:\ (%systemdrive%) -> Disque fixe # 50 Go (1 Go libre(s) - 3%) [] # NTFS
D:\ -> Disque fixe # 339 Go (267 Go libre(s) - 79%) [ACER] # NTFS
E:\ -> Disque fixe # 289 Go (200 Go libre(s) - 69%) [] # NTFS
F:\ -> CD-ROM
G:\ -> CD-ROM

################## | Éléments infectieux |

Supprimé! C:\$Recycle.Bin\S-1-5-21-1287859500-1086115341-159484589-1001
Supprimé! D:\$Recycle.Bin\S-1-5-21-1287859500-1086115341-159484589-1001
Supprimé! D:\$Recycle.Bin\S-1-5-21-2948747653-3998238355-1587161964-500
Supprimé! D:\$Recycle.Bin\S-1-5-21-3285753246-719386732-2888185050-1000
Supprimé! E:\$Recycle.Bin\S-1-5-21-1287859500-1086115341-159484589-1001

################## | Registre |

Supprimé! HKCU\Software\Microsoft\Handle

################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{1220db54-cac6-11de-8408-001f16f08756}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{ad0caa71-9f86-11de-8474-806e6f6e6963}

################## | Listing |

[10/06/2010 - 06:08:47 | SHD ] 	C:\$Recycle.Bin
[02/01/2010 - 19:56:07 | D ] 	C:\AV_LOGS
[22/05/2010 - 20:09:04 | A | 1099] 	C:\colorbox.log
[14/07/2009 - 07:08:56 | SHD ] 	C:\Documents and Settings
[10/06/2010 - 05:46:21 | ASH | 4831186944] 	C:\hiberfil.sys
[12/10/2009 - 18:21:50 | D ] 	C:\Intel
[13/05/2010 - 08:31:14 | A | 17232350] 	C:\mcdbp.log
[10/06/2010 - 05:46:27 | ASH | 6441586688] 	C:\pagefile.sys
[14/07/2009 - 05:20:08 | D ] 	C:\PerfLogs
[13/05/2010 - 08:24:51 | RD ] 	C:\Program Files
[09/06/2010 - 16:01:15 | RD ] 	C:\Program Files (x86)
[31/03/2010 - 21:51:11 | HD ] 	C:\ProgramData
[12/09/2009 - 12:33:18 | SHD ] 	C:\Recovery
[09/06/2010 - 15:56:54 | SHD ] 	C:\System Volume Information
[10/06/2010 - 06:08:45 | D ] 	C:\UsbFix
[10/06/2010 - 06:08:49 | A | 2292] 	C:\UsbFix.txt
[12/09/2009 - 12:33:29 | RD ] 	C:\Users
[09/06/2010 - 14:07:27 | D ] 	C:\Windows
[10/06/2010 - 06:08:47 | SHD ] 	D:\$Recycle.Bin
[12/09/2009 - 10:13:15 | HD ] 	D:\ACER
[12/09/2009 - 08:15:01 | D ] 	D:\ACERNB
[10/05/2010 - 20:43:59 | A | 11047820] 	D:\Allods-EU_Francais.exe
[10/05/2010 - 21:32:29 | A | 2611342860] 	D:\allods-v6-francais_JeuxVideo.com_14531.zip
[22/12/2009 - 20:02:48 | D ] 	D:\AR3
[14/04/2009 - 02:26:52 | AD ] 	D:\Book
[12/09/2009 - 13:25:30 | SHD ] 	D:\Boot
[14/07/2009 - 03:38:58 | RASH | 383562] 	D:\bootmgr
[12/09/2009 - 13:25:31 | RASH | 8192] 	D:\BOOTSECT.BAK
[11/05/2010 - 07:59:46 | D ] 	D:\box
[02/12/2009 - 19:21:53 | D ] 	D:\C&C 3
[04/01/2010 - 13:23:16 | D ] 	D:\CLIPART
[06/01/2010 - 08:05:17 | D ] 	D:\Document Themes 12
[02/11/2006 - 17:42:17 | SHD ] 	D:\Documents and Settings
[14/04/2009 - 01:07:04 | D ] 	D:\Intel
[04/01/2010 - 13:20:59 | D ] 	D:\MEDIA
[14/04/2009 - 01:35:50 | RHD ] 	D:\MSOCache
[09/06/2010 - 06:37:47 | D ] 	D:\Office12
[21/01/2008 - 05:04:13 | D ] 	D:\PerfLogs
[12/09/2009 - 08:19:16 | RD ] 	D:\Program Files
[12/09/2009 - 08:29:43 | RD ] 	D:\Program Files (x86)
[12/09/2009 - 08:34:59 | HD ] 	D:\ProgramData
[12/09/2009 - 08:02:41 | A | 2637] 	D:\RHDSetup.log
[18/03/2010 - 09:26:29 | D ] 	D:\save hd
[01/11/2009 - 15:21:24 | D ] 	D:\seven
[04/01/2010 - 13:21:07 | D ] 	D:\Stationery
[12/09/2009 - 08:29:37 | SHD ] 	D:\System Volume Information
[04/01/2010 - 13:23:18 | D ] 	D:\Templates
[12/09/2009 - 08:12:59 | RD ] 	D:\Users
[12/09/2009 - 12:01:03 | D ] 	D:\Windows
[02/06/2010 - 23:25:57 | D ] 	D:\World of Warcraft
[10/06/2010 - 06:08:47 | SHD ] 	E:\$RECYCLE.BIN
[13/11/2009 - 13:23:26 | D ] 	E:\C&CGenerals_Zero hour
[13/11/2009 - 18:17:26 | D ] 	E:\Command & Conquer 3.Les guerres du Tiberium
[20/11/2009 - 22:06:55 | A | 8239804416] 	E:\Command and Conquer 3 - Les guerres du tiberium.iso
[27/11/2009 - 10:46:06 | A | 3984588800] 	E:\Command and Conquer 3 - Les guerres du tiberium.part1.rar
[27/11/2009 - 11:08:52 | A | 3984588800] 	E:\Command and Conquer 3 - Les guerres du tiberium.part2.rar
[27/11/2009 - 11:09:10 | A | 30997029] 	E:\Command and Conquer 3 - Les guerres du tiberium.part3.rar
[13/11/2009 - 13:26:32 | A | 230657236] 	E:\Command.And.Conquer.3.Kanes.Wrath.French.AddOn.Skullptura.rar
[13/11/2009 - 13:26:29 | A | 1707526914] 	E:\Command.And.Conquer.3.Kanes.Wrath.Full-Rip.Multi-6.Skullptura.rar
[30/03/2010 - 22:43:13 | D ] 	E:\Fake Webcam 5.1 + Serial [h33t] [SoftFullDownload]
[30/03/2010 - 23:51:05 | D ] 	E:\Fake Webcam 6.1 + Keygen
[01/11/2009 - 12:02:14 | D ] 	E:\Genesis Rising
[15/09/2009 - 17:07:12 | D ] 	E:\Jeux
[13/03/2009 - 22:59:17 | A | 5736566784] 	E:\rld-r3e1.iso
[27/12/2009 - 20:09:48 | D ] 	E:\save externe
[13/11/2009 - 19:52:11 | D ] 	E:\SCS
[08/11/2009 - 13:58:58 | D ] 	E:\simcity
[08/11/2009 - 13:05:50 | D ] 	E:\SimCity 4 Deluxe + Crack
[01/05/2010 - 15:10:04 | A | 4183228416] 	E:\Spore Complet fr.iso
[12/09/2009 - 12:26:59 | SHD ] 	E:\System Volume Information
[09/01/2010 - 13:39:19 | A | 3005054976] 	E:\Windows 2008 R2 incl CRACK! (Genuine).iso
[24/01/2010 - 21:47:18 | A | 465] 	E:\Windows 7 Key.txt
[30/10/2009 - 08:13:01 | D ] 	E:\World of Warcraft
[06/12/2009 - 15:22:24 | D ] 	E:\[PC-Rip English] Command And Conquer 3 Tiberium Wars Kane Ed. v1.02 Full Game by Skullptura

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
D:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
E:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_TERMINAL.zip
https://www.ionos.fr/?affiliate_id=77097
Merci de votre contribution.

################## | E.O.F |

Plop · Answer

J'ai, suite a la détection de ce matin, relancé un scan antivir et re positif ...

- objet : setupupdater000.exe TR/Spy.1066496 action : réparer
Le fichier 'C:\Users\Root\AppData\Roaming\B005BB3768324E212BDFB3AB5A3A8BE7\setupupdater0000.exe'
 contenait un virus ou un programme indésirable 'TR/Spy.1066496' [trojan].
Action(s) exécutée(s) :
Le fichier a été déplacé dans le répertoire de quarantaine sous le nom '4c8478c0.qua' !

Il s'agit donc du deuxieme positif precedement mentionné.

Utilisateur anonyme · Answer

* Lance ZHPFix (tu dois avoir un raccourci sur ton Bureau, sinon tu peux le lancer à partir de ZHPDiag). Pour le lancer, tu fait clic droit dessus, et sur
exécuter en tant qu'administrateur
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
* Copie/colle la ligne suivante et place la dans ZHPFix : 

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoActiveDesktopChanges: Modified     
O2 - BHO: wiseHelper Class - {BA794852-44E2-4eab-8F00-4A570B36CB27} . (.Pas de propriétaire - Pas de description.) -- (.not file.) 
O2 - BHO: (no name) - {DDA7D5D6-D573-E692-A945-D8764E11C8AB} . (.Pas de propriétaire - Pas de description.) -- (.not file.) 
[HKCU\Software\V71IQL7HI7]

* Clique sur « Tous », puis sur « Nettoyer »
* Copie/colle la totalité du rapport dans ta prochaine réponse

Plop · Answer

Re,

Operation effectué, voici le rapport :


ZHPFix v1.12.3104  by Nicolas Coolman - Rapport de suppression du 10/06/2010 16:00:49
Fichier d'export Registre : C:\ZHPExportRegistry-10-06-2010-16-00-49.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

Processus mémoire :
(Néant)

Module mémoire :
(Néant)

Clé du Registre :
O2 - BHO: wiseHelper Class - {BA794852-44E2-4eab-8F00-4A570B36CB27} . (.Pas de propriétaire - Pas de description.) -- (.not file.)  => Clé supprimée avec succès
O2 - BHO: (no name) - {DDA7D5D6-D573-E692-A945-D8764E11C8AB} . (.Pas de propriétaire - Pas de description.) -- (.not file.)  => Clé supprimée avec succès
HKCU\Software\V71IQL7HI7  => Clé supprimée avec succès

Valeur du Registre :
(Néant)

Elément de données du Registre :
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoActiveDesktopChanges: Modified  => Donnée supprimée avec succès

Préférences navigateur :
(Néant)

Dossier :
(Néant)

Fichier :
(Néant)

Logiciel :
(Néant)

Script Registre :
(Néant)

Master Boot Record :
(Néant)

Autre :
(Néant)


Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 3
Valeur du Registre : 0
Elément de données du Registre : 1
Dossier : 0
Fichier : 0
Logiciel : 0
Master Boot Record : 0
Préférences navigateur : 0
Autre : 0


End of the scan

Utilisateur anonyme · Answer

On va nettoyer d'éventuelles traces d'infections avec Malwarebytes

Télécharge malwarebytes' anti-malware
https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/
Enregistre le sur le bureau
Double-clique sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation
Si la pare-feu demande l'autorisation de se connecter pour malwarebytes, accepte
Il va se mettre à jour une fois faite
Va dans l'onglet recherche
Sélectionne exécuter un examen complet
Clique sur rechercher
Le scan démarre
A la fin de l'analyse, le message s'affiche: L'examen s'est terminé normalement.
Clique sur afficher les résultats pour afficher les objets trouvés
Clique sur OK pour pousuivre
Si des malwares ont été détectés, cliquer sur afficher les résultats
Sélectionne tout (ou laisser coché)
Clique sur supprimer la sélection
Malwarebytes va détruire les fichiers et les clés de registre et en mettre une
copie dans la quarantaine
Malewarebytes va ouvrir le bloc-note et y copier le rapport
Redémarre le PC
Une fois redémarré, double-clique sur Malewarebytes
Va dans l'onglet rapport/log
Clique dessus pour l'afficher une fois affiché, cliquer sur édition en haut du
bloc-note puis sur sélectionner tout
Revient sur édition, puis sur copier et revient sur le forum et dans ta réponse
Clic droit dans le cadre de la réponse et coller

Plop · Answer

Re,

Voici le rapport :

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4188

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

11/06/2010 17:55:29
mbam-log-2010-06-11 (17-55-29).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 123853
Temps écoulé: 3 minute(s), 0 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 3
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\AppID\{38061edc-40bb-4618-a8da-e56353347e6d} (Adware.EZlife) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\{7b6a2552-e65b-4a9e-add4-c45577ffd8fd} (Adware.EZLife) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\AppDataLow\HavingFunOnline (Adware.BHO.FL) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\jswtepfqxhupea (Trojan.Agent) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Windows\System32\rkuxwhuoasoinjzxw.exe (Adware.Adrotator) -> Quarantined and deleted successfully.

Utilisateur anonyme · Answer

Bonjour
Vide la quarantaine de Malwarebytes
Toujours des alertes ?

Plop · Answer

Re bonjour,



Pour le moment non, plus d'alerte, je ferai quelques scan pour voir demain matin au cas ou, du reste ça devrai etre propre a present ?

En tout cas Merci beaucoup pour ce soutiens ^^

Utilisateur anonyme · Answer

Bonjour,
Tu feras un scan complet avec ton anti-virus

Virus, analyse apres traitement personnel

12 réponses

Discussions similaires

Newsletters