Registre Infecté Résolu

Question

Bonjour, 
Après avoir effectué une analyse : 
Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Version de la base de données: 3938

Windows 6.0.6002 Service Pack 2
Internet Explorer 7.0.6002.18005

12/06/2010 15:29:39
mbam-log-2010-06-12 (15-29-39).txt

Type d'examen: Examen complet (C:\|G:\|)
Elément(s) analysé(s): 339538
Temps écoulé: 1 heure(s), 47 minute(s), 47 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_CLASSES_ROOT\regfile\shell\open\command\(default) (Broken.OpenCommand) -> Bad: ("regedit.exe" "%1") Good: (regedit.exe "%1") -> No action taken.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Comment résoudre ce problème ?

Configuration: Windows Vista / Safari 533.4

lepurlensois62 · Answer

Ok !

En tout cas , merci beaucoup pour toutes cette aide ;)

Smart91 · Answer

Me voilà de retour, 

Va sur le lien ci-dessous et télécharge 
https://forum.pcastuces.com/default.asp 
et dans la case occurence tu mets: 
FSUSBEXDISK 
Tu coches exactement comme c'est indiqué dans le tuto 
Et tu postes le rapport. ne supprime pas le programme pour le moment.
Pour info cet outil va me permettre de connaitre la clé de registre utilisé par le programme. 

Smart   
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

lepurlensois62 · Answer

1. ========================= SEAF 1.0.0.7 - C_XX
2. 
3. Commencé à: 10:59:03 le 16/06/2010
4. 
5. Valeur(s) recherchée(s):
6. 
7. FSUSBEXDISK
8. 
9. (!) --- Informations supplémentaires
10. (!) --- Recherche registre
11. 
12. ====== Fichier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
13. 
14. "c:\Windows\System32\FsUsbExDisk.Sys" [ ----A---- | 36608 ]
15. TC: 06/11/2009,15:34:50 | TM: 31/03/2009,10:39:36 | DA: 06/11/2009,15:34:50
16. 
17. 
18. =========================
19. 
20. "c:\Program Files\Samsung\Samsung New PC Studio\FsUsbExDisk.sys" [ ----A---- | 36608 ]
21. TC: 31/03/2009,10:39:36 | TM: 31/03/2009,10:39:36 | DA: 06/11/2009,15:33:28
22. 
23. 
24. =========================
25. 
26. ====== Dossier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
27. 
28. Aucun dossier trouvé
29. 
30. 
31. ====== Entrée(s) du registre ======
32. 
33. 
34. 
35. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_FSUSBEXDISK\0000]
36. "DeviceDesc"="FsUsbExDisk"
37. 
38. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_FSUSBEXDISK\0000]
39. "Service"="FsUsbExDisk"
40. 
41. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_FSUSBEXDISK\0000\Control]
42. "ActiveService"="FsUsbExDisk"
43. 
44. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\FsUsbExDisk]
45. "DisplayName"="FsUsbExDisk"
46. 
47. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\FsUsbExDisk]
48. "ImagePath"="\??\C:\Windows\system32\FsUsbExDisk.SYS"
49. 
50. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\FsUsbExDisk\Enum]
51. "0"="Root\LEGACY_FSUSBEXDISK\0000"
52. 
53. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_FSUSBEXDISK\0000]
54. "DeviceDesc"="FsUsbExDisk"
55. 
56. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Enum\Root\LEGACY_FSUSBEXDISK\0000]
57. "Service"="FsUsbExDisk"
58. 
59. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\FsUsbExDisk]
60. "DisplayName"="FsUsbExDisk"
61. 
62. [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\FsUsbExDisk]
63. "ImagePath"="\??\C:\Windows\system32\FsUsbExDisk.SYS"
64. 
65. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_FSUSBEXDISK\0000]
66. "DeviceDesc"="FsUsbExDisk"
67. 
68. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_FSUSBEXDISK\0000]
69. "Service"="FsUsbExDisk"
70. 
71. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_FSUSBEXDISK\0000\Control]
72. "ActiveService"="FsUsbExDisk"
73. 
74. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\FsUsbExDisk]
75. "DisplayName"="FsUsbExDisk"
76. 
77. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\FsUsbExDisk]
78. "ImagePath"="\??\C:\Windows\system32\FsUsbExDisk.SYS"
79. 
80. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\FsUsbExDisk\Enum]
81. "0"="Root\LEGACY_FSUSBEXDISK\0000"
82. 
83. =========================
84. 
85. Fin à: 11:05:41 le 16/06/2010 ( E.O.F )

Smart91 · Answer

- Télécharge OTM (OldTimer) sur ton Bureau ==> http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/ 
- Clique droit sur "OTMoveIt3.exe" et choisis "exécuter en tant qu'administrateur" afin de le lancer. 
- Copie (Ctrl+C) le texte suivant en gras ci-dessous : 

---------------------------------------------------------------------------------

:reg
[-HKCU\Software\LdShih] 
[-HKCU\Software\Cote dAzur Palace Casino] 
[-HKLM\Software\Dealio] 

:commands 
[emptytemp] 
[Reboot] 

----------------------------------------------------------------------------------


- Colle (Ctrl+V) le texte précédemment copié dans le cadre:  Paste Instructions for Items to be Moved. 

- Clique maintenant sur le bouton MoveIt! 

Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer. 
Accepte en cliquant sur YES. 

- Poste le rapport situé dans ce dossier : C:\_OTMoveIt\MovedFiles\ 
Le nom du rapport correspond au moment de sa création : date_heure.log

Smart

lepurlensois62 · Answer

All processes killed
========== REGISTRY ==========
Registry key HKEY_CURRENT_USER\Software\LdShih\ not found.
Registry key HKEY_CURRENT_USER\Software\Cote dAzur Palace Casino\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Dealio\ deleted successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes
->Flash cache emptied: 41 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: Guillaume
->Temp folder emptied: 5774824 bytes
->Temporary Internet Files folder emptied: 1582637 bytes
->Java cache emptied: 74342566 bytes
->FireFox cache emptied: 34346361 bytes
->Google Chrome cache emptied: 260624592 bytes
->Flash cache emptied: 11393 bytes
 
User: Public
->Temp folder emptied: 0 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 4468 bytes
%systemroot%\system32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 82639 bytes
%systemroot%\system32\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment folder emptied: 320 bytes
RecycleBin emptied: 406104379 bytes
 
Total Files Cleaned = 747,00 mb
 
 
OTM by OldTimer - Version 3.1.12.2 log created on 06162010_210109

Files moved on Reboot...
C:\Users\Guillaume\AppData\Local\Temp\ehmsas.txt moved successfully.

Registry entries deleted on Reboot...

Smart91 · Answer

Le PC a-t-il bien redémarré, sinon fais le.

Ensuite refais un scan ZHPDiag et poste le rapport

Smart

lepurlensois62 · Answer

http://www.cijoint.fr/cjlink.php?file=cj201006/cijTSSGNUO.txt

Smart91 · Answer

Il ne reste pas des choses très graves. Mais bon par acquit de conscience:

/!\ Utilisateurs de Vista et Windows 7 : Ne pas oublier de désactiver l'UAC juste le temps de désinfection de ton pc, il sera à réactiver plus tard :
Pour Vista : https://www.commentcamarche.net/faq/8343-vista-desactiver-l-uac
Pour Windows 7: https://www.androidworld.fr/

- Rends-toi à cette adresse afin de télécharger AD-Remover (créé par C_XX) : https://www.androidworld.fr/
- Clique sur [gras>TÉLÉCHARGER</gras> et enregistre-le sur ton bureau.
- Déconnecte toi et ferme toutes les applications en cours
- Double clique sur le fichier d'installation de AD-Remover, le programme s'installera automatiquement.
- Au menu principal choisi l'option "Nettoyage" et tape sur [entrée] .
- Laisse travailler l'outil et ne touche à rien ...
- Poste le rapport qui apparait à la fin. (Le rapport est sauvegardé aussi sous C:\Ad-report.log)
(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Note :
Process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

Smart

lepurlensois62 · Answer

======= RAPPORT D'AD-REMOVER 2.0.0.1,C | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 16/06/10 à 23:10
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 11:48:28 le 17/06/2010, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium  Service Pack 2 (X86) 
Guillaume, PC-DE-GUILLAUME (Hewlett-Packard Compaq Presario F700 Notebook PC) 
 
============== ACTION(S) ==============


0,Fichier supprimé: C:\Windows\system32\wbem\Performance\WmiApRpl_new.ini

(!) -- Fichiers temporaires supprimés.


0,Clé supprimée: HKLM\Software\Viewpoint
0,Clé supprimée: HKLM\Software\Microsoft\Active Setup\Installed Components\{03F998B2-0E00-11D3-A498-00104B6EB52E}
0,Clé supprimée: HKLM\Software\Microsoft\Active Setup\Installed Components\{1B00725B-C455-4DE6-BFB6-AD540AD427CD}

0,Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{E67C74F4-A00A-4F2C-9FEC-FD9DC004A67F}


============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.6.3 (fr)] **

-- C:\Users\Guillaume\AppData\Roaming\Mozilla\FireFox\Profiles\y7ratk3l.default\Prefs.js --
browser.download.dir, C:\Users\Guillaume\Downloads
browser.download.lastDir, C:\Users\Guillaume\Desktop
browser.search.defaultenginename, Yahoo! Search
browser.search.selectedEngine, Google
browser.startup.homepage_override.mstone, rv:1.9.2.3
keyword.URL, hxxp://fr.search.yahoo.com/search?ei=utf-8&fr=megaup&p=

========================================

** Internet Explorer Version [7.0.6002.18005] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 2 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 16 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 17/06/2010 (2807 Octet(s)) 

Fin à: 11:53:44, 17/06/2010 
 
============== E.O.F ==============

Smart91 · Answer

Pour moi ton PC est clean, à part Cote dAzur Palace Casino qui revient à chaque fois.

Est-ce que tu as toujours le pb avec le CD ?
Autre question, est-ce  que tu utilises et as-tu besoin de ce logiciel :
Samsung New PC Studio

Smart

lepurlensois62 · Answer

Oui le problème est toujours là !

Samsung New Pc studio : Euh je l'utilise rarement ! C'est pour transferer des données de mon portable au PC

Smart91 · Answer

On va essayé une dernière chose:
 Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore le et désactive le temporairement.
- Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
-  Double clique sur le raccourci UsbFix sur ton Bureau, l'installation se fera automatiquement
-Clique sur "Recherche"
- Laisse travailler l'outil
- A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

Smart

lepurlensois62 · Answer

############################## | UsbFix 7.011 | [Recherche]

Utilisateur: Guillaume (Administrateur) # PC-DE-GUILLAUME [Hewlett-Packard Compaq Presario F700 Notebook PC]
Mis à jour le 17/06/2010 par El Desaparecido / C_XX
Lancé à 16:08:16 | 17/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: AMD Athlon(tm) 64 X2 Dual-Core Processor TK-53
CPU 2: AMD Athlon(tm) 64 X2 Dual-Core Processor TK-53
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 32-Bit) # Service Pack 2
Internet Explorer 7.0.6002.18005

Pare-feu Windows: Activé
RAM -> 3006 Mo 
C:\ (%systemdrive%) -> Disque fixe # 100 Go (23 Go libre(s) - 23%) [] # NTFS
D:\ -> Disque fixe # 12 Go (2 Go libre(s) - 15%) [PRESARIO_RP] # NTFS
E:\ -> CD-ROM
F:\ -> CD-ROM
G:\ -> Disque fixe # 931 Go (612 Go libre(s) - 66%) [DD GUILLAUM] # FAT32

################## | Éléments infectieux |

Présent! F:\Autorun.inf
Présent! C:\$Recycle.Bin\S-1-5-21-2792019498-127276021-3321234263-1000
Présent! D:\$Recycle.Bin\S-1-5-21-2792019498-127276021-3321234263-1000

################## | Registre |

Présent! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools
Présent! HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives
Présent! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoDrives

################## | Mountpoints2 |


################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |

Smart91 · Answer

On va faire le nettoyage et la vaccination:
- Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
-  Double clique sur le raccourci UsbFix sur ton Bureau
- Clique sur "Suppression"
- Laisse travailler l'outil
- Ton Bureau va disparaitre puis l'ordinateur va redémarrer : c'est normal
- A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

/!\UsbFix te proposera d'envoyer un dossier compressé à cette adresse. Ce dossier a été créé par UsbFix sur ton Bureau. Merci de l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches. Une fois sur le site, il faut sélectionner "UsbFix" dans le menu déroulant. Merci d'avance pour ta contribution !

Smart

lepurlensois62 · Answer

Smart91 · Answer

"Non supprimé ! F:\Autorun.inf "

Cela veut dire qu'un de tes CD est infecté
Mais normalement tes disques et ta clé sont vaccinés.
Est-ce que tu as toujour le même problème ?

Smart

lepurlensois62 · Answer

Oui toujours et encore ce problème ! 
Je pense que le problème ne vient pas des cd car même avec des cd gravés sur un autre pc le problème est toujours là ! 
C'est possible que le problème vient du lecteur ?
Je ne crois pas car sur un autre pc , mon cd ne fonctionne pas non plus ! le pc ne plante pas mais la copie ne va pas jusqu'au bout :s !! 
En tout cas merci pour le temps que tu me consacres :s

lepurlensois62 · Answer

Je viens de mettre un dvd dans mon lecteur ! je fais "explorer" ! l'explorateur ne plante pas :s !! Donc le problème vient de film téléchargés car avec des musiques téléchargées , aucun problème et ensuite avec mes vidéos ou photos , aucun problème aussi !! Est ce possible qu'une MAJ ai eu lieu sous vista qui empêche de lire des films dl gravés ?

Smart91 · Answer

"En tout cas merci pour le temps que tu me consacres"

No problem. Mais je n'aime pas ne pas résoudre un problème, mais là, j'avoue, je ne sais plus quoi faire.
Pour moi le PC n'est plus infecté, je ne vois pas d'où cela peut venir.
Je ne serai pas là pendant 3 jours. De toute façon si j'ai une idée ou un conseil d'un plus compétent que moi je te ferai signe

Smart

lepurlensois62 · Answer

Ok d'accord merci !
Sinon tu penses qu'un formatage peut résoudre le problème ?

Registre Infecté

40 réponses

Discussions similaires

Newsletters