Virus ou pas virus ?

Résolu
vivelajamaique -  
Bonjour,

Il y a quelques temps j'ai eu un virus sur mon ordi que vous m'avez aidé à éradiquer. Et maintenant, j'ai des amis qui sont peut-être également infecté.
Au démarrage de l'ordi, il faut réparer le démarrage et il répète l'opération trois fois de suite avant que l'on puisse accéder enfin au bureau. ça peut durer 3/4 d'heure.
L'ordi fait plein de manip de restauration du système et l'écran fait des trucs bizarres du genre apparition de carrés bleus...
Mac affe ne veut plus se mettre à jour non plus et il dit qu'on est vulnérable

J'ai fait comme pour moi avec zhpdiag mais une fois que j'ai mis executé en tant qu'administrateur, il se referme tout de suite.
donc j'ai refais avec Hijackthis et voici le rapport : http://www.cijoint.fr/cjlink.php?file=cj201008/cijzPOD3bi.txt

Quelqu'un peut-il nous aider à nouveau ?
Merci d'avance

27 réponses

Résumé de la discussion

Le fil décrit une infection qui affecte Windows Vista, provoquant des erreurs au démarrage, des réparations répétées, des écrans bleus et une instabilité générale du système, avec un antivirus MacAfee bloqué. Plusieurs solutions et étapes ont été proposées: désactiver temporairement les protections, utiliser Ad-Remover, HijackThis, puis lancer Combofix et analyse zhpdiag pour nettoyer les résidus et restaurer la sécurité. D'autres échanges évoquent des comportements suspects des programmes, la nécessité de bloquer la restauration au démarrage, et la question de la fiabilité des outils libres utilisés. En cas de persistance après ces manipulations, l'épisode souligne aussi le risque de déconfiguration du système et l'importance d'un suivi méthodique, notamment concernant les mises à jour et la sécurité du navigateur.

Bobot (l’IA à votre service)
  2. vivelajamaique
    dsl de ne pas avoir repondu plutot, du coup comme rien ne fonctionner on a contacter le constructeur "Dell" et en fin de compte c'étais la carte graphique qui avait tous juste 4 mois qui étais défaillante, encore merci de votre aide a vous deux
    bonne soirée
    1. gen-hackman
      ok d'autant plus que c'est un fichier vital au systeme !! ^^

      à demain
      1. gen-hackman
        bonsoir

        ouvre l'explorateur Windows, cherche C:\Windows\System32\DriverStore\FileRepository\mshdc.inf_b12d8e84\atapi.sys

        clic droit et Copier

        mets toi dans C:\ et clic droit et Coller.

        Clix droit sur le nouveau fichier et Renommer.

        Tu l'appelles truc.bak

        Tu ignores l'alerte.

        ===

        1. Télécharge The Avenger par Swandog46 sur le Bureau

        http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/

        Clique sur Avenger.zip pour ouvrir le fichier
        Extraire avenger.exe sur le bureau

        2. Copier tout le texte en gras ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C):

        Files to move:
        c:\truc.bak | c:\windows\system32\drivers\atapi.sys

        IMPORTANT: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
        si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.

        Ferme toutes les applications et ton navigateur

        3. Maintenant, lance The Avenger en cliquant sur son icône du bureau.

        Vérifie que la case devant "Automatically disable any rootkits found" n'est pas cochée.

        Cclique sur l'icone de droite (en rose et bleu). Le texte va se copier dans la fenêtre.

        Clique sur Execute

        4. The Avenger va automatiquement faire ce qui suit:

        Il va Re-démarrer le système.
        Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, ceci est NORMAL.
        Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt
        The Avenger aura également sauvegardé tous les fichiers, etc., que tu lui as demandé de supprimer, les aura compactés (zipped) et tranféré l'archive zip ici C:\avenger\backup.zip.

        5. Pour finir copier/coller le contenu du ficher c:\avenger.txt dans ta réponse
        1. vivelajamaique
          bonsoir
          je demanderais demain a quelqu'un de me le faire car je ne comprend pas tous
          merci de votre aide
      3. gen-hackman
        bah c'est bon z'ont l'air sympa ces fichiers
        1.  jacques.gache Contributeur sécurité
          bonjour vivelajamaique, je suis toujours le sujet , mais comme gen-hacman qui a eu la gentillesse d'être passé pour m'aider sur ton problème nous faisait part de 
          hello atapi a l'air patché :) => MD5 inconnu
          etla perso je déchoche lui il connait et te guidera pour remettre cela dans les normes ,donc on va attendre que gen ait le temps de passer pour te guider !!!
        2. vivelajamaique
          ok merci tout de meme de votre gentillesse et de votre aide, c'est tres sympas de nous avoir consacré du temps l'ordi s'allume tous de meme mieux il y a encore de zebrure bleu au demarage mais sa va c'est pas pire, merci encore et c vraiment super ce que vous faite
          bonene soirée
      4. vivelajamaique
        File name: EAXAC3.DLL
        Submission date: 2010-08-24 20:32:44 (UTC)
        Current status: queued queued analysing finished

        Result: 0/ 40 (0.0%)
        VT Community

        not reviewed
        Safety score: -
        Compact Print results Antivirus Version Last Update Result
        AhnLab-V3 2010.08.24.00 2010.08.23 -
        AntiVir 8.2.4.38 2010.08.24 -
        Antiy-AVL 2.0.3.7 2010.08.23 -
        Authentium 5.2.0.5 2010.08.24 -
        Avast 4.8.1351.0 2010.08.24 -
        Avast5 5.0.594.0 2010.08.24 -
        AVG 9.0.0.851 2010.08.24 -
        BitDefender 7.2 2010.08.24 -
        CAT-QuickHeal 11.00 2010.08.24 -
        ClamAV 0.96.2.0-git 2010.08.24 -
        Comodo 5845 2010.08.24 -
        DrWeb 5.0.2.03300 2010.08.24 -
        Emsisoft 5.0.0.37 2010.08.24 -
        eTrust-Vet 36.1.7810 2010.08.23 -
        F-Prot 4.6.1.107 2010.08.24 -
        F-Secure 9.0.15370.0 2010.08.24 -
        Fortinet 4.1.143.0 2010.08.24 -
        GData 21 2010.08.24 -
        Ikarus T3.1.1.88.0 2010.08.24 -
        Jiangmin 13.0.900 2010.08.23 -
        Kaspersky 7.0.0.125 2010.08.24 -
        McAfee 5.400.0.1158 2010.08.24 -
        Microsoft 1.6103 2010.08.24 -
        NOD32 5394 2010.08.24 -
        Norman 6.05.11 2010.08.24 -
        nProtect 2010-08-24.01 2010.08.24 -
        Panda 10.0.2.7 2010.08.24 -
        PCTools 7.0.3.5 2010.08.24 -
        Prevx 3.0 2010.08.24 -
        Rising 22.62.01.04 2010.08.24 -
        Sophos 4.56.0 2010.08.24 -
        Sunbelt 6786 2010.08.24 -
        SUPERAntiSpyware 4.40.0.1006 2010.08.24 -
        Symantec 20101.1.1.7 2010.08.24 -
        TheHacker 6.5.2.1.355 2010.08.24 -
        TrendMicro 9.120.0.1004 2010.08.24 -
        TrendMicro-HouseCall 9.120.0.1004 2010.08.24 -
        VBA32 3.12.14.0 2010.08.24 -
        ViRobot 2010.8.24.4005 2010.08.24 -
        VirusBuster 5.0.27.0 2010.08.24 -
        Additional informationShow all
        MD5 : d67dfff9c103b8c33815125a50baf7a0
        SHA1 : 365bd6319b14f8b0ef127bf279cfb88d12445f0c
        SHA256: 2eec6a8b18c93b96c877037f49472b2a46bd9e68fd04bd9edbd94d89a4a6146f
        ssdeep: 768:7/v8Hk5HLn9VoqZ8v8xz0MIUXSlWl6leDTeP1gBqyWMh9g+ca83YV5stjonor1SN:7/EHiE
        W0xUSQleeDTmmA2h9gjQmoz
        File size : 77824 bytes
        First seen: 2009-05-22 20:07:15
        Last seen : 2010-08-24 20:32:44
        TrID:
        Win32 Executable MS Visual C++ (generic) (65.2%)
        Win32 Executable Generic (14.7%)
        Win32 Dynamic Link Library (generic) (13.1%)
        Generic Win/DOS Executable (3.4%)
        DOS Executable Generic (3.4%)
        sigcheck:
        publisher....: Creative Labs
        copyright....: Copyright (c) 2001
        product......: EAX-AC3 DLL
        description..: EAXAC3
        original name: EAXAC3.dll
        internal name: EAXAC3
        file version.: 1.12
        comments.....: Daniel Peacock
        signers......: -
        signing date.: -
        verified.....: Unsigned

        PEiD: Armadillo v1.xx - v2.xx
        PEInfo: PE structure information

        [[ basic data ]]
        entrypointaddress: 0x3FA0
        timedatestamp....: 0x3B4B9C67 (Wed Jul 11 00:23:03 2001)
        machinetype......: 0x14c (I386)

        [[ 5 section(s) ]]
        name, viradd, virsiz, rawdsiz, ntropy, md5
        .text, 0x1000, 0x84AA, 0x9000, 6.27, 0a86f3762e8f5119dfb3a85b38fe2608
        .rdata, 0xA000, 0x10E8, 0x2000, 3.47, 88613eb622d94a0c62e56a697ddda372
        .data, 0xC000, 0x49EC, 0x4000, 1.21, 26d923fae5dabdbac6092e81ab7da495
        .rsrc, 0x11000, 0x3B8, 0x1000, 0.99, 42d0f2a11901958c79cb61db465efa3e
        .reloc, 0x12000, 0x1288, 0x2000, 3.15, 73e91c9e79d0fbe52e2f375dd023a4c5

        [[ 2 import(s) ]]
        KERNEL32.dll: InitializeCriticalSection, CloseHandle, WaitForSingleObjectEx, LeaveCriticalSection, EnterCriticalSection, CreateEventA, SetEvent, OutputDebugStringA, GetModuleFileNameA, GetStartupInfoA, GetStringTypeW, GetStringTypeA, LCMapStringW, LCMapStringA, MultiByteToWideChar, SetEndOfFile, GetCommandLineA, GetVersion, HeapAlloc, HeapFree, GetLastError, FlushFileBuffers, WriteFile, ExitProcess, ReadFile, SetFilePointer, TerminateProcess, GetCurrentProcess, GetCurrentThreadId, TlsSetValue, TlsAlloc, TlsFree, SetLastError, TlsGetValue, DeleteCriticalSection, SetHandleCount, GetStdHandle, GetFileType, LoadLibraryA, VirtualAlloc, FreeEnvironmentStringsA, FreeEnvironmentStringsW, WideCharToMultiByte, GetEnvironmentStrings, GetEnvironmentStringsW, GetModuleHandleA, GetEnvironmentVariableA, GetVersionExA, HeapDestroy, HeapCreate, VirtualFree, InterlockedDecrement, HeapReAlloc, RtlUnwind, SetStdHandle, CreateFileA, InterlockedIncrement, GetCPInfo, GetACP, GetOEMCP, GetProcAddress
        WINMM.dll: waveOutGetErrorTextA, timeKillEvent, timeEndPeriod, waveOutUnprepareHeader, timeBeginPeriod, timeGetTime, waveOutRestart, timeSetEvent, waveOutPrepareHeader, waveOutWrite, waveOutPause, waveOutReset, waveOutGetPosition, waveOutClose, timeGetDevCaps, waveOutGetNumDevs, waveOutOpen, waveOutGetDevCapsA

        [[ 22 export(s) ]]
        EAXAC3ClosePlaybackDevice, EAXAC3CloseStream, EAXAC3GetErrorString, EAXAC3GetFunctionTable, EAXAC3GetLastError, EAXAC3GetPosition, EAXAC3LockBuffer, EAXAC3OpenPlaybackDevice, EAXAC3OpenStream, EAXAC3PauseStream, EAXAC3PlayStream, EAXAC3PrePlayStream, EAXAC3QueryDeviceCaps, EAXAC3QueryFile, EAXAC3QueryMemory, EAXAC3QueryNoOfFramesReqForPlayback, EAXAC3QueryNumberOfDevices, EAXAC3ResumeStream, EAXAC3SetFilePosition, EAXAC3SetPlaybackMode, EAXAC3StopStream, EAXAC3UnLockBuffer

        VT Community

        0
        This file has never been reviewed by any VT Community member. Be the first one to comment on it!
        1. gen-hackman
          oui je te demande d'analyser des fichiers sur virus total plus haut
          1.  jacques.gache Contributeur sécurité
            vivelajamaique, fais ce que demande gen-hacman ,que je salut et remercie de venir en renfort !
            tu fais analysé un part un chaqu'un des fichiers donné par gen-hacman
            je te remet la procédure que je donne , car perso je n'arrive pas à coller directement dans la fenêtre parcourir

            Rends toi sur ce site :

            https://www.virustotal.com/gui/

            Clique sur parcourir et cherche ce fichier :
            tu recherches le premier donés par gen-hacman en suivant le chemin , tu le fais pour tous et tu postes le rapport à chaque fois, je te remets la listes plus bas

            Clique sur envoyer le lien.

            Un rapport va s'élaborer ligne à ligne.

            Attends la fin. Il doit comprendre la taille du fichier envoyé.

            Sauvegarde le rapport avec le bloc-note.

            Copie le dans ta réponse.

            Si VirusTotal indique que le fichier a déjà été analysé, clique sur le bouton Ré-analyse le fichier maintenant.

            C:\Windows\System32\ENLOCSTR.EXE
            C:\Windows\System32\KILLAPPS.EXE
            C:\Windows\System32\DEVREG.DLL
            C:\Windows\System32\EAXAC3.DLL
            C:\Windows\System32\piaproxy.dll
            C:\Windows\System32\ptftp32c.dll
            C:\Windows\System32\TEACico2.dll
            C:\Windows\System32\wmcoinst-070124-1114.dll
            C:\Windows\System32\wmcoinst-070531-0845.dll
          2. vivelajamaique
            bonsoir je ne sais pas comment sauvegarder quand le rapport et en ligne
            dsl je suis un peu nul
          3. vivelajamaique
            raport ENLOCSTR.EXE est ce que sa va comme sa?

            Antivirus Version Last update Result
            AhnLab-V3 2010.08.24.00 2010.08.23 -
            AntiVir 8.2.4.38 2010.08.24 -
            Antiy-AVL 2.0.3.7 2010.08.23 -
            Authentium 5.2.0.5 2010.08.24 -
            Avast 4.8.1351.0 2010.08.24 -
            Avast5 5.0.594.0 2010.08.24 -
            AVG 9.0.0.851 2010.08.24 -
            BitDefender 7.2 2010.08.24 -
            CAT-QuickHeal 11.00 2010.08.24 -
            ClamAV 0.96.2.0-git 2010.08.24 -
            Comodo 5845 2010.08.24 -
            DrWeb 5.0.2.03300 2010.08.24 -
            Emsisoft 5.0.0.37 2010.08.24 -
            eSafe 7.0.17.0 2010.08.24 -
            eTrust-Vet 36.1.7810 2010.08.23 -
            F-Prot 4.6.1.107 2010.08.24 -
            F-Secure 9.0.15370.0 2010.08.24 -
            Fortinet 4.1.143.0 2010.08.24 -
            GData 21 2010.08.24 -
            Ikarus T3.1.1.88.0 2010.08.24 -
            Jiangmin 13.0.900 2010.08.23 -
            Kaspersky 7.0.0.125 2010.08.24 -
            McAfee 5.400.0.1158 2010.08.24 -
            McAfee-GW-Edition 2010.1B 2010.08.24 -
            Microsoft 1.6103 2010.08.24 -
            NOD32 5394 2010.08.24 -
            Norman 6.05.11 2010.08.24 -
            nProtect 2010-08-24.01 2010.08.24 -
            Panda 10.0.2.7 2010.08.24 -
            PCTools 7.0.3.5 2010.08.24 -
            Prevx 3.0 2010.08.24 -
            Rising 22.62.01.04 2010.08.24 -
            Sophos 4.56.0 2010.08.24 -
            Sunbelt 6785 2010.08.24 -
            SUPERAntiSpyware 4.40.0.1006 2010.08.24 -
            Symantec 20101.1.1.7 2010.08.24 -
            TheHacker 6.5.2.1.355 2010.08.24 -
            TrendMicro 9.120.0.1004 2010.08.24 -
            TrendMicro-HouseCall 9.120.0.1004 2010.08.24 -
            VBA32 3.12.14.0 2010.08.24 -
            ViRobot 2010.8.24.4005 2010.08.24 -
            VirusBuster 5.0.27.0 2010.08.24 -
            MD5: e8b5315b260e135a6dba0989f2413d68
            SHA1: 769cbaeb4083616e366a5075857cf2349f8fa418
            SHA256: 593a853f9a677f34544c23ea51c4444e47c6298dc7ee3c7a8409d6bf4baeb160
            File size: 7680 bytes
            Scan date: 2010-08-24 19:17:11 (UTC)
          4. vivelajamaique
            File name: KILLAPPS.EXE
            Submission date: 2010-08-24 19:31:49 (UTC)
            Current status: queued queued (#9) analysing finished

            Result: 0/ 42 (0.0%)
            VT Community

            not reviewed
            Safety score: -
            Compact Print results Antivirus Version Last Update Result
            AhnLab-V3 2010.08.24.00 2010.08.23 -
            AntiVir 8.2.4.38 2010.08.24 -
            Antiy-AVL 2.0.3.7 2010.08.23 -
            Authentium 5.2.0.5 2010.08.24 -
            Avast 4.8.1351.0 2010.08.24 -
            Avast5 5.0.594.0 2010.08.24 -
            AVG 9.0.0.851 2010.08.24 -
            BitDefender 7.2 2010.08.24 -
            CAT-QuickHeal 11.00 2010.08.24 -
            ClamAV 0.96.2.0-git 2010.08.24 -
            Comodo 5845 2010.08.24 -
            DrWeb 5.0.2.03300 2010.08.24 -
            Emsisoft 5.0.0.37 2010.08.24 -
            eSafe 7.0.17.0 2010.08.24 -
            eTrust-Vet 36.1.7810 2010.08.23 -
            F-Prot 4.6.1.107 2010.08.24 -
            F-Secure 9.0.15370.0 2010.08.24 -
            Fortinet 4.1.143.0 2010.08.24 -
            GData 21 2010.08.24 -
            Ikarus T3.1.1.88.0 2010.08.24 -
            Jiangmin 13.0.900 2010.08.23 -
            Kaspersky 7.0.0.125 2010.08.24 -
            McAfee 5.400.0.1158 2010.08.24 -
            McAfee-GW-Edition 2010.1B 2010.08.24 -
            Microsoft 1.6103 2010.08.24 -
            NOD32 5394 2010.08.24 -
            Norman 6.05.11 2010.08.24 -
            nProtect 2010-08-24.01 2010.08.24 -
            Panda 10.0.2.7 2010.08.24 -
            PCTools 7.0.3.5 2010.08.24 -
            Prevx 3.0 2010.08.24 -
            Rising 22.62.01.04 2010.08.24 -
            Sophos 4.56.0 2010.08.24 -
            Sunbelt 6785 2010.08.24 -
            SUPERAntiSpyware 4.40.0.1006 2010.08.24 -
            Symantec 20101.1.1.7 2010.08.24 -
            TheHacker 6.5.2.1.355 2010.08.24 -
            TrendMicro 9.120.0.1004 2010.08.24 -
            TrendMicro-HouseCall 9.120.0.1004 2010.08.24 -
            VBA32 3.12.14.0 2010.08.24 -
            ViRobot 2010.8.24.4005 2010.08.24 -
            VirusBuster 5.0.27.0 2010.08.24 -
            Additional informationShow all
            MD5 : a3a3359f2e70d07b9dc6e993f36796c7
            SHA1 : dd5e54b105e6b7804f1c918e8aa24d193c4cbd11
            SHA256: 6bbe15e4dabc900f9b9353f5c82f9ff3b0e7add8602abe45ecd53ffb8a0015de
            ssdeep: 192:l6PHEu40MLAilpHmHOm8pu85rjqiAdJJ3X5r5clsPHEKF+jEuWE7r8XwzIb/zx:IHInpHNt
            FOXdHLFeEu9r21/
            File size : 12800 bytes
            First seen: 2010-08-24 19:31:49
            Last seen : 2010-08-24 19:31:49
            TrID:
            Win64 Executable Generic (80.9%)
            Win32 Executable Generic (8.0%)
            Win32 Dynamic Link Library (generic) (7.1%)
            Generic Win/DOS Executable (1.8%)
            DOS Executable Generic (1.8%)
            sigcheck:
            publisher....:
            copyright....: Copyright (c) 2003-2004
            product......: killapps
            description..: killapps
            original name: killapps.exe
            internal name: killapps
            file version.: 1, 0, 0, 1
            comments.....:
            signers......: -
            signing date.: -
            verified.....: Unsigned

            PEInfo: PE structure information

            [[ basic data ]]
            entrypointaddress: 0x2652
            timedatestamp....: 0x46C97CF6 (Mon Aug 20 11:37:26 2007)
            machinetype......: 0x14c (I386)

            [[ 3 section(s) ]]
            name, viradd, virsiz, rawdsiz, ntropy, md5
            .text, 0x1000, 0x25A0, 0x2600, 6.40, be79f4fcb2780b363a55484dde09cb41
            .data, 0x4000, 0x12698, 0x400, 5.80, 28fcfd5ab0eb9c208220c87444240f30
            .rsrc, 0x17000, 0x390, 0x400, 2.89, ceba4d08a60baaf909b11cb21329950d

            [[ 6 import(s) ]]
            ADVAPI32.dll: RegQueryValueExA, RegOpenKeyExA, AdjustTokenPrivileges, LookupPrivilegeValueA, OpenProcessToken, RegCloseKey
            KERNEL32.dll: CloseHandle, lstrcpyA, lstrlenA, GetProcAddress, GetModuleHandleA, WideCharToMultiByte, GetLastError, GetCurrentProcess, TerminateProcess, OpenProcess, GetVersionExA, GetPrivateProfileSectionA, GetFileSize, CreateFileA, GetCurrentDirectoryA, GetTickCount, QueryPerformanceCounter, SetUnhandledExceptionFilter, RtlUnwind, GetStartupInfoA, InterlockedCompareExchange, Sleep, InterlockedExchange, GetCurrentProcessId, GetSystemTimeAsFileTime, UnhandledExceptionFilter, GetCurrentThreadId
            USER32.dll: EnumWindows, GetWindowThreadProcessId, SendMessageA, GetWindowTextA
            MFC42.dll: -
            msvcrt.dll: __getmainargs, _cexit, _exit, sprintf, _ismbblead, exit, _acmdln, _initterm, _amsg_exit, __setusermatherr, _adjust_fdiv, __p__commode, __p__fmode, __set_app_type, _terminate@@YAXXZ, _controlfp, malloc, isdigit, atol, free, realloc, memset, calloc, toupper, printf, _XcptFilter, _stricmp
            ole32.dll: CoUninitialize, CoCreateInstance, CoInitialize

            VT Community

            0
            This file has never been reviewed by any VT Community member. Be the first one to comment on it!
          5. vivelajamaique
            File name: DEVREG.DLL
            Submission date: 2010-08-24 19:35:37 (UTC)
            Current status: queued queued analysing finished

            Result: 0/ 42 (0.0%)
            VT Community

            not reviewed
            Safety score: -
            Compact Print results Antivirus Version Last Update Result
            AhnLab-V3 2010.08.24.00 2010.08.23 -
            AntiVir 8.2.4.38 2010.08.24 -
            Antiy-AVL 2.0.3.7 2010.08.23 -
            Authentium 5.2.0.5 2010.08.24 -
            Avast 4.8.1351.0 2010.08.24 -
            Avast5 5.0.594.0 2010.08.24 -
            AVG 9.0.0.851 2010.08.24 -
            BitDefender 7.2 2010.08.24 -
            CAT-QuickHeal 11.00 2010.08.24 -
            ClamAV 0.96.2.0-git 2010.08.24 -
            Comodo 5845 2010.08.24 -
            DrWeb 5.0.2.03300 2010.08.24 -
            Emsisoft 5.0.0.37 2010.08.24 -
            eSafe 7.0.17.0 2010.08.24 -
            eTrust-Vet 36.1.7810 2010.08.23 -
            F-Prot 4.6.1.107 2010.08.24 -
            F-Secure 9.0.15370.0 2010.08.24 -
            Fortinet 4.1.143.0 2010.08.24 -
            GData 21 2010.08.24 -
            Ikarus T3.1.1.88.0 2010.08.24 -
            Jiangmin 13.0.900 2010.08.23 -
            Kaspersky 7.0.0.125 2010.08.24 -
            McAfee 5.400.0.1158 2010.08.24 -
            McAfee-GW-Edition 2010.1B 2010.08.24 -
            Microsoft 1.6103 2010.08.24 -
            NOD32 5394 2010.08.24 -
            Norman 6.05.11 2010.08.24 -
            nProtect 2010-08-24.01 2010.08.24 -
            Panda 10.0.2.7 2010.08.24 -
            PCTools 7.0.3.5 2010.08.24 -
            Prevx 3.0 2010.08.24 -
            Rising 22.62.01.04 2010.08.24 -
            Sophos 4.56.0 2010.08.24 -
            Sunbelt 6785 2010.08.24 -
            SUPERAntiSpyware 4.40.0.1006 2010.08.24 -
            Symantec 20101.1.1.7 2010.08.24 -
            TheHacker 6.5.2.1.355 2010.08.24 -
            TrendMicro 9.120.0.1004 2010.08.24 -
            TrendMicro-HouseCall 9.120.0.1004 2010.08.24 -
            VBA32 3.12.14.0 2010.08.24 -
            ViRobot 2010.8.24.4005 2010.08.24 -
            VirusBuster 5.0.27.0 2010.08.24 -
            Additional informationShow all
            MD5 : 7ed6cb463defd80f3565139bffc24c56
            SHA1 : 07726ee7c60985caa8a8b76f6a5561aa8cd29353
            SHA256: 19e9873052828676c7d82f7ad3f6b4e61ebbbfd4cce3e5756ab6be640a23fd3c
            ssdeep: 384:RrIt2A6m8Hfw2a1EfShV7N42BZJiIil57t+MXhy2UnSqhqk3/hoQlRWsIf01gBgv:Rr/A6J
            /2ZIIWj+MXsRRWsBiBgdi
            File size : 36864 bytes
            First seen: 2010-08-24 19:35:37
            Last seen : 2010-08-24 19:35:37
            TrID:
            Win32 Executable Generic (42.3%)
            Win32 Dynamic Link Library (generic) (37.6%)
            Generic Win/DOS Executable (9.9%)
            DOS Executable Generic (9.9%)
            Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
            sigcheck:
            publisher....: Creative Technology Ltd
            copyright....: Copyright(c) 2001-2007 Creative Technology Ltd
            product......: Creative Audio Product
            description..: Creative Device Control Registry Access
            original name: DevReg.dll
            internal name: DevReg
            file version.: 6.00.01.1281-2.14.0880
            comments.....: n/a
            signers......: -
            signing date.: -
            verified.....: Unsigned

            PEInfo: PE structure information

            [[ basic data ]]
            entrypointaddress: 0x5A66
            timedatestamp....: 0x46C97CE0 (Mon Aug 20 11:37:04 2007)
            machinetype......: 0x14c (I386)

            [[ 7 section(s) ]]
            name, viradd, virsiz, rawdsiz, ntropy, md5
            .text, 0x1000, 0x5A12, 0x5C00, 6.20, a6369841218df1f46c74d9fc1f4b4346
            .data, 0x7000, 0xF7C, 0xC00, 3.33, 53ee5a7364a3b98e5db845d722fde64c
            .sVBDFil, 0x8000, 0x960, 0xA00, 0.00, a371492f16c0940507435909603efe88
            .sVBDFil, 0x9000, 0x840, 0xA00, 0.00, a371492f16c0940507435909603efe88
            .sCRegis, 0xA000, 0x160, 0x200, 0.00, bf619eac0cdf3f68d496ea9344137e8b
            .rsrc, 0xB000, 0x3D8, 0x400, 3.20, c1ae039b6c41893259a733f32fdc93e6
            .reloc, 0xC000, 0x8C6, 0xA00, 4.57, ccf470156fcf4b12edcb327d1b4d5609

            [[ 3 import(s) ]]
            MFC42.dll: -, -
            msvcrt.dll: _onexit, _lock, __dllonexit, _unlock, __1type_info@@UAE@XZ, _adjust_fdiv, _amsg_exit, _initterm, _XcptFilter, __CxxFrameHandler, memcpy, strrchr, time, malloc, _stricmp, strtok, toupper, free
            KERNEL32.dll: lstrcpyA, lstrcmpA, SetUnhandledExceptionFilter, UnhandledExceptionFilter, GetCurrentProcess, TerminateProcess, GetSystemTimeAsFileTime, GetCurrentProcessId, GetCurrentThreadId, GetTickCount, QueryPerformanceCounter, RtlUnwind, InterlockedCompareExchange, Sleep, InterlockedExchange, FlushViewOfFile, UnmapViewOfFile, CreateFileMappingA, MapViewOfFile, OpenFileMappingA, GetLastError, WriteFile, FlushFileBuffers, GetFileSize, CreateFileA, ReadFile, SetFilePointer, CloseHandle, lstrcatA, CreateMutexA, ReleaseMutex, WaitForSingleObject, lstrlenA

            [[ 1 export(s) ]]
            CreateDevRegInstance

            VT Community

            0
            This file has never been reviewed by any VT Community member. Be the first one to comment on it!
            VirusTotal Team
        2. gen-hackman
          Fais analyser le(s) fichier(s) suivants sur Virustotal :

          Virus Total

          * * Colle directement le chemin des fichiers , un par un , dans l'espace "Parcourir" apres chaque analyse :

          C:\Windows\System32\ENLOCSTR.EXE
          C:\Windows\System32\KILLAPPS.EXE
          C:\Windows\System32\DEVREG.DLL
          C:\Windows\System32\EAXAC3.DLL
          C:\Windows\System32\piaproxy.dll
          C:\Windows\System32\ptftp32c.dll
          C:\Windows\System32\TEACico2.dll
          C:\Windows\System32\wmcoinst-070124-1114.dll
          C:\Windows\System32\wmcoinst-070531-0845.dll

          * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
          * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
          * Lorsque l'analyse est terminée colle le lien de(s)( la) page(s) dans ta prochaine réponse.
          1. vivelajamaique
            je ne sais pas comment cela marche et g fait la dernier analyse que jacques.gache m'a demandé acec listkill"em il y a peut etre eu une amelioration
          3. vivelajamaique
            c'est le lien du forum?
        3. gen-hackman
          hello atapi a l'air patché :) => MD5 inconnu

          possible de lire le fichier More.txt sur le bureau ?
          1. vivelajamaique
            bonjour voici le fichier More .txt qui ce trouvé sur le bureau
            http://www.cijoint.fr/cjlink.php?file=cj201008/cijgHnYqc6.txt
        4. vivelajamaique
          dernier raport
          http://www.cijoint.fr/cjlink.php?file=cj201008/cijnstXhFB.txt
          1. vivelajamaique
            qu'est ce que je fait de tous les programme instalé sur mon bureau?
          2. jacques.gache Contributeur sécurité
            relancer listkill"em car il y a des reste et faire l'option clean, sinon pour ce qui se passesau démarrage , aurais tu la possiblilité de faire une capture d'écran pou poter ceal pour voir qui et quoi !! sinon gen-hacman me parlait d'un possible démarrage du pc en mode sans echec par msconfig !! as tu essayer une fois de démarrer en mode snsechec avec msconfig ???

            bon moi dodo !!

            Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau.
            mais cette fois-ci :

            choisis l'Option Clean

            ton PC va redemarrer,

            laisse travailler l'outil.

            en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

            colle le contenu dans ta reponse
          3. vivelajamaique
            ok bonne nuit aussi dodo merci encore bonne nuit
          4. vivelajamaique
            le rapport Kill'em.txt
            ¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.0.3.2 ¤¤¤¤¤¤¤¤¤¤

            User : Lalodav (Administrateurs)
            Update on 23/08/2010 by g3n-h@ckm@n ::::: 13.20
            Start at: 14:25:16 | 24/08/2010

            Intel(R) Core(TM)2 Duo CPU E8500 @ 3.16GHz
            Microsoft® Windows Vista(TM) Édition Familiale Premium (6.0.6002 32-bit) # Service Pack 2
            Internet Explorer 8.0.6001.18943
            Windows Firewall Status : Disabled

            C:\ -> Disque fixe local | 581,12 Go (361,31 Go free) [OS] | NTFS
            D:\ -> Disque fixe local | 15 Go (10,43 Go free) [RECOVERY] | NTFS
            E:\ -> Disque CD-ROM
            F:\ -> Disque amovible
            G:\ -> Disque amovible
            H:\ -> Disque amovible
            I:\ -> Disque amovible

            ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes ------- Memory(Ko)

            C:\Windows\System32\smss.exe ----64 Ko
            C:\Windows\system32\csrss.exe ----2276 Ko
            C:\Windows\system32\csrss.exe ----9788 Ko
            C:\Windows\system32\wininit.exe ----204 Ko
            C:\Windows\system32\services.exe ----3552 Ko
            C:\Windows\system32\lsass.exe ----2668 Ko
            C:\Windows\system32\lsm.exe ----1576 Ko
            C:\Windows\system32\winlogon.exe ----1072 Ko
            C:\Windows\system32\svchost.exe ----4376 Ko
            C:\Windows\system32\svchost.exe ----4264 Ko
            C:\Windows\System32\svchost.exe ----9836 Ko
            C:\Windows\System32\svchost.exe ----86956 Ko
            C:\Windows\system32\svchost.exe ----59780 Ko
            C:\Windows\system32\svchost.exe ----1432 Ko
            C:\Windows\system32\SLsvc.exe ----1444 Ko
            C:\Windows\system32\svchost.exe ----7056 Ko
            C:\Program Files\Common Files\Logishrd\Bluetooth\LBTServ.exe ----196 Ko
            C:\Windows\system32\svchost.exe ----18168 Ko
            C:\Windows\System32\spoolsv.exe ----5864 Ko
            C:\Windows\system32\svchost.exe ----6032 Ko
            C:\Windows\system32\WUDFHost.exe ----3372 Ko
            C:\Windows\system32\taskeng.exe ----6344 Ko
            C:\Windows\system32\Dwm.exe ----2720 Ko
            C:\Windows\Explorer.EXE ----46648 Ko
            C:\Windows\system32\taskeng.exe ----1980 Ko
            C:\Program Files\Creative\Sound Blaster X-Fi\Volume Panel\VolPanlu.exe ----2720 Ko
            C:\Program Files\Intel\Intel Matrix Storage Manager\IAAnotif.exe ----1480 Ko
            C:\Windows\SYSTEM32\CTXFISPI.EXE ----3404 Ko
            C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe ----7368 Ko
            C:\Program Files\Orange HSS\Systray\SystrayApp.exe ----2156 Ko
            C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe ----276 Ko
            C:\Windows\System32\bgsvcgen.exe ----132 Ko
            C:\Windows\WindowsMobile\wmdc.exe ----1596 Ko
            C:\Program Files\Bonjour\mDNSResponder.exe ----1492 Ko
            C:\Windows\system32\svchost.exe ----1176 Ko
            C:\Program Files\Dell Support Center\bin\sprtcmd.exe ----464 Ko
            C:\Program Files\Hercules\DualPix Exchange\CamService.exe ----1180 Ko
            C:\Windows\Samsung\PanelMgr\SSMMgr.exe ----2832 Ko
            C:\PROGRA~1\COMMON~1\France Telecom\Shared Modules\FTRTSVC\0\FTRTSVC.exe ----1792 Ko
            C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe ----1688 Ko
            C:\Program Files\Common Files\McAfee\SystemCore\mfevtps.exe ----7472 Ko
            C:\Windows\system32\svchost.exe ----1260 Ko
            C:\Program Files\Logitech\SetPoint\LBTWiz.exe ----1276 Ko
            C:\Program Files\LexmarkX83\ACMonitor_X83.exe ----612 Ko
            C:\Program Files\LexmarkX83\AcBtnMgr_X83.exe ----828 Ko
            C:\Windows\System32\Ctxfihlp.exe ----2116 Ko
            C:\Program Files\Common Files\Java\Java Update\jusched.exe ----1020 Ko
            C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe ----2476 Ko
            C:\Program Files\Dell Support Center\bin\sprtsvc.exe ----1380 Ko
            C:\Windows\system32\svchost.exe ----1284 Ko
            C:\Windows\System32\svchost.exe ----1660 Ko
            C:\Windows\system32\SearchIndexer.exe ----31376 Ko
            C:\Program Files\iTunes\iTunesHelper.exe ----2544 Ko
            C:\Program Files\Common Files\McAfee\SystemCore\mcshield.exe ----44796 Ko
            C:\Program Files\McAfee.com\Agent\mcagent.exe ----2892 Ko
            C:\Program Files\Common Files\McAfee\SystemCore\mfefire.exe ----2016 Ko
            C:\Program Files\Common Files\Mcafee\McSvcHost\McSvHost.exe ----12684 Ko
            C:\Windows\ehome\ehtray.exe ----1720 Ko
            C:\Program Files\Windows Media Player\wmpnscfg.exe ----1484 Ko
            C:\Program Files\WIDCOMM\Bluetooth Software\BTTray.exe ----4064 Ko
            C:\Program Files\Logitech\SetPoint\SetPoint.exe ----4892 Ko
            C:\Program Files\McAfee Security Scan\2.0.181\SSScheduler.exe ----668 Ko
            C:\Program Files\Hercules\WiFi Station pour Livebox\WiFiLB.exe ----3948 Ko
            C:\Windows\ehome\ehmsas.exe ----2084 Ko
            C:\Program Files\Orange HSS\Launcher\Launcher.exe ----19624 Ko
            C:\Windows\system32\wbem\wmiprvse.exe ----3204 Ko
            C:\Program Files\XPSMiniViewGadget\XPSMiniViewGadget.exe ----11164 Ko
            C:\PROGRA~1\COMMON~1\France Telecom\Shared Modules\AlertModule\0\AlertModule.exe ----2928 Ko
            C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe ----11024 Ko
            C:\Program Files\Common Files\Logishrd\KHAL2\KHALMNPR.EXE ----1848 Ko
            C:\Program Files\WIDCOMM\Bluetooth Software\BtStackServer.exe ----3308 Ko
            C:\Windows\system32\taskeng.exe ----4636 Ko
            C:\Program Files\Windows Media Player\wmpnetwk.exe ----1560 Ko
            C:\Windows\system32\svchost.exe ----1628 Ko
            C:\Program Files\iPod\bin\iPodService.exe ----1836 Ko
            C:\Windows\system32\WUDFHost.exe ----820 Ko
            C:\Windows\System32\mobsync.exe ----1688 Ko
            C:\Program Files\Orange HSS\Deskboard\deskboard.exe ----13872 Ko
            C:\Program Files\Orange HSS\connectivity\connectivitymanager.exe ----5936 Ko
            C:\Program Files\Orange HSS\connectivity\CoreCom\CoreCom.exe ----7952 Ko
            C:\Program Files\Orange HSS\connectivity\CoreCom\OraConfigRecover.exe ----640 Ko
            C:\PROGRA~1\COMMON~1\France Telecom\Shared Modules\FTCOMModule\0\FTCOMModule.exe ----1600 Ko
            C:\Program Files\eMule\emule.exe ----30688 Ko
            C:\Windows\system32\Macromed\Flash\FlashUtil10h_ActiveX.exe ----2424 Ko
            C:\Windows\system32\cmd.exe ----2584 Ko
            C:\Windows\system32\conime.exe ----3500 Ko
            C:\Windows\system32\wbem\wmiprvse.exe ----8216 Ko
            C:\Program Files\List_Kill'em\ERUNT.EXE ----5708 Ko
            C:\Program Files\List_Kill'em\pv.exe ----4996 Ko

            ¤¤¤¤¤¤¤¤¤¤ Files/folders :

            Quarantined & Deleted !! : C:\Windows\Temp\Cab8F18.tmp
            Quarantined & Deleted !! : C:\Windows\Temp\Tar8F28.tmp
            Quarantined & Deleted !! : C:\Users\Lalodav\AppData\Local\d3d9caps.dat
            Quarantined & Deleted !! : C:\Users\Lalodav\AppData\Local\GDIPFONTCACHEV1.DAT
            Quarantined & Deleted !! : C:\Users\Lalodav\Local Settings\Temp\87D.tmp
            Quarantined & Deleted !! : C:\Users\Lalodav\LOCAL Settings\Temp\NEventMessages.dll

            ¤¤¤¤¤¤¤¤¤¤ Hosts ¤¤¤¤¤¤¤¤¤¤

            127.0.0.1 localhost

            ¤¤¤¤¤¤¤¤¤¤ Registry ¤¤¤¤¤¤¤¤¤¤

            Deleted : HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer : NoDrives
            Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer : NoDrives
            Deleted : HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System : DisableRegistryTools
            Deleted : HKCR\Interface\{f0d4b23a-da4b-4daf-81e4-dfee4931a4aa}
            Deleted : HKCR\Interface\{f0d4b23c-da4b-4daf-81e4-dfee4931a4aa}
            Deleted : HKCR\TypeLib\{f0d4b230-da4b-4daf-81e4-dfee4931a4aa}

            ¤¤¤¤¤¤¤¤¤¤ Internet Explorer ¤¤¤¤¤¤¤¤¤¤

            [HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
            Start Page = https://www.msn.com/fr-fr/?ocid=iehp
            Local Page = C:\WINDOWS\system32\blank.htm
            Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
            Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
            Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

            [HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
            Start Page = https://www.google.com/?gws_rd=ssl
            Local Page = C:\WINDOWS\system32\blank.htm
            Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

            ¤¤¤¤¤¤¤¤¤¤ Security Center ¤¤¤¤¤¤¤¤¤¤

            [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
            cval = 1 ()
            FirewallDisableNotify = 0 (0x0)
            AntiVirusDisableNotify = 0 (0x0)
            UpdatesDisableNotify = 0 (0x0)
            FirstRunDisabled = 1 ()
            AntiVirusOverride = 1 ()
            FirewallOverride = 1 ()

            ¤¤¤¤¤¤¤¤¤¤ Services ¤¤¤¤¤¤¤¤¤¤

            Ndisuio : Start = 3
            EapHost : Start = 2
            Wlansvc : Start = 2
            SharedAccess : Start = 2
            windefend : Start = 2
            wuauserv : Start = 2
            wscsvc : Start = 2

            ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
            Disk Cleaned
            anti-ver blaster : OK
            Prefetch cleaned
            ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

            FEATURE_BROWSER_EMULATION | svchost :
            ====================================

            Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

            device: opened successfully
            user: MBR read successfully
            called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys iastor.sys hal.dll ntkrnlpa.exe
            kernel: MBR read successfully
            user & kernel MBR OK

            ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤
        5. vivelajamaique
          enfin sa a marché, voici le raport de ZHPDiag

          http://www.cijoint.fr/cjlink.php?file=cj201008/cij6Uq9okE.txt
          1. jacques.gache Contributeur sécurité
            bon tu gardes la restauration blocqué , tu fais ce qui suis et tu me dira comment va ton pc

            1 ) fixes les lignes donnésavec zhpfix

            . Copie les lignes suivantes en GRAS

            [HKCU\Software\AskSBarVZ]
            [HKCU\Software\SpiderMessenger]
            [HKLM\Software\iWinArcade]
            [HKCU\Software\PatchPoker]
            [HKLM\Software\BrowserChoice]
            [HKLM\Software\PatchPoker]
            [HKLM\Software\iWin.com Games]
            [HKCU\Software\AppDataLow\Software\AskSBar]
            [HKLM\Software\AskSBar]
            O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe
            O4 - HKLM\..\Run: [CTxfiHlp] . (.Creative Technology Ltd - CTXfiHlp MFC Application.) -- C:\Windows\System32\CTXFIHLP.EXE
            O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\QTTask.exe
            O23 - Service: Service Bonjour (Bonjour Service) . (.Apple Inc. - Bonjour Service.) - C:\Program Files\Bonjour\mDNSResponder.exe
            O43 - CFD:Common File Directory ----D- C:\Program Files\iWin.com Games


            . Lance ZHPFix de Nicolas Coolman qui se trouve sur ton bureau
            . Pour XP, double-clique sur ZHPFix
            . pour Vista et seven, faire un clic droit sur l'icône et exécute en tant qu'administrateur.
            . Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)

            Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

            Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

            . cliques sur OK
            . Clique sur « Tous », puis sur « Nettoyer »
            . Copie/colle la totalité du rapport dans ta prochaine réponse
            tu le trouveras dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport

            2) désinstalles les outils utilisés avec hpfix

            Cliquez-droit sur l'icône ZHPFix.exe sur votre Bureau, puis sélectionnez 'Exécuter en tant qu'administrateur'.

            Cliquez sur le A rouge (Nettoyeur de Tools).

            Cliquez sur Nettoyer.

            Faîtes redémarrer l'ordinateur pour terminer le nettoyage. MAIS LE LAISSE PAS FAIRE LA RESTAURATION !!!!!

            3) passes ccleaner avec les réglages donnés

            télécharges Ccleaner à partir de cette adresses

            https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/

            .enregistres le sur le bureau
            .double-cliques sur le fichier pour lancer l'installation
            .sur la fenêtre de l'installation langage bien choisir français et OK
            .cliques sur suivant
            .lis la licence et j'accepte
            .cliques sur suivant
            .la tu ne gardes de coché que mettre un raccourci sur le bureau et puis contrôler automatiquement les mises à jour de Ccleaner
            .cliques sur intaller
            .cliques sur fermer
            .double-cliques sur l'icône de Ccleaner pour l'ouvrir
            .une fois ouvert tu cliques sur option et puis avancé
            .tu décoches effacer uniquement les fichiers, du dossier temp de windows plus vieux que 24 heures
            .cliques sur nettoyeur
            .cliques sur windows et dans la colonne avancé
            .cochesla première case vieilles données du perfetch que celle-la
            .cliques sur analyse une fois l'analyse terminé
            .cliques sur lancer le nettoyage et sur la demande de confirmation OK il vas falloir que tu le refasses une autre fois une fois fini vériffis en appuiant de nouveau sur analyse pour être sur qu'il n'y est plus rien
            .cliques maintenant sur registre et puis sur rechercher les erreurs
            .laisses tout cochées et cliques sur réparrer les erreurs sélectionnées
            .il te demande de sauvegarder OUI
            .tu lui donnes un nom pour pouvoir la retrouver et enregistre
            .cliques sur corriger toutes les erreurs sélectionnées et sur la demande de confirmation OK
            .il supprime et fermer tu vériffis en relancant rechercher les erreurs
            .tu retournes dans option et tu recoches la case effacer uniquement les fichiers, du dossier temp de windows plus vieux que 24 heures et sur nettoyeur, windows sous avancé tu décoches la première case vieilles données du perfetch
            .tu peux fermer Ccleaner

            pour aider si besion tutoriel: https://www.vulgarisation-informatique.com/nettoyer-windows-ccleaner.php

            4) purges a restauration système

            Après une désinfection il est utile de supprimer tous les points de restauration système de façon à ne pas remonter, par mégarde, un point de restauration infecté.

            Pour cela, il faut désactiver la restauration système (ce qui aura pour conséquence de supprimer tous les points de restauration existants) puis la réactiver juste après pour que Windows continue à faire des points de sauvegarde réguliers.

            Dans Panneau de configuration/sytème, cliquez sur le lien Protection du système (sur la gauche de la fenêtre).

            Sous Points de restauration automatiques

            décochez toutes les cases dans la liste des disques disponibles.

            Ceci afin de désactiver la fonction de restauration du système.

            Vista va vous demander confirmation pour cette opération.

            Confirmez en cliquant sur le bouton Désactiver la restauration du système.

            Tous les points de restauration système existants seront supprimés.

            Cliquez sur OK pour fermer la fenêtre.

            Cliquez de nouveau sur Protection du système,

            recochez toutes les cases dans la liste des disques disponibles puis cliquez sur OK.

            Ceci aura pour conséquence de remettre la restauration système en fonction.

            Vous pourrez alors, créer un point de restauration tout neuf en cliquant sur le bouton Créer.

            Le système se chargera ensuite de créer les autres à intervalles réguliers.

            source: http://www.vista-xp.fr/forum/topic243.html

            5) ET LA TU LE REDEMARRES ET TU LAISSES FAIRE

            et tu me dis comment va le pc !!!

            et pour être sur tu me postes un hijackthis

            télécharge Hijackthis : http://www.trendsecure.com/portal/fr/_download/HJTInstall.exe

            .enregistres le sur le bureau
            .Tu fermes tout les programmes ouverts y compris le navigateur. sauf ton anti-virus et pare-feux
            .installes le , il va s'installer par défaut dans C:\Program Files\Trend Micro\HijackThis
            .Cliques sur "Do a system scan and save the logfile"
            .Cela va t'ouvrir un bloc note à la fin du scan.
            .Copie son contenu et poste le dans ton prochain message. sinon le rapport est dans C:\Program Files\Trend Micro\HijackThis\ hijackthis "document texte"

            si besion d'aide pour l'installation : https://www.androidworld.fr/

            des expliquations en images pour l'utiliser : http://pagesperso-orange.fr/rginformatique/section%20virus/demohijack.htm
          2. vivelajamaique
            je ne trouve pas le raport "ZHPFixReport" il a fait le nettoyage en 2 scd puis a redemaré aussitot l'ordi il a mis 5 mn a redemarer
          3. jacques.gache Contributeur sécurité
            regarde dans program ou program files si tu trouves dans le dossier zhpdiag le rapport ZHPFixReport.txt sinon essais en appyant en même temps sur la touche windows celle avec le drapeau et la touche R et dans la fenêtre exécuter tu mets
            c:\program files\zhpdiag\ZHPFixReport.txt

            bon moi dodo boulot dans 7h
          4. vivelajamaique
            non il n'y a rien mais je n'ai rien coller dans le "H" car les element en gras y etais deja es ce normal et je ne pouvais rien y coller
            bonne nuit nous aussi dodo
            dite nous si nous devons recommencer cette operation
            a demain merci
          5. jacques.gache Contributeur sécurité 
            je n'ai rien coller dans le "H" car les element en gras y etais deja es ce normal
            si tu as suivi la procédure dans l'ordre , c'est dire sélectionner les lignes donné etfaire un copier, et que seulementaprès tu ouvre zhpfix et tu appuis sur le H il te colle automatiquement le contenue du presse papier donc si tu as suivi cela c'est normal qu'il y soit sans que tu est fais clique droit et coller!!

            non continu la suite et fais bien attention de blocquer la restauration au démarrage jusqu'au petit 5)
        6. vivelajamaique
          voici le raport de malwarebytes

          Malwarebytes' Anti-Malware 1.46
          www.malwarebytes.org

          Version de la base de données: 4462

          Windows 6.0.6002 Service Pack 2
          Internet Explorer 8.0.6001.18943

          22/08/2010 19:56:19
          mbam-log-2010-08-22 (19-56-19).txt

          Type d'examen: Examen complet (C:\|D:\|)
          Elément(s) analysé(s): 347330
          Temps écoulé: 2 heure(s), 20 minute(s), 49 seconde(s)

          Processus mémoire infecté(s): 0
          Module(s) mémoire infecté(s): 0
          Clé(s) du Registre infectée(s): 0
          Valeur(s) du Registre infectée(s): 0
          Elément(s) de données du Registre infecté(s): 0
          Dossier(s) infecté(s): 0
          Fichier(s) infecté(s): 1

          Processus mémoire infecté(s):
          (Aucun élément nuisible détecté)

          Module(s) mémoire infecté(s):
          (Aucun élément nuisible détecté)

          Clé(s) du Registre infectée(s):
          (Aucun élément nuisible détecté)

          Valeur(s) du Registre infectée(s):
          (Aucun élément nuisible détecté)

          Elément(s) de données du Registre infecté(s):
          (Aucun élément nuisible détecté)

          Dossier(s) infecté(s):
          (Aucun élément nuisible détecté)

          Fichier(s) infecté(s):
          C:\Program Files\Ad-Remover\Quarantine\C\Users\Lalodav\AppData\Roaming\EoRezo\SoftwareUpdate\SoftwareUpdateHP.exe.vir (Rogue.Eorezo) -> Quarantined and deleted successfully.
          1. vivelajamaique
            le demarage et toujours aussi long et a coté de l'horloge en bas a droite et apparu un icone qui indique "Programme de demarrage bloques", est ce que je doit faire quelque chose a ce sujet
            merci
          2. vivelajamaique
            quand je fais l'annalyse avec ZHPDiag il s'arrete a 50% et cela me met en haut de la fenetre qu'il "ne repond pas", donc je ne sais pas quoi faire
          3. jacques.gache Contributeur sécurité
            tu le laisses faire il peut mettre qu'il ne répond plus et il repard si tu trouves qu'il est vraiment blocqué , tu l'arrêtes et tu le relances en suivant la procédure !!
            sinon pour ton programme de démarrage blocqué c'est surement la restauration !!
        8. vivelajamaique
          voici le rapport de Ad-rimover en nettoyage j'ai redemaré et je n'ai pas fait de restauration et je fait maintenant malwarebytes

          ======= RAPPORT D'AD-REMOVER 2.0.0.1,D | UNIQUEMENT XP/VISTA/7 =======

          Mis à jour par C_XX le 26/07/10 à 12:00
          Contact: AdRemover.contact[AT]gmail.com
          Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

          C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 15:25:02 le 22/08/2010, Mode normal

          Microsoft® Windows Vista(TM) Édition Familiale Premium Service Pack 2 (X86)
          Lalodav@PC-DE-LALODAV (Dell Inc. Dell XPS420)

          ============== ACTION(S) ==============

          0,Dossier supprimé: C:\Users\Lalodav\AppData\LocalLow\AskSBar
          0,Dossier supprimé: C:\Program Files\AskSBar
          0,Dossier supprimé: C:\Users\Lalodav\AppData\Roaming\EoRezo
          0,Dossier supprimé: C:\Users\Lalodav\AppData\Local\EoRezo
          0,Dossier supprimé: C:\Program Files\EoRezo
          0,Dossier supprimé: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Everest Poker
          0,Dossier supprimé: C:\Program Files\Everest Poker
          0,Dossier supprimé: C:\Program Files\GamesBar
          0,Dossier supprimé: C:\Users\Lalodav\AppData\Local\SpiderMessenger
          0,Fichier supprimé: C:\Users\Public\Desktop\Everest Poker.lnk

          (!) -- Fichiers temporaires supprimés.

          1,Clé supprimée: HKLM\Software\Classes\CLSID\{B15FD82E-85BC-430d-90CB-65DB1B030510}
          1,Clé supprimée: HKLM\Software\Classes\CLSID\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
          1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
          1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
          1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
          1,Clé supprimée: HKLM\Software\Classes\CLSID\{F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA}
          1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA}
          1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA}
          1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA}
          1,Clé supprimée: HKLM\Software\Classes\CLSID\{F0D4B239-DA4B-4daf-81E4-DFEE4931A4AA}
          1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{F0D4B239-DA4B-4daf-81E4-DFEE4931A4AA}
          1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{F0D4B239-DA4B-4daf-81E4-DFEE4931A4AA}
          1,Clé supprimée: HKLM\Software\Classes\CLSID\{F0D4B23B-DA4B-4daf-81E4-DFEE4931A4AA}
          1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{F0D4B23B-DA4B-4daf-81E4-DFEE4931A4AA}
          1,Clé supprimée: HKLM\Software\Classes\Interface\{813A22E0-3E2B-4188-9BDA-ECA9878B8D48}
          1,Clé supprimée: HKLM\Software\Classes\Interface\{DF76E9B7-35EC-46FC-AF56-5B79DED9D64F}
          1,Clé supprimée: HKLM\Software\Classes\TypeLib\{15D9CA76-F712-4548-B2A5-C67CD47AC47A}
          1,Clé supprimée: HKLM\Software\Classes\TypeLib\{18AF7201-4F14-4BCF-93FE-45617CF259FF}
          0,Clé supprimée: HKLM\Software\Classes\EoEngineBHO.EOBHO
          0,Clé supprimée: HKLM\Software\Classes\EoEngineBHO.EOBHO.1
          0,Clé supprimée: HKLM\Software\Classes\AppID\EoEngineBHO.DLL
          1,Clé supprimée: HKLM\Software\Classes\AppID\{AFBB7970-789A-4264-BA70-E8127DECE400}
          0,Clé supprimée: HKLM\Software\EoRezo
          0,Clé supprimée: HKLM\Software\GamesBarSetup
          0,Clé supprimée: HKCU\Software\EoRezo
          0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\AskSBar Uninstall
          0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\EoRezo_is1
          0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Everest Poker
          0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\SoftwareUpdate_is1

          0,Valeur supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Run|Eorezo
          0,Valeur supprimée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{F0D4B239-DA4B-4DAF-81E4-DFEE4931A4AA}
          0,Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{F0D4B239-DA4B-4DAF-81E4-DFEE4931A4AA}

          ============== SCAN ADDITIONNEL ==============

          ** Internet Explorer Version [8.0.6001.18943] **

          [HKCU\Software\Microsoft\Internet Explorer\Main]
          AutoHide: yes
          Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
          Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
          Do404Search: 0x01000000
          Enable Browser Extensions: yes
          Local Page: C:\Windows\system32\blank.htm
          Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
          Show_ToolBar: yes
          Start Page: hxxp://fr.msn.com/

          [HKLM\Software\Microsoft\Internet Explorer\Main]
          AutoHide: yes
          Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
          Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
          Delete_Temp_Files_On_Exit: yes
          Local Page: C:\Windows\System32\blank.htm
          Search bar: hxxp://search.msn.com/spbasic.htm
          Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
          Start Page: hxxp://fr.msn.com/

          [HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
          Tabs: res://ieframe.dll/tabswelcome.htm
          Blank: res://mshtml.dll/blank.htm

          ========================================

          C:\Program Files\Ad-Remover\Quarantine: 697 Fichier(s)
          C:\Program Files\Ad-Remover\Backup: 28 Fichier(s)

          C:\Ad-Report-CLEAN[1].txt - 20/08/2010 (5333 Octet(s))

          Fin à: 15:29:48, 22/08/2010

          ============== E.O.F ==============
          1. jacques.gache Contributeur sécurité
            tu continus en interdisant toujours la restauration système au démarrage, et une fois malwarebytes fais tu postes un zhpdiag pour contrôler cela , merci

            Ouvre ce lien et télécharge ZHPDiag :

            https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

            cliques sur télécharger "celui de droite"

            ou directement ici: https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

            et si problème : http://www.premiumorange.com/zeb-help-process/zhpdiag.html

            tu vas en bas de la page et tu télécharges le premier tu et tu dézippes

            Enregistres le sur ton Bureau.

            Une fois le téléchargement achevé

            pour XP, double-clique sur ZHPDiag

            pour Vista,et seven tu fais un clic droit sur l'icône et exécute en tant qu'administrateur.

            N'oublies pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

            /|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.

            Double cliques sur le raccourci ZHPDiag sur ton Bureau pour XP sinon clique droit et en tant que administrateur !!

            Clique sur le Tournevis puis sur Tous pour cocher toutes les cases des options.

            Cliques sur la loupe pour lancer l'analyse.

            Laisses l'outil travailler, il peut être assez long.

            A la fin de l'analyse,clique sur l'appareil photo et enregistre le rapport sur ton Bureau.

            Fermes ZHPDiag en fin d'analyse.

            Pour me le transmettre clique sur ce lien :

            http://www.cijoint.fr/index.php

            Clique sur Parcourir et cherche le fichier C:\Documents and settings\le_nom_de_ta_session\bureau\.ZHPDiag.txt

            ou directement en choisissant bureau et ZHPDiag.txt clique dessus

            Clique sur Ouvrir.

            Clique sur "Cliquez ici pour déposer le fichier".

            Un lien de cette forme :

            http://www.cijoint.fr/cjlink.php?file=cj200905/cib7SU.txt

            est ajouté dans la page.

            Copie ce lien dans ta réponse.
          2. vivelajamaique
            malwarebytes travaille en ce moment, je poste le raport ce soir a mon retour du tavaille et fait ensuite ce que vous m'avez dit de faire
            merci encore de votre aide et a plus tard
          3. jacques.gache Contributeur sécurité
            ok mais surtout pas laisser la restauration se faire au démarrage !!!!
        9. vivelajamaique
          Voici le raport de Combofix
          http://www.cijoint.fr/cjlink.php?file=cj201008/cij2CXbS4B.txt
          1. vivelajamaique
            j'espere que c'est bien le rapport que je viens de vous envoyer
          2. vivelajamaique
            et est ce que je remets le compte administrateur en place maintenant
            merci
          3. jacques.gache Contributeur sécurité
            ok peux tu refaire ad-remover en nettoyage, et malwarebytes , mais toujours en blocquand la restauration au démarrage
        10. vivelajamaique
          oui avec le cd already intalled dell drivers and utilities
          sinon la chose qui me fait la restauration c est au demarrage de l ordi
          il fait reparation demarrage et en suite il affiche restauration donc je la refuse mon ami vien de rentre il doit faire les manip combofixe ext .
          1. jacques.gache Contributeur sécurité
            oui il fait combofix, il prend bien le temps le lire tuto, et surtout au redémrrage sile pc te propoesl restauration système tu la refuses etcela à chaque démarrage tous le temps que l'on n'a pas fini la désinfection , j'ai regarder dans les lignes 04 qui sont le démarrage automatique et je trouve rien consernant cela !!
        11. vivelajamaique
          ok mon ami rentre du boulot dans une demi heure je prefere que ce soit lui qui fasse les manipulation car moi je suis vraiment null en informatique il vous poste les rapport des quil les a par contre j ai une question a titre perso si ont desinstalle avec le cd dell le virus serait toujour présent ou non ......
          1. jacques.gache Contributeur sécurité 
            si ont desinstalle avec le cd dell le virus serait toujour présent ou non ......


            tu veux dire quoi par la ?? tu parle de réinstaller le pc comme quand il était neuf ??

            sinon as tu le nom de la chose qui te fait la restauration système ??

            car si tu arrives à ne pas l'activer avant la fin de la désinfection et que l'on ait le temps depurger la restauration système avant que tu réactives cela on aura réussi !!!
        12. vivelajamaique
          bonjour j ai pu redemmarer l ordi en refusant la restauration ce matin il est un peut plus lent a demmarer il a mis 20 min environ doige faire les manipulation indiquer ja ttent votre reponse merci.
          1. jacques.gache Contributeur sécurité
            bonjour, oui fais combofix et au redémarrage refuses la restauration si tu peux !! c'est qui te fait cette restauration système c'estun logiciel que tu as installer ?? je vais reprendre le rapport ligne par ligne etrechercher si je trouve le nom de celui ci
        13. vivelajamaique
          ok merci pour votre aide bonne nuit a demain
          1. jacques.gache Contributeur sécurité
            bonjour, gen-hackman me conseil de te faire passer combofix, tu fais donc combofix , Merci

            Désactive le contrôle des comptes utilisateurs (tu le réactiveras après ta désinfection):

            - Va dans démarrer puis panneau de configuration
            - Double Clique sur l'icône "Comptes d'utilisateurs"
            - Clique ensuite sur désactiver et valide.

            Tutoriel officiel prends le temps de le regarder : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix
            et note bien cette manipe https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix#restore car des fois après combofix la connection internet est déactivée

            télécharge combofix (par sUBs) ici :

            http://download.bleepingcomputer.com/sUBs/ComboFix.exe

            et enregistre le sur le bureau.

            déconnecte toi d'internet et ferme toutes tes applications.

            désactive tes protections (antivirus, parefeu, garde en temps réel de l'antispyware)

            double-clique sur combofix.exe et suis les instructions

            à la fin, il va produire un rapport C:\ComboFix.txt

            réactive ton parefeu, ton antivirus, la garde de ton antispyware

            copie/colle le rapport C:\ComboFix.txt dans ta prochaine réponse.

            Attention, n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait figer l'ordi.
        14. vivelajamaique
          non mais lorsque je redemarre l ordi il fait toujour une reparation demarrage et une restauration .
          1. jacques.gache Contributeur sécurité
            ok dans ce cas cela va être dur de désinfecter si il fait une restauration systèmtiquement à chaque redémarrage !!! tu n'as pas la possibilité de la refuser au démarrage

            bon j'arrête pour se soir il se fait tard etpas envie de te faire faire une connerie, je vais contacter plus compétantpour savoir ourquoi ton vista te faitcela , car persour les 8 pc de la maison j'ai pas un seul vista ! je reviens demain !!
        • 1
        • 2

        Discussions similaires

        Softonic,est-ce un virus ?
        techmel1

        6 réponses
        Chrome://newtab
        Nova

        14 réponses
        Désinstaller Softonic
        Diguimette

        5 réponses
        Supprimer New Tab
        tysaozon

        8 réponses
        Bouton pause/break
        frans003

        3 réponses