Suis-je infecté?

Je me suis trompé de canned.

>>> Désactiver tous les programmes de protection (antivirus, antispyware...) et utiliser Internet Explorer pour faire un scan en ligne: ICI

* Cliquer sur le bouton vert ESET Online Scanner button, cocher la case YES, I accept the Terms of Use et cliquer sur Start.
* Accepter l'installation de l'ActiveX.
* Cocher Scan archives et cliquer Start
* Eset téléchargera la base de données et commencera le scan. Le laisser finir son scan.
* Sauvegarder les résultats ("Fichier" => "Enregistrer sous...") sur le Bureau en le nommant "scan-results" pour les copier/coller ici
* Cocher Uninstall application on close pour supprimer ESET Online Scanner de la machine et cliquer sur Finish.

Postes le rapport stp...

Euh, tu m'as déjà demandé de faire un examen avec Malwarebyte's Anti-Malware

* Télécharge et installe : Malwarebyte's Anti-Malware
* (NB : S'il te manque"COMCTL32.OCX" lors de l'installe, alors télécharge le ici : https://www.malekal.com/tutorial-aboutbuster/
* A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
* Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
* Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet" puis "Rechercher"
* Sélectionne tes disques durs" puis clique sur "Lancer l'examen"
* A la fin du scan, clique sur Afficher les résultats
* Coche tous les éléments détectés puis clique sur Supprimer la sélection
* Enregistre le rapport
* S'il t'est demandé de redémarrer, clique sur Yes
* Poste le rapport de scan après la suppression ici.(poste le rapport, même si rien n'est détecté.)
* Si tu as besoin d'aide regarde ce tutorial
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

0 VT Community user(s) with a total of 0 reputation credit(s) say(s) this sample is goodware. 0 VT Community user(s) with a total of 0 reputation credit(s) say(s) this sample is malware.
File name:
Screenpresso.exe
Submission date:
2010-09-01 19:00:28 (UTC)
Current status:
finished
Result:
0 /43 (0.0%)

VT Community

not reviewed
Safety score: -
Compact
Print results
Antivirus Version Last Update Result
AhnLab-V3 2010.09.01.01 2010.09.01 -
AntiVir 8.2.4.46 2010.09.01 -
Antiy-AVL 2.0.3.7 2010.09.01 -
Authentium 5.2.0.5 2010.09.01 -
Avast 4.8.1351.0 2010.09.01 -
Avast5 5.0.594.0 2010.09.01 -
AVG 9.0.0.851 2010.09.01 -
BitDefender 7.2 2010.09.01 -
CAT-QuickHeal 11.00 2010.09.01 -
ClamAV 0.96.2.0-git 2010.09.01 -
Comodo 5936 2010.09.01 -
DrWeb 5.0.2.03300 2010.09.01 -
Emsisoft 5.0.0.37 2010.09.01 -
eSafe 7.0.17.0 2010.09.01 -
eTrust-Vet 36.1.7830 2010.09.01 -
F-Prot 4.6.1.107 2010.09.01 -
F-Secure 9.0.15370.0 2010.09.01 -
Fortinet 4.1.143.0 2010.09.01 -
GData 21 2010.09.01 -
Ikarus T3.1.1.88.0 2010.09.01 -
Jiangmin 13.0.900 2010.08.30 -
K7AntiVirus 9.63.2406 2010.08.31 -
Kaspersky 7.0.0.125 2010.09.01 -
McAfee 5.400.0.1158 2010.09.01 -
McAfee-GW-Edition 2010.1B 2010.09.01 -
Microsoft 1.6103 2010.09.01 -
NOD32 5416 2010.09.01 -
Norman 6.05.11 2010.09.01 -
nProtect 2010-09-01.01 2010.09.01 -
Panda 10.0.2.7 2010.09.01 -
PCTools 7.0.3.5 2010.09.01 -
Prevx 3.0 2010.09.01 -
Rising 22.63.02.04 2010.09.01 -
Sophos 4.56.0 2010.09.01 -
Sunbelt 6822 2010.09.01 -
SUPERAntiSpyware 4.40.0.1006 2010.09.01 -
Symantec 20101.1.1.7 2010.09.01 -
TheHacker 6.5.2.1.360 2010.09.01 -
TrendMicro 9.120.0.1004 2010.09.01 -
TrendMicro-HouseCall 9.120.0.1004 2010.09.01 -
VBA32 3.12.14.0 2010.09.01 -
ViRobot 2010.8.31.4017 2010.09.01 -
VirusBuster 12.64.13.0 2010.09.01 -
Additional information
Show all
MD5 : 3d74f958f6d8c5fdfdce17cd91df7e98
SHA1 : 1813d5cb58a7ee4dc620389c25efb6ca34d28685
SHA256: 680869ba2abcffe7eb783faad8acfe36d28d4d32a135dca0c062814cf91068eb
ssdeep: 24576:rowgP5AKA2XDqNIK06tm7A0y20pdeKRgQ7O+VtVP6FjI1gyu+pd0JRPrOtz2+Ct/:rEPu
rbNr7zVtYISyG5+Ct+CYYE/m
File size : 4116992 bytes
First seen: 2010-08-18 09:07:13
Last seen : 2010-09-01 19:00:28
Magic: PE32 executable for MS Windows (GUI) Intel 80386 32-bit Mono/.Net assembly
TrID:
Generic CIL Executable (.NET, Mono, etc.) (67.4%)
Windows Screen Saver (12.0%)
Win32 Executable Generic (7.8%)
Win32 Dynamic Link Library (generic) (6.9%)
Win16/32 Executable Delphi generic (1.9%)
sigcheck:
publisher....: LearnPulse
copyright....: Copyright (c) LearnPulse 2010
product......: Screenpresso
description..: Screenpresso
original name: Screenpresso.exe
internal name: Screenpresso.exe
file version.: 1.1.3.0
comments.....: Screen capture tool
signers......: -
signing date.: -
verified.....: Unsigned
PEiD: -
PEInfo: PE structure information

[[ basic data ]]
entrypointaddress: 0x3E7BFE
timedatestamp....: 0x4C63FADB (Thu Aug 12 13:44:59 2010)
machinetype......: 0x14C (Intel I386)

[[ 3 section(s) ]]
name, viradd, virsiz, rawdsiz, ntropy, md5
.text, 0x2000, 0x3E5C04, 0x3E5E00, 5.95, bf98e6e6409962279b20ada5f06e9bb1
.rsrc, 0x3E8000, 0x6E48, 0x7000, 5.45, 4eb052db3b05f9ca158cdbe56b9305a4
.reloc, 0x3F0000, 0xC, 0x200, 0.08, 6bb3cbdffb9e9cb0e35310a938a37390

[[ 1 import(s) ]]
mscoree.dll: _CorExeMain

VT Community

0

This file has never been reviewed by any VT Community member. Be the first one to comment on it!

J'ai un doute sur ce fichier éxécutable.Analyses le sur VIrustotal.

* rends toi sur ce site : https://www.virustotal.com/gui/
==>Analyse ce fichier:
------------------------------------------------------------------------------------------
C:\Documents and Settings\compaq\Local Settings\Application Data\LearnPulse\Screenpresso\Screenpresso.exe

------------------------------------------------------------------------------------------
* Cliquez sur Parcourir... :
* Sélectionnez le fichier que vous voulez analyser et cliquez sur Ouvrir :
* Cliquez ensuite sur Envoyez le fichier : s'il a déjà été analysé, demande une nouvelle analyse.
* Fais un copier/coller du rapport sur le forum.

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Driver "vesbb" deleted successfully.

Error: file "c:\windows\system32\01.tmp" not found!
Deletion of file "c:\windows\system32\01.tmp" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Completed script processing.

*******************

Finished! Terminate.

Tu serais pourquoi j'ai attrapé ces infections ?

eMule PeerToPeer
LimeWire Java PeerToPeer

1. Télécharge http://www.geekstogo.com/forum/files/file/393-the-avenger-by-swandog46/ par Swandog46 sur ton Bureau.

* Décompresse le fichier
* avenger.exe sur le bureau

2. Copie le contenu en gras ci-dessous (CTRL+C),

Drivers to delete:
vesbb

Files to delete:
c:\windows\system32\01.tmp


Note: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.

3. Maintenant, lance The Avenger par clic droit, exécuter en tant qu'administrateur.

* Faites un clic droit sur la fenêtre sous "Input Script There":, Et choisissez Coller.A présent du dois avoir le script dans la fenétre blanche d' Avenger.
* Clique sur Exécuter
* Réponds "Yes" quand demandé.

4. The Avenger va automatiquement faire ce qui suit:

* Il va Redémarrer le système.
* Pendant le redémarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur le bureau, c'est normal.
* Après le redémarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt

5. Pour finir copie/colle le contenu du ficher c:\avenger.txt dans ta prochaine réponse.

Tuto :
http://www.oxygenepc.com/forum/the-avenger-t594.html

Voilà :

http://www.cijoint.fr/cjlink.php?file=cj201009/cijk6VaO4I.txt

Tu serais pourquoi j'ai attrapé ces infections ?

/!\ ATTENTION /!\ Le script qui suit a été écrit spécialement pour cyannure , il n'est pas transposable sur un autre ordinateur !
* Télécharge ce dossier cyannure.zip
* Fais un clic-droit dessus --> Extraire tout --> choisis le Bureau comme destination
* Un autre dossier va apparaitre, prends le fichier CFScript.txt qui se trouve à l'intérieur et place le sur le Bureau et pas ailleurs.
* Désactive tes logiciels de protection
* Fais un glisser/déposer de ce fichier CFScript.txt sur le fichier Combofix.exe
comme ceci :http://img155.imageshack.us/img155/4837/cfscriptop0.gif
* Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal !
/!\ Ne touche ni à la souris, ni au clavier durant le scan /!\
* Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
* Si le fichier ne s'ouvre pas, il se trouve ici ? C:\ComboFix.txt

http://www.cijoint.fr/cjlink.php?file=cj201009/cijzEF2QJL.txt

http://www.cijoint.fr/cjlink.php?file=cj201009/cijzXTOPry.txt

ok.Ne fixe pas les deux lignes par contre fais ceci.

/!\ A l'attention de ceux qui passent sur ce sujet /!\
Le logiciel qui suit n'est pas à utiliser à la légère et peut faire des dégâts s'il est mal utilisé ! Ne le faites que si un helpeur du forum qui connait bien cet outil vous l'a recommandé.

/!\ Désactive tous tes logiciels de protection (Antivirus, Antispywares) /!\

* Télécharge combofix(de sUBs) sur ton Bureau.
* Double-clique sur ComboFix.exe afin de le lancer.
* Il va te demander d'installer la console de récupération : accepte. (important en cas de problème)
/!\ Ne touche ni à la souris, ni au clavier durant le scan /!\
* Lorsque la recherche sera terminée, un rapport apparaîtra.
* Héberge le rapport C:\Combofix.txt sur le site cijoint.fr, puis copie/colle le lien fournit dans ta prochaine réponse sur le forum
#Si combofix ne veut pas se lancer renommes le en ccm.exe et éxécutes le en mode sans échec .
Tutoriel officiel de Combofix : http://www.bleepingcomputer.com/combofix/fr/comment-utiliser¬-combofix

screenpresso je l'utilise pour faire des screens et AIS c'est ma connexion
internet.

Je fais quand même?

Pour afficher les dossiers et fichiers cachés du système:
Panneau de configuration==>Options des dossiers==>onglet Affichage
*cocher Afficher les fichiers et dossiers cachés,
*décocher Masquer les extensions de fichiers connus.
*décocher Masquer les fichiers protégés du Système .
===================================
* rends toi sur ce site : https://www.virustotal.com/gui/
==>Analyse ce fichier:
* Cliquez sur Parcourir... :
* Sélectionnez le fichier que vous voulez analyser et cliquez sur Ouvrir :
Pour toi ce sera.
-----------------------------------------------------------------------------------------------------
C:\Documents and Settings\compaq\Local Settings\Application Data\LearnPulse\Screenpresso\Screenpresso.exe

Idem pour celui-ci

C:\Program Files\AIS SUPER 3G\AIS SUPER 3G.exe

-----------------------------------------------------------------------------------------------------
* Cliquez ensuite sur Envoyez le fichier : s'il a déjà été analysé, demande une nouvelle analyse.
* Fais un copier/coller du rapport sur le forum.

Pour le 115.178.58.10, j'ai pu tous les delete sauf : (defaut) REG_SZ (value not set)

Et pour le 115.178.58.26 il me met : Finished searching throngh the registry

en fait ça sert à quoi de faire ça et c'est quoi ces chiffres?

ZHPDiag : http://www.cijoint.fr/cjlink.php?file=cj201009/cijP6GAV7d.txt

Rapport de ZHPFix v1.12.3141 par Nicolas Coolman, Update du 27/08/2010
Fichier d'export Registre : C:\ZHPExportRegistry-03.09.2010-09-43-58.txt
Run by compaq at 03.09.2010 09:43:39
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Valeur(s) du Registre ==========
O4 - HKCU\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe => Valeur supprim?e avec succ?s
O4 - HKCU\..\Run: [swg] . (.Google Inc. - GoogleToolbarNotifier.) -- C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe => Valeur supprim?e avec succ?s
O4 - HKUS\S-1-5-21-1275210071-813497703-1801674531-1003\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe => Valeur absente
O4 - HKUS\S-1-5-21-1275210071-813497703-1801674531-1003\..\Run: [swg] . (.Google Inc. - GoogleToolbarNotifier.) -- C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe => Valeur absente
O52 - TDSD: \drivers.desc\"ir50_32.dll"="Indeo? video 5.10" . (.Pas de propri?taire - Pas de description.) -- (.not file.) => Valeur supprim?e avec succ?s
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe => Valeur supprim?e avec succ?s

========== El?ment(s) de donn?e du Registre ==========
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified => Donn?e supprim?e avec succ?s
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified => Donn?e supprim?e avec succ?s
O17 - HKLM\System\CCS\Services\Tcpip\..\{99BC3A3B-21DB-4FCC-B8AD-D115C2615265}: NameServer = 115.178.58.10 115.178.58.26 => Donn?e supprim?e avec succ?s
O17 - HKLM\System\CS1\Services\Tcpip\..\{99BC3A3B-21DB-4FCC-B8AD-D115C2615265}: NameServer = 115.178.58.10 115.178.58.26 => Donn?e supprim?e avec succ?s

========== Fichier(s) ==========
c:\windows\system32\ctfmon.exe => Fichier supprim? au reboot
c:\program files\google\googletoolbarnotifier\googletoolbarnotifier.exe => Fichier supprim? au reboot

========== R?capitulatif ==========
6 : Valeur(s) du Registre
4 : El?ment(s) de donn?e du Registre
2 : Fichier(s)

A faire dans l'ordre.

1/ Copie/colle les lignes suivantes et place les dans ZHPFix :
2/Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag)
3/Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)

----------------------------------------------------------
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified
O4 - HKCU\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] . (.Google Inc. - GoogleToolbarNotifier.) -- C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-21-1275210071-813497703-1801674531-1003\..\Run: [CTFMON.EXE] . (.Microsoft Corporation - CTF Loader.) -- C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-21-1275210071-813497703-1801674531-1003\..\Run: [swg] . (.Google Inc. - GoogleToolbarNotifier.) -- C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{99BC3A3B-21DB-4FCC-B8AD-D115C2615265}: NameServer = 115.178.58.10 115.178.58.26
O17 - HKLM\System\CS1\Services\Tcpip\..\{99BC3A3B-21DB-4FCC-B8AD-D115C2615265}: NameServer = 115.178.58.10 115.178.58.26
O52 - TDSD: \drivers.desc\"ir50_32.dll"="Indeo? video 5.10" . (.Pas de propri?taire - Pas de description.) -- (.not file.)
OPT:O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe

----------------------------------------------------------
* Clique sur"ok" (Tu dois avoir seulement les lignes copiées sur le forum)
* Clique sur « Tous », puis sur « Nettoyer »
* Copie/colle la totalité du rapport dans ta prochaine réponse
======================================================

Clique sur démarrer/Exécuter et tape regedit
Presse : CTRL et F
Tout cocher sauf nom entier
Ecrire ou copier/coller : 115.178.58.10
Clique : Suivant
Si trouvé ==> clic-droit et supprimer
relancer la recherche jusqu'à l'annonce de FIN
Fais la méme chose avec 115.178.58.26

3/
Post un rapport Zhpdiag.

http://www.cijoint.fr/cjlink.php?file=cj201009/cijoAn20N8.txt

Redemarres ton pc .(important)
Post un nouveau rapport zhpdiag.

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de donn?es: 4523

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

01.09.2010 23:43:41
mbam-log-2010-09-01 (23-43-41).txt

Type d'examen: Examen complet (C:\|D:\|)
El?ment(s) analys?(s): 189136
Temps ?coul?: 31 minute(s), 41 seconde(s)

Processus m?moire infect?(s): 0
Module(s) m?moire infect?(s): 0
Cl?(s) du Registre infect?e(s): 0
Valeur(s) du Registre infect?e(s): 0
El?ment(s) de donn?es du Registre infect?(s): 0
Dossier(s) infect?(s): 0
Fichier(s) infect?(s): 0

Processus m?moire infect?(s):
(Aucun ?l?ment nuisible d?tect?)

Module(s) m?moire infect?(s):
(Aucun ?l?ment nuisible d?tect?)

Cl?(s) du Registre infect?e(s):
(Aucun ?l?ment nuisible d?tect?)

Valeur(s) du Registre infect?e(s):
(Aucun ?l?ment nuisible d?tect?)

El?ment(s) de donn?es du Registre infect?(s):
(Aucun ?l?ment nuisible d?tect?)

Dossier(s) infect?(s):
(Aucun ?l?ment nuisible d?tect?)

Fichier(s) infect?(s):
(Aucun ?l?ment nuisible d?tect?)