Problème RunDLL

Attention, avant de commencer, lit attentivement la procédure, et imprime la

Aide à l'utilisation
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Télécharge ComboFix de sUBs sur ton Bureau :

http://download.bleepingcomputer.com/sUBs/ComboFix.exe

/!\ Déconnecte-toi du net et <gras>DESACTIVES TOUTES LES DEFENSES, antivirus et antispyware y compris /!\ </gras>

---> Double-clique sur ComboFix.exe
Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter

SURTOUT INSTALLES LA CONSOLE DE RECUPERATION
(si il te propose de l'installer remets internet)

---> Mets-le en langue française F
Tape sur la touche 1 (Yes) pour démarrer le scan.

Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

Note : Le rapport se trouve également là : C:\ComboFix.txt

Rapport de ZHPFix v1.12.3142 par Nicolas Coolman, Update du 31/08/2010
Fichier d'export Registre : C:\ZHPExportRegistry-07-09-2010-13-35-43.txt
Run by Mohamed at 07/09/2010 13:35:43
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé(s) du Registre ==========
[HKLM\SOFTWARE\Classes\CLSID\{06A1F910-762A-4660-B534-55B82571851C}] => Clé supprimée avec succès
[HKCR\CLSID\{06A1F910-762A-4660-B534-55B82571851C}] => Clé supprimée avec succès

========== Valeur(s) du Registre ==========
O46 - SEH:ShellExecuteHooks - (no name) - {06A1F910-762A-4660-B534-55B82571851C} - C:\Windows\system32\qoMgdbbx.dll => Valeur supprimée avec succès

========== Fichier(s) ==========
c:\windows\system32\qomgdbbx.dll => Supprimé et mis en quarantaine

========== Récapitulatif ==========
2 : Clé(s) du Registre
1 : Valeur(s) du Registre
1 : Fichier(s)

End of the scan

Copie tout le texte présent en gras ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )

O46 - SEH:ShellExecuteHooks - (no name) - {06A1F910-762A-4660-B534-55B82571851C} - C:\Windows\system32\qoMgdbbx.dll

Puis Lance ZHPFix depuis le raccourci du bureau .

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".

Copie/Colle le rapport à l'écran dans ton prochain message

le rapport se trouve dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport

Je fais le rapport ZHP diag uniquement sur les sessions où il y a des erreurs?

Fais un nouveau rapport ZHPdiag stp

Rend toi sur Cjoint : http://www.cijoint.fr/

Clique sur "Parcourir " dans la partie " Joindre un fichier[...] "

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

Clique ensuite sur "Cliquez ici pour déposer le fichier " et copie/colle le lien dans ton prochain message

En fait,
Sur ma session: pas de messages d'erreurs.
Sur la session administrateur; pas de messages d'erreurs.
Sur les 2 autres sessions: 3 messages d'erreurs pour l'une ; 1 message d'erreur pour l'autre.

Message d'erreur: module dll introuvable.

ok

comment va le pc et la session à erreur ?

Voici le rapport,

Rapport de ZHPFix v1.12.3142 par Nicolas Coolman, Update du 31/08/2010
Fichier d'export Registre : C:\ZHPExportRegistry-06-09-2010-13-18-15.txt
Run by Mohamed at 06/09/2010 13:18:15
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Valeur(s) du Registre ==========
O4 - HKUS\S-1-5-21-358842396-417138967-3268206363-1004-358842396-417138967-3268206363-1001\..\Run: [MSServer] C:\Users\INS~1\AppData\Local\Temp\ljJBtUmm.dll (.not file.) ) => Valeur absente
O4 - HKCU\..\Run: [risky] . (.Microsoft Corporation - Host Process for Windows Services.) -- C:\Users\Mohamed\AppData\Roaming\84372872az.exe => Valeur supprimée avec succès
O4 - HKUS\S-1-5-21-358842396-417138967-3268206363-1004-358842396-417138967-3268206363-1001\..\Run: [aeuxggo] c:\users\mohamed\appdata\local\aeuxggo.exe (.not file.) => Valeur absente
O4 - HKUS\S-1-5-21-358842396-417138967-3268206363-1004-358842396-417138967-3268206363-1001\..\Run: [jeouopeas] c:\users\mohamed\appdata\local\jeouopeas.exe (.not file.) => Valeur absente

========== Elément(s) de donnée du Registre ==========
O69 - SBI: SearchScopes [HKCU] {557C21FE-7274-410D-853E-9ED4471BF193} - (cherche.us) - http://www.cherche.usA%23FFFFF0%3B&q={searchTerms} => Donnée supprimée avec succès

========== Fichier(s) ==========
c:\users\ins~1\appdata\local\temp\ljjbtumm.dll => Supprimé et mis en quarantaine
c:\users\mohamed\appdata\roaming\84372872az.exe => Supprimé et mis en quarantaine
c:\users\mohamed\appdata\local\aeuxggo.exe => Supprimé et mis en quarantaine
c:\users\mohamed\appdata\local\jeouopeas.exe => Supprimé et mis en quarantaine

========== Récapitulatif ==========
4 : Valeur(s) du Registre
1 : Elément(s) de donnée du Registre
4 : Fichier(s)

End of the scan

sur la session sans erreur

Copie tout le texte présent en gras ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )

O4 - HKUS\S-1-5-21-358842396-417138967-3268206363-1004-358842396-417138967-3268206363-1001\..\Run: [MSServer] C:\Users\INS~1\AppData\Local\Temp\ljJBtUmm.dll (.not file.) )
O4 - HKCU\..\Run: [risky] . (.Microsoft Corporation - Host Process for Windows Services.) -- C:\Users\Mohamed\AppData\Roaming\84372872az.exe
O4 - HKUS\S-1-5-21-358842396-417138967-3268206363-1004-358842396-417138967-3268206363-1001\..\Run: [aeuxggo] c:\users\mohamed\appdata\local\aeuxggo.exe (.not file.)
O4 - HKUS\S-1-5-21-358842396-417138967-3268206363-1004-358842396-417138967-3268206363-1001\..\Run: [jeouopeas] c:\users\mohamed\appdata\local\jeouopeas.exe (.not file.)
O69 - SBI: SearchScopes [HKCU] {557C21FE-7274-410D-853E-9ED4471BF193} - (cherche.us) - http://www.cherche.usA%23FFFFF0%3B&q={searchTerms}

Puis Lance ZHPFix depuis le raccourci du bureau .

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".

Copie/Colle le rapport à l'écran dans ton prochain message

le rapport se trouve dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport

Voici le 2ème lien qui correspond à la 2ème session où s'affichent les messages d'erreurs.

http://www.cijoint.fr/cjlink.php?file=cj201009/cijN8qzqxP.txt

Voici le lien,

http://www.cijoint.fr/cjlink.php?file=cj201009/cijH2lwg7o.txt

Le PC va mieux. Mais il y a qqch que je ne comprends pas. J'ai redémarré mon ordi et sur ma session, il n' y avait plus de message d'erreur. Par contre, lorque je change de session, les messages d'erreurs reviennent. ça voudrait dire qu'il faudrait faire la même manip pour toutes les sessions?

ok

comment va le pc ?

Voici le rapport,

1. ========================= SEAF 1.0.0.7 - C_XX
2.
3. Commencé à: 16:54:36 le 05/09/2010
4.
5. Valeur(s) recherchée(s):
6.
7. qoMgdbbx
8.
9. (!) --- Calcul du Hash "MD5"
10. (!) --- Affichage des ADS
11. (!) --- Informations supplémentaires
12. (!) --- Recherche registre
13.
14. ====== Fichier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
15.
16. Aucun fichier trouvé
17.
18. ====== Dossier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
19.
20. Aucun dossier trouvé
21.
22.
23. ====== Entrée(s) du registre ======
24.
25.
26.
27. [HKEY_CLASSES_ROOT\CLSID\{06A1F910-762A-4660-B534-55B82571851C}\InprocServer32]
28. ""="C:\Windows\system32\qoMgdbbx.dll"
29.
30. [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{06A1F910-762A-4660-B534-55B82571851C}\InprocServer32]
31. ""="C:\Windows\system32\qoMgdbbx.dll"
32.
33. =========================
34.
35. Fin à: 17:01:40 le 05/09/2010 ( E.O.F )

Télécharge SEAF ( de C__XX ) sur ton bureau :

ici http://pagesperso-orange.fr/NosTools/C_XX/SEAF.exe

* Double clique sur "SEAF.exe" ( clique droit et "Exécuter en tant qu'administrateur" pour Vista / 7 ) pour lancer l'outil.

* Dans l'encardré blanc " Entrez ci dessous...." copie/colle ceci :

qoMgdbbx

* Au niveau des " options des fichiers ", fait les réglages suivant :
> A "Calculer le checksum" , choisis : MD5
> Coche la case devant " Info. supplémentaire ".
> Coche la case devant " Afficher les ADS "

* Au niveau des " options du registre " :
> coche " chercher également dans le registre "

( ne touche à aucun autre réglage )

* Clique sur " Lancer la recherche " et laisse travailler l'outil ...
( cela peut-être plus ou moins long suivant les cas ).

--> Une fois terminé, une fenêtre avec un log .txt va s'afficher. Enregistre ce rapport de façon à le retrouver facilement ( sur le bureau par exemple ). Sinon il sera en outre sauvegardé à la racine de ton disque dur ( ici > C:\SEAFLog.txt )

En tout cas la manip ne marche pas pour ce fichier C:\Windows\system32\qoMgdbbx.dll

Le fichier qoMgdbbx.dll est introuvable.

oui

Faut-il faire la même manip pour ce fichier là?
C:\Windows\system32\qoMgdbbx.dll

Voici ce qui s'affiche une fois que j'ai cliqué sur send file pour ce fichier C:\Users\Mohamed\AppData\Roaming\84372872az.exe

File already submitted: The file sent has already been analysed by VirusTotal in the past. This is same basic info regarding the sample itself and its last analysis:

MD5: 3794b461c45882e06856f282eef025af
Date first seen: 2008-03-30 20:47:38 (UTC)
Date last seen: 2010-09-04 13:15:13 (UTC)
Detection ratio: 0/43

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ce fichier :

C:\Users\Mohamed\AppData\Roaming\84372872az.exe
C:\Windows\system32\qoMgdbbx.dll

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse.

Si tu ne trouves pas le fichier alors

Affiche tous les fichiers et dossiers :

Pour cela :
Clique sur démarrer/panneau de configuration/option des dossiers/affichage

Cocher afficher les dossiers cachés

Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"

Décocher masquer les extensions dont le type est connu

Puis fais «appliquer» pour valider les changements.

Et OK