Infecté? firefox.exe

Résolu
bruce82 -  
Bonjour,

depuis 2/3 jours je remarque certain ralentissement de mon pc. Ps de panique je lance un coup de ccleaner et la surprise mozilla semble ouvert tandis que je n'ai ouvert aucune fenetre internet. Je vais voir ldans le gestionnaire des tache et la effectivement j'ai firefox.exe *32 (je précise je suis en windows 7 64bits) ; je le sélectionne fin de tache .... et il revient ???

Je suis ouvert a toute les idées possible
j'ai fait un scan malwarebytes pas de succès, antivir non plus

Merci de votre aide ^^

28 réponses

Résumé de la discussion

Des ralentissements apparaissent et firefox.exe *32 se relance malgré l’arrêt via le Gestionnaire des tâches, sur Windows 7 64 bits, ce qui indique une infection potentielle et une nécessité d’outils de décontamination. Plusieurs solutions ont été proposées, notamment l’analyse en mode sans échec et un scan Malwarebytes qui a détecté des fichiers malveillants et permis leur suppression, améliorant sensiblement les performances. D’autres outils recommandés, tels que ZHPDiag, OTL et UsbFix, servent à identifier les traces d’infection, générer des rapports et guider le nettoyage approfondi avant rétablissement du fonctionnement normal. Note technique: certains antivirus signalent Process.exe comme RiskTool, ce qui peut compliquer les nettoyages et justifie l’emploi d’outils dédiés et d’analyses en bonne et due forme, puis un redémarrage pour confirmer.

Bobot (l’IA à votre service)
  2. Utilisateur anonyme
    Bonsoir

    Il te faut désinstaller tous ces outils de désinfection.

    Il te faut passer Ccleaner pour nettoyer toutes les traces.

    Il te faut purger ta restauration pour éviter toute ré infection en cas de restauration.

    @+
    2. Utilisateur anonyme
      Bonsoir

      Lance une analyse complète de ton PC et poste moi son rapport;merci.

      @+
      2. bruce82 Auteur
        MERCI guillaume5186, je suis un boulet ... j'ai trouvé la solution ^^
        J'étais bien infecté mais je ne faisait pas l'analyse malwarebyte en mode sans échec :( je sais c'est MAL. Je viens d'y penser hop je lance l'analyse il trouve 13 fichier infecté...supprimer, reboot en normal et c'est fini firefox tourne du tonnerre

        :D :D :D

        merci de ton soutien et de ton aide, et surtout SURTOUT de ta patience et du temps que tu m'as accordé.
        1. bruce82 Auteur
          voila http://www.cijoint.fr/cjlink.php?file=cj201009/cijEWvDufF.txt

          je sens que les chose avance avira a détecté un trojan que j'ais tout de suite supprimer ^^
          1. Utilisateur anonyme
            Bonsoir

            Tu as du redémarré ;poste moi un nouveau rapport ZHPDiag;merci.

            @+
            2. bruce82 Auteur
              oui j'ais installer cacaoweb récemment :(

              voici le rapport
              Rapport de ZHPFix v1.12.3148 par Nicolas Coolman, Update du 09/09/2010
              Fichier d'export Registre : C:\ZHPExportRegistry-13-09-2010-22-18-06.txt
              Run by david at 13/09/2010 22:17:59
              Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
              Contact : nicolascoolman@yahoo.fr

              ========== Processus mémoire ==========
              C:\Users\david\AppData\Roaming\cacaoweb\cacaoweb.exe [305664] => Supprimé et mis en quarantaine

              ========== Clé(s) du Registre ==========
              O40 - ASIC: (no name) - {271086D1-7J8D-7C80-TDGY-52M2GBRF4L47} . (.) -- C:\Windows\Temp\svchost.exe => Clé supprimée avec succès
              O40 - ASIC: (no name) - {65062A83-OY6B-I27U-DYUD-K4153817NV35} . (.) -- C:\Users\david\AppData\Roaming\Temps\svchost.exe => Clé supprimée avec succès
              HKCU\Software\cacaoweb => Clé supprimée avec succès

              ========== Valeur(s) du Registre ==========
              O4 - HKLM\..\Run: [Windows Defender] . (.Pas de propriétaire - Pas de description.) -- C:\Windows\Temp\svchost.exe => Valeur supprimée avec succès
              O4 - HKLM\..\Run: [Windows live messenger] . (.Pas de propriétaire - Pas de description.) -- C:\Users\david\AppData\Roaming\Temps\svchost.exe => Valeur supprimée avec succès
              O4 - HKCU\..\Run: [cacaoweb] . (.Pas de propriétaire - Pas de description.) -- C:\Users\david\AppData\Roaming\cacaoweb\cacaoweb.exe => Valeur supprimée avec succès
              O4 - HKLM\..\Wow6432Node\Run: [Windows Defender] . (.Pas de propriétaire - Pas de description.) -- C:\Windows\Temp\svchost.exe => Valeur absente
              O4 - HKLM\..\Wow6432Node\Run: [Windows live messenger] . (.Pas de propriétaire - Pas de description.) -- C:\Users\david\AppData\Roaming\Temps\svchost.exe => Valeur absente
              O4 - HKLM\..\policies\Explorer\Run: [Policies] . (.Pas de propriétaire - Pas de description.) -- C:\Windows\Temp\svchost.exe => Valeur supprimée avec succès
              O4 - HKCU\..\policies\Explorer\Run: [Policies] . (.Pas de propriétaire - Pas de description.) -- C:\Windows\Temp\svchost.exe => Valeur supprimée avec succès
              O4 - HKUS\S-1-5-21-1959038664-1541212692-498172706-1001\..\Run: [cacaoweb] . (.Pas de propriétaire - Pas de description.) -- C:\Users\david\AppData\Roaming\cacaoweb\cacaoweb.exe => Valeur absente

              ========== Fichier(s) ==========
              c:\windows\temp\svchost.exe => Fichier supprimé au reboot
              c:\users\david\appdata\roaming\temps\svchost.exe => Fichier supprimé au reboot

              ========== Récapitulatif ==========
              1 : Processus mémoire
              3 : Clé(s) du Registre
              8 : Valeur(s) du Registre
              2 : Fichier(s)

              End of the scan

              je dois redémarrer
              1. Utilisateur anonyme
                Bonsoir

                Tu as installé cacaoweb?

                - Utilsation de l'outil ZHPFix :

                * Copie tout le texte présent dans l'encadré ci-dessous (tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )
                -----------------------------------------------------------------------------------------------
                [MD5.1755603E15D16D1154F7E039D3445EBC] - (.Pas de propriétaire - Pas de description.) -- C:\Users\david\AppData\Roaming\cacaoweb\cacaoweb.exe [305664]
                O4 - HKLM\..\Run: [Windows Defender] . (.Pas de propriétaire - Pas de description.) -- C:\Windows\Temp\svchost.exe
                O4 - HKLM\..\Run: [Windows live messenger] . (.Pas de propriétaire - Pas de description.) -- C:\Users\david\AppData\Roaming\Temps\svchost.exe
                O4 - HKCU\..\Run: [cacaoweb] . (.Pas de propriétaire - Pas de description.) -- C:\Users\david\AppData\Roaming\cacaoweb\cacaoweb.exe
                O4 - HKLM\..\Wow6432Node\Run: [Windows Defender] . (.Pas de propriétaire - Pas de description.) -- C:\Windows\Temp\svchost.exe
                O4 - HKLM\..\Wow6432Node\Run: [Windows live messenger] . (.Pas de propriétaire - Pas de description.) -- C:\Users\david\AppData\Roaming\Temps\svchost.exe
                O4 - HKLM\..\policies\Explorer\Run: [Policies] . (.Pas de propriétaire - Pas de description.) -- C:\Windows\Temp\svchost.exe
                O4 - HKCU\..\policies\Explorer\Run: [Policies] . (.Pas de propriétaire - Pas de description.) -- C:\Windows\Temp\svchost.exe
                O4 - HKUS\S-1-5-21-1959038664-1541212692-498172706-1001\..\Run: [cacaoweb] . (.Pas de propriétaire - Pas de description.) -- C:\Users\david\AppData\Roaming\cacaoweb\cacaoweb.exe
                O40 - ASIC: (no name) - {271086D1-7J8D-7C80-TDGY-52M2GBRF4L47} . (.Pas de propriétaire - Pas de description.) -- C:\Windows\Temp\svchost.exe
                O40 - ASIC: (no name) - {65062A83-OY6B-I27U-DYUD-K4153817NV35} . (.Pas de propriétaire - Pas de description.) -- C:\Users\david\AppData\Roaming\Temps\svchost.exe
                [HKCU\Software\cacaoweb]

                -------------------------------------------------------------------------------------------------
                Puis lance ZHPFix depuis le raccourci du bureau. Sous Vista :Clic droit sur l'icône ZHPFix.exe
                « Exécuter en tant qu'administrateur »
                .

                * Une fois l'outil ZHPFix ouvert, clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

                * Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaîtrent.

                Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

                * Puis clique sur le bouton [ OK

                > À ce moment là, il apparaîtra au début de chaque ligne une petite case vide. Ne touche plus à rien !

                !! Déconnecte toi, désactive tes défenses (anti-virus, anti-spyware ) et ferme bien toutes autres applications ( navigateurs compris ) !!

                * Clique sur le bouton [ Tous]. Vérifie que toutes les lignes soient bien cochées.

                * Enfin clique sur le bouton [ Nettoyer].

                -> laisse travailler l'outil et ne touche à rien ...

                -> Si il t'est demandé de redémarrer le PC pour finir le nettoyage, fais le !

                Une fois terminé, un nouveau rapport s'affiche : poste le contenu de ce dernier dans ta prochaine réponse ...

                ( ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ ZHPFixReport.txt )

                Pense à réactiver tes défenses !...

                A+

                3. Utilisateur anonyme
                  Bonsoir

                  J'attends le rapport Malwaresbytes et rien d'autre...

                  @+
                  1. bruce82 Auteur
                    ah oui pardon le voici :
                    Malwarebytes' Anti-Malware 1.46
                    www.malwarebytes.org

                    Version de la base de données: 4599

                    Windows 6.1.7600
                    Internet Explorer 8.0.7600.16385

                    12/09/2010 13:16:15
                    mbam-log-2010-09-12 (13-16-15).txt

                    Type d'examen: Examen complet (C:\|E:\|F:\|)
                    Elément(s) analysé(s): 528891
                    Temps écoulé: 3 heure(s), 34 minute(s), 51 seconde(s)

                    Processus mémoire infecté(s): 0
                    Module(s) mémoire infecté(s): 0
                    Clé(s) du Registre infectée(s): 3
                    Valeur(s) du Registre infectée(s): 3
                    Elément(s) de données du Registre infecté(s): 0
                    Dossier(s) infecté(s): 0
                    Fichier(s) infecté(s): 8

                    Processus mémoire infecté(s):
                    (Aucun élément nuisible détecté)

                    Module(s) mémoire infecté(s):
                    (Aucun élément nuisible détecté)

                    Clé(s) du Registre infectée(s):
                    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{271086d1-7j8d-7c80-tdgy-52m2gbrf4l47} (Generic.Bot.H) -> Quarantined and deleted successfully.
                    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{65062a83-oy6b-i27u-dyud-k4153817nv35} (Generic.Bot.H) -> Quarantined and deleted successfully.
                    HKEY_CURRENT_USER\Software\victim (Malware.Trace) -> Quarantined and deleted successfully.

                    Valeur(s) du Registre infectée(s):
                    HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\policies (Trojan.Agent) -> Quarantined and deleted successfully.
                    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\policies (Trojan.Agent) -> Quarantined and deleted successfully.
                    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\windows live messenger (Trojan.Agent) -> Quarantined and deleted successfully.

                    Elément(s) de données du Registre infecté(s):
                    (Aucun élément nuisible détecté)

                    Dossier(s) infecté(s):
                    (Aucun élément nuisible détecté)

                    Fichier(s) infecté(s):
                    C:\Windows\Temp\svchost.exe (Generic.Bot.H) -> Quarantined and deleted successfully.
                    C:\Users\david\AppData\Roaming\Temps\svchost.exe (Generic.Bot.H) -> Quarantined and deleted successfully.
                    F:\jeux\origine\Napoleon Total War [PC-DVD][Multi8][Spanish][www.consolasatope.com]\Phx_data\Res\EmuCfg.exe (Trojan.Agent) -> Not selected for removal.
                    F:\jeux\origine\Napoleon Total War [PC-DVD][Multi8][Spanish][www.consolasatope.com]\Phx_data\Res\GCFMgr.exe (Trojan.Agent) -> Not selected for removal.
                    C:\Users\david\AppData\Roaming\logs.dat (Bifrose.Trace) -> Quarantined and deleted successfully.
                    C:\Users\david\AppData\Local\Temp\UuU.uUu (Malware.Trace) -> Quarantined and deleted successfully.
                    C:\Users\david\AppData\Local\Temp\XxX.xXx (Malware.Trace) -> Delete on reboot.
                    C:\Users\david\AppData\Local\Temp\xxxyyyzzz.dat (Malware.Trace) -> Quarantined and deleted successfully.
                  2. bruce82 Auteur
                    et pour les nom des disques dur tu as une idées ?
                5. Utilisateur anonyme
                  Bonjour

                  Je viens de constater que tu avais passé Malwaresbytes mais s'en l'avoir mis à jour.Fait le et lance une nouvelle analyse et poste moi le rapport;merci.

                  @+
                  1. bruce82 Auteur
                    ok je fais ça. Par contre depuis oldtimer je ne peux plus renommer mes disques dur, y a t il une solution ?
                  2. Utilisateur anonyme
                    Re

                    Je ne vois pas en quoi OTL est responsable de cela...

                    @+
                  3. bruce82 Auteur
                    si ce n'est pas ça c'est usbfix ... car zhp je suis sur qu'il a gardé le nom de mes disque dur
                  4. bruce82 Auteur
                    ce qui est bizarre c'est que dans gestion des diques les nom n'ont pas changé !!!
                6. bruce82 Auteur
                  et voici le rapport http://www.cijoint.fr/cjlink.php?file=cj201009/cijZjDg6cw.txt

                  et celui la c'est "extra" http://www.cijoint.fr/cjlink.php?file=cj201009/cijUeqVepz.txt

                  Et encore merci de ton aide et du temps que tu passes pour régler le problème
                  1. Utilisateur anonyme
                    re

                    Ok ,encore infecté ;(

                    Passons à un autre utilitaire pour essayer de trouver et d'éradiquer cette vérole.
                    pour cela:

                    * Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.

                    * Fait un double-clic sur l'icône d'OTL pour le lancer
                    /!\ pour Vista/Seven fais un clic-droit sur l'icône d'OTL et choisis "Exécuter en tant qu'administrateur"

                    * Assure toi d'avoir fermé toutes les applications en cours de fonctionnement.

                    * Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case "Rapport minimal" soit cochée.

                    * Copies et colles le contenu de cette citation dans la partie inférieure d'OTL "Personnalisation"

                    ---------------------------------------------------------------------------
                    netsvcs
                    msconfig
                    safebootminimal
                    safebootnetwork
                    activex
                    drivers32
                    %ALLUSERSPROFILE%\Application Data\*.
                    %ALLUSERSPROFILE%\Application Data\*.exe /s
                    %APPDATA%\*.
                    %APPDATA%\*.exe /s
                    %SYSTEMDRIVE%\*.exe
                    /md5start
                    eventlog.dll
                    scecli.dll
                    netlogon.dll
                    cngaudit.dll
                    sceclt.dll
                    ntelogon.dll
                    logevent.dll
                    iaStor.sys
                    nvstor.sys
                    atapi.sys
                    cdrom.sys
                    disk.sys
                    ndis.sys
                    mountmgr.sys
                    win32k.sys
                    storport.sys
                    IdeChnDr.sys
                    viasraid.sys
                    AGP440.sys
                    vaxscsi.sys
                    nvatabus.sys
                    viamraid.sys
                    nvata.sys
                    nvgts.sys
                    iastorv.sys
                    Winlogon.exe
                    Explorer.exe
                    Firefox.exe
                    ViPrt.sys
                    eNetHook.dll
                    ahcix86.sys
                    KR10N.sys
                    nvstor32.sys
                    ahcix86s.sys
                    nvrd32.sys
                    /md5stop
                    %systemroot%\*. /mp /s
                    %systemroot%\system32\*.dll /lockedfiles
                    %systemroot%\Tasks\*.job /lockedfiles
                    %systemroot%\system32\drivers\*.sys /lockedfiles
                    %systemroot%\System32\config\*.sav
                    CREATERESTOREPOINT
                    -------------------------------------------------------------------------
                    * Cliques sur l'icône "Analyse" (en haut à gauche) .
                    * Laisse le scan aller à son terme sans te servir du PC
                    * A la fin du scan un ou deux rapports vont s'ouvrir "OTL.Txt" et ( ou ) "Extras.Txt"( dans certains cas).
                    * Copie et colle le ou les rapports dans ta réponse stp...
                    * Au cas où, tu peux les retrouver dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés

                    @+
                    1. bruce82 Auteur
                      comme tu voudras http://www.cijoint.fr/cjlink.php?file=cj201009/cijTxrqfBQ.txt

                      au fait j'aimerais apprendre a déverroller comme toi ; as tu des conseil ou des tuto a me filer ?
                      2. Utilisateur anonyme
                        Re

                        A partir de quel site l'as tu téléchargé?
                        1. bruce82 Auteur
                          je ne pense pas que le problème vient de la puisqu'il était présent avant, mais voici le lien http://www.mozilla-europe.org/fr/firefox/
                      • 1
                      • 2

                      Discussions similaires

                      Firefox exe point d'entrée introuvable
                      Man

                      2 réponses
                      Infecte par un virus
                      sapard

                      3 réponses
                      Mon ordinateur a été infecté par un virus ou
                      henry4002

                      6 réponses
                      firefox.exe - image incorrecte
                      niji

                      3 réponses
                      Infecté?
                      Marcopolo41

                      2 réponses