virusvirus Résolu

Question

bonjour,

j'ai ramassé un virus qui trainait, est ce que quelqu'un pourrait m'aider à l'enlever svp ?

je poste un rapport, je crois que c'est ça la procédure...

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:07:49, on 09/12/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Microsoft\Search Enhancement Pack\SeaPort\SeaPort.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Avira\AntiVir Desktop\avshadow.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Program Files\Hercules\WiFi Station\WifiStation.exe
C:\Program Files\Micro Application\LauncherMA.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Program Files\Avira\AntiVir Desktop\avnotify.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Mozilla Firefox\plugin-container.exe
C:\Documents and Settings\Filip\Mes documents\Téléchargements\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.microsoft.com/fwlink/?linkid=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.2.4204.1700\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Program Files\Windows Live\Toolbar\wltcore.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Program Files\Windows Live\Toolbar\wltcore.dll
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Fichiers communs\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Lanceur.lnk = C:\Program Files\Micro Application\LauncherMA.exe
O4 - Global Startup: WiFi Station.lnk = ?
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/...
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/...
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: ArcSoft Connect Daemon (ACDaemon) - Unknown owner - C:\Program Files\Fichiers communs\ArcSoft\Connection Service\Bin\ACService.exe (file missing)
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: Service Google Update (gupdate1ca267524427166) (gupdate1ca267524427166) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: ServiceLayer - Nokia - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

Lyonnais92 · Answer

Bonsoir,

qui te dit que tu as un virus ? Antivir ?

il te dit qu'il est où ?

il en fait quoi ?

===

Télécharge la dernière version de ZHPDiag

Enregistre le sur ton Bureau.

Une fois le téléchargement achevé,fais un double clic sur ZHPDiag.exe et suis les instructions.

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

pour Xp :Double clique sur le raccourci ZHPDiag sur ton Bureau.

pour vista et Seven : fais un clic droit  sur le raccourci ZHPDiag sur ton Bureau et choisis "exécuter en tant qu'administrateur".

/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.

Clique sur la loupe pour lancer l'analyse.

Laisse l'outil travailler, il peut être assez long.

Ferme ZHPDiag en fin d'analyse.


Pour transmettre le rapport clique sur Cijoint

Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).

Sélectionne le fichier ZHPDiag.txt.

Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt

est ajouté dans la page.

Copie ce lien dans ta réponse.

PP69PATATE · Answer

Salut et merci à toi confrère,

Oui c'est Antivir, je les ai supprimer ce qui les placent en quarantaine, voila leurs noms emplacements :

dropper DR/Click.libie.GC (2) + TR/Crypt.XPACK.Gen3

respectivement sur

C:/ System volume information
C:/ Documents and settings

G:/office/stroking.exe

ce qui en fait 3

et le lien
http://www.cijoint.fr/cjlink.php?file=cj201012/cij8hOL0G9.txt

Lyonnais92 · Answer

Bonsoir,

le rapport dit que Antivir a fait son travail.

Un petit truc (un reste de Askbar).

Copie dans le Presse-papier la ligne ci-dessous (sélectionne la avec la souris et fais simultanément Ctrl et C)

O69 - SBI: prefs.js [Filip - 7iw5t5tx.default] user_pref("extensions.snipit.askTbInstalled", true);

Déconnecte toi d'Internet et ferme toutes les applications ouvertes.


Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.

Clique sur "Tous" puis sur "Nettoyer".

Laisse l'outil travailler.

Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immédiatement.

Le rapport d'exécution va apparaître dans la fenêtre.

Copie le dans ta réponse.

=====

Il est urgent de mettre à jour Acrobat Reader :

https://www.commentcamarche.net/telecharger/bureautique/2625-adobe-reader/

et ta console java.

====

Fais redémarrer l'ordi, refais tourner ZHPDiag et poste le rapport dans un lien Cijoint.

PP69PATATE · Answer

j'ai pijé mais pas pour la manip du presse papiers, jamais entendu parler ..
tu peux m'eclairer?

Lyonnais92 · Answer

Re,

mets la ligne en surbrillance avec la souris et fais Ctrl C

Tu as copié dans le Presse-papier.

Quand tu fais Ctrl V, tu copies le contenu du Presse-papier

PP69PATATE · Answer

Bonjour,
Avant out, désolé pour le retard, j'ai du m'absenter je travaille en deplacement.

voila le rapport zhpfix

Rapport de ZHPFix 6.12.3226 par Nicolas Coolman, Update du 06/12/2010
Fichier d'export Registre : 
Run by Filip at 19/12/2010 13:45:43
Windows XP Home Edition Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Préférences navigateur ==========
/*user_pref("extensions.snipit.askTbInstalled", true);*/  => Valeur supprimée avec succès


========== Récapitulatif ==========
1 : Préférences navigateur


End of the scan


la mise a jour est faite, je m'occupe de suite du zhpdiag

PP69PATATE · Answer

et le lien cijoint :


http://www.cijoint.fr/cjlink.php?file=cj201012/cijI3Qy1WR.txt

Lyonnais92 · Answer

Bonjour,

désinstalle Acrobat Reader 5.0 (Panneau de configuration, Ajout/suppression de programme).

Mets à jour ta console java (update 23) et désinstalle l'update 21 (même méthode).

PP69PATATE · Answer

c'est bon, c'est fait

Lyonnais92 · Answer

Re,

alors, on peut éliminer les outils devenus inutiles :

Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique sur le A rouge (Nettoyeur de Tools).

Clique sur Nettoyer.

Fais redémarrer l'ordi pour terminer le nettoyage.

PP69PATATE · Answer

ok c'est fait

je te mets le rapport

Rapport de ZHPFix 6.12.3226 par Nicolas Coolman, Update du 06/12/2010
Fichier d'export Registre : 
Run by Filip at 19/12/2010 22:09:30
Windows XP Home Edition Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Logiciel(s) ==========
O63 - Logiciel: Ad-Remover By C_XX - (.C_XX.) [HKLM] -- Ad-Remover  => Logiciel supprimé avec succès
O63 - Logiciel: HijackThis 2.0.2 - (.TrendMicro.) [HKLM] -- HijackThis  => Logiciel supprimé avec succès
O63 - Logiciel: ZHPDiag 1.27 - (.Nicolas Coolman.) [HKLM] -- ZHPDiag_is1  => Logiciel supprimé avec succès


========== Récapitulatif ==========
3 : Logiciel(s)


End of the scan

Lyonnais92 · Answer

Re,

très bien.

A mon avis il manque un parefeu contrôlant les connexions sortantes.

Ma préférence est Online Armor :

https://www.commentcamarche.net/download/s/firewall-38/online%20armor

mais tu trouveras des gens qui préfèrent Comodo.

===

Pour le reste :

- une sauvegarde de ses fichiers personnels

- un OS légitime et à jour

- idem pour les logiciels (en particulier le navigateur, la console java, Adobe Reader mais c'est vrai pour tous

- Malwaresbytes antimalware mis à jour et scan de temps en temps (et en cas d'alerte)

- pas de cracks

-prudence dans les surfs

- réfléchir avant de cliquer

- des mots de passe fort (au moins 6 caractères, plutôt 8, ayant au moins 3 des 4 catégories, majuscules, minuscules, chiffres, caractères spéciaux) conservé "précieusement en lieu sûr"

diminueront sérieusement les risques.

PP69PATATE · Answer

Salut,

Désolé pour le retard, je te remerccie pour ton aide

A la prochaine ciao

Lyonnais92 · Answer

Bonjour,

pas grave pour le retard, mieux vaut tard que jamais.

De rien pour l'aide, ce fut avec plaisir.

J'en profite pour mettre le topic en "Résolu".

Bon surf.

PP69PATATE · Answer

Salut,

Je crois que je suis encore infecté car sa rame de + en +.
Les virus sont toujours en quarantaine 

Je fais quoi ? Merci

Lyonnais92 · Answer

Bonjour,

vide tes quarantaines.

Télécharge la dernière version de ZHPDiag

Enregistre le sur ton Bureau.

Une fois le téléchargement achevé,fais un double clic sur ZHPDiag.exe et suis les instructions.

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

pour Xp :Double clique sur le raccourci ZHPDiag sur ton Bureau.

pour vista et Seven : fais un clic droit  sur le raccourci ZHPDiag sur ton Bureau et choisis "exécuter en tant qu'administrateur".

/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.

Clique sur la loupe pour lancer l'analyse.

Laisse l'outil travailler, il peut être assez long.

Ferme ZHPDiag en fin d'analyse.


Pour transmettre le rapport clique sur Cijoint

Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).

Sélectionne le fichier ZHPDiag.txt.

Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt

est ajouté dans la page.

Copie ce lien dans ta réponse.

PP69PATATE · Answer

Voila,

http://www.cijoint.fr/cjlink.php?file=cj201102/cijd3mmmAu.txt

Merci de te coller au problème

Lyonnais92 · Answer

Bonjour,

rien d'infectieux dans le rapport.

a) scan avec ton antivirus après mise à jour de la base virale

b) scan avec MBAM après mise à jour

c) nettoyage des fichiers avec CCleaner

d) défragmentation des disques durs.

Dis moi le résultat.

PP69PATATE · Answer

Salut,

a/ antivir m'annonce cela :

    Cotient le modele de detection du virus JAVA/dldr.Agent
    
    Je l'ai placé en quarantaine


b/ MBAM :

    Malwarebytes' Anti-Malware 1.44
Version de la base de données: 3733
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

06/02/2011 13:09:16
mbam-log-2011-02-06 (13-09-16).txt

Type de recherche: Examen complet (A:\|C:\|D:\|E:\|)
Eléments examinés: 181114
Temps écoulé: 30 minute(s), 36 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

PP69PATATE · Answer

En fait, il va plutot pas mal dans l'ensemble MAIS,

contrairement a avant, ce n'est plus une fusée, un petit délai de 3 à 4 secondes quand je surfe sur le web, les chargements de vidéos n'en parlons pas .. on est proche du 10 secondes.

de plus , l'unité ronronne bizarrement meme lors d'une veille.

BIZARRE BIZARRRE

Lyonnais92 · Answer

Re,

un petit nettoyage du ventilateur ?

PP69PATATE · Answer

Re,

Tu m'interresses...

Ce petit fichier Java, c'est pas infectieux?

Hier soir j'ai ouvert le boitier et fait le menage mais le petit ventilo sur la carte mere, j'ai fais l'erreur de le declipser pour l'astiquer, et j'ai remis 3 clips sur 4, le dernier impossible, grave?
La position du ventilo etait Low ..
j'ai senti la difference après depoussierage.

Je me suis pas attaqué au ventilo de l'alimentation ou alors grossierement. 
Ca regorge de poussiere dedans ?

PP69PATATE · Answer

J'ai bien fais les operations de nettoyage, et une fois de + te remercie car le pc est une fusée.

Je vais accentué le nettoyage, je vois que c'est la clef ..

a++ et merci

Lyonnais92 · Answer

Bonjour,

de rien pour l'aide.

Un peu de nettoyage a parfois de grands effets .....

Virusvirus

24 réponses

Newsletters