TR/ATRAPS.Gen2 et JAVA/Agent.DU

Heureux de t'avoir aidé et merci de nous avoir tenu informés

Smart

Bien, malgré le peu de temps que j'ai eu cette semaine, j'ai enfin fait tout ce que tu m'as dit. Mon ordi est reparti comme au premiers jours.

Merci beaucoup de ton aide

kakolyne

C'est OK. Fais la suite

Smart

Rapport de ZHPFix 1.12.3260 par Nicolas Coolman, Update du 11/03/2011
Fichier d'export Registre :
Run by CAROLINE at 19/03/2011 21:56:36
Windows Vista Home Premium Edition, 32-bit Service Pack 1 (Build 6001)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé(s) du Registre ==========
O23 - Service: (Bonjour Service) . (.Apple Inc. - Bonjour Service.) - C:\Program Files\Bonjour\mDNSResponder.exe => Clé supprimée avec succès
SS - | Auto 27/07/2010 345376 | (Bonjour Service) . (.Apple Inc..) - C:\Program Files\Bonjour\mDNSResponder.exe => Clé absente

========== Valeur(s) du Registre ==========
O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\QTTask.exe => Valeur supprimée avec succès
O4 - HKLM\..\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper.) -- C:\Program Files\iTunes\iTunesHelper.exe => Valeur supprimée avec succès
O4 - HKCU\..\Run: [IncrediMail] . (.IncrediMail, Ltd. - IncrediMail Application.) -- C:\Program Files\IncrediMail\bin\IncMail.exe => Valeur supprimée avec succès
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] oobefldr.dll => Valeur supprimée avec succès
O4 - HKUS\S-1-5-20\..\Run: [WindowsWelcomeCenter] oobefldr.dll => Valeur supprimée avec succès
O4 - HKUS\S-1-5-21-3665754084-859555598-1099622955-1002\..\Run: [IncrediMail] . (.IncrediMail, Ltd. - IncrediMail Application.) -- C:\Program Files\IncrediMail\bin\IncMail.exe => Valeur absente

========== Récapitulatif ==========
2 : Clé(s) du Registre
6 : Valeur(s) du Registre

End of the scan

OK. c'est bon.

Fais les mise à jour suivantes:

Mise à jour Windows Vista:
http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=fr

Mise à jour IE8
https://support.microsoft.com/en-US/topic/internet-explorer-downloads-d49e1f0d-571c-9a7b-d97e-be248806ca70

Mise à jour Adobe Reader 10.0.1
Désinstalle Adobe
Installer Adobe 10.0.1

Mise à jour flashplayer vers la version 10.2.152.26
* Ferme tous tes navigateurs
* A partir du panneau de configuration de Windows, désinstalle Adobe FlashPlayer ActiveX (utilisé par IE) et Adobe FlashPlayer Plugin (utilisé par les autres navigateurs).
* Réinstalle http://fpdownload.adobe.com/get/flashplayer/current/install_flash_player_ax.exe ActiveX] (Décoche la case concernant l'installation de la Googlebar) et/ou le plugin

Tu dois aussi mettre à jour tous tes autres programmes pour combler des failles de sécurité... Vérifie les mises disponibles à l'aide de ce petit programme (choisis la version sans installation) : https://www.commentcamarche.net/faq/9908-filehippo-app-manager-vos-logiciels-sont-ils-a-jour
et lis ceci: Pourquoi tenir ses programmes a jour

Optimisation:

Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert)
Si tu ne l'as pas, télécharge le depuis ce lien: https://www.zebulon.fr/telechargements/securite/systeme/zhpfix.html
Copie/colle les lignes en gras suivantes :

----------------------------------------------------------
OPT:O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\QTTask.exe
OPT:O4 - HKLM\..\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper.) -- C:\Program Files\iTunes\iTunesHelper.exe
OPT:O4 - HKCU\..\Run: [IncrediMail] . (.IncrediMail, Ltd. - IncrediMail Application.) -- C:\Program Files\IncrediMail\bin\IncMail.exe
OPT:O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] oobefldr.dll
OPT:O4 - HKUS\S-1-5-20\..\Run: [WindowsWelcomeCenter] oobefldr.dll
OPT:O4 - HKUS\S-1-5-21-3665754084-859555598-1099622955-1002\..\Run: [IncrediMail] . (.IncrediMail, Ltd. - IncrediMail Application.) -- C:\Program Files\IncrediMail\bin\IncMail.exe
OPT:O23 - Service: (Bonjour Service) . (.Apple Inc. - Bonjour Service.) - C:\Program Files\Bonjour\mDNSResponder.exe
OPT:SS - | Auto 27/07/2010 345376 | (Bonjour Service) . (.Apple Inc..) - C:\Program Files\Bonjour\mDNSResponder.exe
----------------------------------------------------------
- Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur « OK » puis sur « Tous », puis sur « Nettoyer »
- Copie/colle la totalité du rapport dans ta prochaine réponse

1. Désinstallation des outils

Lance ZHPFix (pour ça, fais un clic-droit dessus et choisis « Exécuter en temps qu'administrateur ») --> clique sur le « A » rouge (Nettoyeur de Tools) --> clique sur « Nettoyer »
Tutoriel pour t'aide

2. Télécharge et installe CCleaner (N'installe pas la Yahoo Toolbar) :
Avec ce logiciel on va supprimer les fichiers temporaires et inutiles sur ton PC. Ce n'est pas un logiciel qui supprime les infections
- Lance-le. Va dans Options puis Avancé et décoche la case Effacer uniquement les fichiers etc....
- Va dans Nettoyeur, choisis Analyse. Une fois terminé, lance le nettoyage.
- Ensuite, choisis Registre, puis Chercher des erreurs. Une fois terminé, répare toutes les erreurs (Sauvegarde la base de registre).

3. Il est nécessaire de désactiver puis réactiver la restauration système de Vista pour la purger.

Quelques conseils de Prévention

- Réactive l'UAC si ce n'est pas déjà fait.

- Conserve MBAM. Il te servira à scanner les fichiers douteux en complément de l'antivirus et scanne le disque dur régulièrement. Mais n'oublie pas de faire la mise à jour avant de lancer le scan.

- Par rapport au P2P : http://www.libellules.ch/...

- Voici un dossier complet sur le prévention et protection, il est absolument à lire (avec Adobe Reader ou Foxit Reader) :
Prévention et Protection

Sois plus vigilant(e) sur Internet à l'avenir

Voilà pour moi c'est terminé. Si tu as des questions n'hésite pas

Smart

Rapport de ZHPFix 1.12.3260 par Nicolas Coolman, Update du 11/03/2011
Fichier d'export Registre : C:\ZHPExportRegistry-19-03-2011-14-26-52.txt
Run by CAROLINE at 19/03/2011 14:26:52
Windows Vista Home Premium Edition, 32-bit (Build 6000)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Valeur(s) du Registre ==========
FirewallRaz : Aucune valeur présente dans la clé de registre "Standard Profile"
FirewallRaz : Aucune valeur présente dans la clé de registre "Domain Profile"
FirewallRaz (Public) : TCP Query User{6CA21752-4D56-4AA6-AA57-22CD55BCC1A6}C:\program files\emule\emule.exe => Valeur supprimée avec succès
FirewallRaz (Public) : UDP Query User{CCD60653-FF27-43EA-B211-923EE14FFA17}C:\program files\emule\emule.exe => Valeur supprimée avec succès
FirewallRaz (None) : {39530AD3-C687-4776-BA9D-377BB5F52F4E} => Valeur supprimée avec succès
FirewallRaz (Domain) : {16080485-BCC0-4923-9639-787BDF1E4C92} => Valeur supprimée avec succès
FirewallRaz (Domain) : {2D062D92-41CB-4951-840B-51EB46BB894E} => Valeur supprimée avec succès
FirewallRaz (Private) : {6232F0B0-8AE1-41FF-8196-E3F361FFB099} => Valeur supprimée avec succès
FirewallRaz (Private) : {29AE3DE9-1AD9-4F6E-8059-54B6524D5224} => Valeur supprimée avec succès

========== Elément(s) de donnée du Registre ==========
R4 - HKCU\SOFTWARE\Microsoft\Internet Explorer\PhishingFilter,Enabled = 0 => Donnée supprimée avec succès

========== Dossier(s) ==========
C:\ProgramData\PopCap Games => Supprimé et mis en quarantaine

========== Récapitulatif ==========
9 : Valeur(s) du Registre
1 : Elément(s) de donnée du Registre
1 : Dossier(s)

End of the scan

Il reste encore des traces:

Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert)
Si tu ne l'as pas, télécharge le depuis ce lien: https://www.zebulon.fr/telechargements/securite/systeme/zhpfix.html
Copie/colle les lignes en gras suivantes :

----------------------------------------------------------
R4 - HKCU\SOFTWARE\Microsoft\Internet Explorer\PhishingFilter,Enabled = 0
O43 - CFD: 13/07/2008 - 14:57:34 - [23] ----D- C:\ProgramData\PopCap Games
FirewallRAZ
----------------------------------------------------------
- Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur « OK » puis sur « Tous », puis sur « Nettoyer »
- Copie/colle la totalité du rapport dans ta prochaine réponse

Smart

http://www.cijoint.fr/cjlink.php?file=cj201103/cijpWilPMk.txt

Il y a une nouvelle version de ZHPdiag qui date d'aujourd'hui.
Relance ZHPDiag clique sur le bouton flêche verte pour installer la mise à jour.
Ensuite refais un scan et postte le rapport vi cijoint.

Smart

http://www.cijoint.fr/cjlink.php?file=cj201103/cijn4YJ3mv.txt

Refais un scan ZHPDiag poste le rapport vi cijoint et je pense que l'on va passer à la phase finale, il nous reste à faire:
- les mises à jour prioritaires
- l'optimisation du PC
- la désinstallation des outils de désinfection
- les conseils de prévention quand on surfe sur Internet

Smart

http://www.cijoint.fr/cjlink.php?file=cj201103/cijTVzYrWv.txt

############################## | UsbFix 7.042 | [Suppression]

Utilisateur: CAROLINE (Administrateur) # PC-DE-CAROLINE [PACKARD BELL BV EasyNote_SJ51]
Mis à jour le 14/03/2011 par TeamXscript
Lancé à 11:00:22 | 19/03/2011
Site Web: http://www.teamxscript.org
Submit your sample: http://www.teamxscript.org/Upload.php
Contact: TeamXscript.ElDesaparecido@gmail.com

CPU: AMD Athlon(tm) 64 X2 Dual-Core Processor TK-57
CPU 2: AMD Athlon(tm) 64 X2 Dual-Core Processor TK-57
Microsoft® Windows Vista(TM) Édition Familiale Premium (6.0.6000 32-Bit) #
Internet Explorer 7.0.6000.17037

Pare-feu Windows: Activé
Antivirus: AntiVir Desktop 9.0.1.32 [Enabled | Updated]
RAM -> 2814 Mo
C:\ (%systemdrive%) -> Disque fixe # 225 Go (119 Go libre(s) - 53%) [HDD] # NTFS
D:\ -> CD-ROM
E:\ -> Disque amovible # 4 Go (522 Mo libre(s) - 14%) [CHUCK] # FAT32

################## | Éléments infectieux |

Supprimé! C:\$RECYCLE.BIN\S-1-5-21-2152478756-3922319563-605102323-500
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-3654576429-1082887671-3474081897-500
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-3665754084-859555598-1099622955-1002

################## | Registre |

Supprimé! HKLM\software\microsoft\shared tools\msconfig\startupreg\
Supprimé! HKLM\software\microsoft\windows nt\currentversion\winlogon|Taskman

################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\F
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{6aa32097-781b-11dd-b9eb-00140b47cea8}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{a32c8867-3dcb-11df-bd4c-00140b47cea8}

################## | Listing |

[19/03/2011 - 11:02:12 | SHD ] C:\$Recycle.Bin
[18/09/2006 - 22:43:36 | N | 24] C:\autoexec.bat
[29/01/2007 - 09:59:42 | D ] C:\boot
[02/11/2006 - 10:53:57 | RASH | 438840] C:\bootmgr
[29/01/2007 - 09:59:42 | N | 8192] C:\BOOTSECT.BAK
[18/09/2006 - 22:43:37 | N | 10] C:\config.sys
[04/03/2009 - 20:45:53 | D ] C:\DHR98
[02/11/2006 - 14:02:03 | SHD ] C:\Documents and Settings
[29/01/2007 - 09:52:53 | D ] C:\drivers
[19/03/2011 - 10:46:49 | ASH | 2951663616] C:\hiberfil.sys
[04/03/2009 - 20:34:40 | N | 0] C:\IO.SYS
[16/03/2011 - 16:30:17 | N | 74] C:\lxcz.log
[04/03/2009 - 20:34:40 | N | 0] C:\MSDOS.SYS
[29/01/2007 - 02:58:03 | RHD ] C:\MSOCache
[19/03/2011 - 10:46:47 | ASH | 3265593344] C:\pagefile.sys
[15/03/2011 - 18:10:06 | N | 512] C:\PhysicalDisk0_MBR.bin
[17/03/2011 - 18:41:40 | D ] C:\Program Files
[17/03/2011 - 18:41:43 | HD ] C:\ProgramData
[18/03/2011 - 16:46:49 | SHD ] C:\System Volume Information
[17/03/2011 - 20:07:20 | D ] C:\Temp
[19/03/2011 - 11:02:12 | D ] C:\UsbFix
[19/03/2011 - 11:00:26 | A | 2645] C:\UsbFix.txt
[26/09/2008 - 19:00:12 | D ] C:\Users
[16/03/2011 - 17:19:35 | D ] C:\Windows
[04/01/2011 - 22:21:20 | N | 4096] E:\._.Trashes
[04/01/2011 - 22:21:20 | D ] E:\.Trashes
[04/01/2011 - 22:21:20 | D ] E:\.Spotlight-V100
[23/02/2011 - 19:26:00 | N | 4096] E:\._La Vague.avi
[06/01/2011 - 21:44:08 | N | 4096] E:\._Brothers.and.Sisters.S01E15.avi
[04/01/2011 - 22:22:16 | N | 4096] E:\._Brothers.and.Sisters.S01E13.avi
[06/01/2011 - 21:51:18 | N | 4096] E:\._Brothers.and.Sisters.S01E18.avi
[06/01/2011 - 21:52:46 | N | 4096] E:\._Brothers.and.Sisters.S01E20.avi
[06/01/2011 - 21:53:30 | N | 4096] E:\._Brothers.and.Sisters.S01E19.avi
[06/01/2011 - 21:44:12 | N | 4096] E:\._Brothers.and.sisters.1x22.fr.avi
[06/01/2011 - 21:44:38 | N | 4096] E:\._Brothers.&.Sisters.2x08.La.Première.Danse.FR.LD.HDTV.XviD-JMT.avi
[01/03/2011 - 14:40:48 | N | 583281828] E:\Dexter.404.VF.HDTV.avi
[03/03/2011 - 12:46:40 | N | 566911198] E:\Dexter.407.VF.HDTV.avi
[03/03/2011 - 13:24:32 | N | 576644868] E:\Dexter.408.VF.HDTV.avi
[02/03/2011 - 13:54:40 | N | 570684644] E:\Dexter.S04E05.FR.HDTV.XviD.avi
[02/03/2011 - 20:44:52 | N | 576850248] E:\Dexter.S04E06.FR.HDTV.XviD.avi
[03/03/2011 - 15:29:28 | N | 580870812] E:\Dexter 409.avi

################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)
E:\Autorun.inf -> Vaccin créé par UsbFix (TeamXscript)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_PC-DE-CAROLINE.zip
http://www.teamxscript.org/Upload.php
Merci de votre contribution.

################## | E.O.F |

Il y a aussi une infection par clé USB:

- Télécharge UsbFix (créé par El Desaparecido & C_XX) sur ton Bureau. Si ton antivirus affiche une alerte, ignore la et désactive l'antivirus temporairement.
- Branche tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir
- Double clique sur le raccourci UsbFix sur ton Bureau
- Clique sur "Suppression"
- Laisse travailler l'outil
- Ton Bureau va disparaitre puis l'ordinateur va redémarrer : c'est normal
- A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse (il est aussi sauvegardé a la racine du disque dur)

/!\UsbFix te proposera d'envoyer un dossier compressé à cette adresse. Ce dossier a été créé par UsbFix sur ton Bureau. Merci de l'envoyer à l'adresse indiquée afin d'aider l'auteur de UsbFix dans ses recherches. Une fois sur le site, il faut sélectionner "UsbFix" dans le menu déroulant. Merci d'avance pour ta contribution !

Aide en images : "Nettoyage"

Smart

http://www.cijoint.fr/cjlink.php?file=cj201103/cijaREjMtw.txt

Relance MBAM et vide la quarantaine.
Relance AD-Remver et choisis "Désinstaller"
Refais un scan ZHPDiag et poste le rapport via cijoint, pour vérifier tout cela

Smart

Voilà!

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6090

Windows 6.0.6000
Internet Explorer 7.0.6000.17037

17/03/2011 20:38:38
mbam-log-2011-03-17 (20-38-38).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 244833
Temps écoulé: 1 heure(s), 13 minute(s), 47 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 3

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\program files\ad-remover\quarantine\C\program files\EoRezo\eoengine.exe.vir (Rogue.Eorezo) -> Quarantined and deleted successfully.
c:\program files\ad-remover\quarantine\C\program files\EoRezo\EoAdv\eoadv.dll.vir (Rogue.Eorezo) -> Quarantined and deleted successfully.
c:\Users\CAROLINE\downloads\vlc-1.1.4-win32.exe (Trojan.Dropper) -> Quarantined and deleted successfully.

Ta version de MBAM n'est pas à jour, ainsi que la base virale.
Désinstalle MBAM et retélécharge le et refais un scan complet et poste le rapport.
Pour le télécharger suis la procédure que j'ai donnée plus haiut.

Smart
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

Voilà le rapport d'hier soir:

Malwarebytes' Anti-Malware 1.17
Version de la base de données: 846

20:23:53 15/03/2011
mbam-log-3-15-2011 (20-23-53).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 192622
Temps écoulé: 1 hour(s), 3 minute(s), 57 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 6
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{1a93c934-025b-4c3a-b38e-9654a7003239} (Adware.Gamesbar) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\oberontb.band (Adware.Gamesbar) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{6f282b65-56bf-4bd1-a8b2-a4449a05863d} (Adware.Gamesbar) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{cb0d163c-e9f4-4236-9496-0597e24b23a5} (Adware.Gamesbar) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{cb0d163c-e9f4-4236-9496-0597e24b23a5} (Adware.Gamesbar) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\oberontb.band.1 (Adware.Gamesbar) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{6f282b65-56bf-4bd1-a8b2-a4449a05863d} (Adware.Gamesbar) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Program Files\GamesBar\oberontb.dll (Adware.Gamesbar) -> Quarantined and deleted successfully.

Oui donne moi le rapport MBAM, bien qu'il fût préférable de passer MBAM après AD-Remover

Smart