Virus win32!!!!!

bonjour,
désolé de n'avoir pas répondu plus tôt mais vraiment besoin de faire une pause.
mon pc déconnait vraiment trop.
Quand je lance gmer et que je lance le scan, je n'ai aucune ligne rouge, de plus le rapport est introuvable.
je ne peux pas l'afficher sur mon bureau.
Mon téléphone n'est toujours pas actif, quand je fais une recherche il marque téléphone orange exe. win32 ???
que dois-je faire ?
Est-ce que si je reformate mon pc? Je retrouverais ses capacités?
merci

non

désinstalle Softonic_France Toolbar

puis GMER

je vous joins le rapport fix, car j'ai du faire une boulette il m'a demandé en cours de désinstallation quelque chose et j'ai mis ok. Il a donc décoché des lignes .
ESt-ce que je peux recomencer avec toutes les lignes que vous m'avez transmis ou si je dois laisser comme ça ?
merci
http://pjjoint.malekal.com/files.php?id=80b33e485381213

Computer Name: PC-PORTA-YVON

j'avais pas vu..excellent !

ok

1)

Copie tout le texte présent en gras ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )

[HKCU\Software\AppDataLow\Software\PriceGong]
M2 - MFEP: prefs.js [Yvon - 1fcs59dq.default\engine@conduit.com] [] Conduit Engine v3.2.5.2 (.Conduit Ltd..)
M2 - MFEP: prefs.js [Yvon - 1fcs59dq.default\{4daac69c-cba7-45e2-9bc8-1044483d3352}] [] Softonic_France Community Toolbar v3.2.5.2 (.Conduit Ltd..)
O4 - HKLM\..\Run: [BabylonToolbar] C:\Program Files\BabylonToolbar\BabylonToolbar\1.4.19.19\BabylonToolbarsrv.exe (.not file.)
O42 - Logiciel: Softonic_France Toolbar - (.Softonic_France.) [HKLM] -- Softonic_France Toolbar
[HKCU\Software\AppDataLow\Software\Conduit]
[HKCU\Software\AppDataLow\Software\conduitEngine]
[HKCU\Software\AppDataLow\Software\toolbar]
[HKCU\Software\AppDataLow\Toolbar]
[HKCU\Software\BabylonToolbar]
[HKCU\Software\SweetIM]
[HKLM\Software\Conduit]
[HKLM\Software\SweetIM]
O69 - SBI: prefs.js [Yvon - 1fcs59dq.default] user_pref("CT2452474.SearchEngine", "Search||http://search.conduit.com/
O69 - SBI: prefs.js [Yvon - 1fcs59dq.default] user_pref("CT2542115.SearchFromAddressBarUrl", "http://search.conduit.com/ResultsExt.aspx?ctid=CT2542115
O69 - SBI: SearchScopes [HKCU] {afdbddaa-5d3f-42ee-b79c-185a7020515b} - (Softonic_France Customized Web Search) - http://search.conduit.com
[HKCU\Software\AppDataLow\Software\Conduit]
[HKCU\Software\AppDataLow\Software\conduitEngine]
[HKCU\Software\AppDataLow\Toolbar]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{30F9B915-B755-4826-820B-08FBA6BD249D}]
[HKLM\Software\Conduit]
[HKLM\Software\conduitEngine]
[HKLM\Software\Classes\Conduit.Engine]
[HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}]
[HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\conduitEngine]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{30F9B915-B755-4826-820B-08FBA6BD249D}]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\conduitEngine]
[HKLM\Software\Classes\Toolbar.CT2542115]

Puis Lance ZHPFix depuis le raccourci du bureau .

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".

Copie/Colle le rapport à l'écran dans ton prochain message

le rapport se trouve dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport

______________

2)

* Télécharge Defogger
http://www.jpshortstuff.247fixes.com/Defogger.exe

=> lance le
* Une fenêtre apparait clique sur Disable
* Redémarre le PC si demandé

ensuite

/!\ Il faut impérativement désactiver tous tes logiciels de protection pour utiliser ce programme/!\

? Télécharge : Gmer (by Przemyslaw Gmerek)

http://www.gmer.net/

? Dezippe gmer ,cliques sur l'onglet rootkit,lances le scan,des lignes rouges vont apparaitre.

? Les lignes rouges indiquent la presence d'un rootkit.Postes moi le rapport gmer (cliques sur copy,puis vas dans demarrer ,puis ouvres le bloc note,vas dans edition et cliques sur coller,le rapport gmer va apparaitre,postes moi le)

côté toolbar, on devrait etre bon

mais pour voir

Fais un nouveau rapport ZHPdiag stp

Rend toi sur http://pjjoint.malekal.com/

Clique sur "Parcourir "

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

Clique ensuite sur "Envoyer le fichier " et copie/colle le lien dans ton prochain message

@ plus tard

Je remettrais le téléphone demain avec cd orange
par contre vous m'avez dit que j'avais des toolbars à supprimer donc je vous recontacterais lundi si ça ne vous dérange pas.
vous direz aussi si encore bug pendant le week-end
un GRAND GRAND MERCI pour vos compétences et votre énorme patience
il y en faut beaucoup avec néophyte comme moi
très bon week-end à vous.

j'ai recrée le dossier cfscript car combix ne le lisait pas : il marquait que le dossier était incomplet.
Mais maintenant combix ne démarre même pas il me demande l'autorisation pour ouvrir et il s'arrête presque aussitôt
est-ce que je peux seulement réinstallé le téléphone avec le cd d'orange? ce serai plus simple pour moi si possible

oui il est bien sur mon bureau mais je n'arrive pas à l'insérer dans combix
et le lien mozilla ne veut pas l'ouvrir????

je n'arrive pas à faire glisser le dossier dans combix
et je n'arrive pas à aller sur le lien que vous m'avez donner
merci

j'ai un cheval de trois en quarantaine sur AVG. Si j'enlève le pare-feu je ne risque rien?
Est-ce que je suis obligé de passer par panneau de configuration pour enlever AVG ou est-ce que je peux le mettre juste en veille un moment?
merci

je ne sais pas si c'est normal mais pendant la correction le pc s'est coupé d'internet, il a fallu que je force l'arrêt du pc pour pouvoir redémarrer normalement.

c'est normal et l'avoir forcé n'est pas forcément une bonne chose, le rapport n'étant pas comme celui espéré


j'ai oublié de vous dire que je n'ai plus de téléphone orange depuis hier matin, mon pare-feu a du le mettre en quarantaine

fais ceci

/!\ ATTENTION /!\ Le script qui suit a été écrit spécialement pour cet utilisateur, il n'est pas transposable sur un autre ordinateur !

crées un sur ton bureau un nouveau fichier bloc note que tu nommeras CFScript
Copies y ce texte dedans et enregistres le

DeQuarantine::
c:\Qoobox\quarantine\c\program files\Orange\Telephone sur PC\TelephoneSurPCAgent.exe

Quit::

* Désactive tes logiciels de protection
* Fais un glisser/déposer de ce fichier CFScript.txt sur le fichier Combofix.exe (comme le lien suivant)
http://sd-2.archive-host.com/membres/images/135518691112296573/cfscriptop0.gif
* Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé.
* Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
* Si le fichier ne s'ouvre pas, il se trouve ici ? C:\ComboFix.txt

redemarre le pc et dis moi si c'est bon
CONTRIBUTEUR SECURITE

En désinfection, c'est la fin le plus important !
"Restez" jusqu'au bout...merci

bonjour,

j'espère que le rapport sera bon car j'ai bataillé pour le récupérer.

je ne sais pas si c'est normal mais pendant la correction le pc s'est coupé d'internet, il a fallu que je force l'arrêt du pc pour pouvoir redémarrer normalement.

j'ai oublié de vous dire que je n'ai plus de téléphone orange depuis hier matin, mon pare-feu a du le mettre en quarantaine.
Que dois- je faire en quand ?

Merci
http://pjjoint.malekal.com/files.php?id=afda727b06111514

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...."

sur OTL.exe pour le lancer.

?Copie la liste qui se trouve en gras ci-dessous,

? colle-la dans la zone sous "Personnalisation" :

:OTL
IE - HKLM\..\URLSearchHook: {4daac69c-cba7-45e2-9bc8-1044483d3352} - C:\Program Files\Softonic_France\tbSoft.dll (Conduit Ltd.)
IE - HKCU\..\URLSearchHook: {4daac69c-cba7-45e2-9bc8-1044483d3352} - C:\Program Files\Softonic_France\tbSoft.dll (Conduit Ltd.)
FF - prefs.js..browser.search.defaultthis.engineName: "Softonic_France Customized Web Search"
FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2542115&SearchSource=3&q={searchTerms}"
FF - prefs.js..browser.startup.homepage: "http://search.conduit.com/?ctid=CT2542115&SearchSource=13
FF - prefs.js..extensions.enabledItems: engine@conduit.com:3.2.5.2
FF - prefs.js..extensions.enabledItems: ffxtlbr@babylon.com:1.1.3
FF - prefs.js..extensions.enabledItems: {4daac69c-cba7-45e2-9bc8-1044483d3352}:3.2.5.2
FF - prefs.js..extensions.enabledItems: {4D9AE42B-F4C0-40e6-AEDB-4EC6E42B77AF}:1.2.1.0
FF - prefs.js..sweetim.toolbar.previous.browser.search.defaultenginename: "SearchTheWeb"
FF - prefs.js..sweetim.toolbar.previous.browser.search.defaulturl: "https://fr.search.yahoo.com/web?fr=ytff-"
FF - prefs.js..browser.startup.homepage: "http://search.iminent.com/..."
2011/03/22 17:18:00 | 000,000,000 | ---D | M] (Softonic_France Community Toolbar) -- C:\Users\Yvon\AppData\Roaming\mozilla\Firefox\Profiles\1fcs59dq.default\extensions\{4daac69c-cba7-45e2-9bc8-1044483d3352}
2011/03/22 17:18:00 | 000,000,000 | ---D | M] (Conduit Engine) -- C:\Users\Yvon\AppData\Roaming\mozilla\Firefox\Profiles\1fcs59dq.default\extensions\engine@conduit.com
[2011/03/22 17:13:16 | 000,000,000 | ---D | M] (Babylon) -- C:\Users\Yvon\AppData\Roaming\mozilla\Firefox\Profiles\1fcs59dq.default\extensions\ffxtlbr@babylon.com
[2011/03/15 08:48:19 | 000,000,000 | ---D | M] (Gutscheinmieze) -- C:\Users\Yvon\AppData\Roaming\mozilla\Firefox\Profiles\1fcs59dq.default\extensions\gutscheinmieze@synatix-gmbh.de
2010/12/08 15:52:46 | 000,000,933 | ---- | M] () -- C:\Users\Yvon\AppData\Roaming\Mozilla\Firefox\Profiles\1fcs59dq.default\searchplugins\conduit.xml
O2 - BHO: (CescrtHlpr Object) - {2EECD738-5844-4a99-B4B6-146BF802613B} - C:\Program Files\BabylonToolbar\BabylonToolbar\1.4.19.19\bh\BabylonToolbar.dll (Babylon BHO)
O2 - BHO: (Conduit Engine) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\ConduitEngine.dll (Conduit Ltd.)
O2 - BHO: (Softonic_France Toolbar) - {4daac69c-cba7-45e2-9bc8-1044483d3352} - C:\Program Files\Softonic_France\tbSoft.dll (Conduit Ltd.)
O2 - BHO: (no name) - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - No CLSID value found
O3 - HKLM\..\Toolbar: (Conduit Engine) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\ConduitEngine.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Softonic_France Toolbar) - {4daac69c-cba7-45e2-9bc8-1044483d3352} - C:\Program Files\Softonic_France\tbSoft.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No CLSID value found.
O3 - HKLM\..\Toolbar: (Babylon Toolbar) - {98889811-442D-49dd-99D7-DC866BE87DBC} - C:\Program Files\BabylonToolbar\BabylonToolbar\1.4.19.19\BabylonToolbarTlbr.dll (Babylon Ltd.)
O3 - HKLM\..\Toolbar: (Gutscheinmieze) - {DFEFCDEE-CF1A-4FC8-88AD-48514E463B27} - C:\Users\Yvon\AppData\Roaming\Gutscheinmieze\toolbar.dll (Synatix GmbH)
O3 - HKCU\..\Toolbar\WebBrowser: (Softonic_France Toolbar) - {4DAAC69C-CBA7-45E2-9BC8-1044483D3352} - C:\Program Files\Softonic_France\tbSoft.dll (Conduit Ltd.)
O3 - HKCU\..\Toolbar\WebBrowser: (Gutscheinmieze) - {DFEFCDEE-CF1A-4FC8-88AD-48514E463B27} - C:\Users\Yvon\AppData\Roaming\Gutscheinmieze\toolbar.dll (Synatix GmbH)
O4 - HKLM\..\Run: [BabylonToolbar] C:\Program Files\BabylonToolbar\BabylonToolbar\1.4.19.19\BabylonToolbarsrv.exe (Babylon Ltd.)

:Files
C:\Program Files\Conduit
C:\Program Files\ConduitEngine
C:\Program Files\BabylonToolbar
C:\ProgramData\{DE8EABB5-1C85-4410-A68D-79BD8A4518F4}
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PopCap Games
C:\ProgramData\SweetIM
C:\Program Files\SweetIM
C:\Users\Yvon\AppData\Roaming\Gutscheinmieze
@Alternate Data Stream - 145 bytes -> C:\ProgramData\TEMP:B623B5B8
@Alternate Data Stream - 137 bytes -> C:\ProgramData\TEMP:2A8A3140
@Alternate Data Stream - 123 bytes -> C:\ProgramData\TEMP:E35A81F4
@Alternate Data Stream - 104 bytes -> C:\ProgramData\TEMP:D1B5B4F1

:commands
[emptytemp]
[start explorer]
[reboot]

? Clique sur "Correction" pour lancer la suppression.

? Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail apres le redemarrage.

je viens de le retrouver il était dans document récent
je vous le fait parvenir
merci
http://pjjoint.malekal.com/files.php?id=49f0bdafa4121411

bonjour,

voici le rapport de tdsskiller par contre pour le rapport de OTL je n'arrive pas à l'avoir je n'ai pas pu le télécharger sur mon bureau et le fichier de document est vide je ne comprends pas j'ai du faire une erreur quelque part. Est-ce que je peux relancer le scan de OTL?
http://pjjoint.malekal.com/files.php?id=fff7cfc6e791514

merci

1)

* Télécharge load_tdsskiller (de Loup Blanc) sur ton Bureau

http://fradesch.perso.cegetel.net/transf/Load_tdsskiller.exe

* Lance load_tdsskiller en faisant un double-clic dessus / Lance par un clic-droit dessus ? Exécuter en temps qu'administrateur
* L'outil va se connecter pour télécharger une copie à jour de TDSSKiller, puis va lancer une analyse
* Lorsque l'outil a terminé son travail d'inspection, si des nuisibles ("Malicious objects") ont été trouvés, vérifier que l'option (Cure) est sélectionnée,
* Si des objects suspects ("Suspicious objects") ont été détectés, sur l'écran de demande de confirmation, modifier l'action à entreprendre et indiquer Quarantine (au lieu de Skip),
* A la fin, il te sera demandé d'appuyer sur une touche, puis le rapport s'affichera automatiquement : copie-colle son contenu dans ta prochaine réponse (C:\tdsskiller\report.txt)

___________

2)

Télécharge OTL de OLDTimer

http://oldtimer.geekstogo.com/OTL.scr

enregistre le sur ton Bureau.

Double clic ( pour vista / 7 => clic droit "executer en tant qu'administrateur") sur OTL.exe pour le lancer.

- Copie et colle les lignes en gras ci-dessous dans la partie inférieure d'OTL "Personnalisation"

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.*
%SYSTEMDRIVE%\*.exe
%PROGRAMFILES%\*.*
%PROGRAMFILES%\*.
/md5start
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
explorer.exe
svchost.exe
userinit.exe
qmgr.dll
ws2_32.dll
proquota.exe
imm32.dll
kernel32.dll
ndis.sys
autochk.exe
spoolsv.exe
xmlprov.dll
ntmssvc.dll
mswsock.dll
Beep.SYS
ntfs.sys
termsrv.dll
sfcfiles.dll
st3shark.sys
/md5stop
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
c:\$recycle.bin\*.* /s

Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\OTL.txt)

NE LE POSTE PAS SUR LE FORUM

Rend toi sur http://pjjoint.malekal.com/

Clique sur "Parcourir "

Sélectionne le rapport

Clique ensuite sur "Envoyer le fichierr " et copie/colle le lien dans ton prochain message

Tu feras la meme chose avec le "Extra.txt" qui logiquement sera aussi sur ton bureau.

désolé de ne pas avoir répondu avant mais pc bug et après occupation

mon pc me bloque de plus en plus régulièrement quand je veux naviguer entre plusieurs fichiers. Je ne peux les fermer que très rarement avec la croix je dois faire ALT F4 quand je peux les fermer. Cela peux prendre de 3 minutes à très très longtemps des fois je dois carrément éteindre pc.
Depuis ce matin internet explorer me bloque de suite.
Je passe que par mozilla quand il veut bien fonctionner.
Aujourdh'ui j'ai eu une fenêtre d'ouverte en bas du pc avec 3 petites têtes vertes.
des têtes de sphinx à priori. C'est pas la première fois que je les voie.
C'est très compliqué de me servir du pc dans ses conditions.
Merci encore pour vos efforts et surtout vos compétences.

expliques moi ce qu'il te fait le pc car à part quelques toolbars à supprimer, il n' y a rien d'infectieux

desolé il faut m'expliquer longtemps!!!
oui j'avais oublié de passer par malekal
je vous le transmets pendant que mon pc veut bien travailler!!!!
http://pjjoint.malekal.com/files.php?id=17381e2cc781214

non pas recu

Rend toi sur http://pjjoint.malekal.com/

Clique sur "Parcourir "

Sélectionne le rapport C:\ComboFix.txt

Clique ensuite sur "Envoyer le fichier " et copie/colle le lien dans ton prochain message