Trojans et autres...

Résolu
Benighted -  
Bonjour,

Je dois avoir pas mal de chevaux de Troie, voir des virus sur mon ordinateur. Bref, en tout cas pas mal de choses malveillantes qui grouillent dans mon PC !
Lorsque j'ouvre ma session, régulièrement un message d'erreur s'affiche en me disant que Windows n'a pas pu charger le profil utilisateur ; j'ai aussi souvent divers messages d'erreur me disant que tel programme a cessé de fonctionner et il m'arrive d'avoir dans le gestionnaires des tâches des processus au nom quelque peu douteux... Aussi, hier mon PC a affiché un écran bleu avec des messages d'erreur puis a redémarré ><
Et du coup, j'ai fait un scan intégral avec mon antivirus et j'ai aussi fait une analyse MBAM.. Sauf que je viens de lire que cela pouvait cacher certaines infections, non ?.. Bref, je ne m'y connais pas.
J'utilise Avira Antivir Personal.

Merci de votre aide !

31 réponses

Résumé de la discussion

Des utilisateurs signalent des chevaux de Troie et des malware sur un PC Windows Vista, accompagnés d'erreurs de chargement du profil utilisateur et d'un écran bleu. Plusieurs réponses recommandent des diagnostics et outils spécifiques tels que ZHPDiag, MBAM, AD-Remover et TDSSKiller, puis des étapes de nettoyage et de réanalyse pour éliminer les rootkits et autres menaces. En cas de doute, les conseils visent à mettre à jour les outils, à relancer les analyses et à partager les rapports via des services de dépôt en ligne, afin de déterminer l'étendue de l'infection.

Bobot (l’IA à votre service)
  1. Vent d'ouest
    Il serait peut-être bon que tu fasses un diagnostic de ton pc:

    Un contrib viendra peut-être a ton secours !!!!

    Pour un diagnostic du pc:

    Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau
    https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

    Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions.

    /!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »

    N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.
    - Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer.
    (/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix)
    - Clique sur la loupe pour lancer l'analyse.
    - Laisse l'outil travailler, il peut être assez long.
    - Ferme ZHPDiag en fin d'analyse.
    - Pour transmettre le rapport clique sur ce lien : http://www.cijoint.fr/
    - Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
    - Sélectionne le fichier ZHPDiag.txt.
    - Clique sur "Cliquez ici pour déposer le fichier".
    - Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt est ajouté dans la page.
    - Copie ce lien dans ta réponse.
    1. Utilisateur anonyme
      rien de tel q'un bon nettoyage en profondeur ( une desinfection ^^)
      ;)
  3. BenightedDreamer
    Ton premier lien ne fonctionne pas, j'ai téléchargé Delfix ailleurs ^^

    # DelFix v7.9B - Rapport créé le 29/05/2011 à 19:33
    # Mis à jour le 22/05/11 à 14h par Xplode
    # Système d'exploitation : Windows Vista (TM) Home Premium (32 bits) [version 6.0.6002] Service Pack 2
    # Nom d'utilisateur : Bordage - PC-DE-BORDAGE (Administrateur)
    # Exécuté depuis : C:\Users\Bordage\Desktop\DelFix.exe
    # Option [Suppression]

    ~~~~~~ Dossier(s) ~~~~~~

    Supprimé : C:\_OTM
    Supprimé : C:\Qoobox
    Supprimé : C:\Program Files\Ad-Remover
    Supprimé : C:\Program Files\ZHPDiag
    Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP

    ~~~~~~ Fichier(s) ~~~~~~

    Supprimé : C:\Ad-Report-CLEAN[1].txt
    Supprimé : C:\ComboFix.txt
    Supprimé : C:\PhysicalDisk0_MBR.bin
    Supprimé : C:\ZHPExportRegistry-28-05-2011-21-24-49.txt
    Supprimé : C:\Windows\grep.exe
    Supprimé : C:\Windows\MBR.exe
    Supprimé : C:\Windows\NIRCMD.exe
    Supprimé : C:\Windows\PEV.exe
    Supprimé : C:\Windows\sed.exe
    Supprimé : C:\Windows\SWREG.exe
    Supprimé : C:\Windows\SWSC.exe
    Supprimé : C:\Windows\SWXCACLS.exe
    Supprimé : C:\Windows\zip.exe
    Supprimé : C:\Users\Bordage\Desktop\ZHPDiag.txt
    Supprimé : C:\Users\Bordage\Desktop\ZHPFixReport.txt
    Supprimé : C:\Users\Bordage\Downloads\ComboFix.exe
    Supprimé : C:\Users\Bordage\Downloads\OTM.exe
    Supprimé : C:\Users\Bordage\Downloads\ZHPDiag2.exe

    ~~~~~~ Registre ~~~~~~

    Clé Supprimée : HKCU\SOFTWARE\Ad-Remover
    Clé Supprimée : HKLM\Software\OldTimer Tools
    Clé Supprimée : HKLM\Software\Classes\.cfxxe
    Clé Supprimée : HKLM\Software\Classes\cfxxefile
    Clé Supprimée : HKLM\Software\TrendMicro\Hijackthis
    Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\Ad-Remover
    Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1
    Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\combofix.exe
    ACL -> [F] & Clé Supprimée : HKLM\SOFTWARE\Swearware

    ~~~~~~ Autre ~~~~~~

    -> Prefetch vidé

    ########## EOF - "C:\DelFixSuppr.txt" - [2031 octets] ##########

    Je vais désactiver/réactiver la restauration système.
    Merci beaucoup pour ton aide et le temps que tu y as passé !
    Par contre, comment mettre le sujet en Résolu, n'étant pas inscrite lorsque je l'ai posté ?
    1. M@thew
      Bonsoir, c'est fait.
  4. Vent d'ouest
    Impec...

    Pour supprimer les outils de désinfection :
    http://sd-1.archive-host.com/membres/up/17959594961240255/DelFix.exe

    Télécharge Delfix sur ton bureau :

    Clique sur le bouton « Suppression » et poste son rapport sur ton prochain message
    Pour le désinstaller, il suffit de le relancer et cliquer sur le bouton de désinstallation.

    Il est nécessaire de désactiver puis réactiver la restauration système pour la purger car les points de restauration peuvent être infectés :

    Vista: http://www.forum-fec.net/t44-tuto-restauration-du-systeme-sous-windows-vista

    Mets le sujet en "résolu"
    4. BenightedDreamer
      Voici le rapport :

      Rapport de ZHPFix 1.12.3286 par Nicolas Coolman, Update du 23/05/2011
      Fichier d'export Registre : C:\ZHPExportRegistry-28-05-2011-21-24-49.txt
      Run by Bordage at 28/05/2011 21:24:49
      Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)
      Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

      ========== Clé(s) du Registre ==========
      HKCU\Software\Burn4Free => Clé supprimée avec succès
      HKCU\Software\cacaoweb => Clé supprimée avec succès
      HKLM\Software\Classes\AppID\SoftwareUpdate.exe => Clé supprimée avec succès
      HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\A28B4D68DEBAA244EB686953B7074FEF => Clé supprimée avec succès

      ========== Valeur(s) du Registre ==========
      O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Valeur supprimée avec succès
      O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Valeur absente

      ========== Récapitulatif ==========
      4 : Clé(s) du Registre
      2 : Valeur(s) du Registre

      End of the scan
      1. Vent d'ouest
        Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert)
        Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
        Copie/colle les lignes suivantes en gras et place les dans ZHPFix :

        [HKCU\Software\Burn4Free] => Infection PUP (Adware.Burn4Free)
        [HKCU\Software\cacaoweb] => Infection Diverse (Mal/TinyDL-T)
        O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Infection Rootkit (Rootkit.TDSS)
        O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Infection Rootkit (Rootkit.TDSS)
        [HKLM\Software\Classes\AppID\SoftwareUpdate.exe] => Infection PUP (PUP.Eorezo)
        [HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\A28B4D68DEBAA244EB686953B7074FEF]

        - Clique sur « Tous », puis sur « Nettoyer »
        - Copie/colle la totalité du rapport dans ta prochaine réponse
        Tuto :
        http://www.premiumorange.com/zeb-help-process/zhpfix.html
        3. BenightedDreamer
          En mode sans échec :

          Malwarebytes' Anti-Malware 1.50.1.1100
          www.malwarebytes.org

          Version de la base de données: 6685

          Windows 6.0.6002 Service Pack 2 (Safe Mode)
          Internet Explorer 8.0.6001.18904

          26/05/2011 18:36:27
          mbam-log-2011-05-26 (18-36-27).txt

          Type d'examen: Examen rapide
          Elément(s) analysé(s): 179135
          Temps écoulé: 2 minute(s), 37 seconde(s)

          Processus mémoire infecté(s): 0
          Module(s) mémoire infecté(s): 0
          Clé(s) du Registre infectée(s): 0
          Valeur(s) du Registre infectée(s): 0
          Elément(s) de données du Registre infecté(s): 0
          Dossier(s) infecté(s): 0
          Fichier(s) infecté(s): 0

          Processus mémoire infecté(s):
          (Aucun élément nuisible détecté)

          Module(s) mémoire infecté(s):
          (Aucun élément nuisible détecté)

          Clé(s) du Registre infectée(s):
          (Aucun élément nuisible détecté)

          Valeur(s) du Registre infectée(s):
          (Aucun élément nuisible détecté)

          Elément(s) de données du Registre infecté(s):
          (Aucun élément nuisible détecté)

          Dossier(s) infecté(s):
          (Aucun élément nuisible détecté)
          1. Vent d'ouest
            Dsl pour le lien.....

            Compte tenu de l'état de conservation,et de plus l'état des mises à jour de tes logs ,cela ne m'etonne qu'à moitié.....

            ==> Redémare en mode ss échec et colle moi le result d'un scan MBAM stp
            1. BenightedDreamer
              Le lien est mort, du coup j'ai téléchargé sur un autre site. Peu importe, j'ai quand même un problème : après avoir lancer la suppression, OTM ne répond plus et je ne peux plus rien faire sinon redémarrer le PC ...
              1. Vent d'ouest
                "Arg, désolée, j'ai supprimé ce que j'ai pu mais voilà :x"

                Ne sois pas désolée....on verra tt cela à la fin.

                Télécharge OTM (de Old_Timer) sur le bureau
                http://download.bleepingcomputer.com/oldtimer/OTMoveIt.exe

                * Lance OTM
                - Sous XP double-clic sur l'icône pour lancer l'outil.
                - Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
                * La fenêtre principale de l'outil s'ouvre :
                * Copie la liste en gras ci-dessous et colle-la dans le cadre "Paste instructions for Items to be Moved"

                :Files
                c:\users\bordage\appdata\roaming\microsoft\windows\templates\samsungkiessetup.exe
                c:\users\bordage\appdata\roaming\cacaoweb\cacaoweb.exe

                :Reg
                HKCU-Run-cacaoweb

                :Commands
                [emptytemp]

                * Clique sur MoveIt ! pour lancer la suppression

                * A la fin du processus le PC va redémarrer
                * Poste le rapport dans qui se trouve dans le répertoire suivant C:\_OTM\MovedFile

                ****************************
                2. Vent d'ouest
                  Pas beaucoup de changements....

                  De plus au niveau mise à jour, c'est un peu le bronx ce pc !

                  On continue:

                  Télécharge ComboFix (de sUBs) sur ton Bureau.

                  http://download.bleepingcomputer.com/sUBs/ComboFix.exe

                  * Double-clique sur ComboFix.exe (le .exe n'est pas forcément visible) afin de le lancer.
                  * Il va te demander d'installer la console de récupération : ACCEPTE !.
                  * Ne touche pas au pc durant le scan.
                  * Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse.
                  4. Vent d'ouest
                    Tes logs P2p +tes émulareurs nous font chier.....

                    ==> Vire tout ça et revient tout propre!!!!

                    Ensuite on pourra voir...

                    a+
                    • 1
                    • 2

                    Discussions similaires

                    Trojans et Spywares
                    lulu1009

                    1 réponse
                    SysinfY2X et trojans
                    afellah

                    17 réponses
                    Comment éliminer facilement un TROJAN ?
                    LOM

                    7 réponses
                    Comment enlever les trojan de mon ordinateur
                    moun

                    22 réponses
                    TROJANS (TROJANO + ADWARE)
                    philinfo

                    9 réponses