Infection Darkcorbit

1/ Copie/colle les lignes suivantes en gras:
2/Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag)
3/Clique sur l''icone représentant la lettre H (« coller les lignes Helper »)

----------------------------------------------------------
G2 - GCE: Preference [User Data\Default] [defdhglnppeioeflggkmglipcecffkhk] Complitly plugin for chrome v.1.1 (Activé)
[HKCU\Software\DC3_FEXEC]
C:\Users\NICOLAS\AppData\Roaming\Mozilla\Firefox\Profiles\my8ekfvc.default\Extensions\dttoolbar@toolbarnet.com
O4 - Global Startup: C:\Users\NICOLAS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Chat-Land messenger.lnk . (...) -- C:\Users\NICOLAS\chat-land\Chat-Landmessenger.exe (.not file.)
O4 - Global Startup: C:\Users\NICOLAS\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\eBay.lnk - Clé orpheline
M2 - MFEP: prefs.js [NICOLAS - my8ekfvc.default\DTToolbar@toolbarnet.com] [] DAEMON Tools Toolbar v (.DT Soft Ltd..)
O3 - Toolbar: DAEMON Tools Toolbar [64Bits] - {32099AAC-C132-4136-9E9A-4E364A424E17} . (.Pas de propriétaire - Toolbar Module.) -- C:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar64.dll
O23 - Service: ICQ Service (ICQ Service) . (.Pas de propriétaire - ICQIEUpdater Module.) - C:\Program Files (x86)\ICQ6Toolbar\ICQ Service.exe
O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [HKLM] -- DAEMON Tools Toolbar
O43 - CFD: 09/09/2011 - 11:56:32 - [3,826] ----D- C:\Program Files (x86)\DAEMON Tools Toolbar
O43 - CFD: 03/10/2010 - 15:04:52 - [1,520] ----D- C:\Program Files (x86)\ICQ6Toolbar
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{10EDB994-47F8-43F7-AE96-F2EA63E9F90F}]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{10EDB994-47F8-43F7-AE96-F2EA63E9F90F}]
[HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]:{32099aac-c132-4136-9e9a-4e364a424e17}
[HKLM\Software\Microsoft\Internet Explorer\Toolbar]:{32099aac-c132-4136-9e9a-4e364a424e17}
C:\Program Files (x86)\DAEMON Tools Toolbar
C:\Program Files (x86)\ICQ6Toolbar
SR - | Auto 246520 | (ICQ Service) . (...) - C:\Program Files (x86)\ICQ6Toolbar\ICQ Service.exe
EmptyTemp
FirewallRaz
--------------------------------------------------------

- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse

===================================================
Ton pc est maintenant propre.
Voici quelques conseils.

* Pour naviguer sur internet plus en sécurité et à l'abri des publicités, je te conseille vivement d'installer et d'utiliser le navigateur firefox Une fois que c'est fait, lance le et installe l' extension de sécurité suivantes pour bloquer les publicités: adblock plus

* WOT - Extension pour ton navigateur internet :
Voici une extension à télécharger qui te permettra, en faisant tes recherches sur google, de savoir si le site proposé lors de tes recherches est un site de confiance ou un site à éviter car il pourrait infecter ton PC :
Pour Firefox : https://addons.mozilla.org/fr/firefox/addon/wot-safe-browsing-tool/
Pour internet explorer : https://chrome.google.com/webstore/detail/wot-web-of-trust-website/bhmmomiinigofkjcapegjjndpbikblnp
=============================================
Je conseille de mettre a jour internet explorer même si vous ne l'utilisé jamais. Les MAJ systéme se font par le biais de IE. Par conséquent on évite les failles de sécurité.
* Télécharger IE9 : ici
=============================================
Java n'est pas à jour, c'est une faille de sécurité.
1. Tu dois en premier désinstaller l'ancienne version .
2. Ouvre le menu démarrer
3. Clic sur panneau de configuration
4. Rends toi a ajout/suppression de programmes
5. Sélectionne toutes les versions de java présentes et désinstalles les.
6. Ensuite, télécharges et installes la nouvelle version de java (n'installes pas la barre d'outil proposée lors de l'installation)
==============================================

Adobe Reader n'est pas à jour , c'est une faille de sécurité.
1. Désinstalles le en allant dans menu démarrer
2. Clic sur panneau de configuration
3. Rends-toi à ajout/suppression de programmes.
4. Télécharges et installes la nouvelle version. https://acrobat.adobe.com/fr/fr/acrobat/pdf-reader.html

Décoches :McAfee® Security Scan Plus gratuit (en option)

Pour diminuer les risques, il est conseillé de désactiver l'interprétation du Javascript dans Adobe Reader sur votre ordinateur .Pour cela :

* Lancez Adobe Reader
* Cliquez sur Edition --> Préférences --> JavaScript
* Décochez "Activer Acrobat JavaScript"
* Validez
==============================================

Pour éliminer les programmes de désinfections.

* Téléchargez : DelFix sur votre bureau.
* Lancez le, cliquez sur suppression.
* Patientez pendant le scan jusqu'à l'ouverture du rapport.
* Postez le contenu du rapport dans votre prochaine réponse sur le forum.

* Note : Le rapport se trouve sous C:\DelFixSearch.

===============================================

Désactiver/Réactiver la restauration système de seven

https://www.commentcamarche.net/informatique/windows/147-restaurer-windows-avec-les-points-de-restauration/

* Pensé a vider la corbeille.
==================================================
Bonne soirée :)

Ok:)

voici: https://pjjoint.malekal.com/files.php?id=ZHPDiag_20120215_j10l9z8s15c8

Et si le problème se représente, je n'ai qu'a fixer ton script dans ZHP?

Surtout pas le script ne doit jamais être utilisé sans l'avis d'un helpeur.
La prochaine fois ton problème peut être différent et les lignes a fixer ne seront pas les mêmes.

Sur ton rapport j'ai remarqué la présence de diverses infections.Si tu souhaites les retirer fais ce qui suis.0

Post un nouveau rapport zhpdiag.
Ouvres zhpdiag et clic sur la flèche verte pour faire la mise a jour du programme.Si mise a jour installes la.
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
Héberge le rapport ZHPDiag.txt sur le site pjjoint.malekal.com ou cijoint.fr ou toofiles puis copie/colle le lien fournit dans ta prochaine réponse sur le forum

Bien joué Nanard!
J'ai redémarré le PC et je n'ai pas eu de problèmes au démarrage.
Peut tu m'expliquer comment tu as fait?
:)

Et si le problème se représente, je n'ai qu'a fixer ton script dans ZHP?

Voila:
Rapport de ZHPFix 1.12.3380 par Nicolas Coolman, Update du 05/02/2011
Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-15-02-2012-20-49-11.txt
Run by NICOLAS at 15/02/2012 20:49:11
Windows 7 Home Premium Edition, 64-bit Service Pack 1 (Build 7601)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Web site : http://nicolascoolman.skyrock.com/

========== Valeur(s) du Registre ==========
SUPPRIME RunValue: RDesc
ABSENT Valeur Standard Profile: FirewallRaz :
ABSENT Valeur Domain Profile: FirewallRaz :
SUPPRIME FirewallRaz (Domain) : NetPres-In-TCP-NoScope
SUPPRIME FirewallRaz (Domain) : NetPres-Out-TCP-NoScope
SUPPRIME FirewallRaz (None) : NetPres-WSD-In-UDP
SUPPRIME FirewallRaz (None) : NetPres-WSD-Out-UDP
SUPPRIME FirewallRaz (Public) : NetPres-In-TCP
SUPPRIME FirewallRaz (Public) : NetPres-Out-TCP
SUPPRIME FirewallRaz (Private) : {B9F4CA60-CA94-4FAB-B93E-7432091FC823}
SUPPRIME FirewallRaz (Private) : {73545899-4E6C-4785-BEB1-AC71F812E3DD}
SUPPRIME FirewallRaz (Private) : {9AF4FD4D-6B26-4BCF-AB54-B60BC9386800}
SUPPRIME FirewallRaz (Private) : {FE790957-1C93-45FD-B77A-121904651CED}
SUPPRIME FirewallRaz (Private) : {C1B7DCB4-E9A4-42C1-9AEE-259EE62ED172}
SUPPRIME FirewallRaz (Private) : {4EB6CA34-B70A-4579-8DC4-5076045EB9D7}
SUPPRIME FirewallRaz (Private) : {FD23A100-FAC6-4AA8-807E-4605AB858377}
SUPPRIME FirewallRaz (Private) : {3C59B0F0-115C-40E9-B2E6-331F875CCA65}
SUPPRIME FirewallRaz (None) : {95998948-C1C6-49FD-91CA-48D5642DCC51}
SUPPRIME FirewallRaz (Public) : {54F5B0C4-0370-4755-B5CB-DC9B0BEF4446}
SUPPRIME FirewallRaz (Public) : {D07EB9C6-728C-4DB4-8577-E359536B700B}
SUPPRIME FirewallRaz (Private) : {5CACFB89-1FCB-42C9-B3AD-E395A3BD6D13}
SUPPRIME FirewallRaz (Private) : {12680B82-C54A-4DF6-A966-DC929F447453}
SUPPRIME FirewallRaz (Private) : TCP Query User{D8C88452-7FF0-41D1-A504-2E9F7DC30891}D:\program files\limewire\limewire.exe
SUPPRIME FirewallRaz (Private) : UDP Query User{C6BF0033-43FD-4EFD-A75D-6053BAC8E959}D:\program files\limewire\limewire.exe
SUPPRIME FirewallRaz (Private) : TCP Query User{3FB20DBA-056C-4214-AE14-7788E10E55E5}D:\program files\steam\steamapps\cnico39\team fortress 2\hl2.exe
SUPPRIME FirewallRaz (Private) : UDP Query User{44BD71C3-F1AD-4DB4-8F1C-CF39B0589368}D:\program files\steam\steamapps\cnico39\team fortress 2\hl2.exe
SUPPRIME FirewallRaz (Private) : TCP Query User{8881BE5E-D5A2-49CD-8617-61F1597CFF81}C:\users\nicolas\desktop\cacaoweb.exe
SUPPRIME FirewallRaz (Private) : UDP Query User{229A8C51-A2D9-42FC-AF47-1CE3ED087986}C:\users\nicolas\desktop\cacaoweb.exe
SUPPRIME FirewallRaz (Private) : TCP Query User{5B43A4AA-6D09-41BA-9A93-F62BC8BE2C62}C:\users\nicolas\desktop\darkcometrat42f\darkcomet\darkcomet.exe
SUPPRIME FirewallRaz (Private) : UDP Query User{AA330419-5EC6-4C9B-B764-24C5DD5EDC9D}C:\users\nicolas\desktop\darkcometrat42f\darkcomet\darkcomet.exe

========== Elément(s) de donnée du Registre ==========
SUPPRIME UserInit: C:\Windows\system32\userinit.exe,C:\windows/win32.dll,C:\windows/win32.dll,C:\Windupt/winupdate.exe,C:\Windupt/winupdate.exe,C:\Windupt/winupdate.exe,C:\windows/win32.dll,C:\Windupt/winupdate.exe,C:\windows/win32.dll,C:\Windu

========== Dossier(s) ==========
SUPPRIME Temporaires Windows: : 104

========== Fichier(s) ==========
SUPPRIME Temporaires Windows: : 4881

========== Tache planifiée ==========
SUPPRIME Task: {02B19B90-22E6-4AEC-A341-ECCBC022D400}
SUPPRIME Task: {25D3BDC4-1FB0-4896-B6EC-1A21B5655931}
SUPPRIME Task: {5BC36445-EBC1-4A85-B50E-3FCF3072C110}
SUPPRIME Task: {CF8B17A0-AF87-4933-B149-7E8CD8C2BA5A}

========== Récapitulatif ==========
30 : Valeur(s) du Registre
1 : Elément(s) de donnée du Registre
1 : Dossier(s)
1 : Fichier(s)
4 : Tache planifiée

End of clean in 00mn 12s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 15/02/2012 16:56:42 [498]
C:\ZHP\ZHPFix[R2].txt - 15/02/2012 16:57:35 [549]
C:\ZHP\ZHPFix[R3].txt - 15/02/2012 20:49:11 [3904]

1/ Copie/colle les lignes suivantes en gras:
2/Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag)
3/Clique sur l''icone représentant la lettre H (« coller les lignes Helper »)

----------------------------------------------------------
F2 - REG:system.ini: UserInit=C:\Windows\system32\userinit.exe,C:\windows/win32.dll,C:\windows/win32.dll,C:\Windupt/winupdate.exe,C:\Windupt/winupdate.exe,C:\Windupt/winupdate.exe,C:\windows/win32.dll,C:\Windupt/winupdate.exe,C:\windows/win32.dll,C:\Windu
[MD5.00000000000000000000000000000000] [APT] [{02B19B90-22E6-4AEC-A341-ECCBC022D400}] (...) -- D:\Program Files\VirtualCamera\VCamera.exe (.not file.)
[MD5.00000000000000000000000000000000] [APT] [{25D3BDC4-1FB0-4896-B6EC-1A21B5655931}] (...) -- C:\Users\NICOLAS\Desktop\360desktop\360desktop\360desktop-setup_x64.exe (.not file.)
[MD5.00000000000000000000000000000000] [APT] [{5BC36445-EBC1-4A85-B50E-3FCF3072C110}] (...) -- D:\Program Files\VirtualCamera\VCamera.exe (.not file.)
[MD5.00000000000000000000000000000000] [APT] [{CF8B17A0-AF87-4933-B149-7E8CD8C2BA5A}] (...) -- d:\Program Files\Folder Lock\Uninstall.exe (.not file.)
O4 - HKLM\..\Wow6432Node\Run: [RDesc] Clé orpheline => Orphean Key not necessary
EmptyTemp
FirewallRaz
--------------------------------------------------------

- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse

Ne fais pas combo dans l'immédiat je te prépare un script.

Avant d'utiliser combofix, est-ce que cela peut t'orienter vers quelque chose?:
---\\ Modification d'une valeur Ini (Changed inifile value, mapped to Registry) (F2)
F2 - REG:system.ini: UserInit=C:\Windows\system32\userinit.exe,C:\windows/win32.dll,C:\windows/win32.dll,C:\Windupt/winupdate.exe,C:\Windupt/winupdate.exe,C:\Windupt/winupdate.exe,C:\windows/win32.dll,C:\Windupt/winupdate.exe,C:\windows/win32.dll,C:\Windupt/winupdate.exe,C:\windows/win32.dll,C:\windows/win32.dll,C:\windows/win32.dll
F2 - REG:system.ini: VMApplet=C:\Windows\system32\SystemPropertiesPerformance.exe
~ Scan Keys in 00mn 00s

J'ai trouver ca dans le rapport zhpdiag, et on vois clairement le fichier...Mai quand j'essai d'y accèder, windows me dit qu'il n'arrive pas à trouver le chemin.

Je pense donc qu'il faut arriver à localiser ce fichier infecté? Comme je te le disais au début, lorsque que j'ai créé ce fichier avec darcomet, il devait se placer dans HDD#\Windupt/winupdate.exe

D'accord avec toi mais le programme SEAF n'a rien trouvé sur winupdate.exe

Tu as tenté de desinstaller le prog.??

/!\ A l'attention de ceux qui passent sur ce sujet /!\
Le logiciel qui suit n'est pas à utiliser à la légère et peut faire des dégâts s'il est mal utilisé ! Ne le faites que si un helpeur du forum qui connait bien cet outil vous l'a recommandé.

/!\ Désactive tous tes logiciels de protection (Antivirus, Antispywares) /!\

* Télécharge combofix(de sUBs) sur ton Bureau.
* Double-clique sur ComboFix.exe afin de le lancer.
* Il va te demander d'installer la console de récupération : accepte. (important en cas de problème)
/!\ Ne touche ni à la souris, ni au clavier durant le scan /!\
* Lorsque la recherche sera terminée, un rapport apparaîtra.
* Héberge le rapport C:\Combofix.txt sur le site pjjoint.malekal.com ou cijoint.fr ou toofiles puis copie/colle le lien fournit dans ta prochaine réponse sur le forum
#Si combofix ne veut pas se lancer renommes le en ccm.exe et éxécutes le en mode sans échec .
Tutoriel officiel de Combofix : Tuto Combofix

La restauration n'a rien fait...
Je m'y attendais, car le but du logiciel darkcomet est de créer une sorte de fichier infecté, permettant de prendre le controle de l'ordinateur qui cliquera sur ce fichier...

Je pense donc qu'il faut arriver à localiser ce fichier infecté? Comme je te le disais au début, lorsque que j'ai créé ce fichier avec darcomet, il devait se placer dans HDD#\Windupt/winupdate.exe

Merci

Ok.Tu vas donc faire une restauration systéme d'avant l'installation de darkcomachin.

https://www.commentcamarche.net/informatique/windows/147-restaurer-windows-avec-les-points-de-restauration/

Ensuite test le pc.........

Darkcomet.. Et c'est avant hier ou hier en effet.

Bien.Ton probléme ne vient donc pas de ton fichier host qui lui est sain.

Tu as installé Darkcorbit aujourd'hui ou hier??

J'ai host.isc et host.msn

ISC:
## Copyright (c) 1993-2001 Microsoft Corp.
#
# This file has been automatically generated for use by Microsoft Internet
# Connection Sharing. It contains the mappings of IP addresses to host names
# for the home network. Please do not make changes to the HOSTS.ICS file.
# Any changes may result in a loss of connectivity between machines on the
# local network.
#

#192.168.137.1 NICOLAS-TOSH.mshome.net # 2015 7 5 31 19 4 32 782

MSN:
# Copyright (c) 1993-2009 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host

# localhost name resolution is handled within DNS itself.
# 127.0.0.1 localhost
# ::1 localhost

Regardes ici

C:\WINDOWS\system32\drivers\etc\hosts
Tu dois l'ouvrir avec le bloc note

Je n'ai pas le hosts bak 184 à cet emplacement...

Le fichier hosts original se trouve ici :

C:\WINDOWS\system32\drivers\etc\hosts bak 184

Ouvres le et copie/colle le sur le forum.

Voici le rapport:
-|x| RstHosts v2.0 - Rapport créé le 15/02/2012 à 18:39:20
-|x| Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
-|x| Nom d'utilisateur : NICOLAS - NICOLAS-TOSH (Administrateur)

-|x|- Informations -|x|-

Emplacement : C:\Windows\System32\drivers\etc\hosts
Attribut(s) : RASH
Propriétaire : Administrateurs - BUILTIN
Taille : 89 bytes
Date de création : 14/07/2009 - 03:34:48
Date de modification : 15/02/2012 - 18:39:02
Date de dernier accès : 15/02/2012 - 18:39:02

-|x|- Contenu du fichier -|x|-

# Fichier Hosts créé par RstHosts

127.0.0.1 localhost
::1 localhost

-|x|- E.O.F - C:\RstHosts.txt - 631 bytes -|x|-

Je redémarre le PC, et te tiens au courant.

Télécharge RstHosts ( créé par Xplode ) sur ton bureau.

Lance le et clique sur Restaurer

Un message t'indiquera de la réussite de l'opération, clique sur [OK] puis clique sur Créer un rapport

Copie/colle le contenu du rapport qui s'ouvrira à l'écran dans ton prochain message.

Note : Le rapport est également sauvegardé à la racine du disque dur ( C:\RstHosts.txt )

Toujours le probléme??

Bonjour,
Voici le R2: https://pjjoint.malekal.com/files.php?id=20120215_z14p7o9y15q5
Et le SEAF: https://pjjoint.malekal.com/files.php?id=20120215_r9v9x9x15p9