Problème win32:Trojan-gen

Oui ça fait un moment que j'en parle du formatage de toutes façons (et j'y pense pas mal depuis la découverte de ce problème du CHKDSK), mais à chaque fois je ne trouve pas le temps de le faire pendant mes vacances ^^. Là ça va être plus compliqué, mais c'est sur ma liste (en espérant que le CHKDSK ne me pose pas de problème pour refaire le cd de sauvegarde et faire le formatage, vu les énigmes informatiques qu'il nous pose il en serait capable le bougre...)

Ok. Si j'ai une idée au sujet de CHKDSK je reviens vers toi.
Sinon il serait bien de reformater et tout réinstaller, quand tu auras le temps

Smart

Cool, j'ai compris la base de ce qu'on a fait ^^

Merci beaucoup en tout cas pour ton aide, je vais m'occuper de sauvegarder tout ça ce week end, et refaire un CD de sauvegarde car je viens de le retrouver cassé en 2...

"J'imagine que Malwarebyte peut se conserver sur le PC et être utilisé pour surveiller le PC de temps à autre ? (en prenant garde à ce qu'il se mette à jour régulièrement si je me souviens bien ?)"

Exactement :-)

Smart

Voilà le rapport Delfix :

# DelFix v9.0 - Rapport créé le 24/10/2012 à 21:47:08
# Mis à jour le 23/09/12 par Xplode
# Système d'exploitation : Windows Vista (TM) Home Premium Service Pack 2 (32 bits)
# Nom d'utilisateur : David - PC-DE-DAVID (Administrateur)
# Exécuté depuis : C:\Users\David\Downloads\delfix.exe
# Option [Suppression]

~~~~~~ Dossiers(s) ~~~~~~

Supprimé : C:\ZHP
Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP
Supprimé : C:\Users\David\Desktop\RK_Quarantine
Supprimé : C:\Program Files\ZHPDiag

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\AdwCleaner[R1].txt
Supprimé : C:\AdwCleaner[S1].txt
Supprimé : C:\PhysicalDisk0_MBR.bin
Supprimé : C:\TDSSKiller.2.8.13.0_22.10.2012_13.49.34_log.txt
Supprimé : C:\TDSSKiller.2.8.13.0_22.10.2012_13.49.52_log.txt
Supprimé : C:\Users\David\Desktop\AdwCleaner[S1].txt
Supprimé : C:\Users\David\Desktop\RKreport[1].txt
Supprimé : C:\Users\David\Desktop\RKreport[2].txt
Supprimé : C:\Users\David\Desktop\RKreport[3].txt
Supprimé : C:\Users\David\Desktop\RKreport[4].txt
Supprimé : C:\Users\David\Desktop\RKreport[5].txt
Supprimé : C:\Users\David\Desktop\RogueKiller.exe
Supprimé : C:\Users\David\Desktop\tdsskiller.exe
Supprimé : C:\Users\David\Desktop\ZHPDiag.txt
Supprimé : C:\Users\David\Desktop\ZHPFixReport.txt
Supprimé : C:\Users\Public\Desktop\MBRCheck.lnk
Supprimé : C:\Users\Public\Desktop\ZHPDiag.lnk
Supprimé : C:\Users\Public\Desktop\ZHPFix.lnk
Supprimé : C:\Users\David\Downloads\AdwCleaner.exe
Supprimé : C:\Users\David\Downloads\ZHPDiag2.exe

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKLM\SOFTWARE\AdwCleaner
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1

~~~~~~ Autres ~~~~~~

-> Prefetch Vidé

*************************

DelFix[S1].txt - [1771 octets] - [24/10/2012 21:47:08]

########## EOF - C:\DelFix[S1].txt - [1895 octets] ##########

"Et donc juste pour savoir, quels infections étaient en cause de mon alerte ? (désolé d'être relou avec mes questions, j'aime bien comprendre un peu ce que je fais histoire de se coucher moins bête)."
Relis ce que je t'avais dit ICI

Tu peux désinstaller les outils, pour cela:
- Télécharge DelFix (d'Xplode) sur ton bureau.
- Lance le, (avec Vista/Seven, clic droit dessus, et sur exécuter en tant qu'administrateur)
- Sélectionne Suppression
- Copie/colle le contenu du rapport qui s'ouvrira à l'écran dans ton prochain message.

Note : Le rapport est également sauvegardé à la racine du disque dur ( C:\DelFixSuppr.txt )
Une fois le rapport posté sur le forum, relance DelFix en sélectionnant Désinstallation.

Tu ne m'as dit si tu avais le test avec "réparer des erreurs.."

Smart

Ok merci pour tes réponses, c'est plus rassurant ainsi.

Et donc juste pour savoir, quels infections étaient en cause de mon alerte ? (désolé d'être relou avec mes questions, j'aime bien comprendre un peu ce que je fais histoire de se coucher moins bête).

Dois-je conserver tout ce que nous avons utilisé pour désinfecter l'ordi tant que l'on a pas résolu le souci de la vérification des erreurs ? (au pire je mets tout dans un dossier commun histoire de ranger le bureau).

"Risque que mon ordi soit vérolé ou autre et donc risque sur des utilisations type mot de passe, compte bancaire, etc... "
Non. J'ai supprimé toutes les infections que j'ai pu détectées.
Maintenant si cela peux te rassurer tu peux changer tes identifiants et mot de passe en particuliers sur les sites tel que compte bancaire achats......


"Risque que le DD soit en fin de vie ce qui expliquerait le problème de la commande "?
Je ne pense pas que ton DD soit si vieux. Mais il a surement des secteurs défectueux ou endommagés. Je conseille fortement de faire une sauvegarde de toutes tes données personnelles sur un DD externe (ce qu'il faut faire régulièrement surtout quand le PC fonctionne correctement

""Réparer des erreurs" à l'écran de démarrage+F8, penses-tu qu'il faille le tenter, ou j'oublie ce truc ?
Si mes souvenirs sont exacts cette fonction est utiles que si Windows ne démarre pas correctement. Tu peux l'essayer. Mais il risque de demander le DVD Vista

Smart

Je comprends ça très bien t'en fais pas c'est la même pour moi. J'aurais bien aimé régler ça très vite aussi pour être peinard.

J'ai beau chercher moi aussi sur le net une raison à mon problème, je trouve pas.

Disons que j'ai 2 principales inquiétudes, après ça, si l'ordi fonctionne à peu près comme il faut la plupart du temps, je vais pas te prendre la tête pendant 10 ans non plus. En gros mes 2 questions :

- Risque que mon ordi soit vérolé ou autre et donc risque sur des utilisations type mot de passe, compte bancaire, etc...

- Risque que le DD soit en fin de vie ce qui expliquerait le problème de la commande ?

Si la réponse est non à ces 2 questions, clairement si l'ordi reste dans son comportement actuel, le reste peut attendre une période où tu seras plus dispo ;)

PS : j'avais prévenu que mon ordi serait relou à un moment donné ^^

Edit : du coup je reviens sur mon histoire de ligne "Réparer des erreurs" à l'écran de démarrage+F8, penses-tu qu'il faille le tenter, ou j'oublie ce truc ?

En effet avec cette valeur CHKDSK devrait démarrer au prochain démarrage du PC
L'exemple de valeur que j'avais donnée interdisait le check disk au démarrage.
Cela me prend la tête de ne pas comprendre, car je n'aime être sur un échec.
Je vais encore y réfléchir. Le seul souci c'est que je suis pris par mon boulot en ce moment. :-(

Smart
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

Voilà la commande que j'ai pour Bootexecute :

autocheck autochk / r \??\C: autocheck autochk*

Si je comprends ton message, je n'ai rien à modifier (malheureusement...).

Bon je ne suis pas sûr d'avoir tout compris ce que tu as écrit.
Pour le fichier initdebug, il a surement eté crcéer par une sdes applications de ton PC.
C'est un fichiers info essaie de l'ouvrit et dis ce qui est inscrit.

Pour CHKDSK je voudrais vérifier la valeur d'une clé de registre;

Fais démarrer puis exécuter et tapes regedit
Tu obtiens une fenêtre avec deux colonnes dans la colonnes de droit tu cliques sur le + de:
HKEY_LOCALMACHINE pour dérouler l'arborescence
ensuite tu clique sur le + de SYSTEM puis CurrentControlSet puis Control et enfin tu sélectionnes Session Manager (il doit être surligné)
Dans la colonne de droite tu dois sous nom Bootexecute et pour données:
autocheck autochk *
Si tu as quelquechose comme cela:
autocheck autochk /k:c *

Dans ce cas tu double-clique sur bootexecute et tu modifie la valeur en:
autocheck autochk *

Ensuite à l'invite de commande tu refais chkdsk /f
et tu redémarre le PC

Smart

Salut, pas grave au moins on est fixé sur les SSDT ;)

Alors le clic droit ne donne rien, je vais tenter en mode sans échec (par contre je dois faire quoi en mode sans échec ? lancer le Mode et lancer la commande ou le clic droit, puis redémarrer l'ordi en mode normal ?)

PS : j'ai un fichier initdebug.nfo sur le bureau depuis hier soir (j'ai eu un freeze de l'ordi pendant une des maj qui m'a obligé à un (autre) hard reset).

Et aujourd'hui au premier démarrage, une fois tout bien démarré, j'ai eu un blue screen windows en cliquant sur le raccourci FF (mais en redémarrant encore en hard reset, tout semble revenu à la normale).

Bon j'ai eu la réponse de Tighzy
Tous les SSDT sont légitimes et le fait de vouloir supprimer le hook peut entrainer un plantage du système. C'est qui s'est passé et c'était ma faute.

Pour CHKDSK on va essayé une autre manip;

- Fait un clic droit sur le disque C: puis propriétés
- Ensuite clique sur "Vérifier maintenant"
- Coche les deux cases et clique sur "démarrer"
- Clique ensuite sur "planifier..."
- Et redémarre le PC

Si CHKDSK ne se lance pas au prochain démarrage essaie en mode sans echec

Smart

Et voilà le rapport pour ZHPfix :

Rapport de ZHPFix 1.3.05 par Nicolas Coolman, Update du 09/10/2012
Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-23-10-2012-02-07-37.txt
Run by David at 23/10/2012 02:07:37
Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)
Web site : http://nicolascoolman.skyrock.com/

========== Module(s) mémoire ==========
SUPPRIME Memory Module: C:\Windows\System32\rpcnetp.dll

========== Clé(s) du Registre ==========
SUPPRIME Key: HKLM\Software\Oberon Media
SUPPRIME Key: HKLM\Software\Symantec
SUPPRIME Key: Service: Bonjour Service
ABSENT Key: Service: Bonjour Service

========== Valeur(s) du Registre ==========
SUPPRIME RunValue: HP Software Update
SUPPRIME RunValue: QuickTime Task
SUPPRIME RunValue: TkBellExe
SUPPRIME RunValue: WindowsWelcomeCenter

========== Dossier(s) ==========
SUPPRIME Folder: C:\Program Files\Spybot - Search & Destroy
SUPPRIME Folder: C:\ProgramData\Spybot - Search & Destroy
SUPPRIME Folder: C:\ProgramData\McAfee
SUPPRIME Folder: C:\Users\David\AppData\Local\Oberon Media

========== Fichier(s) ==========
SUPPRIME File*: c:\windows\system32\rpcnetp.dll

========== Récapitulatif ==========
1 : Module(s) mémoire
4 : Clé(s) du Registre
4 : Valeur(s) du Registre
4 : Dossier(s)
1 : Fichier(s)

End of clean in 00mn 06s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 22/10/2012 15:48:03 [8174]
C:\ZHP\ZHPFix[R2].txt - 22/10/2012 16:59:50 [782]
C:\ZHP\ZHPFix[R3].txt - 23/10/2012 02:07:37 [1424]

Voila le rapport de VirusTotal :

https://www.virustotal.com/gui/file/e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855

Je passe à la suite ;)

OK.
Normalement on devrait passer à la phase finale.
On ne va que le début en attendant la réponse de Tigzy le développeur de Roguekiller

Je voudrais analyser ce fichier:
Va sur ce site https://www.virustotal.com/gui/
- Clique sur "Choose File"
- Dans nom du fichier colle ce fichier : C:\PhysicalDisk0_MBR.bin
- Clique sur "Ouvrir" puis sur "Scan It"
- Le Fichier est mis en file d'attente.
- Clique sur Reanalyse si c'est proposé
- Attends la fin du scan ey poste le lien vers le rapport
Le lien se trouve en haut dans la barre d'adresse du navigateur Internet

Ensuite fais les mise à jour suivantes:

Mise à jour Java 7 update 9 ==> https://www.java.com/fr/download/
Décoche la case "Installer la barre d'outils Ask" avant de cliquer sur suivant.
Ensuite désinstalle par ajout/suppression de programmes toutes les versions de Java 6 et Java 7 dont l'update est inférieur à 9

Tu dois aussi mettre à jour tous tes autres programmes pour combler des failles de sécurité... Vérifie les mises disponibles à l'aide de ce petit programme (choisis la version sans installation) : http://www.filehippo.com/updatechecker/UpdateChecker.exe
et lis ceci: Pourquoi tenir ses programmes a jour

Optimisation:

- Ferme toutes tes applications en cours
- Lance ZHPFix via le raccourci sur ton Bureau, (Si tu es sous Vista ou Windows 7 n'oublie pas clic droit ==> en tant qu'administrateur")
- Si tu ne l'as pas, télécharge le depuis ce lien: https://www.zebulon.fr/telechargements/securite/systeme/zhpfix.html
- Si tu obtiens le message "Voulez-vous autoriser le programme suivant..." tu réponds Oui
- Copie/colle les lignes en gras suivantes :

----------------------------------------------------------
C:\Windows\System32\rpcnetp.dll
O43 - CFD: 21/10/2012 - 22:47:21 - [1,100] ----D C:\Program Files\Spybot - Search & Destroy
O43 - CFD: 21/10/2012 - 22:45:56 - [0,055] ----D C:\ProgramData\Spybot - Search & Destroy
O43 - CFD: 31/01/2009 - 02:02:10 - [0,409] ----D C:\ProgramData\McAfee
O43 - CFD: 14/02/2009 - 18:55:33 - [0] ----D C:\Users\David\AppData\Local\Oberon Media
[HKLM\Software\Oberon Media]
[HKLM\Software\Symantec]
OPT:O4 - HKLM\..\Run: [HP Software Update] . (.Hewlett-Packard - hpwuSchd Application.) -- c:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
OPT:O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\QTTask.exe
OPT:O4 - HKLM\..\Run: [TkBellExe] . (.RealNetworks, Inc. - RealNetworks Scheduler.) -- C:\Program Files\Real\RealPlayer\update\realsched.exe
OPT:O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] oobefldr.dll
OPT:O4 - HKUS\S-1-5-20\..\Run: [WindowsWelcomeCenter] oobefldr.dll
OPT:O23 - Service: Service Bonjour (Bonjour Service) . (.Apple Inc. - Bonjour Service.) - C:\Program Files\Bonjour\mDNSResponder.exe
OPT:SR - | Auto 30/08/2011 390504 | (Bonjour Service) . (.Apple Inc..) - C:\Program Files\Bonjour\mDNSResponder.exe

----------------------------------------------------------
- Clique sur l'icône représentant le presse-papier ("coller le presse-papier")
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur le bouton « GO » pour le lancer le nettoyage
- Copie/colle la totalité du rapport dans ta prochaine réponse

On fera la suite après la réponse de tigzy

Smart

Voilà comme dis en MP, j'ai eu un freeze après la fin du 1er scan, et au redémarrage en hard reset, je n'avais plus le rapport ZHP, donc j'ai rescanné.
(Pour info concernant les fichiers illisibles ou endommagés, cela en concerne seulement 3, et toujours les mêmes (dont celui d'iTunes qui me pose souci pour le mettre à jour).

Voilà le rapport :
https://pjjoint.malekal.com/files.php?id=ZHPDiag_20121022_r12k15j8j7g10

Refais un scan ZHPDiag et poste le rapport via pjjoint

Smart

C'est fait, faut-il que je redémarre encore ? Voici le rapport :

Rapport de ZHPFix 1.3.05 par Nicolas Coolman, Update du 09/10/2012
Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-22-10-2012-17-59-50.txt
Run by David at 22/10/2012 17:59:50
Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)
Web site : http://nicolascoolman.skyrock.com/

========== Clé(s) du Registre ==========
ABSENT Key: CLSID DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A}

========== Valeur(s) du Registre ==========
ABSENT Valeur Standard Profile: FirewallRaz :
ABSENT Valeur Domain Profile: FirewallRaz :

========== Récapitulatif ==========
1 : Clé(s) du Registre
2 : Valeur(s) du Registre

End of clean in 00mn 01s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 22/10/2012 15:48:03 [8174]
C:\ZHP\ZHPFix[R2].txt - 22/10/2012 17:59:50 [731]