XP smart Security et autre virus.

Salut,

le PC est encore bel et bien infecté .... Security Tool ou XP smart security, même merde ! ... l'infection a muté , c'est tout ...

/!\ Pour le bon déroulement de la désinfection :
* Ne pas utiliser ce PC autrement que pour venir ici poursuivre la désinfection .
* N'entreprends rien avec le PC sans mon autorisation et suis à la lettre les procédures qui vont suivre .
* Prends bien connaisance de l'ensemble de ces procédures avant de te lancer .
* Si tu as un quelconque problème n'hésite pas à m'en faire part ( évite les prises de décision hasardeuses ).

Poste moi le dernier rapport de Malwarbytes que tu as obtenu stp ( mais ne relance pas de scan surtout ! )....

Puis fait ceci pour avoir un diagnostique précis de la situation :

Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau :

-> https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

!! déconnecte toi et ferme toutes tes applications en cours !!

> double-clique sur "ZHPDiag.exe" pour lancer l'installation de l'outil et laisse toi guider ( ne modifie pas les paramètres d'installe et coche bien la case "créer une icone sur le bureau" afin d'avoir les raccourcis "ZHPDiag" et "ZHPFix" ) .

> Lance ZHPDiag depuis le raccourci du bureau .

> Une fois ZHPDiag ouvert, clique sur le bouton "option" en haut sur la droite .
( celui avec le tournevis )

Une liste apparait dans l'encadré principal > vérifie que toutes les lignes soient bien cochées sauf les 045 et 061 ( important ! ) .

> Puis clique sur le bouton de "la loupe" ( en haut à gauche ) pour lancer le scan .

Laisses travailler l'outil ...

> Une fois terminé , le rapport s'affiche : clique sur bouton "disquette" pour sauvegarder le rapport obtenu ...

Enregistre bien ZHPDiag.txt de façon à le retrouver facilement ( sur le bureau par exemple ).

( Sinon le rapport sera en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag )

Puis ferme le programme ...

> rends toi ensuite sur ce site : http://www.cijoint.fr/

Clique sur "parcourir" et va jusqu'au rapport que tu as sauvegardé .
Clique ensuite sur "cliquer ici pour déposer le fichier" et patiente ...
Une fois l'upload finit , un lien apparait > copie/colle le dans ta prochaine réponse stp ....

Bon, j'ai lancé ZHPDiag, mais pendant le scan, une petite fenêtre s'ouvre empêchant de continuer,
"sigcheck Licence agrement", je doit faire "agree" ou "decline", il empêche le scan de continuer.

http://www.cijoint.fr/cjlink.php?file=cj201003/cij1oppsEP.txt Voilà !!!

Alors ???

Je viens de voir ta nouvelle réponse merci mais puis-je remettre la connexion de l'ordinateur affecté pour copier le rapport ?

J'écris à partir d'un autre là !

Et pour les défenses impossible de les remettre depuis l'attaque !!!

Re,

Je viens de voir ta nouvelle réponse merci mais puis-je remettre la connexion de l'ordinateur affecté pour copier le rapport ?

> oui vas y ... ( ne surtout pas transmettre quoi que se soit depuis se PC ver un autre avec des supports amovible tel que des clé usb car tu infecterai ton autre PC ! )

Et pour les défenses impossible de les remettre depuis l'attaque !!!

Normal ! ... c'est l'infection qui les bloque ... fait avec pour le moment et t'en occupe pas ...

J'attends les rapports donc ....

^^ Oups !! Pour les disques amovible, c'est comment dire... Trop Tard :\ Mais bon, c'est l'ordi de mon père qui me préoccupe et pas le miens !!!

Miracle, après avoir fait ZHPFix, il n'y a plus de Xp Smart security !!!!

Je te donne le rapport :

-----------------------------------------------------------------------------------------------------------------------------

ZHPFix v1.12.3075 by Nicolas Coolman - Rapport de suppression du 17/03/2010 12:20:45
Fichier Registre :
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

Processus mémoire :
C:\Documents and Settings\M. Provot\Local Settings\Application Data\ave.exe => Supprimé et mis en quarantaine

Module mémoire :
(Néant)

Clé du Registre :
O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} . (.Ask.com - Ask.com Toolbar.) -- C:\Program Files\AskBarDis\bar\bin\askBar.dll => Clé supprimée avec succès
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{3041d03e-fd4b-44e0-b742-2d9b88305f98}] => Clé supprimée avec succès
[HKCR\CLSID\{3041d03e-fd4b-44e0-b742-2d9b88305f98}] => Clé supprimée avec succès
O51 - MPSK:{1dca2d46-d569-11dc-99b2-00173190265b}\Shell\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- G:\2ifetri.cmd (.not file.) => Clé supprimée avec succès
O51 - MPSK:{1dca2d46-d569-11dc-99b2-00173190265b}\Shell\explore\command. (.Pas de propriétaire - Pas de description.) -- G:\2ifetri.cmd (.not file.) => Clé absente
O51 - MPSK:{1dca2d46-d569-11dc-99b2-00173190265b}\Shell\open\command. (.Pas de propriétaire - Pas de description.) -- G:\2ifetri.cmd (.not file.) => Clé absente

Valeur du Registre :
O3 - Toolbar: Ask Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} . (.Ask.com - Ask.com Toolbar.) -- C:\Program Files\AskBarDis\bar\bin\askBar.dll => Valeur supprimée avec succès

Elément de données du Registre :
O67 - Shell Spawning: <.exe> <secfile>[HKCU\..\open\Command] (.Pas de propriétaire - Pas de description.) -- C:\Documents and Settings\M. Provot\Local Settings\Application Data\ave.exe => Donnée supprimée avec succès

Dossier :
C:\Program Files\AskBarDis => Supprimé et mis en quarantaine
C:\Program Files\AskSearch => Supprimé et mis en quarantaine

Fichier :
c:\program files\askbardis\bar\bin\askbar.dll => Supprimé et mis en quarantaine
c:\program files\askbardis\bar\bin\askbar.dll => Fichier absent
g:\2ifetri.cmd => Fichier absent
c:\documents and settings\m. provot\local settings\application data\ave.exe => Fichier absent

Logiciel :
(Néant)

Script Registre :
(Néant)

Autre :
(Néant)

Récapitulatif :
Processus mémoire : 1
Module mémoire : 0
Clé du Registre : 6
Valeur du Registre : 1
Elément de données du Registre : 1
Dossier : 2
Fichier : 4
Logiciel : 0
Autre : 0

End of the scan

------------------------------------------------------------------------------------------------------------------------------

Voilà, merci (et je touche du bois pour mon ordi :) )

Je passe à la 2ème étape après manger, je te tiens au courant !!!

Bon appétit et même si ce n'est pas finit, tu as les remerciements du fond du cœur de mon père.

Salut

re,

pour ton ordi , c'est cuit ... on s'en occupera après ... mais surtout , tu ne mets plus en contact les deux pc maintenant ! ... sinon on va tourner en rond un moment ....

vu pour ZHPFix mais c'est loins d'être terminé ! ... j'attends les autres rapports demandés ....

Bon app' ... ;)

Rapport Toolbar Le voici !!!

------------------------------------------------------------------------------------------------------------------------------
-----------\\ ToolBar S&D 1.2.9 XP/Vista

Microsoft Windows XP Professionnel ( v5.1.2600 ) Service Pack 3
X86-based PC ( Multiprocessor Free : AMD Athlon(tm) 64 X2 Dual Core Processor 3800+ )
BIOS : Phoenix - AwardBIOS v6.00PG
USER : M. Provot ( Administrator )
BOOT : Normal boot
Antivirus : avast! antivirus 4.7.1098 [VPS 100316-1] 4.7.1098 (Activated)
A:\ (USB)
C:\ (Local Disk) - NTFS - Total:69 Go (Free:31 Go)
F:\ (Local Disk) - NTFS - Total:149 Go (Free:38 Go)
H:\ (USB)
I:\ (USB)
J:\ (USB)
K:\ (USB)

"C:\ToolBar SD" ( MAJ : 22-08-2009|18:42 )
Option : [2] ( 17/03/2010|14:10 )
C:\DOCUME~1\M0B4B~1.PRO\LOCALS~1\Temp\nsc1B3.tmp

-----------\\ SUPPRESSION

Supprime! - C:\DOCUME~1\M0B4B~1.PRO\LOCALS~1\Temp\AIM_6.8.14.6\Toolbar.exe
Supprime! - C:\DOCUME~1\M0B4B~1.PRO\Cookies\m. provot@h.starware[2].txt
Supprime! - C:\DOCUME~1\M0B4B~1.PRO\Cookies\m. provot@try.starware[1].txt
Supprime! - C:\DOCUME~1\M0B4B~1.PRO\Cookies\m. provot@try.starware[2].txt
Supprime! - C:\DOCUME~1\M0B4B~1.PRO\Cookies\m. provot@zango[2].txt
Supprime! - C:\DOCUME~1\M0B4B~1.PRO\LOCALS~1\Temp\nsc1B3.tmp

-----------\\ Recherche de Fichiers / Dossiers ...

-----------\\ Extensions

(M. Provot) - {E9A1DEE0-C623-4439-8932-001E7D17607D} => ajtoolbar
(M. Provot) - {20a82645-c095-46ed-80e3-08825760534b} => chrome_user

-----------\\ [..\Internet Explorer\Main]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Local Page"="C:\\WINDOWS\\system32\\blank.htm"
"Start Page"="https://www.boursorama.com/"
"Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
"Default_Page_URL"="https://www.msn.com/fr-fr/?ocid=iehp"
"Default_Search_URL"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
"Search Page"="https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF"
"Start Page"="https://www.msn.com/fr-fr/"

--------------------\\ Recherche d'autres infections

Aucune autre infection trouvée !

1 - "C:\ToolBar SD\TB_1.txt" - 17/03/2010|14:11 - Option : [2]

-----------\\ Fin du rapport a 14:11:48,59

------------------------------------------------------------------------------------------------------------------------------

Bonne Chance !!!!!

bien ...

le nouveau ZHPDiag comme demandé maintenant ....

http://www.cijoint.fr/cjlink.php?file=cj201003/cijJ4QWsox.txt

Voici le lien du dernier rapport ZHPDiag !!!

J'attends tes instructions.

Du nouveau ?

re,

on poursuit ... dans l'ordre :

1- Un oubli de ma part que l'on va rectifier de suite :

> Désinstalle proprement Spybot S&D depuis panneau de config / ajout et suppression de prg .

> puis supprime le dossier de Spybot présent dans "program files" .

Pourquoi ? Car il est inutil , lourd pour le systeme et va fortement géner le déroulement de la désinfection .

Une fois ceci fait ( et pas avant ! ) , tu enchaines....

========================

2- Télécharge CCleaner :
https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/
ou https://www.pcastuces.com/logitheque/ccleaner.htm
Ce logiciel va permettre de supprimer tous les fichiers temporaires et de corriger ton registre .
Lors de l'installation:
-choisis bien "français" en langue .
-avant de cliquer sur le bouton "installer", décoche toutes les "options supplémentaires" sauf les 2 premières.

Un tuto ( aide ):
http://perso.orange.fr/jesses/Docs/Logiciels/CCleaner.htm

---> Utilisation:
*Décocher dans le menu Options - sous-menu Avancé :
Effacer uniquement les fichiers, du dossier temp de Windows, plus vieux que 48 heures .

! déconnecte toi et ferme toutes applications en cours !

* va dans "nettoyeur" : fais -analyse- puis -nettoyage-
* va dans "registre" : fais -chercher les erreurs- et -réparer toutes les erreurs-
( plusieurs fois jusqu'à ce qu'il n'y est plus d'erreur ) .

( CCleaner : soft à garder sur son PC , super utile pour de bons nettoyages ... )

===========================

3- on va ré-utiliser Malwarebytes ainsi :

mets le à jour ! ( onglet "mise à jour" ).

! Déconnecte toi et ferme toutes applications en cours !

* Lance Malwarebytes' .

Fais un examen dit "RAPIDE" .

--> Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
--> à la fin tu cliques sur "résultat" .
--> Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes', le dernier en date) pour analyse .

Une fois ce rapport posté , fait l'étape suivante ...

========================

4- On va s'occuper des unités externes maintenant .

Télécharge UsbFix ( de C_XX, Chimay8 & El desaparecido ) sur ton bureau :

ici http://pagesperso-orange.fr/NosTools/Chiquitine29/UsbFix.exe
ou ici https://www.ionos.fr/?affiliate_id=77097

! Déconnecte toi d'internet et ferme toutes applications en cours !

IMPERATIF:
Branche toutes tes unités externes à ton PC (clé USB, DD externe, flash disk, lecteur MP3,carte SD, etc...) succeptibles d'avoir été infectés ( mais sans les ouvrir ! ) .

# Double clique sur UsbFix.exe présent sur ton bureau pour lancer l'outil.

# Choisis l' option 1 ( Recherche )

# Laisse travailler l'outil et ne touche à rien pendant le scan ( ceci peut-être relativement long ).

# Une fois terminé, poste le rapport UsbFix.txt qui apparaitra.

Le rapport est en outre sauvegardé à la racine du disque maitre ( C:\UsbFix.txt ).

( CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

Note :
"Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.
Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

Site de l'auteur > http://pagesperso-orange.fr/NosTools/usbfix.html

Ouch, problème avec spybot :

"Le fichier "C:\Program Files\Spybot - Search & Destroy\unins000.dat" n'existe pas. Impossible de désinstallé"

Mots Exacte !!!

Que faire... je connais un logiciel s'appelant "Smarty Uninstinller Pro 2009" qui m'a bien aidé sur mon ordi, mais j'écouterais la voie du sage :)

Oui, il marche toujours !!!

Voilà le rapport de MalwareBytes :)

------------------------------------------------------------------------------------------------------------------------------

Malwarebytes' Anti-Malware 1.44
Version de la base de données: 3875
Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

17/03/2010 10:28:32
mbam-log-2010-03-17 (10-28-32).txt

Type de recherche: Examen rapide
Eléments examinés: 142926
Temps écoulé: 7 minute(s), 54 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 2
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 6

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\cdrom (Trojan.Patched) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\syncman (Trojan.FakeAlert.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\regedit32 (Trojan.Agent) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\WINDOWS\system32\wuaucldt.exe (Trojan.FakeAlert.H) -> Delete on reboot.
C:\WINDOWS\system32\dllcache\cdrom.sys (Trojan.Patched) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\drivers\cdrom.sys (Trojan.Patched) -> Quarantined and deleted successfully.
C:\Documents and Settings\LocalService\oashdihasidhasuidhiasdhiashdiuasdhasd (Malware.Trace) -> Quarantined and deleted successfully.
C:\Documents and Settings\M. Provot\oashdihasidhasuidhiasdhiashdiuasdhasd (Malware.Trace) -> Quarantined and deleted successfully.
C:\Documents and Settings\M. Provot\Application Data\avdrn.dat (Malware.Trace) -> Quarantined and deleted successfully.

-----------------------------------------------------------------------------------------------------------------------------

Bonne chance, je continue avec les clés USB !

Voici le lien du rapport UsbFix fait par Cijoint !

http://www.cijoint.fr/cjlink.php?file=cj201003/cijbBrupHz.txt

Voilà !