help: infection windows security alert Résolu

Question

Bonjour, 
depuis hier soir je suis infecté par le virus: windows security alert
Je suis vraiment dans la galère car j'ai besoin de bosser sur mon ordi, or, je n peux plus rien faire, même pas un sacn avec un antivirus. J'ai malgré tout résussi à faire un diagnostic ZHPDIAg en mode sans echec. Si quelqu'un peut m'aider je peux poster le rapport que j'ai obtenu. Merci pour votre aide c'est très urgent (conférence à faire demain à partir de mon ordi!!!!!), je suis en panique.
Merci d'avance pour tout, 
Bien cordialement, 
Philippe

Configuration: Windows XP / Internet Explorer 7.0

Malekal_morte- · Accepted Answer

Salut, 

Pas besoin de ZHPDIAg.

Redémarrez l'ordinateur en mode sans échec avec prise en charge du réseau, pour cela : avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec avec prise en charge du réseau  et appuye sur la touche entrée du clavier. 


Sauvegarde tes documents importants.


Désactive les logiciels de protection (Antivirus, Antispywares) puis :       

Télécharge Combofix sUBs : http://download.bleepingcomputer.com/sUBs/ComboFix.exe et sauvegarde le sur ton bureau et pas ailleurs!       

Double-clic sur combofix, accepte la licence d'utilisation et laisse toi guider.       

Eventuellement, installe la console de récupération comme cela est conseillé       

Attends que combofix ait terminé, un rapport sera créé. Poste le rapport.
Si le rapport ne passe pas, envoie le sur ce site : http://www.cijoint.fr/
et donne le lien ici :)     

Tu as le tutorial sur ce lien pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix       

PS : si Combofix ne se lance pas, renomme le fichier Combofix et retente.       

Si pas mieux, tente en mode sans échec sans prise en charge du réseau : Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.

NicoVA · Answer

Salut 

J'te laisse Mak.

++

philjofr · Answer

ok je fais combofix et je te joins le rapport ici dès que c'est fini...(vers 20h00 ca te va?)
Merci d'avance

Malekal_morte- · Answer

oui si tu veux.

@NicoVA : désolé on a posté en mm temps :)

philjofr · Answer

re,
voici le rapport de combo:

ComboFix 10-12-14.07 - ETIENNE Ph 15/12/2010 19:17:36.1.2 - x86 MINIMAL
Microsoft Windows 7 Édition Starter 6.1.7600.0.1252.33.1036.18.1014.493 [GMT 1:00]
Lancé depuis: c:\users\ETIENNE Ph\Desktop\ComboFix.exe
AV: AntiVir Desktop *Enabled/Updated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}
SP: AntiVir Desktop *Enabled/Updated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}
SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
* Un nouveau point de restauration a été créé
.

(((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\programdata\FullRemove.exe

.
((((((((((((((((((((((((((((( Fichiers créés du 2010-11-15 au 2010-12-15 ))))))))))))))))))))))))))))))))))))
.

2010-12-15 18:25 . 2010-12-15 18:26 -------- d-----w- c:\users\ETIENNE Ph\AppData\Local\temp
2010-12-15 18:25 . 2010-12-15 18:25 -------- d-----w- c:\users\Default\AppData\Local\temp
2010-12-15 12:16 . 2010-12-15 12:31 -------- d-----w- c:\program files\ZHPDiag
2010-12-14 22:25 . 2010-12-14 22:25 7168 ----a-w- c:\windows\system32\drivers\utk1njy0.sys
2010-12-14 21:12 . 2010-12-14 22:29 -------- d-----w- c:\programdata\Kaspersky Lab
2010-12-14 21:11 . 2009-10-22 11:54 37392 ----a-w- c:\windows\system32\drivers\89635752.sys
2010-12-14 21:11 . 2009-10-09 21:31 311312 ----a-w- c:\windows\system32\drivers\8963575.sys
2010-12-14 21:11 . 2009-09-25 15:59 128016 ----a-w- c:\windows\system32\drivers\89635751.sys
2010-12-14 20:36 . 2010-12-14 20:36 -------- d-----w- c:\users\ETIENNE Ph\AppData\Roaming\Malwarebytes
2010-12-14 20:36 . 2010-11-29 16:42 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-12-14 20:36 . 2010-12-14 20:36 -------- d-----w- c:\programdata\Malwarebytes
2010-12-14 20:36 . 2010-12-14 20:36 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware
2010-12-14 20:36 . 2010-11-29 16:42 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-12-14 19:56 . 2010-12-14 19:56 -------- d-----w- c:\programdata\Kaspersky Lab Setup Files
2010-12-10 16:45 . 2010-11-10 04:33 6273872 ----a-w- c:\programdata\Microsoft\Windows Defender\Definition Updates\{6A0DA16F-B090-426B-9A35-E082286067A4}\mpengine.dll
2010-12-01 18:29 . 2010-12-01 18:29 -------- d-----w- C:\Programs
2010-11-23 18:08 . 2010-10-19 08:10 7680 ----a-w- c:\program files\Internet Explorer\iecompat.dll
2010-11-17 19:58 . 2010-11-17 19:58 169320 ----a-w- c:\programdata\Microsoft\Windows\Sqm\Manifest\Sqm10135.bin

.
(((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-10-19 09:41 . 2010-01-02 19:00 222080 ------w- c:\windows\system32\MpSigStub.exe
.

((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RtHDVCpl.exe" [2009-07-21 7625248]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]
"UCam_Menu"="c:\program files\CyberLink\YouCam\MUITransfer\MUIStartMenu.exe" [2009-02-25 218408]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2010-01-02 149280]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2009-09-23 141848]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2009-09-23 173592]
"Persistence"="c:\windows\system32\igfxpers.exe" [2009-09-23 150552]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"GrpConv"="grpconv -o" [X]

c:\users\ETIENNE Ph\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
setup_9.0.0.722_14.12.2010_20-23.lnk - c:\users\ETIENNE Ph\Desktop\Virus Removal Tool\setup_9.0.0.722_14.12.2010_20-23\startup.exe [2010-12-14 72208]

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
Bluetooth.lnk - c:\program files\WIDCOMM\Bluetooth Software\BTTray.exe [2009-8-11 795936]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"mixer1"=wdmaud.drv

R1 89635751;89635751;c:\windows\system32\DRIVERS\89635751.sys [2009-09-25 128016]
R1 SABI;SAMSUNG Kernel Driver For Windows 7;c:\windows\system32\Drivers\SABI.sys [2009-05-28 10752]
R1 setup_9.0.0.722_14.12.2010_20-23drv;setup_9.0.0.722_14.12.2010_20-23drv;c:\windows\system32\DRIVERS\8963575.sys [2009-10-09 311312]
R1 vwififlt;Virtual WiFi Filter Driver;c:\windows\system32\DRIVERS\vwififlt.sys [2009-07-13 48128]
R2 AntiVirSchedulerService;Avira AntiVir Planificateur;c:\program files\Avira\AntiVir Desktop\sched.exe [2009-12-31 108289]
R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
R2 McAfee SiteAdvisor Service;McAfee SiteAdvisor Service;c:\progra~1\mcafee\SITEAD~1\mcsacore.exe [x]
R2 OberonGameConsoleService;Oberon Media Game Console service;c:\program files\Samsung Casual Games\GameConsole\OberonGameConsoleService.exe [2009-08-13 44312]
R2 Rezip;Rezip;c:\windows\SYSTEM32\Rezip.exe [2009-03-05 311296]
R3 btwl2cap;Bluetooth L2CAP Service;c:\windows\system32\DRIVERS\btwl2cap.sys [2009-04-07 29472]
R3 CryptOSD;Phoenix CryptOSD Device Driver;c:\windows\system32\DRIVERS\CryptOSD.sys [2009-05-01 384896]
R3 RTL8167;Realtek 8167 NT Driver;c:\windows\system32\DRIVERS\Rt86win7.sys [2009-07-31 187392]
R3 utk1njy0;AVZ Kernel Driver;c:\windows\system32\Drivers\utk1njy0.sys [2010-12-14 7168]
S0 89635752;89635752 Boot Guard Driver;c:\windows\system32\DRIVERS\89635752.sys [2009-10-22 37392]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
LocalServiceAndNoImpersonation REG_MULTI_SZ SSDPSRV upnphost SCardSvr TBS FontCache fdrespub AppIDSvc QWAVE wcncsvc
.
.
------- Examen supplémentaire -------
.
uStart Page = hxxp://fr.yahoo.com/
uInternet Settings,ProxyServer = http=127.0.0.1:59274
uInternet Settings,ProxyOverride = <local>
IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Envoyer au périphérique &Bluetooth... - c:\program files\WIDCOMM\Bluetooth Software\btsendto_ie.htm
IE: Envoyer l'&image au périphérique Bluetooth... - c:\program files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
IE: {{06568ceb-5721-47d4-9d93-7e604fcbaeab} - c:\programs\PMU\PMUPoker\RunApp.exe
.
- - - - ORPHELINS SUPPRIMES - - - -

Toolbar-Locked - (no file)
HKLM-Run-SynTPEnh - %ProgramFiles%\Synaptics\SynTP\SynTPEnh.exe
HKLM-RunOnce-<NO NAME> - (no file)
SafeBoot-mcmscsvc
SafeBoot-MCODS

.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------

[HKEY_USERS\S-1-5-21-3514257721-1901164723-3590556789-1000\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.eml\UserChoice]
@Denied: (2) (LocalSystem)
"Progid"="WindowsLiveMail.Email.1"

[HKEY_USERS\S-1-5-21-3514257721-1901164723-3590556789-1000\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.vcf\UserChoice]
@Denied: (2) (LocalSystem)
"Progid"="WindowsLiveMail.VCard.1"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
Heure de fin: 2010-12-15 19:29:37
ComboFix-quarantined-files.txt 2010-12-15 18:29

Avant-CF: 95 005 933 568 octets libres
Après-CF: 95 061 843 968 octets libres

- - End Of File - - 4F002ED1837034FBB7C38B4DEBD8D22D
je reste en ligne

Malekal_morte- · Answer

hummpfff.... qu'est ce que j'aime pas les drivers avec que des chiffres. 


Passe TDSSKiller et poste le rapport ici via cijoint : https://forum.malekal.com/viewtopic.php?t=28637&start= 

~~~ 

Télécharge GMER à partir de ce lien : http://www.gmer.net#files - clic sur « Download EXE » et télécharge le fichier sur ton bureau. 
Voir le tutorial GMER, ça peut peut-être t'aider : https://www.malekal.com/tutorial-gmer/ 

Désactive tes logiciels de protection (antivirus, antispyware etc) et ferme tous les programmes ouverts. 
Double-clic sur le fichier GMER téléchargé. 
[b]IMPORTANT:[/b] Si une alerte de ton antivirus apparaît pour le fichier gmer.sys ou gmer.exe, laisse le s'executer. 
Clic sur l'onglet « rootkit » 
Décoche à droite Registry et Files 
Clic sur Scan 
Lorsque le scan est terminé, clic sur « Copy » 

Ouvre le bloc-note et clic sur le Menu Edition / Coller 
Le rapport doit alors apparaître. 
Enregistre le fichier sur ton bureau, envoie le sur http://cijoint.fr et donne le lien ici. 



~~~ 

Envoie ce fichier sur https://www.virustotal.com/gui/ et poste le rapport ici : c:\windows\SYSTEM32\Rezip.exe 
Même chose pour : c:\users\ETIENNE Ph\Desktop\Virus Removal Tool\setup_9.0.0.722_14.12.2010_20-23\startup.exe 


Proverbe Chinois  : "Si tu sais mettre un bonnet sur la tete, tu sais mettre une capote"

philjofr · Answer

je te passes deja GMER ca tourne je poste aussitôt fini

philjofr · Answer

GMER 1.0.15.15530 - http://www.gmer.net
Rootkit scan 2010-12-15 20:34:26
Windows 6.1.7600  
Running: r88d7d5z.exe; Driver: C:\Users\ETIENN~1\AppData\Local\Temp\axryiuoc.sys


---- Kernel code sections - GMER 1.0.15 ----

.text           ntoskrnl.exe!ZwSaveKeyEx + 13B1                   828458E9 1 Byte  [06]
.text           ntoskrnl.exe!KiDispatchInterrupt + 5A2            828653D2 19 Bytes  [E0, 0F, BA, F0, 07, 73, 09, ...] {LOOPNZ 0x11; MOV EDX, 0x97307f0; MOV CR4, EAX; OR AL, 0x80; MOV CR4, EAX; RET ; MOV ECX, CR3}
?               C:\Users\ETIENN~1\AppData\Local\Temp\catchme.sys  Le fichier spécifié est introuvable. !

---- Devices - GMER 1.0.15 ----

AttachedDevice  \Driver\kbdclass \Device\KeyboardClass0           Wdf01000.sys (Runtime de l'infrastructure de pilotes en mode noyau/Microsoft Corporation)
AttachedDevice  \Driver\kbdclass \Device\KeyboardClass1           Wdf01000.sys (Runtime de l'infrastructure de pilotes en mode noyau/Microsoft Corporation)
AttachedDevice  \Driver\volmgr \Device\HarddiskVolume1            fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)
AttachedDevice  \Driver\volmgr \Device\HarddiskVolume2            fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)
AttachedDevice  \Driver\volmgr \Device\HarddiskVolume3            fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)
AttachedDevice  \Driver\volmgr \Device\HarddiskVolume4            fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)
AttachedDevice  \Driver\volmgr \Device\HarddiskVolume7            fvevol.sys (BitLocker Drive Encryption Driver/Microsoft Corporation)

Device          \Driver\ACPI_HAL \Device\0000004a                 halmacpi.dll (Hardware Abstraction Layer DLL/Microsoft Corporation)

AttachedDevice  \FileSystem\fastfat \Fat                          fltmgr.sys (Gestionnaire de filtres de système de fichiers Microsoft/Microsoft Corporation)

---- EOF - GMER 1.0.15 ----
je sais pas si c est bon ca m a paru bien rapide?????

philjofr · Answer

sur le lien suivant je te t ai deposé aussi le rapport de ZHPdiag....on sait jamais:
http://www.cijoint.fr/cjlink.php?file=cj201012/cijk0ZOQ1G.txt

Malekal_morte- · Answer

heu non c'est assez illisible ZHPdiag...

Manque TDSSKiller et les rapports VirusTotal.

philjofr · Answer

je le trouve ou tdsskiller et le lien virus total m emmene nulle part..

philjofr · Answer

http://www.cijoint.fr/cjlink.php?file=cj201012/cij6uQIsRo.txt

lien pour le rapport tdss

je fait virus total sur les deux fichiers

archet9 · Answer

Hello MaK

"heu non c'est assez illisible ZHPdiag..." 

Comme toujours, et fidèle à toi même ,.toujours aussi  instructif que déroutant....
---> Lol..
.Difficile de s'aligner sur ton niveau de culture anti malware .....!!!!


a++++

philjofr · Answer

Pour le fichier ca rame, je te le poste aussitot que je l ai
c:\users\ETIENNE Ph\Desktop\Virus Removal Tool\setup_9.0.0.722_14.12.2010_20-23\startup.exe 


et pour l autre:
c:\windows\SYSTEM32\Rezip.exe 
File already submitted: The file sent has already been analysed by VirusTotal in the past. This is same basic info regarding the sample itself and its last analysis: 

MD5: f85ae59a52885f4b09aadafb23001a3b 
Date first seen: 2009-07-25 03:29:46 (UTC) 
Date last seen: 2010-12-14 17:09:32 (UTC) 
Detection ratio: 0/43 

What do you wish to do?

philjofr · Answer

vraiment impossible pour l autre fichier 15 minute que ca tourne et pas de résultat avec virus total

archet9 · Answer

GReeeeee.... 
....."contributeur sécurité".....o°ô"

Malekal_morte- · Answer

bon je vois rien d'anormal.

A mon avis, tu l'as plus ou moins buté.


* Sur Internet Explorer : Relancez Internet Explorer
* Cliquez sur le menu Outils puis Options Internet
* Allez dans l'onglet Connexions
* En bas cliquez sur Paramètres Réseaux
* Décochez en bas l'utilisation du proxy s'il est coché. 


Tu peux aller en mode normal et retenter d'installer un antivirus ?
Je te conseille Avast! V5 : https://www.malekal.com/tutoriel-antivirus-avast/

Si ça pas pas, fais un scan en ligne NOD32 : https://www.malekal.com/scan-antivirus-ligne-nod32/#NOD32
tu enregistres le rapport et tu l'envoies sur http://cijoint.fr
et file le lien ici.

philjofr · Answer

j essaie mais quand je suis pas en mode sans echec cette saoperie m'emmerde tout le temps et je peux pas me connecter....j essaie ce que tu me dit mais c'est pas gagné

philjofr · Answer

plus grave maintenat il me detecte plus le wifi!!!! mais le virus ne m'embete plus

Malekal_morte- · Answer

Plus de précision stp pour le wifi.

philjofr · Answer

en bas au lieu de l'icone avec les barre j ai un espece d'ordi avec une antenne barrée : aucune connexion disponible. quand j'ouvre le centre de reseau: aucune connexion disponible...
je vais craquer

philjofr · Answer

tu vois pas de solution?

Malekal_morte- · Answer

Panneau de configuration / Centre Réseau et partage / A gauche, cliquez sur Modifier les paramètres de la carte

La carte wifi est active ?
Tu peux faire un réparer dessus ?

C'est un portable ? si oui, le voyant wifi est actif ?

philjofr · Answer

voila c'est bon la carte etait desactivée effectivement....t'es vraiment un bon toi...grace a toi tout remarche!!! comment puis-je te remercier????il y a des notes à mettre ou je ne sais quoi?

Malekal_morte- · Answer

non je vais passer le sujet en résolu et voila :)


Pour désinstaller Combofix :
- Menu Démarrer / exécuter et tape : Combofix /uninstall puis OK (attention il y a pas d'espace entre le / et le uninstall) 


Fais plus attention à l'avenir....

Maintiens tes logiciel à jour c'est important, utilise ce programme : /faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite    
Absolument à faire.    

Les antivirus ne font pas tout en ce qui concerne la sécurité de ta machine (mettre à jour ses logiciels etc etc)
La meilleur protection reste de connaître les infections pour pouvoir les éviter et avoir de bonne habitude.
Donc faut se documenter.

Un peu de lecture pour éviter les infections :
- connaitre et éviter les infections : https://www.malekal.com/fichiers/projetantimalwares/ProjetAntiMalware-courte.pdf  
- sécuriser son PC : http://forum.malekal.com/comment-securiser-son-ordinateur.html  
- lire : http://www.commentcamarche.net/faq/27128-malwares-quels-enjeux-version-synthese

Ce qu'il ne faut pas faire :
Je télécharge n'importe quoi - je m'infecte : 
https://forums.commentcamarche.net/forum/affich-19719198-onglets-pub-intempestifs#14
https://forums.commentcamarche.net/forum/affich-18347759-le-nouveau-avast-sonne-trop-souvent#9
Je télécharge depuis n'importe où - je m'infecte : https://forums.commentcamarche.net/forum/affich-19916973-clickpotato-vlc-virus#6
Recommandations sur la sécurité : https://forums.commentcamarche.net/forum/affich-18680013-windows-7-et-antispyware#1

Fonctionnement de quelques catégories de malwares :
https://forums.commentcamarche.net/forum/affich-17725521-virus-programme-troyen
https://forums.commentcamarche.net/forum/affich-17746390-concernant-la-propagation-des-virus

Si tu as des questions sur le fonctionement des malwares.
N'hésite pas.

philjofr · Answer

ok merci pour tout ces conseils...par contre je suis sous windows 7 et je n'ai pas le demarrer exécuter....je fais comment?
Désolé de t'embeter je suis vraiment une brelle...

Help: infection windows security alert

26 réponses

Newsletters