HELP ! virus impossible a eliminer

Bonsoir,

poste le rapport de Malwarebytes.

Re,

ensuite, essaye ceci (qu'on voit ce qui se passe) :

Télécharge la dernière version de ZHPDiag

Enregistre le sur ton Bureau.

Une fois le téléchargement achevé,fais un double clic sur ZHPDiag.exe et suis les instructions.

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

pour Xp :Double clique sur le raccourci ZHPDiag sur ton Bureau.

pour vista et Seven : fais un clic droit sur le raccourci ZHPDiag sur ton Bureau et choisis "exécuter en tant qu'administrateur".

/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.

Clique sur la loupe pour lancer l'analyse.

Laisse l'outil travailler, il peut être assez long.

Ferme ZHPDiag en fin d'analyse.

Pour transmettre le rapport clique sur Cijoint

Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).

Sélectionne le fichier ZHPDiag.txt.

Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt

est ajouté dans la page.

Copie ce lien dans ta réponse.

dslé si sa prend un peu de temps je suis obliger de télécharger sur l'ordi de ma femme et de le mettre sur clé usb je peux plus télécharger ni uploader avec mon pc

voici le lien

http://www.cijoint.fr/cjlink.php?file=cj201103/cijCUw91l1.txt

tu veux que je fasse pareil pour malwares ?

voici le premier scan de malwares

http://www.cijoint.fr/cjlink.php?file=cj201103/cijrTyIJeT.txt

et la le dernier scan

http://www.cijoint.fr/cjlink.php?file=cj201103/cijLxWj8bT.txt

j'ai fais 5 scan en tout aujourd'hui malwares est a jour

Re,

tu es sévèrement infecté.

La sécurité de ton ordi a été compromise. Je ne suis pas sûr de pouvoir la restaurer totalement.

J'espère que tu n'avais pas de données sensibles.

Il me faut du temps pour fabriquer un script de désinfection.

A demain.

ok merci beaucoup dès que le dernier scan est terminer je te le post
le soucis c'est que je suis beatmaker et j'ai tous mes sons dans le pc donc niveau données sensibles ben je pense que c'est le cas :( j'espere que tu trouveras une soluce merci encore a demain

voici le tout dernier c est de pire en pire

http://www.cijoint.fr/cjlink.php?file=cj201103/cijwcjKQ8p.txt

Bonjour,

les données sensibles, c'est plus des données type "coordonnés bancaires", mots de passe , etc que les "données personnelles".

Pour ces dernières, avoir une copie sur un autre support (DD externe par exemple) doit être systématique.

===

Inutile de multiplier les scans de MBAM, l'infection revient au redémarrage.

Ne redémarrer que en cas de nécessité (ou de demande, ou si un outil le fait faire).

Evite d'utiliser l'ordi (et Internet en particulier) en dehors de la désinfection (si possible).

Déconnecte toi le plus possible d'Internet (pas seulement ne pas ouvrir le navigateur).

===

Rends toi sur ce site :

https://www.virustotal.com/gui/

Clique sur parcourir et cherche ce fichier : C:\Windows\Explorer.exe

Clique sur Send File.

Un rapport va s'élaborer ligne à ligne.

Attends la fin. Il doit comprendre la taille du fichier envoyé.

Sauvegarde le rapport avec le bloc-note.

Copie le dans ta réponse.

Si VirusTotal indique que le fichier a déjà été analysé, cliquer sur le bouton Reanalyse le fichier maintenant

Si tu ne le trouves pas

->Affiche tous les fichiers et dossiers :
clique sur démarrer/panneau de configuration (en affichage classique)/option des dossiers/affichage

[Coche] « afficher les dossiers et fichiers cachés »

[Décoche] la case « Masquer les fichiers protégés du système d'exploitation (recommandé) »

[Décoche] « masquer les extensions dont le type est connu »

Puis fais [appliquer] pour valider les changements.

Et [Ok]

===
Double clique sur l'icône de ZHPFix sur ton Bureau.

Clique sur HostFix puis sur OK.

Tu posteras le rapport dans ta réponse.

Ferme ZHPFix.

===

Copie dans le Presse-papier les lignes ci-dessous (sélectionne les avec la souris et fais simultanément Ctrl et C)

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] CheckedValue: Modified
[MD5.4F30BEC115A01B8FA7BF1ACCF11C0675] - (...) -- C:\WINDOWS\system32\drivers\svdmoos.exe   [240128]
[MD5.11CC813C386E8A2448D56E76094C8162] - (...) -- C:\DOCUME~1\JBBEAT~1\LOCALS~1\Temp\r1tsjvy.exe   [67584]
[MD5.E202681A21706A4AE5C4C4D1DC1A5898] - (...) -- C:\DOCUME~1\JBBEAT~1\LOCALS~1\Temp\a71z9s.exe   [67584]
[MD5.DE0ADF9DAA8D159BCDB633BE7E495AAF] - (...) -- C:\WINDOWS\TEMP\d2u5q5h.exe   [68608]
[MD5.E4088CBC3F77435CE2EE7D25431F0838] - (...) -- C:\WINDOWS\fonts\services.exe   [64512]
[MD5.4271E5E7416EED795C9D5463987FF6A8] - (...) -- C:\Program Files\Windows NT\Accessories\svchost.exe   [232448]
[MD5.77BD0CE28A2E9D474AAEA65D150E1D95] - (...) -- C:\DOCUME~1\JBBEAT~1\LOCALS~1\Temp\kf4rt7ru.exe   [134152]
M0 - MFSP: prefs.js [JB BEATMAKER - abptvgv4.default] http://search.conduit.com/?SearchSource=10&ctid=CT2851639
G0 - GCSP: Preference [User Data\Default][HomePage] http://search.conduit.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com
O4 - HKLM\..\Run: [otxjisuk] . (.Four-F - Qernel Mode Driver Manager.) -- C:\WINDOWS\System32\otxjisuk.exe
O4 - HKLM\..\Run: [guyik45hbh] . (...) -- C:\WINDOWS\system32\guyik45hbh.exe
O4 - HKLM\..\Run: [guyik45hbhx] . (...) -- C:\WINDOWS\system32\guyik45hbhx.exe
O4 - HKCU\..\Run: [NetLog2] . (...) -- C:\WINDOWS\svc2.exe
O4 - HKLM\..\policies\Explorer\Run: [24syw] . (...) -- C:\DOCUME~1\JBBEAT~1\LOCALS~1\Temp\r1tsjvy.exe
O4 - HKLM\..\policies\Explorer\Run: [icvor1] . (...) -- C:\WINDOWS\TEMP\a71z9s.exe
O4 - HKLM\..\policies\Explorer\Run: [app] . (...) -- C:\WINDOWS\Cursors\services.exe
O4 - HKLM\..\policies\Explorer\Run: [fa8gd] . (...) -- C:\WINDOWS\TEMP\d2u5q5h.exe
O4 - HKLM\..\policies\Explorer\Run: [apps] . (...) -- C:\WINDOWS\fonts\services.exe
O4 - HKLM\..\policies\Explorer\Run: [mslivemsn] . (...) -- C:\Program Files\Windows NT\Accessories\svchost.exe
O4 - HKUS\S-1-5-18\..\Run: [NetLog2] . (...) -- C:\WINDOWS\svc2.exe 
O4 - HKUS\S-1-5-18\..\Run: [otxjisuk] . (.Four-F - Qernel Mode Driver Manager.) -- C:\Documents and Settings\JB BEATMAKER\otxjisuk.exe
O4 - HKUS\S-1-5-18\..\Run: [NetLog2] . (...) -- C:\WINDOWS\svc2.exe 
O4 - HKUS\S-1-5-18\..\Run: [otxjisuk] . (.Four-F - Qernel Mode Driver Manager.) -- C:\Documents and Settings\JB BEATMAKER\otxjisuk.exe
O4 - HKUS\S-1-5-21-1960408961-838170752-725345543-1004\..\Run: [NetLog2] . (...) -- C:\WINDOWS\svc2.exe
O23 - Service:  (AppleChargerSrv) - Clé orpheline
O23 - Service:  (LIVESRV) - Clé orpheline
O23 - Service:  (MA_CMIDI_InstallerService) - Clé orpheline
O23 - Service:  (svdmoos) . (.Pas de propriétaire - Pas de description.) - C:\WINDOWS\system32\drivers\svdmoos.exe
O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [HKLM] -- DAEMON Tools Toolbar
[HKCU\Software\OfferBox]
[HKCU\Software\PriceGong]
[HKLM\Software\Alexa Internet]
[HKLM\Software\Conduit]
[HKLM\Software\OfferBox]
O43 - CFD: 06/03/2011 - 14:53:00 - [135000] ----D- C:\Program Files\OfferBox
O44 - LFC:[MD5.B1CE69548EF88924A488F4C713BEBB28] - 07/03/2011 - 22:59:47 ---A- . (...) -- C:\WINDOWS\System32\guyik45hbh.txt   [2603]
O44 - LFC:[MD5.103211BF71B9A2A64EF0C7036B5B290B] - 07/03/2011 - 22:57:00 ---A- . (...) -- C:\WINDOWS\System32\updata.exe   [46080]
O44 - LFC:[MD5.DBDCB0E693AEF66357A1322857A54A9B] - 07/03/2011 - 22:55:54 ---A- . (...) -- C:\WINDOWS\System32\service.sys   [40]
O44 - LFC:[MD5.F98B9BF70F51AE145BC0CCBE9D33B54E] - 07/03/2011 - 22:55:44 ---A- . (...) -- C:\WINDOWS\System32\guyik45hbh.exe   [163840]
O44 - LFC:[MD5.77BD0CE28A2E9D474AAEA65D150E1D95] - 07/03/2011 - 22:55:34 ---A- . (...) -- C:\WINDOWS\System32\guyik45hbhx.exe   [134152]
O44 - LFC:[MD5.FC2C166511CB6E9419529D1269FEC2BB] - 07/03/2011 - 22:52:33 ---A- . (...) -- C:\WINDOWS\svc2.exe   [269824]
O44 - LFC:[MD5.BF776B52AD67785EEDFB22A31623A376] - 07/03/2011 - 22:49:47 ---A- . (.Four-F - Qernel Mode Driver Manager.) -- C:\WINDOWS\System32\otxjisuk.exe   [66048]
O44 - LFC:[MD5.A1027A0C5DA6BF5771EC288ED038D42D] - 07/03/2011 - 14:07:34 ---A- . (...) -- C:\WINDOWS\_delis32.ini   [272]
O44 - LFC:[MD5.4F30BEC115A01B8FA7BF1ACCF11C0675] - 06/03/2011 - 12:05:42 ---A- . (...) -- C:\WINDOWS\System32\drivers\svdmoos.exe   [240128]
O44 - LFC:[MD5.44B8A6B6CDE2554D8093907B48CEB30A] - 06/03/2011 - 12:05:42 ---A- . (...) -- C:\WINDOWS\keys.ini   [17]
O44 - LFC:[MD5.AF7C08B402312F2D88513D0B6D4669DA] - 06/03/2011 - 12:04:37 ---A- . (...) -- C:\WINDOWS\System32\load.exe   [50688]
O44 - LFC:[MD5.B223E4B8F0AB005DC8A10B76674E74E3] - 21/02/2011 - 11:05:26 ---A- . (...) -- C:\WINDOWS\System32\zrpyyopzhoztvrlft.exe   [50168]
O47 - AAKE:Key Export SP - "C:\WINDOWS\Cursors\services.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\Cursors\services.exe
O47 - AAKE:Key Export SP - "C:\WINDOWS\fonts\services.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\fonts\services.exe
O51 - MPSK:{06a9c9c5-298e-11e0-87b4-1c6f658fd929}\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- G:\12gn6id2.exe (.not file.)
O51 - MPSK:{3d359641-2ef2-11e0-b5e4-005056c00008}\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- G:\12gn6id2.exe (.not file.)
O51 - MPSK:{439e94c2-336e-11e0-9d7d-005056c00008}\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- G:\12gn6id2.exe (.not file.)
O51 - MPSK:{e59a4f6d-2602-11e0-8416-1c6f658fd929}\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- G:\12gn6id2.exe (.not file.)
O53 - SMSR:HKLM\...\startupreg\guyik45hbh  [Key] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\guyik45hbh.exe
O53 - SMSR:HKLM\...\startupreg\guyik45hbhx  [Key] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\guyik45hbhx.exe
O58 - SDL:[MD5.391D075614145D8C2666413E95F2FDF5] - 02/03/2006 - 13:00:00 ---A- . (...) -- C:\WINDOWS\system32\comsats.sys   [9]
O58 - SDL:[MD5.DBDCB0E693AEF66357A1322857A54A9B] - 07/03/2011 - 22:55:54 ---A- . (...) -- C:\WINDOWS\system32\service.sys   [40]
O64 - Services: CurCS - C:\WINDOWS\system32\drivers\svdmoos.exe - svdmoos (svdmoos)  .(...) - LEGACY_SVDMOOS
O64 - Services: CurCS - (.not file.) - znmniluqmtd1 (znmniluqmtd1)  .(...) - LEGACY_ZNMNILUQMTD1
O69 - SBI: prefs.js [JB BEATMAKER - abptvgv4.default] user_pref("browser.startup.homepage", "http://search.conduit.com/?SearchSource=10&ctid=CT2851639");
O69 - SBI: SearchScopes [HKCU] {afdbddaa-5d3f-42ee-b79c-185a7020515b} [DefaultScope] - (uTorrentBar_FR Customized Web Search) - http://search.conduit.com
SR - | Auto 06/03/2011 240128 |  (svdmoos) . (.Pas de propriétaire.) - C:\WINDOWS\system32\drivers\svdmoos.exe

Déconnecte toi d'Internet et ferme toutes les applications ouvertes.

Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista et W7 : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.

Clique sur "Tous" puis sur "Nettoyer".

Laisse l'outil travailler.

Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immédiatement.

Le rapport d'exécution va apparaître dans la fenêtre.

Copie le dans ta réponse.

bonjour

le soucis aujourd'hui est que le pc redémarre en boucle
peut tu m'indiquer comment passer en mode sans echec ou les manip que je dois faire stp ?

il ma demander la premiere de faire un déboggade dexplorer ce que jai fait mais il est rester figer et jai redémarrer... depuis il redémarre en boucle

Re,

essaye de le démarrer en mode sans échec :

* Redémarre ton ordinateur
* Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
* A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
* Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
* Choisis ton compte.

le virus qui m emerdait le plus cest d2u5q5h.exe

oui mais je n'aurai pas acces a internet en mode sans echec nan ? et je ne pourrai pas aller sur https://www.virustotal.com/gui/ et suivre tes instructions précédentes
après si tu me dis que c'est possible c'est good

Re,

choisis "Mode sans échec avec prise en charge réseau". tu auras accès à Internet.

j'ai essayer le démarrage en mode sans echec avec prise en charge reseau mais il redémarre tout seul
je vais essayer un démarrage avec la derniere bonne configuration connue mais sans conviction :( sa craint

Re,

tu peux essayer en mode sans échec et ne faire que ce qui ne nécessite pas Internet.

Re,

tu peux le mettre en externe sur un autre ordi.

mais tu ne peux pas tout faire.

Tu peux faire analyser le fichier sur VT (mais il ne sera pas sur C:mais sur la lettre du DD externe qui dépend de l'ordi auquel tu vas le connecter).

Tu pourras aussi supprimer les fichiers :

C:\WINDOWS\system32\drivers\svdmoos.exe
C:\DOCUME~1\JBBEAT~1\LOCALS~1\Temp\r1tsjvy.exe
C:\DOCUME~1\JBBEAT~1\LOCALS~1\Temp\a71z9s.exe
C:\WINDOWS\TEMP\d2u5q5h.exe
C:\WINDOWS\fonts\services.exe
C:\Program Files\Windows NT\Accessories\svchost.exe
C:\DOCUME~1\JBBEAT~1\LOCALS~1\Temp\kf4rt7ru.exe
C:\WINDOWS\System32\otxjisuk.exe
C:\WINDOWS\system32\guyik45hbh.exe
C:\WINDOWS\system32\guyik45hbhx.exe
C:\WINDOWS\svc2.exe
C:\WINDOWS\TEMP\a71z9s.exe
C:\WINDOWS\Cursors\services.exe
C:\Documents and Settings\JB BEATMAKER\otxjisuk.exe

Eux non plus ne seront pas sous C:

Ensuite, tu le remets dans l'ordi et tu essayes de redémarrer.

Si il ne redémarre pas, on gravera un CD sur l'ordi sain pour continuer la désinfection.

Re,

le VT est une très mauvaise nouvelle.

explorer a été victime d'un file infector.

Il y a de gros risques que d'autres fichiers soient atteints aussi.

Fais ceci (sur l'ordi sain et ne lance aucun fichier .exe du DD de ton PC)

Télécharge Dr.Web CureIt tsur ton Bureau:
ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

Installe-le.
==> branche les USB et Disque dur externes .

Déconnecte toi physiquement d'Internet.

Double clique sur drweb-cureit.exe et autorise l'exécution du scan rapide. Cette étape scanne les fichiers résidants en mémoire. Si l'outil trouve quelque chose, clique sur le bouton Yes quand il demande si tu veux réparer (cure it). Ce scan est rapide.

* Lorsque le scan rapide est terminé, Clique sur le menu Options >> Changer la configuration;
* Choisis l'onglet "Scanner", et décoche "Analyse heuristique". Clique sur "Ok"
* De retour à la fenêtre principale : clique sur le bouton radio "Analyse complète".
* Clique sur la flèche verte sur la droite, et le scan débutera.
* Clique Oui pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique sur "Désinfecter".
* Lorsque le scan sera complété, regarde si tu peux cliquer sur cette icône, adjacente aux fichiers détectés : http://users.telenet.be/bluepatchy/miekiemoes/images/check.gif
* Si oui, alors clique dessus et ensuite clique sur l'icône "Suivant", au dessous, et choisis Déplacer en quarantaine l'objet indésirable sauf pour les fichiers de C:\Windows et c:\Windows\System32
* Du menu principal de l'outil, au haut à gauche, clique sur le menu Fichier et choisis Enregistrer le rapport
* Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv
* Ferme Dr.Web Cureit
*
* Redémarre ton ordi (*très important*), car certains fichiers peuvent être déplacés/réparés au redémarrage.
* Suite au redémarrage, poste (Copie/Colle) le contenu du rapport de l'outil Dr.Web dans ta prochaine réponse.

Bonjour,

as tu pu supprimer ces fichiers :

f:\DOCUME~1\JBBEAT~1\LOCALS~1\Temp\kf4rt7ru.exe
f:\DOCUME~1\JBBEAT~1\LOCALS~1\Temp\r1tsjvy.exe
f:\DOCUME~1\JBBEAT~1\LOCALS~1\Temp\a71z9s.exe ?

Refais analyser sur VT :

f:\Windows\Explorer.exe

et poste le rapport dans ta réponse.