Ver blackdoor server
Résolu
Bonjour,
Je voudrais enlever des vers qui s' appelent Blackdoor server et sécurisé mon ordinateur
Je voudrais enlever des vers qui s' appelent Blackdoor server et sécurisé mon ordinateur
29 réponses
Résumé de la discussion
L'objectif est d'enlever les vers baptisés Blackdoor server et de sécuriser l'ordinateur en procédant à un diagnostic et à un nettoyage approfondi et durable pour la sécurité future. Des réponses recommandent d'utiliser ZHPDiag pour analyser le système, puis ZHPFix pour le nettoyage, et de transmettre le rapport via cijoint pour vérification par l'utilisateur. En cas de restes, il est préconisé de désactiver la restauration système, créer un point et d'effectuer des mises à jour logicielles essentielles, notamment navigateur, Java et lecteur Adobe Reader. D'autres échanges signalent de vérifier deux fichiers système et d'envoyer les rapports complets, puis d'utiliser des outils complémentaires comme Malwarebytes et CCleaner pour supprimer les restes et optimiser le système.
-
Contributeur sécuritéBonjour,
On va faire un diagnostic de ton PC:
Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou depuis ce lien si le premier a des soucis:
http://www.moncompteur.com/compteurclick.php?idLink=18026
Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions.
/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »
N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.
- Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer.
- Si tu possèdes Avast 6 comme antivirus, à l'alerte choisis "lancer normalement"
(/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix)
- Clique sur la loupe pour lancer l'analyse.
- Laisse l'outil travailler, il peut être assez long.
- Ferme ZHPDiag en fin d'analyse.
- Pour transmettre le rapport clique sur ce lien : http://www.cijoint.fr/
- Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).
- Sélectionne le fichier ZHPDiag.txt.
- Clique sur "Cliquez ici pour déposer le fichier".
- Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt est ajouté dans la page.
- Copie ce lien dans ta réponse.
Smart -
Je vais essayer merci beaucoup
-
Contributeur sécuritéComme je te l'avais dit il faut poster le rapport via le site cijoint.
Le rapport est trop long pour être collé directement dans la réponse.
Smart -
j' ai bien envoyé le rapport sous le pseudo chekin, mais lors de la création de mon compte il refuse l' adresse mail que je leur donne pour confirmer mon compte
-
Contributeur sécuritéTu n'as pas besoin d'avoir de compe quand tyu vas sur cijoint
Va sur ce site http://cijoint.fr
Tu clique sur parcourir une fn^tre s'ouvre, normalement tu avoir la liste des fichiers sur ton Bureau. Choisis celui-ci ZHPDiag.txt en cliquant dessus
et ensuite tu fais ouvir.
Tu reviens sur la page web cijoint et tu cliques sur "Cliquer ICI pour déposer le fichier.
Après l'avoir déposé, le site cijoint indique un lien URL en bleu sous cette indication:
"C'est ce même lien que vous devrez transmettre à vos correspondants"
Copie ce lien et colle le dans ta réponse
Smart -
Smart
J' espère que je t' envoi bien le lien en question
http://www.cijoint.fr/cj201105/cijjooPFHt.png -
Contributeur sécuritéJe ne sais pas ce que tu as fait mais tu m'as envyé une image d'un point d'interrogation.
Clique sur le lien que tu viens de m'envoyer:
http://www.cijoint.fr/cj201105/cijjooPFHt.png
Il faut que tu suives pas à pas ce que j'ai dit juste avant :-)
Smart -
http://www.cijoint.fr/cj201106/cijHsD1DGO.txt
J' espère que c' est le lien, merci de ta patience -
Contributeur sécuritéC'est le bon rapport :-)
En effet tu as des barres d'outils infectées. Lis le dossier ci-dessous:
Les Toolbars ce n'est pas obligatoires
Ensuite tu vas faire ceci:
- Rends-toi à cette adresse afin de télécharger AD-Remover (créé par C_XX) : http://www.teamxscript.org/adremoverTelechargement.html
- Clique sur TÉLÉCHARGER et enregistre-le sur ton bureau.
- Déconnecte toi et ferme toutes les applications en cours
- Double clique sur le fichier d'installation de AD-Remover, le programme s'installera automatiquement.
- Au menu principal choisi l'option "Nettoyage" et tape sur [entrée] .
- Laisse travailler l'outil et ne touche à rien ...
- Poste le rapport qui apparait à la fin. (Le rapport est sauvegardé aussi sous C:\Ad-report.log)
(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )
Puis ceci:
* Télécharge et installe Malwarebytes
* A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
* Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme). C'est très important
* Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet puis "Rechercher"
* Ne t'inquiète pas, l'analyse peut durer plusieurs heures en fonction du nombre de fichiers et infections à analyser
* A la fin de l'analyse, clique sur "Afficher les résultats"
* Coche tous les éléments détectés puis clique sur "Supprimer la sélection"
* Enregistre le rapport
* S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes
* Un rapport apparait après la suppression : poste le dans ta prochaine réponse.
Cela fait deux rapports à poster
Smart
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)-
Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org
Version de la base de données: 6837
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702
11/06/2011 21:42:33
mbam-log-2011-06-11 (21-42-33).txt
Type d'examen: Examen complet (C:\|D:\|E:\|F:\|G:\|H:\|)
Elément(s) analysé(s): 203904
Temps écoulé: 40 minute(s), 52 seconde(s)
Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0
Processus mémoire infecté(s):
(Aucun élément nuisible détecté)
Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)
Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)
Dossier(s) infecté(s):
(Aucun élément nuisible détecté)
Fichier(s) infecté(s):
(Aucun élément nuisible détecté)
Le premier rapport de AD REMOVER ci-dessus
Malwarebytes' Anti-Malware 1.51.0.1200
www.malwarebytes.org
Version de la base de données: 6837
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702
11/06/2011 21:42:33
mbam-log-2011-06-11 (21-42-33).txt
Type d'examen: Examen complet (C:\|D:\|E:\|F:\|G:\|H:\|)
Elément(s) analysé(s): 203904
Temps écoulé: 40 minute(s), 52 seconde(s)
Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0
Processus mémoire infecté(s):
(Aucun élément nuisible détecté)
Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)
Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)
Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)
Dossier(s) infecté(s):
(Aucun élément nuisible détecté)
Fichier(s) infecté(s):
(Aucun élément nuisible détecté)
DIEUXIEME RAPPORT MALWAREBYTES
DIS MOI CE QUE TU EN PENSES ? -
-
voici le rapport AD REMOVER que j' ai refais une seconde fois
le premier ayant disparu......
j' ai l' impression que quelqu' un est connecté sur mon ordinateur
Merci de ton aide Smart
======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======
Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org
C:\Program Files\Ad-Remover\main.exe (CLEAN [2]) -> Lancé à 22:14:47 le 11/06/2011, Mode normal
Microsoft Windows XP Professionnel Service Pack 3 (X86)
Laurence@COMPAQ-E ( )
============== ACTION(S) ==============
(!) -- Fichiers temporaires supprimés.
============== SCAN ADDITIONNEL ==============
**** Mozilla Firefox Version [3.0.7 (fr)] ****
Components\aboutRights.js
Components\aboutRobots.js
Components\nsPostUpdateWin.js
-- C:\Documents and Settings\Laurence\Application Data\Mozilla\FireFox\Profiles\67coayvu.default --
Prefs.js - browser.startup.homepage, hxxp://google.fr
Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.0.7
========================================
**** Google Chrome Version [12.0.742.91] ****
-- C:\Documents and Settings\Laurence\Local Settings\Application Data\Google\Chrome\User Data\Default --
Preferences - default_search_provider: "Google" (Activé: true) (?)
Preferences - homepage: hxxp://www.google.com/
Preferences - homepage_is_newtabpage: false
Preferences - urls_to_restore_on_startup: hxxp://www.google.fr/
========================================
**** Internet Explorer Version [8.0.6001.18702] ****
HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKLM_Extensions\{e2e2dd38-d088-4134-82b7-f2ba38496583} - "?" (?)
BHO\{5C255C8A-E604-49b4-9D64-90988571CECB} (?)
========================================
C:\Program Files\Ad-Remover\Quarantine: 1 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 14 Fichier(s)
C:\Ad-Report-CLEAN[2].txt - 11/06/2011 22:15:27 (478 Octet(s))
Fin à: 22:16:58, 11/06/2011
============== E.O.F ==============
-
-
Contributeur sécuritéEst-ce que tu peux poster ce rapport qui se trouve ici ==>
C:\Ad-Report-CLEAN[1].txt
Smart -
Contributeur sécuritéBon ce n'est pas grave. Refais un scan ZHPDiag et poste le rapport va cijoint.
je vais pouvoir vérifier ce que AD-Remover a supprimé
Smart -
Smart,
le deuxième scan ZHFDiag est bien affiché sur le bureau, quand je le télécharge sur ci-joint il apparaît bien télécharger, mais en bas de page en rouge est écrit : vous n' avez pas choisi de fichier ! le fichier ne passe pas pour pouvoir le déposer. Je ne sais pourquoi et j' ai essayer une dizaine de fois.
Je vais essayer de nouveau je reviens en début d' après-midi.
Merci beaucoup de ton aide.... A tout à l' heure.
Cathy -
http://www.cijoint.fr/cjlink.php?file=cj201106/cijt0VrFRX.txt
Voici le lien -
Contributeur sécuritéOK. Il y a encore des restes:
Tu vas faire ceci:
- Ferme toutes tes applications en cours
- Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert)
Si tu ne l'as pas, télécharge le depuis ce lien: https://www.zebulon.fr/telechargements/securite/systeme/zhpfix.html
Copie/colle les lignes en gras suivantes :
----------------------------------------------------------
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\NetworkCrawler\Objects\WorkgroupCrawler]
[HKLM\Software\Classes\imside1egate.application.1]
[HKLM\Software\Classes\CLSID\{72B3882F-453A-4633-AAC9-8C3DCED62AFF}]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{fe063db1-4ec0-403e-8dd8-394c54984b2c}]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{fe063db1-4ec0-403e-8dd8-394c54984b2c}]
[HKLM\Software\AskTBar]
O64 - Services: CurCS - C:\DOCUME~1\Laurence\LOCALS~1\Temp\{1735A~1\atiicdxx.sys (.not file.) - ATICDSDr (ATICDSDr) .(...) - LEGACY_ATICDSDR
EmptyTemp
EmptyFlash
FirewallRAZ
----------------------------------------------------------
- Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur le bouton « GO » pour le lancer le nettoyage
- Copie/colle la totalité du rapport dans ta prochaine réponse
Ensuite je veux vérifier deux fichiers:
Va sur ce site https://www.virustotal.com/gui/
- Clique sur parcourir
- Dans nom du fichier colle ce fichier : C:\WINDOWS\gkerde3d.INI
- Clique sur Send File et puis reanalyze
- Le Fichier est mis en file d'attente. Attends la fin du scan et poste le lien vers le rapport
Le lien se trouve en haut dans la barre d'adresse du navigateur Internet
Tu refais de même avec ce fichier : C:\WINDOWS\IS16040C.EXE
Et tu postes le lien vers le rapport
Smart -
Contributeur sécuritéOK. Mais il faut faire ce que j'ai demandé :-)
Smart -
Je commence maintenant et une fois terminé je t' envoi les rapports.
Merci -
Voici le premier rapport
Rapport de ZHPFix 1.12.3307 par Nicolas Coolman, Update du 10/06/2011
Fichier d'export Registre :
Run by Laurence at 12/06/2011 20:50:47
Windows XP Professional Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
========== Clé(s) du Registre ==========
SUPPRIME HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\NetworkCrawler\Objects\WorkgroupCrawler
SUPPRIME HKLM\Software\Classes\imside1egate.application.1
SUPPRIME HKLM\Software\Classes\CLSID\{72B3882F-453A-4633-AAC9-8C3DCED62AFF}
SUPPRIME HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{fe063db1-4ec0-403e-8dd8-394c54984b2c}
SUPPRIME HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{fe063db1-4ec0-403e-8dd8-394c54984b2c}
SUPPRIME HKLM\Software\AskTBar
SUPPRIME Service Legacy: LEGACY_ATICDSDR
========== Valeur(s) du Registre ==========
SUPPRIME FirewallRaz (SP) : C:\Program Files\ma-config.com\maconfservice.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpqste08.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hposfx08.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hposid01.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpqscnvw.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpqCopy.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpfccopy.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\Unload\HpqPhUnl.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\Unload\HpqDIA.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpoews01.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpqnrs08.exe
Aucune valeur présente dans la clé d'exception du registreFirewallRaz :
========== Dossier(s) ==========
SUPPRIME Temporaires Windows: : 423
SUPPRIME Flash Cookies: 166
========== Fichier(s) ==========
SUPPRIME Temporaires Windows: : 1521
SUPPRIME Flash Cookies: 80
========== Récapitulatif ==========
7 : Clé(s) du Registre
16 : Valeur(s) du Registre
2 : Dossier(s)
2 : Fichier(s)
End of the scan-
-
-
Rapport de ZHPFix 1.12.3307 par Nicolas Coolman, Update du 10/06/2011
Fichier d'export Registre :
Run by Laurence at 12/06/2011 20:50:47
Windows XP Professional Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
========== Clé(s) du Registre ==========
SUPPRIME HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\NetworkCrawler\Objects\WorkgroupCrawler
SUPPRIME HKLM\Software\Classes\imside1egate.application.1
SUPPRIME HKLM\Software\Classes\CLSID\{72B3882F-453A-4633-AAC9-8C3DCED62AFF}
SUPPRIME HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{fe063db1-4ec0-403e-8dd8-394c54984b2c}
SUPPRIME HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{fe063db1-4ec0-403e-8dd8-394c54984b2c}
SUPPRIME HKLM\Software\AskTBar
SUPPRIME Service Legacy: LEGACY_ATICDSDR
========== Valeur(s) du Registre ==========
SUPPRIME FirewallRaz (SP) : C:\Program Files\ma-config.com\maconfservice.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpqste08.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpofxm08.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hposfx08.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hposid01.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpqscnvw.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpqkygrp.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpqCopy.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpfccopy.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpzwiz01.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\Unload\HpqPhUnl.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\Unload\HpqDIA.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpoews01.exe
SUPPRIME FirewallRaz (SP) : C:\Program Files\HP\Digital Imaging\bin\hpqnrs08.exe
Aucune valeur présente dans la clé d'exception du registreFirewallRaz :
========== Dossier(s) ==========
SUPPRIME Temporaires Windows: : 423
SUPPRIME Flash Cookies: 166
========== Fichier(s) ==========
SUPPRIME Temporaires Windows: : 1521
SUPPRIME Flash Cookies: 80
========== Récapitulatif ==========
7 : Clé(s) du Registre
16 : Valeur(s) du Registre
2 : Dossier(s)
2 : Fichier(s)
End of the scan -
-
-
Contributeur sécuritéTu as posté deux fois le même rapport ZHPFix.
Il me manque les liens des scan Virustotal
Smart -
Contributeur sécuritéTu m'as donné le lien de la page d'accueil de virustotal.
Il faurdait que tu suives pas à pas ce que j'avais indiqué
Smart -
Je suis bien ce que tu dis : je sélectionne bien l' adresse dans la barre de navigation et après qu' est ce que je fais pour envoyer le rapport ?
- 1
- 2
Suivant
