Virus msuycoe.com

Résolu

yajannot -

Bonjour,
Cela fait deux jours que je galère sur mon ordi qui plante au bout d'un certain temps. J'ai deux messages qui apparaissent successivement, un concernant msuycoe.com l'autre "software exeption...". Si quelqu'un peut m'aider je lui en serais très reconnaissant. Merci d'avance.
Plusieurs rapports USBFIX, mbam-log, AdwCleaner[S1]

USBfix:
############################## | UsbFix V 7.102 | [Suppression]

Utilisateur: yannick (Administrateur) # YANNICK
Mis à jour le 20/12/2012 par El Desaparecido
Lancé à 10:28:23 | 22/12/2012

Site Web: https://www.sosvirus.net/
Contact: contact@eldesaparecido.com

PC: TOSHIBA (Satellite A300) (X86-based PC
CPU: Intel(R) Core(TM)2 Duo CPU T8100 @ 2.10GHz (2094)
RAM -> [Total : 3070 | Free : 2059]
BIOS: PhoenixBIOS 4.0 Release 6.1
BOOT: Fail-safe with network boot

OS: Microsoft® Windows Vista(TM) Édition Familiale Premium (6.0.6002 32-Bit) # Service Pack 2
WB: Windows Internet Explorer 9.0.8112.16421

SC: Security Center Service [Enabled]
WU: Windows Update Service [Enabled]
AV: AntiVir Desktop [Enabled | Updated]
FW: Windows FireWall Service [Enabled]

C:\ (%systemdrive%) -> Disque fixe # 88 Go (14 Go libre(s) - 16%) [Vista] # NTFS
E:\ -> Disque fixe # 114 Go (40 Go libre(s) - 35%) [Data] # NTFS
F:\ -> CD-ROM
G:\ -> Disque fixe # 29 Go (4 Go libre(s) - 14%) [videos] # NTFS
H:\ -> Disque fixe # 931 Go (270 Go libre(s) - 29%) [My Book] # FAT32

################## | Processus Actif |

C:\Windows\system32\csrss.exe (416)
C:\Windows\system32\csrss.exe (452)
C:\Windows\system32\wininit.exe (460)
C:\Windows\system32\winlogon.exe (504)
C:\Windows\system32\services.exe (532)
C:\Windows\system32\lsass.exe (548)
C:\Windows\system32\lsm.exe (556)
C:\Windows\system32\svchost.exe (696)
C:\Windows\system32\svchost.exe (752)
C:\Windows\System32\svchost.exe (792)
C:\Windows\System32\svchost.exe (880)
C:\Windows\system32\svchost.exe (908)
C:\Windows\System32\svchost.exe (940)
C:\Windows\system32\svchost.exe (980)
C:\Windows\system32\svchost.exe (996)
C:\Windows\system32\svchost.exe (1184)
C:\Windows\system32\svchost.exe (1300)
C:\Windows\Explorer.EXE (1428)
C:\Program Files\Windows Media Player\wmpnscfg.exe (1848)
C:\Windows\system32\wbem\unsecapp.exe (1972)
C:\Windows\system32\wbem\wmiprvse.exe (216)
C:\Windows\Explorer.exe (244)
C:\Program Files\ZHPDiag\ZHPDiag.exe (1004)
C:\Program Files\Mozilla Firefox\firefox.exe (1524)
C:\Windows\System32\notepad.exe (1488)
C:\Windows\system32\wbem\wmiprvse.exe (2008)
C:\UsbFix\Go.exe (928)
C:\Windows\system32\FirewallControlPanel.exe (1476)

################## | Processus Stoppés |

Stoppé! C:\Windows\Explorer.EXE (1428)
Stoppé! C:\Program Files\Windows Media Player\wmpnscfg.exe (1848)
Stoppé! C:\Windows\Explorer.exe (244)
Stoppé! C:\Program Files\ZHPDiag\ZHPDiag.exe (1004)
Stoppé! C:\Program Files\Mozilla Firefox\firefox.exe (1524)
Stoppé! C:\Windows\System32\notepad.exe (1488)
Stoppé! C:\Windows\system32\FirewallControlPanel.exe (1476)

################## | Éléments infectieux |

Supprimé! H:\setup.exe
Supprimé! C:\$RECYCLE.BIN\S-1-5-20
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-1207478516-3143673318-1991963005-1000
Supprimé! C:\$RECYCLE.BIN\S-1-5-21-1207478516-3143673318-1991963005-1001
Supprimé! E:\$RECYCLE.BIN\S-1-5-21-1207478516-3143673318-1991963005-1000
Supprimé! G:\$RECYCLE.BIN\S-1-5-21-1207478516-3143673318-1991963005-1000
Supprimé! H:\autorun.inf

(!) Fichiers temporaires supprimés.

################## | Registre |

Supprimé! HKU\.DEFAULT\Software\8DDYX0ZBPZ
Supprimé! HKU\.DEFAULT\Software\NtWqIVLZEWZU

################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\I
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{0bd96420-6916-11dd-886d-001e68709d87}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{2c03a63c-80f8-11dd-8098-001e68709d87}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{45da87f5-0984-11de-86ef-001e68709d87}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{53957975-0396-11de-8898-001e68709d87}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{6666e59c-e4ef-11df-9ea9-001e68709d87}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{ace8a943-4221-11de-b215-001e68709d87}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{b2d3d04e-0187-11de-bc33-001e68709d87}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{c3b92317-6154-11dd-8b6f-001e68709d87}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{e8d3b954-78eb-11dd-9fe9-001e68709d87}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{eb3b2f9b-99ce-11dd-9f20-001e68709d87}
Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{f1d9aaa3-e677-11e1-b2e3-001e68709d87}

################## | Listing |

[22/12/2012 - 10:32:08 | SHD ] C:\$RECYCLE.BIN
[15/08/2011 - 02:05:52 | D ] C:\8ea4baf93caaf3dab65ea3fdf0be64
[22/12/2012 - 09:02:43 | N | 5922] C:\AdwCleaner[R1].txt
[22/12/2012 - 09:03:35 | N | 5758] C:\AdwCleaner[S1].txt
[18/09/2006 - 22:43:36 | N | 24] C:\autoexec.bat
[08/10/2009 - 02:19:02 | SHD ] C:\Boot
[11/04/2009 - 07:36:36 | RASH | 333257] C:\bootmgr
[18/02/2008 - 14:40:44 | N | 8192] C:\BOOTSECT.BAK
[27/01/2009 - 23:13:44 | N | 3831] C:\cleannavi.txt
[21/12/2012 - 13:19:44 | D ] C:\Config.Msi
[18/09/2006 - 22:43:37 | N | 10] C:\config.sys
[02/11/2006 - 14:02:03 | SHD ] C:\Documents and Settings
[29/09/2011 - 15:25:45 | D ] C:\downloads
[27/01/2009 - 23:05:16 | N | 3793] C:\fixnavi.txt
[06/11/2008 - 13:15:50 | D ] C:\found.000
[08/07/2011 - 15:15:15 | D ] C:\found.001
[20/12/2012 - 17:39:18 | D ] C:\found.002
[19/11/2012 - 14:29:25 | D ] C:\Iak
[19/11/2012 - 14:30:04 | D ] C:\IAK_Export
[18/02/2008 - 15:21:55 | D ] C:\Intel
[16/11/2008 - 23:15:40 | N | 0] C:\IO.SYS
[12/07/2011 - 10:12:52 | D ] C:\Lexmark
[16/11/2009 - 21:44:15 | D ] C:\MoTemp
[16/11/2008 - 23:15:40 | N | 0] C:\MSDOS.SYS
[06/07/2008 - 16:29:49 | RHD ] C:\MSOCache
[22/12/2012 - 09:37:45 | ASH | 3533357056] C:\pagefile.sys
[27/06/2008 - 18:26:29 | D ] C:\partition
[21/01/2008 - 03:32:31 | D ] C:\PerfLogs
[22/12/2012 - 09:31:39 | D ] C:\Program Files
[22/12/2012 - 09:03:32 | HD ] C:\ProgramData
[21/12/2012 - 16:40:35 | N | 69178] C:\RectorDecryptor.2.5.20.0_21.12.2012_16.18.57_log.txt
[05/10/2012 - 20:05:51 | D ] C:\Riot Games
[16/11/2009 - 01:08:05 | D ] C:\Sauvegarde Picasa
[21/10/2008 - 16:35:34 | D ] C:\SAVE
[21/10/2008 - 16:13:42 | D ] C:\Sierra
[26/02/2008 - 17:18:31 | N | 229] C:\SWSTAMP.TXT
[22/12/2012 - 08:54:31 | SHD ] C:\System Volume Information
[02/04/2010 - 16:34:01 | N | 40] C:\SYSTEM.VER
[15/08/2011 - 10:14:29 | N | 66816] C:\TDSSKiller.2.5.15.0_15.08.2011_11.12.11_log.txt
[22/12/2012 - 09:23:43 | D ] C:\Temp
[21/06/2008 - 20:45:07 | D ] C:\Toshiba
[22/12/2012 - 10:32:08 | D ] C:\UsbFix
[22/12/2012 - 10:28:31 | A | 2723] C:\UsbFix.txt
[18/11/2009 - 22:24:31 | D ] C:\Users
[21/12/2012 - 11:00:21 | D ] C:\Windows
[26/02/2008 - 17:01:39 | D ] C:\Works
[15/07/2008 - 19:10:28 | N | 1206366] C:\wrar371.exe
[13/02/2010 - 23:41:42 | D ] C:\xampplite
[02/04/2010 - 16:34:01 | N | 11032] C:\YP-U3.LOG
[22/12/2012 - 10:07:16 | D ] C:\ZHP
[20/12/2012 - 14:47:47 | D ] C:\_AcroTemp
[22/12/2012 - 10:32:08 | SHD ] E:\$RECYCLE.BIN
[16/08/2012 - 15:24:56 | D ] E:\Binaries
[09/11/2012 - 17:15:36 | D ] E:\BUREAU
[30/09/2012 - 21:13:27 | D ] E:\fffffffff2
[30/09/2012 - 21:14:02 | D ] E:\ffffffffffff
[01/10/2012 - 23:02:46 | D ] E:\hangar
[11/09/2012 - 19:47:34 | N | 5826] E:\IMG000008.jpg
[23/05/2012 - 16:11:38 | D ] E:\jean claude am
[10/09/2012 - 19:28:57 | N | 909824] E:\MOV000011.avi
[10/09/2012 - 19:40:14 | N | 3427328] E:\MOV000012.avi
[10/09/2012 - 19:44:50 | N | 127514112] E:\MOV000014.avi
[10/09/2012 - 19:45:42 | N | 121283072] E:\MOV000015.avi
[10/09/2012 - 20:50:29 | N | 33072321024] E:\MOV000016.avi
[11/09/2012 - 19:47:43 | N | 57281536] E:\MOV000017.avi
[11/09/2012 - 19:52:02 | N | 40925696] E:\MOV000018.avi
[11/09/2012 - 20:50:02 | N | 47197696] E:\MOV000019.avi
[11/09/2012 - 21:57:18 | N | 35575861248] E:\MOV000020.avi
[03/09/2012 - 22:26:57 | D ] E:\photos balades en ane
[04/10/2012 - 20:59:49 | D ] E:\photos festival bc 2012 selection site
[03/09/2012 - 20:38:04 | D ] E:\photos éré 2012
[22/02/2012 - 20:24:44 | SHD ] E:\System Volume Information
[03/10/2012 - 17:21:59 | N | 16989] E:\Test_ptpttodm.xml
[22/12/2012 - 10:32:08 | SHD ] G:\$RECYCLE.BIN
[22/05/2012 - 19:15:18 | N | 730620891] G:\32x1fv68dv1fv8_-HasHD.rar
[20/12/2011 - 23:55:28 | N | 576573440] G:\Boardwalk_Empire-S02E05.avi
[19/04/2012 - 15:25:54 | N | 1925621964] G:\Broken Flowers (HD).m4v
[06/10/2012 - 14:31:24 | N | 681377519] G:\Cosmopolis (2012) 720p by DietcH [MKV Corp].mkv
[31/03/2012 - 11:26:53 | N | 734222336] G:\Duel [1971].avi
[23/11/2012 - 09:45:12 | D ] G:\film à voir
[30/07/2012 - 20:31:06 | D ] G:\films jason
[22/11/2012 - 09:31:34 | D ] G:\generation kill
[11/04/2012 - 14:48:34 | N | 734076928] G:\Grace Is Gone[2007]DvDrip[Eng]-FXG.avi
[04/07/2012 - 12:40:23 | N | 735909888] G:\Grace.is.Gone.avi
[01/10/2012 - 22:12:54 | N | 708555096] G:\Il Conformista (1970) 720p by DietcH [MKV Corp].mkv
[06/04/2012 - 18:59:20 | N | 733055067] G:\InSight - By Throkx.rar
[31/03/2012 - 11:25:30 | N | 734996480] G:\Joyeuses Funérailles.avi
[05/10/2012 - 13:48:51 | D ] G:\photo topo bof 2010
[31/07/2012 - 08:36:30 | D ] G:\platane
[05/03/2012 - 19:11:37 | N | 733933568] G:\Rango-by-flo118218.avi
[27/02/2012 - 16:14:18 | SHD ] G:\System Volume Information
[20/10/2012 - 20:57:46 | N | 733723271] G:\takin.rar
[06/04/2012 - 21:39:19 | N | 460132968] G:\The+Artist+-+By+Throkx.rar
[29/05/2012 - 20:00:46 | D ] G:\The.Artist.2011.FRENCH.SUBFORCED.BRRiP XViD-TMB
[22/03/2012 - 10:13:57 | N | 734760102] G:\The.Deesceendants.2.avi
[22/11/2012 - 23:24:23 | N | 575836160] G:\Treme.S03E01.FASTSUB.VOSTFR.HDTV.XVID-ADDiCTiON.avi
[10/03/2012 - 07:34:34 | N | 14301311] G:\Un caillou dans la chaussure - démo 4'30.mp4
[11/02/2012 - 19:18:05 | N | 21] G:\up by cocalive.txt
[03/06/2012 - 09:39:42 | N | 639531598] G:\Viveret_Oct_2010-Capitalisme_vert_ou_sobriete_heureuse.ogv
[23/10/2009 - 11:58:26 | N | 39783708] G:\zic topo james ralonge.wav
[10/07/2012 - 14:47:52 | N | 64] G:\_Forum MKV Corporation.url
[04/09/2009 - 00:07:24 | SHD ] H:\$RECYCLE.BIN
[16/11/2009 - 23:08:02 | D ] H:\ADOBE
[07/05/2008 - 12:30:34 | N | 90] H:\Install.ini
[06/01/2009 - 21:46:40 | D ] H:\WD_Windows_Tools
[06/01/2009 - 22:09:44 | D ] H:\WD_Mac_Tools
[06/01/2009 - 22:10:08 | D ] H:\Documentation
[06/01/2009 - 22:11:50 | D ] H:\autorun
[04/09/2009 - 00:06:58 | D ] H:\suvvegarde iomega sept 09
[19/05/2008 - 16:34:44 | D ] H:\Court-metrages
[02/01/2010 - 22:15:34 | N | 78] H:\Install.log
[23/03/2010 - 10:08:32 | N | 52499226] H:\DSCF0806.AVI
[21/06/2008 - 08:58:46 | N | 1171615232] H:\leila webcam2.avi
[15/11/2009 - 23:23:00 | D ] H:\TOUTES MES PHOTO SAUVEG. 10-09
[01/01/2010 - 20:58:48 | N | 4096] H:\._.Trashes
[20/02/2012 - 16:12:00 | D ] H:\YANNICK
[06/10/2009 - 14:25:08 | D ] H:\2009-10-06 couvée 2009
[02/09/2009 - 00:46:42 | N | 528] H:\MediaID.bin
[21/06/2008 - 08:57:08 | N | 177398272] H:\leila webcam.avi
[19/11/2009 - 11:12:34 | N | 1793] H:\Readme.txt
[26/10/2012 - 17:08:40 | D ] H:\Recycled
[29/11/2012 - 15:58:08 | D ] H:\FOUND.000
[26/10/2012 - 16:22:06 | SHD ] H:\System Volume Information
[26/10/2012 - 16:22:06 | D ] H:\Sauv Sony
[01/01/2010 - 20:58:48 | HD ] H:\.Trashes
[18/11/2012 - 23:26:48 | D ] H:\game of throne
[11/10/2011 - 21:36:28 | N | 15364] H:\.DS_Store
[01/01/2010 - 20:58:48 | D ] H:\.Spotlight-V100
[01/01/2010 - 20:58:48 | N | 0] H:\.com.apple.timemachine.donotpresent
[01/01/2010 - 20:58:48 | N | 4096] H:\._.com.apple.timemachine.donotpresent
[08/11/2007 - 23:51:04 | N | 647702528] H:\Les_Meilleures_Aventures_De_Bipbip_Et_Coyote_CD2.avi
[12/05/2012 - 14:10:02 | D ] H:\vidéo serveurs
[18/02/2008 - 11:51:00 | N | 734996480] H:\Joyeuses Funérailles.avi
[20/02/2012 - 13:27:22 | D ] H:\doc sauvegarde fev 2012
[21/02/2012 - 07:58:58 | D ] H:\DISQUE E FEV2012
[21/02/2012 - 14:00:58 | D ] H:\DISQUE G FEV2012
[21/02/2012 - 22:16:34 | D ] H:\DISQUE C DOC FEV21012
[21/02/2012 - 22:20:18 | D ] H:\DISQUE C BUREAU
[27/02/2012 - 12:37:02 | D ] H:\FILM

################## | Vaccin |

C:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)
E:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)
G:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)
H:\Autorun.inf -> Vaccin créé par UsbFix (El Desaparecido)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_YANNICK.zip
http://eldesaparecido.com/upload.php
Merci de votre contribution.

################## | E.O.F |
-----------------------------------------------------------------------------------------------
mbam-log,
Malwarebytes Anti-Malware 1.65.1.1000
www.malwarebytes.org

Version de la base de données: v2012.12.20.07

Windows Vista Service Pack 2 x86 NTFS
Internet Explorer 9.0.8112.16421
yannick :: YANNICK [administrateur]

21/12/2012 12:29:27
mbam-log-2012-12-21 (14-41-25).txt

Type d'examen: Examen complet (C:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 563747
Temps écoulé: 1 heure(s), 58 minute(s), 20 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 2
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows|Load (PUM.UserWLoad) -> Données: C:\Users\YANNIC~1.001\LOCALS~1\Temp\msuycoe.com -> Aucune action effectuée.
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows|Load (Trojan.Ransom) -> Données: C:\Users\YANNIC~1.001\LOCALS~1\Temp\msuycoe.com -> Aucune action effectuée.

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

------------------------------------------------------------------------------------------ -----
AdwCleaner[S1]

# AdwCleaner v2.101 - Rapport créé le 22/12/2012 à 09:03:32
# Mis à jour le 16/12/2012 par Xplode
# Système d'exploitation : Windows Vista (TM) Home Premium Service Pack 2 (32 bits)
# Nom d'utilisateur : yannick - YANNICK
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\yannick.PC-de-yannick.001\Downloads\adwcleaner.exe
# Option [Suppression]

***** [Services] *****

***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Program Files\Ask.com
Dossier Supprimé : C:\Program Files\yourfiledownloader
Dossier Supprimé : C:\ProgramData\Ask
Dossier Supprimé : C:\Windows\Installer\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Fichier Supprimé : C:\Program Files\Mozilla FireFox\Components\AskHPRFF.js

***** [Registre] *****

Clé Supprimée : HKCU\Software\APN
Clé Supprimée : HKCU\Software\AppDataLow\Software\AskToolbar
Clé Supprimée : HKCU\Software\AppDataLow\Software\ShopperReports3
Clé Supprimée : HKCU\Software\Ask.com
Clé Supprimée : HKCU\Software\ItsLabel
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40B7-AC73-056A5EBA4A7E}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{CD95D125-2992-4858-B3EF-5F6FB52FBAD6}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\QuestBrowse
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé Supprimée : HKCU\Software\SweetIM
Clé Supprimée : HKLM\Software\APN
Clé Supprimée : HKLM\Software\AskToolbar
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{A7DDCBDE-5C86-415c-8A37-763AE183E7E4}
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\GenericAskToolbar.DLL
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\WMHelper.DLL
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé Supprimée : HKLM\SOFTWARE\Classes\GenericAskToolbar.ToolbarWnd
Clé Supprimée : HKLM\SOFTWARE\Classes\GenericAskToolbar.ToolbarWnd.1
Clé Supprimée : HKLM\SOFTWARE\Classes\Installer\Features\A28B4D68DEBAA244EB686953B7074FEF
Clé Supprimée : HKLM\SOFTWARE\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé Supprimée : HKLM\SOFTWARE\Classes\Installer\UpgradeCodes\F928123A039649549966D4C29D35B1C9
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{B0D071A1-36B3-4757-A126-14C89C56013A}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{B4C656C9-F2E9-4E77-B3F4-443DF2BD778F}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ApnUpdater
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\261F213D1F55267499B1F87D0CC3BCF7
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\741B4ADF27276464790022C965AB6DA8
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\7DE196B10195F5647A2B21B761F3DE01
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\9D4F5849367142E4685ED8C25E44C5ED
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\A5875B04372C19545BEB90D4D606C472
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\A876D9E80B896EC44A8620248CC79296
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\B66FFAB725B92594C986DE826A867888
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\A28B4D68DEBAA244EB686953B7074FEF
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{CD95D125-2992-4858-B3EF-5F6FB52FBAD6}
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{D4027C7F-154A-4066-A1AD-4243D8127440}]
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{00000000-6E41-4FD3-8538-502F5495E5FC}]
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{D4027C7F-154A-4066-A1AD-4243D8127440}]

***** [Navigateurs] *****

-\\ Internet Explorer v9.0.8112.16457

[OK] Le registre ne contient aucune entrée illégitime.

-\\ Mozilla Firefox v17.0.1 (fr)

-\\ Google Chrome v23.0.1271.97

*************************

AdwCleaner[R1].txt - [5922 octets] - [22/12/2012 09:01:47]
AdwCleaner[S1].txt - [5629 octets] - [22/12/2012 09:03:32]

########## EOF - C:\AdwCleaner[S1].txt - [5689 octets] ##########

Afficher la suite

58 réponses

Résumé de la discussion

Un ordinateur plante après un temps d'utilisation et affiche des messages potentiellement liés à msuycoe.com et à une « software exception », indiquant une possible infection et une activité suspecte. Des analyses avec mbam (Malwarebytes), AdwCleaner et UsbFix ont été exécutées, révélant des éléments de registre, des chargements externes et des fichiers suspects supprimés, mais des traces persistent. Pour progresser, il est conseillé de poursuivre les analyses antivirus et d’identifier les charges de démarrage suspectes, puis d’envisager une restauration système ou une réinstallation si les infections persistent. En cas de persistance, une sauvegarde sélective et une réinstallation du système Windows pourraient être envisagées, en privilégiant une installation propre et le recours à des outils de sécurité à jour.

Réponse 1 / 58
Fish66 Contributeur sécurité
Bonjour,
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows|Load (PUM.UserWLoad) -> Données: C:\Users\YANNIC~1.001\LOCALS~1\Temp\msuycoe.com -> Aucune action effectuée.
Tu n'as pas supprimé les infections ?
Si oui, relance mbam supprime tous ce qu'il trouve puis poste le rapport
===========================
* Télécharge puis enregistre sur le bureau de ton PC ZHPDiag(de Nicolas Coolman) à partir : ce lien
* Lance-le, (Clic droit "exécuter en tant qu'administrateur" si tu es sous Vista/7)
* Clique sur l'icône en forme de loupe pour lancer le diagnostique
* Héberge le rapport ZHPDiag.txt de ton bureau sur : malekal.com ou cjoint.com
* Fais copier/coller le lien fourni dans ta prochaine réponse
* Aide ZHPDiag : <<< ICI >>>

0
1. g3n-h@ckm@n
  
  mbam arrive pas à supprimer cette clé pre_scan non plus...^^
  
  0
2. Fish66 Contributeur sécurité
  
  Salut,
  On va la fixer alors avec ZHPFix ou OTM :-)
  
  0
3. g3n-h@ckm@n
  
  OTM....zhpfix je sais pas s'il pourra
  
  0
4. yajannot Auteur
  
  Merci de l'intérêt que vous portez au problème, j'ai supprimé avec mbam (qui plante la plupart du temps). Je re-essaye avec ZHPFix et vous poste le rapport sur malekal.com ou cjoint.com . A plus...
  
  0
5. yajannot Auteur
  
  Le lien ZHPDiag:
  https://pjjoint.malekal.com/files.php?id=ZHPDiag_20121222_w12s10s9r6l13
  
  0
Réponse 2 / 58
Fish66 Contributeur sécurité
Re,
Avant d'utiliser ComboFix :

Les logiciels d'émulation de CD comme Daemon Tools peuvent gêner les outils de désinfection. Utilise Defogger pour les désactiver temporairement :

si tu as ce genre de d'outils sur ton pc Utilise Defogger pour les désactiver temporairement : sinon passe directement à combofix

* Télécharge Defogger (de jpshortstuff) sur ton Bureau
* Lance le

* Une fenêtre apparait : clique sur "Disable"

* Fais redémarrer l'ordinateur si l'outil te le demande

Note : Quand nous aurons terminé la désinfection, tu pourras réactiver ces logiciels en relançant Defogger et en cliquant sur "Re-enable"

===================================================

Attention, avant de commencer, lis attentivement la procédure

********************************************************

/!\ Ne pas utiliser ce logiciel en dehors du cadre de cette désinfection : DANGEUREUX /!\

* Fais un clic droit sur ce lien, enregistre le dans ton bureau sous un autre nom exemple « ton pseudo.exe »
Voici Aide combofix

* /!\ Déconnecte-toi du net et ARRÊTE TES LOGICIELS DE PROTECTION /!\

*Double-clique sur ComboFix.exe (ou exécuter en tant qu'administrateur pour vista et seven)

Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter

** SURTOUT INSTALLES LA CONSOLE DE RECUPERATION
(si il te propose de l'installer remets internet)

? Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC

*En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

* Une fois le scan achevé, un rapport va s'afficher : Poste son contenu

** /!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

*Note : Le rapport se trouve également là : C:\ComboFix.txt

0
Réponse 3 / 58
g3n-h@ckm@n
combofix non plus la vire pas la clé ^^

0
Réponse 4 / 58
Fish66 Contributeur sécurité
Combofix est lancé pour virer le Rootkit!

0
Vous n’avez pas trouvé la réponse que vous recherchez ?

La communauté CCM répond en moyenne en moins de 2h.

Posez votre question
Réponse 5 / 58
g3n-h@ckm@n
quoi ca ?

O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Infection Rootkit (Rootkit.TDSS)
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Infection Rootkit (Rootkit.TDSS)

pfffff.....il s'en occupe pas combo de ca

et puis combo commence à etre completement à la ramasse autant que adwcleaner !
t'as deja lu son changelog ? y'a 40% c'est des noms aléatoires enregistrés à la file....comme j'ai fait pour List_Kill'em au debut ....meme el desaparecido est d'accord avec moi

je t'ai deja dit

ne te fie pas à ZHPH

le jour où N.coolman arrêtera le logiciel , 75% des helpers vont laisser tomber la desinfection parce qu'ils n'y comprendront plus rien

(merci de ne pas noter ce message en positif )

¤¤¤¤¤¤¤¤¤¤ Pre_Scan_Concept ¤¤¤¤¤¤¤¤¤¤

-3
1. irongege Modérateur
  
  Lut, si différent entre vous, vous n'êtes pas sans savoir que les mp existent ;-)
  
  0
2. yajannot Auteur
  
  Je sais plus quoi faire !
  Rapport combofix :
  
  ComboFix 12-12-22.01 - yannick 22/12/2012 18:35:43.1.2 - x86
  Microsoft® Windows Vista(TM) Édition Familiale Premium 6.0.6002.2.1252.33.1036.18.3070.1915 [GMT 1:00]
  Lancé depuis: c:\users\yannick.PC-de-yannick.001\Desktop\yajannotComboFix.exe
  AV: AntiVir Desktop *Disabled/Updated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}
  SP: AntiVir Desktop *Disabled/Updated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}
  SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
  .
  .
  (((((((((((((((((((((((((((((((((((( Autres suppressions ))))))))))))))))))))))))))))))))))))))))))))))))
  .
  .
  c:\users\yannick.PC-de-yannick.001\AppData\Roaming\Adobe\plugs
  c:\users\yannick.PC-de-yannick.001\AppData\Roaming\Adobe\shed
  c:\users\yannick.PC-de-yannick.001\AppData\Roaming\Microsoft\Windows\Recent\leechmafia.com_442x5x665zzuxy2HFJqwv8183.pif
  c:\users\yannick.PC-de-yannick.001\AppData\Roaming\Microsoft\Windows\Recent\leechmafia.com_Serie2-Sur-ecoute-The-Wire-saison-5-episode-1-streaming-2293-13583-245730.pif
  c:\windows\security\Database\tmp.edb
  c:\windows\system32\pt
  c:\windows\system32\pt\toscdspd.cpl.mui
  .
  .
  ((((((((((((((((((((((((((((( Fichiers créés du 2012-11-22 au 2012-12-22 ))))))))))))))))))))))))))))))))))))
  .
  .
  2012-12-22 17:44 . 2012-12-22 17:44 -------- d-----w- c:\users\yannick.PC-de-yannick.001\AppData\Local\temp
  2012-12-22 17:44 . 2012-12-22 17:44 -------- d-----w- c:\users\yannick\AppData\Local\temp
  2012-12-22 17:44 . 2012-12-22 17:44 -------- d-----w- c:\users\yannick.PC-de-yannick\AppData\Local\temp
  2012-12-22 17:44 . 2012-12-22 17:44 -------- d-----w- c:\users\yannick.PC-de-yannick.000\AppData\Local\temp
  2012-12-22 17:44 . 2012-12-22 17:44 -------- d-----w- c:\users\Default\AppData\Local\temp
  2012-12-22 09:26 . 2012-12-22 09:33 -------- d-----w- C:\UsbFix
  2012-12-22 08:31 . 2012-12-22 16:00 -------- d-----w- c:\program files\ZHPDiag
  2012-12-22 08:31 . 2012-12-22 15:46 -------- d-----w- C:\ZHP
  2012-12-21 22:18 . 2012-12-16 13:12 34304 ----a-w- c:\windows\system32\atmlib.dll
  2012-12-21 22:18 . 2012-12-16 10:50 293376 ----a-w- c:\windows\system32\atmfd.dll
  2012-12-21 14:22 . 2012-11-08 18:00 6812136 ----a-w- c:\programdata\Microsoft\Windows Defender\Definition Updates\{FC2E87A1-F053-40C9-B677-4DAACB81EED4}\mpengine.dll
  2012-12-20 16:39 . 2012-12-20 16:39 -------- d-----w- C:\found.002
  2012-12-20 13:38 . 2009-08-19 21:50 22872 ----a-r- c:\windows\system32\AdobePDFUI.dll
  2012-12-14 02:04 . 2012-07-26 02:46 9728 ----a-w- c:\windows\system32\Wdfres.dll
  2012-12-14 02:04 . 2012-07-26 03:20 73216 ----a-w- c:\windows\system32\WUDFSvc.dll
  2012-12-14 02:04 . 2012-07-26 03:20 172032 ----a-w- c:\windows\system32\WUDFPlatform.dll
  2012-12-14 02:04 . 2012-07-26 02:33 66560 ----a-w- c:\windows\system32\drivers\WUDFPf.sys
  2012-12-14 02:04 . 2012-07-26 02:32 155136 ----a-w- c:\windows\system32\drivers\WUDFRd.sys
  2012-12-14 02:04 . 2009-07-14 12:12 16896 ----a-w- c:\windows\system32\winusb.dll
  2012-12-14 02:04 . 2012-07-26 03:39 526952 ----a-w- c:\windows\system32\drivers\Wdf01000.sys
  2012-12-14 02:04 . 2012-07-26 03:39 47720 ----a-w- c:\windows\system32\drivers\WdfLdr.sys
  2012-12-14 02:04 . 2012-07-26 03:21 196608 ----a-w- c:\windows\system32\WUDFHost.exe
  2012-12-14 02:04 . 2012-07-26 03:20 613888 ----a-w- c:\windows\system32\WUDFx.dll
  2012-12-14 02:04 . 2012-07-26 03:20 38912 ----a-w- c:\windows\system32\WUDFCoinstaller.dll
  2012-12-13 12:33 . 2012-08-21 11:47 224640 ----a-w- c:\windows\system32\drivers\volsnap.sys
  2012-12-13 12:33 . 2012-11-02 10:18 376320 ----a-w- c:\windows\system32\dpnet.dll
  2012-12-13 12:33 . 2012-11-02 08:26 23040 ----a-w- c:\windows\system32\dpnsvr.exe
  2012-12-13 12:33 . 2012-11-13 01:36 2048000 ----a-w- c:\windows\system32\win32k.sys
  2012-12-13 12:33 . 2012-11-13 01:29 2048 ----a-w- c:\windows\system32\tzres.dll
  2012-12-08 20:11 . 2011-05-06 08:19 57800 ----a-w- c:\windows\system32\drivers\CBDisk.sys
  2012-12-08 20:10 . 2012-12-08 20:10 -------- d-----w- c:\program files\Common Files\Mediafour
  2012-12-08 20:10 . 2012-12-08 20:10 -------- d-----w- c:\programdata\Mediafour
  2012-12-08 20:10 . 2012-12-08 20:10 -------- d-----w- c:\program files\Mediafour
  .
  .
  .
  (((((((((((((((((((((((((((((((((( Compte-rendu de Find3M ))))))))))))))))))))))))))))))))))))))))))))))))
  .
  2012-12-22 09:33 . 2012-12-22 09:33 515418 ----a-w- C:\UsbFix_Upload_Me_YANNICK.zip
  2012-12-12 20:45 . 2012-08-15 07:18 697272 ----a-w- c:\windows\system32\FlashPlayerApp.exe
  2012-12-12 20:45 . 2011-08-20 06:05 73656 ----a-w- c:\windows\system32\FlashPlayerCPLApp.cpl
  2012-10-07 09:06 . 2012-10-05 22:18 139424 ----a-w- c:\windows\system32\drivers\PnkBstrK.sys
  2012-10-07 09:05 . 2012-10-06 03:57 282104 ----a-w- c:\windows\system32\PnkBstrB.xtr
  2012-10-07 09:05 . 2012-10-05 22:18 282104 ----a-w- c:\windows\system32\PnkBstrB.exe
  2012-10-07 09:05 . 2012-10-05 22:18 234768 ----a-w- c:\windows\system32\PnkBstrB.ex0
  2012-10-06 04:02 . 2012-10-05 22:18 76888 ----a-w- c:\windows\system32\PnkBstrA.exe
  2012-10-05 22:18 . 2012-10-05 22:18 138056 ----a-w- c:\users\yannick.PC-de-yannick.001\AppData\Roaming\PnkBstrK.sys
  2012-09-30 20:51 . 2012-09-30 20:51 4024320 ----a-w- c:\program files\GUTE39C.tmp
  2012-09-29 18:54 . 2011-08-15 11:27 22856 ----a-w- c:\windows\system32\drivers\mbam.sys
  2012-09-29 12:12 . 2012-06-18 12:38 821736 ----a-w- c:\windows\system32\npdeployJava1.dll
  2012-09-29 12:12 . 2010-05-12 19:57 746984 ----a-w- c:\windows\system32\deployJava1.dll
  2012-09-25 16:19 . 2012-11-15 02:21 75776 ----a-w- c:\windows\system32\synceng.dll
  2012-09-24 21:16 . 2012-10-26 11:16 93672 ----a-w- c:\windows\system32\WindowsAccessBridge.dll
  2012-12-05 20:06 . 2012-12-05 20:04 262112 ----a-w- c:\program files\mozilla firefox\components\browsercomps.dll
  .
  .
  ((((((((((((((((((((((((((((((((( Points de chargement Reg ))))))))))))))))))))))))))))))))))))))))))))))))
  .
  .
  *Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés
  REGEDIT4
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\GDriveBlacklistedOverlay]
  @="{81539FE6-33C7-4CE7-90C7-1C7B8F2F2D42}"
  [HKEY_CLASSES_ROOT\CLSID\{81539FE6-33C7-4CE7-90C7-1C7B8F2F2D42}]
  2012-11-08 15:58 556056 ----a-w- c:\program files\Google\Drive\googledrivesync32.dll
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\GDriveSharedOverlay]
  @="{81539FE6-33C7-4CE7-90C7-1C7B8F2F2D43}"
  [HKEY_CLASSES_ROOT\CLSID\{81539FE6-33C7-4CE7-90C7-1C7B8F2F2D43}]
  2012-11-08 15:58 556056 ----a-w- c:\program files\Google\Drive\googledrivesync32.dll
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\GDriveSyncedOverlay]
  @="{81539FE6-33C7-4CE7-90C7-1C7B8F2F2D40}"
  [HKEY_CLASSES_ROOT\CLSID\{81539FE6-33C7-4CE7-90C7-1C7B8F2F2D40}]
  2012-11-08 15:58 556056 ----a-w- c:\program files\Google\Drive\googledrivesync32.dll
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\GDriveSyncingOverlay]
  @="{81539FE6-33C7-4CE7-90C7-1C7B8F2F2D41}"
  [HKEY_CLASSES_ROOT\CLSID\{81539FE6-33C7-4CE7-90C7-1C7B8F2F2D41}]
  2012-11-08 15:58 556056 ----a-w- c:\program files\Google\Drive\googledrivesync32.dll
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\MacDriveVolumeIcon]
  @="{6B21AF46-EE37-40D0-A707-C06C17D06CE9}"
  [HKEY_CLASSES_ROOT\CLSID\{6B21AF46-EE37-40D0-A707-C06C17D06CE9}]
  2011-07-13 16:19 222720 ----a-w- c:\program files\Mediafour\MacDrive 9\MDVolumeIcons.dll
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\MacDriveVolumeIconReadOnly]
  @="{E9BC4DCA-0A4E-4C65-9D40-621C9D0CDC5F}"
  [HKEY_CLASSES_ROOT\CLSID\{E9BC4DCA-0A4E-4C65-9D40-621C9D0CDC5F}]
  2011-07-13 16:19 222720 ----a-w- c:\program files\Mediafour\MacDrive 9\MDVolumeIcons.dll
  .
  [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
  "swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2011-08-08 39408]
  "LMab1err"="c:\program files\Lexmark\ErrorApp\lmab1err.exe" [2011-11-09 644160]
  "LMADImon"="c:\program files\Lexmark Pro710 Series\LMADImon.exe" [2011-11-23 948360]
  "WMPNSCFG"="c:\program files\Windows Media Player\WMPNSCFG.exe" [2008-01-21 202240]
  "GoogleChromeAutoLaunch_E1780710C8C3FDACCD0787E8B2770E38"="c:\users\yannick.PC-de-yannick.001\AppData\Local\Google\Chrome\Application\chrome.exe" [2012-12-05 1242728]
  .
  [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
  "avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2010-08-17 281768]
  "SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2012-07-03 252848]
  "Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-07-27 919008]
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
  "EnableUIADesktopToggle"= 0 (0x0)
  .
  [hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
  .
  [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WudfSvc]
  @="Service"
  .
  [HKLM\~\startupfolder\C:^Users^yannick.PC-de-yannick.001^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^OpenOffice.org 2.4.lnk]
  path=c:\users\yannick.PC-de-yannick.001\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OpenOffice.org 2.4.lnk
  backup=c:\windows\pss\OpenOffice.org 2.4.lnk.Startup
  backupExtension=.Startup
  .
  [HKLM\~\startupfolder\C:^Users^yannick.PC-de-yannick.001^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^OpenOffice.org 3.1.lnk]
  path=c:\users\yannick.PC-de-yannick.001\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OpenOffice.org 3.1.lnk
  backup=c:\windows\pss\OpenOffice.org 3.1.lnk.Startup
  backupExtension=.Startup
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Acrobat Assistant 8.0]
  2012-07-30 14:02 640480 ----a-w- c:\program files\Adobe\Acrobat 9.0\Acrobat\acrotray.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Acrobat Speed Launcher]
  2012-07-31 03:19 41944 ----a-w- c:\program files\Adobe\Acrobat 9.0\Acrobat\acrobat_sl.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe ARM]
  2012-07-27 20:51 919008 ----a-w- c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AdobeCS4ServiceManager]
  2008-08-14 06:58 611712 ----a-w- c:\program files\Common Files\Adobe\CS4ServiceManager\CS4ServiceManager.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe_ID0ENQBO]
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AppleSyncNotifier]
  2008-09-03 18:12 111936 ----a-w- c:\program files\Common Files\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\APSDaemon]
  2012-02-20 20:28 59240 ----a-w- c:\program files\Common Files\Apple\Apple Application Support\APSDaemon.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ehTray.exe]
  2008-01-21 02:25 125952 ----a-w- c:\windows\ehome\ehtray.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Google Update]
  2011-08-05 12:41 136176 ----atw- c:\users\yannick.PC-de-yannick.001\AppData\Local\Google\Update\GoogleUpdate.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GoogleChromeAutoLaunch_E1780710C8C3FDACCD0787E8B2770E38]
  2012-12-05 01:15 1242728 ----a-w- c:\users\yannick.PC-de-yannick.001\AppData\Local\Google\Chrome\Application\chrome.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]
  2012-03-27 03:09 421736 ----a-w- c:\program files\iTunes\iTunesHelper.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\lxedmon.exe]
  2010-05-17 07:52 770728 ----a-w- c:\program files\Lexmark S600 Series\lxedmon.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
  2012-04-18 18:56 421888 ----a-w- c:\program files\QuickTime\QTTask.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Sidebar]
  2009-04-11 06:28 1233920 ----a-w- c:\program files\Windows Sidebar\sidebar.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SMSTray]
  2007-02-23 15:32 126976 ----a-w- c:\program files\Samsung\Samsung Media Studio 5\SMSTray.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
  2012-07-03 07:04 252848 ----a-w- c:\program files\Common Files\Java\Java Update\jusched.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TkBellExe]
  2012-03-24 12:22 185784 ----a-w- c:\program files\Common Files\Real\Update_OB\realsched.exe
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeAntiSpyware]
  "DisableMonitoring"=dword:00000001
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\security center\Svc]
  "AntiVirusOverride"=dword:00000001
  .
  R3 Adobe Version Cue CS4;Adobe Version Cue CS4;c:\program files\Common Files\Adobe\Adobe Version Cue CS4\Server\bin\VersionCueCS4.exe [x]
  S2 ABBYY.Licensing.FineReader.Sprint.9.0;ABBYY FineReader 9.0 Sprint Licensing Service;c:\program files\Common Files\ABBYY\FineReaderSprint\9.00\Licensing\NetworkLicenseServer.exe [x]
  .
  .
  [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
  LocalServiceAndNoImpersonation REG_MULTI_SZ FontCache
  Akamai REG_MULTI_SZ Akamai
  .
  Contenu du dossier 'Tâches planifiées'
  .
  2012-12-20 c:\windows\Tasks\Adobe Flash Player Updater.job
  - c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [2012-08-15 20:45]
  .
  2012-12-22 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
  - c:\program files\Google\Update\GoogleUpdate.exe [2009-04-23 20:29]
  .
  2012-12-20 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
  - c:\program files\Google\Update\GoogleUpdate.exe [2009-04-23 20:29]
  .
  2012-11-29 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-1207478516-3143673318-1991963005-1000Core1cdce28dee25910.job
  - c:\users\yannick.PC-de-yannick.001\AppData\Local\Google\Update\GoogleUpdate.exe [2011-08-10 12:41]
  .
  .
  ------- Examen supplémentaire -------
  .
  uSearchMigratedDefaultURL = hxxp://fr.gdark.com/search.php?cx=partner-pub-7902900401080901%3Ae94ctf-nqmg&cof=FORID%3A10&ie=UTF-8&q={searchTerms}
  uInternet Settings,ProxyOverride = *.local;192.168.*.*
  uSearchAssistant = hxxp://fr.gdark.com
  IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
  IE: Ajouter la cible du lien à un fichier PDF existant - c:\program files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
  IE: Ajouter à un fichier PDF existant - c:\program files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html
  IE: Convertir au format Adobe PDF - c:\program files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html
  IE: Convertir la cible du lien au format Adobe PDF - c:\program files\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
  IE: Convertir les liens sélectionnés en fichier Adobe PDF - c:\program files\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
  IE: E&xporter vers Microsoft Excel - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000
  TCP: DhcpNameServer = 212.27.40.241 212.27.40.240
  FF - ProfilePath - c:\users\yannick.PC-de-yannick.001\AppData\Roaming\Mozilla\Firefox\Profiles\q6lb8irx.default\
  FF - prefs.js: browser.search.defaulturl - hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT2405725&SearchSource=3&q={searchTerms}
  FF - prefs.js: browser.search.selectedEngine - Google
  FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/
  FF - prefs.js: network.proxy.type - 0
  FF - ExtSQL: 2012-12-05 23:18; {c50ca3c4-5656-43c2-a061-13e717f73fc8}; c:\users\yannick.PC-de-yannick.001\AppData\Roaming\Mozilla\Firefox\Profiles\q6lb8irx.default\extensions\{c50ca3c4-5656-43c2-a061-13e717f73fc8}.xpi
  FF - ExtSQL: !HIDDEN! 2009-09-02 03:02; {20a82645-c095-46ed-80e3-08825760534b}; c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
  FF - user.js: network.proxy.type - 0
  FF - user.js: browser.shell.checkDefaultBrowser - false
  .
  - - - - ORPHELINS SUPPRIMES - - - -
  .
  SafeBoot-WudfPf
  SafeBoot-WudfRd
  MSConfigStartUp-Adobe Reader Speed Launcher - c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe
  MSConfigStartUp-Adobe Version Cue CS2 - c:\program files\Adobe\Adobe Version Cue CS2\ControlPanel\VersionCueCS2Tray.exe
  MSConfigStartUp-Logiciel de Synchronisation SFRTray - c:\progra~1\SFR\LOGICI~1\LOGICI~2.EXE
  MSConfigStartUp-TOSCDSPD - TOSCDSPD.EXE
  AddRemove-{76E41F43-59D2-4F30-BA42-9A762EE1E8DE} - c:\program files\InstallShield Installation Information\{76E41F43-59D2-4F30-BA42-9A762EE1E8DE}\Setup.exe
  .
  .
  .
  **************************************************************************
  .
  catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
  Rootkit scan 2012-12-22 18:44
  Windows 6.0.6002 Service Pack 2 NTFS
  .
  Recherche de processus cachés ...
  .
  Recherche d'éléments en démarrage automatique cachés ...
  .
  Recherche de fichiers cachés ...
  .
  Scan terminé avec succès
  Fichiers cachés: 0
  .
  **************************************************************************
  .
  [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Akamai]
  "ServiceDll"="c:\program files\common files\akamai/netsession_win_ce5ba24.dll"
  .
  --------------------- CLES DE REGISTRE BLOQUEES ---------------------
  .
  [HKEY_USERS\.Default\Software\Microsoft\Internet Explorer\Approved Extensions]
  @Denied: (2) (LocalSystem)
  "{2318C2B1-4965-11D4-9B18-009027A5CD4F}"=hex:51,66,7a,6c,4c,1d,38,12,df,c1,0b,
  27,57,07,ba,54,e4,0e,43,d0,22,fb,89,5b
  "{47833539-D0C5-4125-9FA8-0819E2EAAC93}"=hex:51,66,7a,6c,4c,1d,38,12,57,36,90,
  43,f7,9e,4b,04,e0,be,4b,59,e7,b4,e8,87
  "{18DF081C-E8AD-4283-A596-FA578C2EBDC3}"=hex:51,66,7a,6c,4c,1d,38,12,72,0b,cc,
  1c,9f,a6,ed,07,da,80,b9,17,89,70,f9,d7
  "{AA58ED58-01DD-4D91-8333-CF10577473F7}"=hex:51,66,7a,6c,4c,1d,38,12,36,ee,4b,
  ae,ef,4f,ff,08,fc,25,8c,50,52,2a,37,e3
  "{AE7CD045-E861-484F-8273-0445EE161910}"=hex:51,66,7a,6c,4c,1d,38,12,2b,d3,6f,
  aa,53,a6,21,0d,fd,65,47,05,eb,48,5d,04
  "{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}"=hex:51,66,7a,6c,4c,1d,38,12,07,5b,93,
  aa,6e,60,ba,0b,f0,6d,b2,b7,80,44,00,83
  "{DBC80044-A445-435B-BC74-9C25C1C588A9}"=hex:51,66,7a,6c,4c,1d,38,12,2a,03,db,
  df,77,ea,35,06,c3,62,df,65,c4,9b,cc,bd
  "{E0FEFE40-FBF9-42AE-BA58-794CA7E3FB53}"=hex:51,66,7a,6c,4c,1d,38,12,2e,fd,ed,
  e4,cb,b5,c0,07,c5,4e,3a,0c,a2,bd,bf,47
  "{F4971EE7-DAA0-4053-9964-665D8EE6A077}"=hex:51,66,7a,6c,4c,1d,38,12,89,1d,84,
  f0,92,94,3d,05,e6,72,25,1d,8b,b8,e4,63
  "{FF059E31-CC5A-4E2E-BF3B-96E929D65503}"=hex:51,66,7a,6c,4c,1d,38,12,5f,9d,16,
  fb,68,82,40,0b,c0,2d,d5,a9,2c,88,11,17
  "{BDEADE7F-C265-11D0-BCED-00A0C90AB50F}"=hex:51,66,7a,6c,4c,1d,38,12,11,dd,f9,
  b9,57,8c,be,54,c3,fb,43,e0,cc,54,f1,1b
  .
  [HKEY_USERS\.Default\Software\Microsoft\Internet Explorer\ApprovedExtensionsMigration]
  @Denied: (2) (LocalSystem)
  "Timestamp"=hex:9d,24,c2,6b,f0,55,cc,01
  .
  [HKEY_USERS\.Default\Software\Microsoft\Internet Explorer\User Preferences]
  @Denied: (2) (LocalSystem)
  "88D7D0879DAB32E14DE5B3A805A34F98AFF34F5977"=hex:01,00,00,00,d0,8c,9d,df,01,15,
  d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,f5,f3,43,a0,00,51,7b,47,84,ee,e4,\
  "2D53CFFC5C1A3DD2E97B7979AC2A92BD59BC839E81"=hex:01,00,00,00,d0,8c,9d,df,01,15,
  d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,f5,f3,43,a0,00,51,7b,47,84,ee,e4,\
  .
  [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
  @Denied: (A) (Users)
  @Denied: (A) (Everyone)
  @Allowed: (B 1 2 3 4 5) (S-1-5-20)
  "BlindDial"=dword:00000000
  .
  [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
  @Denied: (A) (Users)
  @Denied: (A) (Everyone)
  @Allowed: (B 1 2 3 4 5) (S-1-5-20)
  "BlindDial"=dword:00000000
  .
  --------------------- DLLs chargées dans les processus actifs ---------------------
  .
  - - - - - - - > 'Explorer.exe'(744)
  c:\program files\Mediafour\MacDrive 9\MDVolumeIcons.dll
  c:\program files\Mediafour\MacDrive 9\MACDRAPI.DLL
  c:\program files\Common Files\Adobe\Adobe Drive CS4\AdobeDriveCS4_NP.dll
  .
  Heure de fin: 2012-12-22 18:47:27
  ComboFix-quarantined-files.txt 2012-12-22 17:47
  .
  Avant-CF: 10 397 765 632 octets libres
  Après-CF: 10 198 421 504 octets libres
  .
  - - End Of File - - B371F7433037AAF8C1D41179F2FC2E66
  
  0
3. yajannot
  
  Re...
  Je suis toujours en galère, j'ai fait des recherches et j'ai trouvé une discussion sur le même sujet : http://forum.telecharger.01net.com/telecharger/securite/trojan-generic-ransom-456973/messages-1.html
  Je suppose que les instructions pour remplir le champs personnalisation d'OTL est spécifique à chaque ordi et que je ne peux pas l'utiliser, je me trompe ?
  Merci.
  
  0
4. g3n-h@ckm@n
  
  @irongégé :
  
  y'a pas de different je lui explique....
  
  0
5. Fish66 Contributeur sécurité
  
  @g3n-h@ckm@n merci, ce n'est pas la peine, déjà combofix a supprimé un trojan
  
  0
Réponse 6 / 58
Fish66 Contributeur sécurité
Re,
@ yajannot fais ceci stp :

* Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

* Lance OTL
* Sous Personnalisation, copie-colle le texte en gras ci-dessous :

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop
CREATERESTOREPOINT
nslookup www.google.fr /c

* Clique sur le bouton Analyse.
* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer les rapports.
Donnes le lien pjjoint ici ensuite pour pouvoir être consultés.

@+

0
Réponse 7 / 58
yajannot Auteur
@ Fish66
Génial déjà un de supprimé ! Merci !
Le rapport OTL :
https://pjjoint.malekal.com/files.php?id=OTL_20121222_n15n8f8o6w8

0
Réponse 8 / 58
Fish66 Contributeur sécurité
Re,
1/
Regarde les extensions de ton navigateur pour voir s'il reste des trucs à supprimer!
Aide : <<< ICI >>> ou encore : <<< ICI >>>

2/
Relance OTL
- Sous XP double-clic sur l'icône pour lancer l'outil.
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
* Dans la partie "Personnalisation", copie/colle les instructions suivantes :

:OTL
FF - prefs.js..browser.search.defaultengine: "Ask.com"
FF - prefs.js..browser.search.defaultenginename: "Ask.com"
FF - prefs.js..browser.search.order.1: "Ask.com"
FF - prefs.js..extensions.enabledItems: {D9ADB0A8-7BFB-498D-9880-EE78A81CCFA0}:1.0 => Infection BT (Adware.QuestBrowse)
FF - prefs.js..extensions.enabledItems: ClickPotatoLite@ClickPotatoLite.com:10.0.659.0
[2011/05/06 19:42:10 | 000,000,000 | ---D | M] (Conduit Engine) -- C:\Users\yannick.PC-de-yannick.001\AppData\Roaming\mozilla\Firefox\Profiles\q6lb8irx.default\extensions\engine@conduit.com => Toolbar.Conduit
[2010/02/27 15:08:19 | 000,002,235 | ---- | M] () -- C:\Users\yannick.PC-de-yannick.001\AppData\Roaming\mozilla\firefox\profiles\q6lb8irx.default\searchplugins\askcom.xml => Plugin Mozilla Firefox Ask.com
[2010/08/05 20:35:52 | 000,000,925 | ---- | M] () -- C:\Users\yannick.PC-de-yannick.001\AppData\Roaming\mozilla\firefox\profiles\q6lb8irx.default\searchplugins\conduit.xml => Toolbar.Conduit
[2008/09/10 14:39:52 | 000,000,000 | ---D | M] -- C:\Users\yannick.PC-de-yannick.001\AppData\Roaming\ItsLabel
[2011/09/28 10:38:51 | 000,000,000 | ---D | M] -- C:\Users\yannick.PC-de-yannick.001\AppData\Roaming\OpenCandy
[2012/10/16 12:58:44 | 000,000,000 | ---D | M] -- C:\Users\yannick.PC-de-yannick.001\AppData\Roaming\YourFileDownloader
[2009/01/27 19:15:26 | 000,038,002 | ---- | M] () -- C:\Users\yannick.PC-de-yannick.001\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Deskop Destroy II\remove.exe => Infection Diverse (Possible)
[2011/08/01 23:38:30 | 001,872,896 | ---- | M] (Speedchecker Limited ) -- C:\Users\yannick.PC-de-yannick.001\AppData\Roaming\OpenCandy\OpenCandy_328DA5CDD98149B7AB52402D42929707\pcspeedup.exe => Infection PUP (Adware.OpenCandy)

:Files
C:\Users\yannick.PC-de-yannick.001\AppData\Local\L8457789100

:Commands
[purity]
[emptytemp]
[EMPTYFLASH]
[Reboot]

* Clique sur le bouton Correction.
* Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.
* Accepte en cliquant sur OK.
* Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles

3/
Pour bien vérifier que le fichier ci-dessous est infecté rend toi sur ce site
Virus Total

* Clique sur " choose file "
* Vas sur ton disque chercher ce fichier à cet emplacement :

C:\Windows\System32\LMFX1Ncomc.dll

* Clique ensuite sur le bouton « Scan it »
* Patiente le temps de l'analyse qui dépend de la taille du fichier
* Une fois celle-ci terminée, apparaît le rang de détection (Detection Ratio)
* Communique-le dans ta prochaine réponse sur le forum et communique en même temps le lien de la page VirusTotal en le copiant dans la barre d'adresse et en le collant dans ta prochaine réponse

Fait de la même facon les fichiers :

C:\wrar371.exe
C:\Windows\System32\LMADIQcomc.dll

@+

0
1. yoann090 Contributeur sécurité
  
  Bonjour à tous, question pourquoi faire sauter Ask alors qu'il utilise Avira et qu'il est nécessaire pour le webguard ?
  
  0
Réponse 9 / 58
yajannot Auteur
Re
Dans l'ordre, avant de lancer la correction OTL, j'ai redémarré mon ordi et une 20aine de fichiers temp ~ se sont affichés sur le bureau datant de plus d'un an ! Bizarre. Au démarrage suivant ils ont disparus.
1/
J'ai vérifié les extensions de firefox (désactivé ou supprimé ceux qui me servent rarement) et de chrome (y'a rien).
2/
Rapport de correction OTL:
https://pjjoint.malekal.com/files.php?id=20121222_f5q5z15u15p5
3/
Pour C:\Windows\System32\LMFX1Ncomc.dll
Detection ratio: 0/43
https://www.virustotal.com/gui/file/47abfe6bb72c80a37c2037fde542f93c8c116535f3b4ef61c2950c9a64c5b9e5

Pour C:\wrar371.exe
Detection ratio: 1/46
https://www.virustotal.com/gui/file/5854c65d70933e0ea50ddfcd526a32ca73a79617c5f7534c4b655a7e7c7565b0

Pour C:\Windows\System32\LMADIQcomc.dll
Detection ratio: 0 / 43
https://www.virustotal.com/gui/file/8067b312978201236bc430491a9b2ebfb8513c69ce1a6131f4095693c25718ea

Encore merci pour ton aide !

0
Réponse 10 / 58
Fish66 Contributeur sécurité
Bonjour,
Les analyses des fichiers : C:\Windows\System32\LMFX1Ncomc.dll et C:\Windows\System32\LMADIQcomc.dll ont été faites depuis presque un an
Refais l'analyse de ces 2 fichiers en cliquant sur "Reanalyse" puis colle l'adresse du lien fourni, merci

@+

0
Réponse 11 / 58
yajannot Auteur
Ha oui pardon:
Pour C:\Windows\System32\LMFX1Ncomc.dll
Detection ratio: 0 / 46
https://www.virustotal.com/gui/file/47abfe6bb72c80a37c2037fde542f93c8c116535f3b4ef61c2950c9a64c5b9e5

Pour C:\Windows\System32\LMADIQcomc.dll
Detection ratio: 0 / 46
https://www.virustotal.com/gui/file/8067b312978201236bc430491a9b2ebfb8513c69ce1a6131f4095693c25718ea

0
Réponse 12 / 58
Fish66 Contributeur sécurité
Re,
Lance ZHPDiag depuis le bureau, ensuite coche tout au tournevis (aide ici) puis lance l'analyse, ferme le et héberge le rapport. colle le lien dans ta prochaine réponse

@+

0
Réponse 13 / 58
yajannot Auteur
Re,
https://pjjoint.malekal.com/files.php?id=ZHPDiag_20121223_l713o7x7r9
@+

0
Réponse 14 / 58
Fish66 Contributeur sécurité
Re,
Fais attention aux cracks et aux Keygen ! :-)
* Désinstalle : Logiciel: Akamai NetSession Interface
* Supprime ce fichier pour ne pas réinfecter ton PC : C:\Users\yannick.PC-de-yannick.001\AppData\Roaming\uTorrent\All Adobe Keygen FR.zip.torrent
Supprime également :
C:\Users\yannick\AppData\Local\Temp\setup1799740928.exe
F:\CRACK\Crack Golive CS2 Francais\Crack\Golive CS2 Francais Crack.exe
C:\Users\yannick\Documents\Downloads\WinRAR 3.71 Final Extreme Edition + Keygen\keygen.exe
C:\Users\yannick\Documents\Downloads\WinRAR 3.71 Final Extreme Edition + Keygen\keygen.exe
H:\adobe crative\CRACK\Crack et Keygen Photoshop CS2\Crack Activation Photoshop CS2 Fr.exe

Tu peux lire : les dangers des cracks

puis fais ceci :
1/
=> Copie tout le texte présent en gras ci-dessous (Sélectionne-le, clique droit dessus et choisis "Copier").

[MD5.00000000000000000000000000000000] [APT] [bdab9e00] (...) -- C:\Users\yannick\AppData\Local\Temp\setup1799740928.exe (.not file.) => Fichier absent
[MD5.00000000000000000000000000000000] [APT] [{3A55BAC0-6D07-4F5C-99CD-46784AC562F3}] (...) -- F:\CRACK\Crack Golive CS2 Francais\Crack\Golive CS2 Francais Crack.exe (.not file.) => Crack, KeyGen, Keymaker - Possible Malware
[MD5.00000000000000000000000000000000] [APT] [{6A610E35-877F-411B-8C7F-BE05E6D10108}] (...) -- C:\Users\yannick\Documents\Downloads\WinRAR 3.71 Final Extreme Edition + Keygen\keygen.exe (.not file.) => Crack, KeyGen, Keymaker - Possible Malware
[MD5.00000000000000000000000000000000] [APT] [{B4FEEF3B-7EEF-46CA-9174-89CCA5B53B19}] (...) -- C:\Users\yannick\Documents\Downloads\WinRAR 3.71 Final Extreme Edition + Keygen\keygen.exe (.not file.) => Crack, KeyGen, Keymaker - Possible Malware
[MD5.00000000000000000000000000000000] [APT] [{EEE8D4CE-1414-4CD2-AB78-E363093A7508}] (...) -- H:\adobe crative\CRACK\Crack et Keygen Photoshop CS2\Crack Activation Photoshop CS2 Fr.exe (.not file.) => Crack, KeyGen, Keymaker - Possible Malware
[MD5.00000000000000000000000000000000] [APT] [YourFile Update] (...) -- C:\Program Files\YourFileDownloader\YourFileUpdater.exe (.not file.) => Infection PUP (PUP.YourFileDownloader)
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Infection Rootkit (Rootkit.TDSS)
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Infection Rootkit (Rootkit.TDSS)

EmptyFlash
EmptyTemp

=> Puis lance ZHPFix depuis le raccourci situé sur ton Bureau.
(Sous Vista/Win7, il faut cliquer droit sur le raccourci de ZHPFix et choisir Exécuter en tant qu'administrateur)

=> Une fois ZHPFix ouvert, clique sur le bouton "Coller le presse-papier".

=> Dans l'encadré principal, tu verras donc les lignes que tu as copié précédemment apparaître. Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

=> Clique sur "GO" pour lancer le nettoyage. Laisse l'outil travailler et ne touche à rien.

=> Une fois terminé, copie-colle le rapport dans ton prochain message.
2/
=>/!\Le script qui suit a été écrit spécialement cet ordinateur/!\ <=
=>il est fort déconseillé de le transposer sur un autre ordinateur !<=
-----------------------------------------------------------------------------------

Toujours avec toutes les protections désactivées, fais ceci :

* Ouvre le bloc-notes (Menu démarrer --> programmes --> accessoires --> bloc-notes)
* Copie/colle dans le bloc-notes ce qui entre les lignes ci dessous (sans les lignes) :
* Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes :
__________________________________________________

KillAll::

Folder::
C:\Users\yannick.PC-de-yannick.001\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Deskop Destroy II
g:\documents and settings\All Users\Application Data\dCe06511oGdHl06511
C:\ProgramData\gB15002EeHeK15002
C:\Users\yannick.PC-de-yannick.001\AppData\Local\Live-Player
C:\Users\yannick.PC-de-yannick.001\AppData\Local\OpenCandy
C:\Users\yannick.PC-de-yannick.001\AppData\LocalLow\ShopperReports3

File::
C:\Program Files\GUME39B.tmp

Registry::
[-HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UpgradeCodes\F928123A039649549966D4C29D35B1C9]
[-HKCU\Software\Grand Virtual]
[-HKLM\Software\YourFileDownloader]

__________________________________________________

* Enregistre ce fichier sous le nom CFScript
* Fait un glisser/déposer de ce fichier CFScript sur le fichier
ComboFix.exe comme sur : cette capture
* Combofix se lance, laisse toi guider..

* Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises: c'est normal!
* Ne touche à rien tant que le scan n'est pas terminé.
* Une fois le scan achevé, un rapport va s'afficher: poste son contenu, en précisant où en sont tes soucis

* Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

0
Réponse 15 / 58
yajannot Auteur
Re,
Aie je ne suis pas arrivé à trouver les fichiers que tu me demandes de supprimer. J'ai seulement pu pour C:\Users\yannick.PC-de-yannick.001\AppData\Roaming\uTorrent\All Adobe Keygen FR.zip.torrent .
Les autres sont introuvables, crack cs4 existe mais pas CS2, le lecteur est mon lecteur DVD...

1/
Rapport de ZHPFix 1.3.10 par Nicolas Coolman, Update du 11/12/2012
Fichier d'export Registre :
Run by yannick at 23/12/2012 14:43:12
Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)

========== Valeur(s) du Registre ==========
ABSENT IFC: [FEATURE_BROWSER_EMULATION] svchost.exe

========== Dossier(s) ==========
SUPPRIME Flash Cookies:
SUPPRIME Temporaires Windows:

========== Fichier(s) ==========
SUPPRIME Flash Cookies:
SUPPRIME Temporaires Windows:

========== Tache planifiée ==========
SUPPRIME Task: bdab9e00
SUPPRIME Task: {3A55BAC0-6D07-4F5C-99CD-46784AC562F3}
SUPPRIME Task: {6A610E35-877F-411B-8C7F-BE05E6D10108}
SUPPRIME Task: {B4FEEF3B-7EEF-46CA-9174-89CCA5B53B19}
SUPPRIME Task: {EEE8D4CE-1414-4CD2-AB78-E363093A7508}
SUPPRIME Task: YourFile Update

========== Récapitulatif ==========
1 : Valeur(s) du Registre
2 : Dossier(s)
2 : Fichier(s)
6 : Tache planifiée

End of clean in 00mn 05s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 22/12/2012 16:44:51 [494]
C:\ZHP\ZHPFix[R2].txt - 23/12/2012 14:43:12 [1068]

2/
Là y'a bonne nouvelle je crois, plus de fenêtre d'avertissement au démarrage !
Serait-ce gagné ?
https://pjjoint.malekal.com/files.php?id=20121223_v13f14o13k6d13

0
1. yajannot Auteur
  
  Heuuuu non en fait tjs cette satanée fenêtre !
  
  0
Réponse 16 / 58
Fish66 Contributeur sécurité
Bonsoir,
1/
Est ce que tu peux m'envoyer une capture d'écran de cette fenêtre ?

2/
=> Copie tout le texte présent en gras ci-dessous (Sélectionne-le, clique droit dessus et choisis "Copier").

OPT:O4 - HKCU\..\Run: [LMab1err] . (...) -- C:\Program Files\Lexmark\ErrorApp\lmab1err.exe
OPT:O4 - HKUS\S-1-5-21-1207478516-3143673318-1991963005-1000\..\Run: [LMab1err] . (...) -- C:\Program Files\Lexmark\ErrorApp\lmab1err.exe
M2 - MFEP: prefs.js [yannick - q6lb8irx.default\engine@conduit.com] [] Conduit Engine v3.3.3.2 (.Conduit Ltd..) => Toolbar.Conduit
M3 - MFPP: Plugins - [yannick] -- C:\Users\yannick.PC-de-yannick.001\AppData\Roaming\Mozilla\Firefox\Profiles\q6lb8irx.default\searchplugins\askcom.xml

=> Puis lance ZHPFix depuis le raccourci situé sur ton Bureau.
(Sous Vista/Win7, il faut cliquer droit sur le raccourci de ZHPFix et choisir Exécuter en tant qu'administrateur)

=> Une fois ZHPFix ouvert, clique sur le bouton "Coller le presse-papier".

=> Dans l'encadré principal, tu verras donc les lignes que tu as copié précédemment apparaître. Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

=> Clique sur "GO" pour lancer le nettoyage. Laisse l'outil travailler et ne touche à rien.

=> Une fois terminé, copie-colle le rapport dans ton prochain message.

3/
* Télécharge sur le bureau RogueKiller (par tigzy)
https://www.luanagames.com/index.fr.html
* ( Sous Vista/Seven,clique droit, lancer en tant qu'administrateur )
* Quitte tous tes programmes en cours
* Lance RogueKiller.exe
Si l'infection bloque le programme, il faut le relancer plusieurs fois ou le renommer en winlogon.exe
* Laisse le prescan se terminer, clique sur Scan
* Clique sur Rapport pour l'ouvrir puis copie/colle le sur le dans ton prochain message

¤¤¤ Le meilleur remède pour tous les problèmes, c'est la patience.... ¤¤¤

0
Réponse 17 / 58
Tigzy Contributeur sécurité
Salut
Je vois pas ce qu'elle a de special cette clé load...
Des le début et avec roguekiller c'était réglé :)

Bon courage

0
1. g3n-h@ckm@n
  
  tu sais pourquoi j'arrive pas à la virer ?
  
  0
2. Tigzy Contributeur sécurité
  
  Ba non... Elle est pas verrouillée, si?
  RK pète les ACLs avant la suppression, il s'en apperçoit peut etre pas...
  
  0
Réponse 18 / 58
g3n-h@ckm@n
ben P_S aussi logiquement .....

0
Réponse 19 / 58
yajannot Auteur
Salut,
Je ferais tout ça demain, bon Noël à vous !
@+

0
1. Fish66 Contributeur sécurité
  
  Bonjour,
  D'accord et merci! :-)
  
  @+
  
  0
2. yajannot Auteur
  
  Salut,
  1/
  http://imagik.fr/view-rl/10044
  
  2/
  Plusieurs boites de dialogue se sont ouvertes pdt l'exécution, j'ai cliqué oui à chaque fois.
  Note: j'avais pas branché mon dd externe.
  
  Rapport de ZHPFix 1.3.10 par Nicolas Coolman, Update du 11/12/2012
  Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-25-12-2012-11-35-09.txt
  Run by yannick at 25/12/2012 11:35:09
  Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)
  
  ========== Valeur(s) du Registre ==========
  SUPPRIME RunValue: LMab1err
  ABSENT RunValue: LMab1err
  
  ========== Préférences navigateur ==========
  ABSENT \prefs.js
  
  ========== Fichier(s) ==========
  SUPPRIME File: c:\users\yannick.pc-de-yannick.001\appdata\roaming\mozilla\firefox\profiles\q6lb8irx.default\searchplugins\askcom.xml
  
  ========== Récapitulatif ==========
  2 : Valeur(s) du Registre
  1 : Fichier(s)
  1 : Préférences navigateur
  
  End of clean in 00mn 16s
  
  ========== Chemin de fichier rapport ==========
  C:\ZHP\ZHPFix[R1].txt - 22/12/2012 16:44:51 [494]
  C:\ZHP\ZHPFix[R2].txt - 23/12/2012 14:43:12 [1120]
  C:\ZHP\ZHPFix[R3].txt - 25/12/2012 11:35:09 [848]
  
  3/ à suivre...
  
  0
3. yajannot Auteur
  
  3/ Le rapport : (j'ai rien supprimé, juste lancé le scan. Après ça et 5 min plus tard j'ai eu trois BIP sonores d'alerte virus...)
  RogueKiller V8.4.1 [Dec 24 2012] par Tigzy
  mail : tigzyRK<at>gmail<dot>com
  Remontees : https://www.luanagames.com/index.fr.html
  Site Web : https://www.luanagames.com/index.fr.html
  Blog : http://tigzyrk.blogspot.com/
  
  Systeme d'exploitation : Windows Vista (6.0.6002 Service Pack 2) 32 bits version
  Demarrage : Mode normal
  Utilisateur : yannick [Droits d'admin]
  Mode : Recherche -- Date : 25/12/2012 11:44:28
  
  ¤¤¤ Processus malicieux : 0 ¤¤¤
  
  ¤¤¤ Entrees de registre : 6 ¤¤¤
  [HJPOL] HKLM\[...]\System : DisableRegistryTools (0) -> TROUVÉ
  [HJ SMENU] HKCU\[...]\Advanced : Start_ShowPrinters (0) -> TROUVÉ
  [HJ DESK] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> TROUVÉ
  [HJ DESK] HKCU\[...]\NewStartPanel : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> TROUVÉ
  [HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> TROUVÉ
  [HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ
  
  ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤
  
  ¤¤¤ Driver : [CHARGE] ¤¤¤
  SSDT[75] : NtCreateSection @ 0x83639E35 -> HOOKED (Unknown @ 0x8DD10E26)
  SSDT[289] : NtSetContextThread @ 0x8369B10B -> HOOKED (Unknown @ 0x8DD10E2B)
  SSDT[334] : NtTerminateProcess @ 0x835F9173 -> HOOKED (Unknown @ 0x8DD10DC7)
  S_SSDT[573] : NtUserSetWindowsHookEx -> HOOKED (Unknown @ 0x8DD10E30)
  S_SSDT[576] : NtUserSetWinEventHook -> HOOKED (Unknown @ 0x8DD10E35)
  
  ¤¤¤ Fichier HOSTS: ¤¤¤
  --> C:\Windows\system32\drivers\etc\hosts
  
  127.0.0.1 localhost
  
  ¤¤¤ MBR Verif: ¤¤¤
  
  +++++ PhysicalDrive0: Hitachi HTS542525K9SA00 +++++
  --- User ---
  [MBR] 81bdb2f6b5e4844eccc730cc108c3f08
  [BSP] 9de09149f58e8a5e62184988b6917a9a : Windows Vista MBR Code
  Partition table:
  0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 1499 Mo
  1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 3074048 | Size: 90359 Mo
  2 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 188131328 | Size: 30000 Mo
  3 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 249571328 | Size: 116614 Mo
  User = LL1 ... OK!
  User = LL2 ... OK!
  
  Termine : << RKreport[1]_S_25122012_114428.txt >>
  RKreport[1]_S_25122012_114428.txt
  
  0
Réponse 20 / 58
Fish66 Contributeur sécurité
Bonjour,
Fais ceci suivant l'ordre stp :
1/
L'erreur d'avertissement est du à un problème d'Avira, on va le
désinstaller et le réinstaller :
1* Télécharge Avira antivir V13 à partir ce lien :
http://www.commentcamarche.net/download/telecharger-55-antivir
2* Désinstalle ta version d'Avira via panneau de configuration
3* Télécharge avira-registrycleaner à partir ce lien :
https://www.avira.com/fr/download/product/avira-registry-cleaner
Exécute le en suivant les instructions
* Exécute le fichier téléchargé en 1* pour installation
(A ne pas cocher la case Askbar ) et en choisissant : la configuration optimale

2/
Relance RogueKiller puis choisis "suppression" et poste le rapport

3/
Ensuite
Lance Malwarebytes, fais la mise à jour, choisis une analyse complète, supprime tout ce qu'il trouve puis poste le rapport stp

@+

0
- 1
- 2
- 3
Suivant

Virus msuycoe.com

58 réponses

Discussions similaires

Newsletters