Ordinateur bourré d'infections

Hamlet-von-G -  
Bonjour à toutes et à tous,
Je présente mon problème : depuis quelque temps, j'ai abandonné mon antivrus McAfee (l'adresse mail que j'ai rentrée lors de l'installation sur cet ordi' n'existe plus) au profit de Avast.
Mais voilà, maintenant j'ai l'impression que mon ordi' est over-infecté et je remarque qu'Avast ne se lance plus, ni au démarrage de Windows, ni quand je lance son .exe.
Jusqu'à maintenant ce problème n'était pas trop génant, mais ces derniers temps je me retrouve avec deux processsus iexplore.exe actif en pérmanence qui me font sortir de mes applications et me bouffent des ressources en m'envoyant des pop-up qui ne s'affichent que rarement à l'écran mais qui font parfois des sons étranges - invisible mais là.

Sachant que j'utilise exclusivement FireFox, que puis-je faire afin que mon ordi' tienne le coup encore quelques mois (avant que j'en achète un autre et que je réinstalle Windows entièrement) ?

Je vous remercie de votre sollicitude à l'égard de mon problème.
Configuration: Windows XP
Firefox 3.0.3

18 réponses

Résumé de la discussion

Sur Windows XP avec Firefox, Avast ne se lance plus ni au démarrage ni lors du lancement, et deux processus iexplore.exe restent actifs, consommant des ressources et générant des pop-ups. Plusieurs réponses évoquent une infection type Bagle et proposent des outils de détection et désinfection, notamment MBAM, FindyKill ou HijackThis, pour établir des rapports et identifier les éléments malveillants. D'autres conseils suggèrent la réinstallation d'Avast ou, en cas d'infection avérée, le reformatage pour repartir sur une base saine, tout en soulignant qu'une désinfection peut être possible sans réinstallation. En cas de doute, certains insistent sur la vérification des composants réseau et des processus système, car des infections persistantes peuvent masquer des éléments en démarrage et compliquer l'éradication.

Bobot (l’IA à votre service)
  1. geoffrey5 Contributeur sécurité
    Salut !!

    ▶ Fais un rapport hijackthis pour que je puisse vérifier les infections de ton pc stp

    ▶ Télécharge hijackthis et enregistre le fichier d'installation sur ton bureau.

    ▶ Ensuite double-cliques sur le fichier d'installation puis sur "exécuter".

    ▶ Cliques sur "Install" en vérifiant que le chemin d'installation est bien dans tes programmes et puis sur "I Accept".

    ▶ Cliques sur "Do a system scan and save a logfile".

    ▶ Laisse l'analyse se terminer jusqu'à l'apparition du rapport dans le bloc note.

    ▶ Ensuite fais un copié/collé du rapport dans ta prochaine réponse sur le forum

    Comment copier/coller le rapport :

    Quand tu as le rapport à l écran, tu fais ctrl A pour "sélectionner tout" puis ctrl C pour "copier".

    ensuite tu viens sur le forum pour me répondre et tu fais ctrl V pour "coller" le rapport.
    0
    1. Utilisateur anonyme
      Bonjour,

      Essaie le réinstllation de Avast

      Sinon je pense que SI tu est sur qu'il est "over infecter" alors je te propose le reforematage se qui donnera à ton pc une nouvelle vie ^^

      Cordialement

      Xonotor
      0
      1. Hamlet-von-G Auteur
        Excusez moi de double-poster, mais ne trouve pas de fonction "éditer".
        Je tiens à préciser que j'ai aussi un tas de processus nsns76Fh.exe et svchost.exe d'ouvert - environ 6-7 par processus.
        0
        1. geoffrey5 Contributeur sécurité
          fais un rapport hijackthis stp, on verra ce qu il faut faire ;-)
          0
      2. geoffrey5 Contributeur sécurité
        C est surement une infection bagle qui a détruit son antivirus... Une désinfection peut etre faite sans devoir reformater ;-)
        0
        2. Utilisateur anonyme
          Essaie voir de les stoper

          je cite : "C est surement une infection bagle qui a détruit son antivirus... Une désinfection peut etre faite sans devoir reformater ;-)"

          Bon ba on te fait confiance ^^ =).

          Si je peux encore aider je veux bien ^^ mais le spécialiste est sur le coup

          Bonne continuation

          xonotor
          0
          1. Hamlet-von-G Auteur
            En lançant HijackThis j'ai eu la même erreur qu'avec Avast :

            C:\Program Files\Trend Micro\HijackThis\HijackThis.exe n'est pas une application Win32 valide.

            Dois-je vraiment reformater mon ordi' ?
            0
            1. geoffrey5 Contributeur sécurité
              C est bien ce que je pensais, infection bagle... Fais ceci stp :

              ▶ Telecharge FindyKill sur ton bureau :

              * (c'est le numéro 18 en bas de la page)

              ▶ Lance l installation avec les parametres par default

              ▶ Double clic sur le raccourci FindyKill sur ton bureau

              ▶ Au menu principal,choisi l option 1 (Recherche)

              ▶ Post le rapport FindyKill.txt

              * Note : le rapport FindyKill.txt est sauvegardé a la racine du disque
              0
              1. Hamlet-von-G Auteur
                Merci de ton aide. L'opération est en train de se faire.
                0
            2. geoffrey5 Contributeur sécurité
              ok j attends ton rapport ;-)
              0
              1. Hamlet-von-G Auteur
                Est-ce que ça prend réellement autant de temps ou c'est mon ordi' qui déconne ? >.<
                0
            3. geoffrey5 Contributeur sécurité
              normalement ça va assez vite mais peut être que c est à cause que tu as beaucoup d infections ou que tu as de gros disques durs
              0
              1. Hamlet-von-G Auteur
                Je n'ai qu'un disque dur de 185Go.
                Là, le rapport est coincé à "»»»» Presence des fichiers dans C:\DOCUME~1\...\LOCALS~1\Temp". Plus rien ne s'y ajoute depuis peut-être 20minutes.
                0
            4. geoffrey5 Contributeur sécurité
              c estr quand meme beaucoup 185 gb

              laisse le encore rechercher un peu ;-)
              0
              1. Hamlet-von-G Auteur
                Beh là ça m'étonne qu'il traine aussi longtemps sur le dossier "Temp" qui fait ~200Mo alors qu'il est resté 10minutes à peine sur "system 32" qui fait presque 1Go.
                0
            5. geoffrey5 Contributeur sécurité
              bon bin arrete le et réessaye stp
              0
              1. feelgood
                Salut Geoffrey5, ne serait-il pas préferable de lui faire faire une analyse avec MBAM avant ?, c'est juste une proposition qui je crois pourrait servir dans son cas!
                0
            6. geoffrey5 Contributeur sécurité
              Salut !!

              application Win32 valide => infection bagle.

              Il ne se lancera pas tant que les infections bagle ne sont pas supprimées... Tout comme hijackthis qui n a pas su faire ;-)
              0
              1. geoffrey5 Contributeur sécurité
                Hamlet : Tu t en sort ??
                0
                1. feelgood
                  Pour sur, il n'y a meme pas a douter c'est effectivement " Bagle" mais ça me parait bizarre pour findykill ( trop long)...
                  0
              2. geoffrey5 Contributeur sécurité
                Si ca ne va toujours pas, arrete le, on va faire autrement avant....

                Fais ceci stp :

                ▶ Rends toi sur ce site :
                http://www.zonavirus.com/datos/descargas/95/elibagla.asp
                ▶ tout en bas de cette page tu trouveras un outil
                à télécharger,clique sur "escargar Elibagla" (le numéro de version change au fur et à mesure des mises à jour)
                ▶ installe ce fichier sur le Bureau.
                ▶ ensuite double-clic sur Elibagla.exe
                ▶ laisse la case "eliminar ficheros automaticamente" coché
                ▶ clique sur"explorar"
                ▶ laisse-le travailler

                ▶ Redémarre en mode sans échec,

                *Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter.
                Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
                Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal !
                (Si F8 ne marche pas utilise la touche F5).

                ▶ relance 2 fois elibagla

                ▶ redémarre en mode normal

                ▶ poste le rapport final qui sera dans c:\infosat.txt

                Je vais devoir m absenter donc je vérifierai tes réponses dès mon retour vers 21h ;-)

                @+
                0
                1. Hamlet-von-G Auteur
                  Beh là il s'est un peu bloqué je crois. ^^

                  ----------------- FindyKill V4.095 ------------------

                  * User : drkA - ERFAN
                  * Emplacement : C:\Program Files\FindyKill
                  * Outils Mis a jours le 05/11/08 par Chiquitine29
                  * Recherche effectuée à 15:31:55 le 06/11/2008
                  * Windows XP - Internet Explorer 6.0.2900.2180

                  ((((((((((((((((( *** Recherche *** ))))))))))))))))))

                  --------------- [ Processus actifs ] ----------------

                  C:\WINDOWS\System32\smss.exe
                  C:\WINDOWS\system32\csrss.exe
                  C:\WINDOWS\system32\winlogon.exe
                  C:\WINDOWS\system32\services.exe
                  C:\WINDOWS\system32\lsass.exe
                  C:\WINDOWS\system32\svchost.exe
                  C:\WINDOWS\system32\svchost.exe
                  C:\WINDOWS\System32\svchost.exe
                  C:\WINDOWS\System32\svchost.exe
                  C:\WINDOWS\System32\svchost.exe
                  C:\WINDOWS\system32\spoolsv.exe
                  C:\Program Files\Fichiers communs\LogiShrd\LVMVFM\LVPrcSrv.exe
                  C:\Program Files\Fichiers communs\LogiShrd\LVCOMSER\LVComSer.exe
                  C:\WINDOWS\system32\nvsvc32.exe
                  C:\WINDOWS\system32\PnkBstrA.exe
                  C:\WINDOWS\system32\PnkBstrB.exe
                  C:\WINDOWS\System32\svchost.exe
                  C:\WINDOWS\system32\wdfmgr.exe
                  C:\WINDOWS\system32\WgaTray.exe
                  C:\WINDOWS\Explorer.EXE
                  C:\Program Files\DAEMON Tools\daemon.exe
                  C:\HP\KBD\KBD.EXE
                  C:\WINDOWS\RTHDCPL.EXE
                  C:\WINDOWS\system32\RUNDLL32.EXE
                  C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe
                  C:\WINDOWS\system32\rundll32.exe
                  C:\Program Files\QuickTime\qttask.exe
                  C:\Program Files\Xfire\xfire.exe
                  C:\WINDOWS\system32\taskmgr.exe
                  C:\WINDOWS\system32\nsns76Fh.exe
                  C:\WINDOWS\system32\rundll32.exe
                  C:\WINDOWS\system32\nsns76Fh.exe
                  C:\Program Files\Mozilla Firefox\firefox.exe
                  C:\Program Files\Internet Explorer\iexplore.exe
                  C:\WINDOWS\system32\nsns76Fh.exe
                  C:\WINDOWS\system32\nsns76Fh.exe
                  C:\Program Files\Internet Explorer\iexplore.exe

                  --------------- [ Fichiers/Dossiers infectieux ] ----------------

                  »»»» Presence des fichiers dans C:

                  »»»» Presence des fichiers dans C:\WINDOWS

                  »»»» Presence des fichiers dans C:\WINDOWS\Prefetch

                  Present ! - C:\WINDOWS\prefetch\1087390.EXE-13108F08.pf
                  Present ! - C:\WINDOWS\prefetch\1095687.EXE-121BBB58.pf
                  Present ! - C:\WINDOWS\prefetch\1096093.EXE-243E2A10.pf
                  Present ! - C:\WINDOWS\prefetch\1349656.EXE-2C356F4D.pf
                  Present ! - C:\WINDOWS\prefetch\1357812.EXE-2B4D516B.pf
                  Present ! - C:\WINDOWS\prefetch\1358359.EXE-01C8404E.pf
                  Present ! - C:\WINDOWS\prefetch\14719343.EXE-2AFC3FBC.pf
                  Present ! - C:\WINDOWS\prefetch\14727156.EXE-16A8F3FD.pf
                  Present ! - C:\WINDOWS\prefetch\14728093.EXE-398EB4CB.pf
                  Present ! - C:\WINDOWS\prefetch\15283343.EXE-398DC280.pf
                  Present ! - C:\WINDOWS\prefetch\15424156.EXE-03F036B0.pf
                  Present ! - C:\WINDOWS\prefetch\15602437.EXE-03F35C02.pf
                  Present ! - C:\WINDOWS\prefetch\15603656.EXE-15D91573.pf
                  Present ! - C:\WINDOWS\prefetch\156406.EXE-152E80D2.pf
                  Present ! - C:\WINDOWS\prefetch\15886828.EXE-25D70DCF.pf
                  Present ! - C:\WINDOWS\prefetch\15887453.EXE-21F8F3DC.pf
                  Present ! - C:\WINDOWS\prefetch\29255781.EXE-278C13EB.pf
                  Present ! - C:\WINDOWS\prefetch\29814000.EXE-2C30FE0C.pf
                  Present ! - C:\WINDOWS\prefetch\29814984.EXE-3264C609.pf
                  Present ! - C:\WINDOWS\prefetch\29947984.EXE-37ABC8AF.pf
                  Present ! - C:\WINDOWS\prefetch\29956921.EXE-167E22F6.pf
                  Present ! - C:\WINDOWS\prefetch\30109843.EXE-1E671B0A.pf
                  Present ! - C:\WINDOWS\prefetch\30422484.EXE-2CEDCA3F.pf
                  Present ! - C:\WINDOWS\prefetch\43778640.EXE-20EA63BB.pf
                  Present ! - C:\WINDOWS\prefetch\43779265.EXE-29B34D5B.pf
                  Present ! - C:\WINDOWS\prefetch\44340453.EXE-350DD59B.pf
                  Present ! - C:\WINDOWS\prefetch\44364562.EXE-2D7C85AB.pf
                  Present ! - C:\WINDOWS\prefetch\44365625.EXE-25AD0DA6.pf
                  Present ! - C:\WINDOWS\prefetch\44469734.EXE-1ECE4A64.pf
                  Present ! - C:\WINDOWS\prefetch\44656515.EXE-0DDD7D92.pf
                  Present ! - C:\WINDOWS\prefetch\44957812.EXE-11A0B88B.pf
                  Present ! - C:\WINDOWS\prefetch\44967281.EXE-0750EF9E.pf
                  Present ! - C:\WINDOWS\prefetch\44969359.EXE-1A0DDA2C.pf
                  Present ! - C:\WINDOWS\prefetch\58314203.EXE-33000804.pf
                  Present ! - C:\WINDOWS\prefetch\58314750.EXE-286D862C.pf
                  Present ! - C:\WINDOWS\prefetch\59001515.EXE-117A87B3.pf
                  Present ! - C:\WINDOWS\prefetch\59519265.EXE-2DC2C5FD.pf
                  Present ! - C:\WINDOWS\prefetch\59526687.EXE-12B4986E.pf
                  Present ! - C:\WINDOWS\prefetch\712687.EXE-0768F6CF.pf
                  Present ! - C:\WINDOWS\prefetch\720625.EXE-01A88510.pf
                  Present ! - C:\WINDOWS\prefetch\721250.EXE-39653524.pf
                  Present ! - C:\WINDOWS\prefetch\794828.EXE-11665499.pf
                  Present ! - C:\WINDOWS\prefetch\798468.EXE-24F9523D.pf
                  Present ! - C:\WINDOWS\prefetch\FLEC006.EXE-0BD42897.pf
                  Present ! - C:\WINDOWS\prefetch\MDELK.EXE-1D176F91.pf
                  Present ! - C:\WINDOWS\prefetch\WINTEMS.EXE-2A563F9B.pf

                  »»»» Presence des fichiers dans C:\WINDOWS\system32

                  Présent ! [06/11/2008 08:21] - C:\WINDOWS\system32\mdelk.exe
                  Présent ! [06/11/2008 08:21] - C:\WINDOWS\system32\wintems.exe
                  Présent ! [06/11/2008 13:24] - C:\WINDOWS\system32\ban_list.txt
                  Présent ! [01/07/2008 21:20] - C:\WINDOWS\system32\zzzzzzzzz.exe

                  »»»» Presence des fichiers dans C:\WINDOWS\system32\drivers

                  Présent ! [06/11/2008 08:02] - C:\WINDOWS\system32\drivers\srosa.sys
                  Présent ! [11/09/2005 02:07] - C:\WINDOWS\system32\drivers\hldrrr.exe
                  Présent ! [06/11/2008 12:27] - "C:\WINDOWS\system32\drivers\down"

                  »»»» Presence des fichiers dans C:\Documents and Settings\drkA\Application Data

                  Présent ! [06/11/2008 12:24] - "C:\Documents and Settings\drkA\Application Data\m\flec006.exe"
                  Présent ! [06/11/2008 12:24] - "C:\Documents and Settings\drkA\Application Data\m\list.oct"
                  Présent ! [06/11/2008 12:24] - "C:\Documents and Settings\drkA\Application Data\m\data.oct"
                  Présent ! [06/11/2008 12:24] - "C:\Documents and Settings\drkA\Application Data\m\srvlist.oct"
                  Présent ! [06/11/2008 12:25] - "C:\Documents and Settings\drkA\Application Data\m\shared"
                  Présent ! [03/04/2008 19:16] - "C:\Documents and Settings\drkA\Application Data\m"

                  »»»» Presence des fichiers dans C:\DOCUME~1\drkA\LOCALS~1\Temp

                  Présent ! - C:\DOCUME~1\drkA\LOCALS~1\Temp\MessengerCache\rnr6oysA+GKEY7P9fyP4Lgphg3w=

                  --------------- [ Registre / Startup ] ----------------

                  ! REG.EXE VERSION 3.0

                  HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
                  NvCplDaemon REG_SZ RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
                  DAEMON Tools REG_SZ "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1036
                  .nvsvc REG_SZ C:\WINDOWS\system\smss.exe /w
                  WindowsServicesStartup REG_SZ C:\DOCUME~1\drkA\LOCALS~1\Temp\svchost.exe 1
                  nwiz REG_SZ nwiz.exe /install
                  KBD REG_SZ C:\HP\KBD\KBD.EXE
                  SunJavaUpdateSched REG_SZ "C:\Program Files\Java\jre1.6.0_02\bin\jusched.exe"
                  RTHDCPL REG_SZ RTHDCPL.EXE
                  Alcmtr REG_SZ ALCMTR.EXE
                  NvMediaCenter REG_SZ RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
                  avast! REG_SZ C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
                  Adobe Photo Downloader REG_SZ "C:\Program Files\Adobe\Photoshop Album Edition Découverte\3.0\Apps\apdproxy.exe"
                  TkBellExe REG_SZ "C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe" -osboot
                  kmqeymk REG_SZ "c:\windows\system32\kmqeymk.exe" kmqeymk
                  QuickTime Task REG_SZ "C:\Program Files\QuickTime\qttask.exe" -atboottime

                  HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents

                  ! REG.EXE VERSION 3.0

                  HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
                  NBS-AppLaunch REG_SZ C:\PROGRAM FILES\NB SOFTWARE\APPLAUNCH\APPLAUNCH.EXE
                  BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA} REG_SZ "C:\Program Files\Fichiers communs\Ahead\Lib\NMBgMonitor.exe"
                  <SANS NOM> REG_SZ

                  --------------- [ Registre / Clés infectieuses ] ----------------

                  Présent ! - HKEY_USERS\S-1-5-21-448539723-1214440339-839522115-1003\Software\Local AppWizard-Generated Applications\uiytuhjy
                  Présent ! - HKEY_USERS\S-1-5-21-448539723-1214440339-839522115-1003\Software\DateTime4
                  Présent ! - HKEY_USERS\S-1-5-21-448539723-1214440339-839522115-1003\Software\EWZ
                  Présent ! - HKEY_USERS\S-1-5-21-448539723-1214440339-839522115-1003\Software\FirstRRRun
                  Présent ! - HKEY_USERS\S-1-5-21-448539723-1214440339-839522115-1003\Software\FirtR
                  Présent ! - HKEY_USERS\S-1-5-21-448539723-1214440339-839522115-1003\Software\MuleAppData
                  Présent ! - HKEY_USERS\S-1-5-21-448539723-1214440339-839522115-1003\Software\UBISOFT
                  Présent ! - HKEY_USERS\S-1-5-21-448539723-1214440339-839522115-1003\Software\XYZ
                  Présent ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\uiytuhjy
                  0
                  1. geoffrey5 Contributeur sécurité
                    ▶ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) suceptible d avoir été infectés sans les ouvrir

                    ▶ Double clic sur le raccourci FindyKill sur ton bureau

                    ▶ Au menu principal,choisi l option 2 (Suppression)

                    /!\ il y aura 2 redémarrage, laisse travailler l outils jusqu a l apparition du message "nettoyage effectué"

                    /!\ Ne te sert pas du pc durant la suppression , ton bureau ne sera pas accessible c est normal !

                    ▶ ensuite post le rapport FindyKill.txt

                    * Note : le rapport FindyKill.txt est sauvegardé a la racine du disque
                    * Note : Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr , Onglet "Fichier" , "Nouvelle tâche" , tapes explorer.exe et valides

                    ensuite fais elibagla stp

                    @+
                    0
                  2. geoffrey5 Contributeur sécurité
                    As tu fais la suppression avec Findykill ??
                    0
                    1. Hamlet-von-G Auteur
                      Il a supprimé un zzzzzzzzz.exe et est resté bloqué dessus pendant plus de 30minutes. Je vais essayer de refaire ça demain. (il n'a redémarrer qu'une fois l'ordi').
                      0

                      Discussions similaires

                      Tukif bloqué ? Solutions express !
                      Paparazzi

                      5 réponses