[Réglé] Suspicion de Pc hacker ou infecté

[davido76]

Bonsoir à tous,

Je reçois énormément de spams et mon pc fonctionne au ralenti.

Au vue des précédents message j'ai telechargé ZHPDiag et je vous joint le fichier de mon scan, si un connaisseur pouvait m'aider sur la marche à suivre s'il y a d'éventuels virus.

Merci pour votre aide.

A bientôt.

Voici le lien :

http://cjoint.com/?AJdtj6k3SJP

[bernard53]

Bonsoir

Fait ceci s.t.p

* Copie le tout le texte présent dans l'encadré ci-dessous (tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C)

C:\Users\d\AppData\Roaming\Mozilla\Firefox\Profiles\eyugnr92.default\user.js (.not file.)
P2 - FPN: [HKLM] [@viewpoint.com/VMP] - (.Pas de propriétaire - MetaStream 3 Plugin r4.) -- C:\Program Files\Viewpoint\Viewpoint Experience Technology\npViewpoint.dll
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.facemoods.com
R0 - HKUS\S-1-5-21-2111069494-4241774342-3773821119-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.facemoods.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://start.facemoods.com
R1 - HKUS\S-1-5-21-2111069494-4241774342-3773821119-1000\Software\Microsoft\Internet Explorer\Main,SearchMigratedDefaultName = cherche.us
R1 - HKUS\S-1-5-21-2111069494-4241774342-3773821119-1000\Software\Microsoft\Internet Explorer\Main,SearchMigratedDefaultURL = http://google.cherche.usso-8859-1&q={searchterms}&sourceid=ie7&rls=com.microsoft:en-us&ie=utf8&oe=utf8
R3 - URLSearchHook: (no name) - {bf7380fa-e3b4-4db2-af3e-9d8783a45bfc} . (...) (No version) -- (.not file.)
O4 - HKUS\S-1-5-18\..\Run: [RTHDBPL] C:\Windows\TEMP\FAF1.tmp (.not file.)
O4 - HKUS\S-1-5-18\..\Run: [RTHDBPL] C:\Windows\TEMP\FAF1.tmp (.not file.)
O15 - Trusted Zone: [HKCU\...\Domains] *.chat-land.org
O15 - Trusted Zone: [HKCU\...\Domains\www] *.chat-land.org
[MD5.00000000000000000000000000000000] [APT] [{EB76EB92-FA81-4510-8F9D-8F0EF2FBE8CA}] (...) -- C:\Users\d\Appdata\Local\Temp\Temp1_WinZumaSetup_JeuxVideo.com_7646.zip\WinZumaSetup_JeuxVideo.com_7646.exe (.not file.)
O42 - Logiciel: Java 6 Update 22 - (.Sun Microsystems, Inc..) [HKLM] -- {26A24AE4-039D-4CA4-87B4-2F83216020FF}
O42 - Logiciel: Java 6 Update 7 - (.Sun Microsystems, Inc..) [HKLM] -- {3248F0A8-6813-11D6-A77B-00B0D0160070}
O42 - Logiciel: Viewpoint Media Player - (.Pas de propriétaire.) [HKLM] – ViewpointMediaPlayer
[HKCU\Software\AppDataLow\Software\toolbar]
[HKLM\Software\MetaStream]
[HKLM\Software\Viewpoint]
O43 - CFD: 29/01/2011 - 11:33:38 - [1618] ----D- C:\Program Files\Ask.com
O43 - CFD: 08/01/2011 - 16:27:08 - [0] ----D- C:\Users\d\AppData\Local\{F2B7BFE3-642E-46DF-B8A6-DABC7171856D}
O69 - SBI: SearchScopes [HKCU] {0D7562AE-8EF6-416d-A838-AB665251703A} - (Facemoods Search) - http://start.facemoods.com
O69 - SBI: SearchScopes [HKCU] {BC4FCC57-D312-405C-BAE2-46EDF90F0477} [DefaultScope] - (Fast Browser Search) - http://www.fastbrowsersearch.com
[HKLM\Software\MozillaPlugins\@viewpoint.com/VMP]
[HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\ViewpointMediaPlayer]
[HKLM\Software\Classes\axmetastream.metastreamctl]
[HKLM\Software\Classes\axmetastream.metastreamctl.1]
[HKLM\Software\Classes\AxMetaStream.MetaStreamCtlSecondary]
[HKLM\Software\Classes\AxMetaStream.MetaStreamCtlSecondary.1]
[HKLM\Software\Classes\Conduit.Engine]
[HKLM\Software\Classes\Toolbar.CT2786678]
[HKLM\Software\Classes\urlsearchhook.toolbarurlsearchhook]
[HKLM\Software\Classes\urlsearchhook.toolbarurlsearchhook.1]
[HKLM\Software\Classes\AppID\{BDB69379-802F-4eaf-B541-F8DE92DD98DB}]
[HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Application\HssSrv]
[HKLM\Software\MetaStream]
[HKCU\Software\AppDataLow\Software\Toolbar]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ViewpointMediaPlayer]
[HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]:{D4027C7F-154A-4066-A1AD-4243D8127440}
C:\Program Files\Ask.com
C:\Users\d\AppData\LocalLow\Conduit
FirewallRaz
EmptyFlash
Emptytemp

Puis Lance ZHPFix depuis le raccourci du bureau.

Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse

-> laisse travailler l'outil et ne touche à rien ...

Une fois terminée, un nouveau rapport s'affiche : copie/colle le contenu de ce dernier dans ta prochaine réponse ...

(ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ZHPFixReport.txt)

Important : s'il t'est demandé de redémarrer le PC pour finir le nettoyage, fais le de suite !

Ensuite::


Installe Malewarebytes' Antimalware,

http://malwarebytes.org/products/malwarebytes_free

Prends bien la version FREE
*** Met-le à jour puis choisi, Exécuter un examen complet

*** Si une infection est trouvée, coche la case a coté et valides avec l’Onglet Supprimer la sélection

Poste le rapport final.

EDIT c'est toi qui as mis se server en service?
O17 - HKLM\System\CCS\Services\Tcpip\..\{0832CD96-1ABA-4CE2-AEBB-5024AE098DCB}: DhcpNameServer = 10.43.72.1

[davido76]

Merci pour ta reponse voici le premier rapport :

Rapport de ZHPFix 1.12.3362 par Nicolas Coolman, Update du 23/09/2011
Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-03-10-2011-20-37-10.txt
Run by d at 03/10/2011 20:37:10
Windows Vista Home Basic Edition, 32-bit Service Pack 2 (Build 6002)
Web site : http://www.premiumorange.com/zeb-help-p ... hpfix.html

========== Logiciel(s) ==========
SUPPRIME O42 - Logiciel: Java 6 Update 22 - (.Sun Microsystems, Inc..) [HKLM] -- {26A24AE4-039D-4CA4-87B4-2F83216020FF}
SUPPRIME O42 - Logiciel: Java 6 Update 7 - (.Sun Microsystems, Inc..) [HKLM] -- {3248F0A8-6813-11D6-A77B-00B0D0160070}
ABSENT Software Key: O42 - Logiciel: Viewpoint Media Player - (.Pas de propriétaire.) [HKLM] – ViewpointMediaPlayer

========== Clé(s) du Registre ==========
SUPPRIME [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{3248F0A8-6813-11D6-A77B-00B0D0160070}]
SUPPRIME Key: Mozilla Plugin: @viewpoint.com/VMP
ABSENT Trusted Zone: chat-land.org
SUPPRIME Key: HKCU\Software\AppDataLow\Software\toolbar
SUPPRIME Key: HKLM\Software\MetaStream
SUPPRIME Key: HKLM\Software\Viewpoint
ABSENT SearchScopes :{0D7562AE-8EF6-416d-A838-AB665251703A}
SUPPRIME Key: SearchScopes :{BC4FCC57-D312-405C-BAE2-46EDF90F0477}
ABSENT Key: HKLM\Software\MozillaPlugins\@viewpoint.com/VMP
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\ViewpointMediaPlayer
SUPPRIME Key: HKLM\Software\Classes\axmetastream.metastreamctl
SUPPRIME Key: HKLM\Software\Classes\axmetastream.metastreamctl.1
SUPPRIME Key: HKLM\Software\Classes\AxMetaStream.MetaStreamCtlSecondary
SUPPRIME Key: HKLM\Software\Classes\AxMetaStream.MetaStreamCtlSecondary.1
SUPPRIME Key: HKLM\Software\Classes\Conduit.Engine
SUPPRIME Key: HKLM\Software\Classes\Toolbar.CT2786678
SUPPRIME Key: HKLM\Software\Classes\urlsearchhook.toolbarurlsearchhook
SUPPRIME Key: HKLM\Software\Classes\urlsearchhook.toolbarurlsearchhook.1
ABSENT Key: HKLM\Software\Classes\AppID\{BDB69379-802F-4eaf-B541-F8DE92DD98DB}
SUPPRIME Key: HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Application\HssSrv
ABSENT Key: HKCU\Software\AppDataLow\Software\Toolbar
SUPPRIME Key: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ViewpointMediaPlayer

========== Valeur(s) du Registre ==========
SUPPRIME URLSearchHook: {bf7380fa-e3b4-4db2-af3e-9d8783a45bfc}
SUPPRIME RunValue: RTHDBPL
SUPPRIME [HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]:{D4027C7F-154A-4066-A1AD-4243D8127440}
ABSENT Valeur Standard Profile: FirewallRaz :
ABSENT Valeur Domain Profile: FirewallRaz :

========== Elément(s) de donnée du Registre ==========
SUPPRIME R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page
SUPPRIME R0 - HKUS\S-1-5-21-2111069494-4241774342-3773821119-1000\Software\Microsoft\Internet Explorer\Main,Start Page
SUPPRIME R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant
SUPPRIME R1 - HKUS\S-1-5-21-2111069494-4241774342-3773821119-1000\Software\Microsoft\Internet Explorer\Main,SearchMigratedDefaultName
SUPPRIME R1 - HKUS\S-1-5-21-2111069494-4241774342-3773821119-1000\Software\Microsoft\Internet Explorer\Main,SearchMigratedDefaultURL
SUPPRIME Trusted Zone: chat-land.org

========== Dossier(s) ==========
SUPPRIME Folder: C:\Program Files\Ask.com
SUPPRIME Folder: C:\Users\d\AppData\Local\{F2B7BFE3-642E-46DF-B8A6-DABC7171856D}
SUPPRIME Folder: c:\users\d\appdata\locallow\conduit
SUPPRIME Flash Cookies: 7
SUPPRIME Temporaires Windows: : 76

========== Fichier(s) ==========
ABSENT Folder/File: c:\users\d\appdata\roaming\mozilla\firefox\profiles\eyugnr92.default\user.js (.not file.)
SUPPRIME File: c:\program files\viewpoint\viewpoint experience technology\npviewpoint.dll
ABSENT File: c:\windows\temp\faf1.tmp
ABSENT Folder/File: c:\program files\ask.com
SUPPRIME Flash Cookies: 0
SUPPRIME Temporaires Windows: : 217

========== Tache planifiée ==========
SUPPRIME Task: {EB76EB92-FA81-4510-8F9D-8F0EF2FBE8CA}


========== Récapitulatif ==========
22 : Clé(s) du Registre
5 : Valeur(s) du Registre
6 : Elément(s) de donnée du Registre
5 : Dossier(s)
6 : Fichier(s)
3 : Logiciel(s)
1 : Tache planifiée


End of clean in 07mn 24s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 03/10/2011 17:52:54 [508]
C:\ZHP\ZHPFix[R2].txt - 03/10/2011 20:37:10 [4256]

[davido76]

EDIT c'est toi qui as mis se server en service?
O17 - HKLM\System\CCS\Services\Tcpip\..\{0832CD96-1ABA-4CE2-AEBB-5024AE098DCB}: DhcpNameServer = 10.43.72.1

Je ne sais pas ce que c'est mais ce n'est surement pas qui a mis un serveur en route ,je pense pas !!!

Je fais la suite....

[bernard53]

EDIT c'est toi qui as mis se server en service?
O17 - HKLM\System\CCS\Services\Tcpip\..\{0832CD96-1ABA-4CE2-AEBB-5024AE098DCB}: DhcpNameServer = 10.43.72.1

Je ne sais pas ce que c'est mais ce n'est surement pas qui a mis un serveur en route ,je pense pas !!!

Je fais la suite....

Vérifies ceci alors s.t.p et dis moi le résultat


- Désactivez le proxy ajouté par l'infection pour cela :

- Sur Firefox, Outils /Options puis onglet Avancés.
- Cliquez sur Réseau et Paramètres.
- Choisissez "Pas de Proxy".

- Sur Internet Explorer , c'est le menu Outils / Options Internet.
- Onglet Connexions puis Paramètres réseau--> désactiver le proxy.

Vérifier que la case "Détecter automatiquement les paramètres de connections" soit cochée.
Redémarrez l'ordinateur.

[davido76]

ok,
J'ai fait les manips mais j'attends la fin du scan de anti-malware

[bernard53]

ok,
J'ai fait les manips mais j'attends la fin du scan de anti-malware

OUi attends la fin du scan.

[davido76]

voilà c'est fait :

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 7858

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.19120

03/10/2011 21:59:55
mbam-log-2011-10-03 (21-59-55).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 340148
Temps écoulé: 1 heure(s), 15 minute(s), 3 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

[davido76]

Bon, je vais me coucher, je te donne rendez vous demain pour la suite si tu veux bien.

A demain !!

[davido76]

Bonjour,

Suis de retour pour la suite des evenements !!!!

[davido76]

toujours présent s'il y a encore des problèmes à régler

[davido76]

ok,
J'ai fait les manips mais j'attends la fin du scan de anti-malware

OUi attends la fin du scan.

Salut,
y-a-t-il autre chose à faire ensuite ? s-t-p
Merci

[bernard53]

ok pour MalwaresBytes

Tu as regardé pour les proxy?

[davido76]

Pour les proxys, j'ai fait comme tu m'as dit pour firerFox et internet explorer que je ne me sert jamais mais la ligne est toujours présente sur ZHPDiag

[bernard53]

Pour les proxys, j'ai fait comme tu m'as dit pour firerFox et internet explorer que je ne me sert jamais mais la ligne est toujours présente sur ZHPDiag

fait ceci alors pour les lignes.


* Copie le tout le texte présent dans l'encadré ci-dessous (tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C)

O17 - HKLM\System\CCS\Services\Tcpip\..\{0832CD96-1ABA-4CE2-AEBB-5024AE098DCB}: DhcpNameServer = 10.43.72.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{0832CD96-1ABA-4CE2-AEBB-5024AE098DCB}: DhcpNameServer = 10.43.72.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{0832CD96-1ABA-4CE2-AEBB-5024AE098DCB}: DhcpNameServer = 10.43.72.1
FirewallRaz
EmptyFlash
Emptytemp

Puis Lance ZHPFix depuis le raccourci du bureau.

Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse

-> laisse travailler l'outil et ne touche à rien ...

Une fois terminée, un nouveau rapport s'affiche : copie/colle le contenu de ce dernier dans ta prochaine réponse ...

(ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ZHPFixReport.txt)

Important : s'il t'est demandé de redémarrer le PC pour finir le nettoyage, fais le de suite !