[Réglé] Infection

[Ask to Old Man]

Bonjour à tous,

PS : C'est DouDou

Je suis sur le PC de Luther je ne sais pas se qu'elle m'a fait mais c'est du jolie
Alors Nod me trouvais un virus mais impossible de le supprimer, je le désinstalle et installe Avast idem, il ne me supprime rien sur un scan au démarrage.
J'installe Navilog, il se lance je rentre 1 pour le Français boum il se ferme.
Le net est trés lent, j'ai du télécharger OTL sur un autre PC.

Voici le scan OTL :

Il arrive

[mcvivien2]

Bonjour

On va faire autrement que OTl ..

désinstalle ce dernier .. ensuite tu pourra faire ce qui suit .. Avec ce logiciel de diagnostic de préférence :

Pour commencer,, si tu veux un peu plus d'information concernant les différentes infections que tu peux rencontrer,, savoir comment elle s'installe,, Comment t'en prémunir, ou autre..Tu peux donc lire Ceci :
>-> Cette Page <-<

Puis,, tu peux faire ce qui suit :

Télécharge >-> ZHPDiag <-< ( de Nicolas coolman ).


--> Double clique sur le fichier d'installation (executer en tant qu'administrateur pour VISTA/7), puis installe le avec les paramètres par défaut en n'oubliant pas de cocher " Créer une icône sur le bureau "

* Une fois installer :

--> Double clique (clique droit pour VISTA/7) sur l'icône ZHPDiag présente sur ton bureau

--> Clique sur la loupe en haut à gauche, le scan va se lancer

--> Le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau (ZHPDiag.txt)

--> Le rapport sera aussi sauvegardé dans ce dossier ==> C:\Program files\ZHPDiag

Pour poster le rapport:

--> Rend toi sur Cjoint http://www.cijoint.fr/

--> Clique sur Parcourir dans la partie Sélectionnez le fichier que vous souhaîtez déposer

--> Séléctionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

--> Clique ensuite sur " Cliquez ici pour déposer le fichier ",, Un lien va se former, copie et colle le ici STP

/!\ Héberge bien le rapport via cijoint comme demander;,, sinon il ne passera pas entièrement sur le site /!\

Aide et Tuto : http://forum-fec.net/faq-tutoriel-astuc ... g-t194.htm

P.S : si le lien donner plus haut ne marche pas, Alors télécharge le ici :
ftp://zebulon.fr/ZHPDiag%201.26.exe

Dans l'attente de ton Lien
++

[Luther]

Merci de ta réponse.

Voici le lien du fichier : http://www.cijoint.fr/cjlink.php?file=c ... Lsgg4J.txt

[mcvivien2]

Re

De rien
Effectivement tu est bien infecter

quelle ai le chemin de cette détection par ta suite de sécurité ??

on va commencer par faire ceci :

il y a présence de ASK ..
attention a toujours lire les contrat de licence lors des installation de gratuiciel .. ainsi que de ne jamais accepter d'installer les suppléments , qui sont souvent sujets a infection ..

je t'invite a lire ceci
>-> A savoir sur les toolbar <-<

Télécharge >-> AD-Remover <-< (de C_XX) sur ton Bureau.


(Déconnecte-toi de internet et ferme toutes applications en cours(Le meilleur moyen et de debrancher le cable Ethernet)

--> Lance le programme d'installation, installe-le dans son emplacement par défaut (C:\Program files).
--> Clique droit sur l'icône AD-Remover située sur ton Bureau et choisir exécuter en tant qu'administrateur.(Pour VISTA/7)
--> Au menu principal, choisis l'option Nettoyer.
--> En fin de suppression il se peux qu'il te soit demander de redemarrer ton ordinateur, Accepte
--> Poste le rapport qui sera generer automatiquement au redemarage Stp°.

(Le rapport est sauvegardé aussi sous C:\Ad-Report-Clean.log)


Aide et tuto :==> http://forum-fec.net/faq-tutoriel-f10/t ... t12.htm#12

P.S : Si le lien donner plus haut ne marche pas, telecharge le ->> Ici

dans l'attente de ton rapport
++

[Luther]

Voici le rapport AD-Remover :

Code: Tout sélectionner

======= RAPPORT D'AD-REMOVER 2.0.0.2,B | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 11/11/10 à 11:40
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 11:24:45 le 20/11/2010, Mode normal

Microsoft Windows XP Édition familiale Service Pack 3 (X86)
LAETITIA@PC-LAETITIA ( )
 
============== ACTION(S) ==============


Fichier supprimé: C:\Documents and Settings\LAETITIA\Application Data\Mozilla\FireFox\Profiles\12wmg10p.default\searchplugins\askcom.xml

(!) -- Fichiers temporaires supprimés.


-- Fichier ouvert: C:\Documents and Settings\LAETITIA\Application Data\Mozilla\FireFox\Profiles\12wmg10p.default\Prefs.js --
Ligne supprimée: 
Ligne supprimée: 
Ligne supprimée: user_pref("browser.search.defaultengine", "Ask.com");
Ligne supprimée: user_pref("browser.search.defaultenginename", "Ask.com");
Ligne supprimée: user_pref("browser.search.order.1", "Ask.com");
-- Fichier Fermé --
 

Clé supprimée: HKLM\Software\Classes\Interface\{115CCBAE-27B0-47C3-BA42-BAB708424393}
Clé supprimée: HKLM\Software\Classes\Interface\{813A22E0-3E2B-4188-9BDA-ECA9878B8D48}
Clé supprimée: HKLM\Software\Classes\Interface\{DB885111-F39F-4D88-9EE5-C88460B6DF7B}
Clé supprimée: HKLM\Software\Classes\TypeLib\{937936AF-28CA-4973-B8AE-F250406149A2}
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}


============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.5.15 (fr)] **

-- C:\Documents and Settings\LAETITIA\Application Data\Mozilla\FireFox\Profiles\12wmg10p.default\Prefs.js --
browser.download.lastDir, C:\\Documents and Settings\\LAETITIA\\Bureau
browser.search.selectedEngine, Google
browser.startup.homepage, hxxp://google.fr
browser.startup.homepage_override.mstone, rv:1.9.1.15

========================================

** Internet Explorer Version [7.0.5730.13] **

[HKCU\Software\Microsoft\Internet Explorer\Main]
AutoHide: yes
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\Main]
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 1 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 14 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 20/11/2010 (1038 Octet(s))

Fin à: 11:27:45, 20/11/2010
 
============== E.O.F ==============

Pour les Toolbar plus de Toolbar-SD, AD-remover fait le même travail?

[mcvivien2]

Re

Pour les Toolbar plus de Toolbar-SD, AD-remover fait le même travail?

Effectivement

TBSD n'est plus mis a jour, et ad-remover reprend le changelog complet ...
toolbar S&D n'est donc plus utilisable,, sauf ci il y a bogue de la part de Ad-R

Bien, maintenant :

[x] - Double Clique (Clique droit executer en tant qu'administrateur pour Vista/7) sur ZHPFix présent sur le bureau ou l'icone en forme d'écu dans ZHPDiag

[x] - Copie seulement ce qui est en gras ci-dessous...::

=========================================

[MD5.5E1CE1CD5060FF1D5CA67E058FDE1299] - (.Pas de propri?taire - Pas de description.) -- C:\WINDOWS\system32\qtplugin.exe [559104]
OPT:O4 - HKLM\..\Run: [RegistryMonitor1] . (.Pas de propri?taire - Pas de description.) -- C:\WINDOWS\system32\qtplugin.exe
O44 - LFC:[MD5.B0701663FF3620908840539EA0277EF7] - 20/11/2010 - 11:04:42 ---A- . (.Pas de propri?taire - Pas de description.) -- C:\WINDOWS\System32\dmlconf.dat [16]
O44 - LFC:[MD5.5E1CE1CD5060FF1D5CA67E058FDE1299] - 19/11/2010 - 22:23:14 ---A- . (.Pas de propri?taire - Pas de description.) -- C:\WINDOWS\System32\qtplugin.exe [559104]
[MD5.DEE1D74FEFDA35D98DC39DE70BF214F2] [SPRF] (.Pas de propri?taire - Pas de description.) -- C:\Documents and Settings\LAETITIA\Application Data\avdrn.dat [8]

=========================================


[x] - Clique sur "H" le texte en dessous va disparaitre pour laisser place aux ligne si dessous

[x] - Clique sur OK

[x] - Coche toutes les cases ou clique sur tous puis Nettoyer

[x] - Si un message apparait demandant confirmation pour la suppression alors [Accepte]

[x] - Poste le résultat qui va apparaitre Stp°

Aide Et Tuto : http://www.forum-fec.net/faq-tutoriel-a ... x-t222.htm

Ensuite il faudrait vérifier quelque fichiers :

Rend toi sur ce lien,
http://www.virustotal.com/fr/

->> La ou il et marquer envoyer le fichier, Clic sur "parcourir"
recherche les entrer suivante dans ton disque :

c:\program files\microsoft\watermark.exe

C:\WINDOWS\System32\complete.dat

->> Si une fenetre aparait disant, "Le fichier a deja ete Analyser", Alors clic sur Réanalyser le fichier

->> Copie et colle le lien de ce dernier ici présent dans la barre d'adresse de ton navigateur , après que l'analyse soit terminer STp°


----------------------------------------------------------

Il se peut que les fichier ne sont pas voyant :
Pour les afficher :

--> Rentre dans ton panneau de configuration....
--> Apparence et personnalisation...
--> Option des dossier...(double cliquer dessus)
--> Dans l'onglet affichage un peu plus bas ou il et marquer afficher les dossier et fichier cacher..Active l'option afficher les dossier et fichier cacher...

Ce qui te fait donc, Un rapport, et deux lien a me poster
dans l'attente de ceux-ci
++

[Luther]

Voici le rapport :

Code: Tout sélectionner

Rapport de ZHPFix 1.12.3219 par Nicolas Coolman, Update du 18/11/2010
Fichier d'export Registre : C:\ZHPExportRegistry-20-11-2010-12-05-24.txt
Run by LAETITIA at 20/11/2010 12:05:24
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Processus mémoire ==========
C:\WINDOWS\system32\qtplugin.exe [559104]  => Supprimé et mis en quarantaine

========== Valeur(s) du Registre ==========
O4 - HKLM\..\Run: [RegistryMonitor1] . (.Pas de propri?taire - Pas de description.) -- C:\WINDOWS\system32\qtplugin.exe  => Valeur supprimée avec succès

========== Fichier(s) ==========
c:\windows\system32\dmlconf.dat  => Supprimé et mis en quarantaine
C:\Documents and Settings\LAETITIA\Application Data\avdrn.dat [8]  => Supprimé et mis en quarantaine


========== Récapitulatif ==========
1 : Processus mémoire
1 : Valeur(s) du Registre
2 : Fichier(s)


End of the scan

Pour le fichier du systéme32 voici le lien :
http://www.virustotal.com/file-scan/rep ... 1290251322

Pour le fichier du dossier microsoft, lorsque je fait la manip (send file) il ne fait rien et rien ne se passe.

Edit : J'ai toujours Avast qui détecte : VBS:ExeDropper-gen

[mcvivien2]

Re

ok, pour ce fichier essaye sa :

télécharge et installe ceci :
http://sd-2.archive-host.com/membres/up ... 0Setup.exe

une fois installer ..
Rend toi a l'emplacement voulu puis, clique droit sur ce fichier (watermark.exe)
et Sélectionne :
Envoyer Vers >> Virus Total

tu n'aura plus qu'a attendre la fin du chargement de la page et me poster le lien,

Ensuite :

Télécharge >-> Malwarebyte <-<

--> Lance le programme d'installation et laisse toi guider..
(installe le avec ces paramètres par défaut)

--> Une fois installer ( ouvre le en mode administrateur pour Windows Vista/7 )

--> Clique sur l'onglet mise a jour, et mets le a jour (sinon inefficace),
* Version de la base de données actuelle : Entre 5150 -|- 5160

--> Retourne dans l'onglet recherche, et exécute un examen complet,

--> Tu pourra si infection trouver, cliquer sur Afficher la Sélection Puis >> Effacer la sélection (si redémarrage demander, alors accepte)

--> Âpres le redémarrage, un rapport va se generer, Poste le Ici STP°

P.S : Si le lien plus haut ne fonctionne pas, Télécharge le ici :
http://data-cdn.mbamupdates.com/v0/prog ... p-1.46.exe

Aide et tuto : http://forum-fec.net/faq-tutoriel-f10/t ... -s-t20.htm

Dans l'attente de ton rapport
++

EDIT:: Pourrait tu me donner le chemin complet de cette détection ?
exemple :
C:/...../process.exe

[Luther]

Bonsoir,

Il me dit pareil impossible d'ouvrir le fichier avec Virus Total.
Pour le scan Mbam il a déjà été fait, je refait et supprime tout.

PS : Firefox ne marche plus, je suis sur IE là.

[Luther]

J'ai désinstallé Firefox et réinstaller et tout refonctionne, voici le rapport Mbam, j'ai tout supprimé.

Code: Tout sélectionner

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 5162

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.13

21/11/2010 16:32:39
mbam-log-2010-11-21 (16-32-39).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 219142
Temps écoulé: 2 heure(s), 43 minute(s), 30 seconde(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 2
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 5

Processus mémoire infecté(s):
C:\Documents and Settings\LAETITIA\Menu Démarrer\Programmes\Démarrage\sishzm32.exe (Trojan.Downloader) -> Unloaded process successfully.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Setup\registrymonitor2 (Malware.Trace) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Trojan.Agent) -> Data: c:\program files\microsoft\watermark.exe -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.UserInit) -> Bad: (c:\windows\system32\userinit.exe,,userinit.exe,c:\program files\microsoft\watermark.exe) Good: (userinit.exe) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Program Files\Alwil Software\Avast5\chrome\ChromeInst.exe (Trojan.Startpage) -> Delete on reboot.
C:\Documents and Settings\LAETITIA\Menu Démarrer\Programmes\Démarrage\sishzm32.exe (Trojan.Downloader) -> Delete on reboot.
C:\Program Files\Microsoft\watermark.exe (Trojan.Agent) -> Delete on reboot.
C:\Documents and Settings\LAETITIA\Menu Démarrer\Programmes\Démarrage\chkntfs.exe (Trojan.Downloader) -> Delete on reboot.
C:\Documents and Settings\All Users\Documents\Server\admin.txt (Malware.Trace) -> Quarantined and deleted successfully.

[mcvivien2]

Salut

bie

peut tu vérifier si tu a encore ces fichier

=> C:\Program Files\Alwil Software\Avast5\chrome\ChromeInst.exe

=> C:\Documents and Settings\LAETITIA\Menu Démarrer\Programmes\Démarrage\sishzm32.exe

=> C:\Program Files\Microsoft\watermark.exe

=> C:\Documents and Settings\LAETITIA\Menu Démarrer\Programmes\Démarrage\chkntfs.exe

Bizarre cette histoire de firefox :/

ensuite pour vérification :


Relance un diagnostic avec ZHPdiag,, comme tu la fait précédemment STp°
/!\
N'oublie pas d'héberger le rapport Via Cijoint

Dans l'attente de ton lien

[DouDou9455]

Je regarde ça ce soir!
Plus de messages d'erreur rien en tout cas, je penses que tout est bon.

[mcvivien2]

ok pas de soucis

mais il est important de continuer jusqu'au bout la désinfection
car nous n'avons pas terminer

il nous reste encore quelques procédure
++

[DouDou9455]

Pas de soucis.

[Luther]

Re,

Tout les fichiers cité plus haut ne sont plus présent.

Rapport :

http://www.cijoint.fr/cjlink.php?file=c ... qeoBbm.txt