Virus pour écran noir?

Sergio051979 · le 25 mai 2009

Bonjour à vous,

C'est mon premier post sur Zebulon, et c'est pour vous demander de l'aide (pas top, je vous l'accorde), mais bon... je suis dans l'embarras.

Cete après-midi, ma fiancée travail sur l'ordinateur et tout d'un coup, l'écran se brouille et s'éteint tout de suite après (le bouton de veille se met en couleur orange), la tour, elle, continue à tourner.

Elle éteint et rallume... elle entend effectivement que windows se lance (petit jingle standard) mais l'écran quant à lui reste en veille.

En rentrant, j'essaie moi aussi (c'est pas que je n'avais pas confiance, mais je voulais voir les symptômes ), vérifie les branchements, mais tout semble correcte. J'ai eu l'occasion au travail (no comment ) de checker certains de vos postes pour vérifier si cet incident existait déjà. Apparement, oui.

J'ai donc allumé mon PC en passant par le BIOS (F8) et j'ai réussi à entrer malgré un écran tout à fait saccadé (des ligne de pointillés faisant comme des petits miroires des fenêtres ouvertes (c'est d'ailleur un cauchemard pour vous écrire ou lire les postes - paradoxallement, les banners publicitaires ne sont pas impactés par le problème de visibilité)

J'ai effectué un scan avancé de mon ordi via Mc Afee (le rapport ne fait aucun signe de virus, fichiers corrompus ou autre)et fait un scan via Hijack (le résultats après mon introduction).

Donc, cela pourrait être tellement de chose: mon écran, ma carte graphique ou (à croire les quelques postes existants) un trojan.

Ne touchant pas grand chose en PC (mais ne demandant qu'à apprendre), pourriez-vous m'aider... siouplé, siouplééééééééééééééééééé

parce que là,... ben je panique un petit peu

logs Hijack:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 21:34:36, on 25/05/2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Program Files\Bonjour\mDNSResponder.exe

C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe

c:\PROGRA~1\COMMON~1\mcafee\mna\mcnasvc.exe

c:\PROGRA~1\COMMON~1\mcafee\mcproxy\mcproxy.exe

C:\PROGRA~1\McAfee\VIRUSS~1\mcshield.exe

C:\Program Files\McAfee\MPF\MPFSrv.exe

C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Analog Devices\SoundMAX\SMTray.exe

C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe

C:\Program Files\McAfee.com\Agent\mcagent.exe

C:\Program Files\TomTom HOME\TomTomHOME.exe

C:\Program Files\Common Files\Real\Update_OB\realsched.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE

C:\Program Files\Sony\Sony Picture Utility\VolumeWatcher\SPUVolumeWatcher.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\wuauclt.exe

C:\PROGRA~1\McAfee\VIRUSS~1\mcsysmon.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll

O2 - BHO: scriptproxy - {7DB2D5A0-7241-4E79-B68D-6309F01C5231} - c:\PROGRA~1\mcafee\VIRUSS~1\scriptsn.dll

O4 - HKLM\..\Run: [smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe

O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"

O4 - HKLM\..\Run: [mcagent_exe] "C:\Program Files\McAfee.com\Agent\mcagent.exe" /runkey

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [TomTomHOME.exe] "C:\Program Files\TomTom HOME\TomTomHOME.exe" -s

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [softwareHelper] C:\Documents and Settings\Administrator\Application Data\eoRezo\SoftwareUpdate\SoftwareUpdateHP.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - Startup: OneNote 2007 Screen Clipper and Launcher.lnk = C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE

O4 - Startup: Outil de détection de support de Cyber-shot Viewer.lnk = C:\Program Files\Sony\Sony Picture Utility\VolumeWatcher\SPUVolumeWatcher.exe

O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000

O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: S&end to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files\Microsoft Office\Office12\GrooveSystemServices.dll

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: Bonjour Service - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: iPod Service - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: McAfee Services (mcmscsvc) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe

O23 - Service: McAfee Network Agent (McNASvc) - McAfee, Inc. - c:\PROGRA~1\COMMON~1\mcafee\mna\mcnasvc.exe

O23 - Service: McAfee Scanner (McODS) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcods.exe

O23 - Service: McAfee Proxy Service (McProxy) - McAfee, Inc. - c:\PROGRA~1\COMMON~1\mcafee\mcproxy\mcproxy.exe

O23 - Service: McAfee Real-time Scanner (McShield) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcshield.exe

O23 - Service: McAfee SystemGuards (McSysmon) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcsysmon.exe

O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee, Inc. - C:\Program Files\McAfee\MPF\MPFSrv.exe

O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe

--

End of file - 5700 bytes

Bien à vous,

Sergio

Apollo · le 25 mai 2009

Bonsoir,

il y a bien une infection visible mais cela ne peut pas engendrer ce genre de souci qui ressemble plutôt à un problème hardware (pilote carte graphique?) Ce n'est guère mon doamine mais on va chercher un peu ici.

OTMOVEIT 3

Télécharge OTMoveIt3 de OldTimer sur ton Bureau en cliquant sur ce lien:

OtMoveIt3

Double-clique sur OTMoveIt3.exe pour le lancer (l'extension .exe peut ne pas apparaître)

---> sous VISTA: clic droit: exécuter en temps qu'administrateur.

Vérifie que la case Unregister Dll's and OCX's.exe soit bien cochée!

Copie l'entièreté du code ci-dessous (depuis :Processes)

:Processes

explorer.exe

:Files
c:\documents and settings\administrator\application data\eorezo


:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"SoftwareHelper"=-


:Commands
[purity]
[emptytemp]
[start explorer]
[reboot]

Colle ce code dans la partie jaune de OtMoveIt3 intitulée:
"Paste Instructions for Items to be Moved"
Clique sur le bouton Moveit! pour lancer le nettoyage:
Copie-colle dans ta prochaine réponse tout ce qui se trouve dans la fenêtre Results
--> Un rapport sera généré dans le dossier C:\ _OTMoveIt\MovedFiles avec la date et l'heure du passage de l'outil (mmddyyyy_hhmmss.log)
Ferme OTMoveIt3 en cliquant sur Exit:

Note : Si un fichier ou un dossier ne peut être supprimé directement, l'outil peut demander un redémarrage pour terminer le processus. Clique alors sur "Yes" pour accepter.

=============

Après le reboot et la fin du travail d'OtMoveIt, poste son rapport puis lance une analyse d'abord rapide.

Télécharge Malwarebytes' Anti-Malware (MBAM)

Si le lien ne fonctionne pas, télécharger ICI

Ce logiciel est à garder, il rendra encore de grands services!

Uniquement en cas de problème de mise à jour:

Télécharger mises à jour MBAM

Mises à jour + récentes pour MBAM

Exécute le fichier après l'installation de MBAM

Connecter les supports amovibles (clés usb etc.) avant de lancer l'analyse.

Double clique sur le fichier téléchargé pour lancer le processus d'installation.
Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
Sélectionne "Exécuter un examen rapide"
Clique sur "Rechercher"
L'analyse démarre, le scan est relativement long, c'est normal.
A la fin de l'analyse, un message s'affiche :
L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.
Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
Ferme tes navigateurs.
Si des malwares ont été détectés, clique sur Afficher les résultats.
Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

Si MBAM demande à redémarrer le pc, fais-le.

!!! Ne pas vider la quarantaine de MBAM sans avis !!!

Si redémarrage requis, poste un nouveau log Hijackthis après le reboot.

@++

Sergio051979 · le 26 mai 2009

Un grand merci pour ta réponse,... étant de retour au boulot (oui, je sais, je ne bosse pas assez), j'essaierai ton m.o dés que je rentre.

Un grand merci en tout cas et je te tiens au courant.

A ce soir (vers 18h00... qui a dit que je bossais vraiment pas assez ????)

Sergio051979 · le 26 mai 2009

Mais pour mon info:

1. Où vois-tu l'infection?

2. Dans la panique d'hier, j'ai mis quelques photos importantes et quelques documents sur un stick USB, dois-je craindre que les fichiers soient aussi infecter?

et pour votre info:

Je vous jure, je vais bosser maintenant...

Apollo · le 26 mai 2009

Bonjour,

La panique est mauvaise conseillère, coooool!

EoRezo est un rogue et souvent, il installe des moteurs de recherche comme lo.st, eo.st ou y.lo.st et c'est assez emmerdant à nettoyer une fois que c'est incrusté dans un navigateur.

Donc EoRezo est à fuir absolument; il y a les sites des éditeurs originaux pour télécharger les programmes.

Si tu crains une éventuelle infection des supports amovibles, on peut contrôler, désinfecter et vacciner ceux que tu as.

Branche-les et fais cette analyse

Sous Vista:Désactiver provisoirement l'UAC

Télécharge USBFix de C_XX & Chiquitine29 sur ton Bureau.

http://sd-1.archive-host.com/membres/up/12...5653/UsbFix.exe

Double-clique pour l'exécuter. ---> (Sous VISTA: clic droit/exécuter en temps qu'administrateur!)

Le programme va s'installer et un raccourci va se créer sur ton Bureau.

Double-clique sur le raccourci pour exécuter l'outil

Sélectionne 1 puis laisse l'outil travailler

Poste le rapport stp.

@++

Sergio051979 · le 26 mai 2009

tu es mon Docteur House mais je vais commencer par la première étape que tu m'as décrite.

Comme je suis de retour chez moi, j'essaie de t'envoyer le tout maintenant (du moins dans les prochaines minutes)

@+

Apollo · le 26 mai 2009

Re,

Docteur House

Ah ben nan alors!

D'ailleurs si j'avais sa tronche, je ferais un procès à mes parents

@++

Sergio051979 · le 26 mai 2009

t'exagère,... en plus toutes les filles avec qui il sort (dans la série) sont vachement mignonnes...

Voici le rapport OTMOVEIT:

Par contre, quand l'ordi a rebooté, le symtôme principal a ressurgit (l'écran s'est mis en veille et j'ai du le restarter en le rallumer appuyant sur F8

========== PROCESSES ==========

Process explorer.exe killed successfully.

========== FILES ==========

c:\documents and settings\administrator\application data\EoRezo\eoStats moved successfully.

c:\documents and settings\administrator\application data\EoRezo\db moved successfully.

c:\documents and settings\administrator\application data\EoRezo moved successfully.

========== REGISTRY ==========

Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\SoftwareHelper deleted successfully.

========== COMMANDS ==========

User's Temp folder emptied.

User's Internet Explorer cache folder emptied.

File delete failed. C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\XMFK2WT3\ban_728x90[1].htm scheduled to be deleted on reboot.

File delete failed. C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\NO8I16KO\rectangle_300x250[1].htm scheduled to be deleted on reboot.

File delete failed. C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\NO8I16KO\virus-pour-ecran-noir-t163526[1].html&gopid=1386010 scheduled to be deleted on reboot.

File delete failed. C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\M34RJ01C\CAFQ8FBL.fr scheduled to be deleted on reboot.

File delete failed. C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\9KGFXDOH\AP_ADV_728x90[1].htm scheduled to be deleted on reboot.

File delete failed. C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\8Z2ZQ1M1\iframe[1].htm scheduled to be deleted on reboot.

File delete failed. C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\8PWGEIGT\hp[1].htm scheduled to be deleted on reboot.

File delete failed. C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\6Z8NU54B\AP_ADV_300x250[1].htm scheduled to be deleted on reboot.

File delete failed. C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.

User's Temporary Internet Files folder emptied.

Local Service Temp folder emptied.

File delete failed. C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.

Local Service Temporary Internet Files folder emptied.

Network Service Temp folder emptied.

File delete failed. C:\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files\Content.IE5\index.dat scheduled to be deleted on reboot.

Network Service Temporary Internet Files folder emptied.

File delete failed. C:\WINDOWS\temp\mcmsc_cbKdlQKKMSI5uYu scheduled to be deleted on reboot.

File delete failed. C:\WINDOWS\temp\mcmsc_cEwiAaSaU3du3iZ scheduled to be deleted on reboot.

Windows Temp folder emptied.

Temp folders emptied.

Explorer started successfully

OTMoveIt3 by OldTimer - Version 1.0.11.0 log created on 05262009_124021

Files moved on Reboot...

C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\XMFK2WT3\ban_728x90[1].htm moved successfully.

C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\NO8I16KO\rectangle_300x250[1].htm moved successfully.

C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\NO8I16KO\virus-pour-ecran-noir-t163526[1].html&gopid=1386010 moved successfully.

C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\M34RJ01C\CAFQ8FBL.fr moved successfully.

C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\9KGFXDOH\AP_ADV_728x90[1].htm moved successfully.

C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\8Z2ZQ1M1\iframe[1].htm moved successfully.

C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\8PWGEIGT\hp[1].htm moved successfully.

C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\6Z8NU54B\AP_ADV_300x250[1].htm moved successfully.

File C:\WINDOWS\temp\mcmsc_cbKdlQKKMSI5uYu not found!

File C:\WINDOWS\temp\mcmsc_cEwiAaSaU3du3iZ not found!

Je vais télécharger malwarebytes.

@+²

Sergio051979 · le 26 mai 2009

bon, le scan est en train de tourner (pour linstant 22000 fichiers ont été scanné et pas d'infection en vue) et moi je dois retourner bosser.

Je te tiens au courant

Encore un grand merci

Sergio051979 · le 26 mai 2009

bon, ben ça vient de terminer... 3 éléments détectés.

je vais faire comme tu dis et je te tiens au courant (mon boss va me tuer )

voilà le rapport... je reboot et je dois y aller... vraiment cette fois-ci

oublier de coller:

Malwarebytes' Anti-Malware 1.36

Version de la base de données: 2180

Windows 5.1.2600 Service Pack 3

26/05/2009 13:02:37

mbam-log-2009-05-26 (13-02-37).txt

Type de recherche: Examen rapide

Eléments examinés: 77591

Temps écoulé: 5 minute(s), 3 second(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 1

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 2

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

Processus mémoire infecté(s):