probleme supression fichiers infectés avec AVG

[raskaline]

bonsoir et merci surtout

voici le premier log ( par contre je n'ai pas trouvé donc verifier les cases dont vous me parliez ( Vérifier que Unregister Dll's and Ocx's soit coché.)

 

 

All processes killed

 

========== PROCESSES ==========

========== FILES ==========

========== SERVICES/DRIVERS ==========

========== REGISTRY ==========

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{500BCA15-57A7-4eaf-8143-8C619470B13D}\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{500BCA15-57A7-4eaf-8143-8C619470B13D}\ not found.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{500BCA15-57A7-4eaf-8143-8C619470B13D}\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{500BCA15-57A7-4eaf-8143-8C619470B13D}\ not found.

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: All Users

 

User: Default

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 33170 bytes

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

User: Public

 

User: Rogemont

->Temp folder emptied: 70766700 bytes

->Temporary Internet Files folder emptied: 3454298 bytes

->Java cache emptied: 14362992 bytes

->FireFox cache emptied: 97054590 bytes

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 0 bytes

Windows Temp folder emptied: 1192 bytes

%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 0 bytes

%systemroot%\system32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 196814 bytes

%systemroot%\system32\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment folder emptied: 743 bytes

RecycleBin emptied: 0 bytes

 

Total Files Cleaned = 177,00 mb

 

 

OTM by OldTimer - Version 3.1.4.0 log created on 01042010_184017

[raskaline]

recherche :

 

############################## | UsbFix V6.070 |

 

User : Rogemont (Administrateurs) # ORDINATOUR

Update on 03/01/2010 by El Desaparecido , C_XX & Chimay8

Start at: 19:21:38 | 04/01/2010

Website : http://pagesperso-orange.fr/NosTools/index.html

Contact : FindyKill.Contact@gmail.com

 

Intel® Pentium® Dual CPU T3400 @ 2.16GHz

Microsoft® Windows Vista™ Édition Familiale Premium (6.0.6002 32-bit) # Service Pack 2

Internet Explorer 8.0.6001.18865

Windows Firewall Status : Disabled

 

C:\ -> Disque fixe local # 149,05 Go (12,81 Go free) [ACER] # NTFS

D:\ -> Disque CD-ROM

E:\ -> Disque CD-ROM

F:\ -> Disque CD-ROM

 

############################## | Processus actifs |

 

C:\Windows\System32\smss.exe 592

C:\Windows\system32\csrss.exe 660

C:\Windows\system32\wininit.exe 712

C:\Windows\system32\csrss.exe 724

C:\Windows\system32\services.exe 768

C:\Windows\system32\lsass.exe 780

C:\Windows\system32\lsm.exe 788

C:\Windows\system32\winlogon.exe 956

C:\Windows\system32\svchost.exe 1044

C:\Windows\system32\nvvsvc.exe 1088

C:\Windows\system32\svchost.exe 1120

C:\Windows\System32\svchost.exe 1164

C:\Windows\System32\svchost.exe 1320

C:\Windows\System32\svchost.exe 1356

C:\Windows\system32\svchost.exe 1408

C:\Windows\system32\svchost.exe 1508

C:\Windows\system32\SLsvc.exe 1532

C:\Windows\system32\svchost.exe 1588

C:\Windows\system32\svchost.exe 1808

C:\Windows\system32\Dwm.exe 1984

C:\Windows\system32\runonce.exe 608

C:\Windows\System32\spoolsv.exe 708

C:\Windows\system32\svchost.exe 1524

C:\Windows\system32\conime.exe 1672

C:\Windows\system32\taskeng.exe 1596

C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe 2164

C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe 2184

C:\PROGRA~1\AVG\AVG8\avgfws8.exe 2224

C:\Program Files\Bonjour\mDNSResponder.exe 2256

C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe 2280

C:\Windows\system32\taskeng.exe 2292

C:\Program Files\Acer Arcade Deluxe\HomeMedia\Kernel\DMP\CLHNService.exe 2384

C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSService.exe 2448

C:\PROGRA~1\AVG\AVG8\avgam.exe 2556

C:\PROGRA~1\AVG\AVG8\avgrsx.exe 2568

C:\PROGRA~1\AVG\AVG8\avgnsx.exe 2584

C:\Program Files\Acer\Empowering Technology\Service\ETService.exe 2740

C:\Program Files\Common Files\LightScribe\LSSrvc.exe 2988

C:\Acer\Mobility Center\MobilityService.exe 3040

C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe 3112

C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe 3264

C:\Program Files\Cyberlink\Shared files\RichVideo.exe 3296

C:\Program Files\Acer\Acer VCM\RS_Service.exe 3316

C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe 3352

C:\Windows\system32\svchost.exe 3364

C:\Windows\System32\TUProgSt.exe 3392

C:\Windows\System32\svchost.exe 3464

C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE 3500

C:\Windows\system32\DRIVERS\xaudio.exe 3552

C:\PROGRA~1\AVG\AVG8\avgemc.exe 3580

C:\Program Files\Intel\Intel Matrix Storage Manager\IAANTMon.exe 3612

C:\Program Files\AVG\AVG8\avgcsrvx.exe 3708

C:\Windows\system32\wbem\wmiprvse.exe 3908

C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe 2868

C:\Windows\explorer.exe 4048

C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE 2440

C:\Windows\system32\wbem\unsecapp.exe 2264

C:\Program Files\Mozilla Firefox\firefox.exe 3020

C:\Windows\system32\NOTEPAD.EXE 156

C:\Windows\system32\svchost.exe 2928

C:\Windows\system32\taskeng.exe 2684

C:\Windows\system32\wbem\wmiprvse.exe 1704

 

################## | Elements infectieux |

 

 

################## | Registre |

 

 

################## | Mountpoints2 |

 

################## | Cracks > Keygens > Serials |

 

"C:\Users\Rogemont\Downloads\Webcam Max 5.0.3.8\tRUE's.Crack.exe"

06/07/2008 22:22 |Size 390144 |Crc32 2a2e164c |Md5 50b02b1498b6d5f00573940a6969d388

 

"C:\Users\Rogemont\Downloads\Webcam Max 5.0.3.8\WebcamMax.v5.0.3.8.MultiLanguage.Crack-tRUE.zip"

-> Contain : tRUE's.Crack.exe

 

 

################## | ! Fin du rapport # UsbFix V6.070 ! |

 

 

suppression :

 

 

############################## | UsbFix V6.070 |

 

User : Rogemont (Administrateurs) # ORDINATOUR

Update on 03/01/2010 by El Desaparecido , C_XX & Chimay8

Start at: 19:05:08 | 04/01/2010

Website : http://pagesperso-orange.fr/NosTools/index.html

Contact : FindyKill.Contact@gmail.com

 

Intel® Pentium® Dual CPU T3400 @ 2.16GHz

Microsoft® Windows Vista™ Édition Familiale Premium (6.0.6002 32-bit) # Service Pack 2

Internet Explorer 8.0.6001.18865

Windows Firewall Status : Disabled

 

C:\ -> Disque fixe local # 149,05 Go (13,05 Go free) [ACER] # NTFS

D:\ -> Disque CD-ROM

E:\ -> Disque CD-ROM

F:\ -> Disque CD-ROM

 

############################## | Processus actifs |

 

C:\Windows\System32\smss.exe 592

C:\Windows\system32\csrss.exe 660

C:\Windows\system32\wininit.exe 712

C:\Windows\system32\csrss.exe 724

C:\Windows\system32\services.exe 768

C:\Windows\system32\lsass.exe 780

C:\Windows\system32\lsm.exe 788

C:\Windows\system32\winlogon.exe 956

C:\Windows\system32\svchost.exe 1044

C:\Windows\system32\nvvsvc.exe 1088

C:\Windows\system32\svchost.exe 1120

C:\Windows\System32\svchost.exe 1164

C:\Windows\system32\LogonUI.exe 1268

C:\Windows\System32\svchost.exe 1320

C:\Windows\System32\svchost.exe 1356

C:\Windows\system32\svchost.exe 1408

C:\Windows\system32\svchost.exe 1508

C:\Windows\system32\SLsvc.exe 1532

C:\Windows\system32\svchost.exe 1588

C:\Windows\system32\rundll32.exe 1636

C:\Windows\system32\svchost.exe 1808

C:\Windows\system32\Dwm.exe 1984

C:\Windows\Explorer.EXE 248

C:\Windows\system32\runonce.exe 608

C:\Windows\System32\spoolsv.exe 708

C:\Windows\system32\svchost.exe 1524

C:\Windows\system32\conime.exe 1672

C:\Windows\system32\taskeng.exe 1596

C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe 2164

C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe 2184

C:\PROGRA~1\AVG\AVG8\avgfws8.exe 2224

C:\Program Files\Bonjour\mDNSResponder.exe 2256

C:\Program Files\NewTech Infosystems\NTI Backup Now 5\Client\Agentsvc.exe 2280

C:\Windows\system32\taskeng.exe 2292

C:\Program Files\Acer Arcade Deluxe\HomeMedia\Kernel\DMP\CLHNService.exe 2384

C:\Program Files\Acer\Empowering Technology\eDataSecurity\x86\eDSService.exe 2448

C:\PROGRA~1\AVG\AVG8\avgam.exe 2556

C:\PROGRA~1\AVG\AVG8\avgrsx.exe 2568

C:\PROGRA~1\AVG\AVG8\avgnsx.exe 2584

C:\Program Files\Acer\Empowering Technology\Service\ETService.exe 2740

C:\Program Files\Common Files\LightScribe\LSSrvc.exe 2988

C:\Acer\Mobility Center\MobilityService.exe 3040

C:\Program Files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe 3112

C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe 3264

C:\Program Files\Cyberlink\Shared files\RichVideo.exe 3296

C:\Program Files\Acer\Acer VCM\RS_Service.exe 3316

C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe 3352

C:\Windows\system32\svchost.exe 3364

C:\Windows\System32\TUProgSt.exe 3392

C:\Windows\System32\svchost.exe 3464

C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE 3500

C:\Windows\system32\DRIVERS\xaudio.exe 3552

C:\PROGRA~1\AVG\AVG8\avgemc.exe 3580

C:\Program Files\Intel\Intel Matrix Storage Manager\IAANTMon.exe 3612

C:\Program Files\AVG\AVG8\avgcsrvx.exe 3708

C:\Windows\system32\wbem\wmiprvse.exe 3908

C:\Windows\system32\wbem\wmiprvse.exe 3988

C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe 2868

 

################## | Elements infectieux |

 

Supprimé ! C:\$Recycle.Bin\S-1-5-21-510999266-2813784515-989753904-1000

 

################## | Registre |

 

Supprimé ! [HKCU\SOFTWARE\NordBull]

Supprimé ! [HKCU\SOFTWARE\PopRock]

Supprimé ! [HKLM\software\microsoft\shared tools\msconfig\startupreg\PopRock]

 

################## | Mountpoints2 |

 

Supprimé ! HKCU\...\Explorer\MountPoints2\{3f20a694-a87d-11de-aaac-00238b48d06c}\Shell\AutoRun\Command

Supprimé ! HKCU\...\Explorer\MountPoints2\{3f20a69a-a87d-11de-aaac-00238b48d06c}\Shell\AutoRun\Command

Supprimé ! HKCU\...\Explorer\MountPoints2\{f029d09d-769e-11de-b6f8-806e6f6e6963}\Shell\AutoRun\Command

 

################## | Listing des fichiers présent |

 

[18/09/2006 22:43|--a------|24] C:\autoexec.bat

[11/04/2009 07:36|-rahs----|333257] C:\bootmgr

[18/09/2006 22:43|--a------|10] C:\config.sys

[19/08/2009 00:44|-rahs----|0] C:\IO.SYS

[19/08/2009 00:44|-rahs----|0] C:\MSDOS.SYS

[?|?|?] C:\pagefile.sys

[04/01/2010 19:07|--a------|4413] C:\UsbFix.txt

 

################## | Vaccination |

 

# C:\autorun.inf -> Dossier créé par UsbFix.

 

################## | Crack > Keygen > Serial |

 

"C:\Users\Rogemont\Downloads\Webcam Max 5.0.3.8\tRUE's.Crack.exe"

06/07/2008 22:22 |Size 390144 |Crc32 2a2e164c |Md5 50b02b1498b6d5f00573940a6969d388

 

"C:\Users\Rogemont\Downloads\Webcam Max 5.0.3.8\WebcamMax.v5.0.3.8.MultiLanguage.Crack-tRUE.zip"

-> Contain : tRUE's.Crack.exe

 

 

################## | Upload |

 

Veuillez envoyer le fichier : C:\Users\Rogemont\Desktop\UsbFix_Upload_Me_ORDINATOUR.zip : http://chiquitine.changelog.fr/Sample/Upload.php

Merci pour votre contribution .

[pear]

Bonsoir,

 

Comment se comporte le pc ?

Encore un souci ?

[raskaline]

Bonsoir,

Je viens de refaire une analyse AVG, il me trouve les deux rootkits (qui ont encore changé de noms) infectés dans le dossier system32/drivers (hidden driver) qui sont toujours impossible a supprimé

Par contre je n'ai plus le soucis de l'espace qui descendait a vitesse éclaire depuis hier soir, cela n'est pas arrivé a chaque fois que j'allumais mon PC mais seulement que quelques fois, sans trop que je comprenne pourquoi.

 

Je vous remercie de votre aide

 

Aline

[pear]

Bonjour,

 

Poste de travail->Outils ->Options des dossiers ->Affichage

Cocher "Afficher les dossiers cachés"

Décocher" Masquer les extension des fichiers dont le type est connus "ainsi que "Masquer les fichiers protégés du système d exploitation"

--> un message dit que cela peut endommager le système, ne pas en tenir compte, valider par oui.

 

 

Rendez vous à cette addresse:

 

Cliquez sur parcourir pour trouver ce fichier:

C:\Users\Rogemont\AppData\Local\Temp\pxlyquod.sys

et cliquez sur "envoyer le fichier"

Copiez /collez la réponse dans votre prochain message.

 

Note: il peut arriver que le fichier ait déjà été analysé. Si c'est le cas, cliquez sur le bouton Reanalyse file now

 

Désinstallez Mbam, s'il est installé

Téléchargez MBAM

 

[branchez tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)

Si vous utilisez Spybot

Pour désactiver TeaTimer qui ne set à rien et peut faire échouer une désinfection:!

Afficher d'abord le Mode Avancé dans SpyBot

->Options Avancées :

- >menu Mode, Mode Avancé.

Une colonne de menus apparaît dans la partie gauche :

- >cliquer sur Outils,

- >cliquer sur Résident,

Dans Résident :

- >décocher Résident "TeaTimer" pour le désactiver.

* Double cliquez sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation.

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update et Launch soient cochées

MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue..

* Dans l'onglet "mise à jour", cliquez sur le bouton Recherche de mise à jour:

Si le pare-feu demande l'autorisation à MBAM de se connecter, acceptez.

* Une fois la mise à jour terminée, allez dans l'onglet Recherche.

* Sélectionnez "Exécuter un examen rapide"

* Cliquez sur "Rechercher"

* .L' analyse prendra un certain temps, soyez patient !

* A la fin , un message affichera :

L'examen s'est terminé normalement.

 

*Si MBAM n'a rien trouvé, il le dira aussi.

Cliquez sur "Ok" pour poursuivre.

*Fermez les navigateurs.

Cliquez sur Afficher les résultats .

 

*Sélectionnez tout et cliquez sur Supprimer la sélection ,

MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

puis ouvrir le Bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

* Copiez-collez ce rapport dans la prochaine réponse.

Modifié le 5 janvier 2010 par pear

[raskaline]

bonjour, alors, je vous envoi un message avant de continuer car j'ai quelques petits soucis.

 

Pour ceci :

Poste de travail->Outils ->Options des dossiers ->Affichage

Cocher "Afficher les dossiers cachés"

Décocher" Masquer les extension des fichiers dont le type est connus "ainsi que "Masquer les fichiers protégés du système d exploitation"

--> un message dit que cela peut endommager le système, ne pas en tenir compte, valider par oui.

Car les cases a coché et décoché étaient dejà comme vous me le demandez, donc aucun message d'avertissement.

 

et :

 

Rendez vous à cette addresse:

 

Cliquez sur parcourir pour trouver ce fichier:

C:\Users\Rogemont\AppData\Local\Temp\pxlyquod.sys

et cliquez sur "envoyer le fichier"

Copiez /collez la réponse dans votre prochain message.

 

Note: il peut arriver que le fichier ait déjà été analysé. Si c'est le cas, cliquez sur le bouton Reanalyse file now

 

 

 

 

Alors là je ne trouve pas du tout le fichier, même en faisant un recherche avec l' explorateur windows.

 

donc ensuite vu que je n'utilisait pas spybot search and destroy, je l'ai télécharger ésperant que lui puisse faire quelque chose, après analyse, il me détecte plusieurs éléments, je vous donne (je ne sais pas si il existe un fichier log avec ce logiciel) ceux qu'il n'a pas reussi a supprimé

 

Smitfraud-C. ( 4 éléments malwareC )

 

Win32.BHO.SX ( 2 éléments trojans )

 

Win32.FraudLoad.edt ( 1 élément malware )

[pear]

Je ne vous ai pas demandé Spybot , qui est totalement dépassé, mais Mbam.

 

Pour le reste, s'agissant d'un fichier temporaire, ce n'est pas grave.

 

Téléchargez TFC par OldTimer sur votre Bureau

Faites un double clic sur TFC.exe pour le lancer.

Sous Vista, faites un clic droit sur le fichier et choisissez Exécuter en tant qu'Administrateur

L'outil va fermer tous les programmes lors de son exécution, donc vérifiez que vous avez sauvegardé tout votre travail en cours auparavant.

Cliquez sur le bouton Start pour lancer le processus.

Selon la fréquence à laquelle vous supprimez vos fichiers temporaires, cela peut durer de quelques secondes à une minute ou deux.

Laissez le programme s'exécuter sans l'interrompre.

Lorsqu'il aura terminé, l'outil devrait faire redémarrer votre systèmepour parachever le nettoyage..

S'il ne le faisait pas,faites redémarrer manuellement le PC

 

Postez le rapport Mbam, avec vos commentaires.

[raskaline]

bonjour et désolé pour le temps de réponse,

voila j'ai fais ce que vous m'aviez demandez et aujourd'hui Mbam ne trouve plus rien!

Par contre après une analyse d'avg, il détecte toujours un rootkits dans le dossier windows/system32/drivers qui a encore changer de nom.

 

j'airais aimé savoir, quel logiciel recommandez vous, et compatibles , pour la protection de l'ordinateur, j'utilisais spybot search and detroy, mais après avoir lu votre message, je l'ai supprimé, et ai télécharger tune up utilites 2010, ainsi que Mbam, je ne sais pas trop quels sont leurs particularités

 

merci de votre réponse

 

aline

[pear]

Bonsoir,

TUneup , pour autant que je le sache est un tweaker, par contre Malewre'sbytes est le meilleur antispywre actuel.

 

Scan en ligne

NOTE: Le scan en ligne sera à faire avec Internet Explorer.

Désactiver l'antivirus actuel

 

Notez que ce scan examine , mais ne désinfecte pas

Kaspersky

Sous Vista,il faut désactiver l'UAC, et cliquer droit sur Internet Explorer / Exécuter en tant qu'administrateur et coller l'URL de Kaspersky

http://www.kaspersky.com/kos/eng/partner/d...kavwebscan.html

Vider la corbeille.

* Cliquer sur Accept

* Une barre jaune va demander d'accepter l'installation de Kavwebscan_Unicode.cab, installer l'Active X.

* cliquer une nouvelle fois sur "Accept"

* Les bases de mises à jour vont s'installer, patienter un moment

* Cliquer sur Next.

* Cliquer sur My Computer, le scan se met en route;

attendre la fin du scan sans fermer la fenêtre sinon il s'arrêtera.

A la fin du scan, si des objets infectés sont découverts, cliquer sur Save report as...

Choisir bureau et nommer le rapport "rapport Kaspersky" et dans le champ d'enregistrement, choisir "fichiers texte" enregistrer le rapport.

Copier/coller l'entièreté du fichier texte ouvert, par clic droit dessus, sélectionner tout/copier.

Coller ce rapport dans la réponse sur le forum.

 

[raskaline]

Bonsoir,

Je rencontre un soucis, pour accéder au test kapersky, il faut le logiciel Java Version 6 , seulement lors de l'installation, il me dit qu'il y a un problème :

Le programme d'installation ne peut pas s'exécuter avec les paramètres de connexion internet actuels. pour plus d'informations, visitez le site web suivant : http://java.com/fr/download/help , j'ai beau chercher je ne trouve pas mon "problème".

 

Je suis vraiment désolé je vous remercie de votre aide et je comprendrais que vous abandonniez!!

 

aline