ordinateur infecté - besoin d'aide SVP

[u44]

Bonjour,

 

Je m'adresse à votre forum parce que j'ai besoin d'aide pour désinfecter l'ordinateur d'une amie qui s'est fait avoir par SECURITY MASTER AV (et peut-être d'autres cochonneries de ce style).

Vous m'aviez tellement bien aidé il y a 2 ans quand j'avais eu un problème similaire sur mon ordinateur que je me suis dit que je vais à nouveau vous mettre à contribution.

Je vous poste le rapport HijackThis de son ordi.

Petite précision : j'ai déjà effectué un scan avec MBAM hier soir qui a trouvé et supprimé des centaines de fichiers infectés, mais je pense tout de même que ce n'était pas suffisant.

Autre précision : je suis novice sur le terrain de l'informatique.

 

Voilà le rapport :

 

Logfile of Trend Micro HijackThis v2.0.4

Scan saved at 15:32:30, on 02/08/2010

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.17023)

Boot mode: Normal

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Program Files\MioNet\MioNetManager.exe

C:\WINDOWS\system32\HPZipm12.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\MioNet\jvm\bin\MioNet.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Program Files\QuickTime\qttask.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Documents and Settings\HP_Propriétaire\Bureau\HiJackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=FR_FR&c=Q305&bd=pavilion&pf=desktop

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Yahoo! Search Marketing France

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = Bing

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = Freebox, la meilleure offre ADSL: Internet, Téléphone, Télévision

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN : Hotmail, Messenger, Actualité, Sport et Vidéo

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Bing

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = Yahoo! Search Marketing France

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Bing

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = MSN : Hotmail, Messenger, Actualité, Sport et Vidéo

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens

R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

R3 - URLSearchHook: Messenger Plus Live Toolbar - {9b339f6e-ddcd-401b-8764-230adbd01761} - C:\Program Files\Messenger_Plus_Live\tbMes1.dll

O1 - Hosts: 74.125.45.100 4-open-davinci.com

O1 - Hosts: 74.125.45.100 securitysoftwarepayments.com

O1 - Hosts: 74.125.45.100 privatesecuredpayments.com

O1 - Hosts: 74.125.45.100 secure.privatesecuredpayments.com

O1 - Hosts: 74.125.45.100 getantivirusplusnow.com

O1 - Hosts: 74.125.45.100 secure-plus-payments.com

O1 - Hosts: 74.125.45.100 www.getantivirusplusnow.com

O1 - Hosts: 74.125.45.100 www.secure-plus-payments.com

O1 - Hosts: 74.125.45.100 www.getavplusnow.com

O1 - Hosts: 74.125.45.100 safebrowsing-cache.google.com

O1 - Hosts: 74.125.45.100 urs.microsoft.com

O1 - Hosts: 74.125.45.100 www.securesoftwarebill.com

O1 - Hosts: 74.125.45.100 secure.paysecuresystem.com

O1 - Hosts: 74.125.45.100 paysoftbillsolution.com

O1 - Hosts: 74.125.45.100 protected.maxisoftwaremart.com

O1 - Hosts: 74.55.176.156 www.google.com

O1 - Hosts: 74.55.176.156 google.com

O1 - Hosts: 74.55.176.156 google.com.au

O1 - Hosts: 74.55.176.156 www.google.com.au

O1 - Hosts: 74.55.176.156 google.be

O1 - Hosts: 74.55.176.156 www.google.be

O1 - Hosts: 74.55.176.156 google.com.br

O1 - Hosts: 74.55.176.156 www.google.com.br

O1 - Hosts: 74.55.176.156 google.ca

O1 - Hosts: 74.55.176.156 www.google.ca

O1 - Hosts: 74.55.176.156 google.ch

O1 - Hosts: 74.55.176.156 www.google.ch

O1 - Hosts: 74.55.176.156 google.de

O1 - Hosts: 74.55.176.156 www.google.de

O1 - Hosts: 74.55.176.156 google.dk

O1 - Hosts: 74.55.176.156 www.google.dk

O1 - Hosts: 74.55.176.156 google.fr

O1 - Hosts: 74.55.176.156 www.google.fr

O1 - Hosts: 74.55.176.156 google.ie

O1 - Hosts: 74.55.176.156 www.google.ie

O1 - Hosts: 74.55.176.156 google.it

O1 - Hosts: 74.55.176.156 www.google.it

O1 - Hosts: 74.55.176.156 google.co.jp

O1 - Hosts: 74.55.176.156 www.google.co.jp

O1 - Hosts: 74.55.176.156 google.nl

O1 - Hosts: 74.55.176.156 www.google.nl

O1 - Hosts: 74.55.176.156 google.no

O1 - Hosts: 74.55.176.156 www.google.no

O1 - Hosts: 74.55.176.156 google.co.nz

O1 - Hosts: 74.55.176.156 www.google.co.nz

O1 - Hosts: 74.55.176.156 google.pl

O1 - Hosts: 74.55.176.156 www.google.pl

O1 - Hosts: 74.55.176.156 google.se

O1 - Hosts: 74.55.176.156 www.google.se

O1 - Hosts: 74.55.176.156 google.co.uk

O1 - Hosts: 74.55.176.156 www.google.co.uk

O1 - Hosts: 74.55.176.156 google.co.za

O1 - Hosts: 74.55.176.156 www.google.co.za

O1 - Hosts: 74.55.176.156 www.google-analytics.com

O1 - Hosts: 74.55.176.156 www.bing.com

O1 - Hosts: 74.55.176.156 search.yahoo.com

O1 - Hosts: 74.55.176.156 www.search.yahoo.com

O1 - Hosts: 74.55.176.156 uk.search.yahoo.com

O1 - Hosts: 74.55.176.156 ca.search.yahoo.com

O1 - Hosts: 74.55.176.156 de.search.yahoo.com

O1 - Hosts: 74.55.176.156 fr.search.yahoo.com

O1 - Hosts: 74.55.176.156 au.search.yahoo.com

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - (no file)

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: (no name) - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - (no file)

O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: (no name) - {B8DEEED5-1153-4005-A413-B669DD88D52A} - (no file)

O3 - Toolbar: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - (no file)

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')

O4 - HKUS\S-1-5-18\..\Run: [QNB2EB90WX] C:\WINDOWS\TEMP\Chd.exe (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [QNB2EB90WX] C:\WINDOWS\TEMP\Chd.exe (User 'Default user')

O4 - S-1-5-18 Startup: AutoTBar.exe (User 'SYSTEM')

O4 - .DEFAULT Startup: AutoTBar.exe (User 'Default user')

O4 - .DEFAULT User Startup: AutoTBar.exe (User 'Default user')

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: Aide à la connexion - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm

O9 - Extra 'Tools' menuitem: Aide à la connexion - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra button: Aide à la connexion - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm (HKCU)

O9 - Extra 'Tools' menuitem: Aide à la connexion - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm (HKCU)

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Program Files\Yahoo!\Common\yinsthelper.dll

O17 - HKLM\System\CCS\Services\Tcpip\..\{4F9F2F7F-72F2-45F8-80D3-61E45E6DB8DF}: NameServer = 208.67.220.220,208.67.222.222

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 208.67.220.220,208.67.222.222

O17 - HKLM\System\CS1\Services\Tcpip\..\{4F9F2F7F-72F2-45F8-80D3-61E45E6DB8DF}: NameServer = 208.67.220.220,208.67.222.222

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 208.67.220.220,208.67.222.222

O17 - HKLM\System\CS2\Services\Tcpip\..\{4F9F2F7F-72F2-45F8-80D3-61E45E6DB8DF}: NameServer = 208.67.220.220,208.67.222.222

O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 208.67.220.220,208.67.222.222

O17 - HKLM\System\CS3\Services\Tcpip\..\{4F9F2F7F-72F2-45F8-80D3-61E45E6DB8DF}: NameServer = 208.67.220.220,208.67.222.222

O17 - HKLM\System\CS4\Services\Tcpip\Parameters: NameServer = 208.67.220.220,208.67.222.222

O17 - HKLM\System\CS4\Services\Tcpip\..\{4F9F2F7F-72F2-45F8-80D3-61E45E6DB8DF}: NameServer = 208.67.220.220,208.67.222.222

O17 - HKLM\System\CS5\Services\Tcpip\Parameters: NameServer = 208.67.220.220,208.67.222.222

O17 - HKLM\System\CS5\Services\Tcpip\..\{4F9F2F7F-72F2-45F8-80D3-61E45E6DB8DF}: NameServer = 208.67.220.220,208.67.222.222

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 208.67.220.220,208.67.222.222

O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll

O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe

O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Fax - Unknown owner - C:\WINDOWS\system32\fxssvc.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Fichiers communs\InstallShield\Driver\1150\Intel 32\IDriverT.exe

O23 - Service: Service COM de gravage de CD IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe

O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Ma-Config Service (maconfservice) - Unknown owner - C:\Program Files\ma-config.com\maconfservice.exe

O23 - Service: MioNet Service (MioNet) - Unknown owner - C:\Program Files\MioNet\MioNetManager.exe

O23 - Service: Partage de Bureau à distance NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe

O23 - Service: Planificateur LiveUpdate automatique - Unknown owner - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe (file missing)

O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe

O23 - Service: Carte à puce (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe

O23 - Service: Journaux et alertes de performance (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe

O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe

O23 - Service: Carte de performance WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe

 

--

End of file - 12276 bytes

 

Merci d'avance pour votre aide.

[nardino]

Bonsoir,

Peux-tu poster le rapport Malwarebytes.

Tu le trouveras dans l'onglet Rapports/Logs

Héberge-le sur Cjoint.com et poste le lien obtenu.

Par ailleurs il n'y a pas d'antivirus apparent sur ce pc .

Télécharge Antivir Free d'Avira

Désactive ton antivirus.

Clique sur fichier antivir_workstation_winu_fr_h.exe pour l'installer.

Mets-le à jour.

Dans Configuration, coche Mode Expert en haut à gauche.

Clique sur Scanner, sur Recherche et sur Actions en cas de résultat positif.

Dans la partie droite coche Automatique et Copier le fichier dans la quarantaine avant l'action.

Dans Action principale avec le menu par la flèche choisis Réparer

Dans Action secondaire Renommer.

Tu valides tout ces choix par OK.

Tu cliques sur l'icône du bureau pour le lancer ou sur celle près de l'horloge.

A gauche dans Aperçu > Etat, tu cliques sur Contrôler syst.maintenant.

L'analyse peut durée une heure ou plus selon la taille de tes données.

Quand la barre de progression sera à 100% tu cliques sur Rapport.

Tu fais un copier-coller de la totalité dans ta réponse puis tu le fermes et tu cliques sur Arrêter.

Tu le retrouveras dans Aperçu > Rapports > Recherche avec la date correspondante.

Double-clique dessus et ensuite sur Rapport pour l'ouvrir.

 

Héberge le rapport aussi sur Cjoint.

@+

[u44]

Bonjour et Merci nardino de bien vouloir t'occuper de mon cas.

 

voici les deux liens pour les 2 rapports demandés :

© CJoint.com, 2008 pour le malwarebytes

© CJoint.com, 2008 pour avira

(j'espère que ça marche...)

 

Qu'en penses-tu ?

Mon mari - qui entre-temps s'est emparé du cas - pense qu'il n'y a plus rien de nuisible, mais voudrait de toute façon formater le disc de la copine (faut dire que c'est un sacré foutoir son ordi....)

 

Merci d'avance de tes lumières....

[nardino]

Bonsoir,

 

Télécharge sur ton bureau RHosts (de S!ri)

Double-clique sur Rhosts.exe et clique sur "Restaurer".

 

Télécharge RSIT de random/random, sur le Bureau *

 

Double-clique sur RSIT.exe afin de lancer l'outil, il ne nécessite pas d'installation.*

Clique Continue à l'écran Disclaimer si tu acceptes les conditions.

Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera (autorise l'accès dans ton pare-feu, si demandé) et accepte la licence.

Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront.

Poste le contenu de log.txt, celui qui va s'ouvrir et info.txt qui est réduit dans la Barre des tâches.

Ces rapports sont enregistrés dans le dossier C:\rsit

Tu les héberges sur Cjoint.

 

@+

Modifié le 2 août 2010 par nardino

[u44]

Merci nardino,

 

En ce qui concerne RHosts (de S!ri) pas possible : message d'erreur : Impossible de créer le fichier c:\windows\system32\drivers\etc\hosts.

 

Pour RSIT de random/random :

Voici les 2 fichiers :

© CJoint.com, 2008

© CJoint.com, 2008

 

A suivre...

[nardino]

Bonsoir,

Télécharge Hoster

 

Dézippe le sur le bureau.

Lance Hoster et clique sur "Restore Microsoft's Hosts File".

 

Télécharge rkill de Grinler depuis, au choix:

http://download.bleepingcomputer.com/grinler/rkill.scr

http://download.bleepingcomputer.com/grinler/rkill.com

http://download.bleepingcomputer.com/grinler/rkill.exe

http://download.bleepingcomputer.com/grinler/eXplorer.exe

http://download.bleepingcomputer.com/grinler/iExplore.exe

Désactive ton antivirus

• Lance l'outil, il ne nécessite pas d'installation.
  En cas d'échec essaie une autre extension et en mode sans échec.

Poste le rapport C:\rkill.log

Réactive ton antivirus

 

@+

Modifié le 2 août 2010 par nardino

[u44]

Bonjour nardino,

 

Pour Hoster : même résultat négatif et même message d'erreur que pour RHosts :

Impossible de créer le fichier c:\windows\system32\drivers\etc\hosts.

 

Je n'ai pas fait rkill de Grinler pour le moment. Est-ce que je le fais quand même, même si Hoster n'a pas marché ?

 

Merci pour ta réponse.

[nardino]

Bonjour,

Bien sûr

@+

[u44]

Voilà pour rkill, je le poste comme ça :

 

This log file is located at C:\rkill.log.

Please post this only if requested to by the person helping you.

Otherwise you can close this log when you wish.

Ran as HP_Propri‚taire on 03/08/2010 at 13:41:53.

 

 

Processes terminated by Rkill or while it was running:

 

 

C:\Documents and Settings\HP_Propriétaire\Bureau\rkill.scr

 

 

Rkill completed on 03/08/2010 at 13:41:59.

 

 

A +

[nardino]

Bonjour

Es-tu sûre que le rapport info.txt est complet ?

Regarde dans le dossier C:\rsit il est présent.

Ouvre-le et poste le à nouveau.

@+