[Résolu] Antimalware doctor

ozo · le 3 avril 2011

Bonjour,

j'ai eu cette saloperie qui s'est installée sur mon portable il y a environs un mois de ça. J'ai recherché sur le forum des sujets qui traitaient du même problème et j'ai trouvé celui-là...

http://forum.zebulon.fr/probleme-antimalware-doctor-protection-center-t177289.html

ça m'a un peu découragé quand j'ai vu tout ce qu'il fallait faire. Ayant un peu de temps, ce matin je décide de m'y coller, je lance tdskiller qui me trouve un truc, je redémarre le portable sur la suggestion de tdskiller. Au redémarrage, ça me propose de redescendre un point de restauration, ce que je fais (je redescends celui du 21 février 2011 qui est le plus ancien) et depuis, ça marche...

Comment m'assurer que j'en ai bien fini avec ce malware, qu'il n'y a pas de fichier système endommagé ou des clés de registres changées?

J'avais Avast comme anti-virus, il ne fonctionne plus pour une raison qui m'est obscure, même quand je le désinstalle et le réinstalle. De mémoire, ça correspond au moment où j'ai installé mozilla et MBAM... Quelqu'un peut-il me proposer une protection (gratos) qui tient la route?

Merci par avance aux personnes qui prendront le temps de répondre.

ma config :

Système d'exploitation

Windows Vista Edition Familiale Basique (build 6002) Service Pack 2

Navigateur web par défaut: CometBird

Client e-mail par défaut: Microsoft Office Outlook

Client de groupes de discussion par défaut: Windows Mail

Antispyware:Windows Defender 1.1.1505.0

Carte mère

SMBios version 2.4

Hewlett-Packard 308A KBC Version 26.07

Bios: Hewlett-Packard 68PVU Ver. F.03 06/26/2009 taille: 1024Kb

Chipset

Northbridge: Intel GM965

Southbridge: Intel 82801HBM (ICH8-ME)

Processeur

Intel Mobile Core 2 Duo T5870 Merom Socket P (478) (@65 nm) 2000 Mhz ( L1I: 2 x 32 Ko, L1D: 2 x 32 Ko, L2: 2048 Ko )

Mémoire

Mémoire physique totale: 2048 Mo, Type: DDR2, @328.0MHz, 5.0-5-5-15--1T

DDR2 Micron Technology 16HTF25664HY-800G1 2048 Mo PC2-6400 (400 Mhz) (6.0-6-6-18)

Carte Graphique

Mobile Intel® 965 Express Chipset Family

Périphériques IDE

Hitachi HTS543232L9A300 FB4OC40J (SATA II, 298.09 Go, Cache: 6 Mo)

Lecteurs CD/DVD

TSSTcorpCDDVDW TS-L633M 0200 (DVD-R/DL sequential recording Recorder)

Disque dur

Hitachi HTS543232L9A300

Cartes PCI/AGP

Stockage

Intel Corporation:82801HBM/HEM (ICH8M/ICH8M-E) IDE Controller:

Intel Corporation:82801HBM/HEM (ICH8M/ICH8M-E) SATA AHCI Controller:

Réseau

Intel Corporation:PRO/Wireless 3945ABG [Golan] Network Connection: Compaq 6710b or nx9420 Notebook

Marvell Technology Group Ltd.:88E8042 PCI-E Fast Ethernet Controller:

Affichage

Intel Corporation:Mobile GME965/GLE960 Integrated Graphics Controller:

Multimédia

Intel Corporation:82801H (ICH8 Family) HD Audio Controller:

Ponts

Intel Corporation:Mobile GME965/GLE960 Memory Controller Hub:

Intel Corporation:82801H (ICH8 Family) PCI Express Port 1

Intel Corporation:82801H (ICH8 Family) PCI Express Port 2

Intel Corporation:82801H (ICH8 Family) PCI Express Port 5

Intel Corporation:82801H (ICH8 Family) PCI Express Port 6

Intel Corporation:82801 Mobile PCI Bridge

Intel Corporation:82801HEM (ICH8M) LPC Interface Controller:

Bus Séries

Intel Corporation:82801H (ICH8 Family) USB UHCI Controller #4:

Intel Corporation:82801H (ICH8 Family) USB2 EHCI Controller #2:

Intel Corporation:82801H (ICH8 Family) USB UHCI Controller #1:

Intel Corporation:82801H (ICH8 Family) USB UHCI Controller #2:

Intel Corporation:82801H (ICH8 Family) USB UHCI Controller #3:

Intel Corporation:82801H (ICH8 Family) USB2 EHCI Controller #1:

Intel Corporation:82801H (ICH8 Family) SMBus Controller

Périphérique USB

Hewlett-Packard HP Integrated Module with Bluetooth 2.1 Wireless Technology

Chicony Electronics Co., Ltd HP Webcam [2 MP Fixed]

Clavier

Standard 101/102-Key or Microsoft Natural PS/2 Keyboard with HP QLB

Périphérique clavier PIH

Souris

Synaptics PS/2 Port TouchPad

Ecran(s)

Moniteur Plug-and-Play générique(AUO )

ESET ONLINE SCANNER :

C:\Program Files\Application Updater\ApplicationUpdater.exe une variante probable de Win32/Adware.Toolbar.Dealio application nettoyé par suppression - mis en quarantaine

C:\Program Files\Everest Poker\cstart.exe une variante de Win32/Casino application nettoyé par suppression - mis en quarantaine

C:\Program Files\Everest Poker\Everest Poker.exe une variante de Win32/Casino application nettoyé par suppression - mis en quarantaine

C:\Program Files\Everest Poker.fr\CStart.exe une variante de Win32/Casino application nettoyé par suppression - mis en quarantaine

C:\Program Files\Everest Poker.fr\Everest Pokerfr.exe une variante de Win32/Casino application nettoyé par suppression - mis en quarantaine

C:\Program Files\pdfforge Toolbar\SearchSettings.dll Win32/Adware.Toolbar.Dealio application nettoyé par suppression (après le prochain redémarrage) - mis en quarantaine

C:\Program Files\pdfforge Toolbar\SearchSettings.exe Win32/Adware.Toolbar.Dealio application nettoyé par suppression - mis en quarantaine

C:\Program Files\pdfforge Toolbar\SearchSettingsRes409.dll Win32/Adware.Toolbar.Dealio application nettoyé par suppression (après le prochain redémarrage) - mis en quarantaine

C:\Program Files\pdfforge Toolbar\WidgiHelper.exe Win32/Adware.Toolbar.Dealio application nettoyé par suppression - mis en quarantaine

C:\Program Files\pdfforge Toolbar\IE\1.1.2\pdfforgeToolbarIE.dll Win32/Adware.Toolbar.Dealio application nettoyé par suppression (après le prochain redémarrage) - mis en quarantaine

C:\Users\Matthieu\AppData\Local\Temp\A9C9.tmp une variante de Win32/Kryptik.LIV cheval de troie nettoyé par suppression - mis en quarantaine

C:\Users\Matthieu\AppData\Local\Temp\ABAD.tmp une variante de Win32/Kryptik.LIV cheval de troie nettoyé par suppression - mis en quarantaine

C:\Users\Matthieu\AppData\Local\Temp\AC77.tmp une variante de Win32/Kryptik.LIV cheval de troie nettoyé par suppression - mis en quarantaine

C:\Users\Matthieu\AppData\Local\Temp\C315.tmp une variante de Win32/Kryptik.LIV cheval de troie nettoyé par suppression - mis en quarantaine

C:\Users\Matthieu\AppData\Local\Temp\firefox.vbs VBS/StartPage.NCM.Gen cheval de troie nettoyé par suppression - mis en quarantaine

C:\Users\Matthieu\AppData\Local\Temp\firefox2.vbs VBS/StartPage.NCM.Gen cheval de troie nettoyé par suppression - mis en quarantaine

C:\Users\Matthieu\AppData\Local\Temp\NOD3303.tmp Win32/Adware.Toolbar.Dealio application nettoyé par suppression (après le prochain redémarrage) - mis en quarantaine

C:\Users\Matthieu\AppData\Local\Temp\NOD3C28.tmp Win32/Adware.Toolbar.Dealio application nettoyé par suppression (après le prochain redémarrage) - mis en quarantaine

C:\Users\Matthieu\AppData\Local\Temp\NOD456D.tmp Win32/Adware.Toolbar.Dealio application nettoyé par suppression (après le prochain redémarrage) - mis en quarantaine

C:\Users\Matthieu\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\34\c669a2-24fe447c menaces multiples supprimé - mis en quarantaine

C:\Users\Matthieu\AppData\Roaming\CF5BC8C46AA0D4C7D2975F21193B3D83\enemies-names.txt Win32/Adware.AntimalwareDoctor.AE.Gen application nettoyé par suppression - mis en quarantaine

C:\Users\Matthieu\Downloads\install_openoffice2010.exe menaces multiples supprimé - mis en quarantaine

C:\Windows\Temp\ddgj\setup.exe une variante de Win32/TrojanProxy.Agent.NHB cheval de troie nettoyé par suppression - mis en quarantaine

C:\Windows\Temp\dpud\setup.exe une variante de Win32/Kryptik.LNE cheval de troie nettoyé par suppression - mis en quarantaine

C:\Windows\Temp\xsdx\setup.exe une variante probable de Win32/Injector.FAF cheval de troie nettoyé par suppression - mis en quarantaine

Results of screen317's Security Check version 0.99.10

Windows Vista Service Pack 2 (UAC is enabled)

Internet Explorer 8

``````````````````````````````

Antivirus/Firewall Check:

avast! Antivirus

WMI entry may not exist for antivirus; attempting automatic update.

```````````````````````````````

Anti-malware/Other Utilities Check:

Malwarebytes' Anti-Malware

Java 6 Update 18

Out of date Java installed!

Adobe Flash Player 10.0.32.18

````````````````````````````````

Process Check:

objlist.exe by Laurent

Windows Defender MSASCui.exe

Malwarebytes' Anti-Malware mbam.exe

Alwil Software Avast4 aswUpdSv.exe

Alwil Software Avast4 ashServ.exe

Alwil Software Avast4 ashDisp.exe

Windows Defender MSASCui.exe

``````````End of Log````````````

Modifié le 14 avril 2011 par ozo

Apollo · le 3 avril 2011

Bonsoir,

Si tu as dû remonter un point de restauration de février il faudra que tu refasses les mises à jour Windows et d'autres. Mais après la désinfection totale.

Protéger son pc gratuitement

ça m'a un peu découragé quand j'ai vu tout ce qu'il fallait faire

Un cas n'est pas l'autre et chaque outil est lancé en fonction de l'interprétation de rapports qui sont fournis à notre demande.

ZHPDiag :

Télécharge Télécharge ZHPDiag de Nicolas Coolman. et enregistre-le sur le BUREAU.
Double-clique sur ZHPDiag.exe pour lancer l'installation
- Important:
  Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

[*]L'outil a créé 2 icônes ZHPDiag et ZHPFix sur le Bureau.

[*]Double-clique sur ZHPDiag pour lancer l'exécution

Important:
Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

[*]Clique sur le tournevis.

[*]Clique sur la loupe pour lancer l'analyse. Tu patientes jusqu'à ce que le scan affiche 100%

Tu refermes ZHPDiag

[*]Le rapport ZHPDiag.txt se trouve sur le Bureau.

Ce rapport étant trop long pour le forum, héberge le :

soit directement sur le forum en pièce jointe dans ta réponse : Ajouter un fichier en pièce jointe sur le forum <<< Seulement pour le forum Vista-XP.fr!
soit sur Cijoint.fr et copie-colle le lien fourni dans ta réponse

@++

Modifié le 3 avril 2011 par Apollo

ozo · le 3 avril 2011

Bonsoir Apollo,

ci-dessous le lien pour récupérer le fichier ZHPdiag.txt. Merci pour la précision des instructions et de prendre le temps de regarder tout ça... car effectivement, c'est long... très long et vraiment peu compréhensible pour moi...

Cijoint.fr - Service gratuit de dépôt de fichiers

ad'tal

Modifié le 3 avril 2011 par ozo

Apollo · le 3 avril 2011

Re,

Je vais te demander de bien vouloir utiliser le bouton "Ajouter une réponse" afin de ne pas citer chaque fois le post précédent, merci.

ZHPFix :

Ferme toutes les applications ouvertes
Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau
- Important:
  Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

[*]Clique sur H

[*]Copie-colle les lignes ci-dessous dans la fenêtre

R3 - URLSearchHook: (no name) - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} Clé orpheline      
O3 - Toolbar: pdfforge Toolbar - {B922D405-6D13-4A2B-AE89-08A030DA4402} . (.Pas de propriétaire - Pas de description.) --  (.not file.)    
O42 - Logiciel: pdfforge Toolbar v1.1.2 - (.Spigot, Inc..) [HKLM] -- {5791B7D3-8B34-4218-9750-6A8E45D0AD32}    
[HKCU\Software\AppDataLow\Software\pdfforge]    
[HKCU\Software\Grand Virtual]    
[HKCU\Software\Search Settings]    
[HKLM\Software\Application Updater]     
[HKLM\Software\Search Settings]   
[HKLM\Software\pdfforge]    
O43 - CFD: 03/04/2011 - 15:18:08 - [85] ----D- C:\Program Files\Application Updater     
O43 - CFD: 03/04/2011 - 15:24:36 - [17147776] ----D- C:\Program Files\Everest Poker     
O43 - CFD: 03/04/2011 - 15:42:16 - [71] ----D- C:\Program Files\pdfforge Toolbar      
O44 - LFC:[MD5.C14731D94AF1EF0CAB3DA53BDF8710E1] - 03/04/2011 - 19:10:12 ---A- . (...) -- C:\windows\System32\rpcnetp.exe   [17408]     
[HKCR\.bc!]    => Infection BT (Adware.BHO)  
[HKCU\Software\Microsoft\Internet Explorer\lowregistry\search settings]    
[HKLM\Software\Microsoft\Internet Explorer\Toolbar]:{B922D405-6D13-4A2B-AE89-08A030DA4402}     
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\everest poker]    
C:\Program Files\Application Updater   
C:\Program Files\Everest Poker    
C:\Program Files\pdfforge Toolbar

Tu cliques sur Tout sélectionner, puis clic-droit -> Copier
Tu positionnes le curseur dans la zone blanche vide de ZHPFix, puis clic-droit -> Coller

[*]Vérifie que toutes les lignes que je t'ai demandé de copier-coller, et seulement ces lignes sont listées dans la fenêtre

[*]Clique sur OK puis:

[*]Clique sur Tous puis sur Nettoyer

[*]Valide par Oui la désinstallation des programmes si demandé

[*]Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC

[*]Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.

Le rapport ZHPFixReport.txt est enregistré sous C:\Program files\ZHPFix\ZHPFixReport.txt

@++

ozo · le 3 avril 2011

Re,

Désolé pour la citation du post précédent, je corrige...

Rapport de ZHPFix 1.12.3272 par Nicolas Coolman, Update du 03/04/2011

Fichier d'export Registre : C:\ZHPExportRegistry-03-04-2011-22-40-27.txt

Run by Matthieu at 03/04/2011 22:40:27

Windows Vista Home Basic Edition, 32-bit Service Pack 2 (Build 6002)

Web site : ZHPFix Fix de rapport

========== Logiciel(s) ==========

O42 - Logiciel: pdfforge Toolbar v1.1.2 - (.Spigot, Inc..) [HKLM] -- {5791B7D3-8B34-4218-9750-6A8E45D0AD32} => Logiciel déjà supprimé

========== Clé(s) du Registre ==========

HKCU\Software\AppDataLow\Software\pdfforge => Clé absente

HKCU\Software\Grand Virtual => Clé absente

HKCU\Software\Search Settings => Clé absente

HKLM\Software\Application Updater => Clé absente

HKLM\Software\Search Settings => Clé absente

HKLM\Software\pdfforge => Clé absente

HKCR\.bc! => Clé supprimée avec succès

HKCU\Software\Microsoft\Internet Explorer\lowregistry\search settings => Clé supprimée avec succès

HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\everest poker => Clé supprimée avec succès

========== Valeur(s) du Registre ==========

R3 - URLSearchHook: (no name) - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} Clé orpheline => Valeur absente

O3 - Toolbar: pdfforge Toolbar - {B922D405-6D13-4A2B-AE89-08A030DA4402} . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur absente

[HKLM\Software\Microsoft\Internet Explorer\Toolbar]:{B922D405-6D13-4A2B-AE89-08A030DA4402} => Valeur absente

========== Dossier(s) ==========

C:\Program Files\Application Updater => Supprimé et mis en quarantaine

C:\Program Files\Everest Poker => Supprimé et mis en quarantaine

C:\Program Files\pdfforge Toolbar => Supprimé et mis en quarantaine

========== Fichier(s) ==========

c:\windows\system32\rpcnetp.exe => Supprimé et mis en quarantaine

c:\program files\application updater => Fichier absent

c:\program files\everest poker => Fichier absent

c:\program files\pdfforge toolbar => Fichier absent

========== Récapitulatif ==========

9 : Clé(s) du Registre

3 : Valeur(s) du Registre

3 : Dossier(s)

4 : Fichier(s)

1 : Logiciel(s)

End of the scan

comme je l'ai fait tourné, je te rajoute le rapport de MBAM...

Malwarebytes' Anti-Malware 1.50.1.1100

www.malwarebytes.org

Version de la base de données: 6255

Windows 6.0.6002 Service Pack 2

Internet Explorer 8.0.6001.19019

03/04/2011 22:35:56

mbam-log-2011-04-03 (22-35-56).txt

Type d'examen: Examen complet (C:\|D:\|F:\|)

Elément(s) analysé(s): 364110

Temps écoulé: 1 heure(s), 13 minute(s), 19 seconde(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 1

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 1

Processus mémoire infecté(s):