Analyse et éradication des malwares

[stephanie31]

Bonjour,

 

Suite au conseil de Tonton57, je viens vous demander de l'aide.

Mon PC est infecté + P2P + cracks.

Voici les manip déjà faites : http://forum.zebulon.fr/hijackthis-rapport-t184736.html

 

Merci pour votre aide,

 

Stephanie

Modifié le 19 avril 2011 par stephanie31

[Apollo]

Bonsoir,

 

Tu devras reommencer l'analyse avec MBAM car je vois "No action taken" dans son rapport, ce qui veut dire que tu n'a pas corrigé les infections découvertes ou que tu as pris le rapport trop tôt.

 

Voici les actions à faire absolument:

 

Si des malwares ont été détectés, clique sur Afficher les résultats.

Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

 

Mais avant de refaire cette analyse complète après mise à jour de MBAM, fais ceci stp:

 

ZHPFix :

 

• Ferme toutes les applications ouvertes
   
  
• Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau
  Important:
  Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur.
   
  
• Clique sur H .
   
  
• Copie-colle les lignes ci-dessous dans la fenêtre

 

[HKLM\Software\CrazyLoader]     
O43 - CFD: 17/04/2011 - 17:59:48 - [11] ----D- C:\Users\Steph\AppData\Roaming\OfferBox      
O87 - FAEL: "{2C009D96-2B8F-473D-B3DC-3E9FC80CAD87}" |In - Public - P6 - TRUE | .(...) -- C:\Program Files\CrazyLoader\crazyloader.exe (.not file.)     
O87 - FAEL: "{D89E481B-3556-4278-A6EC-D1AF857B925D}" |In - Public - P17 - TRUE | .(...) -- C:\Program Files\CrazyLoader\crazyloader.exe (.not file.)    
[HKCR\CLSID\{3c471948-f874-49f5-b338-4f214a2ee0b1}]    
[HKLM\Software\Classes\CLSID\{3c471948-f874-49f5-b338-4f214a2ee0b1}]    
C:\Users\Steph\AppData\Roaming\\OfferBox    

 

• Clique sur l'icone représentant la lettre H (« coller les lignes Helper »). Le script doit automatiquement apparaitre dans ZHPFix, sinon, colle-le.
   
  Clique sur le bouton GO pour lancer le nettoyage

 

• Valide par Oui la désinstallation des programmes si demandé
   
  
• Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC
   
  
• Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.
  Le rapport ZHPFixReport.txt est enregistré sous C:\Program files\ZHPFix\ZHPFixReport.txt

 

@++

 

NB: poste le rapport de MBAM que tu obtiendras APRES avoir corrigé les problèmes comme indiqué ci-dessus en rouge.

 

++

[stephanie31]

Bonsoir,

 

Merci pour ton aide,

 

Voici le rapport de ZHPFix:

 

Rapport de ZHPFix 1.12.3275 par Nicolas Coolman, Update du 11/04/2011

Fichier d'export Registre :

Run by Steph at 20/04/2011 12:24:20

Windows Vista Business Edition, 32-bit Service Pack 2 (Build 6002)

Web site : ZHPFix Fix de rapport

 

 

========== Récapitulatif ==========

 

 

End of the scan

 

 

 

Et celui de MBAM:

 

 

Malwarebytes' Anti-Malware 1.50.1.1100

www.malwarebytes.org

 

Version de la base de données: 6405

 

Windows 6.0.6002 Service Pack 2

Internet Explorer 9.0.8112.16421

 

20/04/2011 19:05:58

mbam-log-2011-04-20 (19-05-58).txt

 

Type d'examen: Examen complet (C:\|D:\|)

Elément(s) analysé(s): 263352

Temps écoulé: 1 heure(s), 12 minute(s), 34 seconde(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

(Aucun élément nuisible détecté)

 

 

Bonne soirés,

 

Stephanie

[Apollo]

Bonjour,

 

Tu as loupé le copié/collé pour zhpfix, recommence stp.

 

Bonne journée.

 

@++

[stephanie31]

Bonjour,

 

J'ai refait plusieurs fois l'analyse et j'obtiens toujours ce type de rapport:

Rapport de ZHPFix 1.12.3275 par Nicolas Coolman, Update du 11/04/2011

Fichier d'export Registre :

Run by Steph at 23/04/2011 18:51:43

Windows Vista Business Edition, 32-bit Service Pack 2 (Build 6002)

Web site : ZHPFix Fix de rapport

 

 

========== Récapitulatif ==========

 

 

End of the scan

 

Merci,

 

Stephanie

[Apollo]

Bonsoir Stéphanie,

 

Excuse le retard de réponse mais je traite mes sujets dans l'ordre où je reçois les notifications.

 

Refais une analyse avec ZHPDiag stp.

 

Si le fix devait encore se montrer récalcitrant, il faudra que je contacte Nicoals Coolman.

 

Mais on va voir le rapport d'abord

 

@++

[stephanie31]

Bonsoir,

 

Pas de soucis!!

 

 

Voici le lien pour ZHPDiag:

Cijoint.fr - Service gratuit de dépôt de fichiers

 

ET voici le nouveau rapport de ZHPFix:

 

Rapport de ZHPFix 1.12.3275 par Nicolas Coolman, Update du 11/04/2011

Fichier d'export Registre :

Run by Steph at 23/04/2011 21:25:57

Windows Vista Business Edition, 32-bit Service Pack 2 (Build 6002)

Web site : ZHPFix Fix de rapport

 

========== Autre ==========

HKLM\Software\CrazyLoader] O43 - CFD: 17/04/2011 - 17:59:48 - [11] ----D- C:\Users\Steph\AppData\Roaming\OfferBox O87 - FAEL: "{2C009D96-2B8F-473D-B3DC-3E9FC80CAD87}" |In - Public - P6 - TRUE | .(...) -- C:\Program Files\CrazyLoader\crazyloader.e => Format Non supporté

 

 

========== Récapitulatif ==========

1 : Autre

 

 

End of the scan

 

 

Merci pour ton aide,

 

Stephanie

[Apollo]

All right.

 

On va les virer de force

 

Supprime manuellement:

 

c:\windows\prefetch\offerbox.exe <<< le fichier en gras.

c:\program files\crazyloader <<< Le dossier en gras.

 

Si cela résistait:

 

télécharge http://www.malwarebytes.org/fa-setup.exe

Tu auras des options supplémentaires dans ton clic droit.

 

Attention! à ne jamais supprimer des fichiers système avec cet outil qui vire tout ce qu'on lui demande...

 

Télécharger ATF Cleaner par Atribune.

• Installe-le sur le bureau. (A conserver car très utile après chaque séance de surf)
   
  Double-clique ATF-Cleaner.exe afin de lancer le programme.
  --> Sous Vista/Seven: Clic droit/exécuter en temps qu'administrateur.
   
  Sous l'onglet Main, choisis : Select All
  Cliquer sur le bouton Empty Selected
  

Si tu utilises le navigateur Firefox :

• Clique Firefox au haut et choisis : Select All
  Cliquer le bouton Empty Selected
  NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.
  

Si tu utilises le navigateur Opera :

• Clique Opera au haut et choisis : Select All
  Cliquer le bouton Empty Selected
  NOTE : Si tu veux conserver tes mots de passe sauvegardés, cliquer No à l'invite.
  

Clique Exit, du menu principal, afin de fermer le programme.

Pour obtenir du Support technique, double-clique l'adresse électronique située au bas de chacun des menus.

 

@ peluche.

[stephanie31]

Merci pour ton aide!!

 

Bonne fin de soirée,

 

Stéphanie