Infection probable mais non détectée.

[bleuvert9]

Bonjour, Mon Ordi est susceptible d'être infecté, voici mes posts du sujet que j'ai ouvert dans le forum "hardware" vu qu'il me semblait avoir un problème matériel.

 

http://forum.zebulon...as-t185201.html

 

Peut-être pouvez vous m'aider à trouver l'infection sachant que ni Eset nod 32, mi Malwarebyte, ni un scan en ligne trend-micro n’ont trouvé quoi que ce soit.

 

Merci d'avance

[Apollo]

Bonsoir,

 

Ton lien est tronqué et ne mène nulle-part.

 

Bon je vais voir dans hardware si je trouve ton sujet.

 

@++

[Dylav]

C'est là-bas

 

 

 

 

 

 

[Apollo]

Salut Dylav et merci,

 

j'avais jeté un oeil mais j'ai quelques autres sujets en cours.

 

bleuvert9, bonsoir.

 

Télécharge RogueKiller (par Tigzy) sur le bureau

(A partir d'une clé USB si le Rogue empêche l'accès au net) .

RogueKiller

Quitte tous les programmes en cours

Lance RogueKiller.exe.

 

Sous Vista/Seven, faire un clic droit et choisir Exécuter en tant qu'administrateur.

Si une détection apparait en haut de la fenêtre, tape 2 (mode REMOVE) et valide par la touche Entrer.

(Si le programme a été bloqué, renommer en RogueKiller.com et recommencer)

Envoie une copie du rapport RKreport[1].txt.

Si les raccourcis ont disparu, relance l'outil en mode 6.

Envoie une copie du rapport RKreport[2].txt.

 

-----------------------------------

Télécharge Malwarebytes' Anti-Malware (MBAM).

 

Malwarebytes : Malwarebytes Anti-Malware is a free download that removes viruses and malware from your computer clique pour la version FREE et enregistre l'exécutable sur le bureau.

 

Si MBAM est déjà installé, aller directement à la mise à jour puis à l'analyse.

 

Ce logiciel est à garder.

 

Uniquement en cas de problème de mise à jour:

 

Télécharger mises à jour MBAM

 

Exécute le fichier après l'installation de MBAM

 

• Double clique sur le fichier téléchargé pour lancer le processus d'installation.
  
• Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
  
• Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
  
• Sélectionne "Exécuter un examen rapide."
  
• Clique sur "Rechercher"
  
• L'analyse démarre, le scan est relativement long, c'est normal.
  
• A la fin de l'analyse, un message s'affiche :

  L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

  Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
  
• Ferme tes navigateurs.
  
• Si des malwares ont été détectés, clique sur Afficher les résultats.
  Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
  
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

Si MBAM demande à redémarrer le pc, fais-le.

 

Si au redémarrage Windows te dit qu'il a bloqué certains programmes de démarrage, clique sur la bulle puis sur Exécuter les programmes bloqués/Malwarebytes Anti-Malware.

 

@++

[bleuvert9]

Merci de vous pencher sur cet ordi.

 

Résultat RogueKiller :

RogueKiller V5.1.1 [05/05/2011] par Tigzy

contact sur Forum Sciences / Forum Informatique - Sur la Toile (SLT)

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/22)

 

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version

Demarrage : Mode normal

Utilisateur: Bleuvert [Droits d'admin]

Mode: Recherche -- Date : 13/05/2011 14:22:42

 

Processus malicieux: 0

 

Entrees de registre: 2

[bLACKLIST] HKLM\[...]\services : usnjsvc (usnjsvc.sys) -> FOUND

[HJ] HKLM\[...]\SystemRestore : DisableSR (1) -> FOUND

 

Fichier HOSTS:

127.0.0.1 localhost

 

 

Termine : << RKreport[1].txt >>

RKreport[1].txt

 

 

Dans le fichier quarantaine report :

Time : 13/05/2011 14:22:42

--------------------------

ERROR [usnjsvc.sys.vir] -> usnjsvc.sys

 

 

Résultat Malwarebyte : ( j'ai la version pro qui tourne en permanence)

 

Malwarebytes' Anti-Malware 1.50.1.1100

www.malwarebytes.org

 

Version de la base de données: 6567

 

Windows 5.1.2600 Service Pack 3

Internet Explorer 8.0.6001.18702

 

13/05/2011 14.28.24

mbam-log-2011-05-13 (14-28-24).txt

 

Type d'examen: Examen rapide

Elément(s) analysé(s): 117565

Temps écoulé: 2 minute(s), 36 seconde(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 0

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

(Aucun élément nuisible détecté)

 

 

Merci de me dire quoi chercher ensuite.

[Apollo]

Bonjour,

 

Télécharge TDSSKiller de Kaspersky sur ton bureau.

 

Ou: http://support.kaspersky.com/fr/downloads/utils/tdsskiller.zip ; décompresse le zip.

 

Double-clique sur TDSSKiller.exe

L'écran de TDSSKiller s'affiche:

 

 

Cliquer sur Start scan pour lancer l'analyse.

 

NB: TDSSKiller proposera des options: Delete, Skip ou Cure, il ne faut pas modifier ces options! (Supprimer, ignorer, "réparer")

 

Lorsque l'outil a terminé son travail d'inspection, si des nuisibles ("Malicious objects") ont été trouvés,

cliquer sur le bouton Continue puis sur le bouton Reboot now.

 

Envoyer en réponse:

*- Le rapport de TDSSKiller (contenu du fichier SystemDrive \TDSSKiller.Version_Date_Heure_log.txt)

[systemDrive représente la partition sur laquelle est installé le système, généralement C:] .

 

 

@++

[bleuvert9]

OK. Voilà : résultat : il ne trouve rien

 

Uploaded with ImageShack.us

Modifié le 13 mai 2011 par bleuvert9

[Apollo]

Re,

 

A quand remonte la dernière analyse complète avec MBAM?

 

Si ce n'est pas récent, il vaudrait peut-être mieux en faire une, supports amovibles connectés.

 

ZHPFix :

 

• Ferme toutes les applications ouvertes
   
  
• Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau
  Important:
  Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur.
   
  
• Clique sur H .
   
  
• Copie-colle les lignes ci-dessous dans la fenêtre

 

[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified   
O2 - BHO: PlusIEEventHelper Class - {551A852F-39A6-44A7-9C13-AFBEC9185A9D} . (.Zeon Corporation - PlusIEContextMenu.dll.) -- F:\utilitaires\Pdf\Bin\PlusIEContextMenu.dll    
O2 - BHO: ZeonIEEventHelper Class - {DA986D7D-CCAF-47B2-84FE-BFA1549BEBF9} . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\Bin\ZeonIEFavClient.dll  
O3 - Toolbar: Nuance PDF - {E3286BF1-E654-42FF-B4A6-5E111731DF6B} . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\Bin\ZeonIEFavClient.dll    
O8 - Extra context menu item: Ajouter au fichier PDF existant . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\bin\ZeonIEFavClient.dll   
O8 - Extra context menu item: Ajouter le contenu du lien à un fichier PDF existant . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\Bin\ZeonIEFavClient.dll   
O8 - Extra context menu item: Ajouter à un fichier PDF existant . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\Bin\ZeonIEFavClient.dll    
O8 - Extra context menu item: Créer fichier PDF . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\bin\ZeonIEFavClient.dll    
O8 - Extra context menu item: Créer un fichier PDF . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\Bin\ZeonIEFavClient.dll    
O8 - Extra context menu item: Créer un fichier PDF depuis le contenu du lien . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\Bin\ZeonIEFavClient.dll    
O8 - Extra context menu item: Ouvrir avec PDF Professional 6 . (.Zeon Corporation - PlusIEContextMenu.dll.) -- F:\utilitaires\Pdf\Bin\PlusIEContextMenu.dll      
[HKCU\Software\PopCap]    =  
[HKCU\Software\Spointer]      
[HKLM\Software\Freeze.com]     
[HKLM\Software\PopCap]    
O43 - CFD: 16/07/2010 - 16.12.44 - [133409] ----D- C:\Documents and Settings\Bleuvert\Local Settings\Application Data\crazyloader Air    
[HKCR\Interface\{b0d071a1-36b3-4757-a126-14c89c56013a}]      
[HKLM\Software\Classes\Interface\{b0d071a1-36b3-4757-a126-14c89c56013a}]    
[HKLM\Software\freeze.com]  
C:\Documents and Settings\Bleuvert\Local Settings\Application Data\Crazyloader Air  

 

• Clique sur l'icone représentant la lettre H (« coller les lignes Helper »). Le script doit automatiquement apparaitre dans ZHPFix, sinon, colle-le.
   
  Clique sur le bouton GO pour lancer le nettoyage

 

• Valide par Oui la désinstallation des programmes si demandé
   
  
• Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC
   
  
• Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.
  Le rapport ZHPFixReport.txt est enregistré sous C:\Program files\ZHPFix\ZHPFixReport.txt

 

------------------------

Après avoir posté le rapport de ZHPFix, passer à ceci stp:

 

Télécharge Ad-Remover de C-XX et Enregistre-le sur le bureau.

 

http://www.teamxscript.org/adremoverTelechargement.html

 

Ferme toutes les applications ouvertes pour l'installer.

 

Sous XP: Double-clique, (Clic droit/exécuter comme administrateur pour Vista/7) sur l'icône placée sur le bureau.

 

Si le firewall se manifeste, accorde les autorisations à l'outil pour qu'il puisse travailler.

 

Clique sur scanner

 

 

Le rapport se trouve aussi sous C:\Ad-Report Scan.

Copie/colle-le dans ta réponse stp.

 

 

----------------------------------------------------

 

Relance Ad-Remover et cette fois, clique sur Nettoyer

 

Le bureau va disparaître, c'est normal.

 

Le rapport à poster sera sur C:\Ad-Report Clean.

 

*** Poste les deux rapports stp.

 

@++

[bleuvert9]

Re,

 

A quand remonte la dernière analyse complète avec MBAM?

d'avant hier, RAS

 

Voici les rapports, je dois dire que le résultat le plus spectaculaire est que le truc m'a viré les droits d'un jeu PopCap que j'ai depuis plus de 10 ans (avec clé achetée) la clé est dans un fichier Word et Word ne veux plus m'ouvrir un fichier tant que je n'ai pas reparé l'addon de Nuance PDF converter Pro 6 que le truc a apparemment viré aussi. Ce soft est un de mes outils de travail dont je me sert quasiment tous les jours depuis 2 ans.

 

Je vais donc devoir remettre ces deux zèles de nettoyage (en espérant qu'il n'y en a pas d'autre.)

 

Rapport de ZHPFix 1.12.3282 par Nicolas Coolman, Update du 06/05/2011

Fichier d'export Registre :

Run by Bleuvert at 13/05/2011 20.07.00

Windows XP Home Edition Service Pack 3 (Build 2600)

Web site : ZHPFix Fix de rapport

 

========== Clé(s) du Registre ==========

O2 - BHO: PlusIEEventHelper Class - {551A852F-39A6-44A7-9C13-AFBEC9185A9D} . (.Zeon Corporation - PlusIEContextMenu.dll.) -- F:\utilitaires\Pdf\Bin\PlusIEContextMenu.dll => Clé absente

O2 - BHO: ZeonIEEventHelper Class - {DA986D7D-CCAF-47B2-84FE-BFA1549BEBF9} . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\Bin\ZeonIEFavClient.dll => Clé absente

O8 - Extra context menu item: Ajouter au fichier PDF existant . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\bin\ZeonIEFavClient.dll => Clé absente

O8 - Extra context menu item: Ajouter le contenu du lien à un fichier PDF existant . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\Bin\ZeonIEFavClient.dll => Clé absente

O8 - Extra context menu item: Ajouter à un fichier PDF existant . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\Bin\ZeonIEFavClient.dll => Clé absente

O8 - Extra context menu item: Créer fichier PDF . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\bin\ZeonIEFavClient.dll => Clé absente

O8 - Extra context menu item: Créer un fichier PDF . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\Bin\ZeonIEFavClient.dll => Clé absente

O8 - Extra context menu item: Créer un fichier PDF depuis le contenu du lien . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\Bin\ZeonIEFavClient.dll => Clé absente

O8 - Extra context menu item: Ouvrir avec PDF Professional 6 . (.Zeon Corporation - PlusIEContextMenu.dll.) -- F:\utilitaires\Pdf\Bin\PlusIEContextMenu.dll => Clé absente

HKCU\Software\Spointer => Clé supprimée avec succès

HKLM\Software\Freeze.com => Clé supprimée avec succès

HKLM\Software\PopCap => Clé supprimée avec succès

HKCR\Interface\{b0d071a1-36b3-4757-a126-14c89c56013a} => Clé supprimée avec succès

HKLM\Software\Classes\Interface\{b0d071a1-36b3-4757-a126-14c89c56013a} => Clé absente

 

========== Valeur(s) du Registre ==========

O3 - Toolbar: Nuance PDF - {E3286BF1-E654-42FF-B4A6-5E111731DF6B} . (.Zeon Corporation - ZeonIEFavClient.dll.) -- F:\utilitaires\Pdf\Bin\ZeonIEFavClient.dll => Valeur absente

 

========== Elément(s) de donnée du Registre ==========

[HKLM\SOFTWARE\Microsoft\Security Center] FirewallOverride: Modified => Donnée supprimée avec succès

 

========== Dossier(s) ==========

C:\Documents and Settings\Bleuvert\Local Settings\Application Data\crazyloader Air => Dossier absent

 

========== Fichier(s) ==========

f:\utilitaires\pdf\bin\plusiecontextmenu.dll => Fichier absent

f:\utilitaires\pdf\bin\zeoniefavclient.dll => Fichier absent

c:\documents and settings\bleuvert\local settings\application data\crazyloader air => Fichier absent

 

 

========== Récapitulatif ==========

14 : Clé(s) du Registre

1 : Valeur(s) du Registre

1 : Elément(s) de donnée du Registre

1 : Dossier(s)

3 : Fichier(s)

 

_________________________________________

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

 

Mis à jour par TeamXscript le 12/04/11

Contact: AdRemover[DOT]contact[AT]gmail[DOT]com

Site web: http://www.teamxscript.org

 

C:\Program Files\Ad-Remover\main.exe (SCAN [1]) -> Lancé à 21:05:58 le 13/05/2011, Mode normal

 

Microsoft Windows XP Édition familiale Service Pack 3 (X86)

Bleuvert@13OR ( )

 

============== RECHERCHE ==============

 

 

 

 

 

============== SCAN ADDITIONNEL ==============

 

**** Internet Explorer Version [8.0.6001.18702] ****

 

HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

HKCU_Main|Search bar - hxxp://g.msn.fr/0SEFRFR/SAOS02

HKCU_Main|Search Page - hxxp://home.microsoft.com/access/allinone.asp

HKCU_Main|Start Page - hxxp://www.google.fr/webhp?hl=fr&btnG=Recherche+Google&lr=lang_fr

HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=69157

HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

HKLM_Main|Search bar - hxxp://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm

HKLM_Main|Search Page - hxxp://go.microsoft.com/fwlink/?LinkId=54896

HKLM_Main|Start Page - hxxp://go.microsoft.com/fwlink/?LinkId=69157

HKCU_SearchScopes\{1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - "?" (?)

HKCU_SearchScopes\{7FB2BBBF-8157-47F0-8EDA-1E75094C8A12} - "?" (?)

HKCU_Toolbar|{710EB7A1-45ED-11D0-924A-0020AFC7AC4D} (x)

HKCU_Toolbar|{1E796980-9CC5-11D1-A83F-00C04FC99D61} (x)

HKLM_Toolbar|{E3286BF1-E654-42FF-B4A6-5E111731DF6B} (F:\utilitaires\Pdf\Bin\ZeonIEFavClient.dll)

HKCU_ElevationPolicy\{1902485B-CE75-42C1-BA2D-57E660793D9A} - F:\utilitaires\Internet Download Manager\IEMonitor.exe (Tonec Inc.)

HKCU_ElevationPolicy\{E0DACC63-037F-46EE-AC02-E4C7B0FBFEB4} - F:\utilitaires\Internet Download Manager\IDMan.exe (Tonec Inc.)

HKLM_ElevationPolicy\{E0DACC63-037F-46EE-AC02-E4C7B0FBFEB4} - F:\utilitaires\Internet Download Manager\IDMan.exe (Tonec Inc.)

HKLM_ElevationPolicy\{F17F95B7-54B5-406F-A7DF-146A2EC05DD3} - F:\utilitaires\Pdf\bin\SendMail.exe (Zeon Corporation )

BHO\{0055C089-8582-441B-A0BF-17B458C2A3A8} - "IDM integration (IDMIEHlprObj Class)" (F:\utilitaires\Internet Download Manager\IDMIECC.dll)

BHO\{DA986D7D-CCAF-47B2-84FE-BFA1549BEBF9} - "ZeonIEEventHelper Class" (F:\utilitaires\Pdf\Bin\ZeonIEFavClient.dll)

 

========================================

 

C:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)

C:\Program Files\Ad-Remover\Backup: 1 Fichier(s)

 

C:\Ad-Report-SCAN[1].txt - 13/05/2011 21:06:05 (431 Octet(s))

 

Fin à: 21:06:26, 13/05/2011

 

============== E.O.F ==============

 

Voilà, je préfère attendre la fin de la désinfection avant de remettre des trucs en service.

[Apollo]

Ca veut dire quoi ça?

 

Je vais donc devoir remettre ces deux zèles de nettoyage (en espérant qu'il n'y en a pas d'autre.)

 

J'ai viré des trucs infectés!

 

Si tu trouves que je fais du "zèle", trouve-toi un autre conseiller. (qui te les virera aussi).

 

.....