Éradication de Bagle

bernard53 · le 14 mai 2011

ok passe MalwaresBytes et on verra ensuite pour ton DD externe.

CandyFana · le 14 mai 2011

Malwarebytes' Anti-Malware 1.50.1.1100

www.malwarebytes.org

Version de la base de données: 6577

Windows 5.1.2600 Service Pack 1

Internet Explorer 6.0.2800.1106

14/05/2011 20:03:28

mbam-log-2011-05-14 (20-03-28).txt

Type d'examen: Examen complet (C:\|D:\|J:\|)

Elément(s) analysé(s): 244733

Temps écoulé: 31 minute(s), 47 seconde(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 1

Valeur(s) du Registre infectée(s): 2

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 10

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):

HKEY_CURRENT_USER\SOFTWARE\bisoft (Worm.Bagle) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Extensions\CmdMapping\{B58926D6-CFB0-45d2-9C28-4B5A0F0368AE} (Adware.ClickPotato) -> Value: {B58926D6-CFB0-45d2-9C28-4B5A0F0368AE} -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):

(Aucun élément nuisible détecté)

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

Fichier(s) infecté(s):

c:\téléchargements\VLCSetup.exe (Adware.Hotbar) -> Quarantined and deleted successfully.

c:\téléchargements\dreamweaver v8 fr\Keygen\[macromedia.studio.8.0].macromedia.studio.v8.0.keygen.exe (RiskWare.Tool.CK) -> Quarantined and deleted successfully.

c:\UsbFix\quarantine\C\DOCUME~1\ADMINI~1\LOCALS~1\Temp\cvasds0.dll.vir (Spyware.OnlineGames) -> Quarantined and deleted successfully.

c:\UsbFix\quarantine\C\DOCUME~1\ADMINI~1\LOCALS~1\Temp\cvasds1.dll.vir (Spyware.OnlineGames) -> Quarantined and deleted successfully.

c:\UsbFix\quarantine\C\DOCUME~1\ADMINI~1\LOCALS~1\Temp\herss.exe.vir (Worm.Taterf) -> Quarantined and deleted successfully.

c:\UsbFix\quarantine\J\0qw6vege.exe.vir (Spyware.Password) -> Quarantined and deleted successfully.

c:\UsbFix\quarantine\J\1hqup.exe.vir (Spyware.OnlineGames) -> Quarantined and deleted successfully.

c:\UsbFix\quarantine\J\2id9.exe.vir (Spyware.Password) -> Quarantined and deleted successfully.

c:\UsbFix\quarantine\J\31lyx.exe.vir (Spyware.OnlineGames) -> Quarantined and deleted successfully.

c:\UsbFix\quarantine\J\sp1jensi.exe.vir (Spyware.Password) -> Quarantined and deleted successfully.

CandyFana · le 14 mai 2011

Voila le rapport Diaz; me semble encore y voir pas mal de trucs qui ne devraient pas du tout s'y trouver..

Mon rapport

ETTTTT test : mon disque dur externe n'est toujours pas reconnu.. Et l'imprimande non plus.

Alors si Bagle est mort; le problème n'est pas résolu.. :outch: :outch:

:cry2: :cry2: :cry2: :cry2: :cry2: :cry2: :cry2: :cry2: :cry2: :cry2: :cry2: :cry2: :gun: :-(

Modifié le 14 mai 2011 par CandyFana

CandyFana · le 15 mai 2011

Ce matin, je réessaye et... Miracle, les USB semblent refonctionner.. MAIS

Si l'imprimande par exemple va..

Le disque dur externe est reconnu, j'ai même tenté 2 fois, mais il reste vide !

Comme hier matin d'ailleurs..

l'icone a fini par apparaitre à la 2eme tentative (mais j'entend le son de connection USB) mais si je clique dessus : RIEN sur Le HD.

j'ai eu peur qu'on ait effacé hier, alors j'ai tenté d'ouvrir un nouveau dossier : FAUTE de windows : impossible il n'y a rien.

Puis je retenter un USB fix si il est semi reconnu, ou devrais-je plutot aller sur un PC ou il est reconnu et la lancer toute une série de programme ci-dessus pour analyser le HD qui lui aussi est surement infecté ??

BON non, c'est reparti..

j'ai mis la clef USB : premiere fois reconnue fausse : virtuel I : me disent-ils comme le HD externe, donc impossible à ouvrir..

je remet la clef de retour, la elle est reconnue.

je retente le disque dur..

De retour plus rien ne va, le son USB est parti, c'est reparti pour un tour..

Pourtant j'avais bien mis la clef dans le port USB au moment de la désinfection.

Donc le problème serait ailleurs ?? ou Bagle pourrait encore être sur la clef ??

Modifié le 15 mai 2011 par CandyFana

bernard53 · le 15 mai 2011

1-Ton système de restauration est désactivé et cela peux pourtant te rendre un bon service de temps en temps donc à moins que tu ne préfères pas je te propose de réactiver celle-ci.

Pour XP:

Activer la Restauration du système

1-Dans la barre des tâches de Windows, cliquez sur Démarrer.

2-Cliquez avec le bouton droit de la souris sur Poste de travail puis cliquez sur Propriétés.

3-Dans l'onglet Restauration du système, désélectionnez Désactiver la Restauration du système ou Désactiver la Restauration du système sur tous les lecteurs.

Si vous ne voyez pas l'onglet Restauration du système, vous n’êtes pas connecté sous Windows comme Administrateur.

4-Cliquez sur Appliquer.

5-Lorsque le message de confirmation apparaît, cliquez sur Oui.

6-Cliquez sur OK.

**bien sur une fois cela effectué créer un point de restauration facilement reconnaissable**

Pour Vista et Seven

Pour ouvrir Système, cliquez sur le bouton Démarrer, sur Panneau de configuration, sur Système et maintenance, puis sur Système.

Dans le volet gauche, cliquez sur Protection du système. Si vous êtes invité à fournir un mot de passe administrateur ou une confirmation, fournissez le mot de passe ou la confirmation.

Pour activer la Protection du système pour un disque dur, activez la case à cocher en regard du disque, puis cliquez sur OK.

– ou –

Pour désactiver la Protection du système pour un disque dur, désactivez la case à cocher en regard du disque, puis cliquez sur OK.

**bien sur une fois cela effectué créer un point de restauration facilement reconnaissable**

Ensuite pas d'intrus selon le rapport mais plutôt de superflus donc ceci.

* Copie le tout le texte présent dans l'encadré ci-dessous (tu le sélectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C)

O4 - HKLM\..\Run: [TaskTray] Clé orpheline

O4 - HKLM\..\Run: [KernelFaultCheck] Clé orpheline

O4 - HKCU\..\Run: [ATI Launchpad] Clé orpheline

O4 - HKUS\S-1-5-21-1844237615-1592454029-682003330-500\..\Run: [ATI Launchpad] Clé orpheline

O42 - Logiciel: Conduit Engine - (.Conduit Ltd..) [HKLM] -- conduitEngine

O42 - Logiciel: myBabylon English Toolbar - (.myBabylon English.) [HKLM] -- myBabylon_English Toolbar

[HKCU\Software\Conduit]

[HKCU\Software\conduitEngine]

[HKLM\Software\Conduit]

O43 - CFD: 25/07/2010 - 0:56:48 - [532064] ----D- C:\Program Files\Conduit

O43 - CFD: 7/05/2011 - 9:19:04 - [76044] ----D- C:\Program Files\ConduitEngine

O52 - TDSD: \Drivers32\"VIDC.VCR2"="ATIVCR2.DLL" . (.Pas de propriétaire - Pas de description.) -- (.not file.)

O52 - TDSD: \Drivers32\"VIDC.DRAW"="DVIDEO.DLL" . (.Pas de propriétaire - Pas de description.) -- (.not file.)

O52 - TDSD: \Drivers32\"VIDC.VCR1"="ATIVCR1.DLL" . (.Pas de propriétaire - Pas de description.) -- (.not file.)

O52 - TDSD: \drivers.desc\"ir50_32.dll"="Indeo® video 5.10" . (.Pas de propriétaire - Pas de description.) -- (.not file.)

O52 - TDSD: \drivers.desc\"DivX.dll"="DivX 6.8.5 Codec" . (.Pas de propriétaire - Pas de description.) -- (.not file.)

O52 - TDSD: \drivers.desc\"x264vfw.dll"="x264vfw - H.264/MPEG-4 AVC codec" . (.Pas de propriétaire - Pas de description.) -- (.not file.)

O69 - SBI: SearchScopes [HKCU] {afdbddaa-5d3f-42ee-b79c-185a7020515b} [DefaultScope] - (Tom's Guide France Customized Web Search) - http://search.conduit.com

[HKLM\Software\Classes\Conduit.Engine]

[HKLM\Software\Classes\Toolbar.CT1460988]

[HKLM\Software\Classes\Toolbar.CT2583879]

[HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}]

[HKCU\Software\Conduit]

[HKLM\Software\Conduit]

[HKCU\Software\conduitEngine]

[HKLM\Software\conduitEngine]

[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\conduitEngine]

C:\Program Files\Conduit

C:\Program Files\ConduitEngine

C:\Documents and Settings\Administrateur\Local Settings\Application Data\Conduit

C:\Documents and Settings\Administrateur\Local Settings\Application Data\ConduitEngine

FirewallRaz

EmptyFlash

Emptytemp

Puis Lance ZHPFix depuis le raccourci du bureau.

Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)

- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes

- Clique sur le bouton « GO » pour lancer le nettoyage,

- Copie/colle la totalité du rapport dans ta prochaine réponse

-> laisse travailler l'outil et ne touche à rien ...

Une fois terminée, un nouveau rapport s'affiche : copie/colle le contenu de ce dernier dans ta prochaine réponse ...

(ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ZHPFixReport.txt)

Important : s'il t'est demandé de redémarrer le PC pour finir le nettoyage, fais le de suite !

Ensuite pour ton DD.

1-vérifies ici que tu n'as pas besoin de mettre à jour certains pilotes.

Mes Drivers - détection en ligne automatique de la configuration matérielle et des drivers compatibles

2-si tout est OK pour les drivers ceci alors.

Télécharger WSCC ici: WSCC

Ensuite lance le puis dans la fenêtre qui va s'afficher choisi ceci :

Lance USBDeview

Exemple pour moi cette clé USB.

Comme tu le constates on voit la lettre qui est ou était attribuée à ce périphérique.

Donc clique droit sur cette ligne et choisi Uninstall Selected Devices .

**Pour toi regarde si ton DD ne serait pas reconnu déjà et donc fait sa suppression.**

Ceci a pour but de désinstaller complètement les pilotes de ce périphérique et ainsi d'avoir à la prochaine connexion une nouvelle reconnaissance et installation des pilotes concernés.

**Bien sur tout cela avec les périphériques non connectés**

Redémarres le pc ensuite et vérifies de nouveau ton DD.

CandyFana · le 15 mai 2011

Bon..

La restauration système, désolée, mais je préfère ne pas le réactiver. cela ne m'a jamais que poser des problèmes.

Depuis que je le désactive bien, je n'ai que très très rarement des infections.

D'ailleurs avant, l'antivirus tournait toujours ET malgré tout, j'étais 1 fois l'an infectée par une saloperie.. j'ai même eu une saloperie installée DANS SPYBOT..

Depuis : pour économiser des ressources, j'ai bien un firewall, mais plus d'antivirus..

ET : comme avant, une belle infection une fois l'an à peu près.. hahaha

2) je vais bien copier les lignes et faire tout ce que tu demandes après.

3) pour 'taider dans tes réflexions :

si je copie du HD externe vers la clef sur un autre PC, cela va vite; mais si je copie de MON PC vers la clef ou de la clef vers le PC, c'est archi lent..

Par contre si je copie de mon HD C vers mon HD D la cela va vitesse normale.

j'avais même que l'affichage était chaque fois changé, mais je crois que c'était Bagle, parce que là, c'est de retour normal..

bernard53 · le 15 mai 2011

1-si tu navigues sans antivirus normal que tu es une infection et 1 pas an, tu ne dois pas beaucoup naviguer :-?

2-la restauration n'as jamais infectée un pc, si une détection est faite dans celle-ci c'est ton système qui était infectée avant.

3-que veuc tu dire par:

si je copie du HD externe vers la clef sur un autre PC

vers une clé USB, c'est cela que tu veux dire :chpas:

CandyFana · le 15 mai 2011

Voici mon rapport..

Mais pendant l'effacement, il est venu me dire qu'il y avait une erreur..

je pense que cela se voit dans le rapport..

Rapport de ZHPFix 1.12.3280 par Nicolas Coolman, Update du 02/05/2011

Fichier d'export Registre : C:\ZHPExportRegistry-15-05-2011-13-37-46.txt

Run by Administrateur at 15/05/2011 13:37:46

Windows XP Professional Service Pack 1 (Build 2600)

Web site : ZHPFix Fix de rapport

========== Logiciel(s) ==========

O42 - Logiciel: myBabylon English Toolbar - (.myBabylon English.) [HKLM] -- myBabylon_English Toolbar => Logiciel supprimé avec succès

========== Clé(s) du Registre ==========

O42 - Logiciel: Conduit Engine - (.Conduit Ltd..) [HKLM] -- conduitEngine => Désinstallation logicielle annulée par l'utilisateur ou désinstallation partielle!

HKCU\Software\Conduit => Clé supprimée avec succès

HKCU\Software\conduitEngine => Clé supprimée avec succès

HKLM\Software\Conduit => Clé supprimée avec succès

O69 - SBI: SearchScopes [HKCU] {afdbddaa-5d3f-42ee-b79c-185a7020515b} [DefaultScope] - (Tom's Guide France Customized Web Search) - http://search.conduit.com => Clé supprimée avec succès

HKLM\Software\Classes\Conduit.Engine => Clé supprimée avec succès

HKLM\Software\Classes\Toolbar.CT1460988 => Clé supprimée avec succès

HKLM\Software\Classes\Toolbar.CT2583879 => Clé supprimée avec succès

HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b} => Clé absente

HKLM\Software\conduitEngine => Clé supprimée avec succès

HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\conduitEngine => Clé supprimée avec succès

========== Valeur(s) du Registre ==========

O4 - HKLM\..\Run: [TaskTray] Clé orpheline => Valeur supprimée avec succès

O4 - HKLM\..\Run: [KernelFaultCheck] Clé orpheline => Valeur supprimée avec succès

O4 - HKCU\..\Run: [ATI Launchpad] Clé orpheline => Valeur supprimée avec succès

O4 - HKUS\S-1-5-21-1844237615-1592454029-682003330-500\..\Run: [ATI Launchpad] Clé orpheline => Valeur absente

O52 - TDSD: \Drivers32\"VIDC.VCR2"="ATIVCR2.DLL" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur supprimée avec succès

O52 - TDSD: \Drivers32\"VIDC.DRAW"="DVIDEO.DLL" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur supprimée avec succès

O52 - TDSD: \Drivers32\"VIDC.VCR1"="ATIVCR1.DLL" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur supprimée avec succès

O52 - TDSD: \drivers.desc\"ir50_32.dll"="Indeo® video 5.10" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur supprimée avec succès

O52 - TDSD: \drivers.desc\"DivX.dll"="DivX 6.8.5 Codec" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur supprimée avec succès

O52 - TDSD: \drivers.desc\"x264vfw.dll"="x264vfw - H.264/MPEG-4 AVC codec" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur supprimée avec succès

FirewallRaz : Aucune valeur présente dans la clé de registre "Standard Profile"

FirewallRaz : Aucune valeur présente dans la clé de registre "Domain Profile"

FirewallRaz : Aucune valeur présente dans la clé d'exception du registre

========== Dossier(s) ==========

Dossiers temporaires Windows supprimés: 97

========== Fichier(s) ==========

Fichiers temporaires Windows supprimés : 644

========== Récapitulatif ==========

11 : Clé(s) du Registre

13 : Valeur(s) du Registre

1 : Dossier(s)

1 : Fichier(s)

1 : Logiciel(s)

End of the scan

CandyFana · le 15 mai 2011

Recommencé avec la clef USB dedans :

Rapport de ZHPFix 1.12.3280 par Nicolas Coolman, Update du 02/05/2011

Fichier d'export Registre : C:\ZHPExportRegistry-15-05-2011-13-41-23.txt

Run by Administrateur at 15/05/2011 13:41:23

Windows XP Professional Service Pack 1 (Build 2600)

Web site : ZHPFix Fix de rapport

========== Logiciel(s) ==========

O42 - Logiciel: Conduit Engine - (.Conduit Ltd..) [HKLM] -- conduitEngine => Logiciel déjà supprimé

O42 - Logiciel: myBabylon English Toolbar - (.myBabylon English.) [HKLM] -- myBabylon_English Toolbar => Logiciel déjà supprimé

========== Clé(s) du Registre ==========

HKCU\Software\Conduit => Clé absente

HKCU\Software\conduitEngine => Clé absente

HKLM\Software\Conduit => Clé absente

O69 - SBI: SearchScopes [HKCU] {afdbddaa-5d3f-42ee-b79c-185a7020515b} [DefaultScope] - (Tom's Guide France Customized Web Search) - http://search.conduit.com => Clé absente

HKLM\Software\Classes\Conduit.Engine => Clé absente

HKLM\Software\Classes\Toolbar.CT1460988 => Clé absente

HKLM\Software\Classes\Toolbar.CT2583879 => Clé absente

HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b} => Clé absente

HKLM\Software\conduitEngine => Clé absente

HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\conduitEngine => Clé absente

========== Valeur(s) du Registre ==========

O4 - HKLM\..\Run: [TaskTray] Clé orpheline => Valeur absente

O4 - HKLM\..\Run: [KernelFaultCheck] Clé orpheline => Valeur absente

O4 - HKCU\..\Run: [ATI Launchpad] Clé orpheline => Valeur absente

O4 - HKUS\S-1-5-21-1844237615-1592454029-682003330-500\..\Run: [ATI Launchpad] Clé orpheline => Valeur absente

O52 - TDSD: \Drivers32\"VIDC.VCR2"="ATIVCR2.DLL" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur absente

O52 - TDSD: \Drivers32\"VIDC.DRAW"="DVIDEO.DLL" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur absente

O52 - TDSD: \Drivers32\"VIDC.VCR1"="ATIVCR1.DLL" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur absente

O52 - TDSD: \drivers.desc\"ir50_32.dll"="Indeo® video 5.10" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur absente

O52 - TDSD: \drivers.desc\"DivX.dll"="DivX 6.8.5 Codec" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur absente

O52 - TDSD: \drivers.desc\"x264vfw.dll"="x264vfw - H.264/MPEG-4 AVC codec" . (.Pas de propriétaire - Pas de description.) -- (.not file.) => Valeur absente

FirewallRaz : Aucune valeur présente dans la clé de registre "Standard Profile"

FirewallRaz : Aucune valeur présente dans la clé de registre "Domain Profile"

FirewallRaz : Aucune valeur présente dans la clé d'exception du registre

========== Dossier(s) ==========

Dossiers temporaires Windows supprimés: 2

========== Fichier(s) ==========

Fichiers temporaires Windows supprimés : 2

========== Récapitulatif ==========

10 : Clé(s) du Registre

13 : Valeur(s) du Registre

1 : Dossier(s)

1 : Fichier(s)

2 : Logiciel(s)

End of the scan

Recommencé avec la clef USB dedans :

Rapport de ZHPFix 1.12.3280 par Nicolas Coolman, Update du 02/05/2011

Fichier d'export Registre : C:\ZHPExportRegistry-15-05-2011-13-41-23.txt

Run by Administrateur at 15/05/2011 13:41:23

Windows XP Professional Service Pack 1 (Build 2600)

Web site : ZHPFix Fix de rapport

========== Logiciel(s) ==========

O42 - Logiciel: Conduit Engine - (.Conduit Ltd..) [HKLM] -- conduitEngine => Logiciel déjà supprimé

O42 - Logiciel: myBabylon English Toolbar - (.myBabylon English.) [HKLM] -- myBabylon_English Toolbar => Logiciel déjà supprimé

========== Clé(s) du Registre ==========

HKCU\Software\Conduit => Clé absente

HKCU\Software\conduitEngine => Clé absente

HKLM\Software\Conduit => Clé absente

O69 - SBI: SearchScopes [HKCU] {afdbddaa-5d3f-42ee-b79c-185a7020515b} [DefaultScope] - (Tom's Guide France Customized Web Search) - http://s earch.conduit.com => Clé absente