Rootkit ? getplus_helper

[mrtatou]

je viens poster ici car bleuet de la section software me l'a conseillé.

voici mon probleme:

"

Voila, je suis sous xp et à chaque demarrage du pc j'ai le meme message d'erreur : "erreur de chargement de C:program Files\NOS\bin\getplus_helper_3004.dll" . Je ne trouve rien qui correspond à ce processus, ni dans msconfig, ni dans ajout/suppression de programme. J'ai passé un scan Hijack et j'ai supprimer la ligne, mais rien n'y fait le message recommence à chaque demarrage.

"

 

De plus: ce qui est bizarre c'est que si j'installe une souris, par exemple, en usb, et bien à la fin de l'installation le message d'erreur "erreur de chargement de C:program Files\NOS\bin\getplus_helper_3004.dll" apparait!

 

Voici un lien vers mon post d'origine dans la section software : Mon lien

Un lien vers un log ZHPdiag : Mon lien

 

Merci de votre aide.

antoine

[pear]

Bonjour,

 

Spybot, totalement obsolète va être désinstallé.Vous pourrez utiliser Mbam pour le remplacer.

Auparavant, vous devez faire ceci, avant de lancer Zhpfix:

Pour désactiver TeaTimer qui ne sert à rien et peut faire échouer une désinfection:!

Sous Vista, exécuter avec privilèges Administrateur

Afficher d'abord le Mode Avancé dans SpyBot

->Options Avancées :

- >menu Mode, Mode Avancé.

Une colonne de menus apparaît dans la partie gauche :

- >cliquer sur Outils,

- >cliquer sur Résident,

Dans Résident :

- >décocher Résident "TeaTimer" pour le désactiver.

Effacer le contenu du dossier Snapshots(le contenu de snapshots, pas le fichier snapshots) , sous XP :

C:\Documents and Settings\All Users\Application Data\Spybot - Search &Destroy\Snapshots

Et sous Vista :

C:\ProgramData\Spybot - Search & Destroy\Snapshots

 

Cliquer sur l'icône Zhpfix qui est sur votre bureau

Sous Vista/7 clic-droit, "Exécuter En tant qu'Administrateur

Copiez/Collez les lignes vertes dans le cadre ci dessous:

 

O47 - AAKE:Key Export SP - "C:\Program Files\iMesh Applications\iMesh\iMesh.exe" [Enabled] .(...) -- C:\Program Files\iMesh Applications\iMesh\iMesh.exe (.not file.) => Infection PUP (PUP.iMesh)

O47 - AAKE:Key Export DP - "C:\Program Files\iMesh Applications\iMesh\iMesh.exe" [Enabled] .(...) -- C:\Program Files\iMesh Applications\iMesh\iMesh.exe (.not file.) => Infection PUP (PUP.iMesh)

O64 - Services: CurCS - ??/??/???? - C:\DOCUME~1\PROPRI~1\LOCALS~1\Temp\ldiskl.sys (.not file.) - ldiskl (ldiskl) .(...) - LEGACY_LDISKL => Infection Rootkit (Trojan.NtRootKit.138)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{474597C5-AB09-49d6-A4D5-2E8D7341384E}] => Infection PUP (PUP.iMesh)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{474597C5-AB09-49d6-A4D5-2E8D7341384E}] => Infection PUP (PUP.iMesh)

O4 - HKCU\..\Run: [spybotSD TeaTimer] . (.Safer Networking Limited - System settings protector.) -- C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe => Safer Net Working®Spybot S&D

O4 - HKUS\S-1-5-21-507921405-1390067357-1801674531-1003\..\Run: [spybotSD TeaTimer] . (.Safer Networking Limited - System settings protector.) -- C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe => Safer Net Working®Spybot S&D

O42 - Logiciel: Spybot - Search & Destroy - (.Safer Networking Limited.) [HKLM] -- {B4092C6D-E886-4CB2-BA68-FE5A88D31DE6}_is1 => Safer Networking Limited Spybot - S&D

O42 - Logiciel: Spybot - Search & Destroy 1.4 - (.Safer Networking Limited.) [HKLM] -- Spybot - Search & Destroy_is1 => Spybot Search & Destroy

O43 - CFD: 20/02/2009 - 14:05:14 - [67477604] ----D- C:\Program Files\Spybot - Search & Destroy => Spybot - Search & Destroy

O44 - LFC:[MD5.4EA0E90DC8EB7B54EBDE0D2AF765C530] - 31/08/2011 - 16:39:53 ---A- . (...) -- C:\Ad-Report-CLEAN[1].txt [5879]

O47 - AAKE:Key Export SP - "C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe" [Enabled] .(.Logitech Inc..) -- C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe

O47 - AAKE:Key Export DP - "C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe" [Enabled] .(.Logitech Inc..) -- C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe

O51 - MPSK:{c6d472d6-c5db-11dc-8d7e-001b1108de82}\AutoRun\command. (...) -- C:\WINDOWS\system32\cmd \C launch.bat (.not file.) => Fichier absent

Cliquez ensuite sur le H-

Cliquer sur "OK", ce qui fait apparaître un carré à gauche de chaque ligne.

Cliquer sur "Tous" puis sur "Nettoyer" .

Acceptez de Redémarrer pour achever le nettoyage.

Un rapport apparait:

Si le rapport n'apparait pas,cliquer sur

Copier-coller le rapport de suppression dans la prochaine réponse.

 

 

Téléchargez MBAM

ICI

ou LA

Avant de lancer Mbam

Vous devez d'abord désactiver vos protections mais vous ne savez pas comment faire

Cliquer ici

Branchez tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)

Exécuter avec droits d'administrateur.

Sous Vista , désactiver l'Uac

 

Double cliquez sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation.

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update et Launch soient cochées

MBAM démarrera automatiquement et enverra un message demandant de mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue..

Dans l'onglet "mise à jour", cliquez sur le bouton Recherche de mise à jour:

Si le pare-feu demande l'autorisation de connecter MBAM, acceptez.

Une fois la mise à jour terminée, allez dans l'onglet Recherche.

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

.L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Et un fichier Mbam.log apparaitra

 

 

 

Nettoyage

Relancez Mbam(Malewares'Bytes)

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Sélectionnez tout et cliquez sur Supprimer la sélection ,

MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

puis ouvrir le Bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

Copiez-collez ce rapport dans la prochaine réponse.

[mrtatou]

voici le log ZHP:

Rapport de ZHPFix 1.12.3360 par Nicolas Coolman, Update du 29/08/2011

Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-03-09-2011-21-29-20.txt

Run by Propriétaire at 03/09/2011 21:29:20

Windows XP Home Edition Service Pack 3 (Build 2600)

Web site : ZHPFix Fix de rapport

 

========== Logiciel(s) ==========

SUPPRIME O42 - Logiciel: Spybot - Search & Destroy - (.Safer Networking Limited.) [HKLM] -- {B4092C6D-E886-4CB2-BA68-FE5A88D31DE6}_is1

SUPPRIME O42 - Logiciel: Spybot - Search & Destroy 1.4 - (.Safer Networking Limited.) [HKLM] -- Spybot - Search & Destroy_is1

 

========== Clé(s) du Registre ==========

ABSENT Key: Service Legacy: LEGACY_LDISKL

SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{474597C5-AB09-49d6-A4D5-2E8D7341384E}

SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{474597C5-AB09-49d6-A4D5-2E8D7341384E}

SUPPRIME CLSID MPSK: {c6d472d6-c5db-11dc-8d7e-001b1108de82}

 

========== Valeur(s) du Registre ==========

SUPPRIME AAKE KeyValue: C:\Program Files\iMesh Applications\iMesh\iMesh.exe

ABSENT RunValue: SpybotSD TeaTimer

SUPPRIME AAKE KeyValue: C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe

 

========== Dossier(s) ==========

SUPPRIME Folder: C:\Program Files\Spybot - Search & Destroy

 

========== Fichier(s) ==========

ABSENT File: c:\program files\imesh applications\imesh\imesh.exe

ABSENT File: c:\program files\spybot - search & destroy\teatimer.exe

SUPPRIME File: c:\ad-report-clean[1].txt

SUPPRIME File: c:\program files\logitech\desktop messenger\8876480\program\logitechdesktopmessenger.exe

ABSENT File: c:\program files\logitech\desktop messenger\8876480\program\logitechdesktopmessenger.exe

 

 

========== Récapitulatif ==========

4 : Clé(s) du Registre

3 : Valeur(s) du Registre

1 : Dossier(s)

5 : Fichier(s)

2 : Logiciel(s)

 

 

End of the scan in 00mn 33s

 

========== Chemin de fichier rapport ==========

C:\ZHP\ZHPFix[R1].txt - 03/09/2011 21:29:20 [1959]

[pear]

C'est bien

 

Voyons la suite.

[mrtatou]

J'avais dejà passé un coup de MBMAM, du coup là l'examen ne trouve rien.

[pear]

Pour votre message Getplus:

 

Cliquer sur l'icône Zhpfix qui est sur votre bureau

Sous Vista/7 clic-droit, "Exécuter En tant qu'Administrateur

Copiez/Collez les lignes vertes dans le cadre ci dessous:

 

O3 - Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} . (...) -- (.not file.)

O4 - HKCU\..\RunOnce: [FlashPlayerUpdate] C:\WINDOWS\system32\Macromed\Flash\FlashUtil10i_Plugin.exe (.not file.)

O4 - HKLM\..\RunOnce: [uninstall Adobe Download Manager] C:\Program Files\NOS\bin\getPlus_Helper_3004.dll (.not file.)

 

Cliquez ensuite sur le H-

Cliquer sur "OK", ce qui fait apparaître un carré à gauche de chaque ligne.

Cliquer sur "Tous" puis sur "Nettoyer" .

Acceptez de Redémarrer pour achever le nettoyage.

Un rapport apparait:

Si le rapport n'apparait pas,cliquer sur

Copier-coller le rapport de suppression dans la prochaine réponse.

[mrtatou]

voila le rapport, à noté que depuis ce matin je n'ai plus le message au demarrage del'ordinateur...

merci de ton aide

 

Rapport de ZHPFix 1.12.3360 par Nicolas Coolman, Update du 29/08/2011

Fichier d'export Registre :

Run by Propriétaire at 04/09/2011 16:00:40

Windows XP Home Edition Service Pack 3 (Build 2600)

Web site : ZHPFix Fix de rapport

 

========== Valeur(s) du Registre ==========

SUPPRIME Toolbar: {2318C2B1-4965-11d4-9B18-009027A5CD4F}

ABSENT RunValue: FlashPlayerUpdate

ABSENT RunValue: Uninstall Adobe Download Manager

 

========== Fichier(s) ==========

ABSENT File: c:\windows\system32\macromed\flash\flashutil10i_plugin.exe

ABSENT File: c:\program files\nos\bin\getplus_helper_3004.dll

 

 

========== Récapitulatif ==========

3 : Valeur(s) du Registre

2 : Fichier(s)

 

 

End of the scan in 00mn 04s

 

========== Chemin de fichier rapport ==========

C:\ZHP\ZHPFix[R1].txt - 03/09/2011 20:29:20 [2011]

C:\ZHP\ZHPFix[R2].txt - 03/09/2011 20:31:56 [1669]

C:\ZHP\ZHPFix[R3].txt - 04/09/2011 16:00:40 [904]