[Résolu] Infecté par W32/Ramnit.E

[Apollo]

Tu as passsé l'option 2 de RogueKiller?

 

Si non, fais-le.

 

Lance ensuite l'option 4 et poste les rapports stp.

 

Dans le fichier 'C:\Program Files\Anno 1701\Anno1701.exe'

un virus ou un programme indésirable 'W32/Ramnit.C' [virus] a été détecté.

Action exécutée : Refuser l'accès

C'est un jeu cracké? Liquide-le purement et simplement.

 

Ne refuse pas l'accès, supprime le fichier ou flanque-le en quarantaine.

 

Désinstalle le programme dont cet exe fait partie.

 

@++

[Xehan]

Oui c'est un jeux cracké, j'ai tout supprimé.

Pourtant cela fait un moment qu'il est installé, de plus il me semble que les premières alerte ne venaient pas de lui.

 

Rapport RogueKiller Recherche :

Cijoint.fr - Service gratuit de dépôt de fichiers

 

Rapport RogueKiller Suppression :

Cijoint.fr - Service gratuit de dépôt de fichiers

 

Rapport RogueKiller Proxy RAZ :

Cijoint.fr - Service gratuit de dépôt de fichiers

[Apollo]

Tu vas désinstaller KVRT (tu reprendras une version à jour plus tard).

 

Cliquez ici pour télécharger le Remover kavremover.exe.

Enregistrez ce fichier sur votre bureau.

Exécutez le fichier kavremover.exe.

 

 

Patientez le temps de la désinstallation. Une fenêtre s'affiche vous indiquant la suppression terminée.

Cliquez sur OK.

Redémarrez votre pc.

 

----------------------

On va essayer d'éviter le formatage hein.

 

ComboFix ne doit pas être utilisé comme un outil de diagnostic, il ne doit être employé que sur demande expresse d'un conseiller formé à cet outil et sous son contrôle. Cet outil peut être dangereux!

 

Désactiver les protections (antivirus, firewall, antispyware).

Si vous ne savez pas comment faire, reportez-vous à cet article.

 

Connecter les supports amovibles (clé usb et autres) avant de procéder.

 

TUTO Officiel

 

Fais un clic droit ICI

• Dans le menu qui se déroule, choisis "Enregistrer la cible du lien sous" (si tu utilises Firefox) et "Enregistrer la cible sous" (si tu utilises Internet Explorer)
  
• Une fenêtre va s'ouvrir: dans le champs Nom du fichier (en bas ), tape ceci plop
   
  exemple:
   
  
• On va enregistrer ce fichier sur le Bureau: pour cela, sur le panneau de gauche, clique sur le Bureau.
   
  
• Clique enfin sur le bouton Enregistrer en bas de page à droite.
  
• Assure toi que tous les programmes sont fermés avant de lancer le fix!
  
• Fait un double clique sur plop.
  
• Si la console de récupération n'est pas installée sur un XP, ComboFix va proposer de l'installer: Accepte!
   
  
   
  
• Clique sur Oui au message de Limitation de Garantie qui s'affiche.
  
• Il est possible que ton parefeu te demande si tu acceptes ou non l'accès de nircmd.cfexe à la zone sure: accepte!
  
• Note: Ne ferme pas la fenêtre qui vient de s'ouvrir , tu te retrouverais avec un bureau vide !
  
• Lorsque le scan est terminé, un rapport sera généré : poste en le contenu dans ton prochain message.
  

 

Si tu perds la connexion après le passage de ComboFix, voici comment la réparer ICI.

 

NB: Si malgré tout, tu ne parviens pas à réparer la connexion, lis ce sujet stp.

 

Si le message: "Tentative d'opération non autorisée sur une clé du Registre marquée pour suppression".

apparaissait, redémarrer le pc.

 

 

@++

[Xehan]

Rapport ComboFix :

Cijoint.fr - Service gratuit de dépôt de fichiers

[Apollo]

Télécharge AdwCleaner par Xplode: Téléchargements de logiciels - Outils de Xplode - AdwCleaner

 

Enregistre-le sur le bureau (et pas ailleurs).

 

Double clique sous XP (clic droit/exécuter en temps qu'administrateur sous Vista/7) pour lancer l'outil.

 

Clique sur Recherche et laisse travailler l'outil.

 

Le rapport va s'ouvrir en fichier texte; copie la totalité de son contenu et colle-le dans ta réponse.

 

Le rapport est en outre sauvegardé sous C:\AdwCleaner[R1]

[Xehan]

# AdwCleaner v1.305 - Rapport créé le 08/09/2011 à 17:25:00

# Mis à jour le 07/09/11 à 19h par Xplode

# Système d'exploitation : Windows 7 Home Premium (32 bits)

# Nom d'utilisateur : Guillaume - PC-DE-GUILLAUME (Administrateur)

# Exécuté depuis : C:\Users\Guillaume\Desktop\adwcleaner0.exe

# Option [Recherche]

 

 

***** [Processus] *****

 

 

***** [services] *****

 

 

***** [Fichiers / Dossiers] *****

 

Dossier Présent : C:\Users\Guillaume\AppData\Local\AskToolbar

Dossier Présent : C:\Users\Guillaume\AppData\LocalLow\AskToolbar

Dossier Présent : C:\Program Files\Ask.com

Dossier Présent : C:\Windows\Installer\{86D4B82A-ABED-442A-BE86-96357B70F4FE}

Fichier Présent : C:\Windows\system32\Tasks\Scheduled Update for Ask Toolbar

Fichier Présent : C:\Users\Guillaume\AppData\Roaming\Mozilla\Firefox\Profiles\h676pvvb.default\searchplugins\askcom.xml

 

***** [Registre] *****

 

Clé Présente : HKCU\Software\Ask.com

Clé Présente : HKCU\Software\AskToolbar

Clé Présente : HKCU\Software\AppDataLow\AskToolbarInfo

Clé Présente : HKCU\Software\AppDataLow\Software\AskToolbar

Clé Présente : HKLM\SOFTWARE\Classes\GenericAskToolbar.ToolbarWnd

Clé Présente : HKLM\SOFTWARE\Classes\GenericAskToolbar.ToolbarWnd.1

Clé Présente : HKLM\SOFTWARE\Classes\AppID\GenericAskToolbar.DLL

Clé Présente : HKLM\SOFTWARE\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}

Clé Présente : HKLM\SOFTWARE\Classes\CLSID\{00000000-6E41-4FD3-8538-502F5495E5FC}

Clé Présente : HKLM\SOFTWARE\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}

Clé Présente : HKLM\SOFTWARE\Classes\Installer\Products\A28B4D68DEBAA244EB686953B7074FEF

Clé Présente : HKLM\SOFTWARE\Classes\Installer\Features\A28B4D68DEBAA244EB686953B7074FEF

Clé Présente : HKLM\SOFTWARE\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}

Clé Présente : HKLM\SOFTWARE\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}

Clé Présente : HKLM\SOFTWARE\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}

Clé Présente : HKLM\SOFTWARE\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}

Clé Présente : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}

Clé Présente : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}

Clé Présente : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}

Clé Présente : HKCU\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}

Clé Présente : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{A5AA24EA-11B8-4113-95AE-9ED71DEAF12A}

Clé Présente : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{D4027C7F-154A-4066-A1AD-4243D8127440}

Clé Présente : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{86D4B82A-ABED-442A-BE86-96357B70F4FE}

Clé Présente : HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Scheduled Update for Ask Toolbar

Valeur Présente : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{00000000-6E41-4FD3-8538-502F5495E5FC}]

Valeur Présente : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{D4027C7F-154A-4066-A1AD-4243D8127440}]

Valeur Présente : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{D4027C7F-154A-4066-A1AD-4243D8127440}]

 

***** [Navigateurs] *****

 

-\\ Internet Explorer v9.0.8112.16421

 

[HKCU\..\Main - Start Page] = hxxp://fr.ask.com?o=15446&l=dis

 

-\\ Mozilla Firefox v3.6.22 (fr)

 

Profil : h676pvvb.default

Fichier : C:\Users\Guillaume\AppData\Roaming\Mozilla\Firefox\Profiles\h676pvvb.default\prefs.js

 

Présente : user_pref("extensions.asktb.cbid", "GX");

Présente : user_pref("extensions.asktb.default-channel-url-mask", "hxxp://fr.ask.com/web?q={query}&qsrc={qsrc}&o={o}&l={l}");

Présente : user_pref("extensions.asktb.dtid", "YYYYYYB3FR");

Présente : user_pref("extensions.asktb.fresh-install", false);

Présente : user_pref("extensions.asktb.l", "dis");

Présente : user_pref("extensions.asktb.last-config-req", "1281079664536");

Présente : user_pref("extensions.asktb.locale", "fr_FR");

Présente : user_pref("extensions.asktb.o", "15443");

Présente : user_pref("extensions.asktb.overlay-reloaded-using-restart", true);

Présente : user_pref("extensions.asktb.qsrc", "2871");

Présente : user_pref("extensions.asktb.r", "3");

 

*************************

 

AdwCleaner[R1].txt - [4435 octets] - [08/09/2011 17:25:00]

 

########## EOF - C:\AdwCleaner[R1].txt - [4563 octets] ##########

[Apollo]

Relance AdwCleaner et clique cette fois sur Suppression.

A la fin le rapport s'ouvrira; copie/colle tout son contenu dans ta réponse.

 

Le rapport est également sauvegardé sous c:\AdwCleaner [s1]

 

Désinstalle l'outil avec le bouton prévu à cet effet. (après avoir posté le rpport stp)

 

-------------

Télécharge Ad-Remover de C-XX et Enregistre-le sur le bureau.

 

Ad-Remover : Telechargement

 

Ferme toutes les applications ouvertes pour l'installer.

 

Sous XP: Double-clique, (Clic droit/exécuter comme administrateur pour Vista/7) sur l'icône placée sur le bureau.

 

Si le firewall se manifeste, accorde les autorisations à l'outil pour qu'il puisse travailler.

 

Clique sur nettoyer,

 

Poste le rapport c:\Adreport-clean

 

Est-ce qu'antivir réclame toujours?

 

@++

[Xehan]

Pas de mouvement signalé de la part d'Antivir

Je ne retrouve plus le rapport Adwcleaner, j'ai du aller trop vite dans la suppresion.

Je recommence cette étape?

 

Rapport Ad-Remover :

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

 

Mis à jour par TeamXscript le 12/04/11

Contact: AdRemover[DOT]contact[AT]gmail[DOT]com

Site web: TeamXscript : AD-Remover - FindyKill - UsbFix - SEAF

 

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 17:40:59 le 08/09/2011, Mode normal

 

Microsoft Windows 7 Édition Familiale Premium (X86)

Guillaume@PC-DE-GUILLAUME (Hewlett-Packard Compaq Presario CQ71 Notebook PC)

 

============== ACTION(S) ==============

 

 

Dossier supprimé: C:\Users\Guillaume\AppData\Roaming\CrazyLoader

Dossier supprimé: C:\Users\Guillaume\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\CrazyLoader

Dossier supprimé: C:\Program Files\CrazyLoader

Fichier supprimé: C:\Users\Public\Desktop\Everest Poker.fr.lnk

Fichier supprimé: C:\Users\Guillaume\Downloads\PartyPokerFrSetup.exe

 

(!) -- Fichiers temporaires supprimés.

 

 

-- Fichier ouvert: C:\Users\Guillaume\AppData\Roaming\Mozilla\FireFox\Profiles\h676pvvb.default\Prefs.js --

Ligne supprimée: user_pref("browser.search.defaultengine", "Ask.com");

Ligne supprimée: user_pref("browser.search.defaultenginename", "Ask.com");

Ligne supprimée: user_pref("browser.search.order.1", "Ask.com");

-- Fichier Fermé --

 

 

Clé supprimée: HKLM\Software\Classes\CLSID\{6DF77AA3-27AF-46f2-A1DA-B569AC6BEEFF}

Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{6DF77AA3-27AF-46f2-A1DA-B569AC6BEEFF}

Clé supprimée: HKLM\Software\Classes\CLSID\{6F6C45E4-E231-4F0F-8CD8-AA5770303EAA}

Clé supprimée: HKLM\Software\Classes\Interface\{6F6C45E4-E231-4F0F-8CD8-AA5770303EAA}

Clé supprimée: HKLM\Software\Classes\CLSID\{86460CE5-46A0-4543-B8FE-2D2AE182A2FE}

Clé supprimée: HKLM\Software\Classes\Interface\{471E3998-588E-41D5-A874-FA11C44B70DE}

Clé supprimée: HKLM\Software\Classes\Interface\{D4E856E7-C034-49BA-BFEF-B785F3CBD7BA}

Clé supprimée: HKLM\Software\Classes\Interface\{DB7A9C36-6C85-48BE-BA8D-151B6B144BE0}

Clé supprimée: HKLM\Software\Classes\Interface\{F77F3DFC-F5DC-4316-AB50-B50B16F2BEF4}

Clé supprimée: HKLM\Software\Classes\TypeLib\{63AF3145-D2DC-4F1D-BB3A-3AAD9FEC3430}

Clé supprimée: HKLM\Software\Classes\TypeLib\{D530F69A-EB2D-4EC6-BD37-E123AEFCA011}

Clé supprimée: HKLM\Software\Classes\Crazyloader.Spointer

Clé supprimée: HKLM\Software\Classes\Crazyloader.Spointer.1

Clé supprimée: HKLM\Software\Classes\Crazyloader.SpointerCtrl

Clé supprimée: HKLM\Software\Classes\Crazyloader.SpointerCtrl.1

Clé supprimée: HKCU\Software\Grand Virtual

Clé supprimée: HKCU\Software\Spointer

Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Userdata\S-1-5-18\Products\A28B4D68DEBAA244EB686953B7074FEF

Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{DBA4B812-2415-4000-AFCB-56F53E668DC5}

Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\CrazyLoader

Erreur suppression clé: HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Scheduled Update for Ask Toolbar

 

Valeur supprimée: HKLM\Software\Mozilla\Firefox\Extensions|crazyloader@spointer.com

 

 

============== SCAN ADDITIONNEL ==============

 

**** Mozilla Firefox Version [3.6.22 (fr)] ****

 

HKLM_MozillaPlugins\@pandonetworks.com/PandoWebPlugin (x)

HKLM_MozillaPlugins\Adobe Reader (x)

HKCU_MozillaPlugins\pandonetworks.com/PandoWebPlugin (x)

Extensions\toolbar@iadah.com (Toolbar Iadah)

 

-- C:\Users\Guillaume\AppData\Roaming\Mozilla\FireFox\Profiles\h676pvvb.default --

Extensions\toolbar@iadah.com (?)

Searchplugins\iadah.xml (<SearchPlugin xmlns=hxxp://www.mozilla.org/2006/browser/search/<ShortNameiadah</ShortName<Descriptioniadah</Description<...)

Prefs.js - browser.download.dir, C:\\Users\\Guillaume\\Desktop

Prefs.js - browser.download.lastDir, C:\\Users\\Guillaume\\Downloads

Prefs.js - browser.search.selectedEngine, Google

Prefs.js - browser.startup.homepage, hxxp://www.google.com/webhp?hl=fr

Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.2.22

Prefs.js - keyword.URL, hxxp://www.iadah.com/?search&q=

 

-- C:\Users\Invité\AppData\Roaming\Mozilla\FireFox\Profiles\rtgafzbd.default --

Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.2.15

 

========================================

 

**** Internet Explorer Version [9.0.8112.16421] ****

 

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome

HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896

HKCU_Main|Start Page - hxxp://fr.msn.com/

HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896

HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm

HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

HKLM_Main|Start Page - hxxp://fr.msn.com/

HKCU_SearchScopes\{7C003F23-EA52-4F20-8D81-B9AD1C621804} - "Kelkoo" (hxxp://fr.kelkoopartners.net/ctl/do/search?siteSearchQuery={searchTerms}&fromfor...)

HKCU_SearchScopes\{9cf8da23-249b-4e72-bff8-3053e122cde8} - "iadah" (hxxp://www.iadah.com/?search&q={searchTerms})

HKLM_SearchScopes\{7C003F23-EA52-4F20-8D81-B9AD1C621804} - "Kelkoo" (hxxp://fr.kelkoopartners.net/ctl/do/search?siteSearchQuery={searchTerms}&fromfor...)

HKCU_Toolbar\WebBrowser|{DE9C389F-3316-41A7-809B-AA305ED9D922} (C:\Program Files\AOL\AOL Toolbar 5.0\aoltb.dll)

HKLM_Toolbar|{DE9C389F-3316-41A7-809B-AA305ED9D922} (C:\Program Files\AOL\AOL Toolbar 5.0\aoltb.dll)

HKLM_Toolbar|{3EA8D036-C9E7-4721-BCDF-C13D00C4CC39} (C:\Program Files\DevNet\Toolbar\DevNet.dll)

HKCU_ElevationPolicy\{30E4B230-AC56-4D52-B19E-36E2C3A2804D} - C:\Users\Guillaume\AppData\Local\Hook Network\Raccourcis Internet Explorer 9\2.0.0.1\IE9PinnedSitesHelper.exe (Hook Network)

HKLM_ElevationPolicy\{07d873dc-b9b9-44f5-af0b-fb59fa54fb7a} - C:\Windows\system32\wpcer.exe (x)

HKLM_ElevationPolicy\{0a402d70-1f10-4ae7-bec9-286a98240695} - C:\Windows\system32\winfxdocobj.exe (x)

HKLM_ElevationPolicy\{43023B0B-C598-4935-808C-990E0C700723} - C:\Program Files\DevNet\Toolbar\DevNetUpdater.exe (DevNet)

HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files\Internet Explorer\iedw.exe (x)

HKLM_ElevationPolicy\{ADADAEE2-457A-4984-A57C-E01C3A2BA612} - c:\program files\aol\aol toolbar 5.0\AolTbServer.exe (AOL LLC)

HKLM_Extensions\{90EAE591-7E7E-434a-8E28-ECFD00071806} - "PokerStars.fr" (C:\Program Files\PokerStars.FR\main.ico)

BHO\{7C554162-8CB7-45A4-B8F4-8EA1C75885F9} - "AOL Toolbar BHO" (C:\Program Files\AOL\AOL Toolbar 5.0\aoltb.dll)

 

========================================

 

C:\Program Files\Ad-Remover\Quarantine: 300 Fichier(s)

C:\Program Files\Ad-Remover\Backup: 15 Fichier(s)

 

C:\Ad-Report-CLEAN[1].txt - 08/09/2011 17:41:02 (6828 Octet(s))

 

Fin à: 17:41:52, 08/09/2011

 

============== E.O.F ==============

Modifié le 8 septembre 2011 par Xehan

[Apollo]

Je ne retrouve plus le rapport Adwcleaner,

 

Il est sur le C:\AdwCleaner [s1]

 

 

Si tu ne le trouves pas refais la procédure de suppression avec AdwCleaner.

 

@++

Modifié le 8 septembre 2011 par Apollo

[Xehan]

# AdwCleaner v1.305 - Rapport créé le 08/09/2011 à 18:03:07

# Mis à jour le 07/09/11 à 19h par Xplode

# Système d'exploitation : Windows 7 Home Premium (32 bits)

# Nom d'utilisateur : Guillaume - PC-DE-GUILLAUME (Administrateur)

# Exécuté depuis : C:\Users\Guillaume\Desktop\adwcleaner0.exe

# Option [suppression]

 

 

***** [KillNav] *****

 

Aucun navigateur n'était en cours d'exécution.

 

***** [Processus] *****

 

 

***** [services] *****

 

 

***** [Fichiers / Dossiers] *****

 

 

***** [Registre] *****

 

 

***** [Navigateurs] *****

 

-\\ Internet Explorer v9.0.8112.16421

 

[OK] Le registre ne contient aucune entrée illégitime.

 

-\\ Mozilla Firefox v3.6.22 (fr)

 

Profil : h676pvvb.default

Fichier : C:\Users\Guillaume\AppData\Roaming\Mozilla\Firefox\Profiles\h676pvvb.default\prefs.js

 

[OK] Le fichier ne contient aucune entrée illégitime.

 

*************************

 

AdwCleaner[s1].txt - [900 octets] - [08/09/2011 18:03:07]

 

########## EOF - C:\AdwCleaner[s1].txt - [1027 octets] ##########