[Résolu] PC infecté

[Manon370]

Bonjour,

j'avais un problème de lecture de vidéo sur internet et en essayant de le résoudre le modérateur a trouvé que mon pc était infecté. Il m'a conseillé d'envoyer un post ici avant d'aller plus loin dans la résolution de mon pb.

 

Voici le lien de l'ancienne discussion: http://forum.zebulon.fr/findpost-t189999-p1587952.html

et le lien de l'analyse de logZHPdiag: Accueil de Cjoint.com

 

Merci de votre aide

[Apollo]

Bonsoir Manon (des sources lol).

 

1) Télécharger ATF Cleaner par Atribune.

• Installe-le sur le bureau. (A conserver car très utile après chaque séance de surf)
   
  

|MG| ATF Cleaner 3.0.0.2 Download
 
Double-clique ATF-Cleaner.exe afin de lancer le programme.
--> Sous Vista/7: Clic droit/exécuter en temps qu'administrateur.
 
Sous l'onglet Main, choisis : Select All
Cliquer sur le bouton Empty Selected

Si tu utilises le navigateur Firefox :

• Clique Firefox au haut et choisis : Select All
  Cliquer le bouton Empty Selected
  NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.
  

Si tu utilises le navigateur Opera :

• Clique Opera au haut et choisis : Select All
  Cliquer le bouton Empty Selected
  NOTE : Si tu veux conserver tes mots de passe sauvegardés, cliquer No à l'invite.
  

Clique Exit, du menu principal, afin de fermer le programme.

Pour obtenir du Support technique, double-clique l'adresse électronique située au bas de chacun des menus.

 

--------------------

2) Télécharge Malwarebytes' Anti-Malware (MBAM).

 

Malwarebytes : Malwarebytes Anti-Malware PRO removes malware including viruses, spyware, worms and trojans, plus it protects your computer clique pour la version FREE et enregistre l'exécutable sur le bureau.

 

Si MBAM est déjà installé, aller directement à la mise à jour puis à l'analyse.

 

Ce logiciel est à garder.

 

Uniquement en cas de problème de mise à jour:

 

Télécharger mises à jour MBAM

 

Exécute le fichier après l'installation de MBAM

 

Connecter les supports amovibles (clés usb etc.) avant de lancer l'analyse.

 

• Double clique sur le fichier téléchargé pour lancer le processus d'installation.
  
• Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
  
• Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
  
• Sélectionne "Exécuter un examen complet"
  
• Clique sur "Rechercher"
  
• L'analyse démarre, le scan est relativement long, c'est normal.
  
• A la fin de l'analyse, un message s'affiche :

  L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

  Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
  
• Ferme tes navigateurs.
  
• Si des malwares ont été détectés, clique sur Afficher les résultats.
  Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
  
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

Si MBAM demande à redémarrer le pc, fais-le.

 

Si au redémarrage Windows te dit qu'il a bloqué certains programmes de démarrage, clique sur la bulle puis sur Exécuter les programmes bloqués/Malwarebytes Anti-Malware.

 

@++

[Manon370]

Bonsoir,

voilà, cela a ete très long. $ fichiers infectés, supproimés

Voici le rapport:

 

Malwarebytes' Anti-Malware 1.51.2.1300

www.malwarebytes.org

 

Version de la base de données: 8352

 

Windows 6.0.6002 Service Pack 2

Internet Explorer 9.0.8112.16421

 

2011-12-11 20:45:27

mbam-log-2011-12-11 (20-45-27).txt

 

Type d'examen: Examen complet (C:\|D:\|E:\|)

Elément(s) analysé(s): 437560

Temps écoulé: 2 heure(s), 37 minute(s), 16 seconde(s)

 

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 1

Elément(s) de données du Registre infecté(s): 1

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 4

 

Processus mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Module(s) mémoire infecté(s):

(Aucun élément nuisible détecté)

 

Clé(s) du Registre infectée(s):

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre infectée(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations\bak_Application (Hijacker.Application) -> Value: bak_Application -> Quarantined and deleted successfully.

 

Elément(s) de données du Registre infecté(s):

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations\Application (Hijacker.Application) -> Bad: (http://www.helpmeopen.com/?n=app&ext=%s) Good: (http://shell.windows.com/fileassoc/%04x/xml/redir.asp?Ext=%s) -> Quarantined and deleted successfully.

 

Dossier(s) infecté(s):

(Aucun élément nuisible détecté)

 

Fichier(s) infecté(s):

c:\Users\utilisateur\AppData\Local\Temp\tool.exe (Adware.Dropper) -> Quarantined and deleted successfully.

c:\Users\utilisateur\AppData\Local\Temp\icreinstall\flvplayersetup.exe (Adware.Agent) -> Quarantined and deleted successfully.

c:\Users\utilisateur\AppData\Local\thinstall\Cache\Stubs\31c012aa83bec522ab6c6afd619381cfbf3751\sas.exe (Trojan.Backdoor) -> Quarantined and deleted successfully.

c:\Users\utilisateur\downloads\webplayerv21.exe (Adware.Dropper) -> Quarantined and deleted successfully.

[Apollo]

Re,

 

Fais un nouveau scan ZHPDiag et héberge-le stp: Accueil de Cjoint.com

 

@++

[Manon370]

Lien CJoint.com ALlvBzzVhDN

Voilà,

[Apollo]

Tu n'as plus que 8% d'espace libre sur la partition système et il en faut au minimum 15; il va falloir déplacer des docs perso sur des autres supports (DVD, disque externe, autre partition...)

 

ZHPFix :

 

• Ferme toutes les applications ouvertes
   
  
• Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau
  Important:
  Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur.
   
  
• Clique sur H .
   
  
• Copie-colle les lignes ci-dessous dans la fenêtre

 

[MD5.00000000000000000000000000000000] [APT] [Registry_Doktor] (...) -- C:\Program Files\RegistryDoktor 4.1\RegistryDoktor.exe (.not file.)    
[HKCU\Software\iMesh]    
[MD5.B205D32B93AF178380EC879F74EA5E95] [sPRF][2011-11-30] (.iMesh Inc. - iMesh.) -- C:\Users\utilisateur\AppData\Local\Temp\iMesh_setup.exe   [2404320]     
O87 - FAEL: "{25DB4AD8-6097-4EFB-9993-445BCD840A32}" |In - Domain - P6 - TRUE | .(...) -- C:\Program Files\iMesh Applications\iMesh\iMesh.exe (.not file.)   
O87 - FAEL: "{95A0F0C4-DBB1-4A54-846C-700A9B38FEBE}" |In - Domain - P17 - TRUE | .(...) -- C:\Program Files\iMesh Applications\iMesh\iMesh.exe (.not file.)  
O87 - FAEL: "{8571D31F-CB5E-4898-8F3A-5A7DBDA2A11F}" |In - Private - P6 - TRUE | .(...) -- C:\Program Files\iMesh Applications\iMesh\iMesh.exe (.not file.)   
O87 - FAEL: "{8DAE750B-445D-4816-BF5F-C49C2179F619}" |In - Private - P17 - TRUE | .(...) -- C:\Program Files\iMesh Applications\iMesh\iMesh.exe (.not file.)    
emptytemp
emptyflash
firewallraz

 

• Clique sur l'icône représentant la lettre H (« coller les lignes Helper »). Le script doit automatiquement apparaitre dans ZHPFix, sinon, colle-le.
   
  Clique sur le bouton GO pour lancer le nettoyage

 

• Valide par Oui la désinstallation des programmes si demandé
   
  
• Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC
   
  
• Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.
  Le rapport ZHPFixReport.txt est enregistré sous C:\ZHP\ZHPFixReport.txt

 

Si le Bureau ne réapparaît pas presse Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , tape explorer.exe et valide.

 

@++

[Manon370]

Voici le rapport

Quand j'ai ouvert ZHPFix le code était déjà dans la fenêtre.

Est-ce que je peux copier une partie de mes dossiers dans D pour libérer de l'espace dans C?

 

Rapport de ZHPFix 1.12.3374 par Nicolas Coolman, Update du 05/12/2011

Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-2011-12-11-21-52-09.txt

Run by utilisateur at 2011-12-11 21:52:09

Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)

Web site : ZHPFix Fix de rapport

 

========== Processus mémoire ==========

SUPPRIME Memory Process: C:\Users\utilisateur\AppData\Local\Temp\iMesh_setup.exe

 

========== Clé(s) du Registre ==========

SUPPRIME Key: HKCU\Software\iMesh

 

========== Valeur(s) du Registre ==========

SUPPRIME {25DB4AD8-6097-4EFB-9993-445BCD840A32}

SUPPRIME {95A0F0C4-DBB1-4A54-846C-700A9B38FEBE}

SUPPRIME {8571D31F-CB5E-4898-8F3A-5A7DBDA2A11F}

SUPPRIME {8DAE750B-445D-4816-BF5F-C49C2179F619}

ABSENT Valeur Domain Profile: FirewallRaz :

SUPPRIME FirewallRaz (Private) : TCP Query User{813224B7-98E6-4546-9E2D-2557D770C407}C:\users\utilisateur\program files\dna\btdna.exe

SUPPRIME FirewallRaz (Private) : UDP Query User{68AE8EA2-3B58-4FFF-8FDC-C5A9C5CB9BAD}C:\users\utilisateur\program files\dna\btdna.exe

SUPPRIME FirewallRaz (Public) : TCP Query User{7E2D4231-B859-4E11-A52D-95F36A407DF8}C:\users\utilisateur\program files\dna\btdna.exe

SUPPRIME FirewallRaz (Public) : UDP Query User{17129608-1BB2-4F63-B0F3-DF2B9558B384}C:\users\utilisateur\program files\dna\btdna.exe

SUPPRIME FirewallRaz (None) : {C94B182D-0E7A-48AD-9513-DFD45DDCB83F}

SUPPRIME FirewallRaz (Public) : {4F5474DB-361E-43AB-A783-E5BFCB24665B}

SUPPRIME FirewallRaz (Public) : {340400DA-FA89-4DC1-B3F6-F6F646E3A9A4}

SUPPRIME FirewallRaz (Public) : TCP Query User{32EF0FB2-AE56-4C2E-935A-D5E30A01A4A5}C:\users\utilisateur\appdata\roaming\dropbox\bin\dropbox.exe

SUPPRIME FirewallRaz (Public) : UDP Query User{AF93487A-2339-4E51-BD8F-7FD942F52AB2}C:\users\utilisateur\appdata\roaming\dropbox\bin\dropbox.exe

SUPPRIME FirewallRaz (Private) : {30D28B9F-DF1C-4E42-827A-E14E0BC9E5C7}

SUPPRIME FirewallRaz (Private) : {8A41C56A-4B64-436D-98B7-1C8E5CF682A9}

 

========== Dossier(s) ==========

SUPPRIME Temporaires Windows: : 215

SUPPRIME Flash Cookies: 11

 

========== Fichier(s) ==========

SUPPRIME File: c:\users\utilisateur\appdata\local\temp\imesh_setup.exe

SUPPRIME Temporaires Windows: : 5179

SUPPRIME Flash Cookies: 2

 

========== Tache planifiée ==========

SUPPRIME Task: Registry_Doktor

 

 

========== Récapitulatif ==========

1 : Processus mémoire

1 : Clé(s) du Registre

16 : Valeur(s) du Registre

2 : Dossier(s)

3 : Fichier(s)

1 : Tache planifiée

 

 

End of clean in 00mn 12s

 

========== Chemin de fichier rapport ==========

C:\ZHP\ZHPFix[R1].txt - 2011-12-11 21:52:09 [2566]

 

Merci

[Apollo]

Est-ce que je peux copier une partie de mes dossiers dans D pour libérer de l'espace dans C?

Tu peux déplacer des documents personnels, oui, comme de la musique ou photos, films, PPS, que sais-je...

 

Mais ne pas déplacer de dossiers système, qui doivent rester sur C:\

 

Utilise aussi ATF Cleaner chaque soir et CCleaner (qui le complète bien) mais ne touche pas à la fonction de registre; ce n'est pas bon.

 

Perso, je ne laisse sur C que le système et les programmes; tout ce qui est musique, films, et autres sont sur ma partition D.

 

Comment va le pc?

 

@++

[Manon370]

Le PC semble bien aller mais je ne savais pas au départ qu'il était infecté.

Par contre je ne peux toujours pas lire les vidéos de canal+ ou de dailymotion. IL y a juste un écran noir

[Apollo]

Tout a été mis à jour côté applications?

 

Fais ces vérifications de sécurité stp:

 

Apollo Et Compagnie :: A vérifier de temps en temps, important!

 

Je ne pense pas que ton pc soit encore infecté, mais quand tu as le temps, tu peux toujours vérifier avec un bon scan. (voir KVirus Removal Tool dans ma signature). Cette analyse dure longtemps...

 

Les vidéos sur Youtube ou Dailymotion dépendent essentiellement du Flash Player.

 

Tu peux également demander une aide pour Vista ici: Aide à la résolution de problèmes sur Windows Vista

 

Tu peux garder ZHPDiag, il suffit de le mettre à jour à l'aide de la grosse flèche verte dans son interface de temps en temps; il pourrait encore servir.

 

@++

Modifié le 11 décembre 2011 par Apollo