PC infecté

[AlbertMuda]

Bonjour,

 

Suite à un fichier HOSTS non modifiable (pb résolu, il était bloqué par Zone Alarm), j'ai posté un rapport qui semble indiquer que mon PC est infecté.

 

A noter que je peux y voir des noms d'utilisateurs non visbles via windows, et que je n'ai jamais créés.

 

Voici mon rapport

Lien CJoint.com BAmbVr96OKj

 

merci d'avance pour votre aide

Modifié le 16 janvier 2012 par AlbertMuda

[pear]

Bonjour,

 

Ad_Aware est obsolète.Lavasoft qui le distribuait n'existe plus.

Désinstallez le.

Spybot, totalement obsolète va être désinstallé.

Vous pourriez utiliser Mbam (Malewares Bytes)pour le remplacer.

Téléchargez MBAM

ICI

ou LA

Auparavant, vous devez faire ceci, avant de lancer Zhpfix:

Pour désactiver TeaTimer qui ne sert à rien et peut faire échouer une désinfection:!

Sous Vista, exécuter avec privilèges Administrateur

Afficher d'abord le Mode Avancé dans SpyBot

->Options Avancées :

- >menu Mode, Mode Avancé.

Une colonne de menus apparaît dans la partie gauche :

- >cliquer sur Outils,

- >cliquer sur Résident,

Dans Résident :

- >décocher Résident "TeaTimer" pour le désactiver.

Effacer le contenu du dossier Snapshots(le contenu de snapshots, pas le fichier snapshots) , sous XP :

C:\Documents and Settings\All Users\Application Data\Spybot - Search &Destroy\Snapshots

Et sous Vista :

C:\ProgramData\Spybot - Search & Destroy\Snapshots

Si vous ne trouvez pas Snapshots, poursuivez la procédure sans vous en préoccuper

 

 

 

 

Vous devez trouver sur le bureau ou ,sinon, dans le dossier où vous avez installé Zhpdiag ces 3 icônes .

Cliquer sur l'icône Zhpfix

Sous Vista/7 clic-droit, "Exécuter En tant qu'Administrateur

Copiez/Collez les lignes vertes dans le cadre ci dessous:

pour cela;

Clic gauche maintenu enfoncé, Balayer l'ensemble du texte à copier avec la souris pour le mettre en surbrillance ,de gauche à droite et de haut en bas

Ctrl+c mettre le tout en mémoire

Ctrl+v pour inscrire le texte dans le Document

Vous ne verrez rien avant d'avoir Cliqué sur le H-

 

PROCESSUS MALWARE (Rootkit, trojan, ver, spyware, adware,...)

[MD5.98DD803CD6C78976ABA7CF0F3251AEE7] - (.Logixoft - Revealer Keylogger Free Edition.) -- C:\Program Files\rkfree\rkfree.exe [71168] [PID.3504] =>

M3 - MFPP: Plugins - [Pascal] -- C:\Program Files\Mozilla FireFox\searchplugins\babylon.xml => Infection BT (Toolbar.Babylon)

O1 - Hosts: 74.208.10.249 gs.apple.com => Infection Hosts (Hosts.Redirection)

O4 - HKLM\..\Run: [rkfree] . (.Logixoft - Revealer Keylogger Free Edition.) -- C:\Program Files\rkfree\rkfree.exe => Infection Keylog (Keylogger.Logixoft)

[HKCU\Software\EoRezo] => Infection PUP (PUP.Eorezo)

[HKLM\Software\Babylon] => Infection BT (Toolbar.Babylon)

[HKLM\Software\EoRezo] => Infection PUP (PUP.Eorezo)

O43 - CFD: 24/10/2010 - 02:43:06 - [0,068] ----D- C:\Program Files\rkfree => Infection Keylog (Keylogger.Logixoft)

O43 - CFD: 24/09/2011 - 22:19:56 - [0,003] ----D- C:\Documents and Settings\Pascal\Application Data\Babylon => Infection BT (Toolbar.Babylon)

O43 - CFD: 24/09/2011 - 22:19:58 - [3,735] ----D- C:\Documents and Settings\Pascal\Local Settings\Application Data\Babylon => Infection BT (Toolbar.Babylon)

O69 - SBI: SearchScopes [HKCU] {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} - (Search the web (Babylon)) - http://search.babylon.com => Infection BT (Toolbar.Babylon)

[MD5.D732C96765300F59C6D62920FC70B553] [sPRF][31/07/2010] (.Logixoft - Revealer Keylogger Free Edition Setup.) -- C:\Documents and Settings\Pascal\Bureau\rkfree_setup.exe [97280] => Infection Keylog (Keylogger.Logixoft)

[HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ecdf796-c2dc-4d79-a620-cce0c0a66cc9}] => Infection BT (Adware.MyWebSearch)

[HKLM\Software\Classes\Interface\{b0d071a1-36b3-4757-a126-14c89c56013a}] => Infection BT (Adware.BHO)

[HKLM\Software\Classes\TypeLib\{B4C656C9-F2E9-4E77-B3F4-443DF2BD778F}] => Infection PUP (PUP.Eorezo)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}] => Infection PUP (PUP.Dealio)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{F9E4A054-E9B1-4BC3-83A3-76A1AE736170}] => Infection BT (Trojan.Adclicker)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{F9E4A054-E9B1-4BC3-83A3-76A1AE736170}] => Infection BT (Trojan.Adclicker)

[HKLM\Software\Classes\CLSID\{F9E4A054-E9B1-4BC3-83A3-76A1AE736170}] => Infection BT (Trojan.Adclicker)

[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{F9E4A054-E9B1-4BC3-83A3-76A1AE736170}] => Infection BT (Trojan.Adclicker)

[HKCU\Software\eorezo] => Infection PUP (PUP.Eorezo)

[HKLM\Software\eorezo] => Infection PUP (PUP.Eorezo)

C:\Program Files\rkfree => Infection Keylog (Keylogger.Logixoft)

C:\Program Files\Mozilla Firefox\Extensions\[email protected] => Infection BT (Toolbar.Babylon)

C:\Documents and Settings\Pascal\Application Data\Babylon => Infection BT (Toolbar.Babylon)

C:\Documents and Settings\Pascal\Local Settings\Application Data\Babylon => Infection BT (Toolbar.Babylon)

PROCESSUS SUPERFLU DU SYSTEME

C:\Documents and Settings\Pascal\Application Data\Mozilla\Firefox\Profiles\vp9nwfc4.default\prefs.js (.not file.) => Fichier absent

C:\Documents and Settings\Pascal\Application Data\Mozilla\Firefox\Profiles\6uvzmelu.Utilisateur par défaut\prefs.js (.not file.) => Fichier absent

C:\Documents and Settings\Pascal\Application Data\Mozilla\Firefox\Profiles\3g06eyd0.Défaut PP\prefs.js (.not file.) => Fichier absent

O4 - Global Startup: C:\Documents And Settings\All Users\Menu Démarrer\Programmes\My Bluetooth Places.lnk - Clé orpheline => Orphean Key not necessary

O4 - Global Startup: C:\Documents And Settings\All Users\Menu Démarrer\Programmes\My Bluetooth Places.lnk - Clé orpheline => Orphean Key not necessary

O8 - Extra context menu item: Personnaliser les options - (.not file.) - C:\Program Files\PROMT5\PROMTIE4\options.htm => Fichier absent

O8 - Extra context menu item: Traduire avec WebView - (.not file.) - C:\Program Files\PROMT5\PROMTIE4\webview.htm => Fichier absent

O43 - CFD: 05/10/2005 - 20:46:32 - [3,992] ----D- C:\Program Files\Spybot - Search & Destroy => Spybot - Search & Destroy

O47 - AAKE:Key Export SP - "C:\Program Files\Easy Downloads\easydownloads.exe" [Enabled] .(...) -- C:\Program Files\Easy Downloads\easydownloads.exe (.not file.) => Fichier absent

O47 - AAKE:Key Export SP - "C:\Program Files\Easy Downloads\easydl.exe" [Enabled] .(...) -- C:\Program Files\Easy Downloads\easydl.exe (.not file.) => Fichier absent

O51 - MPSK:{69cf2671-d9d5-11dd-85e2-00c09f2f7e31}\AutoRun\command - Clé orpheline => Orphean Key not necessary

O51 - MPSK:{a1a2f980-8820-11de-b9e6-00c09f2f7e31}\AutoRun\command. (...) -- C:\WINDOWS\system32\launcher.exe (.not file.) => Fichier absent

SS - | Demand 12/01/2012 1029456 | (Lavasoft Ad-Aware Service) . (.Lavasoft.) - C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe => Lavasoft®Ad-Aware Service

 

TOOLBAR INUTILE (Navigateur internet)

M3 - MFPP: Plugins - [Pascal] -- C:\Program Files\Mozilla FireFox\searchplugins\crawlersrch.xml => Toolbar.Crawler

R3 - URLSearchHook: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} . (...) (No version) -- (.not file.) => Yahoo Companion!

O2 - BHO: Hotspot Shield Class - {F9E4A054-E9B1-4BC3-83A3-76A1AE736170} . (.AnchorFree Inc. - Pas de description.) -- C:\Program Files\Hotspot Shield\HssIE\HssIE.dll

O23 - Service: Hotspot Shield Routing Service (HssSrv) . (.AnchorFree Inc. - Pas de description.) - C:\Program Files\Hotspot Shield\HssWPR\hsssrv.exe

[HKCU\Software\HotspotShield] => AnchorFree

O43 - CFD: 19/09/2009 - 00:34:26 - [9,587] ----D- C:\Program Files\Hotspot Shield => Toolbar.Conduit

O64 - Services: CurCS - 23/09/2010 - C:\Program Files\Hotspot Shield\HssWPR\hsssrv.exe (HssSrv) .(.AnchorFree Inc. - Pas de description.) - LEGACY_HSSSRV

O69 - SBI: SearchScopes [HKCU] {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - (Recherche Inbox.com) - http://www.inbox.com => Toolbar.Crawler

[HKLM\Software\Classes\CLSID\{1a03f196-9617-4ca0-842b-a83ceecb022b}] => Toolbar.SweetIM

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{1CB20BF0-BBAE-40A7-93F4-6435FF3D0411}] => Toolbar.Crawler

[HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{1CB20BF0-BBAE-40A7-93F4-6435FF3D0411}] => Toolbar.Crawler

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{1CB20BF0-BBAE-40A7-93F4-6435FF3D0411}] => Toolbar.Crawler

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{4B3803EA-5230-4DC3-A7FC-33638F3D3542}] => Toolbar.Crawler

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{4B3803EA-5230-4DC3-A7FC-33638F3D3542}] => Toolbar.Crawler

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{8736C681-37A0-40C6-A0F0-4C083409151C}] => Toolbar.SweetIM

[HKLM\SYSTEM\CurrentControlSet\Services\HssSrv] => Toolbar.Agent

[HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Application\HssSrv] => Toolbar.Agent

[HKCU\Software\HotspotShield] => AnchorFree

[HKLM\Software\HotspotShield] => AnchorFree

[HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]:{4B3803EA-5230-4DC3-A7FC-33638F3D3542} => Toolbar.Crawler

C:\Program Files\Hotspot Shield => Toolbar.Conduit

SR - | Auto 12/01/2012 350256 | (HssSrv) . (.AnchorFree Inc..) - C:\Program Files\Hotspot Shield\HssWPR\hsssrv.exe

 

PROCESSUS INUTILE (Au démarrage du système)

O47 - AAKE:Key Export SP - "C:\Program Files\Bonjour\mDNSResponder.exe" [Enabled] .(...) -- C:\Program Files\Bonjour\mDNSResponder.exe (.not file.) => Apple Computer®Bonjour for Windows

O53 - SMSR:HKLM\...\startupreg\LogitechSoftwareUpdate [Key] . (.Logitech Inc. - Logitech Software Update.) -- C:\Program Files\Logitech\Video\ManifestEngine.exe

 

 

EmptyFlash

EmptyTemp

FirewallRaz

 

 

Cliquer sur "OK", ce qui fait apparaître un carré à gauche de chaque ligne.

Cliquer sur "Tous" puis sur "Nettoyer" .

Redémarrer pour achever le nettoyage.

Un rapport apparait:

Si le rapport n'apparait pas,cliquer sur

Copier-coller le rapport de suppression dans la prochaine réponse.

[AlbertMuda]

Bonsoir,

 

Le rapport est ICI

 

En attendant, je m'en vais installer Malwares bytes.

 

 

Voici également une nouvelle analyse ICI

à noter que je vois des utilisateurs qui me sont inconnus, à savoir : SUPPORT_388945a0, HelpAssistant, ASPNET,Administrateur et non présents dans windows

---\\ Logged in mode

~ Computer Name: ACER-U6BAQKHATQ

~ User Name: Pascal

~ All Users Names: SUPPORT_388945a0, Pascal, HelpAssistant, ASPNET, Anna & Gaëlle, Anna, adminpas, Administrateur,

~ Unselected Option: O45,O61,O62,O65,O66,O80,O82,O89

Logged in as Administrator

 

cdlt

Modifié le 17 janvier 2012 par AlbertMuda

[pear]

Asp.net:

fr.wikipedia.org/wiki/ASP.NET

 

Pour supprimer un compte utilisateur:

 

connecté en Administrateur, allez dans le menu "Démarrer"

faites un clic droit sur le "Poste de travail"->"Propriétés", ->"Avancé"

cherchez "Profil des utilisateurs" et enfin cliquez sur "Paramètres"

Dans la fenêtre qui s'ouvre choisissez le compte à supprimer, et cliquez sur "Supprimer"

 

Retournez dans le "Panneau de configuration" -> "Comptes d'utilisateurs"

Choisissez le compte que vous avez supprimé dans le Profil -> action : Supprimer le compte

 

Vous devez trouver sur le bureau ou ,sinon, dans le dossier où vous avez installé Zhpdiag ces 3 icônes .

Cliquer sur l'icône Zhpfix

Sous Vista/7 clic-droit, "Exécuter En tant qu'Administrateur

Copiez/Collez les lignes vertes dans le cadre ci dessous:

pour cela;

Clic gauche maintenu enfoncé, Balayer l'ensemble du texte à copier avec la souris pour le mettre en surbrillance ,de gauche à droite et de haut en bas

Ctrl+c mettre le tout en mémoire

Ctrl+v pour inscrire le texte dans le Document

Vous ne verrez rien avant d'avoir Cliqué sur le H-

 

C:\Documents and Settings\Pascal\Application Data\Mozilla\Firefox\Profiles\vp9nwfc4.default\prefs.js (.not file.) => Fichier absent

C:\Documents and Settings\Pascal\Application Data\Mozilla\Firefox\Profiles\6uvzmelu.Utilisateur par défaut\prefs.js (.not file.) => Fichier absent

C:\Documents and Settings\Pascal\Application Data\Mozilla\Firefox\Profiles\3g06eyd0.Défaut PP\prefs.js (.not file.) => Fichier absent

 

TOOLBAR INUTILE (Navigateur internet)

O43 - CFD: 19/09/2009 - 00:34:26 - [3,041] ----D- C:\Program Files\Hotspot Shield => Toolbar.Conduit

[HKLM\Software\Classes\CLSID\{1a03f196-9617-4ca0-842b-a83ceecb022b}] => Toolbar.SweetIM

C:\Program Files\Hotspot Shield => Toolbar.Conduit

 

 

EmptyFlash

EmptyTemp

FirewallRaz

 

 

Cliquer sur "OK", ce qui fait apparaître un carré à gauche de chaque ligne.

Cliquer sur "Tous" puis sur "Nettoyer" .

Redémarrer pour achever le nettoyage.

Un rapport apparait:

Si le rapport n'apparait pas,cliquer sur

Copier-coller le rapport de suppression dans la prochaine réponse.

 

[AlbertMuda]

Bonjour,

Il semble que l'on soit près du but.

Voici mon rapport ZHPFIX

 

ET un nouveau diagnostique : ICI

 

 

Quant à la liste des utilisateurs présente dans le rapport :

All Users Names: SUPPORT_388945a0, Pascal, HelpAssistant, ASPNET, Anna & Gaëlle, Anna, adminpas, Administrateur,

 

par la procédure proposée ci-dessus, je ne vois pas ceux que j'ai mis en rouge.

 

Merci pour votre retour

Modifié le 21 janvier 2012 par AlbertMuda

[pear]

Vous devez trouver sur le bureau ou ,sinon, dans le dossier où vous avez installé Zhpdiag ces 3 icônes .

Cliquer sur l'icône Zhpfix

Sous Vista/7 clic-droit, "Exécuter En tant qu'Administrateur

Copiez/Collez les lignes vertes dans le cadre ci dessous:

pour cela;

Clic gauche maintenu enfoncé, Balayer l'ensemble du texte à copier avec la souris pour le mettre en surbrillance ,de gauche à droite et de haut en bas

Ctrl+c mettre le tout en mémoire

Ctrl+v pour inscrire le texte dans le Document

Vous ne verrez rien avant d'avoir Cliqué sur le H-

 

PROCESSUS MALWARE (Rootkit, trojan, ver, spyware, adware,...)

[HKLM\Software\Classes\TypeLib\{2D5E2D34-BED5-4B9F-9793-A31E26E6806E}] => Infection BT (Adware.Hotbar)

 

PROCESSUS SUPERFLU DU SYSTEME

C:\Documents and Settings\Pascal\Application Data\Mozilla\Firefox\Profiles\vp9nwfc4.default\prefs.js (.not file.) => Fichier absent

C:\Documents and Settings\Pascal\Application Data\Mozilla\Firefox\Profiles\6uvzmelu.Utilisateur par défaut\prefs.js (.not file.) => Fichier absent

C:\Documents and Settings\Pascal\Application Data\Mozilla\Firefox\Profiles\3g06eyd0.Défaut PP\prefs.js (.not file.) => Fichier absent

 

TOOLBAR INUTILE (Navigateur internet)

O43 - CFD: 19/09/2009 - 00:34:26 - [2,787] ----D- C:\Program Files\Hotspot Shield => Toolbar.Conduit

[HKLM\Software\Classes\CLSID\{1a03f196-9617-4ca0-842b-a83ceecb022b}] => Toolbar.SweetIM

C:\Program Files\Hotspot Shield => Toolbar.Conduit

 

EmptyFlash

EmptyTemp

FirewallRaz

 

 

Cliquer sur "OK", ce qui fait apparaître un carré à gauche de chaque ligne.

Cliquer sur "Tous" puis sur "Nettoyer" .

Redémarrer pour achever le nettoyage.

Un rapport apparait:

Si le rapport n'apparait pas,cliquer sur

Copier-coller le rapport de suppression dans la prochaine réponse.

 

Ceci va vérifier si les logiciels sont à jour ou non et l'indiquer sur l'interface graphique ou sur un rapport.

Des boutons permettent alors un accès direct au lancement de la mise à jour ou au téléchargement de celle-ci selon. (Flash player, ouverture du ou des navigateurs dont l'activeX et/ou le plugin n'est pas à jour.

Télécharger Sx Checkupdate

Cliquez sur Rapports