[Résolu] PC infecté

[Philou22]

Bonjour,

 

Mon PC ramant énormément depuis quelque temps notamment au démarrage, j'ai mis un Post dans le forum Optimisation, Trucs et Astuces.

PC très lent au démarrage sous XP - Forums Zebulon.fr

 

Suite à un Scan via ZHPDiag, Leminou qui suit ce post a détecté que mon PC était infecté et il m'a donc demandé d'ouvrir un sujet sur ce site.

 

Je communique le lien du rapport du Scan pour analyse : Lien CJoint.com BAxswTmomZ3

 

Merci d'avance pour votre aide.

[pear]

Bonsoir,

 

1)Télécharger AdwCleaner

Sous Vista et Windows 7-> Exécuter en tant qu'administrateur

 

Cliquez sur Recherche et postez le rapport généré C:\AdwCleaner[R1].txt

 

2)Nettoyage

Relancez AdwCleaner avec droits administrateur

Cliquez sur Suppression et postez le rapport C:\AdwCleaner[s1].txt

 

3)

Téléchargez MBAM

ICI

ou LA

Avant de lancer Mbam

Vous devez d'abord désactiver vos protections mais vous ne savez pas comment faire

Cliquer ici

Branchez tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)

Exécuter avec droits d'administrateur.

Sous Vista , désactiver l'Uac

 

Double cliquez sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation.

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update et Launch soient cochées

MBAM démarrera automatiquement et enverra un message demandant de mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue..

Dans l'onglet "mise à jour", cliquez sur le bouton Recherche de mise à jour:

Si le pare-feu demande l'autorisation de connecter MBAM, acceptez.

Une fois la mise à jour terminée, allez dans l'onglet Recherche.

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

.L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Et un fichier Mbam.log apparaitra

 

 

4)Nettoyage

Relancez Mbam(Malewares'Bytes)

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Sélectionnez tout et cliquez sur Supprimer la sélection ,

MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

puis ouvrir le Bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

Copiez-collez ce rapport dans la prochaine réponse.

[Philou22]

Bonjour Pear,

 

1)Comme convenu je te communique le rapport de recherche d'AdwCleaner:

# AdwCleaner v1.407 - Rapport créé le 25/01/2012 à 10:00:03

# Mis à jour le 18/01/2012 par Xplode

# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)

# Nom d'utilisateur :(Administrateur)

# Exécuté depuis : C:\Documents and Settings\PASCAL\Bureau\adwcleaner.exe

# Option [Recherche]

 

 

***** [services] *****

 

 

***** [Fichiers / Dossiers] *****

 

Dossier Présent : C:\Documents and Settings\PASCAL\Application Data\Mozilla\Extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}

Dossier Présent : C:\Program Files\Ask Search Assistant

Fichier Présent : C:\Program Files\Windows live\messenger\msimg32.dll

 

***** [Registre] *****

 

Clé Présente : HKCU\Software\ItsLabel

Clé Présente : HKLM\SOFTWARE\Classes\AppID\SoftwareUpdate.exe

Clé Présente : HKLM\SOFTWARE\Microsoft\RFC1156Agent

Clé Présente : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2796BAE63F1801E277261BA0D77770028F20EEE4

Clé Présente : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\0563B8630D62D75ABBC8AB1E4BDFB5A899B24D43

Clé Présente : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\DE28F4A4FFE5B92FA3C503D1A349A7F9962A8212

Clé Présente : HKLM\SOFTWARE\Classes\Interface\{6E4C89CF-3061-4EE4-B22A-B7A8AAEA5CB3}

Clé Présente : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{8856F961-340A-11D0-A96B-00C04FD705A2}

Clé Présente : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Ask.com Search Assistant

Clé Présente : HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe

 

***** [Navigateurs] *****

 

-\\ Internet Explorer v8.0.6001.18702

 

[OK] Le registre ne contient aucune entrée illégitime.

 

-\\ Mozilla Firefox v9.0.1 (fr)

 

Profil : hx54yq13.default

Fichier : C:\Documents and Settings\PASCAL\Application Data\Mozilla\Firefox\Profiles\hx54yq13.default\prefs.js

 

Présente : user_pref("weboftrust.search.ask.display", "Ask.com Web Search");

 

*************************

 

AdwCleaner[R1].txt - [2019 octets] - [25/01/2012 10:00:03]

 

########## EOF - C:\AdwCleaner[R1].txt - [2147 octets] ##########

 

2) Voici le rapport Suppression AdwCleaner :

 

AdwCleaner v1.407 - Rapport créé le 25/01/2012 à 10:02:31

# Mis à jour le 18/01/2012 par Xplode

# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)

# Nom d'utilisateur : (Administrateur)

# Exécuté depuis : C:\Documents and Settings\PASCAL\Bureau\adwcleaner.exe

# Option [suppression]

 

 

***** [services] *****

 

 

***** [Fichiers / Dossiers] *****

 

Dossier Supprimé : C:\Documents and Settings\PASCAL\Application Data\Mozilla\Extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}

Dossier Supprimé : C:\Program Files\Ask Search Assistant

Fichier Supprimé : C:\Program Files\Windows live\messenger\msimg32.dll

 

***** [Registre] *****

 

Clé Supprimée : HKCU\Software\ItsLabel

Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\SoftwareUpdate.exe

Clé Supprimée : HKLM\SOFTWARE\Microsoft\RFC1156Agent

Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2796BAE63F1801E277261BA0D77770028F20EEE4

Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\0563B8630D62D75ABBC8AB1E4BDFB5A899B24D43

Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\DE28F4A4FFE5B92FA3C503D1A349A7F9962A8212

Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{6E4C89CF-3061-4EE4-B22A-B7A8AAEA5CB3}

Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{8856F961-340A-11D0-A96B-00C04FD705A2}

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Ask.com Search Assistant

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\setup.exe

 

***** [Navigateurs] *****

 

-\\ Internet Explorer v8.0.6001.18702

 

[OK] Le registre ne contient aucune entrée illégitime.

 

-\\ Mozilla Firefox v9.0.1 (fr)

 

Profil : hx54yq13.default

Fichier : C:\Documents and Settings\PASCAL\Application Data\Mozilla\Firefox\Profiles\hx54yq13.default\prefs.js

 

Supprimée : user_pref("weboftrust.search.ask.display", "Ask.com Web Search");

 

*************************

 

AdwCleaner[R1].txt - [2148 octets] - [25/01/2012 10:00:03]

AdwCleaner[s1].txt - [2095 octets] - [25/01/2012 10:02:31]

 

*************************

 

Dossier Temporaire : 4 dossier(s) et 1 fichier(s) supprimés

 

########## EOF - C:\AdwCleaner[s1].txt - [2315 octets] ##########

 

3) Voici le rapport MBAM après SCAN complet ( clé USB et mes 2 lecteurs):

 

Malwarebytes Anti-Malware 1.60.0.1800

www.malwarebytes.org

 

Version de la base de données: v2012.01.25.02

 

Windows XP Service Pack 3 x86 FAT32

Internet Explorer 8.0.6001.18702

Philou22 [administrateur]

 

25/01/2012 10:22:59

mbam-log-2012-01-25 (10-22-59).txt

 

Type d'examen: Examen complet

Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM

Options d'examen désactivées: P2P

Elément(s) analysé(s): 341141

Temps écoulé: 1 heure(s), 40 minute(s), 47 seconde(s)

 

Processus mémoire détecté(s): 0

(Aucun élément nuisible détecté)

 

Module(s) mémoire détecté(s): 0

(Aucun élément nuisible détecté)

 

Clé(s) du Registre détectée(s): 0

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre détectée(s): 0

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre détecté(s): 0

(Aucun élément nuisible détecté)

 

Dossier(s) détecté(s): 0

(Aucun élément nuisible détecté)

 

Fichier(s) détecté(s): 0

(Aucun élément nuisible détecté)

 

A+ pour ton analyse.

[pear]

Vous devez trouver sur le bureau ou ,sinon, dans le dossier où vous avez installé Zhpdiag ces 3 icônes .

Cliquer sur l'icône Zhpfix

Sous Vista/7 clic-droit, "Exécuter En tant qu'Administrateur

Copiez/Collez les lignes vertes dans le cadre ci dessous:

pour cela;

Clic gauche maintenu enfoncé, Balayer l'ensemble du texte à copier avec la souris pour le mettre en surbrillance ,de gauche à droite et de haut en bas

Ctrl+c mettre le tout en mémoire

Ctrl+v pour inscrire le texte dans le Document

Vous ne verrez rien avant d'avoir Cliqué sur le H-

 

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified => Infection Diverse (Disabled.SecurityCenter)

[HKCU\Software\ItsLabel] => Infection PUP (PUP.ItsLabel)

O43 - CFD: 15/06/2007 - 11:50:04 - [0] ----D- C:\Program Files\Adverts => Infection LOP (Trojan.Lop)

O43 - CFD: 15/06/2007 - 11:50:16 - [0] ----D- C:\Program Files\2waitsoap => Infection LOP

O43 - CFD: 24/03/2007 - 17:11:24 - [0,206] ----D- C:\Documents and Settings\PASCAL\Application Data\ItsLabel => Infection PUP (PUP.ItsLabel)

[HKLM\Software\Classes\Interface\{b0d071a1-36b3-4757-a126-14c89c56013a}] => Infection BT (Adware.BHO)

[HKLM\Software\Classes\TypeLib\{B4C656C9-F2E9-4E77-B3F4-443DF2BD778F}] => Infection PUP (PUP.Eorezo)

C:\Documents and Settings\PASCAL\Application Data\ItsLabel => Infection PUP (PUP.ItsLabel)

O43 - CFD: 06/05/2007 - 23:50:36 - [0] ----D- C:\Program Files\Its Label => It'S TV

O52 - TDSD: \Drivers32\"VIDC.VCR2"="ATIVCR2.DLL" . (...) -- (.not file.) => Fichier absent

O52 - TDSD: \Drivers32\"VIDC.VCR1"="ATIVCR1.DLL" . (...) -- (.not file.) => Fichier absent

O42 - Logiciel: Ask.com Search Assistant 1.0.1 - (.Ask.com.) [HKLM] -- Ask.com Search Assistant => Toolbar.Ask

O64 - Services: CurCS - 12/12/2008 - C:\Program Files\Bonjour\mDNSResponder.exe (Bonjour Service) .(.Apple Inc. - Bonjour Service.) - LEGACY_BONJOUR_SERVICE

 

 

 

EmptyFlash

EmptyTemp

FirewallRaz

 

 

Cliquer sur "OK", ce qui fait apparaître un carré à gauche de chaque ligne.

Cliquer sur "Tous" puis sur "Nettoyer" .

Redémarrer pour achever le nettoyage.

Un rapport apparait:

Si le rapport n'apparait pas,cliquer sur

Copier-coller le rapport de suppression dans la prochaine réponse.

[Philou22]

Re Pear,

 

Merci pour ton aide.

 

Comme convenu voici le rapport de suppression via ZHPFix:

Rapport de ZHPFix 1.12.3379 par Nicolas Coolman, Update du 22/01/2011

Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-25-01-2012-16-13-15.txt

Run by PHILOU22 at 25/01/2012 16:13:15

Windows XP Home Edition Service Pack 3 (Build 2600)

Web site : ZHPFix Fix de rapport

Web site : Blog de NicolasCoolman - ZebHelpProcess - Skyrock.com

 

========== Logiciel(s) ==========

ABSENT Software Key: Ask.com Search Assistant

 

========== Clé(s) du Registre ==========

ABSENT Key: HKCU\Software\ItsLabel

SUPPRIME Key: HKLM\Software\Classes\Interface\{b0d071a1-36b3-4757-a126-14c89c56013a}

SUPPRIME Key: HKLM\Software\Classes\TypeLib\{B4C656C9-F2E9-4E77-B3F4-443DF2BD778F}

ABSENT Key: Service Legacy: LEGACY_BONJOUR_SERVICE

 

========== Valeur(s) du Registre ==========

SUPPRIME TDSD Value: VIDC.VCR2

SUPPRIME TDSD Value: VIDC.VCR1

Aucune valeur présente dans la clé d'exception du registre (FirewallRaz)

 

========== Elément(s) de donnée du Registre ==========

REMPLACE Value AntiVirusOverride : Good (0) - Bad (1)

 

========== Dossier(s) ==========

SUPPRIME Folder: C:\Program Files\Adverts

SUPPRIME Folder: C:\Program Files\2waitsoap

SUPPRIME Folder: C:\Documents and Settings\PASCAL\Application Data\ItsLabel

SUPPRIME Folder: C:\Program Files\Its Label

SUPPRIME Flash Cookies: 1

SUPPRIME Temporaires Windows: : 9

 

========== Fichier(s) ==========

ABSENT Folder/File: c:\documents and settings\pascal\application data\itslabel

SUPPRIME Flash Cookies: 0

SUPPRIME Temporaires Windows: : 11

 

 

========== Récapitulatif ==========

4 : Clé(s) du Registre

3 : Valeur(s) du Registre

1 : Elément(s) de donnée du Registre

6 : Dossier(s)

3 : Fichier(s)

1 : Logiciel(s)

 

 

End of clean in 00mn 03s

 

========== Chemin de fichier rapport ==========

C:\ZHP\ZHPFix[R1].txt - 25/01/2012 16:13:15 [1742]

 

A+.

[pear]

Ca semble bon.

 

Encore quelque chose ?

[Philou22]

Re Pear,

 

Merci pour ta procédure de désinfection.

 

Malheureusement, je vais avoir encore besoin de ton aide.

Mon fils a essayé d'installer sur son PC portable un logiciel de données IGN CARTO Exploreur 3D de BAYO car il en a besoin pour son stage en entreprise. Mais en l'installant, il lui a détecté la présence d'un virus. Je luis est donc demandé de me fournir ces CD d'installation pour voir si le Pb se reproduisait également sur mon PC.

1) En insérant le CD d'installation, on me conseille d'entrée de désactiver mon Antivirus.

2) Dans le doute, j'ai fait une analyse du CD via Antivir qui me décèle la présence du virus :

BAYOTools.exe en message TR/SPY.4505600 que je me suis empressé de mettre en quarantaine.

 

Que dois je faire?

A+

[pear]

Probablement un faux positif.

Rechercher sur sa machine le chemin exact de ce fichier BAYOTools.exe

Faites le examiner ici:

 

Poste de travail->Outils ->Options des dossiers ->Affichage

Cocher "Afficher les dossiers cachés"

Décocher" Masquer les extension des fichiers dont le type est connu "ainsi que "Masquer les fichiers protégés du système d exploitation"

--> un message dit que cela peut endommager le système, ne pas en tenir compte, valider par oui.

Rendez vous à cette adresse:

Cliquez sur parcourir pour trouver ces fichiers

Chemin du fichier à examiner

 

et cliquez sur "envoyer le fichier"

Copiez /collez la réponse dans votre prochain message.

Note: il peut arriver que le fichier ait déjà été analysé. Si c'est le cas, cliquez sur le bouton Reanalyse file now

 

S'il s'avère que le fichier est sain, indiquez le dans les exceptions de l'antivirus.

[Philou22]

Re Pear,

 

Je n'ai pas pu suivre ta manip. vu que je n'ai pas trouver de fichier BAYOTools.exe sur mon disque.

J'ai exécuté l'outil de windows de recherche dans tous les fichiers. Mais n'est ce pas du au fait que je n'ai pas installé le logiciel vu que j'ai mis immédiatement le fichier détecté comme viral en quarantaine?

 

A+

[pear]

Je parlais de la machine de votre fils:

Mon fils a essayé d'installer sur son PC portable un logiciel de données IGN CARTO Exploreur 3D de BAYO

Rechercher sur sa machine le chemin exact de ce fichier BAYOTools.exe

Modifié le 26 janvier 2012 par pear