[Résolu] Rapport analyse ZHPDiag

[papigelou]

Cela a marché en mode sans échec avec prise en charge réseau.

 

Voici les liens :

 

pjjoint.malekal.com - Submit a file

 

pjjoint.malekal.com - Submit a file

 

Comment je fais pour savoir si c'est un problème d'écran ou de carte graphique?

 

Merci

[lance_yien]

Bonjour,

 

Pour l'écran on peut tester avec un autre (si c'est un PC fixe)

Pour la carte graphique, vérifier le pilote, tester une autre CG si nécessaire...

Pour le moment comme les outils ont l'air de fonctionner, on continu côté infection!

 

Désinstaller depuis Ajout/suppression de programmes (si présent) car possédant des fonctionnalités adware et/ou spyware:

• Complitly
  
• IObit
  
• AVG Secure Search

 

>>> Correction OTL: (Re)brancher (et allumer) tous les médias amovibles disponibles et fermer toutes les applications et fenêtres en cours.

Désactiver les programmes de protection (antivirus etc...) et lancer OTL.

Copier et coller la liste suivante (commençant par :OTL) dans l'espace sous "Personnalisation" (les : au début et le ] à la fin sont très importants, merci de vérifier).

 

:OTL

SRV - [2011/12/29 22:29:04 | 000,497,496 | ---- | M] (IObit) [Auto | Stopped] -- C:\Program Files+\OUTILS réparation - nettoyage\IObit\Advanced SystemCare 5\ASCService.exe -- (AdvancedSystemCareService5)

SRV - [2011/12/11 14:46:14 | 000,246,600 | ---- | M] () [Auto | Stopped] -- C:\Program Files\Fichiers communs\AVG Secure Search\vToolbarUpdater\8.0.1\ToolbarUpdater.exe -- (vToolbarUpdater)

SRV - [2010/12/09 13:08:10 | 000,305,600 | ---- | M] () [Auto | Stopped] -- C:\Program Files+\OUTILS réparation - nettoyage\COMODO\COMODO System-Cleaner\Cleaner_Validator.exe -- (Cleaner_Validator)

IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = *.local

IE - HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = *.local

FF - HKLM\Software\MozillaPlugins\@google.com/npPicasa2,version=2.0.0: File not found

FF - HKLM\Software\MozillaPlugins\@neuf/vlc,version=0.8.6.1: File not found

[2012/02/12 12:25:53 | 000,000,000 | ---D | M] (Babylon) -- C:\Program Files\Mozilla Firefox\extensions\ffxtlbr@babylon.com

O2 - BHO: (Complitly) - {D27FC31C-6E3D-4305-8D53-ACDAEFA5F862} - C:\Documents and Settings\Utilisateur\Application Data\Complitly\Complitly.dll (SimplyGen)

O3 - HKLM\..\Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - No CLSID value found.

O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present

O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Infodelivery present

O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present

O18 - Protocol\Handler\viprotocol {B658800C-F66E-4EF3-AB85-6C0C227862A9} - C:\Program Files\Fichiers communs\AVG Secure Search\ViProtocolInstaller\8.0.1\ViProtocol.dll ()

[2012/02/11 17:53:04 | 000,000,000 | ---D | C] -- C:\Program Files\Complitly

@Alternate Data Stream - 151 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:C0D722EB

@Alternate Data Stream - 147 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:A08FFD4D

@Alternate Data Stream - 137 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:38317199

@Alternate Data Stream - 133 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:CBCE0A92

@Alternate Data Stream - 126 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:69EC5FA7

@Alternate Data Stream - 126 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:3447AB86

@Alternate Data Stream - 125 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:F82CA780

@Alternate Data Stream - 124 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:5C5A503E

@Alternate Data Stream - 123 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:A518B662

@Alternate Data Stream - 123 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:70F0A2F4

@Alternate Data Stream - 104 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:D1B5B4F1

@Alternate Data Stream - 100 bytes -> C:\Documents and Settings\All Users\Application Data\TEMP:3064D21D

 

:Services

 

:Reg

 

:Files

ipconfig /flushdns /c

C:\WINDOWS\tasks\*.job

C:\*.sqm

C:\WINDOWS\System32\*.tmp

C:\WINDOWS\*.tmp

C:\Documents and Settings\Utilisateur\Application Data\Complitly

C:\Program Files+\OUTILS réparation - nettoyage\IObit

C:\Program Files\Fichiers communs\AVG Secure Search

C:\Program Files\Complitly

 

:Commands

[EMPTYTEMP]

[EMPTYFLASH]

[RESETHOSTS]

Cliquer sur le bouton rouge Correction et laisser faire.

Si un ou plusieurs fichiers ne peuvent pas être supprimés normalement, le programme demandera de redémarrer la machine pour finir le processus, cliquer sur "Oui".

A la fin un rapport s'ouvre dans le bloc-note. L'héberger et poster son adresse dans une nouvelle réponse. Fermer le rapport et OTL.

 

>>> Un changement quelconque?

[papigelou]

Bonjour

 

Voici le lien du rapport:

 

pjjoint.malekal.com - Submit a file

 

Pour précision, je n'avais pas cocher "Tous les utilisateurs" dans OTL, tu ne me l'a pas signalé cette fois (et je pense que c'est normal) comme tu l'avais préciser lors d'une autre utilisation.

 

Le rapport est situé dans C:\OTL\MovedFiles ainsi qu'un fichier 02172012 qui semblent comporter les fichiers corrigés. Que faut-il en faire?

[lance_yien]

Bonjour,

 

OTL a bien fonctionné. Où en es-tu avec ta machine?

[papigelou]

Bonjour,

 

Les problèmes de blocage, de disparition d'écritures et message en cascade n'apparaissent pas tous les jours, et peut-être que ces nettoyages ont résolu ces problèmes. Je verrai avec le temps.

 

Est-ce que cela a résolu aussi les blocages des analyses? Pour cela il faudrait éventuellement les refaire.

 

Pour le moment, le pc marche bien.

[lance_yien]

Le fait qu'un outil ne fonctionne pas ne signifie pas forcément la présence certaine d'une infection.

Essaie, si tu veux ComboFix après avoir supprimé le fichier que tu as et téléchargé la dernière version et/ou fait une analyse en ligne avec ESET.

Tiens-mois au courant pour te donner les dernières instructions (suppression des outils et prévention).

[papigelou]

Bonjour,

 

J'ai essayé ComboFix en mode sans échec, et il a bloqué.

 

J'ai fait ESET en mode sans échec avec prise en charge réseau, et cela a marché.

Je ne sais pas si l'antivirus était désactivé, mais il n'apparaissait pas dans le systray.

Le pare-feu était désactivé.

J'ai fait ESET avec Google qui propose de charger un exe sur le pc pour faire l'analyse.

 

Voici le rapport de ESET :

 

ESETSmartInstaller@High as downloader log:

Can not open internetESETSmartInstaller@High as downloader log:

Can not open internetCan not open internetESETSmartInstaller@High as downloader log:

Can not open internetCan not open internetESETSmartInstaller@High as downloader log:

Can not open internetCan not open internetESETSmartInstaller@High as downloader log:

Can not open internetESETSmartInstaller@High as downloader log:

Can not open internetCan not open internetESETSmartInstaller@High as downloader log:

Can not open internetCan not open internetESETSmartInstaller@High as downloader log:

all ok

# version=7

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6583

# api_version=3.0.2

# EOSSerial=4e21fa5d323e9f4691f9b2717f0ef72e

# end=finished

# remove_checked=true

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2012-02-18 09:45:00

# local_time=2012-02-18 10:45:00 (+0100, Paris, Madrid)

# country="France"

# lang=1033

# osver=5.1.2600 NT Service Pack 3

# compatibility_mode=512 16777215 100 0 0 0 0 0

# compatibility_mode=1792 16777175 100 0 4515159 4515159 0 0

# compatibility_mode=8192 67108863 100 0 584 584 0 0

# scanned=142679

# found=14

# cleaned=14

# scan_time=10231

C:\Documents and Settings\Utilisateur\Menu Démarrer\QuickStores.lnk Win32/Adware.ADON application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\Documents and Settings\Utilisateur\Mes documents\Downloads\cnet2_3DP_Net_v1202_exe.exe a variant of Win32/InstallCore.D application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\Program Files\LP\AA6C\19.exe a variant of Win32/Kryptik.XRB trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\Program Files\LP\AA6C\1A.exe a variant of Win32/Kryptik.XYH trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\Program Files\LP\AA6C\20.exe a variant of Win32/Kryptik.XZF trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\Program Files\LP\AA6C\21.exe a variant of Win32/Kryptik.YAK trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\Program Files\LP\AA6C\220.tmp a variant of Win32/Kryptik.WSZ trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\Program Files\LP\AA6C\23.exe a variant of Win32/Kryptik.YAK trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\Program Files\LP\AA6C\39B.exe a variant of Win32/Kryptik.XCM trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\Program Files\LP\AA6C\E.exe a variant of Win32/Kryptik.XGT trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\Program Files\LP\AA6C\F.exe a variant of Win32/Kryptik.XJB trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\ZHP\Quarantine\12f.exe.VIR a variant of Win32/Kryptik.XRB trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\ZHP\Quarantine\3fcaa.exe.VIR a variant of Win32/Kryptik.XEN trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

C:\ZHP\Quarantine\lvvm.exe.VIR a variant of Win32/Kryptik.XMV trojan (cleaned by deleting - quarantined) 00000000000000000000000000000000 C

[lance_yien]

Bonjour,

 

Certains éléments enlevés par ESET sont ceux qu'on a déjà supprimés avec ZHPFix (C:\ZHP à supprimer manuellement s'il persiste après désinstallation de ZHPDiag).

D'autres dans le dossier C:\Program Files\LP. Connais-tu/ utilises-tu ce dossier et/ou le programme qui l'a créé.

Tu peux faire régulièrement des analyses avec ESET ou tout autre scanner en ligne pour éviter l'accumulation d'éléments nuisibles.

 

 

>>> Pour en finir et vu qu'il n'y a pas/plus de problème(s) côté infection, voici quelques suggestions pour t'aider à prendre soin de ta machine (ignore les points déjà traités et/ou ceux que tu juges inutiles pour toi ou ne s'appliquant pas à ton système).

Si ton problème d'affichage réapparait, je te suggère de créer un nouveau sujet dans l'une de ces sections: Optimisation/ Hardware/ Software.

 

 

>>> Supprimer ces utilitaires, si (toujours) présents sur ta machine:

• Supprimer ZHPDiag depuis "Ajout/ suppression de programmes.
  
• Pour désinstaller ESET, cliquer sur "Démarrer" => "Exécuter" et saisir (ou copier/coller):
  %ProgramFiles%\\ESET\ESET Online Scanner\OnlineScannerUninstaller.exe
  Cliquer sur OK et redémarrer la machine.
  
• Lancer OTL et cliquer sur Purge outils. Laisser faire et redémarrer le PC quand c'est demandé.
  
• Pour supprimer les autres utilitaires et leurs rapports (s'il en reste sur le Bureau et/ou à la racine de la partition système), cliquer-droit dessus => "Supprimer".
  

 

>>> Ré-initialiser les Points de Restauration parce qu'elles peuvent contenir des traces d'infection:

Cliquer-droit sur "Poste de travail" => "Propriétés" => "Restauration Système". Cocher la case "désactiver..." et cliquer sur "appliquer".

Quand c'est prêt, décocher cette même case => "OK" et redémarrer le PC. Un nouveau point de restauration sera créé automatiquement.

 

 

 

>>> Installer un Pare-feu: Un pare-feu est le 1er rempart contre les intrusions mais celui qui est inclus dans Windows XP ne contrôle pas le flux sortant d'Internet d'où l'utilité d'en installer un autre.

Choisir un parmi ceux-ci ( tous gratuits): Online Armor Firewall, Outpost Firewall FREE, Privatefirewall.

 

 

>>> Protéger/ Sécuriser:

• LA RÈGLE: UN SEUL antivirus + UN SEUL pare-feu + UN SEUL antispyware en fonctionnement.
  
• Contrôler et configurer les mises à jour Windows: Cliquer sur "Démarrer" => "Tous les programmes" => "Windows update" et installer toutes les Mises à jour critiques après avoir accepté l'installation de l'ActiveX (si proposé).
  - Windows XP: Cliquer sur "Démarrer" => "Panneau de configuration" => "Mises à jour automatiques" et choisir "Installation automatique (recommandé)". Préférer "tous les jours" à une heur où le PC est allumé.
  - Windows Vista/W7: Cliquer sur "Démarrer" => "Tous les programmes" => "Windows Update". Cliquer sur "Modifier les paramètres" => "Installer les mises à jour automatiquement (recommandé)". Préférer "tous les jours" à une heure où le PC est allumé.
  
• Installer Update Checker pour surveiller les MAJ logiciels.
  
• Utiliser Mes drivers pour les MAJ des pilotes (cliquer sur Lancer la détection
  
• Sauvegarder le Registre avec Erunt.
  Pour des raisons évidentes, garder les copies de sauvegarde sur un support autre que le disque système.
  
• Immunisez votre machine avec Spyware Blaster, compatible avec Toutes les versions de Windows 32bit et 64bit et peut s'installer en même temps qu'autre antispyware. Tuto.
  
• Vaccinez votre machine et vos médias amovibles (clés USB...) contre les "vers" (Autorun worms) avec USBFix ou Autorun Protector. Juste brancher tous les médias amovibles, lancer le programme et cliquer sur le bouton Vaccination (l'action est réversible en cliquant sur "Supprimer la vaccination".
  
• Opter pour Firefox ou Opera pour la navigation de tous les jours et réserver Internet Explorer pour les Mises à jour et les cas bien spécifiques.

 

>>> Optimiser Windows:

• Il y a toujours des programmes qui se lancent inutilement en même temps que Windows.
  Télécharger, sur le Bureau, MBAM' StartUpLite depuis ici.
  Fermer toutes les applications et autres fenêtres en cours et double-cliquer sur StartUpLite.exe Vista W7, cliquer-droit => "Exécuter en tant qu'administrateur") pour lancer le programme qui affichera toutes les entrées inutiles en démarrage automatique. Sélectionner les entrées affichées et cliquer sur "Continue" (à moins que vous vouliez en garder).
  S'il affiche "No unnecessary startups found!", c'est qu'il n'y a rien à faire.
  On peut, aussi, utiliser CCleaner pour gérer l'activité de ces processus:
  Lancer CCleaner => Outils => Démarrage. Dans la liste de droite, sélectionner un processus marqué "Oui" et cliquer sur le bouton "Désactiver".
  Fermer CCleaner et redémarrer pour vérifier s'il n'y a pas d'incidences apparentes (réactiver le processus si nécessaire).
  
• Nettoyer avec (CCleaner) et PureRa puis dé-fragmenter (Defraggler), régulièrement, les Partitions/ Disques.

 

>>> ÉVITER ABSOLUMENT:

• Crack et Cie: Un peu de lecture sur tout ce qui tourne autour de ces programmes: Warez ; Crack ; keygen.
  - Elle est finie l'époque où les cracks sont là juste pour aider ceux qui n'ont pas les moyens de se payer un tel ou tel programme et/ou c'était un signe de rébellion contre ces concepteurs trop avides...
  La nouvelle orientation est de se faire de l'agent facile en vendant des programmes qui "font tout" ou des barres d'outil qui "cherchent et trouvent tout".
  En fait, ils installent au mieux un spyware ou un adware qui tracent les habitudes de l'utilisateur pour lui afficher des pubs ciblées et au pire un rogue ou un rootkit qui peut aller jusqu'à bloquer une machine ou la rendre complètement inutilisable.
  - A noter que les "plus bénins" de ces cracks, ceux qui vous permettent d'installer un programme sans créer de problèmes apparents, mettent votre machine en danger parce que tout programme illégal ne reçoit pas de mises à jour et est donc porteur de vulnérabilités facilement exploitables par les pirates pour s'ouvrir des portes dérobées et disposer de tout ce qu'il veulent dans votre machine.
  Parce qu'il existe toujours un programme/logiciel gratuit et légal pour pratiquement tout ce qu'on veut, on peut éviter tout risque de catastrophe pour sa machine et ses documents personnels en désinstallant tout programme illégal déjà installé, en vidant les dossiers qui contiennent ce type de programmes et en restant à l'écart de ce type de programmes..
  
• Réseaux/Programmes P2P:
  - Tout ce qui est lié aux applications type P2P/ Torrent devient de plus en plus dangereux pour les machines et les documents personnels et/ ou confidentiels qui y sont stockés.
  Fini le partage entre des gens honnêtes. Les pirates, aussi, veulent partager avec le maximum d'internautes et mettent à disposition leurs applications partout où ils peuvent sous de faux noms aussi attractifs que possibles, des Cracks, keygen etc.
  C'est OK, les programmes P2P ne sont pas tous dangereux en eux-mêmes (et c'est la preuve qu'il y en a qui le sont ) mais qui sait avec certitude lequel est bon et lequel est dangereux?.
  - Penser au principe même de ce type de réseau qui n'est en rien bénéfique: Vous autoriser tout le monde à utiliser votre bande passante ce qui peut ralentir considérablement votre système et communiquer avec votre machine ce qui peut faciliter la tâche aux intrus pour déposer des bombes à retardement.
  - En adhérant à ce type de réseau, non seulement, vous ouvrez délibérément des portes à tout et n'importe quoi mais aussi, vous forcez votre pare-feu et antivirus à les tolérer (c'est compris dans la procédure d'installation). On s'étonne après de ce qui arrive à sa machine ou on accuse son antivirus.
  Prendre la sage décision de désinstaller tout programme de ce type et rester à l'écart de ce type de réseaux.

 

>>> Ajouter Résolu à ton 1er post (mode d'emploi).

 

Bonne chance!

[papigelou]

Bonjour,

 

J'ai fait tous les points comme indiqués sur ton dernier post.

 

Ma machine a encore eu un blocage avec effacement des textes, mais comme il n'y a pas d'infection à 1ère vue, je vais m'en accommoder pour le moment.

 

J'ai installé le parefeu et un antispyware et depuis ma machine travail comme au ralenti, et quand je l'allume, elle met près de 10mn avant d'afficher le bureau!!!

 

J'avais mis le parefeu Online Armor Firewall, et mon logiciel de sav (Paragon) ne marchait plus.

J'ai enlevé le parefeu et le logiciel de sav marchait.

J'ai mis un autre parefeu, mais j'ai pris ZoneAlarm (qui est français et semble bien coté sur internet) et mon logiciel de sav fonctionne.

 

Si c'est le parefeu ou l'antispyware qui ralenti autant ma machine, dois-je les garder?

 

De plus, pendant que je t'écrivais, j'ai eu un écran bleu dont je te mets le résultat ci-après pour voir si tu peux me dire pourquoi?

 

A problem has been detected and Windows has been shut down to prevent damage

to your computer.

 

The problem seems to be caused by the following file: win32k.sys

 

KERNEL_MODE_EXCEPTION_NOT_HANDLED

 

If this is the first time you've seen this stop error screen,

restart your computer. If this screen appears again, follow

these steps:

 

Check to make sure any new hardware or software is properly installed.

If this is a new installation, ask your hardware or software manufacturer

for any Windows updates you might need.

 

If problems continue, disable or remove any newly installed hardware

or software. Disable BIOS memory options such as caching or shadowing.

If you need to use safe mode to remove or disable components, restart

your computer, press F8 to select Advanced Startup Options, and then

select Safe Mode.

 

Technical Information:

 

*** STOP: 0x1000008e (0xc0000005, 0xbf932dc3, 0xb8dcdc10, 0x00000000)

 

*** win32k.sys - Address 0xbf87392e base at 0xbf800000 DateStamp 0x4f0f0ff9

[papigelou]

Bonjour,

 

Mon pc fonctionnait très mal, mettant 10mn pour afficher le bureau, puis se bloquant au bout de 10 ou 15mn, et ce plusieurs fois, et un autre écran bleu aussi.

 

J'ai donc repris une sauvegarde du 16-02 ou les nettoyages avaient été fait comme tu l'avais dit, mais là aussi, des problèmes de plantage mais moins récurent.

 

J'ai décidé de supprimer pas mal de logiciels, quitte à en reprendre quelques un après, et depuis, je n'ai pas eu de problèmes.

 

Je reste comme cela pour le moment, et je vais donc mettre résolu, quitte à remettre un sujet plus tard.

 

Malgré tout ça, je pense qu'il a été fait un bon nettoyage, et je te remercie pour ton aide.

 

Bien cordialement