Mon ordi est infecté par un trojan

new zebu · le 29 avril 2012

Bonjour

Comme c'est le cas de domie26 mon ordinateur est infecté par un Trojan. J'ai beau essayer avec adware et même avec mon antivirus, je pense que mon pc est infecté il a commencé à émettre des clac clac.. et j'ai retiré la nappe de la disquette pour arrêter ce bruit.

J'ai réalisé le processus et voici le lien du rapport avec ZHPDiag. Je veux ajouter que j'ai dû terminer une application mbr.exe lors de l'installation « interrompre l'exécution » suite à une défense pro-active de kaspersky anti virus 2012.

Cordialement.

pear · le 30 avril 2012

Bonjour,

Vous devez trouver sur le bureau ou ,sinon, dans le dossier où vous avez installé Zhpdiag ces 3 icônes .

Cliquer sur l'icône Zhpfix

Sous Vista/7 clic-droit, "Exécuter En tant qu'Administrateur

Copiez/Collez les lignes vertes dans le cadre ci dessous:

pour cela;

Clic gauche maintenu enfoncé, Balayer l'ensemble du texte à copier avec la souris pour le mettre en surbrillance ,de gauche à droite et de haut en bas

Ctrl+c mettre le tout en mémoire

Ctrl+v pour inscrire le texte dans le Document

Vous ne verrez rien avant d'avoir Cliqué sur le H-

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusDisableNotify: Modified => Infection Diverse (PUM.Disabled.SecurityCenter)

[HKLM\SOFTWARE\Microsoft\Security Center] FirewallDisableNotify: Modified => Infection Diverse (PUM.Disabled.SecurityCenter)

[HKLM\SOFTWARE\Microsoft\Security Center] UpdatesDisableNotify: Modified => Infection Diverse (Disabled.WindowsUpdate)

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] NoFolderOptions: Modified => Infection Diverse (Hijack.FolderOptions)

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System] DisableTaskMgr: Modified => SYSTEM : Désactive le Gestionnaire des Tâches

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System] DisableRegistryTools: Modified => Infection Diverse

M3 - MFPP: Plugins - [admin] -- C:\Program Files\Mozilla FireFox\searchplugins\babylon.xml => Infection BT (Toolbar.Babylon)

R1 - HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs = http://search.babylon.com => Infection BT (Toolbar.Babylon)

O4 - HKCU\..\Run: [Kujytuo] . (...) -- C:\Documents and Settings\admin\Application Data\kujytuo\kujytuo.exe => Infection PUP (PUP.Kujytuo)

O4 - HKUS\S-1-5-21-329068152-1580436667-682003330-1003\..\Run: [Kujytuo] . (...) -- C:\Documents and Settings\admin\Application Data\kujytuo\kujytuo.exe => Infection PUP (PUP.Kujytuo)

[HKLM\Software\Babylon] => Infection BT (Toolbar.Babylon)

[HKLM\Software\Freeze.com] => Infection BT (Adware.BHO)

O43 - CFD: 01/01/2012 - 22:54:17 - [0,028] ----D C:\Documents and Settings\admin\Application Data\Babylon => Infection BT (Toolbar.Babylon)

O43 - CFD: 09/03/2012 - 12:55:11 - [0,376] ----D C:\Documents and Settings\admin\Application Data\OpenCandy => Infection PUP (Adware.OpenCandy)

O43 - CFD: 01/01/2012 - 22:54:23 - [4,888] ----D C:\Documents and Settings\admin\Local Settings\Application Data\Babylon => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("browser.babylon.HPOnNewTab", "search.babylon.com"); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("browser.search.order.1", "Search the web (Babylon)"); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToolbar.baylonToolbar.dfltLng", "fr"); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToolbar.dfltSrch", false); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToolb); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToolbar.lastVrsnTs", "1.5.3.1715:12:00"); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToolbar.mntrFFxVrsn", "9.0wTabUrl", "http://search.babylon.com/?babsrc=NT_FFUP"); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToolbar.noFFck", 6487 => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToolbar.prtkDS", 1); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToolbar.prtkHmpg", 1); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToolbar_i.aflt", "babsst"); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToolbar_i.babExt", ""); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToolbar_i.babTrack", "affID=108988"); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToolbar_i.hardId", "38b74c1e000000000000000f2071f171"); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToolbar_i.id", "38b74c1e000000000000000f2071f171"); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToer_pref("extensions.BabylonToolbar_i.newTabUrl", "http://search.babylon.com/?AF=108988nsions.Babylo[...] => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.ions.BabylonToolbar_i.srcExt", "ss"); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToolbar_i.tlbrId", "base"); => Infection BT (Toolbar.Babylon)

O69 - SBI: prefs.js [admin - 881zvkj1.default] user_pref("extensions.BabylonToolbar_i.vrsni", "1.5.3.17"); => Infection BT (Toolbar.Babylon)

O69 - SBI: SearchScopes [HKCU] {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} [DefaultScope] - (Search the web (Babylon)) - http://search.babylon.com => Infection BT (Toolbar.Babylon)

[HKLM\Software\Classes\AppID\{09C554C3-109B-483C-A06B-F14172F1A947}] => Infection BT (Adware.Agent)

[HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ecdf796-c2dc-4d79-a620-cce0c0a66cc9}] => Infection BT (Adware.MyWebSearch)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{0FB6A909-6086-458F-BD92-1F8EE10042A0}] => Infection BT (Adware.PredictAd)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{0FB6A909-6086-458F-BD92-1F8EE10042A0}] => Infection BT (Adware.PredictAd)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{2EECD738-5844-4a99-B4B6-146BF802613B}] => Infection BT (Toolbar.Babylon)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{2EECD738-5844-4a99-B4B6-146BF802613B}] => Infection BT (Toolbar.Babylon)

[HKLM\Software\Classes\CLSID\{2EECD738-5844-4a99-B4B6-146BF802613B}] => Infection BT (Toolbar.Babylon)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{97F2FF5B-260C-4ccf-834A-2DDA4E29E39E}] => Infection BT (Toolbar.Babylon)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{97F2FF5B-260C-4ccf-834A-2DDA4E29E39E}] => Infection BT (Toolbar.Babylon)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{98889811-442D-49dd-99D7-DC866BE87DBC}] => Infection BT (Toolbar.Babylon)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{98889811-442D-49dd-99D7-DC866BE87DBC}] => Infection BT (Toolbar.Babylon)

[HKLM\Software\Classes\AppID\{BDB69379-802F-4eaf-B541-F8DE92DD98DB}] => Infection BT (Toolbar.Babylon)

[HKLM\Software\Classes\CLSID\{E46C8196-B634-44a1-AF6E-957C64278AB1}] => Infection BT (Toolbar.Babylon)

[HKLM\Software\freeze.com] => Infection BT (Adware.BHO)

C:\Documents and Settings\admin\Application Data\Babylon => Infection BT (Toolbar.Babylon)

C:\Documents and Settings\admin\Application Data\OpenCandy => Infection PUP (Adware.OpenCandy)

C:\Documents and Settings\admin\Local Settings\Application Data\Babylon => Infection BT (Toolbar.Babylon)

R0 - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = about:blank

R3 - URLSearchHook: (no name) - {81017EA9-9AA8-4A6A-9734-7AF40E7D593F} . (...) (No version) -- (.not file.) => Fichier absent

O4 - HKLM\..\Run: [YaTVia] C:\Program Files\YaTVia\YaTVia.exe (.not file.) => Fichier absent

O4 - HKLM\..\policies\Explorer\Run: [updates] C:\Documents and Settings\admin\Windows\HUMOUR.vbe (.not file.) => Fichier absent

O4 - HKUS\S-1-5-18\..\RunOnce: [showDeskFix] Clé orpheline => Orphean Key not necessary

O4 - HKUS\S-1-5-19\..\RunOnce: [showDeskFix] Clé orpheline => Orphean Key not necessary

O4 - HKUS\S-1-5-20\..\RunOnce: [showDeskFix] Clé orpheline => Orphean Key not necessary

O4 - Global Startup: C:\Documents And Settings\admin\Menu Démarrer\Programmes\Démarrage.lnk . (...) -- C:\Program Files\CommissionAlert.exe (.not file.) => Fichier absent

[MD5.00000000000000000000000000000000] [APT] [Ad-Aware Update (Weekly)] (...) -- C:\Program Files\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe (.not file.) => Lavasoft AB Ad-Aware

[MD5.00000000000000000000000000000000] [APT] [symInstallStub] (...) -- C:\DOCUME~1\admin\LOCALS~1\Temp\nsh4F.tmp\SymInstallStub.exe (.not file.) => Fichier absent

O42 - Logiciel: Complitly - (.Complitly.) [HKLM] -- {4FFBB818-B13C-11E0-931D-B2664824019B}_is1

O42 - Logiciel: NOD32 FiX v2.1 - (.Pas de propriétaire.) [HKLM] -- {DBC3FDEC-D5F4-439C-9A18-EF454A74E3DE}_is1 => Eset NOD32 Antivirus Crack

[HKCU\Software\Amazon]

[HKCU\Software\Complitly]

[HKLM\Software\Amazon]

O43 - CFD: 26/12/2011 - 23:41:21 - [57,904] ----D C:\Program Files\Amazon

O43 - CFD: 01/01/2012 - 23:41:54 - [0,757] ----D C:\Program Files\Complitly

O43 - CFD: 24/04/2012 - 21:10:16 - [0] ----D C:\Documents and Settings\admin\Application Data\Complitly

O43 - CFD: 26/12/2011 - 23:41:27 - [0,187] ----D C:\Documents and Settings\admin\Local Settings\Application Data\Amazon

O43 - CFD: 26/12/2011 - 23:41:27 - [0,003] ----D C:\Documents and Settings\admin\Menu Démarrer\Programmes\Amazon

O44 - LFC:[MD5.9F662462F4CFCF24F14AD43678E45764] - 09/04/2012 - 12:11:23 ---A- . (...) -- C:\colorbox.log [2179] => Fichier de rapport

M2 - MFEP: prefs.js [sUPPORT_388945a0 - 881zvkj1.default\{0b38152b-1b20-484d-a11f-5e04a9b0661f}] [] Winamp Toolbar v (.AOL Inc..) => Toolbar.WinAmp

[HKLM\Software\Classes\Interface\{9E3B11F6-4179-4603-A71B-A55F4BCB0BEC}] => AVG Security Toolbar

SysRestore

EmptyFlash

EmptyTemp

FirewallRaz

Cliquer sur "OK", ce qui fait apparaître un carré à gauche de chaque ligne.

Cliquer sur "Tous" puis sur "Nettoyer" .

Redémarrer pour achever le nettoyage.

Un rapport apparait:

Si le rapport n'apparait pas,cliquer sur

Copier-coller le rapport de suppression dans la prochaine réponse.

2) Téléchargez AD-Remover sur le bureau

Ici

ou

Là

Déconnectez-vous et fermez toutes les applications en cours

Cliquer sur "Ad-R.exe" pour lancer l'installation et laisser les paramètres par défaut .

Une fenêtre s'affichera Vous prévenant des risques de l'utilisation de ce logiciel

Cliquez sur "OUI"

Double cliquer sur l'icône Ad-remover sur le bureau

Au menu principal choisir l'optionScanner et Validez

Patientez pendant le travail de l'outil.

Poster le rapport qui apparait à la fin .

Il est sauvegardé aussi sous C:\Ad-report.log

Ensuite

Relancer Ad- remover , choisir l'option Nettoyer

Il y aura 2 rapports à poster après :Scanner et Nettoyer

Pour les rapports qui sont courts (ex. Malwarebytes, AD-R, USBFix, etc.), copiez/collez sur votre sujet

Une fois la désinfection terminée, mais pas avant:

désinstaller AD-Remover, lancez avec l'option D puis supprimer l'icône du bureau.

3)

Téléchargez MBAM

ICI

ou LA

Avant de lancer Mbam

Vous devez d'abord désactiver vos protections mais vous ne savez pas comment faire

Cliquer ici

Branchez tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)

Exécuter avec droits d'administrateur.

Sous Vista , désactiver l'Uac

Double cliquez sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation.

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update et Launch soient cochées

MBAM démarrera automatiquement et enverra un message demandant de mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue..

Dans l'onglet "mise à jour", cliquez sur le bouton Recherche de mise à jour:

Si le pare-feu demande l'autorisation de connecter MBAM, acceptez.

Une fois la mise à jour terminée, allez dans l'onglet Recherche.

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

.L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Et un fichier Mbam.log apparaitra

Nettoyage

Relancez Mbam(Malewares'Bytes)

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Sélectionnez tout et cliquez sur Supprimer la sélection ,

MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

puis ouvrir le Bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

Copiez-collez ce rapport dans la prochaine réponse.

new zebu · le 30 avril 2012

Bonjour

Voilà pour ZHPfix je n'ai pas obtenu d'image au démarrage et on ouvrant ZHPfix et en cliquant sur l'icone indiquée j'ai un blanc .

pour les 03 rapports les voilà ci-dessous :

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11

Contact: AdRemover[DOT]contact[AT]gmail[DOT]com

Site web: webmail http://webmail.ovh.net

C:\Program Files\Ad-Remover\main.exe (SCAN [1]) -> Lancé à 08:50:40 le 30/04/2012, Mode normal

Microsoft Windows XP Professionnel Service Pack 2 (X86)

admin@MIMTECH-4C97DEA ( )

============== RECHERCHE ==============

Dossier trouvé: C:\Documents and Settings\admin\Application Data\OpenCandy

Fichier trouvé: C:\WINDOWS\system32\e1f3cf65-2506-46bb-bff7-eb0e77acba90.dll

Clé trouvée: HKLM\Software\Classes\Interface\{9E3B11F6-4179-4603-A71B-A55F4BCB0BEC}

Clé trouvée: HKLM\Software\Freeze.com

Clé trouvée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}

============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [11.0 (fr)] ****

HKLM_MozillaPlugins\Adobe Reader (x)

Searchplugins\avg-secure-search.xml ( hxxp://isearch.avg.com/search?cid={2CE05ECF-F80C-4B65-ADF8-5D99F140A747}&mid=f4c27c7e4ed747d1a4069c2c228d88c3-1ba37c8335d4fdb837014fd25a8b392690a6a488&ds=ins11&lang=en&v=9.0.0.23&pr=sa&d=&sap=dsp&q={searchTerms}/)

Searchplugins\bing.xml ( hxxp://www.bing.com/search)

Components\browsercomps.dll (Mozilla Foundation)

HKLM_Extensions|[email protected] - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 2012\FFExt\[email protected]

-- C:\Documents and Settings\admin\Application Data\Mozilla\FireFox\Profiles\881zvkj1.default --

Extensions\{0b38152b-1b20-484d-a11f-5e04a9b0661f} (Winamp Toolbar)

Extensions\{35106bca-6c78-48c7-ac28-56df30b51d2c} (Organize Status Bar)

Searchplugins\aol-web-search.xml (?)

Prefs.js - browser.download.lastDir, C:\\Documents and Settings\\admin\\Bureau\\Fanstore

Prefs.js - browser.search.defaultenginename, Search the web (Babylon)

Prefs.js - browser.search.defaulturl, hxxp://search.winamp.com/search/search?query={searchTerms}&invocationType=tb50ffwinamp-chrome...

Prefs.js - browser.search.selectedEngine, Search the web (Babylon)

Prefs.js - browser.startup.homepage, hxxps://login.live.com/login.srf?wa=wsignin1.0&rpsnv=11&ct=1335513997&rver=6.1.6206.0&wp=MBI&w...

Prefs.js - browser.startup.homepage_override.buildID, 20120312181643

Prefs.js - browser.startup.homepage_override.mstone, rv:11.0

Prefs.js - keyword.URL, hxxp://search.babylon.com/?AF=108988&babsrc=adbartrp&mntrId=38b74c1e000000000000000f2071f171&q=

========================================

**** Internet Explorer Version [8.0.6001.18702] ****

HKCU_Main|Search Page - hxxp://go.microsoft.com/fwlink/?LinkId=54896

HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=69157

HKLM_Main|Default_Search_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896

HKLM_Main|Search bar - hxxp://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm

HKLM_Main|Search Page - hxxp://go.microsoft.com/fwlink/?LinkId=54896

AboutUrls|Tabs - hxxp://google.fr

HKCU_URLSearchHooks|{81017EA9-9AA8-4A6A-9734-7AF40E7D593F} (x)

HKCU_SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} - "Search the web (Babylon)" (hxxp://search.babylon.com/?q={searchTerms}&AF=108988&babsrc=SP_ss&mntrId=38b74c1...)

HKCU_SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233} - "AVG Secure Search" (hxxp://isearch.avg.com/search?cid={2CE05ECF-F80C-4B65-ADF8-5D99F140A747}&mid=f4c...)

HKCU_ElevationPolicy\{8E66592B-8E7C-4A14-88A5-8BF21032F651} - C:\Program Files\Yahoo!\companion\installs\cpn\ytbb.exe (x)

HKCU_ElevationPolicy\{C51EBC86-51DF-4685-929A-994A00519770} - C:\Program Files\Citrix\GoToMeeting\723\G2MInstaller.exe (Citrix Online, a division of Citrix Systems, Inc.)

HKLM_Extensions\{e2e2dd38-d088-4134-82b7-f2ba38496583} - "?" (?)

BHO\{02478D38-C3F9-4efb-9B51-7695ECA05670} (?)

BHO\{5C255C8A-E604-49b4-9D64-90988571CECB} (?)

========================================

C:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)

C:\Program Files\Ad-Remover\Backup: 1 Fichier(s)

C:\Ad-Report-SCAN[1].txt - 30/04/2012 08:51:05 (4186 Octet(s))

Fin à: 08:52:10, 30/04/2012

============== E.O.F ==============

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11

Contact: AdRemover[DOT]contact[AT]gmail[DOT]com

Site web: webmail http://webmail.ovh.net

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 08:57:10 le 30/04/2012, Mode normal

Microsoft Windows XP Professionnel Service Pack 2 (X86)

admin@MIMTECH-4C97DEA ( )

============== ACTION(S) ==============

Dossier supprimé: C:\Documents and Settings\admin\Application Data\OpenCandy

Fichier supprimé: C:\WINDOWS\system32\e1f3cf65-2506-46bb-bff7-eb0e77acba90.dll

(!) -- Fichiers temporaires supprimés.

Clé supprimée: HKLM\Software\Classes\Interface\{9E3B11F6-4179-4603-A71B-A55F4BCB0BEC}

Clé supprimée: HKLM\Software\Freeze.com

Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}