Win32:malware-gen & Win32:trojan-gen

Gary123456 · le 6 août 2012

Bonjour,

Cela fait quelques jours que je suis en battle avec 2 virus :

Win32:malware-gen
Win32:trojan-gen

A chaque alertes Avast, je les mets pourtant en "quarantaine" mais rien à faire, les mêmes alertes reviennent tout le temps ! le pc rame au démarrage. Quelqu'un peut il svp m'aider à éradiquer ces virus !

pear · le 6 août 2012

Bonjour,

Postez les rapports Avast, svp.

Télécharger RogueKiller (by tigzy) sur le bureau

Quitter tous les programmes

Lancer RogueKiller.exe.

Patienter le temps du Prescan ...

Cliquer sur Scan.

Cliquer sur Rapport et copier/coller le contenu

Nettoyage

Dans l'onglet "Registre", décocher les lignes suivantes:

((Lignes à décocher:celles que vous avez volontairement modifiées)

Cliquer sur Suppression. Cliquer sur Rapport et copier/coller le contenu

Cliquer sur Host RAZ. Cliquer sur Rapport et copier/coller le contenu

Cliquer sur Proxy RAZ. Cliquer sur Rapport [/b]et copier/coller le contenu

Cliquer sur DNS RAZ. Cliquer sur Rapport[/b]etcopier/coller le contenu

Cliquer sur Racc. RAZ. Cliquer sur Rapport[/b] et copier coller le contenu du notepad

Dans l'onglet Driver, réparer les index SSDT suivants en faisant un clic droit sur leur ligne => Restaurer SSDT

Sauf avis contraire, ne touchez pas aux index SSDT

(Liste des indexes)

Note. Le bouton Suppression ne sera pas accessible tant que le scan n'aura pas été fait

Téléchargez MBAM

Avant de lancer Mbam

Vous devez d'abord désactiver vos protections mais vous ne savez pas comment faire

Cliquer ici

Branchez tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)

Exécuter avec droits d'administrateur.

Sous Vista , désactiver l'Uac

Double cliquez sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation.

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update et Launch soient cochées

MBAM démarrera automatiquement et enverra un message demandant de mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue..

Dans l'onglet "mise à jour", cliquez sur le bouton Recherche de mise à jour:

Si le pare-feu demande l'autorisation de connecter MBAM, acceptez.

Une fois la mise à jour terminée, allez dans l'onglet Recherche.

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

.L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Et un fichier Mbam.log apparaitra

Nettoyage

Relancez Mbam(Malewares'Bytes)

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Sélectionnez tout et cliquez sur Supprimer la sélection ,

MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

puis ouvrir le Bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

Copiez-collez ce rapport dans la prochaine réponse.

Gary123456 · le 7 août 2012

Bonjour et merci de votre réponse :

Voici le rapport RogueKiller en attendant le rapport Avast dont il reste 28%.

RogueKiller V7.6.5 [03/08/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/57)

Blog: tigzy-RK

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 64 bits version

Demarrage : Mode normal

Utilisateur: Romerix [Droits d'admin]

Mode: Recherche -- Date: 07/08/2012 13:43:15

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 5 ¤¤¤

[sUSP PATH] 16713ec0.job @ : C:\Users\Romerix\AppData\Local\Temp\\setup1055094976.exe -> FOUND

[PROXY IE] HKCU\[...]\Internet Settings : ProxyEnable (1) -> FOUND

[ZeroAccess] HKCR\[...]\InprocServer32 : (C:\Users\Romerix\AppData\Local\{d2760dc5-4070-6783-74a3-7f8f6cc5120d}\n.) -> FOUND

[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> FOUND

[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> FOUND

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

[ZeroAccess][FILE] @ : c:\windows\installer\{d2760dc5-4070-6783-74a3-7f8f6cc5120d}\@ --> FOUND

[ZeroAccess][FOLDER] U : c:\windows\installer\{d2760dc5-4070-6783-74a3-7f8f6cc5120d}\U --> FOUND

[ZeroAccess][FOLDER] L : c:\windows\installer\{d2760dc5-4070-6783-74a3-7f8f6cc5120d}\L --> FOUND

[ZeroAccess][FILE] @ : c:\users\romerix\appdata\local\{d2760dc5-4070-6783-74a3-7f8f6cc5120d}\@ --> FOUND

[ZeroAccess][FOLDER] U : c:\users\romerix\appdata\local\{d2760dc5-4070-6783-74a3-7f8f6cc5120d}\U --> FOUND

[ZeroAccess][FOLDER] L : c:\users\romerix\appdata\local\{d2760dc5-4070-6783-74a3-7f8f6cc5120d}\L --> FOUND

[susp.ASLR][ASLR WIPED-OFF] services.exe : c:\windows\system32\services.exe --> CANNOT FIX

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Infection : ZeroAccess ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: TOSHIBA MK4055GSX +++++

--- User ---

[MBR] c49fcc1f349e82e2dead223ef3b5e75d

[bSP] 686d1a45e81a0255bbbdba93cbbe1bc8 : Windows Vista MBR Code

Partition table:

0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 1500 Mo

1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 3074048 | Size: 190777 Mo

2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 393785344 | Size: 189276 Mo

User = LL1 ... OK!

User = LL2 ... OK!

Termine : << RKreport[1].txt >>

RKreport[1].txt

Gary123456 · le 7 août 2012

Le 2ème rapport RogueKiller après nettoyage / suppression.

RogueKiller V7.6.5 [03/08/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/57)

Blog: tigzy-RK

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 64 bits version

Demarrage : Mode normal

Utilisateur: Romerix [Droits d'admin]

Mode: Suppression -- Date: 07/08/2012 14:03:54

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 5 ¤¤¤

[sUSP PATH] 16713ec0.job @ : C:\Users\Romerix\AppData\Local\Temp\\setup1055094976.exe -> DELETED

[PROXY IE] HKCU\[...]\Internet Settings : ProxyEnable (1) -> NOT REMOVED, USE PROXYFIX

[ZeroAccess] HKCR\[...]\InprocServer32 : (C:\Users\Romerix\AppData\Local\{d2760dc5-4070-6783-74a3-7f8f6cc5120d}\n.) -> REPLACED (c:\windows\system32\shell32.dll)

[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)

[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

[ZeroAccess][FILE] @ : c:\windows\installer\{d2760dc5-4070-6783-74a3-7f8f6cc5120d}\@ --> REMOVED AT REBOOT

[Del.Parent][FILE] 00000001.@ : c:\windows\installer\{d2760dc5-4070-6783-74a3-7f8f6cc5120d}\U\00000001.@ --> REMOVED

[ZeroAccess][FOLDER] U : c:\windows\installer\{d2760dc5-4070-6783-74a3-7f8f6cc5120d}\U --> REMOVED

[ZeroAccess][FOLDER] L : c:\windows\installer\{d2760dc5-4070-6783-74a3-7f8f6cc5120d}\L --> REMOVED

[ZeroAccess][FILE] @ : c:\users\romerix\appdata\local\{d2760dc5-4070-6783-74a3-7f8f6cc5120d}\@ --> REMOVED

[ZeroAccess][FOLDER] U : c:\users\romerix\appdata\local\{d2760dc5-4070-6783-74a3-7f8f6cc5120d}\U --> REMOVED

[ZeroAccess][FOLDER] L : c:\users\romerix\appdata\local\{d2760dc5-4070-6783-74a3-7f8f6cc5120d}\L --> REMOVED

[susp.ASLR][ASLR WIPED-OFF] services.exe : c:\windows\system32\services.exe --> CANNOT FIX

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Infection : ZeroAccess ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: TOSHIBA MK4055GSX +++++

--- User ---

[MBR] c49fcc1f349e82e2dead223ef3b5e75d

[bSP] 686d1a45e81a0255bbbdba93cbbe1bc8 : Windows Vista MBR Code

Partition table:

0 - [XXXXXX] ACER (0x27) [VISIBLE] Offset (sectors): 2048 | Size: 1500 Mo

1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 3074048 | Size: 190777 Mo

2 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 393785344 | Size: 189276 Mo

User = LL1 ... OK!

User = LL2 ... OK!

Termine : << RKreport[2].txt >>

RKreport[1].txt ; RKreport[2].txt

Gary123456 · le 7 août 2012

>> 3ème rapport après avoir cliquer sur Cliquer sur Host RAZ

RogueKiller V7.6.5 [03/08/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/57)

Blog: tigzy-RK

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 64 bits version

Demarrage : Mode normal

Utilisateur: Romerix [Droits d'admin]

Mode: HOSTS RAZ -- Date: 07/08/2012 14:11:48

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤

¤¤¤ Nouveau fichier HOSTS: ¤¤¤

127.0.0.1 localhost

Termine : << RKreport[3].txt >>

RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt

>> 4ème rapport après avoir cliquer sur Proxy RAZ

RogueKiller V7.6.5 [03/08/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/57)

Blog: tigzy-RK

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 64 bits version

Demarrage : Mode normal

Utilisateur: Romerix [Droits d'admin]

Mode: Proxy RAZ -- Date: 07/08/2012 14:14:38

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Entrees de registre: 1 ¤¤¤

[PROXY IE] HKCU\[...]\Internet Settings : ProxyEnable (1) -> REPLACED (0)

Termine : << RKreport[4].txt >>

RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt

>> 5ème rapport après avoir cliquer sur DNS RAZ

RogueKiller V7.6.5 [03/08/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/57)

Blog: tigzy-RK

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 64 bits version

Demarrage : Mode normal

Utilisateur: Romerix [Droits d'admin]

Mode: DNS RAZ -- Date: 07/08/2012 14:16:53

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Entrees de registre: 0 ¤¤¤

Termine : << RKreport[5].txt >>

RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt ; RKreport[5].txt

>>6ème rapport après avoir cliquer sur Racc. RAZ.

RogueKiller V7.6.5 [03/08/2012] par Tigzy

mail: tigzyRK<at>gmail<dot>com

Remontees: [RogueKiller] Remontées (1/57)

Blog: http://tigzyrk.blogspot.com

Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 64 bits version

Demarrage : Mode normal

Utilisateur: Romerix [Droits d'admin]

Mode: Raccourcis RAZ -- Date: 07/08/2012 14:27:28

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Driver: [NON CHARGE] ¤¤¤

¤¤¤ Attributs de fichiers restaures: ¤¤¤

Bureau: Success 1 / Fail 0

Lancement rapide: Success 0 / Fail 0

Programmes: Success 11 / Fail 0

Menu demarrer: Success 8 / Fail 0

Dossier utilisateur: Success 434 / Fail 0

Mes documents: Success 3 / Fail 0

Mes favoris: Success 0 / Fail 0

Mes images: Success 0 / Fail 0

Ma musique: Success 0 / Fail 0

Mes videos: Success 0 / Fail 0

Disques locaux: Success 176 / Fail 0

Sauvegarde: [NOT FOUND]

Lecteurs:

[C:] \Device\HarddiskVolume2 -- 0x3 --> Restored

[D:] \Device\CdRom1 -- 0x5 --> Skipped

[E:] \Device\HarddiskVolume3 -- 0x3 --> Restored

[F:] \Device\CdRom0 -- 0x5 --> Skipped

¤¤¤ Infection : ZeroAccess ¤¤¤

Termine : << RKreport[6].txt >>

RKreport[1].txt ; RKreport[2].txt ; RKreport[3].txt ; RKreport[4].txt ; RKreport[5].txt ;

RKreport[6].txt

Gary123456 · le 7 août 2012

Bonjour,

Ou trouve t'on le rapport en .txt de Avast, dans celui çi je ne peux que le lire mais pas importer ou accéder à son fichier pour vous le poster. En tout cas, le résulat c'est qu'il me trouve rien. Mais les alertes continuent... comprend pas ?

Modifié le 7 août 2012 par Gary123456

pear · le 7 août 2012

Combofix est un logiciel très puissant qui ne doit pas être utilisé sans une aide compétente sous peine de risquer des dommages irréversibles.

Veuillez noter que ce logiciel est régulièrement mis à jour et que la version téléchargée sera obsolète dans quelques jours.

Télécharger combofix.exe de sUBs

et sauvegardez le sur le bureau

Fermez ou désactivez tous les programmes Antivirus, Antispyware, Pare-feu actifs car ils pourraient perturber le fonctionnement de cet outil

Pour cela:

Démarrer->Exécuter->Msconfig->Démarrage : décochez les protections Antivirus, Antispyware,Teatimeretc..

Cela est absolument nécessaire au succès de la procédure.

Bien évidemment, vous les rétablirez ensuite.

Si vous avez un message de Combofix disant que votre antivirus est actif alors que vous l'avez désactivé, recommencez la procédure en mode sans échec

Double cliquer sur combofix.exe pour le lancer.

Ne pas fermer la fenêtre qui vient de s'ouvrir , le bureau serait vide et cela pourrait entraîner un plantage du programme!

Pour lancer le scan

Connecter tous les disques amovibles (disque dur externe, clé USB…).

Taper sur la touche 1 pour démarrer le scan.

Si pour une raison quelconque, combofix ne se lançait pas,

Sous Vista, désactivez l'UAC

Démarrez en mode sans échec, choisissez le compte Administrateur, lancez Combofix

Si vous avez un message de Combofix disant que votre antivirus est actif alors que vous l'avez désactivé, recommencez la procédure en mode sans échec

Lorsque ComboFix tourne, ne touchez plus du tout à votre ordinateur, vous risqueriez de planter le programme.

Le scan pourrait prendre un certain temps, il y a 50 procédures successives:

Patientez au moins 30 minutes pendant l'analyse.

Si le programme gèle (+ de 30 minutes), fermez le en cliquant le "X" au haut à droite de la fenêtre.

A la fin,,un rapport sera généré : postez en le contenu dans un prochain message.

Si le rapport est trop long, postez le en deux fois.

Il se trouve à c:\combofix.txt

Gary123456 · le 7 août 2012

Ok merci je termine la phase de malware complet et je lance un combofix selon ce qui est écrit. Je fais le retour après

Gary123456 · le 7 août 2012

Rapport Malwarebytes Anti-Malware 1.62.0.1300

www.malwarebytes.org

Version de la base de données: v2012.08.06.09

Windows Vista Service Pack 2 x64 NTFS

Internet Explorer 9.0.8112.16421

Romerix :: PC-DE-ROMERIX [administrateur]

07/08/2012 14:42:21

mbam-log-2012-08-07 (14-42-21).txt

Type d'examen: Examen complet

Options d'examen désactivées: P2P

Elément(s) analysé(s): 671836

Temps écoulé: 2 heure(s), 35 minute(s), 26 seconde(s)

Processus mémoire détecté(s): 0