PC infecté par cheval de Troie ?

[Solomandre]

Bonjour,

 

Mon PC de bureau devient ingouvernable : sous firefox, depuis la fin de matinée j'ai un mal fou à accéder aux sites internet habituels, je ne peux plus taper mes identifiants et mdp, ni même écrire une recherche à faire dans la fenêtre des divers moteurs de recherche. Lorsque j'arrive enfin à aller sur un site, chaque action m'ouvre un nouvel onglet.... Ce matin mon PC fonctionnait normalement a priori.

 

J'ai lancé un scan antivir qui m'a détecté le trojan Agent.398443 que j'ai mis en quarantaine.

 

J'ai du pour pouvoir poster cette demande d'aide utiliser mon portable.

 

Merci de votre aide

 

Solomandre

[Apollo]

Bonsoir,

 

Dans un premier temps, fais une restauration système à une date pas trop éloignée dans le passé (hier ou avant-hier par exemple) PC Astuces - Utiliser la restauration système

 

Dis-moi si cela arrange un peu les choses; on pourra faire d'autres vérifications pour voir s'il ne traine rien d'autre de malsain.

 

@++

[Solomandre]

Bonsoir Apollo,

 

Excellente idée la restauration..... sauf que mon PC veut pas ! il reste bloqué à l'étape "restaurer mon ordinateur à une heure antérieure" clic sur "suivant" et rien.... idem après redémarrage....

 

snif, débarrassez-moi vient cette sale bestiole de trojan

 

Solomandre

[Apollo]

Démarrer en mode sans échec avec prise en charge du réseau: Comment démarrer Windows en mode sans échec : Astuces pour Dépanner Windows XP

 

1) Télécharge AdwCleaner par Xplode: Téléchargements - Outils de Xplode - AdwCleaner

 

Enregistre-le sur le bureau (et pas ailleurs).

 

Si tu es sous XP double clique sur AdwCleaner pour lancer l'outil.

Si tu es sous Vista/Seven, clique droit sur AdwCleaner et choisis exécuter en temps qu'administrateur.

 

Clique sur Suppression et laisse travailler l'outil.

 

Le rapport va s'ouvrir en fichier texte; copie la totalité de son contenu et colle-le dans ta réponse.

 

Le rapport est en outre sauvegardé sous C:\AdwCleaner[s1]

 

-------------------------

 

2)ZHPDiag :

 

• Télécharge ZHPDiag de Nicolas Coolman. et enregistre-le sur le BUREAU.
   
  
• Double-clique sur ZHPDiag.exe pour lancer l'installation
  
  • Important:
    Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

 

[*]L'outil a créé 2 icônes ZHPDiag et ZHPFix sur le Bureau.

 

[*]Double-clique sur ZHPDiag pour lancer l'exécution

• Important:
  Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

 

[*]Clique sur le petit tournevis et clique sur TOUS.

 

Décocher 045 et 061.

 

[*]Clique sur la loupe pour lancer l'analyse. Tu patientes jusqu'à ce que le scan affiche 100%

Tu refermes ZHPDiag

 

[*]Le rapport ZHPDiag.txt se trouve sur le Bureau. (et sous c:\ZHP\ZHPDiag.txt)

Ce rapport étant trop long pour le forum, héberge le :

• soit directement sur le forum en pièce jointe dans ta réponse : Ajouter un fichier en pièce jointe sur le forum <<< Seulement pour le forum Vista-XP.fr!
  
• soit sur Cjoint et copie-colle le lien fourni dans ta réponse. OU >>
  
• Free large file hosting. Send big files the easy way! copier/coller le tout premier lien fourni.

 

 

@++

[Solomandre]

Bonsoir,

 

Tout d'abord :

 

# AdwCleaner v2.005 - Rapport créé le 28/10/2012 à 21:34:04

# Mis à jour le 14/10/2012 par Xplode

# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)

# Nom d'utilisateur : bwanette - DAUBE-01

# Mode de démarrage : Mode sans échec avec prise en charge réseau

# Exécuté depuis : H:\AdwCleaner.exe

# Option [suppression]

 

 

***** [services] *****

 

 

***** [Fichiers / Dossiers] *****

 

Dossier Supprimé : C:\Documents and Settings\All Users.WINDOWS\Application Data\iWin

Dossier Supprimé : C:\Documents and Settings\All Users.WINDOWS\Application Data\Trymedia

 

***** [Registre] *****

 

Clé Supprimée : HKCU\Software\AppDataLow\Software\SmartBar

Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}

Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{FFB96CC1-7EB3-449D-B827-DB661701C6BB}

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{889DF117-14D1-44EE-9F31-C5FB5D47F68B}

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\WebplayerTool

 

***** [Navigateurs] *****

 

-\\ Internet Explorer v8.0.6001.18702

 

[OK] Le registre ne contient aucune entrée illégitime.

 

-\\ Mozilla Firefox v16.0.2 (fr)

 

-\\ Google Chrome v22.0.1229.94

 

-\\ Opera v11.0.1156.0

 

*************************

 

AdwCleaner[s1].txt - [1474 octets] - [28/10/2012 21:34:04]

 

########## EOF - C:\AdwCleaner[s1].txt - [1534 octets] ##########

Modifié le 28 octobre 2012 par Solomandre

[Solomandre]

Bonsoir Apollo,

 

Suite : ZHPDiag.txt (145.50KB) Download ZHPDiag.txt from Sendspace.com - send big files the easy way

 

Merci de ton aide

 

Solomandre alias Bwanette

[Apollo]

Re,

 

Spybot, complètement obsolète peut faire échouer une désinfection.

 

1) Désinstaller Spybot S&D:

 

Désactive le teatimer de Spybot en passant par les options de Spybot: une fois dans le logiciel, il faut aller dans le menu "Mode" => coche "Mode avancé" => "Outils"(en bas de page)=> "Résident" => et tu décoches cette case: "Résident Teatimer" . Tu ne dois plus voir l'icône du Teatimer dans la barre de tâches!

 

Tu dois retirer les vaccinations faites dans Spybot avant de le désinstaller.

 

 

Tu peux alors désinstaller Spybot S&D par ajouter/supprimer des programmes, ou par Programmes et Fonctionnalités dans Vista/Seven.

 

Jesses Entraide

 

-------------------

2) ZHPFix :

 

• Ferme toutes les applications ouvertes
   
  
• Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau
  Important:
  Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur.
   
  
• Copie les lignes ci-dessous dans la fenêtre

 

M2 - MFEP: prefs.js [bwanette - 8i1shfsp.Bwanette\plugin@yontoo.com] [] Yontoo Layers v1.20.00 (.Yontoo LLC.)    
M2 - MFEP: prefs.js [bwanette - fgjcgtl1.FreeNet\plugin@yontoo.com] [] Yontoo Layers v1.20.00 (.Yontoo LLC.)    
M2 - MFEP: prefs.js [bwanette - myghwadl.7enpier\plugin@yontoo.com] [] Yontoo Layers v1.20.00 (.Yontoo LLC.)    
[HKCU\Software\PopCap]   
[HKLM\Software\TENCENT]    
[HKLM\Software\Trymedia Systems]  
O43 - CFD: 12/11/2011 - 7:57:31 - [0,003] ----D C:\Documents and Settings\bwanette.DAUBE-01\Application Data\Babylon   
O43 - CFD: 5/12/2011 - 18:47:38 - [0] ----D C:\Documents and Settings\bwanette.DAUBE-01\Application Data\BabylonToolbar    
O43 - CFD: 29/10/2011 - 12:29:00 - [0,153] ----D C:\Documents and Settings\bwanette.DAUBE-01\Application Data\iWin    
O43 - CFD: 23/10/2011 - 7:58:51 - [0,013] ----D C:\Documents and Settings\bwanette.DAUBE-01\Application Data\Toolbar4  
O43 - CFD: 12/11/2011 - 7:57:32 - [3,535] ----D C:\Documents and Settings\bwanette.DAUBE-01\Local Settings\Application Data\Babylon    
[HKLM\Software\Tencent]    
C:\Documents and Settings\bwanette.DAUBE-01\Application Data\Babylon   
C:\Documents and Settings\bwanette.DAUBE-01\Application Data\BabylonToolbar  
C:\Documents and Settings\bwanette.DAUBE-01\Application Data\iWin   
C:\Documents and Settings\bwanette.DAUBE-01\Application Data\Toolbar4    
C:\Documents and Settings\bwanette.DAUBE-01\Local Settings\Application Data\Babylon 
D:\Acerdata (D)\jeux\Theocracy\pdfcrackerpro.exe    
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{f4ef4468-9bbb-45a1-a2ce-f0c430a9a7e5}]    
firewallraz
emptytemp
emptyflash   

 

• Clique sur l'icône représentant la lettre H (« coller les lignes Helper »). Le script doit automatiquement apparaitre dans ZHPFix, sinon, colle-le. (avec le bouton "coller le presse-papier)
   
  Clique sur le bouton GO pour lancer le nettoyage

 

• Valide par Oui la désinstallation des programmes si demandé
   
  
• Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC
   
  
• Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.
  Le rapport ZHPFixReport.txt est enregistré sous C:\ZHP\ZHPFixReport.txt

 

Si le Bureau ne réapparaît pas presse Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , tape explorer.exe et valide.

 

----------------------

3) Télécharger SFT.exe de Pierre13. A enregistrer absolument sur le BUREAU!

 

Si l'antivirus fait des siennes: désactive-le provisoirement. Si tu ne sais pas comment faire, reporte-toi à cet article.

 

• Double clique (xp) sur SFT.exe.
  Clic droit sur le fichier et choisir Exécuter en tant qu’administrateur. (sous Vista/7).
  Patienter le temps du nettoyage...dépend du nombre de fichiers à nettoyer.
   
  
   
  Un rapport va s'ouvrir à la fin.
   
  Le rapport se trouve sur le bureau (SFT.txt)

 

>>Le rapport est très long, l'héberger sur Accueil de Cjoint.com et me communiquer le lien, stp.<<

 

Compatible avec XP, Windows Vista et Windows 7 en 32 et 64 bits.

 

 

--------------------------

 

4) Télécharge Malwarebytes' Anti-Malware (MBAM).

 

Enregistre l'exécutable sur le bureau. Malwarebytes : Téléchargement gratuit anti-malware, antivirus et anti-espion

 

Télécharger Malwarebytes´ Anti-Malware - Logithèque PC Astuces

 

Attention, ne rien installer d'autre que MBAM car il est parfois proposé des trucs inutiles comme Registry Booster ou autres bêtises. A éviter donc.

 

 

Si MBAM est déjà installé, aller directement à la mise à jour puis à l'analyse.

 

Ce logiciel est à garder.

 

Uniquement en cas de problème de mise à jour:

 

Télécharger mises à jour MBAM

 

Exécute le fichier après l'installation de MBAM

 

Connecter les supports amovibles (clés usb etc.) avant de lancer l'analyse.

 

• Double clique sur le fichier téléchargé pour lancer le processus d'installation.
  
• Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
  
• Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
  
• Sélectionne "Exécuter un examen complet"
  
• Clique sur "Rechercher"
  
• L'analyse démarre, le scan est relativement long, c'est normal.
  
• A la fin de l'analyse, un message s'affiche :

  L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

  Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
  
• Ferme tes navigateurs.
  
• Si des malwares ont été détectés, clique sur Afficher les résultats.
  Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
  
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

Si MBAM demande à redémarrer le pc, fais-le.

 

Si au redémarrage Windows te dit qu'il a bloqué certains programmes de démarrage, clique sur la bulle puis sur Exécuter les programmes bloqués/Malwarebytes Anti-Malware.

 

----------------------

5) Fais ces vérifications de sécurité stp:

 

Apollo Et Compagnie :: A vérifier de temps en temps, important!

 

Le PSI n'est pas obligatoire mais il est pratique pour connaître les failles dans diverses applications.

 

En français depuis la version 3.0. Très simple d'utilisation.

 

------------

Poste tous les rapports demandés stp, puis les contrôles de sécurité faits, refais un scan ZHPDiag que tu voudras bien héberger et poster le lien généré.

 

@++

[Solomandre]

Hello Apollo,

 

problème : je n'arrive pas à trouver Spybot SD sur mon PC : il n'est pas dans la liste des programmes et pas moyen d'utiliser la fonction recherche...

 

A ce soir, là faut que j'aille bosser.

 

Solomandre

[Apollo]

Bonjour,

 

Je ne sais si je serai là ce soir, on verra bien.

 

Spybot a peut-être déjà été désinstallé mais sans doute d'une mauvaise manière, d'où les traces qu'il laisse dans les rapports.

 

Fais ce qui est recommandé pour le reste des opérations "prescrites".

 

Bonne journée.

 

++

[Solomandre]

Bonjour Apollo,

 

1° Tout d'abord :

 

Rapport de ZHPFix 1.3.05 par Nicolas Coolman, Update du 09/10/2012

Fichier d'export Registre :

Run by bwanette at 29/10/2012 19:40:05

Windows XP Home Edition Service Pack 3 (Build 2600)

Web site : Blog de NicolasCoolman - ZebHelpProcess - Skyrock.com

 

 

 

========== Valeur(s) du Registre ==========

SUPPRIME FirewallRaz (SP) : %windir%\Network Diagnostic\xpnetdiag.exe

SUPPRIME FirewallRaz (SP) : %windir%\system32\sessmgr.exe

SUPPRIME FirewallRaz (SP) : C:\WINDOWS\system32\ZoneLabs\vsmon.exe

SUPPRIME FirewallRaz (DP) : %windir%\Network Diagnostic\xpnetdiag.exe

SUPPRIME FirewallRaz (DP) : %windir%\system32\sessmgr.exe

Aucune valeur présente dans la clé d'exception du registre (FirewallRaz)

 

========== Préférences navigateur ==========

ABSENT C:\Documents and Settings\bwanette\Application Data\Mozilla\Firefox\Profiles\8i1shfsp.Bwanette\prefs.js

ABSENT C:\Documents and Settings\bwanette\Application Data\Mozilla\Firefox\Profiles\fgjcgtl1.FreeNet\prefs.js

ABSENT C:\Documents and Settings\bwanette\Application Data\Mozilla\Firefox\Profiles\myghwadl.7enpier\prefs.js

 

========== Dossier(s) ==========

ABSENT C:\Documents and Settings\bwanette.DAUBE-01\Application Data\Babylon  

ABSENT C:\Documents and Settings\bwanette.DAUBE-01\Application Data\BabylonToolbar    

ABSENT C:\Documents and Settings\bwanette.DAUBE-01\Application Data\iWin    

ABSENT C:\Documents and Settings\bwanette.DAUBE-01\Application Data\Toolbar4  

ABSENT C:\Documents and Settings\bwanette.DAUBE-01\Local Settings\Application Data\Babylon    

SUPPRIME Folder: c:\documents and settings\bwanette.daube-01\local settings\application data\babylon

SUPPRIME Temporaires Windows:

 

========== Fichier(s) ==========

ABSENT Folder/File: c:\documents and settings\bwanette.daube-01\application data\babylon  

ABSENT Folder/File: c:\documents and settings\bwanette.daube-01\application data\babylontoolbar  

ABSENT Folder/File: c:\documents and settings\bwanette.daube-01\application data\iwin  

ABSENT Folder/File: c:\documents and settings\bwanette.daube-01\application data\toolbar4    

ABSENT Folder/File: d:\acerdata (d)\jeux\theocracy\pdfcrackerpro.exe    

SUPPRIME Temporaires Windows:

 

========== Autre ==========

NON TRAITE [HKCU\Software\PopCap]  

NON TRAITE [HKLM\Software\TENCENT]    

NON TRAITE [HKLM\Software\Trymedia Systems]  

NON TRAITE [HKLM\Software\Tencent]    

NON TRAITE [HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{f4ef4468-9bbb-45a1-a2ce-f0c430a9a7e5}]    

NON TRAITE emptyflash  

 

 

========== Récapitulatif ==========

6 : Valeur(s) du Registre

7 : Dossier(s)

6 : Fichier(s)

3 : Préférences navigateur

6 : Autre

 

 

End of clean in 00mn 04s

 

========== Chemin de fichier rapport ==========

C:\ZHP\ZHPFix[R1].txt - 29/10/2012 19:40:06 [2736]

 

 

2° Lien CJoint.com BJEjahootJZ

 

3° Malwarebytes Anti-Malware (Essai) 1.65.1.1000

www.malwarebytes.org

 

Version de la base de données: v2012.10.29.11

 

Windows XP Service Pack 3 x86 NTFS (Mode sans

 

échec/Réseau)

Internet Explorer 8.0.6001.18702

bwanette :: DAUBE-01 [administrateur]

 

Protection: Désactivé

 

29/10/2012 20:40:48

mbam-log-2012-10-29 (20-40-48).txt

 

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|)

Options d'examen activées: Mémoire | Démarrage |

 

Registre | Système de fichiers | Heuristique/Extra |

 

Heuristique/Shuriken | PUP | PUM

Options d'examen désactivées: P2P

Elément(s) analysé(s): 417548

Temps écoulé: 30 minute(s), 52 seconde(s)

 

Processus mémoire détecté(s): 0

(Aucun élément nuisible détecté)

 

Module(s) mémoire détecté(s): 0

(Aucun élément nuisible détecté)

 

Clé(s) du Registre détectée(s): 0

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre détectée(s): 0

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre détecté(s): 0

(Aucun élément nuisible détecté)

 

Dossier(s) détecté(s): 0

(Aucun élément nuisible détecté)

 

Fichier(s) détecté(s): 2

C:\Documents and Settings\bwanette.DAUBE-01\Mes

 

documents\Téléchargements\WebPlayer.exe

 

(Adware.Dropper) -> Mis en quarantaine et supprimé

 

avec succès.

D:\Acerdata (D)\jeux\Theocracy\pdfcrackerpro.exe

 

(Hacktool.Agent) -> Mis en quarantaine et supprimé

 

avec succès.

 

(fin)

 

 

Voilà pour l'instant.

 

Je pense que mon PC est à jour au niveau des MAJ sécurité, mais pour l'instant impossible de vérifier et de "dépasser" la page bureau : rien ne veut s'ouvrir je n'ai même pas accès à la page démarrer pour éteindre le PC et j'ai du me résoudre à un arrêt "sauvage".

 

Je file, je suis à la bourre pour aller bosser.

 

Solomandre