Malware bloquant Avast, pare-feu, Internet et restauration...

[letango]

Bonjour,

 

Je ne trouve pas sur les forums de cas d'infection similaires au mien, alors je lance un SOS !

 

Avast m'a détecté dernièrement une infection et l'a bloquée, mais apparement pas complètement...Je suis dans l'impasse ! Je suis sous XP SP1

 

Avast a tout d'abord bloqué et signalé deux virus :HTML:Script-inf et Istbar . Je me suis rendu compte après le scan que je n'avais plus de connexion internet possible (ni pour firefox ni pour thunderbird , et que la protection résidente d'Avast s'était décochée du web et du courrier. Impossible de les remettre. Je me suis rendu compte aussi que le pare-feu windows était désactivé et là encore impossible de le remettre...

 

Un autre PC se connecte, lui, en wifi sur la même neufbox.

 

Le fait de ne plus voir internet complique beaucoup la recherche d'aide....

 

 

J'ai chargé par clé USB Malewarebytes, qui a trouvé des clés de registres à supprimer, et aussi un virus. à 3endroits différents.

 

Le lendemain il n'a plus rien trouvé,et aujourd'hui il m'a retrouvé deux fichiers infectés.

 

Un nouveau scan au démarrage d'avast m'a trouvé un fichier infecté dans Windows mais n'a pas pu le réparer ni le supprimer . Malheureusement ce scan au démarrage ne laisse qu'un rapport indiquant "1 virus trouvé" dans System volume information (...)winvnc4.exe est infecté par win32:PUP-gen[PUP], et aucune action n'est ensuite possible (ni quarantaine, ni destruction).

 

J'ai ZHPDiag qui a m'a trouvé une soixantaine de lignes pouvant être suspectes, dont une finissant par Istbar:

© CJoint.com, 2012

 

Je me sens vraiment mal barré... La restauration du système à une date antérieure est impossible également.

 

Merci beaucoup à qui pourra m'aider, je ne vois pas comment m'en sortir, et j'essaierai de venir le plus souvent possible ici via un autre ordinateur...

[Dylav]

Bonjour letango, et bienvenue sur Zébulon !

 

Je suis sous XP SP1

Il serait grand temps de passer au Service Pack 3, paru en 2008 !

Déjà que le SP2 n'est plus maintenu depuis 2010… alors tu penses, le SP1 !

 

Mais je te laisse entre les mains de l'équipe Sécurité…

[letango]

Désolé, SP2 ! Ca doit être l'émotion ...

[Apollo]

Bonjour,

 

Il faudra quand-même installer le SP3, mais après désinfection: tu as la méthode Microsoft Update ou la gravure sur cd d'une image ISO: http://www.microsoft.com/fr-fr/download/details.aspx?id=25129 Le cd a l'avantage de pouvoir installer le pack hors connexion et protections désactivées.

 

Note, pour tes rapports je préfère que tu utilises le bloc notes de Windows stp.

 

Télécharge AdwCleaner par Xplode: Téléchargements - Outils de Xplode - AdwCleaner

 

Enregistre-le sur le bureau (et pas ailleurs).

 

Si tu es sous XP double clique sur AdwCleaner pour lancer l'outil.

Si tu es sous Vista/Seven, clique droit sur AdwCleaner et choisis exécuter en temps qu'administrateur.

 

Clique sur Suppression et laisse travailler l'outil.

 

Le rapport va s'ouvrir en fichier texte; copie la totalité de son contenu et colle-le dans ta réponse.

 

Le rapport est en outre sauvegardé sous C:\AdwCleaner[s1]

 

NB: Si l'outil "cale" en mode normal, le lancer en mode sans échec: Comment démarrer Windows en mode sans échec : Astuces pour Dépanner Windows XP

 

A lire absolument: Lisez d'abord, cliquez après !!! : Questions sur la Sécurité Windows

Logiciels et sponsors : Questions sur la Sécurité Windows

 

-------------------------

 

@++

[letango]

Bonsoir,

 

voici le rapport de Adw:

 

 

# AdwCleaner v2.011 - Rapport créé le 09/12/2012 à 19:11:31

# Mis à jour le 02/12/2012 par Xplode

# Système d'exploitation : Microsoft Windows XP Service Pack 2 (32 bits)

# Nom d'utilisateur : Tanguy - DJPBDL0J

# Mode de démarrage : Normal

# Exécuté depuis : C:\Documents and Settings\Tanguy\Bureau\adwcleaner.exe

# Option [suppression]

 

 

***** [services] *****

 

 

***** [Fichiers / Dossiers] *****

 

Dossier Supprimé : C:\Documents and Settings\All Users\Application Data\Viewpoint

Dossier Supprimé : C:\Documents and Settings\All Users\Application Data\Winamp Toolbar

Dossier Supprimé : C:\Documents and Settings\Tabatah\Local Settings\Application Data\AskToolbar

Dossier Supprimé : C:\Documents and Settings\Tabatah\Local Settings\Application Data\Winamp Toolbar

Dossier Supprimé : C:\Documents and Settings\Tanguy\Local Settings\Application Data\Winamp Toolbar

Dossier Supprimé : C:\Program Files\Viewpoint

Dossier Supprimé : C:\Program Files\Winamp Toolbar

 

***** [Registre] *****

 

Clé Supprimée : HKCU\Software\FunWebProducts

Clé Supprimée : HKCU\Software\ImInstaller

Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\MenuExt\&Search

Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40B7-AC73-056A5EBA4A7E}

Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{0E1230F8-EA50-42A9-983C-D22ABC2EED3B}

Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{25CEE8EC-5730-41BC-8B58-22DDC8AB8C20}

Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}

Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EBF2BA02-9094-4C5A-858B-BB198F3D8DE2}

Clé Supprimée : HKCU\Software\Softonic

Clé Supprimée : HKCU\Software\Winamp Toolbar

Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{B27D9527-3762-4D71-963D-FB7A94FDD678}

Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\winamptbServer.exe

Clé Supprimée : HKLM\SOFTWARE\Classes\AxMetaStream.MetaStreamCtl

Clé Supprimée : HKLM\SOFTWARE\Classes\AxMetaStream.MetaStreamCtl.1

Clé Supprimée : HKLM\SOFTWARE\Classes\AxMetaStream.MetaStreamCtlSecondary

Clé Supprimée : HKLM\SOFTWARE\Classes\AxMetaStream.MetaStreamCtlSecondary.1

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{03F998B2-0E00-11D3-A498-00104B6EB52E}

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{1B00725B-C455-4DE6-BFB6-AD540AD427CD}

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{25CEE8EC-5730-41BC-8B58-22DDC8AB8C20}

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{57BCA5FA-5DBB-45A2-B558-1755C3F6253B}

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{6EF4E91D-DDD5-4478-BCA7-DA04435934C0}

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{841FD004-57A2-4B49-BBDB-5897394619DB}

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{B38D6EDE-390B-4620-8365-29E16459EBDA}

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{E1164984-B567-47BD-A7FF-240C2594404A}

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{EBF2BA02-9094-4C5A-858B-BB198F3D8DE2}

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{F20F11FD-203E-45A9-B7BB-AFC1B4FEA7A6}

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{FE178B09-C8AA-4734-804D-1849BCCA0C29}

Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{0F54B66A-21CF-4548-AE59-A6B83EE6676F}

Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{2E9937FC-CF2F-4F56-AF54-5A6A3DD375CC}

Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{51A971CA-D36E-4D13-A799-2CF0A491D04D}

Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{56FBEA9F-EF93-4318-B75F-A96FC7C7BD7B}

Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{6E4C89CF-3061-4EE4-B22A-B7A8AAEA5CB3}

Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{741DE825-A6F0-4497-9AA6-8023CF9B0FFF}

Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{78B3C85E-44FF-4DC8-B3AD-156F39DC75E5}

Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{841FD004-57A2-4B49-BBDB-5897394619DB}

Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{E1164984-B567-47BD-A7FF-240C2594404A}

Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{E19FDA06-5BDF-43C2-B794-BCD8A4C2051F}

Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{FAB076F5-E4DD-4EA4-AFEE-F18BF972B057}

Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{538CD77C-BFDD-49B0-9562-77419CAB89D1}

Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{9DBB28C1-1925-11D3-A498-00104B6EB52E}

Clé Supprimée : HKLM\SOFTWARE\Classes\WinampTb.AOLTBSearch

Clé Supprimée : HKLM\SOFTWARE\Classes\WinampTb.AOLTBSearch.1

Clé Supprimée : HKLM\SOFTWARE\Classes\WinampTb.AOLToolBand

Clé Supprimée : HKLM\SOFTWARE\Classes\WinampTb.AOLToolBand.1

Clé Supprimée : HKLM\SOFTWARE\Classes\WinampTb.Downloader

Clé Supprimée : HKLM\SOFTWARE\Classes\WinampTb.Downloader.1

Clé Supprimée : HKLM\SOFTWARE\Classes\WinampTb.ToolbarInfo

Clé Supprimée : HKLM\SOFTWARE\Classes\WinampTb.ToolbarInfo.1

Clé Supprimée : HKLM\SOFTWARE\Classes\WinampTb.ToolbarParams

Clé Supprimée : HKLM\SOFTWARE\Classes\WinampTb.ToolbarParams.1

Clé Supprimée : HKLM\SOFTWARE\Classes\WinampTbServer.AolToolbarHelper

Clé Supprimée : HKLM\SOFTWARE\Classes\WinampTbServer.AolToolbarHelper.1

Clé Supprimée : HKLM\Software\MetaStream

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{03F998B2-0E00-11D3-A498-00104B6EB52E}

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{1B00725B-C455-4DE6-BFB6-AD540AD427CD}

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Ask.com Search Assistant

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\ViewpointMediaPlayer

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Winamp Toolbar

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{25CEE8EC-5730-41BC-8B58-22DDC8AB8C20}

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ViewpointMediaPlayer

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Winamp Toolbar

Clé Supprimée : HKLM\SOFTWARE\MozillaPlugins\@viewpoint.com/VMP

Clé Supprimée : HKLM\Software\Viewpoint

Clé Supprimée : HKLM\Software\Winamp Toolbar

Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{0E1230F8-EA50-42A9-983C-D22ABC2EED3B}]

Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{D4027C7F-154A-4066-A1AD-4243D8127440}]

Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{EBF2BA02-9094-4C5A-858B-BB198F3D8DE2}]

Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{57BCA5FA-5DBB-45A2-B558-1755C3F6253B}]

Valeur Supprimée : HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel [Homepage]

Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{0E1230F8-EA50-42A9-983C-D22ABC2EED3B}]

Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{EBF2BA02-9094-4C5A-858B-BB198F3D8DE2}]

Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks [{57BCA5FA-5DBB-45A2-B558-1755C3F6253B}]

 

***** [Navigateurs] *****

 

-\\ Internet Explorer v6.0.2900.2180

 

[OK] Le registre ne contient aucune entrée illégitime.

 

-\\ Mozilla Firefox v15.0.1 (fr)

 

Nom du profil : default

Fichier : C:\Documents and Settings\Tanguy\Application Data\Mozilla\Firefox\Profiles\oxn4j1yy.default\prefs.js

 

C:\Documents and Settings\Tanguy\Application Data\Mozilla\Firefox\Profiles\oxn4j1yy.default\user.js ... Supprimé !

 

Supprimée : user_pref("browser.search.defaultengine", "Ask.com");

Supprimée : user_pref("winamp_toolbar.strbundle.msg", "Winamp Toolbar");

 

Nom du profil : default

Fichier : C:\Documents and Settings\Administrateur\Application Data\Mozilla\Firefox\Profiles\eborqgbb.default\prefs.js

 

[OK] Le fichier ne contient aucune entrée illégitime.

 

*************************

 

AdwCleaner[s2].txt - [7862 octets] - [09/12/2012 19:11:31]

 

########## EOF - C:\AdwCleaner[s2].txt - [7922 octets] ##########

 

 

Merci...!

[Apollo]

Bonsoir,

 

1) Télécharger SFT.exe de Pierre13. A enregistrer absolument sur le BUREAU!

 

Lien de Pierre13: http://www.archive-host.com/link/949757cd6cfc60d9254f507c4d922f643029d9db.exe

 

Si l'antivirus fait des siennes: désactive-le provisoirement. Si tu ne sais pas comment faire, reporte-toi à cet article.

 

• Double clique (xp) sur SFT.exe.
  Clic droit sur le fichier et choisir Exécuter en tant qu’administrateur. (sous Vista/7).
  Patienter le temps du nettoyage...dépend du nombre de fichiers à nettoyer.
   
  
   
  Un rapport va s'ouvrir à la fin.
   
  Le rapport se trouve sur le bureau (SFT.txt)

 

>>Le rapport est très long, l'héberger sur Accueil de Cjoint.com et me communiquer le lien, stp.<<

 

Compatible avec XP, Windows Vista et Windows 7 en 32 et 64 bits.

 

 

--------------------------

2) Télécharge Malwarebytes' Anti-Malware (MBAM).

 

Enregistre l'exécutable sur le bureau. Malwarebytes : Téléchargement gratuit anti-malware, antivirus et anti-espion

 

Télécharger Malwarebytes´ Anti-Malware - Logithèque PC Astuces

 

Attention, ne rien installer d'autre que MBAM car il est parfois proposé des trucs inutiles comme Registry Booster ou autres bêtises. A éviter donc.

A la fin de l'installation, décocher la case proposant l'essai de la version Pro.

 

 

 

Si MBAM est déjà installé, aller directement à la mise à jour puis à l'analyse.

 

Ce logiciel est à garder.

 

Uniquement en cas de problème de mise à jour:

 

Télécharger mises à jour MBAM

 

Exécute le fichier après l'installation de MBAM

 

Connecter les supports amovibles (clés usb etc.) avant de lancer l'analyse.

 

• Double clique sur le fichier téléchargé pour lancer le processus d'installation.
  
• Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
  
• Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
  
• Sélectionne "Exécuter un examen complet"
  
• Clique sur "Rechercher"
  
• L'analyse démarre, le scan est relativement long, c'est normal.
  
• A la fin de l'analyse, un message s'affiche :

  L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

  Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
  
• Ferme tes navigateurs.
  
• Si des malwares ont été détectés, clique sur Afficher les résultats.
  Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
  
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

Si MBAM demande à redémarrer le pc, fais-le.

 

Si au redémarrage Windows te dit qu'il a bloqué certains programmes de démarrage, clique sur la bulle puis sur Exécuter les programmes bloqués/Malwarebytes Anti-Malware.

 

@++

[letango]

Ok, voici le lien du rapport SFT:

 

© CJoint.com, 2012

 

Malwarebytes est en train de travailler...

 

FFaudra-t-il désinstaller SFT avant de remmettre avast ?

[Apollo]

Non, SFT n'est qu'un nettoyeur de temporaires et autres fichiers inutiles; perso je l'utilise chaque jour en plus d'ATF Cleaner.

 

Cela n'entre en conflit avec rien, mais si tu n'en veux plus, tu le mets simplement à la corbeille.

 

++

[letango]

Cette fois il n'a rien trouvé, voici le rapport :

 

Malwarebytes Anti-Malware (Essai) 1.65.1.1000

www.malwarebytes.org

 

Version de la base de données: v2012.12.03.06

 

Windows XP Service Pack 2 x86 NTFS

Internet Explorer 6.0.2900.2180

Tanguy :: DJPBDL0J [administrateur]

 

Protection: Désactivé

 

09/12/2012 20:44:49

mbam-log-2012-12-09 (20-44-49).txt

 

Type d'examen: Examen complet (A:\|C:\|D:\|)

Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM

Options d'examen désactivées: P2P

Elément(s) analysé(s): 373603

Temps écoulé: 1 heure(s), 24 minute(s), 33 seconde(s)

 

Processus mémoire détecté(s): 0

(Aucun élément nuisible détecté)

 

Module(s) mémoire détecté(s): 0

(Aucun élément nuisible détecté)

 

Clé(s) du Registre détectée(s): 0

(Aucun élément nuisible détecté)

 

Valeur(s) du Registre détectée(s): 0

(Aucun élément nuisible détecté)

 

Elément(s) de données du Registre détecté(s): 0

(Aucun élément nuisible détecté)

 

Dossier(s) détecté(s): 0

(Aucun élément nuisible détecté)

 

Fichier(s) détecté(s): 0

(Aucun élément nuisible détecté)

 

(fin)

[Apollo]

Re,

 

Qu'en est-il de tes problèmes initiaux?

 

http://support.microsoft.com/mats/Malware_Prevention/fr

http://support.microsoft.com/mats/windows_security_diagnostic/fr

 

@++