[résolu] Suspicion virale sur PC en W7 32bits

Fullzx14r · le 12 décembre 2012

Bonjour je me trouve avec un PC qui présente des écrans noirs lorsque que l'on clique la souris. Ensuite après une micro seconde la page désirée s'affiche.
Je suspecte un virus car j'ai des processus bizarre et inconnus dans le gestionnaire de tâches.
Avant de faire un bétise j'attends une aide d'un spécialiste si quelqu'un veux bien prendre en compte ce soucis
Amitiés aux équipes Zebulon
BQ

Modifié le 13 novembre 2013 par Fullzx14r

pear · le 12 décembre 2012

Bonjour,

Votre ordinateur reste sur un écran noir au démarrage

Vérifiez tout d'abord votre pilote graphique pour le réparer ou le mettre à jour.

Vous pouvez avoir un écran défectueux:

testez le sur un autre Pc, si possible.

Mais cela peut être le fait d'une infection::

Lancez cet outil de diagnostic:

Zhpdiag 1.31

Double-cliquer sur ZHPDiag.exe pour installer l'outil

Sur le bureau ,il y aura 3 icônes

Sous XP, double clic sur l'icône ZhpDiag

Sous Vista/7, faire un clic droit et Exécuter en tant qu'administrateur

Cliquez sur le bouton en haut, à droite et choisissez Tous

Pour éviter un blocage, décochez 045 et 061

Clic sur la Loupe en haut, à gauche pour lancer le scan

Postez le rapport ZhpDiag.txt qui apparait sur le bureau

Comment poster les rapports

Cliquez sur ce bouton en haut, à droite

Appuyez sur Parcourir et chercher le rapport ,

Cliquer sur Envoyer

>> dans la page suivante -->

Cliquer Pjjoint Uploader ,,

une adresse http//.. sera créée

Copier /coller cette adresse dans votre prochain message.

Fullzx14r · le 12 décembre 2012

Merci Pear pour votre retour que je ne viens que de voir.

Il ne s'agit pas d'un pb de carte graphique car cela fonctionne après redémarrage puis après un temps revient avec des mico coupures. Mais bon j'ai fait la manip demandée et vous pourrez surement mieux voir s'il y a autre chose.

Voici le rapport en question et merci pour le support

pjjoint.malekal.com - Submit a file

pear · le 12 décembre 2012

1) Télécharger RogueKiller (by tigzy) sur le bureau

Quitter tous les programmes

Lancer RogueKiller.exe.

Patienter le temps du Prescan ...

Cliquer sur Scan.

Cliquer sur Rapport et copier/coller le contenu

Nettoyage

Dans l'onglet "Registre", décocher les lignes suivantes:

(Lignes à décocher:celles que vous avez volontairement modifiées)

Cliquer sur Suppression. Cliquer sur Rapport et copier/coller le contenu

Cliquer sur Host RAZ. Cliquer sur Rapport et copier/coller le contenu

Cliquer sur Proxy RAZ. Cliquer sur Rapport [/b]et copier/coller le contenu

Cliquer sur DNS RAZ. Cliquer sur Rapport[/b]etcopier/coller le contenu

Cliquer sur Racc. RAZ. Cliquer sur Rapport[/b] et copier coller le contenu du notepad

Dans l'onglet Driver, réparer les index SSDT suivants en faisant un clic droit sur leur ligne => Restaurer SSDT

Sauf avis contraire, ne touchez pas aux index SSDT

(Liste des index)

Note. Le bouton Suppression ne sera pas accessible tant que le scan n'aura pas été fait

Il y aura 6 rapports à poster.

2)Télécharger AdwCleaner

Sous Vista et Windows 7-> Exécuter en tant qu'administrateur

Cliquez sur Recherche et postez le rapport généré C:\AdwCleaner[R1].txt

3)Nettoyage

Relancez AdwCleaner avec droits administrateur

Cliquez sur Suppression et postez le rapport C:\AdwCleaner[s1].txt

4)

Téléchargez MBAM

Avant de lancer Mbam

Vous devez d'abord désactiver vos protections mais vous ne savez pas comment faire

Cliquer ici

Branchez tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)

Exécuter avec droits d'administrateur.

Sous Vista , désactiver l'Uac

Double cliquez sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation.

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update et Launch soient cochées

MBAM démarrera automatiquement et enverra un message demandant de mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue..

Dans l'onglet "mise à jour", cliquez sur le bouton Recherche de mise à jour:

Si le pare-feu demande l'autorisation de connecter MBAM, acceptez.

Une fois la mise à jour terminée, allez dans l'onglet Recherche.

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

.L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Et un fichier Mbam.log apparaitra

Sélectionnez tout et cliquez sur Supprimer la sélection ,

MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

puis ouvrir le Bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

Copiez-collez ce rapport dans la prochaine réponse.

Fullzx14r · le 12 décembre 2012

Bonjour,

Une fois encore un peu en décalage horaire.

Le rapport Rogue Killer ci dessous en espérant que c'est bien là qu'il fallait le mettre :

RogueKiller V8.4.0 [Dec 12 2012] par Tigzy

mail : tigzyRK<at>gmail<dot>com

Remontees : RogueKiller - Geeks to Go Forums

Site Web : RogueKiller

Blog : tigzy-RK

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 32 bits version

Demarrage : Mode normal

Utilisateur : Bruno QUESNEL [Droits d'admin]

Mode : Suppression -- Date : 13/12/2012 00:24:02

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 2 ¤¤¤

[HJ DESK] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0)

[HJ DESK] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

SSDT[84] : NtCreateSection @ 0x8306E06D -> HOOKED (Unknown @ 0x93E5375E)

SSDT[86] : NtCreateSymbolicLinkObject @ 0x8304C911 -> HOOKED (Unknown @ 0x93E53736)

SSDT[155] : NtLoadDriver @ 0x83010C20 -> HOOKED (Unknown @ 0x93E5373B)

SSDT[194] : NtOpenSection @ 0x830B48BB -> HOOKED (Unknown @ 0x93E53731)

SSDT[299] : NtRequestWaitReplyPort @ 0x83088A63 -> HOOKED (Unknown @ 0x93E53768)

SSDT[316] : NtSetContextThread @ 0x83128745 -> HOOKED (Unknown @ 0x93E53763)

SSDT[347] : NtSetSecurityObject @ 0x8304C742 -> HOOKED (Unknown @ 0x93E5376D)

SSDT[350] : NtSetSystemInformation @ 0x8309929A -> HOOKED (Unknown @ 0x93E53740)

SSDT[368] : NtSystemDebugControl @ 0x830D06BC -> HOOKED (Unknown @ 0x93E53772)

SSDT[370] : NtTerminateProcess @ 0x830A5BFB -> HOOKED (Unknown @ 0x93E536FF)

SSDT[399] : NtWriteVirtualMemory @ 0x830AA958 -> HOOKED (Unknown @ 0x93E536FA)

S_SSDT[585] : NtUserSetWindowsHookEx -> HOOKED (Unknown @ 0x93E53786)

S_SSDT[588] : NtUserSetWinEventHook -> HOOKED (Unknown @ 0x93E5378B)

¤¤¤ Fichier HOSTS: ¤¤¤

--> C:\Windows\system32\drivers\etc\hosts

0.0.0.0 sams.nikonimaging.com

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: WDC WD5001AALS-00LWTA0 ATA Device +++++

--- User ---

[MBR] 26fd0863b6f9e3ea75805dbb3f0e43f7

[bSP] 005eff6389b4814e684ccd6b980b99b3 : Windows 7/8 MBR Code

Partition table:

0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo

1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 476838 Mo

User = LL1 ... OK!

User = LL2 ... OK!

+++++ PhysicalDrive1: WDC WD3200AAJS-00YZCA0 ATA Device +++++

--- User ---

[MBR] ba6164ef8467c1c839a6485a715d770e

[bSP] c5d28389dc3126c298fec6933a5ee2a5 : Windows XP MBR Code

Partition table:

0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 305243 Mo

User = LL1 ... OK!

User = LL2 ... OK!

+++++ PhysicalDrive2: Seagate FreeAgent USB Device +++++

--- User ---

[MBR] ec914ad0bfc05bddc7ddb75cc4c112e7

[bSP] 917dc0ded2e4fc059a97014e620dd14c : Windows XP MBR Code

Partition table:

0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 476937 Mo

User = LL1 ... OK!

Error reading LL2 MBR!

+++++ PhysicalDrive3: Seagate FreeAgent USB Device +++++

--- User ---

[MBR] c3e4c0e42a1775caa4a7baa57d65e177

[bSP] 903e816bed8507cd4f01e2d7187fc7dd : Windows XP MBR Code

Partition table:

0 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 63 | Size: 1430796 Mo

User = LL1 ... OK!

Error reading LL2 MBR!

Termine : << RKreport[2]_D_13122012_002402.txt >>

RKreport[1]_S_13122012_002254.txt ; RKreport[2]_D_13122012_002402.txt

Fichier hoste non modifié car bloqué par antivirus.

Rapport :

RogueKiller V8.4.0 [Dec 12 2012] par Tigzy

mail : tigzyRK<at>gmail<dot>com

Remontees : RogueKiller - Geeks to Go Forums

Site Web : RogueKiller

Blog : tigzy-RK

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 32 bits version

Demarrage : Mode normal

Utilisateur : Bruno QUESNEL [Droits d'admin]

Mode : HOSTS RAZ -- Date : 13/12/2012 00:26:22

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 0 ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤

--> C:\Windows\system32\drivers\etc\hosts

0.0.0.0 sams.nikonimaging.com

¤¤¤ Nouveau fichier HOSTS: ¤¤¤

Termine : << RKreport[3]_H_13122012_002622.txt >>

RKreport[1]_S_13122012_002254.txt ; RKreport[2]_D_13122012_002402.txt ; RKreport[3]_H_13122012_002622.txt

A suivre dans autre message

Fullzx14r · le 12 décembre 2012

RogueKiller V8.4.0 [Dec 12 2012] par Tigzy

mail : tigzyRK<at>gmail<dot>com

Remontees : RogueKiller - Geeks to Go Forums

Site Web : RogueKiller

Blog : tigzy-RK

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 32 bits version

Demarrage : Mode normal

Utilisateur : Bruno QUESNEL [Droits d'admin]

Mode : HOSTS RAZ -- Date : 13/12/2012 00:26:22

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 0 ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤

--> C:\Windows\system32\drivers\etc\hosts

0.0.0.0 sams.nikonimaging.com

¤¤¤ Nouveau fichier HOSTS: ¤¤¤

Termine : << RKreport[3]_H_13122012_002622.txt >>

RKreport[1]_S_13122012_002254.txt ; RKreport[2]_D_13122012_002402.txt ; RKreport[3]_H_13122012_002622.txt

RogueKiller V8.4.0 [Dec 12 2012] par Tigzy

mail : tigzyRK<at>gmail<dot>com

Remontees : RogueKiller - Geeks to Go Forums

Site Web : RogueKiller

Blog : tigzy-RK

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 32 bits version

Demarrage : Mode normal

Utilisateur : Bruno QUESNEL [Droits d'admin]

Mode : Raccourcis RAZ -- Date : 13/12/2012 00:32:46

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

¤¤¤ Attributs de fichiers restaures: ¤¤¤

Bureau: Success 2 / Fail 0

Lancement rapide: Success 1 / Fail 0

Programmes: Success 24 / Fail 0

Menu demarrer: Success 0 / Fail 0

Dossier utilisateur: Success 158 / Fail 0

Mes documents: Success 8 / Fail 8

Mes favoris: Success 4 / Fail 0

Mes images: Success 3 / Fail 0

Ma musique: Success 2 / Fail 0

Mes videos: Success 0 / Fail 0

Disques locaux: Success 2265 / Fail 0

Sauvegarde: [NOT FOUND]

Lecteurs:

[C:] \Device\HarddiskVolume2 -- 0x3 --> Restored

[D:] \Device\HarddiskVolume3 -- 0x3 --> Restored

[E:] \Device\HarddiskVolume6 -- 0x2 --> Restored

[F:] \Device\HarddiskVolume7 -- 0x2 --> Restored

[G:] \Device\CdRom0 -- 0x5 --> Skipped

[H:] \Device\HarddiskVolume8 -- 0x2 --> Restored

[i:] \Device\HarddiskVolume9 -- 0x2 --> Restored

[J:] \Device\CdRom1 -- 0x5 --> Skipped

[L:] \Device\HarddiskVolume10 -- 0x2 --> Restored

[M:] \Device\HarddiskVolume5 -- 0x3 --> Restored

[N:] \Device\HarddiskVolume4 -- 0x3 --> Restored

Termine : << RKreport[5]_SC_13122012_003246.txt >>

RKreport[1]_S_13122012_002254.txt ; RKreport[2]_D_13122012_002402.txt ; RKreport[3]_H_13122012_002622.txt ; RKreport[4]_PR_13122012_002757.txt ; RKreport[5]_SC_13122012_003246.txt

RogueKiller V8.4.0 [Dec 12 2012] par Tigzy

mail : tigzyRK<at>gmail<dot>com

Remontees : RogueKiller - Geeks to Go Forums

Site Web : RogueKiller

Blog : tigzy-RK

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 32 bits version

Demarrage : Mode normal

Utilisateur : Bruno QUESNEL [Droits d'admin]

Mode : DNS RAZ -- Date : 13/12/2012 00:34:56

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 0 ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

Termine : << RKreport[6]_DN_13122012_003456.txt >>

RKreport[1]_S_13122012_002254.txt ; RKreport[2]_D_13122012_002402.txt ; RKreport[3]_H_13122012_002622.txt ; RKreport[4]_PR_13122012_002757.txt ; RKreport[5]_SC_13122012_003246.txt ;

RKreport[6]_DN_13122012_003456.txt

Fin pour rogue killer

# AdwCleaner v2.100 - Rapport créé le 13/12/2012 à 00:41:02

# Mis à jour le 09/12/2012 par Xplode

# Système d'exploitation : Windows 7 Ultimate Service Pack 1 (32 bits)

# Nom d'utilisateur : Bruno QUESNEL - FUJITSUPC1

# Mode de démarrage : Normal

# Exécuté depuis : C:\Users\Bruno QUESNEL\Downloads\Outil Zebulon\Adwcleaner\AdwCleaner.exe

# Option [Recherche]

***** [services] *****

***** [Fichiers / Dossiers] *****

***** [Registre] *****

Clé Présente : HKLM\SOFTWARE\Microsoft\Tracing\incredibar_installer_RASAPI32

Clé Présente : HKLM\SOFTWARE\Microsoft\Tracing\incredibar_installer_RASMANCS

***** [Navigateurs] *****

-\\ Internet Explorer v9.0.8112.16457

[OK] Le registre ne contient aucune entrée illégitime.

*************************

AdwCleaner[R1].txt - [850 octets] - [17/11/2012 10:07:49]

AdwCleaner[R2].txt - [921 octets] - [09/12/2012 11:36:02]

AdwCleaner[R3].txt - [897 octets] - [13/12/2012 00:41:02]

AdwCleaner[s1].txt - [913 octets] - [17/11/2012 10:08:29]

AdwCleaner[s2].txt - [983 octets] - [09/12/2012 11:36:29]

########## EOF - C:\AdwCleaner[R3].txt - [1074 octets] ##########

Fullzx14r · le 12 décembre 2012

# AdwCleaner v2.100 - Rapport créé le 13/12/2012 à 00:44:09

# Mis à jour le 09/12/2012 par Xplode

# Système d'exploitation : Windows 7 Ultimate Service Pack 1 (32 bits)

# Nom d'utilisateur : Bruno QUESNEL - FUJITSUPC1

# Mode de démarrage : Normal

# Exécuté depuis : C:\Users\Bruno QUESNEL\Downloads\Outil Zebulon\Adwcleaner\AdwCleaner.exe

# Option [suppression]

***** [services] *****

***** [Fichiers / Dossiers] *****

***** [Registre] *****

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\incredibar_installer_RASAPI32

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\incredibar_installer_RASMANCS

***** [Navigateurs] *****

-\\ Internet Explorer v9.0.8112.16457

[OK] Le registre ne contient aucune entrée illégitime.

*************************

AdwCleaner[R1].txt - [850 octets] - [17/11/2012 10:07:49]

AdwCleaner[R2].txt - [921 octets] - [09/12/2012 11:36:02]

AdwCleaner[R3].txt - [1143 octets] - [13/12/2012 00:41:02]

AdwCleaner[s1].txt - [913 octets] - [17/11/2012 10:08:29]

AdwCleaner[s2].txt - [983 octets] - [09/12/2012 11:36:29]

AdwCleaner[s3].txt - [1079 octets] - [13/12/2012 00:44:09]

########## EOF - C:\AdwCleaner[s3].txt - [1139 octets] ##########

Fullzx14r · le 13 décembre 2012

Malwarebytes Anti-Malware (Essai) 1.65.1.1000

www.malwarebytes.org

Version de la base de données: v2012.12.12.14

Windows 7 Service Pack 1 x86 NTFS

Internet Explorer 9.0.8112.16421

Bruno QUESNEL :: FUJITSUPC1 [administrateur]

Protection: Désactivé

13/12/2012 01:12:05

mbam-log-2012-12-13 (01-12-05).txt

Type d'examen: Examen complet (C:\|D:\|M:\|N:\|)

Options d'examen désactivées: P2P

Elément(s) analysé(s): 771352

Temps écoulé: 3 heure(s), 13 minute(s), 47 seconde(s)

Processus mémoire détecté(s): 0

(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0

(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0

(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0

(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0

(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0

(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 10

C:\Users\Bruno QUESNEL\Downloads\PaintShop Pro X4\CORE10k.EXE (Dont.Steal.Our.Software) -> Mis en quarantaine et supprimé avec succès.

C:\Users\Bruno QUESNEL\Downloads\VideoStudio Pro X5\CORE10k.EXE (Dont.Steal.Our.Software) -> Mis en quarantaine et supprimé avec succès.

C:\Users\Bruno QUESNEL\Downloads\VideoStudio Pro X5\keygen.exe (RiskWare.Tool.HCK) -> Mis en quarantaine et supprimé avec succès.

C:\Users\Bruno QUESNEL\Downloads\Ghost 15\KEYGEN\keygen.exe (Trojan.Agent) -> Mis en quarantaine et supprimé avec succès.

M:\FILMS\2 - A voir\Adobe.Photoshop.CS6.Extended.13.0.1.Europe\BONUS\adobe.cs6.all.products.activator.(x32.y.x64)_up01.exe (PUP.Hacktool.Patcher) -> Mis en quarantaine et supprimé avec succès.

M:\FILMS\2 - A voir\Adobe.Photoshop.CS6.Extended.13.0.1.Europe\Serials + Keygen X-Force\xf-mccs6\xf-mccs6.exe (PUP.RiskwareTool.CK) -> Mis en quarantaine et supprimé avec succès.

M:\save PC_BQ SERAPID\Save le 20 aout 2012\Users\Public\VideoStudio Pro X5\CORE10k.EXE (Dont.Steal.Our.Software) -> Mis en quarantaine et supprimé avec succès.

M:\save PC_BQ SERAPID\Save le 20 aout 2012\Users\Public\VideoStudio Pro X5\keygen.exe (RiskWare.Tool.HCK) -> Mis en quarantaine et supprimé avec succès.

M:\Seagate Backup\BRUNOQUESNEL-PC\C\Users\Public\VideoStudio Pro X5\CORE10k.EXE (Dont.Steal.Our.Software) -> Mis en quarantaine et supprimé avec succès.

M:\Seagate Backup\BRUNOQUESNEL-PC\C\Users\Public\VideoStudio Pro X5\keygen.exe (RiskWare.Tool.HCK) -> Mis en quarantaine et supprimé avec succès.

(fin)

Voila le dernier rapport :