[Résolu] Infection ATRAPS.gen2

[Ayfe]

Bonjour,

 

Depuis ce matin je me suis retrouvé avec ATRAPS.Gen2 de détecter par Antivir sans pouvoir le mettre en quarantaine.

 

J'ai fait les analyses sans y arrivé (il m'avait quand même trouvé 1 ou 2 autres trucs pas propre), ainsi que Spybot qui ma viré pas mal de choses aussi.

 

La notification d'avira pop en continue, même en cliquant sur supprimer, 10 ou 15 sec le pop-up s'ouvre à nouveau.

 

J'ai l'impression que Adobe veut m'installer un plugin tout seul en meme temps pour flash alors que je ne lui demande rien, je refuse à chaque fois mais il revien 15 ou 30 min plus tard.

 

Merci de bien vouloir venir à mon aide.

 

PS: je suis sous Windows 7 64 bits.

Modifié le 24 janvier 2013 par Ayfe

[pear]

Bonjour,

 

Spybot qui ma viré pas mal de choses

 

Il faut savoir que Spybot utilise une technologie dépassée.

Si vous ajoutez à cela les problèmes causés par la vaccination qui ralentit le système et TeaTimer qui peut faire obstacle à une désinfection.....

Préférez lui Malwarebytes' Anti-Malware (MBAM)bien plus efficace bien que ,en version libre ,il ne soit pas résident.

 

Pour désactiver TeaTimer qui ne sert à rien et peut faire échouer une désinfection:!

Sous Vista, exécuter avec privilèges Administrateur

Afficher d'abord le Mode Avancé dans SpyBot

->Options Avancées :

- >menu Mode, Mode Avancé.

Une colonne de menus apparaît dans la partie gauche :

- >cliquer sur Outils,

- >cliquer sur Résident,

Dans Résident :

- >décocher Résident "TeaTimer" pour le désactiver.

Effacer le contenu du dossier Snapshots(le contenu de snapshots, pas le fichier snapshots) , sous XP :

C:\Documents and Settings\All Users\Application Data\Spybot - Search &Destroy\Snapshots

Et sous Vista :

C:\ProgramData\Spybot - Search & Destroy\Snapshots

 

 

Vaccination Spybot

Si ,dans Spybot S&D vous avez vacciné, allez à l'onglet "vaccination"

cliquez sur "Vaccination" dans la colonne sur la gauche :

Cliquez sur annuler (la flèche bleue) pour annuler la vaccination.

 

Désinstaller Spybot

 

 

 

 

Lancez cet outil de diagnostic:

Zhpdiag 1.34

 

Double-cliquer sur ZHPDiag.exe pour installer l'outil

Sur le bureau ,il y aura 3 icônes

 

Sous XP, double clic sur l'icône ZhpDiag

Sous Vista/7, faire un clic droit et Exécuter en tant qu'administrateur

 

 

Cliquez sur le bouton en haut, à droite et choisissez Tous

Pour éviter un blocage, décochez 045 et 061

 

Clic sur la Loupe en haut, à gauche pour lancer le scan

Postez le rapport ZhpDiag.txt qui apparait sur le bureau

 

Comment poster les rapports

Cliquez sur ce bouton en haut, à droite

Appuyez sur Parcourir et chercher le rapport ,

Cliquer sur Envoyer

>> dans la page suivante -->

Cliquer Pjjoint Uploader ,,

une adresse http//.. sera créée

Copier /coller cette adresse dans votre prochain message.

 

[Ayfe]

Merci d'avoir répondu aussi rapidement,

 

Je ne savais pas pour Spybot merci de me l'apprendre, ça a été nettoyer.

 

Voici le lien demandé :

 

http://pjjoint.malekal.com/files.php?read=ZHPDiag_20130124_l14i5c10c10f7

[pear]

Télécharger RogueKiller (by tigzy) sur le bureau

 

Quitter tous les programmes

Lancer RogueKiller.exe.

En cas de blocage Renommer RogueKiller.exe -> winlogon.exe

Patienter le temps du Prescan ...

Cliquer sur Scan.

Cliquer sur Rapport et copier/coller le contenu

 

Nettoyage

 

Dans l'onglet "Registre", décocher les lignes que vous avez volontairement modifiées

(Si vous n'avez rien modifié ,vous n'avez donc pas de raison valable d'en décocher. )

Cliquer sur Suppression. Cliquer sur Rapport et copier/coller le contenu

Cliquer sur Host RAZ. Cliquer sur Rapport et copier/coller le contenu

Cliquer sur Proxy RAZ. Cliquer sur Rapport [/b]et copier/coller le contenu

Cliquer sur DNS RAZ. Cliquer sur Rapport[/b]etcopier/coller le contenu

Cliquer sur Racc. RAZ. Cliquer sur Rapport[/b] et copier coller le contenu du notepad

Sauf avis contraire, ne touchez pas aux index SSDT

Dans l'onglet Driver,pour réparer les index SSDT suivants en faisant un clic droit sur leur ligne => Restaurer SSDT

(Liste des index)

 

Note. Le bouton Suppression ne sera pas accessible tant que le scan n'aura pas été fait

Il y aura 6 rapports à fournir après le nettoyage.

[Ayfe]

Je me suis un peu emmêlé les pinceaux, quand j'ai lancé la première fois le scan et nettoyer il ma demandé de redémarrer alors je l'ai fait mais j'ai du relancé le scan une deuxième fois j'ai donc pensé qu'il fallait supprimer de nouveau.

 

Voici ce que ça donne :

 

RogueKiller V8.4.3 _x64_ [Jan 24 2013] par Tigzy

mail : tigzyRK<at>gmail<dot>com

Remontees : [RogueKiller] Remontées

Site Web : Télécharger RogueKiller (Site Officiel)

Blog : tigzy-RK

 

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version

Demarrage : Mode normal

Utilisateur : Ayfe [Droits d'admin]

Mode : Recherche -- Date : 24/01/2013 16:22:24

| ARK || MBR |

 

¤¤¤ Processus malicieux : 0 ¤¤¤

 

¤¤¤ Entrees de registre : 2 ¤¤¤

[HJ DESK] HKLM\[...]\Services\Microsoft\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> TROUVÉ

[HJ DESK] HKLM\[...]\Services\Microsoft\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> TROUVÉ

 

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

[ZeroAccess][FILE] @ : C:\Windows\Installer\{d860ac16-c4b1-0a3b-c97a-597880cac949}\@ --> TROUVÉ

[ZeroAccess][FOLDER] U : C:\Windows\Installer\{d860ac16-c4b1-0a3b-c97a-597880cac949}\U --> TROUVÉ

[ZeroAccess][FOLDER] L : C:\Windows\Installer\{d860ac16-c4b1-0a3b-c97a-597880cac949}\L --> TROUVÉ

[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_32\Desktop.ini --> TROUVÉ

[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_64\Desktop.ini --> TROUVÉ

 

¤¤¤ Driver : [NON CHARGE] ¤¤¤

 

¤¤¤ Infection : ZeroAccess ¤¤¤

 

¤¤¤ Fichier HOSTS: ¤¤¤

--> C:\Windows\system32\drivers\etc\hosts

 

 

 

¤¤¤ MBR Verif: ¤¤¤

 

+++++ PhysicalDrive0: MAXTOR STM3250310AS ATA Device +++++

--- User ---

[MBR] b4e5ea3280d823545e78e638f783a36c

[bSP] aec5608feac874d62c75ad45d951a4bf : Windows 7/8 MBR Code

Partition table:

0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo

1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 238373 Mo

User = LL1 ... OK!

User = LL2 ... OK!

 

Termine : << RKreport[1]_S_24012013_162224.txt >>

RKreport[1]_S_24012013_162224.txt

 

 

 

 

 

RogueKiller V8.4.3 _x64_ [Jan 24 2013] par Tigzy

mail : tigzyRK<at>gmail<dot>com

Remontees : [RogueKiller] Remontées

Site Web : Télécharger RogueKiller (Site Officiel)

Blog : tigzy-RK

 

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version

Demarrage : Mode normal

Utilisateur : Ayfe [Droits d'admin]

Mode : Suppression -- Date : 24/01/2013 16:23:45

| ARK || MBR |

 

¤¤¤ Processus malicieux : 0 ¤¤¤

 

¤¤¤ Entrees de registre : 2 ¤¤¤

[HJ DESK] HKLM\[...]\Services\Microsoft\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REMPLACÉ (0)

[HJ DESK] HKLM\[...]\Services\Microsoft\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REMPLACÉ (0)

 

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

[ZeroAccess][FILE] @ : C:\Windows\Installer\{d860ac16-c4b1-0a3b-c97a-597880cac949}\@ --> SUPPRIMÉ AU REBOOT

[Del.Parent][FILE] 00000004.@ : C:\Windows\Installer\{d860ac16-c4b1-0a3b-c97a-597880cac949}\U\00000004.@ --> SUPPRIMÉ

[Del.Parent][FILE] 00000008.@ : C:\Windows\Installer\{d860ac16-c4b1-0a3b-c97a-597880cac949}\U\00000008.@ --> SUPPRIMÉ

[Del.Parent][FILE] 000000cb.@ : C:\Windows\Installer\{d860ac16-c4b1-0a3b-c97a-597880cac949}\U\000000cb.@ --> SUPPRIMÉ

[Del.Parent][FILE] 80000000.@ : C:\Windows\Installer\{d860ac16-c4b1-0a3b-c97a-597880cac949}\U\80000000.@ --> SUPPRIMÉ

[Del.Parent][FILE] 80000032.@ : C:\Windows\Installer\{d860ac16-c4b1-0a3b-c97a-597880cac949}\U\80000032.@ --> SUPPRIMÉ

[Del.Parent][FILE] 80000064.@ : C:\Windows\Installer\{d860ac16-c4b1-0a3b-c97a-597880cac949}\U\80000064.@ --> SUPPRIMÉ

[ZeroAccess][FOLDER] ROOT : C:\Windows\Installer\{d860ac16-c4b1-0a3b-c97a-597880cac949}\U --> SUPPRIMÉ

[ZeroAccess][FOLDER] ROOT : C:\Windows\Installer\{d860ac16-c4b1-0a3b-c97a-597880cac949}\L --> SUPPRIMÉ

[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_32\Desktop.ini --> SUPPRIMÉ AU REBOOT

[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_64\Desktop.ini --> SUPPRIMÉ AU REBOOT

 

¤¤¤ Driver : [NON CHARGE] ¤¤¤

 

¤¤¤ Infection : ZeroAccess ¤¤¤

 

¤¤¤ Fichier HOSTS: ¤¤¤

--> C:\Windows\system32\drivers\etc\hosts

 

 

 

¤¤¤ MBR Verif: ¤¤¤

 

+++++ PhysicalDrive0: MAXTOR STM3250310AS ATA Device +++++

--- User ---

[MBR] b4e5ea3280d823545e78e638f783a36c

[bSP] aec5608feac874d62c75ad45d951a4bf : Windows 7/8 MBR Code

Partition table:

0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo

1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 238373 Mo

User = LL1 ... OK!

User = LL2 ... OK!

 

Termine : << RKreport[2]_D_24012013_162345.txt >>

RKreport[1]_S_24012013_162224.txt ; RKreport[2]_D_24012013_162345.txt

 

 

 

 

RogueKiller V8.4.3 _x64_ [Jan 24 2013] par Tigzy

mail : tigzyRK<at>gmail<dot>com

Remontees : [RogueKiller] Remontées

Site Web : Télécharger RogueKiller (Site Officiel)

Blog : tigzy-RK

 

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version

Demarrage : Mode normal

Utilisateur : Ayfe [Droits d'admin]

Mode : Recherche -- Date : 24/01/2013 16:29:10

| ARK || MBR |

 

¤¤¤ Processus malicieux : 0 ¤¤¤

 

¤¤¤ Entrees de registre : 0 ¤¤¤

 

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

[ZeroAccess][FOLDER] U : C:\Windows\Installer\{d860ac16-c4b1-0a3b-c97a-597880cac949}\U --> TROUVÉ

[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_32\Desktop.ini --> TROUVÉ

[ZeroAccess][FILE] Desktop.ini : C:\Windows\Assembly\GAC_64\Desktop.ini --> TROUVÉ

 

¤¤¤ Driver : [NON CHARGE] ¤¤¤

 

¤¤¤ Infection : ZeroAccess ¤¤¤

 

¤¤¤ Fichier HOSTS: ¤¤¤

--> C:\Windows\system32\drivers\etc\hosts

 

 

 

¤¤¤ MBR Verif: ¤¤¤

 

+++++ PhysicalDrive0: MAXTOR STM3250310AS ATA Device +++++

--- User ---

[MBR] b4e5ea3280d823545e78e638f783a36c

[bSP] aec5608feac874d62c75ad45d951a4bf : Windows 7/8 MBR Code

Partition table:

0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo

1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 238373 Mo

User = LL1 ... OK!

User = LL2 ... OK!

 

Termine : << RKreport[3]_S_24012013_162910.txt >>

RKreport[1]_S_24012013_162224.txt ; RKreport[2]_D_24012013_162345.txt ; RKreport[3]_S_24012013_162910.txt

 

 

 

 

 

RogueKiller V8.4.3 _x64_ [Jan 24 2013] par Tigzy

mail : tigzyRK<at>gmail<dot>com

Remontees : [RogueKiller] Remontées

Site Web : Télécharger RogueKiller (Site Officiel)

Blog : tigzy-RK

 

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version

Demarrage : Mode normal

Utilisateur : Ayfe [Droits d'admin]

Mode : HOSTS RAZ -- Date : 24/01/2013 16:30:17

| ARK || MBR |

 

¤¤¤ Processus malicieux : 0 ¤¤¤

 

¤¤¤ Entrees de registre : 0 ¤¤¤

 

¤¤¤ Driver : [NON CHARGE] ¤¤¤

 

¤¤¤ Infection : ZeroAccess ¤¤¤

 

¤¤¤ Fichier HOSTS: ¤¤¤

--> C:\Windows\system32\drivers\etc\hosts

 

 

 

¤¤¤ Nouveau fichier HOSTS: ¤¤¤

 

 

Termine : << RKreport[4]_H_24012013_163017.txt >>

RKreport[1]_S_24012013_162224.txt ; RKreport[2]_D_24012013_162345.txt ; RKreport[3]_S_24012013_162910.txt ; RKreport[4]_H_24012013_163017.txt

 

 

 

 

 

RogueKiller V8.4.3 _x64_ [Jan 24 2013] par Tigzy

mail : tigzyRK<at>gmail<dot>com

Remontees : [RogueKiller] Remontées

Site Web : Télécharger RogueKiller (Site Officiel)

Blog : tigzy-RK

 

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version

Demarrage : Mode normal

Utilisateur : Ayfe [Droits d'admin]

Mode : Proxy RAZ -- Date : 24/01/2013 16:30:42

| ARK || MBR |

 

¤¤¤ Processus malicieux : 0 ¤¤¤

 

¤¤¤ Entrees de registre : 0 ¤¤¤

 

¤¤¤ Driver : [NON CHARGE] ¤¤¤

 

¤¤¤ Infection : ZeroAccess ¤¤¤

 

Termine : << RKreport[5]_PR_24012013_163042.txt >>

RKreport[1]_S_24012013_162224.txt ; RKreport[2]_D_24012013_162345.txt ; RKreport[3]_S_24012013_162910.txt ; RKreport[4]_H_24012013_163017.txt ; RKreport[5]_PR_24012013_163042.txt

 

 

 

 

 

RogueKiller V8.4.3 _x64_ [Jan 24 2013] par Tigzy

mail : tigzyRK<at>gmail<dot>com

Remontees : [RogueKiller] Remontées

Site Web : Télécharger RogueKiller (Site Officiel)

Blog : tigzy-RK

 

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version

Demarrage : Mode normal

Utilisateur : Ayfe [Droits d'admin]

Mode : DNS RAZ -- Date : 24/01/2013 16:30:50

| ARK || MBR |

 

¤¤¤ Processus malicieux : 0 ¤¤¤

 

¤¤¤ Entrees de registre : 0 ¤¤¤

 

¤¤¤ Driver : [NON CHARGE] ¤¤¤

 

¤¤¤ Infection : ZeroAccess ¤¤¤

 

Termine : << RKreport[6]_DN_24012013_163050.txt >>

RKreport[1]_S_24012013_162224.txt ; RKreport[2]_D_24012013_162345.txt ; RKreport[3]_S_24012013_162910.txt ; RKreport[4]_H_24012013_163017.txt ; RKreport[5]_PR_24012013_163042.txt ;

RKreport[6]_DN_24012013_163050.txt

 

 

 

 

RogueKiller V8.4.3 _x64_ [Jan 24 2013] par Tigzy

mail : tigzyRK<at>gmail<dot>com

Remontees : [RogueKiller] Remontées

Site Web : Télécharger RogueKiller (Site Officiel)

Blog : tigzy-RK

 

Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version

Demarrage : Mode normal

Utilisateur : Ayfe [Droits d'admin]

Mode : Raccourcis RAZ -- Date : 24/01/2013 16:32:04

| ARK || MBR |

 

¤¤¤ Processus malicieux : 0 ¤¤¤

 

¤¤¤ Driver : [NON CHARGE] ¤¤¤

 

¤¤¤ Attributs de fichiers restaures: ¤¤¤

Bureau: Success 1 / Fail 0

Lancement rapide: Success 1 / Fail 0

Programmes: Success 7 / Fail 0

Menu demarrer: Success 1 / Fail 0

Dossier utilisateur: Success 88 / Fail 0

Mes documents: Success 0 / Fail 0

Mes favoris: Success 0 / Fail 0

Mes images: Success 0 / Fail 0

Ma musique: Success 4 / Fail 0

Mes videos: Success 0 / Fail 0

Disques locaux: Success 35 / Fail 0

Sauvegarde: [NOT FOUND]

 

Lecteurs:

[C:] \Device\HarddiskVolume2 -- 0x3 --> Restored

[D:] \Device\CdRom0 -- 0x5 --> Skipped

[E:] \Device\CdRom1 -- 0x5 --> Skipped

 

¤¤¤ Infection : ZeroAccess ¤¤¤

 

Termine : << RKreport[7]_SC_24012013_163204.txt >>

RKreport[1]_S_24012013_162224.txt ; RKreport[2]_D_24012013_162345.txt ; RKreport[3]_S_24012013_162910.txt ; RKreport[4]_H_24012013_163017.txt ; RKreport[5]_PR_24012013_163042.txt ;

RKreport[6]_DN_24012013_163050.txt ; RKreport[7]_SC_24012013_163204.txt

 

 

 

[pear]

 

Combofix est un logiciel très puissant qui ne doit pas être utilisé sans une aide compétente sous peine de risquer des dommages irréversibles.

Veuillez noter que ce logiciel est régulièrement mis à jour et que la version téléchargée sera obsolète dans quelques jours.

Télécharger combofix.exe de Subs

 

et sauvegardez le sur le bureau

 

 

Fermez ou désactivez tous les programmes Antivirus, Antispyware, Pare-feu actifs car ils pourraient perturber le fonctionnement de cet outil

Pour cela:

Démarrer->Exécuter->Msconfig->Démarrage : décochez les protections Antivirus, Antispyware,Teatimer etc..

 

Cela est absolument nécessaire au succès de la procédure.

Bien évidemment, vous les rétablirez ensuite.

 

2)Vous avez téléchargé Combofix.

Double cliquer sur combofix.exe pour le lancer.

Ne pas fermer la fenêtre qui vient de s'ouvrir , le bureau serait vide et cela pourrait entraîner un plantage du programme!

Pour lancer le scan

Connecter tous les disques amovibles (disque dur externe, clé USB…).

Taper sur la touche 1 pour démarrer le scan.

Si pour une raison quelconque, combofix ne se lançait pas,

Sous Vista, désactivez l'UAC

Démarrez en mode sans échec, choisissez le compte Administrateur, lancez Combofix

Si vous avez un message de Combofix disant que votre antivirus est actif alors que vous l'avez désactivé, recommencez la procédure en mode sans échec

Lorsque ComboFix tourne, ne touchez plus du tout à votre ordinateur, vous risqueriez de planter le programme.

 

Le scan pourrait prendre un certain temps, il y a 50 procédures successives:

Patientez au moins 30 minutes pendant l'analyse.

Si le programme gèle (+ de 30 minutes), fermez le en cliquant le "X" au haut à droite de la fenêtre.

A la fin,,un rapport sera généré

Il se trouve à c:\combofix.txt

 

Comment poster les rapports

Copiez/collez tout ou partie des rapports dans un ou plusieurs messages.

Autre solution à privilégier pour un rapport lourd

Aller sur le site :Ci-Joint

Appuyez sur Parcourir et chercher les rapports sur le disque,

Cliquer sur Ouvrir

Cliquer sur Créer le lien CJoint,

>> dans la page suivante --> ,,

une adresse http//.. sera créée

Copier /coller cette adresse dans votre prochain message.

 

 

[Ayfe]

Petit soucis technique, je ne peux fermé Avira avec la commande msconfig.

 

Si je clique droit sur l'icone en bas et que je désactive la protection en temps réel est ce que ce sera bon ou faut il qu'Avira sois complètement fermé?

[pear]

Oui, je pense que ça devrait marcher.

 

Mais je suis surpris de votre échec avec Msconfig.

Il est vrai qu'Avira , dans sa dernière version,cause quelques soucis.

[Ayfe]

J'ai désinstaller Avira et je le remettrai une fois fini avec combofix

 

Car j'ai essayé avec le parapluie fermé et Combofix le détecter comme ouvert.

Modifié le 24 janvier 2013 par Ayfe

[Ayfe]

Voila fini par contre j'ai un problème maintenant je ne peux plus ouvrir quoi que ce sois avec un double clique, il faut faire clique droit ouvrir en tant qu’administrateur pour que ça marche.

 

Sinon j'ai un message d'erreur comme :

 

Tentative d'opération non autorisée sur une clé du Registre marquée pour suppression.

 

Voila le lien pour le rapport sinon:

 

Mon lien