[Résolu] PC infecté – malwares et autres

[whystyty]

bonjour,

je m'occupe du nettoyage de l'ordi d'un proche, celui est infecté par des malwares et autres programmes.

j'ai lancé plusieurs fois malwarebytes et spybot pour dégrossir le travail mais je n'arrive pas à me débarasser de tout.

j'ai lancé un scan via zhp diag mais mes connaissances ne sont pas suffisantes pour pouvoir cleaner plus cet ordinateur.

 

Je ne sais plus si c'est sur spybot ou sur malwarebytes mais je n'ai pas osez supprimer un élément qui avait été détecté :

microsoft.windows.security.center.disabled

vu que ça touche au centre de sécurité windows... j'ai pas voulu faire d'erreur

 

voila,

j'espère que vous pourrez m'aider !

je vous joint le rapport de zhp diag : © CJoint.com, 2012

Modifié le 18 février 2013 par whystyty

[pear]

Bonjour,

 

1)

Il faut savoir que Spybot utilise une technologie dépassée.

Si vous ajoutez à cela les problèmes causés par la vaccination qui ralentit le système et TeaTimer qui peut faire obstacle à une désinfection.....

Préférez lui Malwarebytes' Anti-Malware (MBAM)bien plus efficace bien que ,en version libre ,il ne soit pas résident.

 

Pour désactiver TeaTimer qui ne sert à rien et peut faire échouer une désinfection:!

Sous Vista, exécuter avec privilèges Administrateur

Afficher d'abord le Mode Avancé dans SpyBot

->Options Avancées :

- >menu Mode, Mode Avancé.

Une colonne de menus apparaît dans la partie gauche :

- >cliquer sur Outils,

- >cliquer sur Résident,

Dans Résident :

- >décocher Résident "TeaTimer" pour le désactiver.

Effacer le contenu du dossier Snapshots(le contenu de snapshots, pas le fichier snapshots) , sous XP :

C:\Documents and Settings\All Users\Application Data\Spybot - Search &Destroy\Snapshots

Et sous Vista :

C:\ProgramData\Spybot - Search & Destroy\Snapshots

 

 

Vaccination Spybot

Si ,dans Spybot S&D vous avez vacciné, allez à l'onglet "vaccination"

cliquez sur "Vaccination" dans la colonne sur la gauche :

Cliquez sur annuler (la flèche bleue) pour annuler la vaccination.

 

Désinstaller Spybot

 

 

2)Votre rapport est très incomplet.

 

Suivez cette procédure:

 

Zhpdiag 1.34

 

Double-cliquer sur ZHPDiag.exe pour installer l'outil

Sur le bureau ,il devrait y avoir 3 icônes

 

Sous XP, double clic sur l'icône ZhpDiag

Sous Vista/7, faire un clic droit et Exécuter en tant qu'administrateur

 

 

Cliquez sur le bouton

en haut, à droite et choisissez Tous

Pour éviter un blocage, décochez 045 et 061

 

Clic sur la Loupe en haut, à gauche pour lancer le scan

Postez le rapport ZhpDiag.txt qui apparait sur le bureau

 

Comment poster les rapports

Cliquez sur ce bouton en haut, à droite

Appuyez sur Parcourir et chercher le rapport ,

Cliquer sur Envoyer

>> dans la page suivante -->

Cliquer Pjjoint Uploader ,,

une adresse http//.. sera créée

Copier /coller cette adresse dans votre prochain message.

[whystyty]

bonjour,

merci de votre aide et de ce complément d'information !

 

je vais appliquer la procédure que vous m'avez détaillé ci dessus et je reviens vers vous avec le nouveau rapport

[whystyty]

Bonjour,

j'ai désinstaller spybot et j'ai fait un nouveau rapport avec les reglages que vous m'aviez donné :

 

rapport zhp diag : © CJoint.com, 2012

 

en esperant que celui soit complet.

merci encore pour votre aide !

[pear]

Vous devez trouver sur le bureau ou ,sinon, dans le dossier où vous avez installé Zhpdiag ces 3 icônes .

Cliquer sur l'icône Zhpfix

Sous Vista/7 clic-droit, "Exécuter En tant qu'Administrateur

Copiez/Collez les lignes vertes dans le cadre ci dessous:

pour cela;

Clic gauche maintenu enfoncé, Balayer l'ensemble du texte à copier avec la souris pour le mettre en surbrillance ,de gauche à droite et de haut en bas

Ctrl+c mettre le tout en mémoire

Ctrl+v pour inscrire le texte dans le Document ou, mieux, en cliquant le bouton Coller le presse papier au milieu,en haut, à gauche[1]

 

G1 - GCS: Preference [user Data\Default] http://searchfunmoods.com => Infection PUP (PUP.Funmoods)*

[HKCU\Software\InstallCore] => Infection PUP (Adware.InstallCore)

[HKLM\Software\Funmoods] => Infection PUP (PUP.Funmoods)*

O43 - CFD: 19/12/2012 - 15:57:04 - [0] ----D C:\Documents and Settings\proprietaire\Application Data\Funmoods => Infection PUP (PUP.Funmoods)*

O51 - MPSK:{45249c78-689d-11de-be05-00032f479272}\AutoRun\command. (...) -- D:\DPFMate.exe (.not file.) => Infection USB (Trojan.Dropper)

[HKLM\Software\Classes\AppID\{EA28B360-05E0-4F93-8150-02891F1D8D3C}] => Infection PUP (Adware.Funmoods)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{2EECD738-5844-4A99-B4B6-146BF802613B}] => Infection PUP (Toolbar.Babylon)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{2EECD738-5844-4a99-B4B6-146BF802613B}] => Infection BT (Toolbar.Babylon)

[HKLM\Software\Classes\AppID\{960DF771-CFCB-4E53-A5B5-6EF2BBE6E706}] => Infection PUP (PUP.Funmoods)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{98889811-442D-49dd-99D7-DC866BE87DBC}] => Infection BT (Toolbar.Babylon)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{A6174F27-1FFF-E1D6-A93F-BA48AD5DD448}] => Infection PUP (PUP.DealPly)

[HKLM\Software\funmoods] => Infection PUP (PUP.Funmoods)*

[HKLM\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{21111111-1111-1111-1111-110211181110}] => Infection PUP (PUP.CrossRider)

[HKLM\Software\Classes\Prod.cap] => Infection PUP (Adware.Bandoo)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{9CFACCB6-2F3F-4177-94EA-0D2B72D384C1}] => Infection BT (Toolbar.Babylon)

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{F72841F0-4EF1-4DF5-BCE5-B3AC8ACF5478}] => Infection BT (Toolbar.Babylon)

C:\Documents and Settings\proprietaire\Application Data\Funmoods => Infection PUP (PUP.Funmoods)*

O4 - Global Startup: C:\Documents And Settings\All Users\Menu Démarrer\Programmes\Favoris Bluetooth.lnk - Clé orpheline => Orphean Key not necessary

O4 - Global Startup: C:\Documents And Settings\proprietaire\Menu Démarrer\Programmes\Internet ADSL.lnk - Clé orpheline => Orphean Key not necessary

O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} () - http://www5.incredim...imloader.cab => Messaging.Incredimail*

[HKCU\Software\IncrediMail] => Messaging.Incredimail*

[HKLM\Software\ImInstaller] => Messenging.IncrediMail

[HKLM\Software\IncrediMail] => Messaging.Incredimail*

O43 - CFD: 01/02/2009 - 16:00:00 - [8,093] ----D C:\Documents and Settings\proprietaire\Local Settings\Application Data\IM => Messaging.IncrediMail

O44 - LFC:[MD5.58A788A75E674C8342595479F1181E62] - 14/02/2013 - 11:28:20 ---A- . (...) -- C:\WINDOWS\comsetup.log [12500] => Fichiers de rapport (Log)

O44 - LFC:[MD5.89BEC09498DC6ABA86F3413C7482590D] - 14/02/2013 - 11:28:20 ---A- . (...) -- C:\WINDOWS\iis6.log [5915] => Fichiers de rapport (Log)

O44 - LFC:[MD5.8F7D3A8C30E48A7B9F48AB37ADEF026A] - 14/02/2013 - 11:28:20 ---A- . (...) -- C:\WINDOWS\imsins.log [1374] => Fichiers de rapport (Log)

O44 - LFC:[MD5.9EE1B7951528E6A4508FD3245D0F8A36] - 14/02/2013 - 11:28:20 ---A- . (...) -- C:\WINDOWS\ntdtcsetup.log [7562] => Fichiers de rapport (Log)

O44 - LFC:[MD5.DF9CB9ECA96FF208F7A735B48D94A5CC] - 14/02/2013 - 11:28:20 ---A- . (...) -- C:\WINDOWS\ocmsn.log [2052] => Fichiers de rapport (Log)

O44 - LFC:[MD5.E5254F0E62765AAC9610A8E6E885D43F] - 14/02/2013 - 11:28:20 ---A- . (...) -- C:\WINDOWS\tsoc.log [14154] => Fichiers de rapport (Log)

O44 - LFC:[MD5.0E7988D888D9331CB5AC0C51EDE566C3] - 14/02/2013 - 11:28:19 ---A- . (...) -- C:\WINDOWS\FaxSetup.log [37096] => Fichiers de rapport (Log)

O44 - LFC:[MD5.3B285847FAB222A9657EF0385CE20A94] - 14/02/2013 - 11:28:19 ---A- . (...) -- C:\WINDOWS\KB2778344.log [22756] => Fichiers de rapport (Log)

O44 - LFC:[MD5.52796F6AE9DA075FC4922EFF6FF5ACB7] - 14/02/2013 - 11:28:19 ---A- . (...) -- C:\WINDOWS\ocgen.log [17736] => Fichiers de rapport (Log)

O44 - LFC:[MD5.5BFD55451EEB551D520FB307FE375C52] - 14/02/2013 - 11:27:08 ---A- . (...) -- C:\WINDOWS\KB2797052-IE7.log [16663] => Fichiers de rapport (Log)

O44 - LFC:[MD5.957C9765F55C0F5B0CBB7B5B76F769B1] - 14/02/2013 - 11:26:16 ---A- . (...) -- C:\WINDOWS\KB2799494.log [25623] => Fichiers de rapport (Log)

O44 - LFC:[MD5.8CDB77E0B6592156B3D68682C34A823C] - 14/02/2013 - 11:22:16 ---A- . (...) -- C:\WINDOWS\KB2802968.log [21608] => Fichiers de rapport (Log)

O44 - LFC:[MD5.3D8D26F5EC639DB0B0FB740500552A28] - 14/02/2013 - 11:21:39 ---A- . (...) -- C:\WINDOWS\KB2780091.log [22018] => Fichiers de rapport (Log)

O44 - LFC:[MD5.E9459D4CC6982D159EAC92DAA78A41B5] - 14/02/2013 - 11:19:45 ---A- . (...) -- C:\WINDOWS\KB2792100-IE7.log [123975] => Fichiers de rapport (Log)

O44 - LFC:[MD5.6079A80C1B4AAC4E6D3077038A8E4782] - 14/02/2013 - 11:18:19 ---A- . (...) -- C:\WINDOWS\updspapi.log [4779] => Fichiers de rapport (Log)

O44 - LFC:[MD5.5F70C569FF78421E19DCD9AC529CE412] - 19/01/2013 - 15:23:16 ---A- . (...) -- C:\WINDOWS\system32\TEST.log [3520] => Fichiers de rapport (Log)

O47 - AAKE:Key Export SP - "C:\Documents and Settings\proprietaire\Local Settings\Temp\ImInstaller\IncrediMail\imloader.exe" [Enabled] .(...) -- C:\Documents and Settings\proprietaire\Local Settings\Temp\ImInstaller\IncrediMail\imloader.exe (.not file.) => Messaging.Incredimail*

O47 - AAKE:Key Export SP - "C:\Program Files\IncrediMail\bin\IMApp.exe" [Enabled] .(...) -- C:\Program Files\IncrediMail\bin\IMApp.exe (.not file.) => Messaging.Incredimail*

O47 - AAKE:Key Export SP - "C:\Program Files\IncrediMail\bin\IncMail.exe" [Enabled] .(...) -- C:\Program Files\IncrediMail\bin\IncMail.exe (.not file.) => Messaging.Incredimail*

O47 - AAKE:Key Export SP - "C:\Program Files\IncrediMail\bin\ImpCnt.exe" [Enabled] .(...) -- C:\Program Files\IncrediMail\bin\ImpCnt.exe (.not file.) => Messaging.Incredimail*

O53 - SMSR:HKLM\...\startupreg\IncrediMail [Key] . (...) -- C:\Program Files\IncrediMail\bin\IncMail.exe (.not file.) => Messaging.Incredimail*

 

 

EmptyFlash

EmptyTemp

EmptyClsid

FirewallRaz

Proxyfix

Hostfix

SysRestore

 

Cliquer sur "Go" |2]

 

Si vous ne voyez pas le boutonGo, cliquez sur le bouton du milieu, en haut, à gauche.[1]

Redémarrer pour achever le nettoyage.

 

Copier-coller,dans la réponse, le contenu du rapport ZHPFixReport.txt qui s'affiche .

Si besoin; il est enregistré sous C:\ZHP\ZHPFixReport.txt

 

 

Télécharger RogueKiller (by tigzy) sur le bureau

 

Quitter tous les programmes

Lancer RogueKiller.exe.

En cas de blocage Renommer RogueKiller.exe -> winlogon.exe

Patienter le temps du Prescan ...

Cliquer sur Scan.

Cliquer sur Rapport et copier/coller le contenu

 

Nettoyage

 

Dans l'onglet "Registre", décocher les lignes que vous avez volontairement modifiées

(Si vous n'avez rien modifié ,vous n'avez donc pas de raison valable d'en décocher. )

Cliquer sur Suppression. Cliquer sur Rapport et copier/coller le contenu

Cliquer sur Host RAZ. Cliquer sur Rapport et copier/coller le contenu

Cliquer sur Proxy RAZ. Cliquer sur Rapport [/b]et copier/coller le contenu

Cliquer sur DNS RAZ. Cliquer sur Rapport[/b]etcopier/coller le contenu

Cliquer sur Racc. RAZ. Cliquer sur Rapport[/b] et copier coller le contenu du notepad

Sauf avis contraire, ne touchez pas aux index SSDT

Dans l'onglet Driver,pour réparer les index SSDT suivants en faisant un clic droit sur leur ligne => Restaurer SSDT

(Liste des index)

 

Note. Le bouton Suppression ne sera pas accessible tant que le scan n'aura pas été fait

Il y aura 6 rapports à fournir après le nettoyage.

Modifié le 14 février 2013 par pear

[whystyty]

Bonsoir Pear,

j'avais juste une question pour la procédure de RogueKiller :

une fois le scan effectué est-ce que je lance directement la procédure de nettoyage (je voudrais pas faire de bétises)

ou est-ce que je vous post d'abord les rapport (zhp fix et rogue killer)?

 

Je me déplace demain chez la personne concernée, je vous post les rapport dès mon retour.

Je m'excuse du décalage de temps de réponse, l'ordi n'étant pas chez moi ...

 

encore merci du temps que vous m'accordez !

bonne soirée

[pear]

Zhpfix d'abord puis Rogue Killer ,les 6 rapports

[whystyty]

bonjour,

alors les rapports :

 

zhpfix : © CJoint.com, 2012

 

roguekiller 1 : © CJoint.com, 2012

 

roguekiller 2 : © CJoint.com, 2012

 

roguekiller 3 : © CJoint.com, 2012

 

roguekiller 4 : © CJoint.com, 2012

 

roguekiller 5 : © CJoint.com, 2012

 

roguekiller 6 : © CJoint.com, 2012

 

voila, j'espère que la machine est à nouveau clean avec tout ça

[whystyty]

Bonjour Pear,

je reviens vers vous je n'est pas eu de nouvelles concernant les rapports que je vous envoyé,

voir si le pc est tjrs infecté ou si le nettoyage à été efficace !

Tenez moi au courant.

Merci encore

[pear]

Vos rapports ne montrent pas d'infection.

 

Comment va la machine ?