[Résolu] PC infecté, trojan suspecté

[Serpentgarou]

Bonjour (ou bonsoir, c'est selon!)

 

J'ai récupéré (probablement mais sans certitude via une clé USB ayant trainé dans des ordinateurs publics de la fac) un virus qui apparait comme "ituneshelper.vbe" lorsqu'on fait apparaître les fichiers systèmes.

Toutes les données des clés introduites apparaissent en raccourci, les données réelles étant cachées en fichiers système.

Un PC infecté devait de toutes façons partir en réparation, donc j'ai confié en même temps les clés à l'informaticien pour qu'il règle ce souci...

 

Reste le problème du PC familial sur lequel j'ai également connecté une clé avant d'identifier la présence du ver. C'est lui que je voudrais maintenant désinfecter avec votre aide si c'est possible.

Je l'imagine infecté, mais je ne sais pas trouver le programme malveillant seul. J'imagine qu'il est là (lui ou un autre virus!), car des pages web publicitaires non sollicitées s'ouvrent maintenant, ainsi que des fausses pages de mise à jour java ou autre.

L'ordinateur tourne sous Windows 7 avec Avira et MBAM qui ne détectent rien (étant novice en informatique je n'ai pas gardé les rapports hélas).

 

Pouvez-vous m'aider?

 

Bien à vous

S.

Modifié le 19 février 2014 par Serpentgarou

[pear]

Bonjour,

 

Lancez cet outil de diagnostic:

Téchargement de Zhpdiag
Autres liens en cas de défaiillance du précédent
Ici ou Là


Double-cliquer sur ZHPDiag.exe pour installer l'outil
Il devrait y avoir 2 icônes sur le bureau ou dans le fichier d'installation de Zhpdiag.


Sous XP, double clic sur l'icône ZhpDiag
Sous Vista/7, faire un clic droit et Exécuter en tant qu'administrateur

Cliquer Configurer
Cliquez sur le bouton
et choisissez Tous
Pour éviter un blocage , Décochez 045 et 061
Cliquer Rechercher
Le rapport ZhpDiag.txt apparait sur le bureau


Comment poster les rapports
Aller sur le site :
Ci-Joint
ou
Pijoint
Appuyez sur Parcourir et chercher les rapports sur le bureau
Cliquer sur Ouvrir
Cliquer sur Créer le lien CJoint,
>> dans la page suivante --> ,,
une adresse http//.. sera créée
Copier /coller cette adresse dans votre prochain message.

[Serpentgarou]

Merci de cette réponse rapide.

Voici le lien:

 

http://cjoint.com/?3BswGJLImMq

 

Quand je lis ce rapport, j'ai l'impression d'être illettré! Je m'y mettrai, mais pour l'instant je m'en remet à vos lumières...

 

Merci pear

[pear]

Vous devez trouver les 2 icônes Zhpdiag, Zhpfix. sur le bureau

ou sinon dans le dossier où vous avez installé Zhpdiag (Program files ->Zhpdiag ->Zhpfix)
Cliquer sur l'icône Zhpfix
Sous Vista et +, clic-droit, "Exécuter En tant qu'Administrateur
Copiez/Collez les lignes vertes dans le cadre ci dessous:
pour cela;
Clic gauche maintenu enfoncé, Balayer l'ensemble du texte à copier avec la souris pour le mettre en surbrillance ,de gauche à droite et de haut en bas
Ctrl+c mettre le tout en mémoire
Cliquer Importer
pour inscrire le texte dans la fenêrtre vide qui s'ouvre



Script Zhpfix

[HKLM\Software\Classes\Interface\{9E3B11F6-4179-4603-A71B-A55F4BCB0BEC}]
[HKLM\Software\Wow6432Node\Classes\Interface\{9E3B11F6-4179-4603-A71B-A55F4BCB0BEC}]
C:\Users\IFRAH\AppData\Local\Temp\ToolbarInstaller.exe
O4 - GS\Desktop [Public]: WinZip.lnk . (...) -- C:\Program Files (x86)\WinZip\WINZIP64.exe (.not file.)
[MD5.00000000000000000000000000000000] [APT] [{0426A860-5CDD-41D9-AD18-1BE0383853C5}] (...) -- E:\AutoRun2.exe (.not file.) [0]
[MD5.00000000000000000000000000000000] [APT] [{551087B6-3F64-446E-967E-A20876B67CF1}] (...) -- E:\sp2000\setup.exe (.not file.) [0]
[MD5.00000000000000000000000000000000] [APT] [{9C8C0A23-185E-4776-AA1C-718EFCFCAB6D}] (...) -- E:\sp2000\setup.exe (.not file.) [0]
[MD5.00000000000000000000000000000000] [APT] [{B164706B-C34D-41F5-8091-39148AC4FB20}] (...) -- E:\sp2000\setup.exe (.not file.) [0]
[MD5.00000000000000000000000000000000] [APT] [{B4CF2F61-FF15-4AA9-AF92-72209FC233A4}] (...) -- E:\AutoRun2.exe (.not file.) [0]
[MD5.00000000000000000000000000000000] [APT] [{D0AB168D-C7C6-4632-BF1A-D712377A20FB}] (...) -- E:\sp2000\setup.exe (.not file.) [0]
[MD5.00000000000000000000000000000000] [APT] [{D2DAF394-1468-433D-9765-A41E53D6C22E}] (...) -- E:\sp2000\setup.exe (.not file.) [0]
[MD5.00000000000000000000000000000000] [APT] [{E3D95DAC-A583-436D-B1AC-37CFCC96C4C1}] (...) -- E:\AutoRun2.exe (.not file.) [0]
[MD5.00000000000000000000000000000000] [APT] [{E400D62E-E775-4138-AA04-545AC3CCD79B}] (...) -- E:\AutoRun2.exe (.not file.) [0]
[MD5.00000000000000000000000000000000] [APT] [{F53CB1AD-4098-4A02-9A99-328041FBDBAC}] (...) -- E:\sp2000\setup.exe (.not file.) [0]
O4 - HKLM\..\Wow6432Node\Run: [ROC_ROC_NT] C:\Program Files (x86)\AVG Secure Search\ROC_ROC_NT.exe (.not file.)
[HKLM\Software\Classes\Interface\{03E2A1F3-4402-4121-8B35-733216D61217}]
[HKLM\Software\Wow6432Node\Classes\Interface\{03E2A1F3-4402-4121-8B35-733216D61217}]
[HKLM\Software\Classes\TypeLib\{9C049BA6-EA47-4AC3-AED6-A66D8DC9E1D8}]
[HKLM\Software\Wow6432Node\Microsoft\Tracing\apnstub_RASAPI32]
[HKLM\Software\Wow6432Node\Microsoft\Tracing\apnstub_RASMANCS]
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:ROC_ROC_NT
C:\Users\IFRAH\AppData\Local\Temp\avg@toolbar

EmptyClsid
HiddenFix
Ifeofix
Proxyfix
FirewallRaz
ShortcutFix
SysRestore



Cliquer sur "Go" en bas, à gauche
Redémarrer pour achever le nettoyage.

Le contenu du rapport ZHPFixReport.txt qui s'affiche est enregistré sous C:\ZHP\ZHPFixReport.txt



Télécharger SFTGC.exe
sur le Bureau, impérativement sous peine de risquer un plantage

Il peut être nécessaire de fermer ou désactiver tous les programmes Antivirus, Antispyware, Pare-feu actifs car ils pourraient perturber le fonctionnement de cet outil
Certains outils sont parfois detectés par votre Anti-virus ou votre Anti-Malware comme étant un "RiskTool", un virus ou un "Trojan", or ce n'est pas le cas.
Comment désactiver les protections résidentes
Bien évidemment, vous les rétablirez ensuite.

Sous XP, double cliquer sur le fichier.
Sous Vista/7/8, clic droit sur le fichier pour Exécuter en tant qu'administrateur.

Après l'initialisation, cliquer sur Go pour lancer le nettoyage.

Un rapport (SFT.txt) va s'ouvrir à la fin enregistré sur le bureau .


Comment poster les rapports
Aller sur le site :Ci-Joint
ou PIjoint
Appuyez sur Parcourir et chercher les rapports sur le disque,
Cliquer sur Ouvrir
Cliquer sur Créer le lien CJoint,
>> dans la page suivante --> ,,
une adresse http//.. sera créée
Copier /coller cette adresse dans votre prochain message.

Télécharger Usb Fix sur le bureau

Installez le avec les paramètres par défault
Vous devez désactiver la protection en temps réel de votre Antivirus qui peut considérer certains composants de ce logiciel comme néfastes.
Pour cela, faites un clic droit sur l'icône de l'antivirus en bas à droite à côté de l'horloge puis Disable Guard ou Shield ou Résident...
Brancher les périphériques externes (clé USB, disque dur externe, etc...) sans les ouvrir
Si vous êtes sous Vistaésactiver L'UAC ,avant utilisation.

Faire un Clic-droit sur le raccourci Usbfix sur le bureau et choisir "Exécuter en tant qu'administrateur".

Lancer l' option Recherche
le rapport UsbFix.txt est sauvegardé à la racine du disque .
Faites en un copier/coller dans le bloc notes pour le poster.

Ensuite,
Lancer l'option Suppression
Le bureau disparait et le pc redémarre
Patientez le temps du scan.
le rapport UsbFix.txt est sauvegardé à la racine du disque
Faites en un copier/coller dans le bloc notes pour le poster.
Pour les rapports qui sont courts (ex. Malwarebytes, AD-R, USBFix, etc.), copiez/collez sur votre sujet

Pour vous éviter une infection ultérieure:
Lancer l' OptionVaccination



Pour Désinstaller UsbFix (après la désinfection)
Double clic sur le raccourci sur le bureau
Lancer l'option Désinstaller

[Serpentgarou]

C'est fait, voici les rapports:

 

ZHPFix:

http://cjoint.com/?3BtqsB3X4uP

 

SFTGC:

http://cjoint.com/?3Btqxlp6BaG

 

UsbFix Recherche, avec une clé USB branchée en plus:

http://cjoint.com/?3BtqB0advj5

 

UsbFix Suppression:

http://cjoint.com/?3BtqDsmM3tF

 

Merci beaucoup pour l'aide, pear!

J'attends la suite et/ou la fin!

 

ps: Deux questions: 1/ l'introduction d'une clé infectée maintenant dans cet ordinateur peut-elle recontaminer le système? 2/ une clé vaccinée n'est plus contaminante, mais elle peut néanmoins être contaminée n'est-ce pas?

 

Merci pour tout

S.

[pear]

Oui pour 1)

Non pour 2) puisque vaccinée

 

Si vous pensez que votre problème a trouvé une solution, et afin que ceux qui la cherchent en profitent,
éditez votre premier message (Edition complète)et, dans le titre, inscrivez Résolu.

[1] En bas de votre premier message, cliquer sur [Modifier]
[2] En bas de l'éditeur qui s'ouvre, cliquer sur [utiliser l'éditeur complet]
[3] En haut de l'éditeur complet, ajouter [Résolu] au début du titre de votre sujet.

Modifié le 19 février 2014 par pear

[Serpentgarou]

Pardon, c'est juste pour être sûr: c'est maintenant ok, le système est désinfecté?

Si c'est le cas merci beaucoup, j'afficherai le fil comme résolu dès confirmation!

 

Bonne soirée, encore merci

[pear]

C'est propre.