RiskWave.Tool.HCK & more

[tisouit]

Bonjour par ici. je suis actuellement en train de passer un coup de propre sur le PC d'un ami et il ce trouve que malwarebytes (apres plusieurs passage deja) me trouve plusieurs PUP et un Riskware. tool Hck qui ne s'en va pas ... (le tout est en quarantaine pour le moment).

C'est pourquoi je vous poste le rapport de Malwarebytes et de ZHPdiag :

 

http://cjoint.com/?DHea07Ypp1M

 

http://cjoint.com/?DHeaZXAngho

 

je vous ecoute.

 

 

Faire attention ou l'on telecharge et ne pas utiliser d'ínstalateur du type softonic, ... , oui je lui est dis.

Modifié le 3 août 2014 par tisouit

[pear]

Vous devez trouver les 2 icônes Zhpdiag, Zhpfix.

sur le bureau ou sinon dans le dossier où vous avez installé Zhpdiag (Program files ->Zhpdiag ->Zhpfix)
Cliquer sur l'icône Zhpfix
Sous Vista et + clic-droit, "Exécuter En tant qu'Administrateur
Copiez/Collez les lignes vertes dans le cadre ci dessous:
pour cela;
Clic gauche maintenu enfoncé, Balayer l'ensemble du texte à copier avec la souris pour le mettre en surbrillance ,de gauche à droite et de haut en bas
Ctrl+c mettre le tout en mémoire
Cliquer Importer
pour inscrire le texte dans la fenêtre vide qui s'ouvre

Script ZHPFix

O69 - SBI: SearchScopes [HKCU] 533FE48102E24FA7A5EF5862B286023F - (Messenger Plus Smartbar Search) -
O69 - SBI: SearchScopes [HKCU] {338B76F9-AA95-4641-A41E-9206B3DC1AFC} - (Search the web (Softonic)) -
O9 - Extra button: Run IMVU - {d9288080-1baa-4bc4-9cf8-a92d743db949} -- C:\Documents and Settings\Administrador\Datos de programa\IMVUClient\imvu.ico (.not file.)
O44 - LFC:[MD5.869BB0641BBE31AC6B220B3EAF5B0921] - 02/08/2014 - 04:21:27 p.m. ---A- . (...) -- C:\WINDOWS\popcinfot.dat [44]
O51 - MPSK:{a620146e-d0f2-11df-8d46-0013d3ff76bf}\AutoRun\command. (...) -- F:\.\z1T2L2T2\z1T2L2T2.exe (.not file.)
O63 - Logiciel: UsbFix - (.El Desaparecido - www.usbfix.net - www.sosvirus.net.) [HKLM] -- Usbfix
O69 - SBI: SearchScopes [HKCU] {70FD5BD6-59FA-4E36-ACE4-F2DCAA56C278} - (AVG Secure Search) -
[HKLM\Software\Classes\Interface\{7131C082-F3C6-404D-B8CC-8AF9CFB6209D}]
[HKLM\Software\Classes\AppID\{5C731C2A-6ADF-487E-99A2-7291BF794A14}]
[HKLM\Software\Classes\AppID\osmax.ocx]



EmptyPrefetch
EmptyFlash
EmptyClsid
FirewallRaz
EmptyTemp
HostFix
Ifeofix
Proxyfix
ShortcutFix
Sysrestore



Cliquer sur "Go" en bas, à gauche

Redémarrer pour achever le nettoyage.

Copier-coller,dans la réponse, le contenu du rapport ZHPFixReport.txt qui s'affiche .
Si besoin; il est enregistré sous C:\ZHP\ZHPFixReport.txt



Mises à jour Java et Flash:
Télécharger FlashPlayerUpdate.exe

Désactiver l'anti virus provisoirement.
Sous Windows Vista / 7 / 8 (clique-droit > exécuter en tant qu'administrateur


JavaUpdate de Pierre13
Désinstallation des anciennes versions ou corrompues si présentes.
Installation de la dernière version. (si l'utilisateur accepte)
Proposition de désactivation de la mise à jour auto(parce qu'il y a des indésirables qui seraient alors installés)

Java peut mettre en péril la sécurité de votre ordinateur.
Il vous est fortement conseillé de le désactiver de vos navigateurs WEB, si vous en avez pas l'utilité.
Lorsqu'une application Java se présentera, un message d'avertissement vous demandera d'installer Java ou d'activer le plug-in.
Vous le désactiverez dès que vous aurez fini d'utiliser l'application écrite en Java.

Télécharger SFTGC.exe
sur le Bureau, impérativement sous peine de risquer un plantage

Il peut être nécessaire de fermer ou désactiver tous les programmes Antivirus, Antispyware, Pare-feu actifs car ils pourraient perturber le fonctionnement de cet outil
Certains outils sont parfois detectés par votre Anti-virus ou votre Anti-Malware comme étant un "RiskTool", un virus ou un "Trojan", or ce n'est pas le cas.
Comment désactiver les protections résidentes
Bien évidemment, vous les rétablirez ensuite.

Sous XP, double cliquer sur le fichier.
Sous Vista/7/8, clic droit sur le fichier pour Exécuter en tant qu'administrateur.

Après l'initialisation, cliquer sur Gopour lancer le nettoyage.
Un rapport apparait sur le bureau
Les fichiers supprimés sont dans la corbeille.
Cela donne la possibilité de replacer les fichiers supprimés par erreur dans leur dossier original.
Il suffit de faire un clic droit sur le fichier concerné => Restaurer.
Pour les supprimer, clic droit sur la corbeille => Vider la corbeille.

Comment poster les rapports
Aller sur le site :Ci-Joint
Appuyez sur Parcourir et chercher les rapports sur le disque,
Cliquer sur Ouvrir
Cliquer sur Créer le lien CJoint,
>> dans la page suivante --> ,,
une adresse http//.. sera créée
Copier /coller cette adresse dans votre prochain message.

[tisouit]

Merci Pear.

 

Voila le rapport de zhpfix : http://cjoint.com/?DHfbPmA9iNu

 

je repasse un coup de Malwarebytes apres et il me trouve un trojan banker et banload + des trojan "agent" ...

voici le rapport : http://cjoint.com/?DHfb75bbgjl

[pear]

Relancez Mbam.

 

Si des éléments sont détectés
cliquez sur Appliquer les actions pour que MBAM nettoye ce qu'il a détecté.
Dans la plupart des cas, un redémarrage sera nécessaire.
Attendez l'affichage du message vous invitant à faire redémarrer le PC, puis cliquez sur Oui

Après le redémarrage, quand vous êtes de retour sur le Bureau, ouvrez de nouveau MBAM.
Cliquez sur l'onglet Historique > Journaux de l'application.
Faites un double clic sur le Journal d'examen dont les date et heure correspondent à l'analyse qui vient d'être effectuée.
Cliquez sur Afficher puis Copier dans le Presse-papiers

les rapports sont également stockés dans l'emplacement suivant par défaut:
pour Vista/Win7/8 : C:\ProgramData\Malwarebytes\Malwarebytes Anti-Malware\Logs
pour Windows XP : C:\Documents et Settings\All Users\Application Malwarebytes Malwarebytes Anti-Malware\Logs
(Copier dans le Presse-papiers pour coller dans une réponse sur le forum)

Aller sur le site :Ci-Joint
Appuyez sur Parcourir et chercher les rapports sur le disque,
Cliquer sur Ouvrir
Cliquer sur Créer le lien CJoint,
>> dans la page suivante --> ,,
une adresse http//.. sera créée
Copier /coller cette adresse dans votre prochain message.

[tisouit]

Toujours present .... D'autres sont apparus, notamenent un "sality". Je me demande s'il n'y a pas trop de ports ouverts.. Le logiciel "Ares" est utilise pour des telechargement. Ca pourrais venir de la non ?

[pear]

 

Le logiciel "Ares" est utilise pour des telechargement. Ca pourrais venir de la non ?

Très possible.

Voyez là:

http://www.sosvirus.net/ares-exe-suspect-9dc5a1e52e3b-t68074.html

 

 

Combofix est un logiciel très puissant qui ne doit pas être utilisé sans une aide compétente sous peine de risquer des dommages irréversibles.

Veuillez noter que ce logiciel est régulièrement mis à jour et que la version téléchargée sera obsolète dans quelques jours.

Télécharger combofix.exe de Subs

 

et sauvegardez le sur le bureau

 

 

Fermez ou désactivez tous les programmes Antivirus, Antispyware, Pare-feu actifs car ils pourraient perturber le fonctionnement de cet outil

Pour cela:

Démarrer->Exécuter->Msconfig->Démarrage : décochez les protections Antivirus, Antispyware,Teatimer etc..

 

Cela est absolument nécessaire au succès de la procédure.

Bien évidemment, vous les rétablirez ensuite.

 

 

2)Vous avez téléchargé Combofix.

Double cliquer sur combofix.exe pour le lancer.

Ne pas fermer la fenêtre qui vient de s'ouvrir , le bureau serait vide et cela pourrait entraîner un plantage du programme!

Pour lancer le scan

Connecter tous les disques amovibles (disque dur externe, clé USB…).

Taper sur la touche 1 pour démarrer le scan.

Si pour une raison quelconque, combofix ne se lançait pas,

Sous Vista et +, désactivez l'UAC

Démarrez en mode sans échec, choisissez le compte Administrateur, lancez Combofix

Lorsque ComboFix tourne, ne touchez plus du tout à votre ordinateur, vous risqueriez de planter le programme.

 

Le scan pourrait prendre un certain temps, il y a 50 procédures successives:

Patientez au moins 30 minutes pendant l'analyse.

Si le programme gèle (+ de 30 minutes), fermez le en cliquant le "X" au haut à droite de la fenêtre.

A la fin,,un rapport sera généré

Il se trouve à c:\combofix.txt

 

Comment poster les rapports

Copiez/collez tout ou partie des rapports dans un ou plusieurs messages.

Autre solution à privilégier pour un rapport lourd

Aller sur le site :Ci-Joint

Appuyez sur Parcourir et chercher les rapports sur le disque,

Cliquer sur Ouvrir

Cliquer sur Créer le lien CJoint,

>> dans la page suivante --> ,,

une adresse http//.. sera créée

Copier /coller cette adresse dans votre prochain message.

 

 

 

 

Modifié le 13 août 2014 par pear