[Résolu] Infection possible

[latuile]

Bonjour,

 

Une amie m'a demandé de regarder son pc portable et de lui installer le programme Irfarview.

 

tout a bien marché jusqu'au moment ou j'ai voulu lui installer ce truc mais, a à partir de là, tout un tas de cochonneries ce sont installés sans que je les vois arriver seul avast criait au secours.

J'ai donc désinstaller ces bestioles par les moyens habituels puis je l'ai téléchargé sur un autre site et recommencé l'opération et là tout a bien fonctionné, je pense qu'il doit bien rester des traces c'est pourquoi je demande de l'aide.

 

Voici le rapport de l'outil ZHDIAG

 

Par avance merci

 

.http://cjoint.com/?3AloQaJ9ZTB

 

 

Modifié le 14 janvier 2015 par latuile

[Apollo]

Bonjour,

 

Quels sont les outils que tu as utilisé? Poste leurs rapports stp.

 

1) ZHPFix :

• Ferme toutes les applications ouvertes
• Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau

  Important:

  Sous Vista et Windows 7/8 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur.

• Copie les lignes ci-dessous dans la fenêtre

sauf le mot citation.

 

Script ZhpFix

O4 - HKCU\..\Run: [selection Tools] C:\Users\Karine\AppData\Roaming\WTools\Selection Tools\Selection Tools.exe (.not file.)

O4 - HKUS\S-1-5-21-4200664767-2084110304-3739681903-1001\..\Run: [selection Tools] C:\Users\Karine\AppData\Roaming\WTools\Selection Tools\Selection Tools.exe (.not file.)

O23 - Service: SU Service component (serversu) . (...) - C:\Users\Karine\AppData\Roaming\SoftwareUpdater\SUsrv.exe (.not file.)

[MD5.258BC77AC7FF337FEC01877939A7368F] [APT] [VLQRJ] (.HQ-Video2.5dV11.01.) -- C:\Users\Karine\AppData\Roaming\VLQRJ.exe [2007520]

[MD5.00000000000000000000000000000000] [APT] [{9DB512D2-632C-48BD-8CA1-1974D9F41A0A}] (...) -- C:\Users\Karine\AppData\Roaming\mystartsearch\UninstallManager.exe (.not file.) [0]

[HKCU\Software\Super Optimizer]

[HKLM\Software\Wow6432Node\417f14e9-63c1-59d3-7ba0-4550d4db96bd]

[HKLM\Software\Wow6432Node\IHProtect]

C:\Users\Karine\AppData\Roaming\SoftwareUpdater

O61 - LFC: 11/01/2015 - 14:04:16 ---A- . (...) -- C:\Users\Karine\AppData\Local\Temp\n6437\MyStartSeach_29_12-55037c5a.exe [212520]

O61 - LFC: 11/01/2015 - 14:04:16 ---A- . (...) -- C:\Users\Karine\AppData\Local\Temp\n6437\VOPackage.exe [332656]

O61 - LFC: 11/01/2015 - 14:04:16 ---A- . (.ClaraLabs.) -- C:\Users\Karine\AppData\Local\Temp\n6437\BoBrowser04_12-6c3841b8.exe [874616]

O61 - LFC: 11/01/2015 - 14:04:16 ---A- . (.Super PC Tools Ltd.) -- C:\Users\Karine\AppData\Local\Temp\n6437\SuperOptimizerInstaller.exe [6805520]

O61 - LFC: 11/01/2015 - 14:04:16 ---A- . (.globalUpdate.) -- C:\Users\Karine\AppData\Local\Temp\comh.242687\GoogleCrashHandler.exe [72872]

O61 - LFC: 11/01/2015 - 14:04:16 ---A- . (.globalUpdate.) -- C:\Users\Karine\AppData\Local\Temp\comh.242687\GoogleUpdate.exe [68608]

O61 - LFC: 11/01/2015 - 14:04:16 ---A- . (.globalUpdate.) -- C:\Users\Karine\AppData\Local\Temp\comh.242687\GoogleUpdateBroker.exe [46080]

O61 - LFC: 11/01/2015 - 14:04:16 ---A- . (.globalUpdate.) -- C:\Users\Karine\AppData\Local\Temp\comh.242687\GoogleUpdateOnDemand.exe [46080]

O61 - LFC: 11/01/2015 - 14:04:16 ---A- . (.globalUpdate.) -- C:\Users\Karine\AppData\Local\Temp\comh.242687\goopdate.dll [761856]

O61 - LFC: 11/01/2015 - 14:04:16 ---A- . (.globalUpdate.) -- C:\Users\Karine\AppData\Local\Temp\comh.242687\goopdateres_en.dll [26792]

O61 - LFC: 11/01/2015 - 14:04:16 ---A- . (.globalUpdate.) -- C:\Users\Karine\AppData\Local\Temp\comh.242687\npGoogleUpdate4.dll [220672]

O61 - LFC: 11/01/2015 - 14:04:16 ---A- . (.globalUpdate.) -- C:\Users\Karine\AppData\Local\Temp\comh.242687\psmachine.dll [155648]

O61 - LFC: 11/01/2015 - 14:04:16 ---A- . (.globalUpdate.) -- C:\Users\Karine\AppData\Local\Temp\comh.242687\psuser.dll [155648]

O61 - LFC: 11/01/2015 - 14:04:17 ---A- . (.Fuyu LIMITED.) -- C:\Users\Karine\AppData\Local\Temp\~dl4B1\~dljyb\tmp\wpm_v20.0.0.1337.exe [473088]

O61 - LFC: 11/01/2015 - 14:04:17 ---A- . (.HQ-Video2.5dV11.01.) -- C:\Users\Karine\AppData\Roaming\VLQRJ.exe [2007520]

O61 - LFC: 11/01/2015 - 14:04:17 ---A- . (.XTab.) -- C:\Users\Karine\AppData\Local\Temp\~dl4B1\~dljyb\tmp\STab_v4.0.exe [2611776]

[MD5.258BC77AC7FF337FEC01877939A7368F] [sPRF][11/01/2015] (.HQ-Video2.5dV11.01 - HQ-VidPro-2.5V11.01 exe.) -- C:\Users\Karine\AppData\Roaming\VLQRJ.exe [2007520]

SS - | Auto 10/07/1658 0 | (serversu) . (...) - C:\Users\Karine\AppData\Roaming\SoftwareUpdater\SUsrv.exe

[HKLM\SYSTEM\CurrentControlSet\Services\serversu]

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:Selection Tools

C:\Users\Karine\AppData\Roaming\VLQRJ.exe

 

 

EmptyClsid

Ifeofix

Proxyfix

FirewallRaz

ShortcutFix

EmptyPrefetch

emptytemp

emptyflash

Cliquer sur IMPORTER., cela devrait coller le contenu du presse papier dans la fenêtre ZHPFix.

• Le script doit automatiquement apparaitre dans ZHPFix.

   

  Clique sur le bouton GO pour lancer le nettoyage

• Valide par Oui la désinstallation des programmes si demandé.
• Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC
• Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.

  Le rapport ZHPFixReport.txt est enregistré sous C:\ZHP\ZHPFix.txt

Si le Bureau ne réapparaît pas presse Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , tape explorer.exe et valide.

 

--------------------------------------

2) Télécharger ZHPcleaner de Nicolas Coolman: http://www.nicolascoolman.fr/download/zhpcleaner/ sur le bureau.

 

Il ne nécessite aucune installation.

 

Le lancer par double-clic sous XP et par clic droit/exécuter en temps qu'administrateur sous Windows Vista/7/8.

 

Cliquer sur Scanner puis sur Réparer.

 

Le rapport de réparation sera généré sur le bureau: poste-le dans ta réponse stp.

 

 

@++

 

 

++

[latuile]

 

Bonsoir Apollo,

 

Merci de prendre en charge mon problème.

 

J'avais passé adwcleaner avant d'avoir l'idée de poster le rapport ZHPDIAG

 

Je t'envoi les rapports demandés que j'ai réalisé hier mais j'ai pas eu l'occasion de tes les faire parvenir.

 

Rapport de ZHPFix 2014.10.24.12 par Nicolas Coolman, Update du 24/10/2014

Fichier d'export Registre :

Run by Karine at 11/01/2015 21:44:05

High Elevated Privileges : OK

Windows 7 Business Edition, 64-bit Service Pack 1 (Build 7601)

Corbeille vidée (00mn 04s)

Dossier Prefetcher vidé

Réparation des raccourcis navigateur

========== Clés du Registre ==========

SUPPRIMÉ: HKCU\Software\Super Optimizer

SUPPRIMÉ: HKLM\Software\Wow6432Node\IHProtect

Branche de Base de Registres IFEO non infectée !

========== Valeurs du Registre ==========

ProxyFix : Configuration proxy supprimée avec succès

SUPPRIMÉ ProxyServer Value

SUPPRIMÉ ProxyEnable Value

SUPPRIMÉ EnableHttp1_1 Value

SUPPRIMÉ ProxyHttp1.1 Value

SUPPRIMÉ ProxyOverride Value

Aucune Valeur Standard Profile: FirewallRaz :

Aucune Valeur Domain Profile: FirewallRaz :

========== Dossiers ==========

Aucun dossiers CLSID Local utilisateur vide

SUPPRIMÉS Temporaires Windows (28)

SUPPRIMÉS Flash Cookies (0)

========== Fichiers ==========

SUPPRIMÉ: c:\users\karine\appdata\local\temp\n6437\mystartseach_29_12-55037c5a.exe

SUPPRIMÉ: c:\users\karine\appdata\local\temp\n6437\vopackage.exe

SUPPRIMÉ: c:\users\karine\appdata\local\temp\n6437\bobrowser04_12-6c3841b8.exe

SUPPRIMÉ: c:\users\karine\appdata\local\temp\n6437\superoptimizerinstaller.exe

SUPPRIMÉ: c:\users\karine\appdata\local\temp\comh.242687\googlecrashhandler.exe

SUPPRIMÉ: c:\users\karine\appdata\local\temp\comh.242687\googleupdate.exe

SUPPRIMÉ: c:\users\karine\appdata\local\temp\comh.242687\googleupdatebroker.exe

SUPPRIMÉ: c:\users\karine\appdata\local\temp\comh.242687\googleupdateondemand.exe

SUPPRIMÉ: c:\users\karine\appdata\local\temp\comh.242687\goopdate.dll

SUPPRIMÉ: c:\users\karine\appdata\local\temp\comh.242687\goopdateres_en.dll

SUPPRIMÉ: c:\users\karine\appdata\local\temp\comh.242687\npgoogleupdate4.dll

SUPPRIMÉ: c:\users\karine\appdata\local\temp\comh.242687\psmachine.dll

SUPPRIMÉ: c:\users\karine\appdata\local\temp\comh.242687\psuser.dll

SUPPRIMÉ: c:\users\karine\appdata\local\temp\~dl4b1\~dljyb\tmp\wpm_v20.0.0.1337.exe

SUPPRIMÉ: c:\users\karine\appdata\roaming\vlqrj.exe

SUPPRIMÉ: c:\users\karine\appdata\local\temp\~dl4b1\~dljyb\tmp\stab_v4.0.exe

SUPPRIMÉS Temporaires Windows (162) (110 183 683 octets)

SUPPRIMÉS Flash Cookies (0) (0 octets)

========== Tache planifiée ==========

SUPPRIMÉ: VLQRJ

SUPPRIMÉ: VLQRJ

SUPPRIMÉ: {9DB512D2-632C-48BD-8CA1-1974D9F41A0A}

========== Récapitulatif ==========

3 : Clés du Registre

8 : Valeurs du Registre

3 : Dossiers

18 : Fichiers

3 : Tache planifiée

End of clean in 00mn 10s

========== Chemin de fichier rapport ==========

C:\Users\Karine\AppData\Roaming\ZHP\ZHPFix[R1].txt - 11/01/2015 21:44:09 [2682]

 

celui de ZHPCleaner:

 

~ ZHPCleaner v2015.1.11.15 by Nicolas Coolman (11/01/2015)

~ Run by Karine (Administrator) (11/01/2015 21:55:24)

~ Forum : http://forum.nicolascoolman.fr

~ Facebook : https://www.facebook.com/nicolascoolman1

~ State version : Version OK

~ Type : Réparer

~ Report : C:\Users\Karine\Desktop\ZHPCleaner.txt

~ Quarantine : C:\Users\Karine\AppData\Roaming\ZHP\ZHPCleaner_Quarantine.txt

~ UAC : Activate

~ Windows 7, 64-bit Service Pack 1 (Build 7601)

---\\ Service. (0)

~ Aucun élément malicieux trouvé.

---\\ Navigateur internet. (0)

~ Aucun élément malicieux trouvé.

---\\ Fichier hôte. (1)

~ Le fichier hôte est légitime. (21)

---\\ Tâche planifiée. (0)

~ Aucun élément malicieux trouvé.

---\\ Explorateur ( Dossiers, Fichiers ). (0)

~ Aucun élément malicieux trouvé.

---\\ Base de Registres ( Clés, Valeurs, Données ). (1)

SUPPRIMÉ donnée: HKCR\htmlfile\Shell\Open\Command\\Default [bad : "C:\Program Files\Internet Explorer\iexplore.exe" %1] (Broken.OpenCommand)

 

---\\ Bilan de la réparation

~ Réparation réalisée avec succès.

~ Ce navigateur est absent (Google Chrome)

~ Ce navigateur est absent (Mozilla Firefox)

~ Ce navigateur est absent (Opera Software)

---\\ Statistiques

~ Items scannés : 44141

~ Items trouvés : 0

~ Items réparés : 1

End of clean at 21:58:50

===================

ZHPCleaner-[R]-11012015-21_58_50.txt

ZHPCleaner--11012015-21_53_38.txt

 

[Apollo]

Bonsoir,

 

Si cela n'a pas été fait,

 

Télécharge Junkware Removal Tool sur le bureau: http://www.bleepingcomputer.com/download/junkware-removal-tool/

 

 

Site éditeur: http://thisisudax.org/

 

 

Sous XP, double-clique sur l'icône et presse une touche lorsque cela sera demandé.

 

Sous Vista/7/8, clic droit/exécuter en temps qu'administrateur.

 

L'outil peut demander si on souhaite vérifier la présence d'une nouvelle version Y/N >> taper Y.

S'il découvre une version obsolète, il le dira et devrez presser une touche. L'outil se fermera. Mettez-le à la corbeille et téléchargez la dernière version.

 

Renomme JRT_NEW en JRT.

 

Si c'est déjà la bonne version , il commencera sa recherche de malwares normalement. Patience svp.

 

 

Afin de ne pas fausser les rapports, ne passer l'outil qu'une seule fois svp!

 

 

Si l'antivirus fait des siennes: désactive-le provisoirement. Si tu ne sais pas comment faire, reporte-toi à cet article.

 

Poste le rapport généré à la fin de l'analyse.

 

NB: Le bureau disparaitra un instant, c'est normal.

 

>>>Si le rapport est long, l'héberger ici: http://cjoint.com ou http://dl.free.fr/

 

 

 

@++

[latuile]

Bonjour Apollo,

 

Voici le rapport JRT il n'est pas très long

Merci.

a+

 

 

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Junkware Removal Tool (JRT) by Thisisu
Version: 6.4.1 (12.28.2014:1)
OS: Windows 7 Professional x64
Ran by Karine on 13/01/2015 at 15:54:56,25
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

 

~~~ Services

 

~~~ Registry Values

 

~~~ Registry Keys

 

~~~ Files

 

~~~ Folders

 

~~~ Event Viewer Logs were cleared

 

 

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan was completed on 13/01/2015 at 15:59:39,92
End of JRT log
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

[Apollo]

Le pc semble propre, comment se comporte-t-il?

 

Fais ceci: http://theknitter-apollo.xooit.com/t2957-A-verifier-de-tempes-en-temps-important.htm

 

Après ça, refais un scan avec ZhpDiag.

 

@++

[latuile]

Bonsoir Apollo,

 

Le pc semble bien fonctionner.

 

par contre impossible de coller le lien du rapport crée dans cjoint.com j'ai pourtant tout essayé.

 

je vais retenter de le faire plus tard.

 

a+

[latuile]

Je refais un essai

 

http://cjoint.com/?3AnvdZIsYNj

[Apollo]

Bonsoir,

 

Parfait, ça semble bon; si tout va bien,

 

Désinstaller les outils spéciaux.

 

Télécharge DelFix sur ton bureau. http://general-changelog-team.fr/fr/outils/26-delfix

Lance-le et coche "Supprimer les outils de désinfection". >> Exécuter.

 

NB, tu peux également cocher la case "Purger la restauration système", un nouveau point sera automatiquement créé. Conseillé quand le pc est désinfecté.

 

 

Delfix s'autodétruira ensuite.

• Pense à éditer ton premier post pour ajouter "Résolu" devant le titre. Pour cela clique sur "Modifier" dans ton premier post. Tu pourras alors changer le titre.

Utilise pour ça, l'éditeur complet

 

 

@++

[latuile]

Bonjour Apollo,

 

Merci de m'avoir aidé

 

Je fais les manips demandés et je marque résolu.

 

encore merci et a+