Pb virus - aidez moi svp
Forum Sécurité - Virus : Pb virus - aidez moi svp
bonsoir
| Citation : PS : je suis debutante en informatique |
ce n'est pas un problème, suis à la lettre les recommendations que l'on te donnera. 
1
Télécharger Rooter.exe sur ton bureau
Double clique dessus et poste le rapport ( %Systemdrive%\Rooter.txt )
2
Télécharge puis installe Hijackthis (Trend Micro)
Poste ensuite un rapport dans ta prochaine réponse.
AIDE : Comment utiliser Hijackthis v2.0.2
/!\Marre de la pub: Firefox sécurisé/!\
Répondre à Sham_Rock
re
tu es vraiment bien infecté...
1
désactive le module self defense d'avast avant de faire ce qui suit:
Clic-droit sur l'icône d'Avast! près de l'horloge >> "Réglages du programme..."
- Option "Dépannage" (au bas à gauche)
- Cocher "Désactiver le module self-defense d'avast!" >> "Ok"
2
Télécharge ComboFix de sUBs :
ComboFix.exe
et sauvegarde le sur ton bureau et pas ailleurs!
Double-clic sur ComboFix, Il va te poser une question, suis les invites puis attends que combofix ait terminé, il est possible que ton PC reboot, c’est normal, un rapport sera créé.Poste le rapport
\Combofix.txt
clique dessus pour l'ouvrir, puis édition "sélectionner tout", édition "copier"
viens sur le forum et édition "coller"
AIDE : Un guide et un tutoriel sur l'utilisation de ComboFix
* le nom de la partition peut changer
/!\Marre de la pub: Firefox sécurisé/!\
Répondre à Sham_Rock
Bonsoir
désolé, j'étais absent tout le week end...
Copie (Ctrl+C) le texte ci-dessous :
Driver::
|
Ouvre le Bloc-Notes puis colle (Ctrl+V) le texte que tu viens de copier.
Sauvegarde ce fichier sous le nom de CFScript.txt
Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture
- Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.
- Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
- Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
- Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt
/!\Marre de la pub: Firefox sécurisé/!\
Répondre à Sham_Rock
bonsoir
1
Copie (Ctrl+C) le texte ci-dessous :
File::
|
Ouvre le Bloc-Notes puis colle (Ctrl+V) le texte que tu viens de copier.
Sauvegarde ce fichier sous le nom de CFScript.txt
Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture
- Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.
- Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!
Ne touche à rien tant que le scan n'est pas terminé.
- Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
- Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt
2
~Fais une analyse antivirus en ligne sur le site de Kaspersky
http://www.kaspersky.com/kos/eng/p [...] bscan.html
* Clique sur Accept
* Une barre jaune va te demander si tu acceptes d'installer le Kavwebscan_Unicode.cab, installe l'Active X.
* clique une nouvelle fois sur "Accept"
* Les bases de mises à jour vont s'installer, patiente un moment
* Clique sur Next.
* Clique sur My Computer, le scan se met en route; attends la fin du scan sans fermer la fenêtre sinon il s'arrêtera.
* Poste le rapport de scan.
/!\Marre de la pub: Firefox sécurisé/!\
Répondre à Sham_Rock
Bonsoir,
voici le log de ComboFix :
ComboFix 08-12-12.02 - mumu 2008-12-16 15:19:19.3 - NTFSx86
Microsoft Windows XP Professionnel 5.1.2600.0.1252.1.1036.18.479.150 [GMT -5:00]
Running from: d:\documents and settings\mumu\Bureau\Combo-Fix.exe
Command switches used :: d:\documents and settings\mumu\Bureau\CFScript.txt
* Created a new restore point
[COLOR=RED][B]WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !![/B][/COLOR]
FILE ::
d:\windows\system32\fihlayga.ini
d:\windows\system32\ieymryfh.ini
d:\windows\system32\pankmayp.ini
d:\windows\system32\sssxjjlm.ini
d:\windows\system32\wqqnftpo.ini
d:\windows\TEMP\OLD7.tmp
.
((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))
.
D:\VundoFix Backups
d:\windows\system32\fihlayga.ini
d:\windows\system32\ieymryfh.ini
d:\windows\system32\pankmayp.ini
d:\windows\system32\sssxjjlm.ini
d:\windows\system32\wqqnftpo.ini
.
((((((((((((((((((((((((( Files Created from 2008-11-16 to 2008-12-16 )))))))))))))))))))))))))))))))
.
2008-12-15 10:40 . 2008-12-15 10:40 <REP> d-------- d:\program files\Avira
2008-12-15 10:40 . 2008-12-15 10:40 <REP> d-------- d:\documents and settings\All Users\Application Data\Avira
2008-12-13 20:09 . 2008-12-13 20:09 54,156 --ah----- d:\windows\QTFont.qfn
2008-12-13 20:09 . 2008-12-13 20:09 1,409 --a------ d:\windows\QTFont.for
2008-12-11 21:23 . 2008-12-16 09:39 <REP> d-------- d:\windows\system32\CatRoot2
2008-12-11 16:52 . 2008-12-11 17:03 20,728 --a------ d:\windows\hpoins01.dat
2008-12-11 16:52 . 2002-12-02 19:11 16,622 --------- d:\windows\hpomdl01.dat
2008-12-04 13:36 . 2008-12-04 13:36 268 --ah----- D:\sqmdata04.sqm
2008-12-04 13:36 . 2008-12-04 13:36 244 --ah----- D:\sqmnoopt04.sqm
2008-11-30 15:50 . 2008-11-30 15:50 <REP> d-------- d:\program files\Calendrier
2008-11-30 15:50 . 2008-11-30 15:50 <REP> d-------- d:\documents and settings\mumu\Application Data\Calendrier Xtra
.
(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-12-14 15:46 --------- d-----w d:\documents and settings\mumu\Application Data\Skype
2008-12-14 14:48 --------- d-----w d:\documents and settings\mumu\Application Data\skypePM
2008-12-12 02:08 --------- d-----w d:\program files\Copernic Agent
2008-12-12 01:35 --------- d-----w d:\program files\eMule
2008-12-12 01:35 --------- d-----w d:\documents and settings\mumu\Application Data\LimeWire
2008-12-11 22:03 82,380 ----a-w d:\windows\system32\drivers\AFS2K.SYS
2008-12-09 22:26 --------- d-----w d:\program files\Java
2008-11-06 17:25 --------- d-----w d:\program files\LimeWire
2008-11-04 22:49 --------- d-----w d:\program files\Alwil Software
2008-10-27 19:47 --------- d-----w d:\program files\Skype
2008-10-27 19:47 --------- d-----w d:\program files\Fichiers communs\Skype
2008-10-27 19:47 --------- d-----w d:\documents and settings\All Users\Application Data\Skype
2008-10-16 19:13 202,776 ----a-w d:\windows\system32\wuweb.dll
2008-10-16 19:13 1,809,944 ----a-w d:\windows\system32\wuaueng.dll
2008-10-16 19:12 561,688 ----a-w d:\windows\system32\wuapi.dll
2008-10-16 19:12 323,608 ----a-w d:\windows\system32\wucltui.dll
2008-10-16 19:09 92,696 ----a-w d:\windows\system32\cdm.dll
2008-10-16 19:09 51,224 ----a-w d:\windows\system32\wuauclt.exe
2008-10-16 19:09 43,544 ----a-w d:\windows\system32\wups2.dll
2008-10-16 19:08 34,328 ----a-w d:\windows\system32\wups.dll
2008-08-30 21:08 560 ----a-w d:\documents and settings\mumu\Application Data\ViewerApp.dat
2008-05-15 17:18 47,735 ----a-w d:\documents and settings\mumu\Application Data\mdbu.bin
2008-05-04 20:45 30,528 ----a-w d:\documents and settings\mumu\Application Data\GDIPFONTCACHEV1.DAT
2007-02-11 22:42 23,328 --sha-w d:\windows\fidbox.dat
.
((((((((((((((((((((((((((((( snapshot@2008-12-16_ 9.36.33.45 )))))))))))))))))))))))))))))))))))))))))
.
- 2008-12-16 14:32:32 16,384 ----a-w d:\windows\system32\config\systemprofile\Cookies\index.dat
+ 2008-12-16 15:22:19 16,384 ----a-w d:\windows\system32\config\systemprofile\Cookies\index.dat
- 2008-12-16 14:32:32 16,384 ----a-w d:\windows\system32\config\systemprofile\Local Settings\Historique\History.IE5\index.dat
+ 2008-12-16 15:22:19 16,384 ----a-w d:\windows\system32\config\systemprofile\Local Settings\Historique\History.IE5\index.dat
- 2008-12-16 14:32:32 32,768 ----a-w d:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat
+ 2008-12-16 15:22:19 32,768 ----a-w d:\windows\system32\config\systemprofile\Local Settings\Temporary Internet Files\Content.IE5\index.dat
+ 2008-12-16 15:22:31 16,384 ----atw d:\windows\Temp\Perflib_Perfdata_7a0.dat
.
((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"QuickTime Task"="d:\program files\QuickTime\qttask.exe" [2006-09-01 282624]
"avgnt"="d:\program files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="d:\windows\System32\CTFMON.EXE" [2001-10-08 13312]
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus]
"DisableMonitoring"=dword:00000001
R0 avgntmgr;avgntmgr;d:\windows\System32\DRIVERS\avgntmgr.sys [2008-12-15 22336]
R1 avgntdd;avgntdd;d:\windows\System32\DRIVERS\avgntdd.sys [2008-12-15 45376]
.
.
------- Supplementary Scan -------
.
uStart Page = hxxp://www.yahoo.fr/
Handler: copernicagent - {A979B6BD-E40B-4A07-ABDD-A62C64A4EBF6} - d:\progra~1\COPERN~1\COPERN~1.DLL
Handler: copernicagentcache - {AAC34CFD-274D-4A9D-B0DC-C74C05A67E1D} - d:\progra~1\COPERN~1\COPERN~1.DLL
.
**************************************************************************
catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-16 15:31:39
Windows 5.1.2600 NTFS
scanning hidden processes ...
scanning hidden autostart entries ...
scanning hidden files ...
scan completed successfully
hidden files: 0
**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------
- - - - - - - > 'winlogon.exe'(816)
d:\windows\system32\ODBC32.dll
d:\windows\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.0.0_x-ww_1382d70a\comctl32.dll
- - - - - - - > 'lsass.exe'(872)
d:\windows\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.0.0_x-ww_1382d70a\comctl32.dll
d:\windows\system32\dssenh.dll
.
Completion time: 2008-12-16 15:32:46
ComboFix-quarantined-files.txt 2008-12-16 20:32:34
ComboFix2.txt 2008-12-16 14:37:21
ComboFix3.txt 2008-12-13 01:09:43
Pre-Run: 770ÿ154ÿ496 octets libres
Post-Run: 750,755,840 octets libres
121 --- E O F --- 2008-11-03 19:06:58
Puis celui de Kaspersky :
--------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER 7 REPORT
Tuesday, December 16, 2008
Operating System: Microsoft Windows XP Professional (build 2600)
Kaspersky Online Scanner 7 version: 7.0.25.0
Program database last update: Tuesday, December 16, 2008 17:52:49
Records in database: 1466314
--------------------------------------------------------------------------------
Scan settings:
Scan using the following database: extended
Scan archives: yes
Scan mail databases: yes
Scan area - My Computer:
C:\
D:\
E:\
Scan statistics:
Files scanned: 47735
Threat name: 7
Infected objects: 8
Suspicious objects: 0
Duration of the scan: 01:53:02
File name / Threat name / Threats count
D:\Program Files\IncrediMail\bin\IncrediMail_Install.exe Infected: not-a-virus
ownloader.Win32.ImLoader.e 1
D:\Qoobox\Quarantine\D\WINDOWS\system32\agyalhif.dll.vir Infected: Packed.Win32.PolyCrypt.d 1
D:\Qoobox\Quarantine\D\WINDOWS\system32\ayiapeev.dll.vir Infected: Packed.Win32.PolyCrypt.d 1
D:\Qoobox\Quarantine\D\WINDOWS\system32\drivers\TDSSrfdt.sys.vir Infected: Backdoor.Win32.TDSS.bkw 1
D:\Qoobox\Quarantine\D\WINDOWS\system32\TDSSckvg.dll.vir Infected: Backdoor.Win32.TDSS.atb 1
D:\Qoobox\Quarantine\D\WINDOWS\system32\TDSSedwv.dll.vir Infected: Backdoor.Win32.TDSS.blh 1
D:\Qoobox\Quarantine\D\WINDOWS\system32\TDSSeuaq.dll.vir Infected: Trojan.Win32.Agent.arvz 1
D:\Qoobox\Quarantine\D\WINDOWS\system32\TDSSurgi.dll.vir Infected: Backdoor.Win32.TDSS.asz 1
The selected area was scanned.
bonsoir
Désinstalle combofix en suivant cette procédure:
- Menu démarrer puis exécuter
- Tape maintenant Combofix /u dans la fenêtre que apparaît puis valide par OK. Veille à bien laisser un espace entre le X et le /U, car cela est nécessaire ici.
d'autres soucis?
/!\Marre de la pub: Firefox sécurisé/!\
Répondre à Sham_Rock
re
Supprime tous les programmes installés pour la désinfection.
Merci de consulter ce dossier (en pdf) pour en connaître davantage sur les risques du Net.
Si tu trouves ce document intéressant, n'hésite pas à le transmettre à tes contacts.
Si tu en as assez d'être assailli de publicités durant ta navigation, installe Firefox sécurisé avec les extensions noscript et AdBlock Plus.
~Edite ton premier message (en cliquant sur la gomme) et marque [résolu] dans le titre.
Si ton nom de session correspond à ton véritable nom, tu as la possibilité de le changer en éditant tes posts.
/!\Marre de la pub: Firefox sécurisé/!\
Répondre à Sham_Rock
