Virus dans system 32 [Résolu]

Salut,


on va s'occuper de cela ....


commence par ceci pour avoir un diagnostique complet du PC :



Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau :

-> http://telechargement.zebulon.fr/zhpdiag.html


!! déconnecte toi et ferme toutes tes applications en cours !!

> double-clique sur "ZHPDiag.exe" pour lancer l'installation de l'outil et laisse toi guider ( ne modifie pas les paramètres d'installe et coche bien la case "créer une icone sur le bureau" afin d'avoir les raccourcis "ZHPDiag" et "ZHPFix" ) .

> Lance ZHPDiag depuis le raccourci du bureau .

> Une fois ZHPDiag ouvert, clique sur le bouton "option" en haut sur la droite .
( celui avec le tournevis )

Une liste apparait dans l'encadré principal > vérifie que toutes les lignes soient bien cochées sauf les 045 et 061 ( important ! ) .

> Puis clique sur le bouton de "la loupe" pour lancer le scan .


Laisses travailler l'outil ...


> Une fois terminé , le rapport s'affiche : clique sur bouton "disquette" pour sauvegarder le rapport obtenu ...

Enregistres bien ZHPDiag.txt de façon à le retrouver facilement ( sur le bureau par exemple ).

( Sinon le rapport sera en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag )

Puis ferme le programme ...


> rends toi ensuite sur ce site : http://www.cijoint.fr/

Clique sur "parcourir" et va jusqu'au rapport que tu as sauvegardé .
Clique ensuite sur "cliquer ici pour déposer le fichier" et patiente ...
Une fois l'upload finit , un lien apparait > copie/colle le dans ta prochaine réponse stp ....

Merci de ton aide mais j'ai un problème:
Une fois les 3/4 du chargement de ZHPDiag, le message d'erreur suivant apparaît:

Violation d'accès à l'adresse 00404C04 dans le module 'ZHPDiag.exe'. Lecture de l'adresse 4A8DBCF8.

Et le scan ne continue plus...

EDIT: J'avais laissé le bloc note ouvert pour voir tes explication!

re,

désinstalle le en utilisant son utilitaire de désinstalle présent ici :

C:\Program files\ZHPDiag\Unins000.exe

supprime également le set-up que tu as téléchargé .


puis recommence depuis le dépard pour voir ... ( ferme bien toutes tes applications en cours avant de le lancer )

J'ai tout refait correctement mais le même message s'affiche.
Il bloque à "41 pilotes lancés au démarrage"

Voila:
http://www.cijoint.fr/cjlink.php?file=cj200910/cijiS9pv8n.txt

re,


très infecté !


y a du travail ! ....


/!\ N'entreprends rien avec le PC sans mon autorisation et suis à la lettre les procédures qui vont suivre .
Prends bien connaisance de l'ensemble de ces procédures avant de te lancer .
Si tu as un quelconque prb n' hésite pas à m'en faire part ( évite les prises de décision hasardeuses ) .
Ne pas utiliser ce PC autrement que pour venir ici poursuivre la désinfection .



commence par ceci dans l'ordre :


1- important !
Désactive la garde de SpywareTerminator ! Il risque de géner fortement la désinfection ...

Tu la ractivera une fois qu'on aura terminé toute la désinfection .

====================

2- Télécharge ToolBar S&D ( de Eric_71/Team IDN ) sur ton bureau :
http://eric.71.mespages.googlepages.com/ToolBarSD.exe

( Tuto : http://toolbarsd.googlepages.com/aideenimages )

!! Déconnecte toi et ferme toutes tes applications en cours le temps de la manipe !!

* Double-clique sur ToolBar SD.exe pour lancer l'outil et laisse toi guider ...
--> Tapes directement sur 2 ( option " suppression " ) puis tape sur [Entrée].

Le nettoyage commence .

! ne touche à rien lors de la suppression !

Un rapport sera généré à la fin du processus : poste son contenu dans ta prochaine réponse
pour analyse ...

( le rapport est en outre sauvegardé ici -> C:\TB.txt )


==================


3- Infecté par Navipromo .

-------------------------------------

Pour info,
Les programmes suivants installent cette infection :
- Funky Emoticons
- Games-Attack
- Original-Solitaire
- Go-Astro
- GoRecord
- HotTVPlayer
- Live-Player
- MailSkinner
- Messenger Skinner
- Instant Access
- InternetGameBox
- Sudoplanet
- WebMediaPlayer : sauf celui provenant du site suivant > http://www.azertysite.new.fr/

---------------------------------------

Télécharge Navilog1 sur ton bureau :

http://perso.orange.fr/il.mafioso/Navifix/Navilog1.exe

!! Déconnecte toi, désactive tes défenses ( anti-virus,anti-spyware ) et ferme bien toutes tes applications le temps de la manipe !!

Ensuite double clique sur navilog1.exe pour lancer l'outil .

Laisse-toi guider. Au menu principal, choisis 1 et valide .
(ne fais pas le choix 2 notre avis/accord) .

Patiente le temps du scan ...

> Si l'infection est bien détecté , il te sera peut-être demandé de redémarrer ton PC ( pour que l'outil puisse finir le nettoyage ) :
laisse l'outil le faire automatiquement . Si il ne redémarre pas de lui-même, redémarre ton PC manuellement (c'est important !) .

Note :
Si l'outil de demande d'effectuer la manipe en mode sans echec, fais le ( /!\ Ne jamais démarrer en mode sans échec via MSCONFIG /!\ ).


Patiente jusqu'au message :
*** Scan Terminé le ..... ***

Appuie sur une touche comme demandé, le bloc-note va s'ouvrir.
Copie-colle l'intégralité de son contenu dans ta prochaine réponse et attends la suite .

(Le rapport est en outre sauvegardé à la racine du disque "C\:cleanavi.txt" )


=============================


4- Refais un scan ZHPDiag, coche bien toutes les options ( sauf la 045 et 061 ), poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...

Voici le rapport de ToolBarSD:
http://www.cijoint.fr/cjlink.php?file=cj200910/cijSYvfKS2.txt

Celui de Navilog:
http://www.cijoint.fr/cjlink.php?file=cj200910/cijz9HPN4t.txt

Et ZHPDiag:
http://www.cijoint.fr/cjlink.php?file=cj200910/cij2V0JvHi.txt

Voila, et je me souviens que dans les fichiers apportant un infection, tu as parlé de Mail Skinner. Je crois que j'ai cela sur mon ordinateur. Je crois même qu'il à été installé avec Windows Live Messenger...

Encore une question (merci de ta patience^^):
J'ai un ami qui à fait une défragmentation de son ordinateur (Windows XP). Et une fois qu'il à redémarré son ordinateur il est passé à Windows 98... Depuis j'hésite à faire des défragmentations, surtout que mon système est instable car j'ai installé beaucoup de choses pour "transformer" son Windows XP en Vista...
Alors est-ce une bonne raison pour s'inquièter?

J'ai encore un autre ami... Lui, son Adobe Flash a été désinstallé. Et il n'arrive plus à installer la fameuse mise à jour, et l'ancienne version... Donc il ne peux plus voir de vidéos et de contenu flash sur internet...
J'ai éssayé de l'aider, mais rien y fait...
Le problème n'est pas là. Je possède aussi CCleaner. Et j'ai remarqué que dans les applications qu'il nettoyait, que "Flash" était coché... Donc depuis ce jour je n'ose plus lancer un CCleaner.
Est-ce aussi une raison de m'inquièter?

Merci pour tes réponses :)

Salut,

c'est très loin d'être finit !!!



on continue ... dans l'ordre :


1- utilise CCleaner :

Un tuto ( aide ):
http://perso.orange.fr/jesses/Docs/Logiciels/CCleaner.htm


---> Utilisation:
*Décocher dans le menu Options - sous-menu Avancé :
Effacer uniquement les fichiers, du dossier temp de Windows, plus vieux que 48 heures .

! déconnecte toi et ferme toutes applications en cours !

* va dans "nettoyeur" : fais -analyse- puis -nettoyage-
* va dans "registre" : fais -chercher les erreurs- et -réparer toutes les erreurs-
( plusieurs fois jusqu'à ce qu'il n'y est plus d'erreur ) .

========================

2- Télécharge Malwarebytes' :
ici http://www.commentcamarche.net/...
ou ici : http://www.malwarebytes.org/mbam.php

* Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'instale ) et mets le à jour .

(NB : S'il te manque "COMCTL32.OCX" lors de l'installe, alors télécharge le ici : http://www.malekal.com/download/comctl32.ocx )

* Potasse le tuto pour te familiariser avec le prg :
http://forum.pcastuces.com/sujet.asp?f=31&s=3
( cela dis, il est très simple d'utilisation ).

! Déconnecte toi et ferme toutes applications en cours !

* Lance Malwarebytes' .

Fais un examen dit "RAPIDE" .

--> Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
--> à la fin tu cliques sur "résultat" .
--> Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes', le dernier en date) pour analyse ...


=============================

3- Refais un scan ZHPDiag, coche bien toutes les options ( sauf la 041 , 045 et 061 ), poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...

Très bien.
Malwarebytes:
http://www.cijoint.fr/cjlink.php?file=cj200910/cijzEFkmYb.txt

ZHPDiag:
http://www.cijoint.fr/cjlink.php?file=cj200910/cijPnoyWfJ.txt

Par contre j'ai toujours les mêmes alertes comme quoi j'ai 6 virus dans system32...
ça vient de mon antivirus? Ou est-ce que ce sont des fichiers infectés?

re,


tu es toujours infecté ... reste encore pas mal de boulot ! ....



fais ceci dans l'ordre :



1- Utilsation de l'outil ZHPFix :

> Lance ZHPFix depuis le raccouci du bureau .

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

* Dans l'encadré principal ( qui est vierge ), copie/colle tout le texte qui se trouve sur cette page ( et rien d'autre ! ) :

> http://cjoint.com/data/kvrwFxaQVW.htm


Vérifie bien que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

* Puis clique sur le bouton [ OK ] .
> à ce moment là , il apparaitra au début de chaque ligne une petite case vide . Ne touche plus à rien !

!! Déconnecte toi, désactive tes défenses ( anti-virus,anti-spyware ) et ferme bien toutes autres applications ( navigateurs compris ) !!


* Clique sur le bouton [ Tous ] . Vérifies que toutes les lignes soient bien cochées .

* Enfin clique sur le bouton [ Nettoyer ] .


-> laisse travailler l'outil et ne touche à rien ...


-> Si il t'est demandé de redémarrer le PC pour finir le nettoyage , fais le !

Une fois terminé , un nouveau rapport s'affiche : poste le contenu de ce dernier dans ta prochaine réponse ...

( ce rapport est en outre sauvegardé dans ce dossier > C:\Program files\ZHPDiag\ZHPFixReport.txt )

Pense à réactiver tes défenses !...


============================


2- Refais un scan ZHPDiag, coche bien toutes les options ( sauf la 045 et 061 ), poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...

Voila le rapport de ZHPFix:
http://www.cijoint.fr/cjlink.php?file=cj200910/cij5emxhuZ.txt

Et celui de ZHPDiag (l'option 41 n'a pas voulu fonctionner...):
http://www.cijoint.fr/cjlink.php?file=cj200910/cijI4G0Erg.txt

Je savais que j'étais infecté mais pas à ce point O_o

bon ...


cela n'est pas concluant à 100 % .... on va faire autrement ....



fais ce qui suit dans l'ordre :



1- Supprime tout ce qui se trouve dans la quarantaine de Malwarebytes .


===================

2- refait un coup de CCleaner ( registre compris )


===================


3- Télécharge ComboFix (de sUBs) sur ton Bureau (et pas ailleurs !):

http://download.bleepingcomputer.com/sUBs/ComboFix.exe


--------------------------------- [ ! ATTENTION ! ] ------------------------------------------
!! Déconnecte toi,ferme tes applications en cours ( ainsi que ton navigateur ) et DESACTIVE TOUTES TES DEFENSES (anti-virus, guarde anti spy-ware, pare-feu) le temps de la manipe :
en effet , activés, ils pourraient gêner fortement la procédure de recherche et de nettoyage de l'outil ( voir planter le PC )...Tu les réactiveras donc après !!
--->Important : si tu rencontres des difficultés à ce niveau là, fais m'en part avant de poursuivre ...
Tuto ( aide ) ici : http://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix
Note : pour XP, il est IMPERATIF d'installer la Console de Récupération de Windows si l'outil le demande ( voir tuto ci-dessus ).
--------------------------------------------------------------------------------------------

Ensuite :
> Double-clique sur l'icône "Combofix.exe" pour lancer l'outil .
> A la fenêtre "DISCLAIMER..." , clique sur "oui" et laisse travailler ...


-- Pour XP, l' installation de la Console de Récupération sera demandé :
* Laisse toi guider et fais l'installe de la "console de récupération" ( en anglais, "Windows Recovery Console" ) lorsque l'outil te le demandera ( important ! ).
image > http://img.photobucket.com/albums/v706/ried7/RcAuto1.gif
*Reconnecte toi avant de cliquer sur "yes", et uniquement le temps de cette manipulation.
*Une fois la console installée,
image > http://img.photobucket.com/albums/v706/ried7/whatnext.png
re-déconnecte toi avant de cliquer sur "yes" pour lancer le scan --


Notes importantes :
-> n'utilise pas ta souris ni ton clavier (ni un autre système de pointage) pendant que le programme tourne. Cela pourrait figer l'ordi .
-> Il se peut que le PC redémarre de lui même ( pour finaliser le nettoyage ) , laisse le faire .
-> Si l'outil t'anonce ceci : "combofix a détecté la présence de rootkit et a besoin de faire redémarer votre machine", tu acceptes ...
-> si un message d'erreur windows apparait à un momment : clique sur la croix rouge en haut à droite de la fenêtre pour la fermer ( et pas sur autre chose ! sinon pas de rapport ... )

Le rapport sera crée ici : C:\Combofix.txt

Réactive bien tes défenses .


Poste le rapport Combofix pour analyse et attends la suite ...

J'ai un problème...
J'ai désactivé mon pare feu, mon anti spyware, ma connection internet, et j'ai quité mon antivirus.
Pourtant, combo fix me dit que mon anti virus est encore actif...
Je n'arrive pas à le désactiver depuis le centre de sécurité...

re,

et j'ai quité mon antivirus.

"quitter" non ... désactiver !

et cela ne se fait depuis le centre de sécurité, mais depuis Nod ...

clique droit sur l'icone de se dernier présent en bas à droit dans la barre des taches / clique sur "désactiver la protection du systeme en temps réel" ... valide la modif ...



puis reprends Combo ...

C'est bon je l'ai fait...
Ensuite quand combo fix m'a demandé d'installer la consolle... J'ai essayé de réactiver ma connection internet, mais impossible...
J'ai donc tout quitté et j'ai redémarré mon ordi (comme indiqué dans le tuto)

Je trouve combo fix un peu dangereux, je préfère en rester là si tu n'y vois pas d'inconvénients...
Ou alors si il existe une technique un peu moins risquée, je suis preneur.
Mais si tu n'a pas de soluce de secours, je te remercie pour les efforts que tu as fournis, mon ordi est un peu désinfecté, pas totalement mais c'est mieux qu'avant!

re,

Je trouve combo fix un peu dangereux, je préfère en rester là si tu n'y vois pas d'inconvénients...


> surement pas !!!!


mon ordi est un peu désinfecté,

> non , pas du tout !!! d'ici deux trois reboot , se sera encore pire qu'avant ...


donc tu fais Combo et tu poste le rapport .... merci !!!




Ensuite quand combo fix m'a demandé d'installer la consolle... J'ai essayé de réactiver ma connection internet, mais impossible...

donc ne la coupe pas dés le départ , tu la couperas uniquement une fois la console de récupe installés et avant de lancer le scan ...

Bon voila:
http://www.cijoint.fr/cjlink.php?file=cj200910/cijdMKDYlE.txt

Par contre une fois la console de récupération installée, je n'ai pas pu désactiver ma connection internet...

Ensuite, une fois que l'ordinateur à redémarré, NOD et Spiware terminator ce sont lancés... Aïe!
Et un message d'erreur comme quoi un fichier se trouvant dans Windows/system était introuvable (fichier que ComboFix à supprimé...)

Et j'ai aussi remarqué que les fichiers que Combo à supprimé étaient les mêmes que ceux que NOD me signalait...
Alors la question évidente que je me pose:
Pourquoi ne pas avoir supprimé ces virus avec NOD???

Indique moi la suite des opérations^^

la suite :


1-Créer un doc texte sur ton bureau :
pointe ta souris sur ton bureau , clique droit : va dans "nouveau" et choisis "document texte" .

Ensuite copie/colle le texte ci-dessous ( et rien d'autre!) dans le fichier texte que tu viens de créer :


File::
c:\docume~1\BOUTTE~1\LOCALS~1\Temp\lac97inf.sys

Driver::
lac97inf



Puis va dans "fichier" et choisis "enregistrer sous ..." et tu le nommes exactement ainsi :
CFScript puis valide ...


2-Nettoyage :

!! Déconnecte toi, ferme toutes tes applications et désactive TOUTES TES DEFENSES ( tu les réactiveras après ) !!

--->Sur ton bureau, fais glisser avec ta souris le fichier CFScript sur l'icône de ComboFix.exe .

(Regarde ici : http://img.photobucket.com/albums/v666/sUBs/CFScript.gif )

Cette manipulation va relancer combofix .
--> Une fenêtre bleue va apparaître: au message qui apparaît "Type 1 to continue, or 2 to abort" : tape 1 puis valide.

Puis patiente le temps du scan.( Le Bureau va disparaître à plusieurs reprises : c'est normal!)

!! Ne touches à rien tant que le scan n'est pas terminé !!

Note : en fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

Une fois le scan achevé, un rapport va s'afficher : poste le pour analyse ...

( Attention : cette manipe a été fait pour ce PC . Toute réutilisation peut endommager sévèrement le système d'exploitation )


=======================


3- Refais un scan ZHPDiag, coche bien toutes les options ( sauf la 045 et 061 ), poste le nouveau rapport obtenu ( via Cijoint ) pour analyse et attends la suite ...

Je le ferais demain soir.
Merci! Bonne soirée.
Je te poste ça demain vers 20h.

Pourquoi ne pas avoir supprimé ces virus avec NOD???

Tu ne répond jamais à mes questions. Je commence à m'y faire (je plaisante)

Voila ComboFix:
http://www.cijoint.fr/cjlink.php?file=cj200910/cijywSUBqr.txt

Et ZHPDiag:
http://www.cijoint.fr/cjlink.php?file=cj200910/cijRxFVYjz.txt

A lire (et à répondre de préférence^^)-> J'ai vraiment l'impression que les pages internet que je consulte s'ouvrent plus vite!
C'est grâce à la désinfection?