Trojan-DNS-k ?Résolu/Fermé

Question

Bonjour,  
 après avoir été brillamment débarrassé d'une invasion svchost.exe ( merci ep44;)) https://forums.commentcamarche.net/forum/affich-17355548-virus-svchost-exe , 
je me tourne de nouveau vers vous pour que vous m'aidiez à débusquer et supprimer 
un adware ( ou spyware) qui m'empoisonne le surf ! 
Lorsque je suis sur internet, des pages de pub intempestives tentent de s'ouvrir à tout bout de champ. 
Je les ferme avant qu'elles n'aient le temps de s'afficher, mais j'ai le temps de voir que leur adresse contient des éléments de mes précédentes recherches Google. 
Ca me redirige d'après ce que j'ai pu voir,vers des sites de pharmacie, de casino ou bien vers des pièges à rogues ( votre ordi est infecté, veuillez télécharger ce fix etc...). 
D'après mes recherches (http://www.malekal.com/Trojan-DNS-k.php) il s'agirait de TRojan-DNS-k , mais je ne le trouve pas sur mon ordi. 
J'ai fait un HiJackThis, mais je n'ai pas su le trouver, j'ai fait un scan avec SUPERAntiSpyWare, mais il ne m'a rien trouvé, mon Avira Antivir non plus, ni Ad-Aware . 
Pouvez-vous m'aider à faire la recherche et la procédure de désinfection, parce que j'ai peur de ne pas bien m'y prendre et de casser quelque chose ( comme ça m'est arrivé avec ma première infection) ? 
Merci ;) 

Configuration: Windows XP / Firefox 3.6.3

Utilisateur anonyme · Answer

bonjour,
*	Télécharge random's system information tool (RSIT) et enregistre le sur ton bureau. 
http://images.malwareremoval.com/random/RSIT.exe
	
Tuto : https://forum.pcastuces.com/randoms_system_information_tool_rsit-f31s31.htm
Double clique sur RSIT.exe pour lancer l'outil. 
Clique sur ' continue ' à l'écran Disclaimer. 
Si l'outil HIjackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence. 
Une fois le scan fini, 2 rapports vont apparaître. Poste le contenu des 2 rapports séparément. Ils se trouvent sur c :
(log.txt & info.txt) 
(CTRL+A Pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller) 


note :
si tes rapports ne passent pas sur le forum, hébérge les sur un site comme cijoint, puis laisse moi les liens sur ton prochain message :-)
@++

jakezz · Answer

Merci de ton aide electricien 69, 
 voici les rapport log.txt et info.txt ( cijoint ne marche pas pour moi, je les mets sur mon serveur perso):

http://jkom.free.fr/log.txt

http://jkom.free.fr/info.txt

Utilisateur anonyme · Answer

pas d'infection visible sur tes rapports,

mais on va l'avoir ,

redemarre ton pc en moide sans echec avec la prise en charge du réseau puis,

Télécharge Smitfraudfix : (merci a S!RI pour ce petit programme). 
http://siri.urz.free.fr/Fix/SmitfraudFix.exe 
 
Exécute le, Double click sur Smitfraudfix.exe choisit l'option 5, 
voila a quoi cela ressemble : http://siri.urz.free.fr/Fix/SmitfraudFix.php 
il va générer un rapport : copie/colle le sur le poste stp. 

Tuto:http://pagesperso-orange.fr/rginformatique/section%20virus/smitfraudfix.htm

Note :
process.exe est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus

jakezz · Answer

Merci électricien 69, 
Mais Google me signale ce site ( siri.urz.free.fr ) comme un site  malveillant.
voici leur message d'alerte :
(je ne peux pas mettre leur message d'alerte ici, 3 fois que j'essaie mais ça ne passe pas sur ce forum )

Puis-je vraiment télécharger smitfraudfix.exe sans risque ?

Utilisateur anonyme · Answer

bonjour,
hébérge le rapport sur le site de cijoint et envoie moi le lien : 

http://www.cijoint.fr/index.php

jakezz · Answer

Voici le message d'alerte de Google par rapport au site siri.urz.free.fr qu'il juge malveillant : 
http://www.cijoint.fr/cjlink.php?file=cj201005/cijXgMDsJo.txt

Est-ce que je ne prends pas un risque en téléchargeant smitfraudfix sur ce site ?

jakezz · Answer

rapport smitfraudfix : 

SmitFraudFix v2.424

Rapport fait à  9:48:24,40, 01/05/2010
Executé à partir de C:\Documents and Settings\jak\Bureau\SmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode normal

»»»»»»»»»»»»»»»»»»»»»»»» DNS Avant Fix

Description: SAGEM Wi-Fi 11g USB adapter - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.1.1

Description: SAGEM Wi-Fi 11g USB adapter - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{88E1ABE4-D5F9-402C-BEF8-078E65E2F70C}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\..\{CD9E1A98-6916-4EE5-852B-D85EDEC154DA}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{88E1ABE4-D5F9-402C-BEF8-078E65E2F70C}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{CD9E1A98-6916-4EE5-852B-D85EDEC154DA}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

»»»»»»»»»»»»»»»»»»»»»»»» DNS Après Fix

Description: SAGEM Wi-Fi 11g USB adapter - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.1.1

Description: SAGEM Wi-Fi 11g USB adapter - Miniport d'ordonnancement de paquets
DNS Server Search Order: 192.168.1.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{88E1ABE4-D5F9-402C-BEF8-078E65E2F70C}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\..\{CD9E1A98-6916-4EE5-852B-D85EDEC154DA}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{88E1ABE4-D5F9-402C-BEF8-078E65E2F70C}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{CD9E1A98-6916-4EE5-852B-D85EDEC154DA}: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.1.1

Utilisateur anonyme · Answer

je suppose que c'est toujours en même état, essaie ceci à l'invite de commande :


netsh int ip reset all (réinitialisation de la pile TCP/IP)
 
puis cette commande: 

netsh winsock reset (réinitialistion Winsock) 


il faut redémarre le PC 


puis 

Télécharge Malwarebytes' Anti-Malware et enregistre le sur ton bureau:
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/ 

ou ici : http://www.malwarebytes.org/mbam/program/mbam-setup.exe

 
/!\Utilisateur de Vista et Windows 7 : Clique droit sur le logo de Malwarebytes' Anti-Malware, « exécuter en tant qu'Administrateur »

. Double cliques sur le fichier téléchargé pour lancer le processus d'installation. 
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour 
. si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes 
. Une fois la mise à jour terminé
. rend-toi dans l'onglet, Recherche 
. Sélectionnes Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre. 
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés. 
. Cliques sur Ok pour poursuivre. 
. Si des malwares ont été détectés, cliques sur Afficher les résultats 
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. 
. rends toi dans l'onglet rapport/log 
. tu cliques dessus pour l'afficher une fois affiché 
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous 
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse 
. Tu cliques droit dans le cadre de la réponse et coller 
. À la fin du scan, il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!
Si tu as besoin d'aide regarde ce tutoriel : 
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

jakezz · Answer

voilà le rapport MBAM :


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4056

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

01/05/2010 11:55:31
mbam-log-2010-05-01 (11-55-31).txt

Type d'examen: Examen complet (C:\|D:\|F:\|G:\|)
Elément(s) analysé(s): 242714
Temps écoulé: 1 heure(s), 34 minute(s), 42 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Utilisateur anonyme · Answer

Après toutes ces manip, est ce que tu as des pages de pub ?

jakezz · Answer

Ca fait un moment que je n'en ai pas eues.
Peut-être bien qu'on a réussi à avoir le bestiau ;)
++

Utilisateur anonyme · Answer

bonjour,
on va tout finaliser  :-)

 télécharges Ccleaner à partir de cette adresse et enregistres le sur le bureau 

https://www.commentcamarche.net/telecharger/utilitaires/5647-ccleaner/ 

.double-cliques sur le fichier pour lancer l'installation 
.sur la fenêtre de l'installation langage bien choisir français et OK 
.cliques sur suivant 
.lis la licence et j'accepte 
.cliques sur suivant 
.la tu ne gardes de coché que mettre un raccourci sur le bureau et puis contrôler automatiquement les mises à jour de Ccleaner 
.cliques sur installer 
.cliques sur fermer 
.double-cliques sur l'icône de Ccleaner pour l'ouvrir 
.une fois ouvert tu cliques sur option et puis avancé 
.tu décoches effacer uniquement les fichiers, du dossier temp de windows plus vieux que 48 heures 
.cliques sur nettoyeur 
.cliques sur windows et dans la colonne avancé 
.coches la première case vieilles données du perfetch que celle-la ce qui te donnes la case vielles données du perfetch et la case avancé qui c'est coché automatiquement mais que celle-la 
.cliques sur analyse une fois l'analyse terminé 
.cliques sur lancer le nettoyage et sur la demande de confirmation OK il vas falloir que tu le refasses une autre fois une fois fini vériffis en appuiant de nouveau sur analyse pour être sur qu'il n'y est plus rien 
.cliques maintenant sur registre et puis sur rechercher les erreurs 
.laisses tout cochées et cliques sur réparrer les erreurs sélectionnées 
.il te demande de sauvegarder OUI 
.tu lui donnes un nom pour pouvoir la retrouver et enregistre 
.cliques sur corriger toutes les erreurs sélectionnées et sur la demande de confirmation OK 
.il supprime et fermer tu vérifies en relançant rechercher les erreurs 
.tu retournes dans option et tu recoches la case effacer uniquement les fichiers, du dossier temp de windows plus vieux que 48 heures et sur nettoyeur, windows sous avancé tu décoches la première case vieilles données du perfetch 
.tu peux fermer Ccleaner 


* Pour désinstaller les outils de désinfection qu'on a utilisés : 

Telecharge ToolsCleaner2 
--> http://pc-system.fr/ 
-Une fois téléchargé, installe-le et lance-le 
-Clique sur Recherche et laisse le scan se terminer 
-Clique sur SUPPRESSION 
-Clique sur Quitter pour que le rapport puisse se créer 
-Poste moi le rapport se trouvant ici--> C:\TCleaner.txt 
Note : si certains outils reste sur ton pc, il faut les supprimer manuellement 


* Désactivation, puis Réactivation de la restauration système après désinfection : 

Il est nécessaire de désactiver puis réactiver la restauration système pour la purger car les points de restauration peuvent être infectés : 
Pour XP : https://www.commentcamarche.net/faq/5097-virus-system-volume-information 


fais une mise à jour de ton antivirus, lance un scan complet de ton pc, poste moi son rapport sur ton prochain message :-)

jakezz · Answer

Bonjour, donc voilà le rapport ToolCleaner (j'avais déjà supprimé pas mal d'outils manuellement) : [ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ] --> Recherche: C:\Rsit: trouvé ! C:\Documents and Settings\jak\Bureau\HijackThis.exe: trouvé ! C:\Documents and Settings\jak\Bureau\Rsit.exe: trouvé ! C:\Program Files rend micro\HijackThis.exe: trouvé ! C:\Program Files rend micro\hijackthis.log: trouvé ! --------------------------------- --> Suppression: C:\Documents and Settings\jak\Bureau\HijackThis.exe: supprimé ! C:\Program Files rend micro\HijackThis.exe: supprimé ! C:\Documents and Settings\jak\Bureau\Rsit.exe: supprimé ! C:\Program Files rend micro\hijackthis.log: supprimé ! C:\Rsit: supprimé ! Et pour finir le rapport Avira Antivir : Avira AntiVir Personal Date de création du fichier de rapport : dimanche 2 mai 2010 09:14 La recherche porte sur 2062283 souches de virus. Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus Numéro de série : 0000149996-ADJIE-0000001 Plateforme : Windows XP Version de Windows : (Service Pack 3) [5.1.2600] Mode Boot : Démarré normalement Identifiant : SYSTEM Nom de l'ordinateur : JAK-TE6R9BJNHDR Informations de version : BUILD.DAT : 9.0.0.75 21698 Bytes 22/01/2010 23:14:00 AVSCAN.EXE : 9.0.3.10 466689 Bytes 13/10/2009 09:25:46 AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 08:21:02 LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 09:35:11 LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 08:21:31 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06/11/2009 05:35:52 VBASE001.VDF : 7.10.1.0 1372672 Bytes 19/11/2009 09:08:43 VBASE002.VDF : 7.10.3.1 3143680 Bytes 20/01/2010 09:08:58 VBASE003.VDF : 7.10.3.75 996864 Bytes 26/01/2010 09:09:02 VBASE004.VDF : 7.10.4.203 1579008 Bytes 05/03/2010 09:09:09 VBASE005.VDF : 7.10.6.82 2494464 Bytes 15/04/2010 09:09:21 VBASE006.VDF : 7.10.6.83 2048 Bytes 15/04/2010 09:09:21 VBASE007.VDF : 7.10.6.84 2048 Bytes 15/04/2010 09:09:21 VBASE008.VDF : 7.10.6.85 2048 Bytes 15/04/2010 09:09:21 VBASE009.VDF : 7.10.6.86 2048 Bytes 15/04/2010 09:09:21 VBASE010.VDF : 7.10.6.87 2048 Bytes 15/04/2010 09:09:21 VBASE011.VDF : 7.10.6.88 2048 Bytes 15/04/2010 09:09:21 VBASE012.VDF : 7.10.6.89 2048 Bytes 15/04/2010 09:09:21 VBASE013.VDF : 7.10.6.90 2048 Bytes 15/04/2010 09:09:21 VBASE014.VDF : 7.10.6.123 126464 Bytes 19/04/2010 17:18:45 VBASE015.VDF : 7.10.6.152 123392 Bytes 21/04/2010 09:04:11 VBASE016.VDF : 7.10.6.178 122880 Bytes 22/04/2010 09:04:11 VBASE017.VDF : 7.10.6.206 120320 Bytes 26/04/2010 09:04:14 VBASE018.VDF : 7.10.6.232 99328 Bytes 28/04/2010 09:04:22 VBASE019.VDF : 7.10.7.2 155648 Bytes 30/04/2010 09:04:23 VBASE020.VDF : 7.10.7.3 2048 Bytes 30/04/2010 09:04:23 VBASE021.VDF : 7.10.7.4 2048 Bytes 30/04/2010 09:04:24 VBASE022.VDF : 7.10.7.5 2048 Bytes 30/04/2010 09:04:24 VBASE023.VDF : 7.10.7.6 2048 Bytes 30/04/2010 09:04:24 VBASE024.VDF : 7.10.7.7 2048 Bytes 30/04/2010 09:04:24 VBASE025.VDF : 7.10.7.8 2048 Bytes 30/04/2010 09:04:24 VBASE026.VDF : 7.10.7.9 2048 Bytes 30/04/2010 09:04:24 VBASE027.VDF : 7.10.7.10 2048 Bytes 30/04/2010 09:04:24 VBASE028.VDF : 7.10.7.11 2048 Bytes 30/04/2010 09:04:24 VBASE029.VDF : 7.10.7.12 2048 Bytes 30/04/2010 09:04:24 VBASE030.VDF : 7.10.7.13 2048 Bytes 30/04/2010 09:04:24 VBASE031.VDF : 7.10.7.16 43520 Bytes 30/04/2010 09:04:25 Version du moteur : 8.2.1.224 AEVDF.DLL : 8.1.2.0 106868 Bytes 24/04/2010 09:04:18 AESCRIPT.DLL : 8.1.3.27 1294714 Bytes 24/04/2010 09:04:18 AESCN.DLL : 8.1.5.0 127347 Bytes 18/04/2010 09:09:34 AESBX.DLL : 8.1.3.1 254324 Bytes 24/04/2010 09:04:19 AERDL.DLL : 8.1.4.6 541043 Bytes 18/04/2010 09:09:33 AEPACK.DLL : 8.2.1.1 426358 Bytes 18/04/2010 09:09:32 AEOFFICE.DLL : 8.1.0.41 201083 Bytes 18/04/2010 09:09:31 AEHEUR.DLL : 8.1.1.24 2613623 Bytes 18/04/2010 09:09:30 AEHELP.DLL : 8.1.11.3 242039 Bytes 18/04/2010 09:09:25 AEGEN.DLL : 8.1.3.7 373106 Bytes 18/04/2010 09:09:25 AEEMU.DLL : 8.1.2.0 393588 Bytes 24/04/2010 09:04:15 AECORE.DLL : 8.1.13.1 188790 Bytes 18/04/2010 09:09:24 AEBB.DLL : 8.1.1.0 53618 Bytes 24/04/2010 09:04:14 AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 06:47:30 AVPREF.DLL : 9.0.3.0 44289 Bytes 26/08/2009 13:13:31 AVREP.DLL : 8.0.0.7 159784 Bytes 18/04/2010 09:09:37 AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 13:24:42 AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 13:05:22 AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 08:36:37 SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 13:03:49 SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 06:20:57 NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 13:40:59 RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 17/06/2009 11:44:26 RCTEXT.DLL : 9.0.73.0 88321 Bytes 02/11/2009 14:58:32 Configuration pour la recherche actuelle : Nom de la tâche...............................: Contrôle intégral du système Fichier de configuration......................: c:\program files\avira\antivir desktop\sysscan.avp Documentation.................................: bas Action principale.............................: réparer Action secondaire.............................: supprimer Recherche sur les secteurs d'amorçage maître..: marche Recherche sur les secteurs d'amorçage.........: marche Secteurs d'amorçage...........................: C:, D:, G:, Recherche dans les programmes actifs..........: marche Recherche en cours sur l'enregistrement.......: marche Recherche de Rootkits.........................: marche Contrôle d'intégrité de fichiers système......: arrêt Fichier mode de recherche.....................: Tous les fichiers Recherche sur les archives....................: marche Limiter la profondeur de récursivité..........: 20 Archive Smart Extensions......................: marche Heuristique de macrovirus.....................: marche Heuristique fichier...........................: moyen Catégories de dangers divergentes.............: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR, Début de la recherche : dimanche 2 mai 2010 09:14 La recherche d'objets cachés commence. '43544' objets ont été contrôlés, '0' objets cachés ont été trouvés. La recherche sur les processus démarrés commence : Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés Processus de recherche 'avcenter.exe' - '1' module(s) sont contrôlés Processus de recherche 'wmiprvse.exe' - '1' module(s) sont contrôlés Processus de recherche 'WLANUTL.exe' - '1' module(s) sont contrôlés Processus de recherche 'ctfmon.exe' - '1' module(s) sont contrôlés Processus de recherche 'RTHDCPL.exe' - '1' module(s) sont contrôlés Processus de recherche 'igfxpers.exe' - '1' module(s) sont contrôlés Processus de recherche 'hkcmd.exe' - '1' module(s) sont contrôlés Processus de recherche 'igfxtray.exe' - '1' module(s) sont contrôlés Processus de recherche 'avgnt.exe' - '1' module(s) sont contrôlés Processus de recherche 'EEventManager.exe' - '1' module(s) sont contrôlés Processus de recherche 'jusched.exe' - '1' module(s) sont contrôlés Processus de recherche 'realsched.exe' - '1' module(s) sont contrôlés Processus de recherche 'alg.exe' - '1' module(s) sont contrôlés Processus de recherche 'Tablet.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'PnkBstrA.exe' - '1' module(s) sont contrôlés Processus de recherche 'jqs.exe' - '1' module(s) sont contrôlés Processus de recherche 'avguard.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'sched.exe' - '1' module(s) sont contrôlés Processus de recherche 'spoolsv.exe' - '1' module(s) sont contrôlés Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés Processus de recherche 'services.exe' - '1' module(s) sont contrôlés Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés '33' processus ont été contrôlés avec '33' modules La recherche sur les secteurs d'amorçage maître commence : Secteur d'amorçage maître HD0 [INFO] Aucun virus trouvé ! Secteur d'amorçage maître HD1 [INFO] Aucun virus trouvé ! Secteur d'amorçage maître HD2 [INFO] Aucun virus trouvé ! La recherche sur les secteurs d'amorçage commence : Secteur d'amorçage 'C:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'D:\' [INFO] Aucun virus trouvé ! Secteur d'amorçage 'G:\' [INFO] Aucun virus trouvé ! La recherche sur les renvois aux fichiers exécutables (registre) commence : Le registre a été contrôlé ( '55' fichiers). La recherche sur les fichiers sélectionnés commence : Recherche débutant dans 'C:\' C:\pagefile.sys [AVERTISSEMENT] Impossible d'ouvrir le fichier ! [REMARQUE] Ce fichier est un fichier système Windows. [REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche. Recherche débutant dans 'D:\' Recherche débutant dans 'G:\' Fin de la recherche : dimanche 2 mai 2010 09:59 Temps nécessaire: 44:17 Minute(s) La recherche a été effectuée intégralement 11642 Les répertoires ont été contrôlés 352494 Des fichiers ont été contrôlés 0 Des virus ou programmes indésirables ont été trouvés 0 Des fichiers ont été classés comme suspects 0 Des fichiers ont été supprimés 0 Des virus ou programmes indésirables ont été réparés 0 Les fichiers ont été déplacés dans la quarantaine 0 Les fichiers ont été renommés 1 Impossible de contrôler des fichiers 352493 Fichiers non infectés 1926 Les archives ont été contrôlées 1 Avertissements 1 Consignes 43544 Des objets ont été contrôlés lors du Rootkitscan 0 Des objets cachés ont été trouvés Ca m'a l'air plutôt clean tout ça. J'ai l'impression que je suis débarrassé du truc, je n'ai plus de pages de pubs intempestives depuis hier ( mais je n'ai pas fait de recherches google depuis que j'ai vidé le cache, peut-être que le virus n'a plus de matière pour faire ses redirections...) . Résolu ?

Utilisateur anonyme · Answer

Installe une parfeu supplémentaire à celui de windows.

crée un nouveau point de restauration système, ça peut servire  :-)

fais des recherches sur inyternet, mais à mon avis, le virus ne reviendra pas !

tu sera déçu !

je déconne,  mdr

jakezz · Answer

Merci beaucoup Electricien 69.
Je mets zone alarm comme parefeu ? Y' aura pas de conflits avec celui de windows ?

A la prochaine;)

Utilisateur anonyme · Answer

bonjour,
pas de soucis pour zonalarm, ça va bien, c'est ce que j'utilise  :-)

clique sur le logo zonalarm, clique sur l'onglet parfeu puis en bas à doite, avancé, décoche la case désactiver le pafeu de windows.

rentre dans le centre de sécurité de wondows, réactive le parfeu, pui ferme l'application, revérifie que le parfeu reste bien actif  :-)

as tu eu le temps de faire des recherches sur internet ?

jakezz · Answer

Ce matin, j'ai de nouveau eu des redirections intempestives vers des sites de pub, mais celles-ci ne semblaient pas être à partir de recherches Google. Elles partaient d'un site : http://www.directrdr.com/v6.php et m'amenaient vers des sites comme tetref.com , un site de comparateur de casinos.
Il doit me rester un petit Adware planqué quelque part :(

Utilisateur anonyme · Answer

on va le regarder autrement : 

*	Télécharge random's system information tool (RSIT) et enregistre le sur ton bureau. 
http://images.malwareremoval.com/random/RSIT.exe
	
Tuto : https://forum.pcastuces.com/randoms_system_information_tool_rsit-f31s31.htm
Double clique sur RSIT.exe pour lancer l'outil. 
Clique sur ' continue ' à l'écran Disclaimer. 
Si l'outil HIjackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence. 
Une fois le scan fini, 2 rapports vont apparaître. Poste le contenu des 2 rapports séparément. Ils se trouvent sur c :
(log.txt & info.txt) 
(CTRL+A Pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller) 

Note: 
si les rapports ne passent pas sur le forum, héberge les sur le site cijoint, poste moi seulement les liens 

http://www.cijoint.fr/index.php

jakezz · Answer

Merci...Voici les rapports log.txt et info.txt.

Ca ne passe pas sur le forum, ni sur cijoint.fr,  je les mets donc sur mon serveur :

http://jkom.free.fr/info.txt

http://jkom.free.fr/log.txt

Utilisateur anonyme · Answer

Télécharge WareOut Removal Tool (par dj QUIOU & la team sécurité MH) sur ton bureau :

 http://pc-system.fr/


Lance le fichier WareOut_Removal_Tool.bat 

choisis l'option n°4 pour mettre à jour l'outil, 
une fois la mise à jour términée, lance l'outil en option 1
Patiente (une à deux minutes maximum) pendant que le programme sauvegarde le registre
Lis bien attentivement les instructions qui te seront données
A la fin de l'analyse, un rapport va s'ouvrir, poste le dans ta prochaine réponse.


tuto :  http://pc-system.fr/

jakezz · Answer

voilà le rapport WORT :

===== Rapport WareOut Removal Tool ===== 
 
version 3.6.2 
 
analyse effectuée le 03/05/2010 à 19:08:15,29 
 
Résultats de l'analyse : 
======================== 
 
~~~~ Recherche d'infections dans C:\ ~~~~ 
 
C:\autorun.inf trouvé! 
C:\autorun.inf suppression impossible 
 
 
~~~~ Recherche d'infections dans C:\Program Files\ ~~~~ 
 
 
~~~~ Recherche d'infections dans C:\WINDOWS\system\ ~~~~ 
 
 
~~~~ Recherche d'infections dans C:\WINDOWS\system32\ ~~~~ 
 
 
~~~~ Recherche d'infections dans C:\WINDOWS\system32\drivers\ ~~~~ 
 
 
~~~~ Recherche d'infections dans C:\Documents and Settings\jak\Application Data\ ~~~~ 
 
 
~~~~ Recherche d'infections dans C:\Documents and Settings\jak\Bureau\ ~~~~ 
 
 
~~~~ Recherche de détournement de DNS ~~~~ 
 
 
 
~~~~ Recherche de Rootkits ~~~~ 
 
_______________________________________________________________________ 
 
catchme 0.3.1398.3 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-05-03 19:08:43
Windows 5.1.2600 Service Pack 3 NTFS

scanning hidden files ...

scan completed successfully
hidden files: 0

_______________________________________________________________________ 

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
    System	REG_SZ	

 
 
~~~~ Recherche d'infections dans C:\DOCUME~1\jak\LOCALS~1\Temp\ ~~~~ 
 
 
~~~~ Recherche d'infections dans C:\Documents and Settings\jak\Start Menu\Programs\ ~~~~ 
 
 
~~~~ Nettoyage du registre ~~~~ 
 
 
~~~~ Tentative de réparation des entrées suivantes: ~~~~ 
 
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] = "System" 
 
[HKLM\SYSTEM\CurrentControlSet\Services\Windows Tribute Service] 
[HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_Windows Tribute Service] 
 
~~~~ Vérification: ~~~~ 

! REG.EXE VERSION 3.0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
    System	REG_SZ	

 
 
_________________________________ 
 
développé par http://pc-system.fr 
_________________________________

Utilisateur anonyme · Answer

refais des rcherches sur internet et dis moi si tu as toujours des redirections

jakezz · Answer

Je viens de faire le test en faisant quelques recherches  sur Google et ça n'a pas trainé, j'ai été redirigé au bout de 3 recherches sur un site de rogues ( vous êtes infectés etc...). 
Il est toujours là ....Mais où ?

Utilisateur anonyme · Answer

bonjour,
il doit avoir un truc iunvisible par les tools de diag, on va se le faire  :-)

*	/!\Avertissement :
Ce logiciel n'est à utiliser que prescrit par un helper qualifié et formé à l'outil.
Ne pas utiliser en dehors de ce cas de figure : dangereux! 

/	
&#9658; Télécharges ComboFix à partir de ce lien et enregistres le sur ton bureau :
https://forum.pcastuces.com/combofix_renomme_au_telechargement-f31s22.htm 
ou ici :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe 
A lire 
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix 

Avant d'utiliser ComboFix : 
&#9658; Déconnecte toi d'internet et referme les fenêtres de tous les programmes en cours. 
&#9658; Désactive provisoirement et seulement le temps de l'utilisation de ComboFix, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 
Une fois fait, sur ton bureau double-clic sur Combofix.exe. 

- Répond oui au message d'avertissement, pour que le programme commence à procéder à l'analyse du pc.
 
/!\INSTALLES LA CONSOLE DE RECUPERATION

/!\ Pendant la durée de cette étape, ne te sert pas du pc et n'ouvre aucun programmes.
 
- En fin de scan il est possible que ComboFix ait besoin de redémarrer le pc pour finaliser la désinfection\recherche, laisses-le faire. 
- Un rapport s'ouvrira ensuite dans le bloc notes, ce fichier rapport Combofix.txt, est automatiquement sauvegardé et rangé à C:\Combofix.txt) 
&#9658; Réactive la protection en temps réel de ton Antivirus et de tes Antispywares, avant de te reconnecter à internet. 
&#9658; Reviens sur le forum, et copie et colle la totalité du contenu de C:\Combofix.txt dans ton prochain message.

jakezz · Answer

Bonjour, 
 j'ai fait combofix , j'ai l'impression que ça a mordu ;)

http://www.cijoint.fr/cjlink.php?file=cj201005/cijhqPZtNL.txt

Utilisateur anonyme · Answer

fais quelques recherches sur internet et tiens moi au courant  :-)

jakezz · Answer

Je viens de surfer sur des recherches Google depuis une demi-heure et tout va bien. Plus aucune redirections intempestives.
En plus j'ai récupéré mon accès à windowsupdate auquel je ne pouvais plus me connecter depuis 3 semaines.
Donc pour moi, tout semble résolu. 
Pour finir, je fais un petit Tool Cleaner, puis un CCleaner , je supprime mes points de restauration et je redémarre ?
Merci Electricien 69  ;)

Utilisateur anonyme · Answer

j'ai quand même l'impression que tu connais la musique, mdr

*	Pour désinstaller les outils de désinfection qu'on a utilisés :

Telecharge ToolsCleaner2
--> http://pc-system.fr/
-Une fois téléchargé, installe-le et lance-le 
-Clique sur Recherche et laisse le scan se terminer 
-Clique sur SUPPRESSION 
-Clique sur Quitter pour que le rapport puisse se créer 
-Poste moi le rapport se trouvant ici--> C:\TCleaner.txt
Note : si certains outils reste sur ton pc, il faut les supprimer manuellement


*	Désactivation, puis Réactivation de la restauration système après désinfection :

Il est nécessaire de désactiver puis réactiver la restauration système pour la purger car les points de restauration peuvent être infectés : 
Pour XP :          https://www.commentcamarche.net/faq/5097-virus-system-volume-information


cée un nouveau point de restauration système, ça peut servire :-)

jakezz · Answer

Ca y est , c'est tout propre ;)
Merci encore pour ton aide Electricien 69.
++


[ Rapport ToolsCleaner version 2.3.11 (par A.Rothstein & dj QUIOU) ]

--> Recherche: 

C:\Combofix.txt: trouvé !
C:\Combofix: trouvé !
C:\Qoobox: trouvé !
C:\Rsit: trouvé !
C:\WORT: trouvé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis: trouvé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis\HijackThis.lnk: trouvé !
C:\Documents and Settings\jak\Bureau\HijackThis.lnk: trouvé !
C:\Documents and Settings\jak\Bureau\ComboFix.exe: trouvé !
C:\Documents and Settings\jak\Bureau\HJTInstall.exe: trouvé !
C:\Documents and Settings\jak\Bureau\WareOut Removal Tool.bat: trouvé !
C:\Documents and Settings\jak\Bureau\Gmer.txt: trouvé !
C:\Documents and Settings\jak\Bureau\Rsit.exe: trouvé !
C:\Documents and Settings\jak\Bureau\WORT.exe: trouvé !
C:\Documents and Settings\jak\Bureau\WORT: trouvé !
C:\Documents and Settings\jak\Bureau\WORT\catchme.exe: trouvé !
C:\Documents and Settings\jak\Recent\HijackThis.lnk: trouvé !
C:\Program Files	rend micro\HijackThis: trouvé !
C:\Program Files	rend micro\HijackThis\HijackThis.exe: trouvé !
C:\Program Files	rend micro\HijackThis\hijackthis.log: trouvé !
C:\Qoobox\Quarantine\catchme.log: trouvé !
C:\WINDOWS\mbr.exe: trouvé !

---------------------------------
--> Suppression: 

C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis\HijackThis.lnk: supprimé !
C:\Documents and Settings\jak\Bureau\HijackThis.lnk: supprimé !
C:\Documents and Settings\jak\Bureau\ComboFix.exe: ERREUR DE SUPPRESSION !!
C:\Documents and Settings\jak\Bureau\HJTInstall.exe: supprimé !
C:\Documents and Settings\jak\Bureau\WareOut Removal Tool.bat: supprimé !
C:\Documents and Settings\jak\Bureau\WORT\catchme.exe: supprimé !
C:\Documents and Settings\jak\Recent\HijackThis.lnk: supprimé !
C:\Program Files	rend micro\HijackThis\HijackThis.exe: supprimé !
C:\Combofix.txt: supprimé !
C:\Documents and Settings\jak\Bureau\Gmer.txt: supprimé !
C:\Documents and Settings\jak\Bureau\Rsit.exe: supprimé !
C:\Documents and Settings\jak\Bureau\WORT.exe: supprimé !
C:\Program Files	rend micro\HijackThis\hijackthis.log: supprimé !
C:\Qoobox\Quarantine\catchme.log: supprimé !
C:\WINDOWS\mbr.exe: supprimé !
C:\Combofix: supprimé !
C:\Qoobox: supprimé !
C:\Rsit: supprimé !
C:\WORT: supprimé !
C:\Documents and Settings\All Users\Menu Démarrer\Programmes\HijackThis: supprimé !
C:\Documents and Settings\jak\Bureau\WORT: supprimé !
C:\Program Files	rend micro\HijackThis: supprimé !

Utilisateur anonyme · Answer

si tu as suivi ce que j'ai noté sur mon précedant message, il ne me reste plus qu'à te souhaiter un bon surf et une bonne journée  ;-)

Trojan-DNS-k ?

30 réponses

Discussions similaires

Newsletters