Malawarebytes; virus revient toujours

Résolu/Fermé
neverhide - 12 juin 2010 à 21:42
 Utilisateur anonyme - 14 juin 2010 à 07:04
Bonjour,

j'ai le logiciel malwarebytes anti malware qui marche ( marchait ?) très bien
avant je n'avais jamais d'infection, j'effectue toujours les mises à jours

depuis quelque temps j'ai attrapé (via une clé je pense) un virus, un trojan, cheval de troye ... bref, des fichiers sont infectés !

j'ai beau faire des analyses et redémarrer comme indiqué mon ordi pour terminer la suppression, mais quand je refait alors une analyse pour vérifier que tout est bien parti ... à chaque fois mes 14 fichiers infectés se remanifestent ... youpi

en trainant à droite à gauche sur des forums, j'ai lu que parfois faire les scans en mode sans échec pouvait régler plus ou moins les problèmes

j'ai donc effectué une série d'analyse :

- en mode sans echec, session administrateur : 6 fichiers infectés, donc je supprime, je redémarre, je re scan : c'est bon, plus rien par ici

- ensuite toujours en mode sans echec mais ma session ce coup là : 8 fichiers infectés, donc là aussi je supprime, je rédemarre comme indiqué, je refait un scan , c'est bon plus rien par la non plus

( là je reviens pour m'assurer sur la session administrateur mode sans echec : c'est bon ils ne se sont pas remis)

- maintenant en mode normal, donc ma session ; je scan : 14 fichiers infectes
c'est là qu'est le problème
donc je supprime, redemarre, rescan : 14 fichiers infectés de nouveau, les mêmes ( le scan est ci dessous)
( une fois j'ai fait au moins 6 scans à la suite et y'avait toujours les 14)

( bref sinon j'en ait refait un session sans echec sur ma session : rien)

donc je suis là avec mes 14 en mode normal ... que faire ?
ci dessous le rapport


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4190

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

12/06/2010 19:40:19
mbam-log-2010-06-12 (19-40-19).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 170188
Temps écoulé: 37 minute(s), 52 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 6
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 5

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\nt_authority (Trojan.Delf) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun\1 (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun\4 (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun\3 (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\nofolderoptions (Hijack.FolderOptions) -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\frameworkservice (Trojan.Delf) -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFind (Hijack.Find) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions (Hijack.FolderOptions) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoRun (Hijack.Run) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Documents and Settings\Elisabeth\Application Data\lsass.exe (Trojan.Delf) -> Quarantined and deleted successfully.
C:\Documents and Settings\Elisabeth\Application Data\smss.exe (Trojan.Delf) -> Quarantined and deleted successfully.
C:\Documents and Settings\Elisabeth\Application Data\svchost.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\Sexy Girls.scr (Trojan.Delf) -> Quarantined and deleted successfully.
C:\WINDOWS\inf\smss.exe (Trojan.Delf) -> Quarantined and deleted successfully.




désolé si c'est pas très clair, je suis pas un expert ! =)
j'espere que vous pourrez m'aider, si possible sans télécharger d'autres logiciels ( enfin sinon tant pis)
ou peut être que je fais mal une étape de suppression ?

merci d'avance !!!

27 réponses

Utilisateur anonyme
12 juin 2010 à 21:46
bonsoir,
ça tombe mal, mais il faut que, si tu veux qu'on t'aide, télecgharger ceci :

* Télécharge ZHPDiag sur ton bureau :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

* Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.

* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur Cijoint, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
http://www.cijoint.fr/
2
Utilisateur anonyme
12 juin 2010 à 21:49
Salut ,

UsbFix s'occupe de cette infection ;)

http://pagesperso-orange.fr/nostools/tuto_usbfix2.html
@+
0
Utilisateur anonyme
12 juin 2010 à 21:50
salut El_Desaparecido,
comment vas tu ?
si tu veux, je te laisse le poste :-)
0
Utilisateur anonyme
12 juin 2010 à 21:52
ça ouach ;)

Non vas y , de toute façon g plus de canned ^^

Kiss
0
tu les veux? je te mp si oui :-)
sinon, ils sont en zhpdiag, je les ai filé à nicolas ;-)
0
Utilisateur anonyme
12 juin 2010 à 21:55
ah bah je veux bien :)

un tit zip de tes canned je prend :)
0
merci d'être au taquet comme ça ! =)

voici le rapport

http://www.cijoint.fr/cjlink.php?file=cj201006/cijkYZRhob.txt

j'ai oublié de dire que je ne pouvais plus accéder au gestionnaire des taches, mais c'est peut être lié, surement
0
Utilisateur anonyme
12 juin 2010 à 22:16
chaque chose à son temps, on va d'abord désinfecter ton pc :

* Télécharge USBFIX sur ton bureau (Merci à El Desaparecido/C_XX)

https://www.ionos.fr/?affiliate_id=77097

/!\ Désactive provisoirement et seulement le temps de l'utilisation d'USBFIX, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.

- Double-clique sur l'icône Usbfix située sur ton Bureau.
- Sur la page, clique sur le bouton :
« Supprimer »

/!\ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

- puis clique sur OK
- Laisse travailler l'outil.

- Poste le rapport qui apparaît à la fin.
le rapport se trouve sur C:\ UsbFix.txt
Note : A la fin de l'option nettoyage, il est recommandé de redémarrer le pc
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
alors, dsl du retard j'ai eu un peu de mal enfin bref !( 3/4 d'heure pour ca j'avoue je suis désolé! )

donc j'ai fait "suppression" comme tu disais
l'ordi s'est eteint et rallumé a la fin "tout seul" après un décompte qui disais d'enregistrer ce qu'on faisait (bref )

sinon pour le rapport, comme y'avait rien en txt et que y'en avait un sans rien, je l'ai ouvert avec bloc note, c'est un truc genre tout mon historique internet, entre autre, plus tous les dossiers qui ont été ouvert depuis super longtemps ? ( je vois plein de solitaire et freecell ... =) ) et c'est assez super long ? je le poste ?
0
donc le rapport " suppression"

http://www.cijoint.fr/cjlink.php?file=cj201006/cijhydWlCt.txt


et la c'est celui "recherche" effectué après
http://www.cijoint.fr/cjlink.php?file=cj201006/cijJLdvmzm.txt

merci!
0
euh en fait, j'ai refait "suppression"
et au bout de 52 %, un message apparait et il dit :

arret du systeme
le processus systeme " C/windows/syst32/Isass.exe "
s'est terminé de manière inattendue avec le code d'etat 0.
le systeme va maintenant redemarrer.


et pouf il se redemarre
c'est normal cette manière inattendue ?
0
Utilisateur anonyme
13 juin 2010 à 08:23
bonjour,
relance usbfix, clique sur le bouton rechercher à nouveau et poste son rapport,
on verra si avant de redemarrage, il a términé le boulot :-)
0
bonjour,
ce matin j'ai fait un scan avec malwarebyte ( avant d'avoir lu ton message)
il y avait 6 infections, et après un redemarrage, plus rien d'infecté !! =)

ci dessous le rapport recherche de usbfix que je viens d'effectuer


############################## | Usbfix 7.009 | [Recherche]

Utilisateur: Elisabeth (Administrateur) # PC-DE-ZAB [ ]
Mis à jour le 12/06/10 par El Desaparecido / C_XX
Lancé à 14:20:40 | 13/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: Intel(R) Pentium(R) M processor 1.86GHz
Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 3
Internet Explorer 8.0.6001.18702

Pare-feu Windows: Activé
Antivirus: AVG Anti-Virus Free 9.0 [Enabled | Updated]
RAM -> 2039 Mo
C:\ (%systemdrive%) -> Disque fixe # 37 Go (16 Go libre(s) - 44%) [] # NTFS
D:\ -> CD-ROM
E:\ -> Disque amovible # 4 Go (936 Mo libre(s) - 25%) [HAYD'JO] # FAT32

################## | Éléments infectieux |


################## | Registre |

Présent! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoFind
Présent! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoFolderOptions
Présent! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoRun

################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\{5843d26c-b0e6-11de-9b9c-00166f3266b1}
Shell\AutoRun\Command = E:\9jyhdim8.exe
Shell\open\Command = E:\9jyhdim8.exe


################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |
0
Utilisateur anonyme
13 juin 2010 à 14:45
relance usbfix, clique sur le bouton suppression, poste son rapport
0
voila !

############################## | Usbfix 7.009 | [Suppression]

Utilisateur: Elisabeth (Administrateur) # PC-DE-ZAB [ ]
Mis à jour le 12/06/10 par El Desaparecido / C_XX
Lancé à 15:00:45 | 13/06/2010
Site Web: http://pagesperso-orange.fr/NosTools/index.html
Contact: FindyKill.Contact@gmail.com

CPU: Intel(R) Pentium(R) M processor 1.86GHz
Microsoft Windows XP Professionnel (5.1.2600 32-Bit) # Service Pack 3
Internet Explorer 8.0.6001.18702

Pare-feu Windows: Activé
Antivirus: AVG Anti-Virus Free 9.0 [Enabled | Updated]
RAM -> 2039 Mo
C:\ (%systemdrive%) -> Disque fixe # 37 Go (17 Go libre(s) - 44%) [] # NTFS
D:\ -> CD-ROM
E:\ -> Disque amovible # 4 Go (936 Mo libre(s) - 25%) [HAYD'JO] # FAT32

################## | Éléments infectieux |


################## | Registre |

Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoFind
Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoFolderOptions
Supprimé! HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\explorer|NoRun

################## | Mountpoints2 |

Supprimé! HKCU\.\.\.\.\Explorer\MountPoints2\{5843d26c-b0e6-11de-9b9c-00166f3266b1}

################## | Listing |

[12/03/2010 - 20:43:00 | HD ] C:\$AVG
[26/09/2009 - 23:29:46 | D ] C:\5bfd5828a34ba92a86b39b69
[22/08/2009 - 10:13:38 | N | 0] C:\AUTOEXEC.BAT
[09/01/2010 - 14:36:22 | SH | 212] C:\boot.ini
[14/04/2008 - 14:00:00 | RASH | 4952] C:\Bootfont.bin
[11/06/2010 - 21:03:16 | SHD ] C:\Config.Msi
[22/08/2009 - 10:13:38 | N | 0] C:\CONFIG.SYS
[28/12/2009 - 18:48:08 | D ] C:\DELL
[22/05/2010 - 14:06:07 | D ] C:\Documents and Settings
[13/06/2010 - 12:26:02 | ASH | 2138497024] C:\hiberfil.sys
[22/08/2009 - 10:13:38 | RASH | 0] C:\IO.SYS
[22/08/2009 - 10:13:38 | RASH | 0] C:\MSDOS.SYS
[14/04/2008 - 14:00:00 | RASH | 47564] C:\NTDETECT.COM
[14/04/2008 - 14:00:00 | RASH | 252240] C:\ntldr
[13/06/2010 - 12:26:01 | ASH | 2145386496] C:\pagefile.sys
[18/05/2010 - 14:12:10 | RD ] C:\Program Files
[13/06/2010 - 15:01:14 | SHD ] C:\RECYCLER
[22/08/2009 - 10:17:38 | SHD ] C:\System Volume Information
[13/06/2010 - 15:01:14 | D ] C:\UsbFix
[13/06/2010 - 15:01:14 | A | 806] C:\Usbfix.txt
[11/06/2010 - 23:00:59 | D ] C:\WINDOWS
[30/06/2008 - 12:05:38 | HD ] E:\iPod_Control
[30/06/2008 - 12:05:42 | D ] E:\Contacts
[30/06/2008 - 12:05:44 | D ] E:\Calendars
[30/06/2008 - 12:05:46 | D ] E:\Notes
[12/07/2007 - 08:43:50 | A | 390656] E:\Elisabeth[]UM©55h[¤]Lonie[].exe
[26/07/2009 - 09:01:18 | A | 3236] E:\BOOTEX.LOG

################## | Vaccin |

C:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)
E:\Autorun.inf -> Dossier créé par UsbFix (El Desaparecido & C_XX)

################## | Upload |

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_PC-DE-ZAB.zip
https://www.ionos.fr/?affiliate_id=77097
Merci de votre contribution.

################## | E.O.F |
0
Utilisateur anonyme
13 juin 2010 à 15:09
envoie ce fichier, ceci permet d'améliorer usbfix :

Veuillez envoyer le fichier: C:\UsbFix_Upload_Me_PC-DE-ZAB.zip
https://www.ionos.fr/?affiliate_id=77097



Merci de ta contribution.

relance MBAM,
. Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
. si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes
. Une fois la mise à jour terminé
. rend-toi dans l'onglet, Recherche
. Sélectionnes Exécuter un examen complet
. Cliques sur Rechercher
. Le scan démarre.
. A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.
. Cliques sur Ok pour poursuivre.
. Si des malwares ont été détectés, cliques sur Afficher les résultats
. Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine
.
. Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
. rends toi dans l'onglet rapport/log
. tu cliques dessus pour l'afficher une fois affiché
. tu cliques sur edition en haut du boc notes,et puis sur sélectionner tous
. tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
. Tu cliques droit dans le cadre de la réponse et coller
. À la fin du scan, il se peut que MBAM ait besoin de redémarrer le pc pour finaliser la suppression, donc pas de panique, redémarre ton pc !!!

Si tu as besoin d'aide regarde ce tutoriel :
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
0
voici le scan!

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4192

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

13/06/2010 16:04:28
mbam-log-2010-06-13 (16-04-28).txt

Type d'examen: Examen complet (C:\|D:\|E:\|)
Elément(s) analysé(s): 162926
Temps écoulé: 48 minute(s), 51 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)
0
Utilisateur anonyme
13 juin 2010 à 16:17
* Pour désinstaller les outils de désinfection qu'on a utilisés :

Telecharge ToolsCleaner2
--> http://pc-system.fr/
-Une fois téléchargé, installe-le et lance-le
-Clique sur Recherche et laisse le scan se terminer
-Clique sur SUPPRESSION
-Clique sur Quitter
Note : si certains outils restent sur ton pc, il faut les supprimer manuellement

* Désactivation, puis Réactivation de la restauration système après désinfection :

Il est nécessaire de désactiver puis réactiver la restauration système pour la purger car les points de restauration peuvent être infectés :
Pour XP : https://www.commentcamarche.net/faq/5097-virus-system-volume-information


fais une mise à jour de ton antivirus, lance un scan complet de ton pc, tiens moi au courant du résultat :-)
0
j'ai fait la première étape
pour ce qui est de la restauration je ne comprend pas tout ... !!
j'ai supprimé les points de restauration

pour la deuxième, j'ai suivi le lien ci dessous qui était en bas de la page afin d'en recréer un, j'ai fait seulement le point 6

https://www.commentcamarche.net/informatique/windows/147-restaurer-windows-avec-les-points-de-restauration/#gras-6-creer-un-point-de-restauration-gras

c'est bon ou pas ?
je vais maintenant lancer l'antivirus comme tu le dis ( euh la on parle bien de l'antivirus ou de MBAM ?)
0
Utilisateur anonyme
13 juin 2010 à 19:37
si tu as viré les anciens points de restauration système, tout va bien :-)

ne crée pas de nouveau point de restauration système du moment ou on n'a pas le résultat du scan d'antivirus :-)

on parle bien de ton antivirus :-)
0
ah, mince, je crois que j'en avait recrée un ... :S
je le supprime ?
en tout cas j'ai lancé l'antivirus, ca avance, ca avance...
0
tu referas la manip pour les virer après :-)
0
l'antivirus a dit: aucune infection trouvé lors de l'analyse

(d'un côté il n'en signalait pas non plus avant )
0
Utilisateur anonyme
13 juin 2010 à 20:26
ok, si tu n'as pas de confiance en ton antivirus, on essaie un autre, plus efficace :-)

* Télécharge Dr Web CureIt sur ton Bureau :

ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

- Double clique <drweb-cureit.exe> et ensuite clique sur <Analyse>;

- Clique <Ok> à l'invite de l'analyse rapide. S'il trouve des processus infectés alors clique le bouton <Oui>.
Note : une fenêtre s'ouvrira avec options pour "Commander" ou "50% de réduction" : Quitte en cliquant le "X".
- Lorsque le scan rapide est terminé, clique sur le menu <Options> puis <Changer la configuration> ; Choisis l'onglet <Scanner>, et décoche <Analyse heuristique>. Clique ensuite sur <Ok>.
- De retour à la fenêtre principale : clique pour activer <Analyse complète>
- Clique le bouton avec flèche verte sur la droite, et le scan débutera.
- Clique <Oui> pour tout à l'invite "Désinfecter ?" lorsqu'un fichier est détecté, et ensuite clique "Désinfecter".
- Lorsque le scan sera complété, regarde si tu peux cliquer sur l' icône, adjacente aux fichiers détectés (plusieurs feuilles l'une sur l'autre). Si oui, alors clique dessus et ensuite clique sur l'icône <Suivant>, au dessous, et choisis <Déplacer en quarantaine l'objet indésirable>.
- Du menu principal de l'outil, au haut à gauche, clique sur le menu <Fichier> et choisis <Enregistrer le rapport>. Sauvegarde le rapport sur ton Bureau. Ce dernier se nommera DrWeb.csv
- Ferme Dr.Web Cureit
- Redémarre ton ordi (important car certains fichiers peuvent être déplacés/réparés au redémarrage).
- Suite au redémarrage, poste (Copie/Colle) le contenu du rapport de Dr.Web dans ta prochaine réponse
0