Sujet Précédent Sujet Suivant

Désinfection PC

Fermé
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 - Modifié par Pierrecastor le 23/01/2013 à 11:42
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 - 24 janv. 2013 à 17:02
Bonjour,

Je viens de récupérer le PC d'une connaissance et je soupçonne fortement la machine d'avoir récupérer quelques saletés, est-ce que quelqu'un aurait le temps de jeter un oeil ?

Voila le rapport zhpdiag :

https://pjjoint.malekal.com/files.php?id=ZHPDiag_20130123_8l6v9h10h6


Merci beaucoup. :-)




Quant à ces féroces soldats, je le dis, c'est pas pour cafter,
mais y font rien qu'a mugir dans nos campagnes.
-Pierre Desproges-
A voir également:

12 réponses

Réponse 1 / 12
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
23 janv. 2013 à 11:49
Salut,

Désinstalle toutes les barres d'outils.


Télécharge http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/28-adwcleaner AdwCleaner ( d'Xplode ) sur ton bureau.
Lance le, clique sur [Suppression] puis patiente le temps du scan (Pas besoin de faire de Recherche avant).
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

3
Réponse 2 / 12
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 4 131
23 janv. 2013 à 12:04
Yahou, une prise main par le maitre en personne. ;-)

# AdwCleaner v2.107 - Rapport créé le 23/01/2013 à 05:58:34
# Mis à jour le 21/01/2013 par Xplode
# Système d'exploitation : Windows 7 Home Premium (64 bits)
# Nom d'utilisateur : Floriane - FLORIANE-PCPORT
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\Floriane\Downloads\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Program Files (x86)\BittorrentBar_FR
Dossier Supprimé : C:\Program Files (x86)\Conduit
Dossier Supprimé : C:\Program Files (x86)\DealPly
Dossier Supprimé : C:\ProgramData\Babylon
Dossier Supprimé : C:\ProgramData\InstallMate
Dossier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\DealPly
Dossier Supprimé : C:\ProgramData\Premium
Dossier Supprimé : C:\Users\Floriane\AppData\Local\Babylon
Dossier Supprimé : C:\Users\Floriane\AppData\Local\Conduit
Dossier Supprimé : C:\Users\Floriane\AppData\LocalLow\AVG Security Toolbar
Dossier Supprimé : C:\Users\Floriane\AppData\LocalLow\BabylonToolbar
Dossier Supprimé : C:\Users\Floriane\AppData\LocalLow\BittorrentBar_FR
Dossier Supprimé : C:\Users\Floriane\AppData\LocalLow\Conduit
Dossier Supprimé : C:\Users\Floriane\AppData\Roaming\Babylon
Fichier Supprimé : C:\Program Files (x86)\Mozilla Firefox\searchplugins\babylon.xml
Fichier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\eBay.lnk
Fichier Supprimé : C:\user.js
Fichier Supprimé : C:\Users\Floriane\AppData\Local\Temp\kujytuo.exe

***** [Registre] *****

Clé Supprimée : HKCU\Software\AppDataLow\Software\AVG Security Toolbar
Clé Supprimée : HKCU\Software\AppDataLow\Software\BittorrentBar_FR
Clé Supprimée : HKCU\Software\AppDataLow\Software\Conduit
Clé Supprimée : HKCU\Software\AppDataLow\Software\SmartBar
Clé Supprimée : HKCU\Software\AppDataLow\Toolbar
Clé Supprimée : HKCU\Software\AVG Security Toolbar
Clé Supprimée : HKCU\Software\Conduit
Clé Supprimée : HKCU\Software\Google\Chrome\Extensions\gaiilaahiahdejapggenmdmafpmbipje
Clé Supprimée : HKCU\Software\InstallCore
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{2EECD738-5844-4A99-B4B6-146BF802613B}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{97F2FF5B-260C-4CCF-834A-2DDA4E29E39E}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{98889811-442D-49DD-99D7-DC866BE87DBC}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{EF79F67A-6AD7-4715-A0F8-932FCA442023}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{0842E22B-BF8F-4307-86F7-F812FB90BC62}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{2EECD738-5844-4A99-B4B6-146BF802613B}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{97F2FF5B-260C-4CCF-834A-2DDA4E29E39E}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{98889811-442D-49DD-99D7-DC866BE87DBC}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EF79F67A-6AD7-4715-A0F8-932FCA442023}
Clé Supprimée : HKCU\Software\Softonic
Clé Supprimée : HKCU\Software\StartSearch
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{AFDBDDAA-5D3F-42EE-B79C-185A7020515B}
Clé Supprimée : HKLM\Software\Babylon
Clé Supprimée : HKLM\Software\BittorrentBar_FR
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{09C554C3-109B-483C-A06B-F14172F1A947}
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4EAF-B541-F8DE92DD98DB}
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\escort.DLL
Clé Supprimée : HKLM\SOFTWARE\Classes\Prod.cap
Clé Supprimée : HKLM\SOFTWARE\Classes\Toolbar.CT2849852
Clé Supprimée : HKLM\Software\Conduit
Clé Supprimée : HKLM\Software\DealPly
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\MyBabylontb_RASAPI32
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\MyBabylontb_RASMANCS
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{0842E22B-BF8F-4307-86F7-F812FB90BC62}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{0842E22B-BF8F-4307-86F7-F812FB90BC62}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{2EECD738-5844-4A99-B4B6-146BF802613B}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{3C471948-F874-49F5-B338-4F214A2EE0B1}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{E46C8196-B634-44A1-AF6E-957C64278AB1}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{EF79F67A-6AD7-4715-A0F8-932FCA442023}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\gaiilaahiahdejapggenmdmafpmbipje
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{3ED1D60E-5DFD-4A5F-B29E-213C9710F23F}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{8A8E6C83-A879-41EE-A373-146A12FABF3B}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes\{AFDBDDAA-5D3F-42EE-B79C-185A7020515B}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EF79F67A-6AD7-4715-A0F8-932FCA442023}
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\BittorrentBar_FR Toolbar
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{44C3C1DB-2127-433C-98EC-4C9412B5FC3A}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{4D5132DD-BB2B-4249-B5E0-D145A8C982E1}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{706D4A4B-184A-4434-B331-296B07493D2D}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{8BE10F21-185F-4CA0-B789-9921674C3993}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{94C0B25D-3359-4B10-B227-F96A77DB773F}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{B0B75FBA-7288-4FD3-A9EB-7EE27FA65599}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{B173667F-8395-4317-8DD6-45AD1FE00047}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{B32672B3-F656-46E0-B584-FE61C0BB6037}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{BFE569F7-646C-4512-969B-9BE3E580D393}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{C2434722-5C85-4CA0-BA69-1B67E7AB3D68}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{C2996524-2187-441F-A398-CD6CB6B3D020}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{E047E227-5342-4D94-80F7-CFB154BF55BD}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{E3F79BE9-24D4-4F4D-8C13-DF2C9899F82E}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{E77EEF95-3E83-4BB8-9C0D-4A5163774997}
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{EF79F67A-6AD7-4715-A0F8-932FCA442023}]
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{EF79F67A-6AD7-4715-A0F8-932FCA442023}]
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks [{EF79F67A-6AD7-4715-A0F8-932FCA442023}]
Valeur Supprimée : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Toolbar [{EF79F67A-6AD7-4715-A0F8-932FCA442023}]

***** [Navigateurs] *****

-\\ Internet Explorer v8.0.7600.16869

Remplacé : [HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURls - Tabs] = hxxp://search.babylon.com/?AF=100482&babsrc=NT_ss&mntrId=ca9c33e1000000000000904ce58f0ef6 --> hxxp://www.google.com

-\\ Mozilla Firefox v18.0.1 (fr)

Fichier : C:\Users\Floriane\AppData\Roaming\Mozilla\Firefox\Profiles\gfzziuvg.default\prefs.js

C:\Users\Floriane\AppData\Roaming\Mozilla\Firefox\Profiles\gfzziuvg.default\user.js ... Supprimé !

Supprimée : user_pref("CT2849852_Firefox.csv", "[{\"from\":\"Abs Layer\",\"action\":\"loading toolbar\",\"time\"[...]
Supprimée : user_pref("browser.babylon.HPOnNewTab", "search.babylon.com");
Supprimée : user_pref("extensions.BabylonToolbar.admin", false);
Supprimée : user_pref("extensions.BabylonToolbar.aflt", "babsst");
Supprimée : user_pref("extensions.BabylonToolbar.babExt", "");
Supprimée : user_pref("extensions.BabylonToolbar.babTrack", "affID=100482");
Supprimée : user_pref("extensions.BabylonToolbar.bbDpng", 27);
Supprimée : user_pref("extensions.BabylonToolbar.dfltLng", "fr");
Supprimée : user_pref("extensions.BabylonToolbar.dfltSrch", true);
Supprimée : user_pref("extensions.BabylonToolbar.hmpg", true);
Supprimée : user_pref("extensions.BabylonToolbar.id", "ca9c33e1000000000000904ce58f0ef6");
Supprimée : user_pref("extensions.BabylonToolbar.instlDay", "15341");
Supprimée : user_pref("extensions.BabylonToolbar.instlRef", "sst");
Supprimée : user_pref("extensions.BabylonToolbar.keyWordUrl", "hxxp://search.babylon.com/?AF=100482&babsrc=adbar[...]
Supprimée : user_pref("extensions.BabylonToolbar.lastDP", 27);
Supprimée : user_pref("extensions.BabylonToolbar.lastVrsnTs", "1.5.3.1721:58:29");
Supprimée : user_pref("extensions.BabylonToolbar.mntrFFxVrsn", "3.6");
Supprimée : user_pref("extensions.BabylonToolbar.newTab", true);
Supprimée : user_pref("extensions.BabylonToolbar.newTabUrl", "hxxp://search.babylon.com/?babsrc=NT_bb");
Supprimée : user_pref("extensions.BabylonToolbar.noFFXTlbr", false);
Supprimée : user_pref("extensions.BabylonToolbar.prdct", "BabylonToolbar");
Supprimée : user_pref("extensions.BabylonToolbar.propectorlck", 92637067);
Supprimée : user_pref("extensions.BabylonToolbar.prtkDS", 0);
Supprimée : user_pref("extensions.BabylonToolbar.prtkHmpg", 0);
Supprimée : user_pref("extensions.BabylonToolbar.prtnrId", "babylon");
Supprimée : user_pref("extensions.BabylonToolbar.ptch_0717", true);
Supprimée : user_pref("extensions.BabylonToolbar.smplGrp", "azb");
Supprimée : user_pref("extensions.BabylonToolbar.srcExt", "ss");
Supprimée : user_pref("extensions.BabylonToolbar.tlbrId", "tb9");
Supprimée : user_pref("extensions.BabylonToolbar.vrsn", "1.5.3.17");
Supprimée : user_pref("extensions.BabylonToolbar.vrsnTs", "1.5.3.1721:58:29");
Supprimée : user_pref("extensions.BabylonToolbar.vrsni", "1.5.3.17");
Supprimée : user_pref("extensions.BabylonToolbar_i.aflt", "babsst");
Supprimée : user_pref("extensions.BabylonToolbar_i.babExt", "");
Supprimée : user_pref("extensions.BabylonToolbar_i.babTrack", "affID=100482");
Supprimée : user_pref("extensions.BabylonToolbar_i.hardId", "ca9c33e1000000000000904ce58f0ef6");
Supprimée : user_pref("extensions.BabylonToolbar_i.id", "ca9c33e1000000000000904ce58f0ef6");
Supprimée : user_pref("extensions.BabylonToolbar_i.instlDay", "15341");
Supprimée : user_pref("extensions.BabylonToolbar_i.instlRef", "sst");
Supprimée : user_pref("extensions.BabylonToolbar_i.newTab", false);
Supprimée : user_pref("extensions.BabylonToolbar_i.prdct", "BabylonToolbar");
Supprimée : user_pref("extensions.BabylonToolbar_i.prtnrId", "babylon");
Supprimée : user_pref("extensions.BabylonToolbar_i.smplGrp", "none");
Supprimée : user_pref("extensions.BabylonToolbar_i.srcExt", "ss");
Supprimée : user_pref("extensions.BabylonToolbar_i.tlbrId", "tb9");
Supprimée : user_pref("extensions.BabylonToolbar_i.vrsn", "1.5.3.17");
Supprimée : user_pref("extensions.BabylonToolbar_i.vrsnTs", "1.5.3.1721:58:29");
Supprimée : user_pref("extensions.BabylonToolbar_i.vrsni", "1.5.3.17");
Supprimée : user_pref("smartbar.machineId", "FS7AFZFNQSK6W6TTS4PUZONNYKHQTFL9SK6XC3MSEPTNULPPRUMW7KCVOY9ZZQ7QKZQ[...]

*************************

AdwCleaner[S1].txt - [11506 octets] - [23/01/2013 05:58:34]

########## EOF - C:\AdwCleaner[S1].txt - [11567 octets] ##########

0
Réponse 3 / 12
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
23 janv. 2013 à 12:07
Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :



netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
CREATERESTOREPOINT
nslookup www.google.fr /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs



* Clique sur le bouton Analyse.

NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT
* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent), donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message.
NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT
0
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 4 131
23 janv. 2013 à 14:36
Bon, je viens de faire deux tentatives, au moment ou OTL crée un point de restauration, plaf, BSOD dans la face avec un message du genre : PAGE_FAULT_IN_NONPAGED_AREA

Approximativement, l'écran passe trop vite pour noter exactement.

l'antivirus (MS security essential) se réveil aussi pour me dire qu'il y à un trojan : rootkit:Alureon->Mbr::Alureon

Je le laisse nettoyer ou j'attends la suite ?
0
Réponse 4 / 12
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
23 janv. 2013 à 14:49
Passe un coup de TDSSKiller : https://forum.malekal.com/viewtopic.php?t=28637&start=
Lire ce qui est écrit au niveau des suppressions/réparation (delete et cure), ne pas supprimer n'importe quoi.
Poste le rapport ici.

0
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 4 131
23 janv. 2013 à 15:11
Ca m'a détecter un rootkit, j'ai fait cure (pas de supress proposer), redémarrer comme demander et voila le rapport au redémarrage :

09:04:17.0611 2436 TDSS rootkit removing tool 2.8.15.0 Oct 31 2012 21:47:35
09:04:17.0813 2436 ============================================================
09:04:17.0813 2436 Current date / time: 2013/01/23 09:04:17.0813
09:04:17.0813 2436 SystemInfo:
09:04:17.0813 2436
09:04:17.0813 2436 OS Version: 6.1.7600 ServicePack: 0.0
09:04:17.0813 2436 Product type: Workstation
09:04:17.0813 2436 ComputerName: FLORIANE-PCPORT
09:04:17.0813 2436 UserName: Floriane
09:04:17.0813 2436 Windows directory: C:\Windows
09:04:17.0813 2436 System windows directory: C:\Windows
09:04:17.0813 2436 Running under WOW64
09:04:17.0813 2436 Processor architecture: Intel x64
09:04:17.0813 2436 Number of processors: 2
09:04:17.0813 2436 Page size: 0x1000
09:04:17.0813 2436 Boot type: Normal boot
09:04:17.0813 2436 ============================================================
09:04:22.0291 2436 BG loaded
09:04:23.0710 2436 Drive \Device\Harddisk0\DR0 - Size: 0x7470C06000 (465.76 Gb), SectorSize: 0x200, Cylinders: 0xED81, SectorsPerTrack: 0x3F, TracksPerCylinder: 0xFF, Type 'K0', Flags 0x00000040
09:04:23.0726 2436 ============================================================
09:04:23.0726 2436 \Device\Harddisk0\DR0:
09:04:23.0726 2436 MBR partitions:
09:04:23.0726 2436 \Device\Harddisk0\DR0\Partition1: MBR, Type 0x7, StartLBA 0x800, BlocksNum 0x63800
09:04:23.0726 2436 \Device\Harddisk0\DR0\Partition2: MBR, Type 0x7, StartLBA 0x64000, BlocksNum 0x389B8000
09:04:23.0726 2436 \Device\Harddisk0\DR0\Partition3: MBR, Type 0x7, StartLBA 0x38A1C000, BlocksNum 0x1969800
09:04:23.0726 2436 ============================================================
09:04:24.0116 2436 C: <-> \Device\Harddisk0\DR0\Partition2
09:04:29.0217 2436 D: <-> \Device\Harddisk0\DR0\Partition3
09:04:29.0217 2436 ============================================================
09:04:29.0217 2436 Initialize success
09:04:29.0217 2436 ============================================================
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 12
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
23 janv. 2013 à 15:19
OK retour à OTL :)
0
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 4 131
23 janv. 2013 à 15:23
Ca scan, encore merci pour l'aide. :-)
0
Réponse 6 / 12
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 4 131
23 janv. 2013 à 15:53
scan fait :

https://pjjoint.malekal.com/files.php?id=20130123_k14o15e9i7u14
https://pjjoint.malekal.com/files.php?id=20130123_u11f8f8c14u9
0
Réponse 7 / 12
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
23 janv. 2013 à 15:57
Paye ton pack pourri \o

Par curiosité, tu peux aller voir ce fichier : C:\Users\Floriane\AppData\Roaming\5iwjoq8.bat
Clic droit / modifier et tu colles le contenu ici.
Si c'est trop long, utilise pjjoint.

~~

Relance OTL.
o sous Persfonnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:

:OTL
O4 - HKLM..\Run: [0cleog4] C:\Users\Floriane\AppData\Roaming\v8uivv8.exe (TeamViewer GmbH)
SRV - [2012/10/03 18:08:11 | 000,000,092 | -H-- | M] () [Auto | Stopped] -- C:\Users\Floriane\AppData\Roaming\5iwjoq8.bat -- (v8uivv8)
[2012/12/28 11:08:19 | 000,090,176 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\12a8lqc.dat
[2012/12/13 18:35:55 | 000,001,304 | -HS- | C] () -- C:\Users\Floriane\AppData\Local\1pb78m8n6he1l1565b3k36w7o7of8ksb88y53s63tpqg0vl
[2012/12/13 18:35:55 | 000,001,304 | -HS- | C] () -- C:\ProgramData\1pb78m8n6he1l1565b3k36w7o7of8ksb88y53s63tpqg0vl
[2012/11/20 08:19:10 | 000,090,176 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\123ckus.dat
[2012/11/08 09:43:03 | 000,060,992 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\mjks588.dat
[2012/11/04 10:51:06 | 000,090,176 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\gmznnbb.dat
[2012/10/11 20:57:51 | 000,090,176 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\gmzdanb.dat
[2012/10/11 20:57:49 | 000,086,080 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\asfebji.dat
[2012/10/11 20:57:47 | 000,060,992 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\ekseldi.dat
[2012/10/03 18:08:11 | 000,000,092 | -H-- | C] () -- C:\Users\Floriane\AppData\Roaming\5iwjoq8.bat
[2012/10/03 18:08:09 | 000,090,176 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\lj1y6nb.dat
[2012/10/03 18:08:07 | 000,086,080 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\aftr4sb.dat
[2012/10/03 18:08:06 | 000,060,992 | ---- | C] () -- C:\Users\Floriane\AppData\Roaming\slr8k5s.dat

* redemarre le pc sous windows et poste le rapport ici


0
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
23 janv. 2013 à 15:58
PS : tu fesseras la proprio de la machine de ma part, semble pas y avoir d'antivirus installé.
0
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 4 131
23 janv. 2013 à 16:01
Voilz deja le .bat, je fait la suite :

@echo off
set path=C:\Users\Floriane\AppData\Roaming\
set exe="%path%"v8uivv8.exe
%exe%
0
Réponse 8 / 12
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 4 131
23 janv. 2013 à 16:04
Ca ne m'a pas demander de redémarage, voila le rapport :

========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\0cleog4 deleted successfully.
C:\Users\Floriane\AppData\Roaming\v8uivv8.exe moved successfully.
Service v8uivv8 stopped successfully!
Service v8uivv8 deleted successfully!
C:\Users\Floriane\AppData\Roaming\5iwjoq8.bat moved successfully.
C:\Users\Floriane\AppData\Roaming\12a8lqc.dat moved successfully.
C:\Users\Floriane\AppData\Local\1pb78m8n6he1l1565b3k36w7o7of8ksb88y53s63tpqg0vl moved successfully.
C:\ProgramData\1pb78m8n6he1l1565b3k36w7o7of8ksb88y53s63tpqg0vl moved successfully.
C:\Users\Floriane\AppData\Roaming\123ckus.dat moved successfully.
C:\Users\Floriane\AppData\Roaming\mjks588.dat moved successfully.
C:\Users\Floriane\AppData\Roaming\gmznnbb.dat moved successfully.
C:\Users\Floriane\AppData\Roaming\gmzdanb.dat moved successfully.
C:\Users\Floriane\AppData\Roaming\asfebji.dat moved successfully.
C:\Users\Floriane\AppData\Roaming\ekseldi.dat moved successfully.
File C:\Users\Floriane\AppData\Roaming\5iwjoq8.bat not found.
C:\Users\Floriane\AppData\Roaming\lj1y6nb.dat moved successfully.
C:\Users\Floriane\AppData\Roaming\aftr4sb.dat moved successfully.
C:\Users\Floriane\AppData\Roaming\slr8k5s.dat moved successfully.

OTL by OldTimer - Version 3.2.69.0 log created on 01232013_100329

0
Réponse 9 / 12
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
23 janv. 2013 à 16:08
tu peux envoyer v8uivv8.exe sur http://upload.malekal.com
il doit être dans C:\OTL\MoveIT\C\Users\Floriane\AppData\Roaming\v8uivv8.exe
(quelques choses comme ça).

~~

Ca doit être bon.

Installe Malwarebyte et fais un scan avec : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Fais le seulement si tu es parvenu à envoyer le fichier.
0
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 4 131
23 janv. 2013 à 16:23
bon, ben ça charge, 200Mo en upload, je patiente. :-)
0
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
23 janv. 2013 à 16:31
L'exe fait 200Mo ?!
Ca passera pas :)
0
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 4 131
23 janv. 2013 à 16:46
je peut essayer de te l'envoyer par un autre moyen, mais ça galere aussi.

Y'a pas de risque tant que je lance pas l'exe ?
0
Réponse 10 / 12
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
23 janv. 2013 à 17:16
Y'a pas de risque tant que je lance pas l'exe ?

yep.

Bha je voulais voir ce que c'était comme malware, le coup du bat, c'est original.
Si tu zips, ça reste gros ?
Sinon par mediafire.
0
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 4 131
23 janv. 2013 à 17:17
Je suis en train de l'up sur mon site, dans 15/30 minutes, ça devrait le faire, et ensuite je lance le scan.
0
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 4 131
23 janv. 2013 à 17:33
Voila la bête :

http://infofacile.org/v8uivv8.exe
0
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 4 131
23 janv. 2013 à 17:35
Prévient quand t'a fini de le DL que je dégage ce truc de mon site. :-)
0
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
Modifié par Malekal_morte- le 23/01/2013 à 18:31
Tu peux le supprimer.

Merci.

EDIT : zippé, il fait que 205k :)
https://www.virustotal.com/gui/file/3b4781c518ba60324537e29243f8cdc6ee64cc4ea910fc9d89cd1c1f2998f05d
0
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 4 131
23 janv. 2013 à 18:40
Rhaaa, mais pourquoi j'ai même pas essayer de le zipper. ;-)

Bon, le scan à trouver un truc (sans doute l'exe de 200 Ko), mais le programme s'est fermer tout seul comme un sagouin avant d'avoir fini (pas de log ou de rapport).

Vu que le pote qui m'a amené le PC doit partir, je vais pas relancer un scan qui prend trois plombe, il finira la désinfection tout seul comme un grand. ;-)

Donc les prochains messages viendront sans doute d'un pseudo non enregistré, mais c'est bien le même PC.

Je suivrait tout ça bien au chaud de chez moi.

En tout cas, on voie le bout, encore merci de ton aide.
0
Réponse 11 / 12
Malekal_morte- Messages postés 180304 Date d'inscription mercredi 17 mai 2006 Statut Modérateur, Contributeur sécurité Dernière intervention 15 décembre 2020 24 628
24 janv. 2013 à 08:25
Ayé j'ai pu le faire fonctionner : https://www.malekal.com/en-malware-with-big-size/
C'est une chinoiserie.

Marrant :)
0
Réponse 12 / 12
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 4 131
24 janv. 2013 à 16:46
Bonjour. Je suis l'ami de Pierrecastor (je sui stoujours connecté à son compte, donc j'en profite pour écrire directement!).

J'ai lancé le scan avec Malwarebytes, et après 2h, j'ai reçu ce rapport:

Malwarebytes Anti-Malware 1.70.0.1100
www.malwarebytes.org

Version de la base de données: v2013.01.23.08

Windows 7 x64 NTFS
Internet Explorer 8.0.7600.16385
Floriane :: FLORIANE-PCPORT [administrateur]

24/01/2013 08:42:31
mbam-log-2013-01-24 (08-42-31).txt

Type d'examen: Examen complet (C:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 546299
Temps écoulé: 1 heure(s), 57 minute(s), 38 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)


normalement, si j'ai bien compris, tout devrait être clean, mais je préfère avoir votre avis, et savoir, si il faut faire quelque chose d'autre derrière!

Encore merci pour tout.
0
Pierrecastor Messages postés 41466 Date d'inscription mercredi 5 novembre 2003 Statut Modérateur Dernière intervention 5 avril 2024 4 131
24 janv. 2013 à 17:02
Rhoo, hé l'autre, y me vole mon compte. ;-)

Bon, faut croire que Malwarebytes Anti-Malware à du virer le malware lors du premier scan qui s'est planter en cour de route, mais on va attendre l'avis de Malekal pour en être sur.


Pierrecastor, le seul, le vrai. ;-)
0