virus postarticle msnRésolu/Fermé

Question

Configuration: Windows XP / Internet Explorer 8.0


Bonjour à tous,
J'ai été infecté par un virus postarticle/msn.
Si quelqu'un peut m'aider à m'en débarasser ; j'ai effectuer des scan et semblant de réparation sans succès ; je vous poste tout de meme les rapports d'usb fix 
http://www.cijoint.fr/cjlink.php?file=cj201004/cij6U6IcBT.txt

et de ZHPDiag 
http://www.cijoint.fr/cjlink.php?file=cj201004/cijQgvapHB.txt 

Merci en tout cas pour votre aide

ep44 · Answer

Bonjour,  

Pour commencer tu peux relancer USBFix en mode nettoyage. 

Ensuite  

Relance ZHPDiag et relance un scan, un fois le scan fini clique sur le bouclier vert ZHPFix. 
Ensuite clique sur le H "Coller les lignes Helper" 
Copie colle ces lignes dans la fenêtre 


O3 - Toolbar: (no name) - {1E796980-9CC5-11D1-A83F-00C04FC99D61} . (.Pas de propriétaire - Pas de description.) --      
   
O4 - HKCU\..\Run: [Firewall Administrating] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\infocard.exe  

O4 - HKCU\..\Run: [Firewall Administrating] . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\infocard.exe  

O44 - LFC:[MD5.89704F03D51496158BF34DC84DEC544D] - 18/04/2010 - 16:25:39 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\System32\drivers\PEVBILLP.SYS.del  [39936]        

O44 - LFC:[MD5.81051BCC2CF1BEDF378224B0A93E2877] - 18/04/2010 - 15:51:48 RSHA- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\winstart.bat   [2]   

O47 - AAKE:Key Export SP - "C:\Documents and Settings\maison\Local Settings\Temporary Internet Files\Content.IE5\75J0DO8S\IM24672.JPG-www.facebook.com[1].exe" [Enabled] .(.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\infocard.exe        

O47 - AAKE:Key Export SP - "C:\Documents and Settings\maison\Local Settings\Temporary Internet Files\Content.IE5\75J0DO8S\IM24672.JPG-www.facebook.com[2].exe" [Enabled] .(.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\infocard.exe    
    
O58 - SDL:[MD5.89704F03D51496158BF34DC84DEC544D] - 18/04/2010 - 16:25:39 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\WINDOWS\system32\drivers\PEVBILLP.SYS.del       

O51 - MPSK:{b5789f34-003c-11de-b90b-4d6564696130}\Shell\AutoRun\command. (.Pas de propriétaire - Pas de description.) -- F:\DOBROJE///tudja.exe (.not file.)   

 O51 - MPSK:{b5789f34-003c-11de-b90b-4d6564696130}\Shell\explore\command. (.Pas de propriétaire - Pas de description.) -- F:\DOBROJE///tudja.exe (.not file.)  

 O51 - MPSK:{b5789f34-003c-11de-b90b-4d6564696130}\Shell\open\command. (.Pas de propriétaire - Pas de description.) -- F:\DOBROJE///tudja.exe (.not file.)  
  
O64 - Services: CurCS - (.not file.) - fqzrlvex (fqzrlvex)  .(.Pas de propriétaire - Pas de description.) - LEGACY_FQZRLVEX   

O64 - Services: CurCS - C:\WINDOWS\system32\drivers\Partizan.sys - Partizan (Partizan)  .(.Greatis Software - Partizan - Rootkit detector.) - LEGACY_PARTIZAN       

Tu cliques ensuite sur "Tous" (ou tu coches la ligne), puis sur "Nettoyer" 
ZHPFix va générer un rapport, envoie le pour vérification. 



Ensuite  
 Télécharge ToolBar S&D ( de Eric_71/Team IDN ) sur ton bureau : 
https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/ToolBarSD.exe?attachauth=ANoY7cpVobGk5bHnxrhQ4yaoEUDJvOYNnEGyYjgqHZz5GqZLfutR3fMFPlsC3-CGIilfupPAguYATNyua3csodN_frdMK8sSzUpit10Yac-QJCOkMqJKkbdKcP6ySs8trWPgoNVIq4TGGWCe6o0txXQv-ZueJF9vZzw3RXsGwFYIqN2lvF2LPdQzS8mE1d5kWOVOz6EMzQuE5-lClSJM869uq3oc7-t7yg%3D%3D&attredirects=3  

* ( Tuto : https://sites.google.com/site/toolbarsd/aideenimages )  

!! Déconnecte toi et ferme toutes tes applications en cours le temps de la manipe !!  

*  Double-clique sur ToolBar SD.exe pour lancer l'outil et laisse toi guider ...  
--> Tapes directement sur 2 ( option " suppression " ) puis tape sur [Entrée].  

Le nettoyage commence .  

! ne touche à rien lors de la suppression !  

* Un rapport sera généré à la fin du processus : poste son contenu dans ta prochaine réponse  
accompagné d'un nouveau rapport hijackthis pour analyse ...  

( le rapport est en outre sauvegardé ici -> C:\TB.txt ) 
  
  
Et pour la suite 

Télécharge CCleaner 
https://filehippo.com/download_ccleaner/
> Aide toi de ce tuto pour l'utiliser 
http://www.swl1f.net/viewtopic.php?f=14&t=69





* Télécharge malwarebytes
http://www.malwarebytes.org/mbam/program/mbam-setup.exe
Une aide pour l'installation 
http://www.swl1f.net/viewtopic.php?f=14&t=68


> Installe le 
> Lance malwarebytes
> Coche "Executer un examen complet"
> Si tu es en présence d'une infection à la fin de l'examen clique sur "ok"
> Clique sur Supprimer la sélection
> Pour poster le rapport Clique sur l'onglet Rapports/Logs, sélectionne celui t'intéresse et clique sur Ouvrir
> Fait copier coller et poste le rapport 
  r
  

C'est généralement lorsque le disque dur plante qu'on se rend compte qu'on a oublié de le sauvegarder.

ep44 · Answer

ZHP est incomplet, il faut l'heberger sur http://www.cijoint.fr

C'est bien ce qui est fait ? 
Le rapport lui est bien en entier !



Juste pour te dire que Malwarebytes n'est pas à jour.
Il faut recommencer. 
La mise à jour ce fait au téléchargement du logiciel et vu que notre ami jesaisplus2 a déjà Malwarebytes sur son PC il suffit de faire une mises à jours avant utilisation.


jesaisplus2

Pour la suite il te faut poster les rapports demandés :)

ep44 · Answer

Euh...... il faut que m'explique Tigzy 

Deux rapports de 677 lignes chacun ??? et ce ne sont pas les mêmes ?
 de plus !!!

Rapport de ZHPDiag v1.25.1356 par Nicolas Coolman
Run by maison at 19/04/2010 11:27:27

Et ça sur les deux rapports.  o_o

ep44 · Answer

oki pour MBAM :)

Mais tu dit bien 

Pour le ZHP il est ok parce qu'il l'a refait ^^ voir plus haut, avant mon intervention. 

Il a posté deux fois le même rapport.

Mais pas de soucis :)


jesaisplus2 

Il te faut effectivement faire la mise à jour de Malwarebytes avant sont utilisation, tout comme logiciel, les mises à jour ont un rôle important.

Refais aussi un nouveau rapport avec ZHPDiag pour s'assurer de la suppression.
Tu noteras la date et heure en haut du rapport que tu feras poste le bon rapport :)

jesaisplus2 · Answer

fait dans le post au dessus

ep44 · Answer

Ok, c'est le soucis de ne pas poster dans l'ordre. 

ZHPFix n'as pas pu désinstaller ce driver PEVBILLP.SYS.del    

??Télécharge OTM (de Old_Timer) sur ton Bureau, 
? Double-clique sur OTM.exe pour lancer le programme, 
? Copie la liste de fichiers ou de dossiers ci-dessous et colle-la dans la fenêtre du programme "Paste Instructions for Items to be Moved" : 

:processus 
explorer.exe 

:services 
PEVBILLP 

:files 
C:\WINDOWS\System32\drivers\PEVBILLP.SYS.del    

:Commands 
[emptytemp] 
[Reboot]  

  ?  Clique sur MoveIt! pour lancer la suppression, 
  ? Le résultat apparaîtra dans le cadre Results. 
  ? Clique sur Exit pour fermer le programme. 
  ? Poste le rapport qui est situé ici : C:\\_OTM\MovedFiles 
  ? Il te sera peut-être demandé de redémarrer ton PC. Dans ce cas, clique sur Yes. 
C'est généralement lorsque le disque dur plante qu'on se rend compte qu'on a oublié de le sauvegarder.

ep44 · Answer

&#9674;&#9674;&#9674; Fait un scan en ligne avec Kaspersky &#9674;&#9674;&#9674;
   
&#9830; Une fois la fenêtre du scanner en ligne ouverte :
&#9830; Prendre connaissance de ce qui est indiqué dans la partie "information" et clique sur "j'accepte".
(Si tu es sur IE, on va te demander de télécharger un contrôle Active X, accepte)
 
&#9830;   Le "téléchargement et la mise à jour du programme" se lance .
 
&#9830; Ensuite la "mise à jour de la base de données" se fait, patiente jusqu'à ce que se soit fini ( ceci peut-être relativement long ).
 
&#9830; Une fois fini, le scanner est prêt.
&#9830; Dans l'onglet "Analyser" clique sur Poste de travail afin de faire une analyse complète du système
Une fois le scan terminé, le résultat s'affiche.
     
&#9830; Clique sur "enregistrer rapport" pour faire une sauvegarde de ce dernier et post-le.

Poste le rapport de Kaspersky.

jesaisplus2 · Answer

wahoo  5h40 de scan après, voilà le rapport de kaspersky :
http://www.cijoint.fr/cjlink.php?file=cj201004/cijnC6jcuy.txt

ep44 · Answer

Très bien, un peu long mais il nous a trouvé autres choses, fait ce qui suit stp pour trouver toutes traces de ce fichier que tu supprimeras par la suite.

&#9674;&#9674;&#9674;Télécharge SEAF  de C__XX sur ton Bureau :&#9674;&#9674;&#9674;



! Ferme toutes applications en cours !

    &#9830; Double clique sur "SEAF.exe" ( clique droit et "Exécuter en tant qu'administrateur" pour Vista / 7 ) pour lancer l'outil.

    &#9830; Dans l'encadré blanc ou il est écrit Ccleaner" copie/colle ceci :

   ntuser.init
 
    &#9830; Au niveau des "options des fichiers ", fait les réglages suivant :

      &#9674; A "Calculer le checksum" , choisis : MD5
      &#9674; Coche la case devant " Info. supplémentaire ".
      &#9674; Coche la case devant " Afficher les ADS "

    &#9830; Au niveau des " options du registre " :

      &#9830; coche " chercher également dans le registre "

      ( ne touche à aucun autre réglage )

    &#9830; Clique sur " Lancer la recherche " et laisse travailler l'outil ...



( cela peut-être plus ou moins long suivant les cas ).

--> Une fois terminé, une fenêtre avec un log .txt va s'afficher. Enregistre ce rapport de façon à le retrouver facilement ( sur le bureau par exemple ). Sinon il sera en outre sauvegardé à la racine de ton disque dur ( ici > C:\SEAFLog.txt )

--> Copie/colle le contenu de ce rapport dans ta prochaine réponse . Si le rapport est trop long, utilise le site d'uplaod "Cijoint" pour me le faire parvenir > http://www.cijoint.fr/

jesaisplus2 · Answer

1. ========================= SEAF 1.0.0.7 - C_XX
2. 
3. Commencé à: 20:26:37 le 20/04/2010
4. 
5. Valeur(s) recherchée(s):
6. 
7. ntuser.init
8. 
9. (!) --- Calcul du Hash "MD5"
10. (!) --- Affichage des ADS
11. (!) --- Informations supplémentaires
12. (!) --- Recherche registre
13. 
14. ====== Fichier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
15. 
16. "c:\WINDOWS\system32
tuser.init" [ ----H---- | 71680 ]
17. TC: 09/04/2010,11:42:02 | TM: 09/04/2010,11:42:02 | DA: 20/04/2010,17:59:56
18. MD5: f1aa2394932f3bb58e33c75dad615f64
19. 
20. 
21. 
22. =========================
23. 
24. "c:\Documents and Settings\maison
tuser.init" [ ----H---- | 71680 ]
25. TC: 09/04/2010,11:42:02 | TM: 09/04/2010,11:42:02 | DA: 20/04/2010,14:08:17
26. MD5: f1aa2394932f3bb58e33c75dad615f64
27. 
28. 
29. 
30. =========================
31. 
32. ====== Dossier(s) (TC: Date de création, TM: Date de modification, DA, Dernier accès) ======
33. 
34. Aucun dossier trouvé
35. 
36. 
37. ====== Entrée(s) du registre ======
38. 
39. Aucune entrée du registre trouvée
40. 
41. =========================
42. 
43. Fin à: 20:29:03 le 20/04/2010 ( E.O.F )

ep44 · Answer

&#9674;&#9674;&#9674;Télécharge OTM (de Old_Timer)sur ton Bureau,&#9674;&#9674;&#9674;
&#9830; Double-clique sur OTM.exe pour lancer le programme,
&#9830; Copie la liste de fichiers ou de dossiers ci-dessous et colle-la dans la fenêtre du programme "Paste Instructions for Items to be Moved" :



:Files
c:\WINDOWS\system32
tuser.init
c:\Documents and Settings\maison
tuser.init
  
:Commands
[emptytemp]
[Reboot] 


   &#9830; Clique sur MoveIt! pour lancer la suppression,
   &#9830; Le résultat apparaîtra dans le cadre Results.
   &#9830; Clique sur Exit pour fermer le programme.
   &#9830; Poste le rapport qui est situé ici : C:\\_OTM\MovedFiles
   &#9830; Il te sera peut-être demandé de redémarrer ton PC. Dans ce cas, clique sur Yes.

Une fois le PC démarrer dit moi si il tourne correctement.

jesaisplus2 · Answer

All processes killed
========== FILES ==========
c:\WINDOWS\system32
tuser.init moved successfully.
c:\Documents and Settings\maison
tuser.init moved successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: maison
->Temp folder emptied: 110667560 bytes
->Temporary Internet Files folder emptied: 75650304 bytes
->Java cache emptied: 135195 bytes
->Flash cache emptied: 2323 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 505 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 0 bytes
RecycleBin emptied: 61168 bytes
 
Total Files Cleaned = 178,00 mb
 
 
OTM by OldTimer - Version 3.1.10.2 log created on 04202010_220334

Files moved on Reboot...
File C:\Documents and Settings\maison\Local Settings\Temp\~DF552.tmp not found!
File C:\Documents and Settings\maison\Local Settings\Temp\~DF55D.tmp not found!
File C:\Documents and Settings\maison\Local Settings\Temp\~DF5B5.tmp not found!
File C:\Documents and Settings\maison\Local Settings\Temp\~DF5C2.tmp not found!
C:\Documents and Settings\maison\Local Settings\Temporary Internet Files\Content.IE5\AVJ2PBI7\affich-17433641-virus-postarticle-msn[1].txt moved successfully.
C:\Documents and Settings\maison\Local Settings\Temporary Internet Files\AntiPhishing\2CEDBFBC-DBA8-43AA-B1FD-CC8E6316E3E2.dat moved successfully.

Registry entries deleted on Reboot...

jesaisplus2 · Answer

Le Pc tourne normalement, à premiere vue...

En tout cas plus de soucis sur msn ni la page d'accueil

Si ca te semble OK pour le rapport OMT :-)

Merci énormément pour ton aide : patient + efficace = nickel
Bonne journée à toi

Virus postarticle msn

13 réponses

Discussions similaires

Newsletters