Trojan win32.Agent.fbx à supprimerRésolu/Fermé

Question

Bonjour, 

J'ai effectué un scan de mon ordi avec spybot et il a découvert un trojan : j'ai essayer de le supprimer mais il revient à chaque fois.
Il se trouve ici : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\pascken
Que faire contre ceci svp ?


Configuration: Windows Vista / Firefox 3.6.9

Nico51 · Answer

Up

kalimusic · Answer

Bonjour et Bienvenue sur CCM

A part cette détection de Spybot, as tu d'autres symptômes ? Nous allons utiliser cet outil de diagnostic afin d'identifier les problèmes de ton ordinateur. 

Télécharge OTL  (de OldTimer) sur ton Bureau.

 Ferme toutes tes applications en cours

    * Lance OTL.exe 
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
    * L'interface principale s'ouvre :
    * Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal
    * Coche également les cases Recherche LOP et Recherche Purity
    * Laisse tous les autres paramètres par défaut (âge du fichier 30 jours)
    * Clique sur le bouton Analyse, patiente pendant le balayage du système.
    * 2 rapports vont s'ouvrir au format bloc-note : OTL.txt (qui sera affiché) ainsi que de Extras.txt (réduit dans la barre des tâches) 
* Ne les poste pas sur le forum, ils seraient trop long 
* Héberge les sur http://www.cijoint.fr/
* Tu obtiendras 2 liens de ce type http://www.cijoint.fr/cjlink.php?file=cj200906/XcijvLjYL5L.txt que tu me donneras dans ton prochain message.


A +

Nico51 · Answer

D'abord merci beaucoup de ton aide .
J'ai un autre "symptôme" effectivement : mes contacts hotmail reçoivent des messages en anglais avec des pièces jointes (par exemple une pub pour un téléphone) . Quand à moi je reçois 4-5 fois par jour un message (delivery status notification, etc.).
Voici les liens OLT.txt http://www.cijoint.fr/cjlink.php?file=cj201009/cijWGdXApA.txt
et Extra.txt http://www.cijoint.fr/cjlink.php?file=cj201009/cijMZO34ob.txt

kalimusic · Answer

Nico51,

Durant la désinfection, il est préférable de ne pas :

1. Ajouter de programmes à ton PC
2. Utiliser d'outil de désinfection de ta propre initiative
3. Suivre d'autres conseils afin de ne pas interférer sur la procédure en cours

Il est préférable de terminer la procédure même si ton PC semble aller mieux.

N'hésite pas à me faire part d'éventuelles difficultés dans les manipulations demandées.

Afin de permettre aux outils de désinfection de travailler correctement :

Désactive l'UAC

Désinstalle Spybot S&D, logiciel complètement dépassé et qui risque de gêner le désinfection : 
  
1. Désactive le module Tea Timer  
2. Dé-vaccine  
3. Désinstalle  

Désinstalle aussi McAfee Security Scan 

****************************************************************

1. Tu as installé un logiciel avec un l'adware Navipromo
Tu as installé ou accepté d'installer avec des logiciels des barres d'outils néfastes ou douteuses : Les toolbars c'est pas obligatoire! 

Désinstalle, si possible, les logiciels suivant :

Favorit 
Dealio Toolbar v4.0.2     
Search Settings v1.2.3     
2. Télécharge AD-Remover (C_XX) sur le bureau 

Désactive la protection résidente de ton anti-virus pour ne pas gêner le travail de l'outil    

* Lance Ad-R 
  -  Sous Vista/Seven : clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
* Clique sur "Oui" dans la boite de dialogue 
* Dans l'interface principale, clique sur le bouton Nettoyer puis confirme l'action en cliquant sur "Oui" 
* Patiente le temps du scan (le bureau peut disparaitre), le rapport doit s'ouvrir spontanément à la fin. 
* Clique sur Quitter 

Copie/colle le rapport dans ton prochain message.

Si le rapport ne s'ouvre pas spontanément, il se trouve à la racine du disque C:\Ad-report-CLEAN

"Process.exe" est détecté par certains antivirus comme étant un RiskTool.
Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus

Autre infection par support amovibles :

2. Télécharge et installe UsbFix   (par  C_XX & El Desaparecido) sur le Bureau   
    ! ! Branche tous tes supports amovibles (Clés USB, DD externes, etc...) sans les ouvrir !!   
    * lance UsbFix 
  -  Sous Vista/Seven : clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
    * Clique sur le bouton  "Recherche"   
    * Patiente le temps du balayage qui peut durer plusieurs minutes   
    * Le rapport doit s'ouvrir spontanément à la fin du scan   
    * Copie/colle le rapport dans le prochain message   

   Le rapport est sauvegardé à la racine du disque C:\Usbfix.txt   

"Process.exe" est détecté par certains antivirus comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. Le mieux étant de désactiver temporairement ton antivirus 

A +

Nico51 · Answer

Voila j'ai désinstaller 
-Favorit 
-Dealio Toolbar v4.0.2     
-Search Settings v1.2.3 

et voici le copier coller du rapport

======= RAPPORT D'AD-REMOVER 2.0.0.1,E | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 06/09/10 à 15:20
Contact: AdRemover.contact[AT]gmail.com
Site web: http://www.teamxscript.org

C:\Program Files (x86)\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 20:37:17 le 14/09/2010, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium  Service Pack 2 (X64) 
nikos@PC-DE-NIKOS (Packard Bell imedia S3210) 
 
============== ACTION(S) ==============

Service: "Application Updater" Stoppé et supprimé 

0,Fichier supprimé: C:\Program Files (x86)\Mozilla FireFox\extensions\dealio@mybrowserbar.com
0,Fichier supprimé: C:\Program Files (x86)\Mozilla Firefox\extensions\searchsettings@spigot.com
0,Dossier supprimé: C:\Program Files (x86)\Application Updater
0,Dossier supprimé: C:\Users
ikos\AppData\LocalLow\Dealio
0,Dossier supprimé: C:\Program Files (x86)\Dealio Toolbar
0,Dossier supprimé: C:\Users
ikos\AppData\LocalLow\Search Settings
0,Dossier supprimé: C:\Program Files (x86)\Search Settings
3,Fichier supprimé: C:\Windows\Installer\1689de0.msi 
3,Fichier supprimé: C:\Windows\Installer\1689de7.msi 

(!) -- Fichiers temporaires supprimés.


1,Erreur suppression clé: HKLM\Software\Classes\CLSID\{E312764E-7706-43F1-8DAB-FCDD2B1E416D} (Error code: -2)
1,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé supprimée: HKLM\Software\Classes\Interface\{D5A1EF9A-7948-435D-8B87-D6A598317288}
1,Clé supprimée: HKLM\Software\Classes\TypeLib\{CD082CCA-086F-4FD8-8FD7-247A0DBBD1CC}
0,Clé supprimée: HKLM\Software\Classes\SearchSettings.BHO
0,Clé supprimée: HKLM\Software\Classes\SearchSettings.BHO.1
0,Erreur suppression clé: HKLM\Software\Application Updater (Error code: -2)
0,Clé supprimée: HKLM\Software\Dealio
0,Erreur suppression clé: HKLM\Software\Search Settings (Error code: -2)
0,Clé supprimée: HKCU\Software\fcn
0,Clé supprimée: HKCU\Software\AppDataLow\Software\Dealio
0,Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{C878CD69-85DB-426B-81A3-E71175AAEB91}
0,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\LowRegistry\Search Settings

0,Valeur supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Run|SearchSettings
0,Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks|{E312764E-7706-43F1-8DAB-FCDD2B1E416D}


============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.6.9 (fr)] **

-- C:\Users
ikos\AppData\Roaming\Mozilla\FireFox\Profiles\inrmv7v6.default\Prefs.js --
browser.download.lastDir, C:\Users\nikos\Downloads
browser.startup.homepage, hxxp://homepage.packardbell.com/rdr.aspx?b=ACPW&l=040c&m=imedia_s3210&r=1v3607091606p0375vq95y...
browser.startup.homepage_override.mstone, rv:1.9.2.9

========================================

** Internet Explorer Version [8.0.6001.18943] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\Windows\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\Main] 
AutoHide: yes
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\Windows\SysWOW64\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files (x86)\Ad-Remover\Quarantine: 102 Fichier(s)
C:\Program Files (x86)\Ad-Remover\Backup: 15 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 14/09/2010 (4357 Octet(s)) 

Fin à: 20:39:47, 14/09/2010 
 
============== E.O.F ============== 

C'est grave docteur?

kalimusic · Answer

Pour les adwares c'est bon...

On verra ce qu'on trouve ensuite.

Continue avec UsbFix, A +

Nico51 · Answer

Ok j'avais qu'un apareil photo et la clé wi-f (pas de clé usb ni dd externe)
Sa donne ça :
############################## | UsbFix 7.024 | [Recherche]

Utilisateur: nikos (Administrateur) # PC-DE-NIKOS [Packard Bell imedia S3210]
Mis à jour le 09/09/10 par El Desaparecido / C_XX
Lancé à 21:41:11 | 14/09/2010
Site Web: http://www.teamxscript.org
Contact: FindyKill.Contact@gmail.com

CPU: AMD Athlon(tm) 7450 Dual-Core Processor 
CPU 2: AMD Athlon(tm) 7450 Dual-Core Processor 
Microsoft® Windows Vista(TM) Édition Familiale Premium  (6.0.6002 64-Bit) # Service Pack 2
Internet Explorer 8.0.6001.18943

Pare-feu Windows: Activé
RAM -> 4094 Mo 
C:\ (%systemdrive%) -> Disque fixe # 342 Go (165 Go libre(s) - 48%) [OS] # NTFS
D:\ -> Disque fixe # 342 Go (342 Go libre(s) - 100%) [DATA] # NTFS
E:\ -> CD-ROM
J:\ -> Disque amovible # 4 Go (3 Go libre(s) - 94%) [] # FAT32

################## | Éléments infectieux |

Présent! E:\Autorun.inf
Présent! E:\game.exe
Présent! E:\Installer.exe

################## | Registre |


################## | Mountpoints2 |

HKCU\.\.\.\.\Explorer\MountPoints2\{389c41e8-7b53-11de-a947-806e6f6e6963}
Shell\AutoRun\Command = E:\installer.exe


################## | Vaccin |

(!) Cet ordinateur n'est pas vacciné!

################## | E.O.F |

kalimusic · Answer

Nico51,

Si tu as un CD dans le lecteur E, enlève le et dis moi ce que c'est. 

1. !! Ferme toutes tes applications en cours et désactive la protection résidente de ton anti-virus !!   

Branche tous tes supports amovibles (clés USB, DD externes, etc...) sans les ouvrir  

    * Relance UsbFix en choisissant maintenant  "Suppression"  
     -  Sous Vista/Seven : clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
    * UsbFix scanne ton pc, laisse travailler l'outil (le bureau peut disparaitre)
    * A la fin du nettoyage, clique sur OK dans la boite de dialogue 
    * Upload le dossier zip demandé
    * Le rapport doit s'ouvrir spontanément, copie/colle le dans le prochain message

Il est recommandé de redémarrer le pc après cette opération

   Le rapport est sauvegardé à la racine du disque C:\Usbfix.txt   

Rappel : "Process.exe" est détecté par certains antivirus comme étant un RiskTool. Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus


2. Télécharge et enregistre List_Kill'em (de gen-hackman)  sur le Bureau.

!! Important => Désactive ton antivirus !! 

    * Lance l'installation
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
    * Fait l'installation par défaut en cliquant à chaque fois sur suivant 
    * Clique enfin sur "Terminer" et le programme va se lancer
    * Choisis l'option "Search"
    * Patiente pendant le travail de l'outil qui peut prendre plusieurs minutes
    * A l'apparition d'une fenêtre blanche, même si c'est long, c'est normal, le programme n'est pas bloqué.
    * Un rapport "catchme" apparait sur le bureau, ignore-le, il disparaitra en fin de scan
    * Le rapport s'ouvre spontanément après 100 % du scan à l'ecran "COMPLETED"
    * Héberge le rapport sur http://www.cijoint.fr

A +

Nico51 · Answer

D'accord merci mais une question d'abord : sa va effacer tout ce qu'il y a sur l'appareil photo?

kalimusic · Answer

Nico51,

D'accord merci mais une question d'abord : sa va effacer tout ce qu'il y a sur l'appareil photo?Ton APN est bien sur J ? Non rien du tout.


Et aussi le CD c'est un Cd de jeu de mon frère (Thème Park)C'est ça https://theme-park.fr.softonic.com/ ?

A +

Nico51 · Answer

Nico51 · Answer

J'ai installer List_Kill'Em et j'ai ensuite appuyer sur Terminer et j'ai eu le message suivant : 
"Impossible d'exécuter le fichier :
C:\Program Files (x86)\List_Kill'Em\Get_Upd.exe

Create Process a échoué ; code 740.
L'opération demandée nécessite une élévation."

J'ai donc essayer de le lancer via le menu démarrer : ça a marché mais lorsque j'appuie sur search j'ai un autre message :
"Windows ne trouve pas 'List'em.bat'. Vérifiez que vous avez entré le nom correct, puis réessayer"

Merci d'avance.

kalimusic · Answer

Nico51,  

Supprime tout et recommence.  
Télécharge le fichier d'installation sur ton Bureau.  
Désactive ton antivirus.
Ensuite n'oublie pas de l'exécuter en tant qu'administrateur comme indiqué ici : https://forums.commentcamarche.net/forum/affich-19182668-trojan-win32-agent-fbx-a-supprimer#8  

A +  
   
«La raison et la logique ne peuvent rien contre l'entêtement et la sottise.»

Nico51 · Answer

Erf j'ai réessayer 5-6 fois de télécharger installer etc. exécuter en admin mais toujours les mêmes messages...

kalimusic · Answer

arff, on fait différemment...

1. Télécharge  ATF  (par A-Tribune) sur le bureau  
    * Lance l'outil 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.  
    * Coche Select All  
    * Clique sur Empty Selected  
    * Clique sur OK dans la boite de dialogue Done cleaning!  
    * Si tu utilises un autre navigateur que IE, choisis ton navigateur dans l'onglet du haut (Firefox ou Opera )  
    * Coche Select All  
(Si tu souhaites conserver les mots de passe sauvegardés, clique Non à l'invite)  
    * Clique sur Empty Selected  
    * Accepte de tout supprimer en cliquant sur OK  

Cet outil ne donne pas de rapport, il sert à préparer le passage du logiciel suivant.  

2. Télécharge MBAM  et installe le selon l'emplacement par défaut. 
    * Effectue la mise à jour et lance Malwarebytes' Anti-Malware 
    * Clique dans l'onglet du haut "Recherche" 
    * Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher"  
* Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen" 

A la fin de l'analyse, si MBAM n'a rien trouvé :

    * Clique sur OK, le rapport s'ouvre spontanément 

Si des menaces ont été détectées :

    * Clique sur OK puis "Afficher les résultats" 
    * Choisis l'option "Supprimer la sélection" 
    * Si MBAM demande le redémarrage de Windows : Clique sur "Oui" 
    * Une fois le PC redémarré, le rapport se trouve dans l'onglet "Rapports/Logs" 
    * Sinon le rapport s'ouvre automatiquement après la suppression  

Quelque soit le résultat, copie/colle le rapport dans le prochain message 

A +

Nico51 · Answer

Merci encore : voici donc le rapport de MBAM (il y avait des menaces détectées)

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4629

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18943

16/09/2010 20:38:38
mbam-log-2010-09-16 (20-38-38).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|G:\|H:\|I:\|)
Elément(s) analysé(s): 321539
Temps écoulé: 56 minute(s), 39 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 3

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:\Program Files (x86)\Ad-Remover\Quarantine\C\Program Files (x86)\Dealio Toolbar\WidgiHelper.exe.vir (Adware.WidgiToolbar) -> Quarantined and deleted successfully.
C:\Program Files (x86)\Ad-Remover\Quarantine\C\Program Files (x86)\Dealio Toolbar\FF\components\dealioToolbarFF.dll.vir (Adware.WidgiToolbar) -> Quarantined and deleted successfully.
C:\Program Files (x86)\Ad-Remover\Quarantine\C\Program Files (x86)\Dealio Toolbar\IE\4.0.2\dealioToolbarIE.dll.vir (Adware.WidgiToolbar) -> Quarantined and deleted successfully.

kalimusic · Answer

Nico51,

Non, plus de menaces, MBAM a trouvé des fichiers dans la quarantaine d'un outil utilisé : C:\Program Files (x86)\Ad-Remover\Quarantine

Comment se comporte le PC maintenant ?

Relance OTL 
  - Sous Vista/Seven : clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
* Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal
* Laisse tous les autres paramètres par défaut
* Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.
* Après le balayage, le rapport  OTL.txt va s'ouvrir au format bloc-note 
* Héberge le sur http://www.cijoint.fr/ comme la 1er fois

A +

Nico51 · Answer

Voilà 

 http://www.cijoint.fr/cjlink.php?file=cj201009/cij9ZM942M.txt

kalimusic · Answer

Nico51,  

OTL logfile created on: 14/09/2010 19:23:39 - Run 1C'est pas le bon, c'est le même qu'au début.  

Si tu le retrouves plus, tu peux relancer l'analyse de préférence depuis ton Bureau - et non du dossier téléchargement      ;)  

A +  

«La raison et la logique ne peuvent rien contre l'entêtement et la sottise.»

Nico51 · Answer

Ah oui effectivement petite erreur de ma part :
 http://www.cijoint.fr/cjlink.php?file=cj201009/cijJ3Zn5jA.txt
Exécuté depuis le bureau x)

kalimusic · Answer

Nico51,

Relance OTL
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
    * L'interface principale s'ouvre :
    * Dans la partie du bas "Personnalisation", copie/colle la liste en citation :

:OTL
O2 - BHO: (no name) - {01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C} - Reg Error: Value error. File not found     
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1     
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1     
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Java Plug-in 1.6.0_20) 
O16 - DPF: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Java Plug-in 1.6.0_20) 
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Java Plug-in 1.6.0_20) 
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab (Reg Error: Key error.)     
[2010/09/13 20:18:12 | 000,000,000 | ---D | C] -- C:\ProgramData\Spybot - Search & Destroy     
[2010/09/13 20:18:12 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Spybot - Search & Destroy     
@Alternate Data Stream - 125 bytes -> C:\ProgramData\TEMP:8CE646EE

:Commands 
[emptyflash]
[emptytemp]
    * Clique sur le bouton Correction, patiente pendant le travail de l'outil, il va redémarrer le PC.   
    * Accepte en cliquant sur OK 
    * Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément   
    * Copie/colle le dans ton prochain message   

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles (Vérifie la date si besoin : jjmmaaaa_xxxxxxxx.log) 

A +

Nico51 · Answer

Le programme a planté une fois et windows l'a fermé sans que je fasse quoi que se soit j'ai recommencé et sa a marché :

All processes killed
========== OTL ==========
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C}\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5C255C8A-E604-49b4-9D64-90988571CECB}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5C255C8A-E604-49b4-9D64-90988571CECB}\ not found.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\NoActiveDesktop not found.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\NoActiveDesktopChanges not found.
Starting removal of ActiveX control {8AD9C840-044E-11D1-B3E9-00805F499D93}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Starting removal of ActiveX control {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}\ not found.
Starting removal of ActiveX control {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Starting removal of ActiveX control {E2883E8F-472F-4FB0-9522-AC9BF37916A7}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Folder C:\ProgramData\Spybot - Search & Destroy\ not found.
Folder C:\Program Files (x86)\Spybot - Search & Destroy\ not found.
Unable to delete ADS C:\ProgramData\TEMP:8CE646EE .
========== COMMANDS ==========
 
[EMPTYFLASH]
 
User: All Users
 
User: Default
->Flash cache emptied: 0 bytes
 
User: Default User
->Flash cache emptied: 0 bytes
 
User: nikos
->Flash cache emptied: 0 bytes
 
User: Public
 
Total Flash Files Cleaned = 0,00 mb
 
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: nikos
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 65536 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: Public
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 32835 bytes
RecycleBin emptied: 72140 bytes
 
Total Files Cleaned = 0,00 mb
 
 
OTL by OldTimer - Version 3.2.12.0 log created on 09172010_213405

Files\Folders moved on Reboot...
File move failed. C:\Windows	emp\_avast4_\Webshlock.txt scheduled to be moved on reboot.

Registry entries deleted on Reboot...

kalimusic · Answer

Le script n'a pas fonctionné, tu avais lancé OTL en tant qu'administrateur ?

A+

Nico51 · Answer

Oui j'ai mis éxécuté en temps qu'admin

Nico51 · Answer

Tu veux que je réessaie?

kalimusic · Answer

ok, bon c'est juste du fignolage, mais on ré-essaye avec ce script :


:OTL
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 0     
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 0    
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Java Plug-in 1.6.0_20) 
O16 - DPF: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Java Plug-in 1.6.0_20) 
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Java Plug-in 1.6.0_20) 
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab (Reg Error: Key error.)     
@Alternate Data Stream - 125 bytes -> C:\ProgramData\TEMP:8CE646EE

:Files
C:\ProgramData\Spybot - Search & Destroy     
C:\Program Files (x86)\Spybot - Search & Destroy     

:Reg
[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C}]
[-HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5C255C8A-E604-49b4-9D64-90988571CECB}]


:Commands 
[emptyflash]
[emptytemp]

Et ensuite on désinstalle proprement les outils, A +

Nico51 · Answer

C'est mieux comme ça ?

All processes killed
========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\NoActiveDesktop not found.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\NoActiveDesktopChanges not found.
Starting removal of ActiveX control {8AD9C840-044E-11D1-B3E9-00805F499D93}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Starting removal of ActiveX control {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}\ not found.
Starting removal of ActiveX control {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Starting removal of ActiveX control {E2883E8F-472F-4FB0-9522-AC9BF37916A7}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Unable to delete ADS C:\ProgramData\TEMP:8CE646EE .
========== FILES ==========
File\Folder C:\ProgramData\Spybot - Search & Destroy not found.
File\Folder C:\Program Files (x86)\Spybot - Search & Destroy not found.
========== REGISTRY ==========
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{01398B87-61AF-4FFB-9AB5-1A1C5FB39A9C}\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5C255C8A-E604-49b4-9D64-90988571CECB}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5C255C8A-E604-49b4-9D64-90988571CECB}\ not found.
========== COMMANDS ==========
 
[EMPTYFLASH]
 
User: All Users
 
User: Default
->Flash cache emptied: 0 bytes
 
User: Default User
->Flash cache emptied: 0 bytes
 
User: nikos
->Flash cache emptied: 965 bytes
 
User: Public
 
Total Flash Files Cleaned = 0,00 mb
 
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: nikos
->Temp folder emptied: 34459 bytes
->Temporary Internet Files folder emptied: 37294 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 64437024 bytes
->Flash cache emptied: 0 bytes
 
User: Public
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 32902 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 62,00 mb
 
 
OTL by OldTimer - Version 3.2.12.0 log created on 09172010_215838

Files\Folders moved on Reboot...
File move failed. C:\Windows	emp\_avast4_\Webshlock.txt scheduled to be moved on reboot.

Registry entries deleted on Reboot...

kalimusic · Answer

re,

Je pense finalement que la fois le script avait fonctionné malgré le plantage.

1. On va désinstaller les outils utilisés car ils ne peuvent pas rester sur ton système.     

a) Relance OTL en tant qu'administrateur  
* Clique sur le bouton Purge outils
* Clique ensuite sur OK dans la boite de dialogue qui t'invite à redémarrer le système

b) Relance Ad-Remover en tant qu'administrateur
* Clique sur Désinstaller   

c) Idem pour UsbFix

2. a) Crée un point sain de restauration   

2. b) Désactive et réactive la restauration système de Vista      

3. Si tu ne l'as pas encore fait, tu peux réactiver L'UAC    

4. Les logiciels de sécurité :

Pour l'antivirus : Il est préférable de migrer vers la nouvelle version Avast! 5
Il vaut mieux désinstaller l'ancienne version avant : https://www.commentcamarche.net/telecharger/securite/22859-utilitaire-de-desinstallation-de-avast/
Tutoriel complet ici : https://www.malekal.com/tutoriel-antivirus-avast/

Tu peux garder Malwarebytes Anti-Malware comme logiciel complémentaire à ton antivirus et t'en servir contrôler ton PC avec un scan rapide de temps en temps sans oublier de le mettre à jour avant 

5. Télécharge et installe  JRE 6 Update 21  
!! n'oublie pas de décocher la case "Yahoo! toolbar" !!    
Désinstalle les versions obsolètes si besoin : 
Java(TM) 6 Update 206. Nettoyage avec Ccleaner qui est déjà sur ton PC
Tuto : http://www.6ma.fr/tuto/ccleaner+v202-411
Ce logiciel doit être utilisé régulièrement pour nettoyer les fichiers temporaires et les cookies.

****************************************************************

    * La multiplication des protections est une source de conflit et n'est pas plus efficace pour la sécurité :  1 seul anti-virus, 1 seul pare-feu (celui de Windows peut suffire), et en complément Malwarebytes : Antispyware gratuit : ça sert à rien!

    * Maintiens tes logiciels à jours avec Secunia OSI (merci australien)
Ou en utilisant leur logiciel Secunia Personal Software Inspector
Ou celui-ci :  Update Checker

    *  Ne pas surfer en droits administrateurs

    * Ne pas installer n'importe quel logiciel sur son PC (surtout via des liens publicitaires), toujours se renseigner avant. Les télécharger dans la mesure du possible sur le site de l'éditeur. Éviter d'installer les diverses barres d'outils ou de recherches, etc....proposés lors de l'installation. 

    * Bannir les sites à risques (pornographiques, etc...) et les comportements à risques (P2P, cracks, warez....)

    * Ne pas cliquer aveuglement sur des liens contenus dans les e-mails, les messageries instantanées, les réseaux sociaux, etc ...même si l'expéditeur est connu et à plus forte raison s'il est inconnu ou suspect.

    * Utiliser un navigateur alternatif et le sécuriser (par exemple Firefox avec des modules complémentaires comme AdBlock, Noscript, WOT, etc...) 

****************************************************************

Je t'invite à lire ces différents articles, afin de surfer plus sereinement :

Prévention : comment éviter bien des infections (par Falkra)

Pourquoi et comment je me fais infecter ? (par Malekal) 

****************************************************************
 
N'oublie pas de me faire part d'éventuelles difficultés dans les dernières étapes.
Si tout se passe bien clique ensuite sur résolu, merci.

Nico51 · Answer

Merci beaucoup à toi j'en ai enfin terminé avec tous ces problèmes =)

kalimusic · Answer

:)

Trojan win32.Agent.fbx à supprimer

30 réponses

Discussions similaires

Newsletters