Infection Alpha Antivirus : comment le supprimer?

[Célia11]

Second cas

Examen de Malwarebytes en cours !

Merci à tous pour votre aide !

[DouDou9455]

Bonjour Celia & Bienvenue,

Une fois fini poste nous ton rapport

[Pac428]

Merci Célia

On attend ton rapport et ++

[Célia11]

L'examen est terminé.
Voici l'impression écran du rapport:



Que dois-je faire désormais?

[Pac428]

Ben tu cliques sur supprimer sélection, tu obtiens un rapport que tu nous postes.

++ Célia

[Célia11]

Voilà, le PC vient de se rallumer et voici le rapport :


Malwarebytes' Anti-Malware 1.41
Version de la base de données: 2849
Windows 5.1.2600 Service Pack 3

23/09/2009 16:44:06
mbam-log-2009-09-23 (16-43-57).txt

Type de recherche: Examen complet (C:|D:|E:|)
Eléments examinés: 146816
Temps écoulé: 1 hour(s), 56 minute(s), 25 second(s)

Processus mémoire infecté(s): 1
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 5
Valeur(s) du Registre infectée(s): 3
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 5

Processus mémoire infecté(s):
C:documents and settingsJulianlocal settingsapplication dataxccnrbg.exe (Adware.Navipromo.H) -> No action taken.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOTCLSID{a77d3539-581d-450c-9e44-a84c415a6172} (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionExtStats{a77d3539-581d-450c-9e44-a84c415a6172} (Trojan.FakeAlert) -> No action taken.
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowser Helper Objects{a77d3539-581d-450c-9e44-a84c415a6172} (Trojan.FakeAlert) -> No action taken.
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionExtStats{1d4db7d2-6ec9-47a3-bd87-1e41684e07bb} (Adware.MyWebSearch) -> No action taken.
HKEY_CURRENT_USERSOFTWAREfcn (Rogue.Residue) -> No action taken.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USERSOFTWAREMicrosoftWindowsCurrentVersionRunxccnrbg (Adware.Navipromo.H) -> No action taken.
HKEY_CURRENT_USEREnvironmentavapp (Rogue.PersonalAntiVirus) -> No action taken.
HKEY_CURRENT_USEREnvironmentavuninst (Rogue.PersonalAntiVirus) -> No action taken.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
C:Documents and SettingsJulianLocal SettingsApplication Dataxccnrbg_navps.dat (Adware.Navipromo.H) -> No action taken.
C:Documents and SettingsJulianLocal SettingsApplication Dataxccnrbg_nav.dat (Adware.Navipromo.H) -> No action taken.
C:Documents and SettingsJulianLocal SettingsApplication Dataxccnrbg.dat (Adware.Navipromo.H) -> No action taken.
C:Documents and SettingsJulianLocal SettingsApplication Dataxccnrbg.exe (Adware.Navipromo.H) -> No action taken.
C:WINDOWSsystem32msnaoladdon.dll (Trojan.FakeAlert) -> No action taken.

[Célia11]

Dois-je moi aussi, utiliser le deuxième tuto?

[Célia11]

Bon, j'ai fait le second examen avc l'autre tuto, voici le rapport :


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:59:06, on 23/09/2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32spoolsv.exe
C:Program FilesAviraAntiVir Desktopsched.exe
C:WINDOWSExplorer.EXE
C:WINDOWSSOUNDMAN.EXE
C:Program FilesAviraAntiVir Desktopavguard.exe
C:Program FilesAviraAntiVir Desktopavgnt.exe
C:Program FilesFichiers communsAppleMobile Device SupportinAppleMobileDeviceService.exe
E:JulianMes documentsItunesiTunesHelper.exe
C:Program FilesBonjourmDNSResponder.exe
C:Program FilesAlphaAVAlpha Antivirus.exe
C:Program FilesMicrosoftSearch Enhancement PackSeaPortSeaPort.exe
C:WINDOWSsystem32ctfmon.exe
C:Program FilesWindows LiveMessengermsnmsgr.exe
C:WINDOWSsystem32svchost.exe
C:Program FilesWindows Desktop SearchWindowsSearch.exe
C:WINDOWSsystem32SearchIndexer.exe
C:Documents and SettingsJulianApplication DataMicrosoftNotification de cadeaux MSNlsnfier.exe
C:Program FilesiPodiniPodService.exe
C:Program FilesWindows LiveContactswlcomm.exe
C:WINDOWSMicrosoft.NETFrameworkv3.0Windows Communication Foundationinfocard.exe
C:Program FilesMozilla Firefoxfirefox.exe
C:WINDOWSsystem32SearchProtocolHost.exe
C:Documents and SettingsJulianBureauHiJackThis(2).exe

R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = http://www.shareware-fr.com/fr/index.php?rvs=hompag
R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.google.fr/
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://www.shareware-fr.com/fr/index.php?rvs=hompag
R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.shareware-fr.com/fr/index.php?rvs=hompag
R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:Program FilesFichiers communsAdobeAcrobatActiveXAcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:Program FilesMicrosoftSearch Enhancement PackSearch HelperSEPsearchhelperie.dll
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:Program FilesFichiers communsMicrosoft SharedWindows LiveWindowsLiveLogin.dll
O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:Program FilesWindows LiveToolbarwltcore.dll
O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:Program FilesWindows LiveToolbarwltcore.dll
O4 - HKLM..Run: [NeroFilterCheck] C:WINDOWSsystem32NeroCheck.exe
O4 - HKLM..Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM..Run: [avgnt] "C:Program FilesAviraAntiVir Desktopavgnt.exe" /min
O4 - HKLM..Run: [Adobe Reader Speed Launcher] "C:Program FilesAdobeReader 9.0ReaderReader_sl.exe"
O4 - HKLM..Run: [QuickTime Task] "C:Program FilesQuickTimeqttask.exe" -atboottime
O4 - HKLM..Run: [iTunesHelper] "E:JulianMes documentsItunesiTunesHelper.exe"
O4 - HKLM..Run: [AlphaAV] C:Program FilesAlphaAVAlpha Antivirus.exe
O4 - HKLM..Run: [Malwarebytes Anti-Malware (reboot)] "C:Program FilesMalwarebytes' Anti-Malwarembam.exe" /runcleanupscript
O4 - HKCU..Run: [ctfmon.exe] C:WINDOWSsystem32ctfmon.exe
O4 - HKCU..Run: [msnmsgr] "C:Program FilesWindows LiveMessengermsnmsgr.exe" /background
O4 - Startup: Adobe Media Player.lnk = C:Program FilesAdobe Media PlayerAdobe Media Player.exe
O4 - Startup: Notification de cadeaux MSN.lnk = C:Documents and SettingsJulianApplication DataMicrosoftNotification de cadeaux MSNlsnfier.exe
O4 - Global Startup: Windows Search.lnk = C:Program FilesWindows Desktop SearchWindowsSearch.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:PROGRA~1MICROS~2Office12EXCEL.EXE/3000
O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:Program FilesWindows LiveWriterWriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:Program FilesWindows LiveWriterWriterBrowserExtension.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:PROGRA~1MICROS~2Office12REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:WINDOWSNetwork Diagnosticxpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:WINDOWSNetwork Diagnosticxpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftup ... 0665504953
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:Program FilesAviraAntiVir Desktopsched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:Program FilesAviraAntiVir Desktopavguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:Program FilesFichiers communsAppleMobile Device SupportinAppleMobileDeviceService.exe
O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:Program FilesBonjourmDNSResponder.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:Program FilesiPodiniPodService.exe
O23 - Service: Ma-Config Service (maconfservice) - Unknown owner - E:JulianMes documentsConfigurationmaconfservice.exe (file missing)

--
End of file - 6381 bytes


Merci pour la suite des explications

[Pac428]

Ce n'est pas forcément utile pour l'instant Célia.
Comme ton PC est vérolé de partout, je préférerais que tu attendes
un peu le passage de Danakil qui ne saurait tarder.
++

[Célia11]

D'accord, je patiente alors

[Pac428]

Puisque tu as envoyé le rapport, tu peux supprimer ces trois lignes: (fix checked)

C:Program FilesAlphaAVAlpha Antivirus.exe

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O4 - HKLM..Run: [AlphaAV] C:Program FilesAlphaAVAlpha Antivirus.exe

Ca peut pas nuire, ça peut même aider, mais je doute que ça suffise.

? MBAM a bien redémarré pour faire les suppressions ?

Tu pourrais le relancer après avoir supprimé les lignes ? (MBAM)

Et comment va le malade, Docteur ?

++ Célia

[Célia11]

Puisque tu as envoyé le rapport, tu peux supprimer ces trois lignes: (fix checked)

C:Program FilesAlphaAVAlpha Antivirus.exe

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O4 - HKLM..Run: [AlphaAV] C:Program FilesAlphaAVAlpha Antivirus.exe

Ca peut pas nuire, ça peut même aider, mais je doute que ça suffise.

? MBAM a bien redémarré pour faire les suppressions ?

Tu pourrais le relancer après avoir supprimé les lignes ?

Et comment va le malade, Docteur ?

++ Célia

Voilà, c'est fait. Mais comme C2lart, je n'ai pas réussi à trouver la 1ere ligne..

Le PC a bien redémarré après la suppression avc MBAM.
Je vais le relancer.

Le PC se porte bien, à part les multiples relances de Alpha AV. J'ai Mozilla et arrive à aller sur le net sans soucis

[Célia11]

AAAAAAAAAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHHHH

JE CROIS QUE JE L'AI VAINCUUUUUUUUUUUUUUUUUUU !!!!!!!!!!!!!!!!!!!!!!!

Plus de beug avc Internet Explorer, plus de relance d'Alpha AV, et j'ai mm pû supprimer le fichier !!!!!!!!!!!!!!!!!!!!!!

[Pac428]

Parfait.
J'espère que MBAM va aller plus loin ce coup-ci.
Pour la première ligne, c'est normal, je n'aurais pas du la mettre.

++ Célia

[Célia11]

Merci bcp en tt les cas pr votre aide !
Ca fait plaisir de trouver des personnes comme vous !! Vraiment MERCI !