[Réglé] Infection ecran bleu

[dillidan]

Bonjour, je souhaiterais avoir votre ais-de afin de netoyer une infection que je viens d'avoir.

Elle s'est installée lors du telechargement et l'utilisation d'un fichier executable depuis internet.
Depuis, un ecran bleu avec du texte blanc (type erreur critique) apparait lorsque je veux lancer internet ou ccleaner ou qu'un logiciel veut se connecter.

Voici mon raport OTL.

http://7lmooy.1fichier.com/
et extra
http://6a63gb.1fichier.com/


En vous remerciant de votre aide.

[cosmido]

salut,

Éviter d'utiliser CCleaner pour de suite, pour ne ps effacer le rapport de l'erreur "écran bleu".

Le lien d'OTL.txt ne fonctionne ps.

Selon le rapport de ZHPDiag.txt posté plutôt sur un autre forum où vous avez eu aucune réponse. Y a aucune trace d'infection "apparemment importante".
Aviez vous utiliser un scanner "comme mbam" avant de créer ce rapport.
L'ordi fonctionne t-il correctement.

______________________________________________________

Désactiver tout logiciels de protections avant de lancer ZHPFix.
Et si ZHPFix requière une autorisation quelconque, Autoriser tout ce qui sera demandé.

Lancer ZHPFix.exe par un clic-droit → Exécuter en tant qu'adm.
• "Sélectionner tout" & "Copiez" ....le contenu de cette page Web
• Cliquez sur le bouton [H]
• Cliquez sur [GO]
..
► S'il vous est proposé de redémarrer le PC, faites le.
► Poster le rapport ZHPFixReport.txt.

P.S.
Si ZHPFix ne fonctionne ps correctement la. Redémarrer en Mode sans échec et relancer de la.
______________________________________________________

Arrangez vous pour avoir toujours au moins 20% d'Espace libre sur le C:
• Déplacer 2Go de données sur un autre disque.

• Télécharger ce fichier "mswsock.dll" sur ce site
→Et placer en une copie dans les rép: C:\WINDOWS\system32\.. _et_ C:\WINDOWS\system32\dllcache\..

• Mettez à jours ; Java, Adobe Reader

• Installer un second navigateur, comme Google Chrome qui est excellent.
Comme ça si ou lorsque Internet Explorer plantera, vous en aurez un de rechange pour aller chercher comment fixer IE.

• Installer un antivirus est jamais un luxe; Antivir, Avast, AVG et MSE, sont gratos et très bien.
• Après lancer un sacn complet du C:, avec ce nouvel antivirus fraichement installé.

o Et peut-être aussi un scan en ligne chez Nod32.
_____________________________________________

Pour l'erreur "écran bleu".

Installez BlueScreenView.
• En le lançant, les erreurs d'écran bleu s'afficheront.
• Sélectionner la 1ière erreur et cliquer sur la disquette en haut pour sauvegarder son contenue dans un fichier.
► Postez ce fichier .txt

[dillidan]

Merci pour ton aide!

Oui j'ai poster mon probleme sur plusieurs forums car je n'ai pas beaucoup de réponses et je reste dans le flou!

voici un nouvo lien OTL.TXT
http://v6vmvf.cjoint.net/

Concernant ZHP oui avant j'avais utiliser MBAM
Mon pc fonctionnait trés bien puis à la suite de l'execution de se programme telecharger sur internet j'ai eu un message de windows defender... j'ai redemarré mon pc et depuis il est dans cet état!

Avant d'aller sur les forums Malware byte a enlevé un Tojan. Il ne trouve plus rien depuis.

Pour ce soir je ne peux continuer à poster les rapport, je referai un rapport ZHP demain si tu veux ainsi que les opérations que tu m'as conseillé!

MErci pour ton aide

[cosmido]

Ps capable de télécharger OTL depuis le lien ??
Êtes vous capable vous "en cliquant sur votre lien au message précédent".

• Faites tout de même les procédures du message précédent.
• Et poster le rapport de mbam, qui est dans [Rapports/Logs] ;
..en sélectionnant la ligne "en date de ce scan" et cliquer sur [Ouvrir] (en bas à gauche).

[dillidan]

Re bonjour, voici les rapport:

ZHP FIX:
Rapport de ZHPFix 1.12.3381 par Nicolas Coolman, Update du 08/02/2011
Fichier d'export Registre :
Run by guillaume at 13/03/2012 18:05:21
Windows Vista Home Premium Edition, 32-bit Service Pack 2 (Build 6002)
Web site : http://www.premiumorange.com/zeb-help-p ... hpfix.html
Web site : http://nicolascoolman.skyrock.com/

========== Valeur(s) du Registre ==========
ABSENT RunValue: HWSetup -- C:\Windows\System32\h.Facebook Inc. - Programme d'installation de Facebook.) -- C:\Users\guillaume\AppData\Local\Facebook\Update\FacebookUpdate.exe OPT:O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] oobefldr.dll OPT:O4 - HKUS\S-1-5-20\..\Run: [WindowsWelcomeCenter] oobefldr.dll OPT:O4 - HKUS\S-1-5-21-356496263-1443093071-137659932-1000\..\Run: [TOSCDSPD] . (.TOSHIBA - CD/DVD Drive Acoustic Silencer.) -- C:\Program Files\TOSHIBA\TOSCDSPD\TOSCDSPD.exe OPT:O4 - HKUS\S-1-5-21-356496263-1443093071-137659932-1000\..\Run: [WMPNSCFG] . (.Microsoft Corporation - Application de configuration du service Par.) -- C:\Program Files\Windows Media Player\wmpnscfg.exe OPT:O4 - HKUS\S-1-5-21-356496263-1443093071-137659932-1000\..\Run: [Facebook Update] . (.Facebook Inc. - Programme d'installati

========== Autre ==========
NON TRAITE on de Facebook.) -- C:\Users\guillaume\AppData\Local\Facebook\Update\FacebookUpdate.exe O39 - APT:Automatic Planified Task - C:\Windows\Tasks\FacebookUpdateTaskUserS-1-5-21-356496263-1443093071-137659932-1000Core.job O39 - APT:Automatic Planified Task - C


========== Récapitulatif ==========
1 : Valeur(s) du Registre
1 : Autre


End of clean in 00mn 00s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 12/03/2012 22:06:59 [1498]
C:\ZHP\ZHPFix[R2].txt - 13/03/2012 18:05:21 [1709]



et un nouveau ZHP :

http://cjoint.com/?BCnsppSchII

Pour ce rapport ZHP fais une recherche de SP3 tu trouves ces 3 lignes:

O45 - LFCP:[MD5.B343B24463F2B08DC7B70CC6EB38626F] - 10/03/2012 - 14:13:36 ---A- - C:\Windows\Prefetch\WINDOWS.XP.SP3.ZEN2.SERIALS.G-8DEA4F30.pf
O45 - LFCP:[MD5.25813C2F782618A6B617095C723AA119] - 10/03/2012 - 15:51:15 ---A- - C:\Windows\Prefetch\KEYGEN WINDOWS XP PRO SP3 COR-FB65EFBE.pf
O45 - LFCP:[MD5.C3336B599ACD77200990D20B367390DD] - 10/03/2012 - 15:51:12 ---A- - C:\Windows\Prefetch\KEYGEN WINDOWS XP PRO SP3 COR-510BD7B4.pf


ensuite ceci:

O45 - LFCP:[MD5.880A0C61321A07B51A43F10BE6D01881] - 10/03/2012 - 14:18:27 ---A- - C:\Windows\Prefetch\BROTHERSOFTDOWNLOADER_FOR_WIN-BD377CEB.pf

O61 - LFC:Last File Created 10/03/2012 - 14:18:56 ---A- C:\Users\guillaume\AppData\Roaming\GetRightToGo\Brothersoftdownloader_for_Windows_XP_Key_Finder.data [0]

Voila ma question: comme cette infection est arrivé à la suite du telechargement d'un keygen je souahiterai tout virer! puis je le faire sans risque?

Pour le rapport OTL j'arrive à le telecharger normalement depuis mon poste fixe! tu n'y arrive pas toi??

[cosmido]

Pour OTL. J'ai réussi à y accéder.
Mais comme les +-1500 lignes de ZHPDiag clanche/surpasse ce rapport d'OTL..

je souahiterai tout virer! puis je le faire sans risque?

Suivez une à une toutes les procédures du 1ier message que j'vous ai placé. Où entre autre le script(page Web) de la procédure ZHPFix a été modifié légèrement.

Après que tout ces procédures auront été faites.
Alors vous relancerez ZHPDiag, pour poster un nouveau rapport avec.

[dillidan]

Je viens de faire la manip, je relance en ce momment ZHP.

Petit probleme toute fois car lors du traitement zhpfix l'ordi est passé en ecran bleu.
J'ai refait la manip une fois redemarrer et elle s'est bien déroulée (beaucoup de fichiers absent du au premier lancement)

Pour le fichier dll, j'ai pas de dossier dll-cache dans system 32
En plus j'ai deja un dll de ce nom dois je le remplacer??

Super l'application blue screen je t'envoie le message enregistré:

==================================================
Dump File : Mini031312-04.dmp
Crash Time : 13/03/2012 21:56:24
Bug Check String : IRQL_NOT_LESS_OR_EQUAL
Bug Check Code : 0x0000000a
Parameter 1 : 0x00000000
Parameter 2 : 0x00000002
Parameter 3 : 0x00000001
Parameter 4 : 0x81c6383c
Caused By Driver : dump_iaStor.sys
Caused By Address : dump_iaStor.sys+9d800
File Description :
Product Name :
Company :
File Version :
Processor : 32-bit
Crash Address : ntkrnlpa.exe+4dfd9
Stack Address 1 : ntkrnlpa.exe+2b83c
Stack Address 2 : ntkrnlpa.exe+1a5e8
Stack Address 3 : raspptp.sys+cc84
Computer Name :
Full Path : C:\Windows\Minidump\Mini031312-04.dmp
Processors Count : 2
Major Version : 15
Minor Version : 6002
Dump File Size : 138 880
==================================================



Il propose aussi une liste en bas des fichiers defaillants... tu veux la liste?

JE ne peux pas continuer pour ce soir merci pour ton aide je sens que l'on avance! j'attend ta réponse avant de fermer!

voici le dernier rapport ZHP

http://cjoint.com/?BCnwpGHaN0d

[cosmido]

► Désactiver toutes les protections. ◄

• Lancer MBRCheck.exe (vient avec ZHP..) par un clic-droit → Exécuter en tant qu'adm..
..Rendu à la ligne ; Enter "Y" and hit ENTER for more options, or "N" to exit ;
• Sélectionner "N" et appuyer sur [Entrée] à 2 reprises.

..Un rapport sera sauvegardé sur le Bureau.
► Poster ce rapport "avec Cjoint" ( MBRCheck_07.21.10_18.08.06.txt).

Petit probleme toute fois car lors du traitement zhpfix l'ordi est passé en ecran bleu.
J'ai refait la manip une fois redemarrer et elle s'est bien déroulée (beaucoup de fichiers absent du au premier lancement)

Ouais ben apparemment ça ps supprimé grand chose.
► Relancer ZHPFix en Mode sans échec, avec le même script (ou page Web) et poster le rapport.

P.S.
Tant que ZHPFix ne sera ps fait, des rapports subséquent de ZHPDiag ne sont d'aucune utilité.

Pour le fichier dll, j'ai pas de dossier dll-cache dans system 32
En plus j'ai deja un dll de ce nom dois je le remplacer??

Correct pour l'absence de ..\dllcache\.., avec Vista c'est comme ça.

• Remplacer quand même le fichier mswsock.dll dans \System32\.., par celui téléchargé.

Et après essayer ceci..
• Aller dans Démarrer → Tout les programmes → Accessoires ..
• Ouvrez l'invité de commandes par un clic-droit → Exécuter en tant qu’Adm..
• Copier/coller(par un clic-droit) la commande suivantes et valider :
netsh winsock reset
• ..................................ensuite devrez redémarrer l'ordi.


Ouvrez CCleaner et modifier le avant utilisation.
• En décochant d'abord "Fichier de vidage mémoire" et en cochant "Données du Prefetch".
• Ensuite lancer une [Analyse] suivit d'un [Nettoyage].
Après une utilisation. Décocherez "Données du Prefetch".

[dillidan]

Pour MBR CHECK voici le rapport

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows Vista Home Premium Edition
Windows Information: Service Pack 2 (build 6002), 32-bit
Base Board Manufacturer: TOSHIBA
BIOS Manufacturer: TOSHIBA
System Manufacturer: TOSHIBA
System Product Name: Satellite P200
Logical Drives Mask: 0x00000034

Kernel Drivers (total 138):
0x81C18000 \SystemRoot\system32\ntkrnlpa.exe
0x81FD2000 \SystemRoot\system32\hal.dll
0x8060C000 \SystemRoot\system32\kdcom.dll
0x80613000 \SystemRoot\system32\mcupdate_GenuineIntel.dll
0x80683000 \SystemRoot\system32\PSHED.dll
0x80694000 \SystemRoot\system32\BOOTVID.dll
0x8069C000 \SystemRoot\system32\CLFS.SYS
0x806DD000 \SystemRoot\system32\CI.dll
0x82203000 \SystemRoot\system32\drivers\Wdf01000.sys
0x8227F000 \SystemRoot\system32\drivers\WDFLDR.SYS
0x8228C000 \SystemRoot\system32\drivers\acpi.sys
0x822D2000 \SystemRoot\system32\drivers\WMILIB.SYS
0x822DB000 \SystemRoot\system32\drivers\msisadrv.sys
0x822E3000 \SystemRoot\system32\drivers\pci.sys
0x8230A000 \SystemRoot\system32\DRIVERS\LPCFilter.sys
0x82314000 \SystemRoot\System32\drivers\partmgr.sys
0x82323000 \SystemRoot\system32\DRIVERS\compbatt.sys
0x82326000 \SystemRoot\system32\DRIVERS\BATTC.SYS
0x82330000 \SystemRoot\system32\drivers\volmgr.sys
0x8233F000 \SystemRoot\System32\drivers\volmgrx.sys
0x82389000 \SystemRoot\system32\drivers\intelide.sys
0x82390000 \SystemRoot\system32\drivers\PCIIDEX.SYS
0x8239E000 \SystemRoot\system32\DRIVERS\pcmcia.sys
0x823CB000 \SystemRoot\System32\drivers\mountmgr.sys
0x8280E000 \SystemRoot\system32\DRIVERS\iaStor.sys
0x828CC000 \SystemRoot\system32\drivers\atapi.sys
0x828D4000 \SystemRoot\system32\drivers\ataport.SYS
0x828F2000 \SystemRoot\system32\drivers\msahci.sys
0x828FB000 \SystemRoot\system32\drivers\fltmgr.sys
0x8292D000 \SystemRoot\system32\drivers\fileinfo.sys
0x8293D000 \SystemRoot\System32\Drivers\ksecdd.sys
0x82A03000 \SystemRoot\system32\drivers\ndis.sys
0x82B0E000 \SystemRoot\system32\drivers\msrpc.sys
0x82B39000 \SystemRoot\system32\drivers\NETIO.SYS
0x87E0F000 \SystemRoot\System32\drivers\tcpip.sys
0x87EF9000 \SystemRoot\System32\drivers\fwpkclnt.sys
0x8800F000 \SystemRoot\System32\Drivers\Ntfs.sys
0x8811F000 \SystemRoot\system32\drivers\volsnap.sys
0x88158000 \SystemRoot\system32\DRIVERS\TVALZ_O.SYS
0x8815D000 \SystemRoot\system32\DRIVERS\tos_sps32.sys
0x881A8000 \SystemRoot\System32\Drivers\spldr.sys
0x881B0000 \SystemRoot\System32\Drivers\mup.sys
0x881BF000 \SystemRoot\System32\drivers\ecache.sys
0x881E6000 \SystemRoot\system32\drivers\disk.sys
0x87F14000 \SystemRoot\system32\drivers\CLASSPNP.SYS
0x881F7000 \SystemRoot\system32\drivers\crcdisk.sys
0x87FF3000 \SystemRoot\system32\DRIVERS\tunnel.sys
0x87E00000 \SystemRoot\system32\DRIVERS\tunmp.sys
0x82B74000 \SystemRoot\system32\DRIVERS\intelppm.sys
0x8B608000 \SystemRoot\system32\DRIVERS\igdkmd32.sys
0x8BC3F000 \SystemRoot\System32\drivers\dxgkrnl.sys
0x8BCDF000 \SystemRoot\System32\drivers\watchdog.sys
0x8BCEB000 \SystemRoot\system32\DRIVERS\usbuhci.sys
0x8BCF6000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0x8BD34000 \SystemRoot\system32\DRIVERS\usbehci.sys
0x8BD43000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0x8BDD0000 \SystemRoot\system32\DRIVERS\Rtlh86.sys
0x8C000000 \SystemRoot\system32\DRIVERS\athr.sys
0x8C0E7000 \SystemRoot\system32\DRIVERS\ohci1394.sys
0x8C0F7000 \SystemRoot\system32\DRIVERS\1394BUS.SYS
0x8C105000 \SystemRoot\system32\drivers\tifm21.sys
0x8C151000 \SystemRoot\system32\DRIVERS\sdbus.sys
0x8C16B000 \SystemRoot\system32\DRIVERS\CmBatt.sys
0x8C16F000 \SystemRoot\system32\DRIVERS\i8042prt.sys
0x8C182000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0x8C18D000 \SystemRoot\system32\DRIVERS\SynTP.sys
0x8C1BF000 \SystemRoot\system32\DRIVERS\USBD.SYS
0x8C1C1000 \SystemRoot\system32\DRIVERS\mouclass.sys
0x8C1CC000 \SystemRoot\system32\DRIVERS\tdcmdpst.sys
0x8C1D0000 \SystemRoot\system32\DRIVERS\cdrom.sys
0x82B83000 \SystemRoot\system32\DRIVERS\msiscsi.sys
0x82BB2000 \SystemRoot\system32\DRIVERS\storport.sys
0x8C1E8000 \SystemRoot\system32\DRIVERS\TDI.SYS
0x8BDE8000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0x8C1F3000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0x829AF000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0x829D2000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0x829E1000 \SystemRoot\system32\DRIVERS\raspptp.sys
0x823DB000 \SystemRoot\system32\DRIVERS\rassstp.sys
0x823F0000 \SystemRoot\system32\DRIVERS\termdd.sys
0x8C1FE000 \SystemRoot\system32\DRIVERS\swenum.sys
0x807BD000 \SystemRoot\system32\DRIVERS\ks.sys
0x82800000 \SystemRoot\system32\DRIVERS\circlass.sys
0x82BF3000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0x807E7000 \SystemRoot\system32\DRIVERS\umbus.sys
0x8C40B000 \SystemRoot\system32\DRIVERS\usbhub.sys
0x8C440000 \SystemRoot\System32\Drivers\NDProxy.SYS
0x8C60F000 \SystemRoot\system32\drivers\RTKVHDA.sys
0x8C451000 \SystemRoot\system32\drivers\portcls.sys
0x8C47E000 \SystemRoot\system32\drivers\drmk.sys
0x8C4A3000 \SystemRoot\system32\DRIVERS\AGRSM.sys
0x8C7EB000 \SystemRoot\system32\drivers\modem.sys
0x8C600000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0x8C7F8000 \SystemRoot\System32\Drivers\Null.SYS
0x8C59E000 \SystemRoot\System32\Drivers\Beep.SYS
0x8C5A5000 \SystemRoot\System32\drivers\vga.sys
0x8C5B1000 \SystemRoot\System32\drivers\VIDEOPRT.SYS
0x8C5D2000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0x8C5DA000 \SystemRoot\system32\drivers\rdpencdd.sys
0x8C5E2000 \SystemRoot\System32\Drivers\Msfs.SYS
0x8CA0F000 \SystemRoot\system32\DRIVERS\usbccgp.sys
0x8CA26000 \SystemRoot\System32\Drivers\Npfs.SYS
0x8CA34000 \SystemRoot\System32\DRIVERS\rasacd.sys
0x8CA3D000 \SystemRoot\system32\DRIVERS\tdx.sys
0x8CA53000 \SystemRoot\system32\DRIVERS\smb.sys
0x8CA67000 \SystemRoot\system32\drivers\afd.sys
0x8CA8A000 \SystemRoot\System32\Drivers\UVCFTR_S.SYS
0x8CA93000 \SystemRoot\System32\Drivers\usbvideo.sys
0x8CAB4000 \SystemRoot\System32\DRIVERS\netbt.sys
0x8CAE6000 \SystemRoot\system32\DRIVERS\pacer.sys
0x8CAFC000 \SystemRoot\system32\DRIVERS\netbios.sys
0x8CB0A000 \SystemRoot\system32\DRIVERS\wanarp.sys
0x8CB1D000 \SystemRoot\system32\DRIVERS\rdbss.sys
0x8CB59000 \SystemRoot\system32\drivers\nsiproxy.sys
0x8CB63000 \SystemRoot\System32\Drivers\dfsc.sys
0x8CB7A000 \SystemRoot\System32\Drivers\crashdmp.sys
0x87F35000 \SystemRoot\System32\Drivers\dump_iaStor.sys
0x95210000 \SystemRoot\System32\win32k.sys
0x8CB87000 \SystemRoot\System32\drivers\Dxapi.sys
0x8CB91000 \SystemRoot\system32\DRIVERS\monitor.sys
0x95430000 \SystemRoot\System32\TSDDD.dll
0x95450000 \SystemRoot\System32\cdd.dll
0x8CBA0000 \SystemRoot\system32\drivers\luafv.sys
0xA7E07000 \SystemRoot\system32\drivers\spsys.sys
0xA7EB7000 \SystemRoot\system32\DRIVERS\lltdio.sys
0xA7EC7000 \SystemRoot\system32\DRIVERS\nwifi.sys
0xA7EF1000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0xA7EFB000 \SystemRoot\system32\DRIVERS\rspndr.sys
0xA7F98000 \SystemRoot\system32\DRIVERS\bowser.sys
0xA7FB1000 \SystemRoot\system32\drivers\mrxdav.sys
0xA7FD2000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xA7F0E000 \SystemRoot\system32\DRIVERS\mrxsmb10.sys
0xA7F47000 \SystemRoot\system32\DRIVERS\mrxsmb20.sys
0xA9400000 \SystemRoot\system32\drivers\peauth.sys
0xA94DE000 \SystemRoot\System32\Drivers\secdrv.SYS
0xA94E8000 \SystemRoot\System32\drivers\tcpipreg.sys
0xA95CE000 \SystemRoot\system32\DRIVERS\cdfs.sys
0x77BA0000 \Windows\System32\ntdll.dll

Processes (total 52):
0 System Idle Process
4 System
512 C:\Windows\System32\smss.exe
644 csrss.exe
688 C:\Windows\System32\wininit.exe
700 csrss.exe
736 C:\Windows\System32\services.exe
748 C:\Windows\System32\lsass.exe
756 C:\Windows\System32\lsm.exe
836 C:\Windows\System32\winlogon.exe
940 C:\Windows\System32\svchost.exe
1000 C:\Windows\System32\svchost.exe
1096 C:\Windows\System32\svchost.exe
1148 C:\Windows\System32\svchost.exe
1180 C:\Windows\System32\svchost.exe
1264 C:\Windows\System32\audiodg.exe
1288 C:\Windows\System32\svchost.exe
1312 C:\Windows\System32\SLsvc.exe
1368 C:\Windows\System32\svchost.exe
1536 C:\Windows\System32\svchost.exe
1716 C:\Program Files\Common Files\Adobe\ARM\1.0\armsvc.exe
1752 C:\Windows\System32\svchost.exe
1776 C:\Windows\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe
1852 C:\Program Files\Intel\Intel Matrix Storage Manager\IAANTmon.exe
1932 C:\Windows\System32\svchost.exe
1956 C:\Program Files\TOSHIBA\TOSHIBA DVD PLAYER\TNaviSrv.exe
2012 C:\Windows\System32\TODDSrv.exe
224 C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe
300 C:\Windows\System32\svchost.exe
452 C:\Windows\System32\SearchIndexer.exe
1648 C:\Windows\System32\taskeng.exe
804 C:\Windows\System32\dwm.exe
2124 C:\Windows\explorer.exe
2208 C:\Windows\RtHDVCpl.exe
2224 C:\Windows\System32\hkcmd.exe
2240 C:\Windows\System32\igfxpers.exe
2252 C:\Program Files\Intel\Intel Matrix Storage Manager\IAAnotif.exe
2276 C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
2284 C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe
2296 C:\Program Files\TOSHIBA\TOSCDSPD\TOSCDSPD.exe
2308 C:\Program Files\Windows Media Player\wmpnscfg.exe
2380 C:\Program Files\Synaptics\SynTP\SynToshiba.exe
2388 C:\Windows\System32\igfxsrvc.exe
2768 C:\Windows\System32\wbem\unsecapp.exe
2840 WmiPrvSE.exe
3128 C:\Windows\System32\conime.exe
3272 C:\Windows\System32\SearchProtocolHost.exe
3284 C:\Windows\System32\SearchFilterHost.exe
3452 C:\Program Files\Synaptics\SynTP\SynTPHelper.exe
3784 dllhost.exe
3816 dllhost.exe
3844 C:\Program Files\ZHPDiag\mbrcheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`5dd00000 (NTFS)
\\.\E: --> \\.\PhysicalDrive0 at offset 0x00000012`ebd00000 (NTFS)

PhysicalDrive0 Model Number: HitachiHTS542516K9SA00, Rev: BBCOC33P

Size Device Name MBR Status
--------------------------------------------
149 GB \\.\PhysicalDrive0 Windows 2008 MBR code detected
SHA1: 8DF43F2BDE2D9451948FA14B5279969C777A7979


Done!
J'ai beau regarder les processus je ne trouve rien et toi?

Pour ZHP FIX j'ai effectué l'operation en sans echec.
Voici le nouveau rapport ZHP
http://cjoint.com/?BCojg3A4qtL


Pour le DLL je ne peux pas le remplacer. Lorsque je veux le coller il me demande mon autorisation je met "OK" puis il me dit que je n'ai pas l'autorisation necessaire pourtant ma session est bien en admin...

Du nouveau dans la precision de l'infection: j'ai installé mozzilla via une cle usb il fonctionne tres bien et ne lance pas l'erreur critique!

Cependant, j'ai conencté mon pc en wifi sur ma box et il reste en conenctivité limité ou locale seulement!
J'ai tenté en ethernet et c'est pareil alors qu'il fonctionnait avant en wifi et ethernet!
J'ai voulu egalement baisser momn parefeur et me suis aperçu que mon service de securité est DESACTIVE! je ne peux pas le reactiver!
Je epnse que tout cela a avoir avec l'infection

J'ai passé un coup de spybot en mode sans echec voila ce qu'il a trouvé: puis je le supprimer sans souci?

http://cjoint.com/?BColQSJaSb6

J'ai egalement lancer DR Web antivirus via une clé usb il n'a rien trouvé!

[cosmido]

Ne poster plus de rapport ZHPDiag, tant que j'vous mettrez ps dans un message d'en poster un.

En attente.
► Poster le rapport de ZHPFix, le plus récent, où celui qui a été fait en mode sns échec.

Le rapport de Spybot scan est incomplet. Anyway vous pouvez désinstaller ce Spybot.

Avez vous faits CCleaner avec les modif proposées.
Pourquoi n'installez vous ps un Antivirus, pour après, faire un scan avec. Ou au moins faire le scan en ligne chez Nod32.
► Poster le résultat d'un scan du C: fait avec le scan en ligne chez Nod32.

IMPORTANT.
Devez suivre l'ensemble des procédures qui vous sont placées, dans un message.
Une à la suite de l'autre et dans la séquence qu'ils sont placées, soient de la 1ière à la Nième.
____________________________

En double-vérification. Ce qui devrait être correct, mais quand même.
Scanner le fichier suivant chez Virus Total
.............C:\system32\DRIVERS\iaStor.sys

Si le fichier a déjà été scanner, alors [Ré-analyser ] le.
► Ne postez que l'adresse http//......de la page résultat.
..................................... (http//.. qui est en haut dans le navigateur)

[dillidan]

Pour ccleaner, j'ai bien fait la manip
Pour l'antivirus cest ce que j'ai fait avec docteur web
Pour nod32 je ne peux pas vu que le pc plante avec internet explorer, et que le virus m'a coupé touteconnexion (tjr connecté en local seulement meme en enlevant les proxy)

La j'étais en train de me préparer à formater :-S

Je te posté le zhp fix des que j'ai un pc à disposition dici 1h !

Pour le fichier à tester je n'ai malheureusement pas accès à internet :-(t! Tu penses que cest ca? Il ma vraiment mis un gros bazar vu quil à coupé toutes les connection et bloqué tous les systèmes de sécurité Windows :-( ca va etre long à remettre en place...

[cosmido]

Yep.., mswsock.dll est utile pour la connexion au net.

iaStor.sys est utile pour le(s) disque ; Intel Matrix Storage Manager driver - ia32.
Par contre, il peut arriver qu'il soit modifié par une infection. Ce qui est probablement ps le cas "dans ce cas-ci" et que le scan chez Virus total validera ou non.

Téléchargez ComboFix (sUBs).

Désactivez tous les logiciels de sécurité et fermer toutes les autres applications.

• Double-cliquer sur Combofix et [Exécuter]

Après que ComboFix soit lancé, ne cliquer ps dans sa fenêtre,

À la ’’Limitation de garantie du logiciel’’
• Avec Vista Windows 7, cliquer sur [J'accepte],

..Création d’un point de Restauration système et sauvegarde du Registre.

..ComboFix va déconnecter votre ordinateur d'Internet.
..Et commencer la tâche de désinfection.
• Attendex la fermeture de l’outil (plusieurs 10aines d’étapes).

Si ComboFix a besoin de redémarrer, laisser le aller.

► Postez le rapport de ComboFix (C:\Combofix.txt).

Réactiver l'antivirus et autre protection.

[dillidan]

OUF!!!!

J'ai lance combo fix et il m'a trouvé ROOTKIT ZERO ACCESS sur le TCP/IP!
le pc a redemaré et combo fix s'est relancé!
rapport: http://cjoint.com/?BCouerRf2W7
Il a redemaré le pc mais une erreur critique est apparue à la page des sessions :S

Ca sent la fin pour le virus.
J'ai vu sur ce site http://tigzyrk.blogspot.com/2011/09/roo ... s-max.html une procedure avant tdsskiller...

Que dois je faire pour enlever la bestiole?

Merci beaucoup!!!

[cosmido]

Lancer (après le pré-scan) qu'un [Scan] avec l'outil, dont vous faites référence au message précédent.
Et poster le rapport.

Si vous utilisiez Norton, utiliser leurs désinstallateur pour compléter sa désinstallation - page web.


Avec Combofix.exe qui devrait être sur le bureau.
Dans menu Démarrer -> Rechercher.., entrer ComboFix /Uninstall et valider.

Si vous pouvez faire le scan en ligne chez Nod32 - Dot it ! ...et sauvegarder le rapport pour le poster ensuite.
Et installer un antivirus !

[dillidan]

Je t'écris depuis momn Pc !

voici le rapport de tdss killer
http://cjoint.com/?BCouY3Te0sr

Combo fix desinstallé
Pas de Norton

Je lance le scan chez Nod 32!
voici le rapport:

C:\TDSSKiller_Quarantine\14.03.2012_20.35.53\rtkt0000\svc0000\tsk0000.dta une variante de Win32/Rootkit.Kryptik.KD cheval de troie nettoyé par suppression - mis en quarantaine
C:\ZHP\Quarantine\win32kjp.exe.VIR Win32/Injector.QF cheval de troie nettoyé par suppression - mis en quarantaine

J'ai bien cru que cette fois ci c'était la bonne pour le reformatage :S ! Merci infiniement pour tes conseils et ton suivi! C'est un virus trés dur a trouver apparament car il ne laisse pas de trace et niveau symptome il est costaud!
Bon la morale c'est que j'ai pris des risque sur le net et ça me servira de leçon pour un bout de temps!

Dois je marquer le sujet comme resolu?