[Réglé] Win32 et Trojan.Downloader

[Sophie]

Bonjour,

J'ai récupéré un vieux PC et lors de l'analyse Avast j'ai trouvé ceci :
Menace : Win32 : Malware-gen dans C:\Programme Files\...\few-oneclick.exe (j'avais 2 fois cette même ligne)
Avast a mis ça en quarantaine.
Et MBAM a trouvé ceci :
Trojan.Downloader et je l'ai supprimé (fallait peut être pas ?).

J'ai fait l'analyse OTL mais il ne m'a donné qu'un seul fichier : OTL.Txt :
http://48q3np.cjoint.net/

A votre avis, ce PC contient-il encore des virus ?

J'ai le CD officiel de Windows pour réinstaller. Je n'ai aucune données personnelles sur ce PC.

Merci.

[Del-crosseur]

bonjour Sophie ,

Repasse un scan avec MBAM en le mettant à jours puis poste moi le rapport.
Ensuite fais ceci:

Télécharge ZHPDiag par Nicolas Coolman et sauvegarde-le sur le Bureau.

• Laisse toi guider lors de l'installation, le programme se lancera automatiquement à la fin.
• /!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »/!\
• Cliquer sur l'icône représentant une loupe (« Lancer le diagnostic »)
• Enregistrer le rapport sur le Bureau à l'aide de l'icône représentant une disquette
• Héberger le rapport ZHPDiag.txt sur un site tel que cijoint.fr, puis copier/coller dans ta prochaine réponse

Bonne journée

[Sophie]

Bonjour Del,

Voici donc le rapport MBAM après mise à jour :

Code: Tout sélectionner

Malwarebytes' Anti-Malware 1.51.1.1800
www.malwarebytes.org

Version de la base de données: 7283

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

26/07/2011 18:05:32
mbam-log-2011-07-26 (18-05-32).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 229927
Temps écoulé: 1 heure(s), 4 minute(s), 58 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Et le rapport ZHP Diag :
http://gouvvv.megadl.fr/

C'est sympa de t'occuper de ça. Ca fait beaucoup de lecture dis donc !

[Del-crosseur]

Bonsoir Sophie ,

Peut tu me poster le rapport de MBAM ou il y avais des infections...

Pas d'infection dans se rapport , mise a part quelques lignes à supprimer ,


***Dans "Programmes" tu as ZHPDiag , cliques dessus pour le lancer
Lorsque la fenêtre de l'interface sera ouverte clique sur cette icône -->
Une nouvelle interface va se présenter (tu seras sur ZHPFix), dans celle-ci applique cette procédure :

• Dans la fenêtre d'application (blanche et vierge) copie et colle ceci dedans :

[HKLM\Software\Classes\toolband.eb_explorerbar]
[HKLM\Software\Classes\toolband.eb_explorerbar.1]
[HKLM\Software\Classes\toolband.fh_hookeventsink]
[HKLM\Software\Classes\toolband.fh_hookeventsink.1]
[HKLM\Software\Classes\toolband.ipm_printlistitem]
[HKLM\Software\Classes\toolband.ipm_printlistitem.1]
[HKLM\Software\Classes\toolband.pm_dialogeventshandler]
[HKLM\Software\Classes\toolband.pm_dialogeventshandler.1]
[HKLM\Software\Classes\toolband.pm_launcher]
[HKLM\Software\Classes\toolband.pm_launcher.1]
[HKLM\Software\Classes\toolband.pm_printmanager]
[HKLM\Software\Classes\toolband.pm_printmanager.1]
[HKLM\Software\Classes\toolband.pr_bindstatuscallback]
[HKLM\Software\Classes\toolband.pr_bindstatuscallback.1]
[HKLM\Software\Classes\toolband.pr_cancelbuttoneventhandler]
[HKLM\Software\Classes\toolband.pr_cancelbuttoneventhandler.1]
[HKLM\Software\Classes\toolband.pr_printdialogcallback]
[HKLM\Software\Classes\toolband.pr_printdialogcallback.1]
[HKLM\Software\Classes\toolband.tbtoolband]
[HKLM\Software\Classes\toolband.tbtoolband.1]
[HKLM\Software\Classes\toolband.useroptions]
[HKLM\Software\Classes\toolband.useroptions.1]
EmptyFlash
Emptytemp

• En haut dans la barre de commandes clique sur --> H
pour activer les lignes Helpers.

***Clique sur "OK", puis sur "Tous", et pour terminer le lancement sur "Nettoyer".
/!\Ne touche pas au pc pendant que ZHPFix travail , risque de plantage du logiciel./!\
Une fois le Scan terminer , tu obtiendras un rapport de nettoyage.
Poste-moi le rapport.

Bonne nuit

[Sophie]

Bonjour Del,

Truc bizarre, je n'ai plus le premier rapport dans MBAM. En plus quand je l'ai ouvert hier il était en anglais et j'ai du le remettre en français, je ne comprends pas pourquoi.

J'avais noté ce qu'il avait trouvé : Trojan.Downloader et ensuite il m'a dit quarantined and deleted successfully

Voici le rapport de ZHPFix :

Code: Tout sélectionner

Rapport de ZHPFix 1.12.3344 par Nicolas Coolman, Update du 21/07/2011
Fichier d'export Registre : C:\ZHPExportRegistry-27-07-2011-10-45-39.txt
Run by PC2 at 27/07/2011 10:45:39
Windows XP Home Edition Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Clé(s) du Registre ==========
SUPPRIME Key: HKLM\Software\Classes\toolband.eb_explorerbar
SUPPRIME Key: HKLM\Software\Classes\toolband.eb_explorerbar.1
SUPPRIME Key: HKLM\Software\Classes\toolband.fh_hookeventsink
SUPPRIME Key: HKLM\Software\Classes\toolband.fh_hookeventsink.1
SUPPRIME Key: HKLM\Software\Classes\toolband.ipm_printlistitem
SUPPRIME Key: HKLM\Software\Classes\toolband.ipm_printlistitem.1
SUPPRIME Key: HKLM\Software\Classes\toolband.pm_dialogeventshandler
SUPPRIME Key: HKLM\Software\Classes\toolband.pm_dialogeventshandler.1
SUPPRIME Key: HKLM\Software\Classes\toolband.pm_launcher
SUPPRIME Key: HKLM\Software\Classes\toolband.pm_launcher.1
SUPPRIME Key: HKLM\Software\Classes\toolband.pm_printmanager
SUPPRIME Key: HKLM\Software\Classes\toolband.pm_printmanager.1
SUPPRIME Key: HKLM\Software\Classes\toolband.pr_bindstatuscallback
SUPPRIME Key: HKLM\Software\Classes\toolband.pr_bindstatuscallback.1
SUPPRIME Key: HKLM\Software\Classes\toolband.pr_cancelbuttoneventhandler
SUPPRIME Key: HKLM\Software\Classes\toolband.pr_cancelbuttoneventhandler.1
SUPPRIME Key: HKLM\Software\Classes\toolband.pr_printdialogcallback
SUPPRIME Key: HKLM\Software\Classes\toolband.pr_printdialogcallback.1
SUPPRIME Key: HKLM\Software\Classes\toolband.tbtoolband
SUPPRIME Key: HKLM\Software\Classes\toolband.tbtoolband.1
SUPPRIME Key: HKLM\Software\Classes\toolband.useroptions
SUPPRIME Key: HKLM\Software\Classes\toolband.useroptions.1

========== Dossier(s) ==========
SUPPRIME Flash Cookies: 1
SUPPRIME Temporaires Windows: : 2

========== Fichier(s) ==========
SUPPRIME Flash Cookies: 0
SUPPRIME Temporaires Windows: : 7


========== Récapitulatif ==========
22 : Clé(s) du Registre
2 : Dossier(s)
2 : Fichier(s)


========== Chemin du fichier rapport ==========
C:\Program Files\ZHPDiag\ZHPFixReport.txt



End of the scan in 00mn 08s

Juste pour ton information, quand j'ai fait Démarrer - Tous les programmes - ZHP - ZHP Diag il a cherché le fichier ZHP2.exe pendant un petit moment et puis plus rien. Comme j'avais une icône ZHP Fix sur mon bureau, j'ai cliqué dessus pour faire ce que tu m'as dit. Je ne comprends pas tout mais bon ça a marché.

[Del-crosseur]

Bonjours ,

Oki c'est pas grave , et Oui sa a fonctionné sans problème...
Bon voila , il est clean... comment va le pc ?

Bonne journée

[Sophie]

Clean ! C'est cool ! Merci à toi Del.

Il a l'air de bien se porter pour le moment.

Il me faisait de petits trucs étranges mais je vais voir si ça continue après le nettoyage que tu viens de me faire faire.

Un jour il m'a mis ce message : un fichier C:\Programm gêne le fonctionnement de certaines applications, voulez vous le renommer en C:\Programm1 ? J'ai répondu Oui . On va voir ce que ça donne à l'avenir.

Trois fois il m'a envoyé un écran bleu, j'ai à chaque fois éteint mon PC et lorsque je l'ai rallumé, il fonctionnait. Je vais bien voir si ça continue. Regarde c'est cet écran bleu là :


Sinon je trouve qu'il est un peu mou au démarrage, j'ai fait msconfig mais il y a des trucs que j'hésite à décocher ne sachant pas si c'est indispensable au démarrage ou pas. C'est quoi les trucs Windows indispensables ?

[H3bus]

Poste nous un screen de la liste, on te dira.

[Sophie]

La v'la H3 ma liste des applications qui se lancent au démarrage, j'ai déjà décoché plein de trucs :

[H3bus]

Hum, ça serait pas mal de passer un grand coup de CCleaner, et de déinstaller pas mal de softs inutiles.

Dans la liste, tu peux virer Nero, Mail Notifier, LVCOMSX, et ElkCtrl sans problème.

[Sophie]

OK merci je vais décocher ce que tu me dis.

Pour les applications à désinstaller, j'en ai déjà enlevé un bon paquet mais certaines me résistent, pas moyen de les enlever.

Cleaner j'arrête pas de le faire après chacune de mes interventions : Analyse globale et du registre (je fais une sauvegarde des suppressions du registre à chaque fois).

Je refais une tentative et je repasse un coup de Ccleaner pour voir, et je te dis.

EDIT : voilà j'ai décoché dans msconfig et au démarrage ça va déjà mieux, super

J'ai encore enlevé quelques applications et passé Ccleaner mais il y en a une qui ne veut pas partir dans le panneau de configuration - Ajout/Sup de programmes :
Enregistrement utilisateur de Canon iP 4300

Et 2 autres qui n'apparaîsent que dans Démarrer - Tous les programmes, et que je ne peux pas enlever non plus :
Canon utilities et ensuite Easy-PhotoPrint
KODAK

Et puis dans Ajout/Sup de prog. j'ai tout plein de : J2SE Runtime Environment et plein de Java (TM). J'enlève tous les vieux ?

Pour information voici toute la liste dans Ajout/Sup de prog. :

[Del-crosseur]

Hello vous deux !

On va désinstaller les programmes qui nous ont servis lors de la désinfection...

Télécharge ->> DelFix <<- de Xplode

* Lance le.

* Choisit l'option "Suppression"

* Un rapport va s'ouvrir à la fin, colle le dans la réponse ...

Ensuite pour le désinstaller ; tu relances et tu passes à l'option "Désinstallation"

Bonne soirée

[Sophie]

Salut Del,

Quand je clique sur ton lien DelFix, j'obtiens ce message :

Not Found

The requested URL /too/Xplode/DelFix.exe was not found on this server.

[Del-crosseur]

Essaye celui ci -> http://www.commentcamarche.net/download ... 650-delfix

[Sophie]

Et voilà le rapport Del, ça a bien marché on dirait, je n'ai plus les icônes sur le bureau et il m'a même enlevé DelFix.exe, propre nickel :

Code: Tout sélectionner

# DelFix v8.1 - Rapport créé le 27/07/2011 à 21:51
# Mis à jour le 20/06/11 à 19h par Xplode
# Système d'exploitation : Microsoft Windows XP (32 bits) [version 5.1.2600] Service Pack 3
# Nom d'utilisateur : PC2 - XXX-A8B686 (Administrateur)
# Exécuté depuis : C:\Documents and Settings\PC2\Mes documents\Téléchargements\DelFix-8.1.exe
# Option [Suppression]


~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\Program Files\ZHPDiag
Supprimé : C:\Documents and Settings\All Users\Menu Démarrer\Programmes\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\ZHPExportRegistry-27-07-2011-10-45-39.txt
Supprimé : C:\Documents and Settings\PC2\Bureau\OTL.exe
Supprimé : C:\Documents and Settings\PC2\Bureau\OTL.Txt
Supprimé : C:\Documents and Settings\PC2\Bureau\ZHPDiag.txt
Supprimé : C:\Documents and Settings\PC2\Bureau\ZHPDiag2.exe
Supprimé : C:\Documents and Settings\PC2\Bureau\ZHPFixReport.txt
Supprimé : C:\Documents and Settings\All Users\Bureau\MBRCheck.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPDiag.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPFix.lnk

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\ZHP
Clé Supprimée : HKLM\Software\OldTimer Tools
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1

~~~~~~ Autre ~~~~~~

-> Prefetch vidé

########## EOF - "C:\DelFixSuppr.txt" - [1530 octets] ##########