Security-X

Forum Security-X => Désinfections => Discussion démarrée par: dean le juillet 04, 2012, 00:00:35

Titre: [resolu] svchost
Posté par: dean le juillet 04, 2012, 00:00:35
http://pjjoint.malekal.com/files.php?id=20120703_g5o105h11v7
http://pjjoint.malekal.com/files.php?id=20120703_o14o7j13m15n6

je vous pris de m'aidez, j'ai exécuté l’exécutable OTL
Titre: Re : svchost
Posté par: hyunkel30 le juillet 04, 2012, 14:11:46
Bonjour ? hello ? salut ?

Peut-on avoir des explications ?
Les symptômes ?

On voit effectivement des infections, mais cela est mieux pour débuter d'avoir des infos ;)


On va déjà commencer le nettoyage :

1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :

- Uniblue RegistryBooster (sauf réelle utilité, plus gadget qu'autre chose ...)

- Conduit Engine (adware : logiciel publicitaire)
- SoftwareUpdate 1.0 (lié au précédent)


2) Relance  OTL.exe

Note : le rapport est enregistré sous format ".log", il convient de changer cette extension en ".txt" si tu veux le déposer sur des sites en ligne. S'il n'apparait pas, il se trouve ici : C:\_OTL, sous la forme xxxxxxxx_xxxx.log où x sont la date et l'heure

/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\
Titre: Re : svchost
Posté par: dean le juillet 04, 2012, 21:42:38
voici le rapport,
All processes killed
========== OTL ==========
Service NEWDRIVER stopped successfully!
Service NEWDRIVER deleted successfully!
File C:\Windows\system32\WinVDEdrv6.sys not found.
Service catchme stopped successfully!
Service catchme deleted successfully!
File C:\Users\Admin\AppData\Local\Temp\catchme.sys not found.
HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\\Start Page| /E : value set successfully!
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully!
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{8A96AF9E-4074-43b7-BEA3-87217BDA74C8}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8A96AF9E-4074-43b7-BEA3-87217BDA74C8}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{afdbddaa-5d3f-42ee-b79c-185a7020515b}\ not found.
HKU\S-1-5-21-1939997115-380083762-4254957371-1000\SOFTWARE\Microsoft\Internet Explorer\Main\\Start Page| /E : value set successfully!
Registry key HKEY_USERS\S-1-5-21-1939997115-380083762-4254957371-1000\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}\ not found.
Registry key HKEY_USERS\S-1-5-21-1939997115-380083762-4254957371-1000\Software\Microsoft\Internet Explorer\SearchScopes\{6E8B239B-293E-43A7-AF2C-CE6625068FB9}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6E8B239B-293E-43A7-AF2C-CE6625068FB9}\ not found.
Registry key HKEY_USERS\S-1-5-21-1939997115-380083762-4254957371-1000\Software\Microsoft\Internet Explorer\SearchScopes\{7F4EFF06-7032-458e-AE16-1C1D8255C28A}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7F4EFF06-7032-458e-AE16-1C1D8255C28A}\ not found.
Registry key HKEY_USERS\S-1-5-21-1939997115-380083762-4254957371-1000\Software\Microsoft\Internet Explorer\SearchScopes\{8A96AF9E-4074-43b7-BEA3-87217BDA74C8}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8A96AF9E-4074-43b7-BEA3-87217BDA74C8}\ not found.
Registry key HKEY_USERS\S-1-5-21-1939997115-380083762-4254957371-1000\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{afdbddaa-5d3f-42ee-b79c-185a7020515b}\ not found.
Prefs.js: "Web Search" removed from browser.search.defaultengine
Prefs.js: "servershare Customized Web Search" removed from browser.search.defaultthis.engineName
Prefs.js: "http://home.speedbit.com/search.aspx?site=shdefault&pid=%s&aid=%s&shr=%d&q=" removed from browser.search.defaulturl
Prefs.js: "Search the web (Babylon)" removed from browser.search.order.1
Prefs.js: "http://allssearch.com/" removed from browser.startup.homepage
Prefs.js: "http://allssearch.com/resultats.html?q=&oq=&aq=f&aqi=g10e1&aql=1&gs_sm=12&gs_upl=1089l1089l0l3340l1l1l0l0l0l0l83l83l1l1l0&gs_l=partner.12..0l10j34.1089l1089l0l3340l1l1l0l0l0l0l83l83l1l1l0.gsnos%2Cn%3D13.1." removed from keyword.URL
C:\Users\Admin\AppData\Roaming\Mozilla\FireFox\Profiles\cwkqr2fw.default\user.js moved successfully.
C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\cwkqr2fw.default\searchplugins\conduit.xml moved successfully.
C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\cwkqr2fw.default\searchplugins\funmoods.xml moved successfully.
C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\cwkqr2fw.default\searchplugins\speedbit.xml moved successfully.
C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\cwkqr2fw.default\searchplugins\startsear.xml moved successfully.
C:\Program Files\Mozilla Firefox\searchplugins\babylon.xml moved successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{30F9B915-B755-4826-820B-08FBA6BD249D}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{30F9B915-B755-4826-820B-08FBA6BD249D}\ not found.
File C:\Program Files\ConduitEngine\ConduitEngine.dll not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{10EDB994-47F8-43F7-AE96-F2EA63E9F90F} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{10EDB994-47F8-43F7-AE96-F2EA63E9F90F}\ not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{30F9B915-B755-4826-820B-08FBA6BD249D} not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{30F9B915-B755-4826-820B-08FBA6BD249D}\ not found.
File C:\Program Files\ConduitEngine\ConduitEngine.dll not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{98889811-442D-49dd-99D7-DC866BE87DBC} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{98889811-442D-49dd-99D7-DC866BE87DBC}\ not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{99079a25-328f-4bd4-be04-00955acaa0a7} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{99079a25-328f-4bd4-be04-00955acaa0a7}\ not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\10 deleted successfully.
Registry value HKEY_USERS\S-1-5-21-1939997115-380083762-4254957371-1000\Software\Microsoft\Windows\CurrentVersion\Run\\chrome deleted successfully.
C:\Users\Admin\AppData\Roaming\locsrv2.exe moved successfully.
Registry value HKEY_USERS\S-1-5-21-1939997115-380083762-4254957371-1000\Software\Microsoft\Windows\CurrentVersion\Run\\Windows Defender deleted successfully.
C:\Users\Admin\AppData\Roaming\WinDefender\windefender.exe moved successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\fsp_lmwl\ deleted successfully.
Registry key HKEY_USERS\S-1-5-21-1939997115-380083762-4254957371-1000_Classes\.exe\ deleted successfully.
Registry key HKEY_USERS\S-1-5-21-1939997115-380083762-4254957371-1000_Classes\exefile\ not found.
HKEY_LOCAL_MACHINE\Software\Classes\.exe\\|exefile /E : value set successfully!
C:\Program Files\allsearch\tbunsx63C3.tmp folder moved successfully.
C:\Program Files\allsearch folder moved successfully.
C:\Users\Admin\AppData\Roaming\chrome.exe moved successfully.
C:\Users\Admin\AppData\Local\Temp19.html moved successfully.
C:\Users\Admin\AppData\Local\Temp36.html moved successfully.
C:\Users\Admin\AppData\Local\Temp1.html moved successfully.
C:\Windows\System32\bandoolmx.dll moved successfully.
C:\Users\Admin\AppData\Roaming\Tuto4pc\SoftwareUpdate folder moved successfully.
C:\Users\Admin\AppData\Roaming\Tuto4pc folder moved successfully.
ADS C:\ProgramData\TEMP:1CE11B51 deleted successfully.
ADS C:\ProgramData\TEMP:07BF512B deleted successfully.
ADS C:\ProgramData\TEMP:35629AE6 deleted successfully.
ADS C:\ProgramData\TEMP:661DFA1C deleted successfully.
ADS C:\ProgramData\TEMP:D1B5B4F1 deleted successfully.
ADS C:\ProgramData\TEMP:98DFF516 deleted successfully.
ADS C:\ProgramData\TEMP:5C6EBC69 deleted successfully.
========== FILES ==========
C:\Users\Admin\AppData\Local\Temp\svchost.exe moved successfully.
File\Folder C:\Program Files\ConduitEngine not found.
C:\Users\Admin\AppData\Roaming\WinDefender folder moved successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: Admin
->Temp folder emptied: 52188280 bytes
->Temporary Internet Files folder emptied: 180358 bytes
->FireFox cache emptied: 50262448 bytes
->Apple Safari cache emptied: 0 bytes
->Flash cache emptied: 547 bytes
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Public
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 98,00 mb
 
 
OTL by OldTimer - Version 3.2.53.1 log created on 07042012_202847

Files\Folders moved on Reboot...

PendingFileRenameOperations files...

Registry entries deleted on Reboot...
Titre: Re : svchost
Posté par: dean le juillet 04, 2012, 21:46:43
et maintenant je fait quoi cher ami ???
Titre: Re : svchost
Posté par: hyunkel30 le juillet 04, 2012, 22:46:11
Re,

On continu, :

Télécharge MalwareByte's Anti-Malware (http://www.inforumatique.fr/site/download/download-82+malwarebytes-anti-malware.php) :

Titre: Re : svchost
Posté par: dean le juillet 04, 2012, 23:50:28
ok mon ami j'ai fait tous ce que tu ma dit et voici le rapport... je fait quoi après??

Malwarebytes Anti-Malware (Essai) 1.61.0.1400
www.malwarebytes.org

Version de la base de données: v2012.07.04.06

Windows 7 x86 NTFS
Internet Explorer 8.0.7600.16385
Admin :: ADMIN-PC [administrateur]

Protection: Activé

04/07/2012 22:05:38
mbam-log-2012-07-04 (22-05-38).txt

Type d'examen: Examen complet
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 279549
Temps écoulé: 35 minute(s), 42 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 14
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{75EBB0AA-4214-4CB4-90EC-E3E07ECD04F7} (PUP.FunMoods) -> Mis en quarantaine et supprimé avec succès.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{75EBB0AA-4214-4CB4-90EC-E3E07ECD04F7} (PUP.FunMoods) -> Mis en quarantaine et supprimé avec succès.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{78F3A323-798E-4AEA-9A57-88F4B05FD5DD} (PUP.VShareRedir) -> Mis en quarantaine et supprimé avec succès.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{78F3A323-798E-4AEA-9A57-88F4B05FD5DD} (PUP.VShareRedir) -> Mis en quarantaine et supprimé avec succès.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{78F3A323-798E-4AEA-9A57-88F4B05FD5DD} (PUP.VShareRedir) -> Mis en quarantaine et supprimé avec succès.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{7AC3E13B-3BCA-4158-B330-F66DBB03C1B5} (PUP.VShareRedir) -> Mis en quarantaine et supprimé avec succès.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{7AC3E13B-3BCA-4158-B330-F66DBB03C1B5} (PUP.VShareRedir) -> Mis en quarantaine et supprimé avec succès.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{7AC3E13B-3BCA-4158-B330-F66DBB03C1B5} (PUP.VShareRedir) -> Mis en quarantaine et supprimé avec succès.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{A4C272EC-ED9E-4ACE-A6F2-9558C7F29EF3} (PUP.Funmoods) -> Mis en quarantaine et supprimé avec succès.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{A4C272EC-ED9E-4ACE-A6F2-9558C7F29EF3} (PUP.Funmoods) -> Mis en quarantaine et supprimé avec succès.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{AB720781-0670-4E46-B82E-376AEF228F25} (PUP.Tuto4PC) -> Mis en quarantaine et supprimé avec succès.
HKCU\Software\VB and VBA Program Settings\SrvID (Malware.Trace) -> Mis en quarantaine et supprimé avec succès.
HKLM\SOFTWARE\Tuto4pc (PUP.Tuto4PC) -> Mis en quarantaine et supprimé avec succès.
HKLM\SOFTWARE\Google\chrome\Extensions\fdloijijlkoblmigdofommgnheckmaki (PUP.Funmoods) -> Mis en quarantaine et supprimé avec succès.

Valeur(s) du Registre détectée(s): 2
HKCU\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser|{7AC3E13B-3BCA-4158-B330-F66DBB03C1B5} (PUP.VShareRedir) -> Données: ;áÃzÊ;XA³0öm»Áµ -> Mis en quarantaine et supprimé avec succès.
HKCU\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser\{7AC3E13B-3BCA-4158-B330-F66DBB03C1B5} (PUP.VShareRedir) -> Données:  -> Mis en quarantaine et supprimé avec succès.

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 1
C:\Windows\WINDUPDATE\vistas.dll (Backdoor.Agent) -> Mis en quarantaine et supprimé avec succès.

(fin)
Titre: Re : svchost
Posté par: hyunkel30 le juillet 05, 2012, 09:34:31
Re,

à présent dis-moi si tu es encore des alertes de ton antivirus.
Ou bien des symptômes/soucis ?

Si tout est ok, on nettoieras les outils et on conclura.


Autre question, as-tu à l'ouverture du pc des fenêtre de dossier qui s'ouvrent ?
As-tu volontairement ou involontairement copier tout ou parti du dossier d'utilisateur dans le dossier de démarrage ? (Tous les programmes -> démarrage)

 :AAN
Titre: Re : svchost
Posté par: dean le juillet 07, 2012, 16:20:19
merci bcp mon ami .. hynkel .. ; non seulement tu ma aider a supprimer le virus mai encor mon pc est devenu plus rapide qu'avant ... quel talent !!! milles merci ...  :BAN
Titre: Re : svchost
Posté par: hyunkel30 le juillet 07, 2012, 22:35:05
Re,

Tant mieux, ;) mais par contre attend, nous devons terminer en mettant à jour le pc et en nettoyant les outils utilisé, mais j'aimerais avant que tu réponde à ma question :

Citer
Autre question, as-tu à l'ouverture du pc des fenêtre de dossier qui s'ouvrent ?
As-tu volontairement ou involontairement copier tout ou parti du dossier d'utilisateur dans le dossier de démarrage ? (Tous les programmes -> démarrage)