[résolu]Possibilité de virus

Sujet: [résolu]Possibilité de virus Sam 16 Oct 2010 - 19:09

Bonjour à la communauté!
Voilà, j'ai un petit problème avec mon PC.
Tout à commencer après une "analyse intelligente" de ESET Smart Security que j'ai effectuer il y a deux jours.
Il ma trouvé un "Fichier potentiellement dangereux" nommé "Windows Live messenger.exe" qui se situe: C\Windows\System32\Temp\Windows Live messenger.exe.
Or je n'es jamais installé se programme sur mon ordinateur. Donc je suis allé le chercher à l'adresse ci-dessus et bizarrement, le fichier Windows Live messenger.exe ne s'y trouve pas.
De temps en temps, l'antivirus me le détecte en me donnant: Supprimer, Analyser, Ne rien faire.
j'ai beau cliquer sur les trois, il reviens 5 minutes après sauf quand je clique sur "Ne rien faire".
Quand je regarde les Gestionnaire des taches dans la colonne "Processus", il m'arrive de voir "Windows Live messenger" sur 10-11 lignes en me mangent tout mon UC.

De plus, j'ai mon Firefox qui a beaucoup de problème depuis cette fameuse analyse.
Dans mon processus il y est deux fois dont un qui reste vers les 5700 et l'autre qui et a 90 000 (mais celui la c'est quand je suis sur internet). Par contre une fois Firefox coupé, il me reste toujours celui des 5700 et même en le suppriment il reviens deux secondes après.
Ensuite, Que je soit sur Firefox ou non, j'ai un message d'erreur qui s'affiche: Firefox a cessé de fonctionner. des fois il ne le fais jamais mais d'autre il me le fais toutes les trois min et même des fois il se lance plus de 25 fois.

Je m'inquiète un peut de savoir si oui ou non quelqu'un est en train de fouiller mon PC.
J'espère que vous m'aiderai. Je ne suis pas super calé en ordinateur et je veut pas trop tout toucher pour ne pas que cela empire.

Cordialement, Aienkien
Désoler pour les fautes d'orthographe.

Voilà les testes:

http://www.cijoint.fr/cjlink.php?file=cj201010/cij8nZjKGh.txt

Je n'es pas cocher "rendre public le fichier" comme il n'y avais rien marquer à se sujet. Si il faut que je le re-Up je le ferais.

Sujet: Re: [résolu]Possibilité de virus Sam 16 Oct 2010 - 19:37

Bonsoir et bienvenue Aienkien

Suis les étapes 1 et 4 de ce liens afin d'analyser ton pc.

http://www.bibou0007.com/aide-a-la-desinfection-f8/procedure-a-suivre-avant-de-poster-t2887.htm

@+

Sujet: Re: [résolu]Possibilité de virus Sam 16 Oct 2010 - 20:59

c'est déjà fait regarde en bas de mon poste.

Sujet: Re: [résolu]Possibilité de virus Sam 16 Oct 2010 - 22:11

Désolé j'ai pas fais attention Rolling Eyes

Est toi qui à modifié ton fichier host avec cette adresse :

208.109.206.98 L2authd.Lineage2.com

il semblerait que ce soit un serveur dédié à des jeux en lignes si tu le connais et le fréquente c'est ok.

Tu as beaucoup trop de toolbars,:

Vuze Remote Toolbar
DAEMON Tools Toolbar
Contribute Toolbar
Easy Photo Print

elles ne sont pas toutes discrètes sur tes habitude de surf notamment celle nommée Vuze Remote Toolbar et elles ralentissent ton navigateur.

Afin d'en savoir plus regarde ce sujet

Désinstalle les.

Ensuite :

ZHPFix

Ferme toutes tes applications en cours.
Double clique sur l'icône ZHPFix sur ton bureau
Note :
Pour Vista et Windows 7 faites un clic droit sur l'icône et sélectionnez Exécuter en tant qu'administrateur.
Copie les lignes ci dessous :

Code:

O4 - HKLM\..\Run: [HKLM] C:\Windows\System32\Temp\Windows live messenger.exe (.not file.)
O4 - HKCU\..\Run: [HKCU] C:\Windows\System32\Temp\Windows live messenger.exe (.not file.)
O4 - HKUS\S-1-5-21-1521250574-971769129-3915822792-1001\..\Run: [HKCU] C:\Windows\System32\Temp\Windows live messenger.exe (.not file.)
O4 - HKCU\..\Run: [AdobeBridge] Clé orpheline
O4 - HKCU\..\Run: [PlayNC Launcher] Clé orpheline
O4 - HKUS\S-1-5-21-1521250574-971769129-3915822792-1001\..\Run: [AdobeBridge] Clé orpheline
[HKCU\Software\AppDataLow\Toolbar]
[HKCU\Software\Conduit]
[HKCU\Software\YahooPartnerToolbar]
Clique sur le bouton
Clique sur le bouton OK .
Clique sur le bouton Tous pour les sélectionner.
Clique sur le bouton Nettoyer afin de les supprimer
Accepte la désinstallation des programmes si proposé, mais refuse le redémarrage de ton pc si également proposé, car cela stopperai ZHPFix.
Ton navigateur risque de s'ouvrir pendant la désinstallation des toolbars, pas de panique c'est normal, ferme les fenêtres tout simplement.
Redémarre le pc, copie et colle le rapport ZHPFix.txt qui s'affiche.
Note : le rapport est enregistré sous C:\Program Files\ZHPDiag\ZHPFixReport.txt

Dis moi si il y a du mieux et refait un nouveau scan zhpdiag

@+

Sujet: Re: [résolu]Possibilité de virus Dim 17 Oct 2010 - 11:08

Salut!
Tout d'abord merci pour une réponse super rapide. C'est vraiment gentil Very Happy

Je vous donnent les dernières news du PC de se matin.
Mon "UC" varie entre 0% et 5% quand j'ai juste Firefox de lancer (pour pouvoir vous écrire).
J'ai également plus qu'un seul Firefox dans mon processus et windows live messenger.exe n'y est plus. Aussi, mon antivirus ne le détecte plus.
Es que c'est mon ordinateur qui a voulu me faire une farce? es que c'est quelqu'un qui a pénétré chez moi? Beaucoup de questions me traverse l'esprit.

La ligne:
208.109.206.98 L2authd.Lineage2.com
C'est pour pouvoir accéder à un serveur privé Lineage2. Énormément de monde l'utilise et j'ai confiance (c'est moi qui es ajouté la ligne).

Les toolbar (merci pour le "sujet"), elles ne sont pas activent sur mon ordinateur (enfin je ne les vois pas). Et je suis persuader de les avoir décocher dans l'installation.

Je vais faire la manip. ZHPFix et je vous tiens au jus.

Edit:
Alors, j'ai fais la manipulation avec ZHPFix et je vous donne le résultat:

Spoiler:

Je n'es pas eu le navigateur de lancer puisqu'il l'était déjà pour que je puisse suivre la procédure correctement sans faire de bêtises.
Je me lance tout de suite sur un nouveau scan zhpdiag.

Edit:
Scan ZHPDiag:
http://www.cijoint.fr/cjlink.php?file=cj201010/cijm812mPP.txt <----------------------

Je ne sais pas comment vous faites pour comprendre tout se bazar de ligne mais je dit chapeau!

Cordialement, Aienkien

Sujet: Re: [résolu]Possibilité de virus Dim 17 Oct 2010 - 15:16

Super

Citation :: Je ne sais pas comment vous faites pour comprendre tout se bazar de ligne mais je dit chapeau!

C'est grâce à des bénévoles qui nous font profiter de leur savoir, et j'en profite pour les remercier. Wink

Bien même si ça va beaucoup mieux, ce n'est pas tout à fait terminé :

Il faut que tu mettes à jour tes programmes java et VLC afin de supprimer des failles de sécurité exploitées par les virus. Pour en savoir plus consulte cet article

Mise à jour de java

Clique sur Démarrer / Panneau de config /Java
Sélectionne l'ongle Mise à jour
Clique sur le bouton Mettre à jour maintenant
Laisse toi guider.

Mise à jour de VLC

Lance VLC
Clique sur le menu Aide
Sélectionne Vérifier les mises à jour...
Laisse toi guider par le logiciel

Ensuite nous allons supprimer les barre d'outils inutiles. J'ai vu aussi que tu avais beaucoup trop de programmes qui se lancent au démarrage du pc. Cela augmente le temps de démarrage et consomme de la mémoire inutilement.
Nous allons donc les désactiver.
Cela ne désinstallera pas les programmes, ils seront toujours présents sur ton pc et tu pourras les lancer manuellement, au besoin, via leur raccourci ou par le menu Démarrer.
Dans le script que je te propose, les programmes concernés se trouvent au niveau des lignes O4 et sont précédés de la commande OPT:
Si dans cette liste tu as absolument besoin qu'un ou plusieurs programmes soient lancés au démarrage du pc, ne coche pas la case devant leur ligne.

ZHPFix

Ferme toutes tes applications en cours.
Double clique sur l'icône ZHPFix sur ton bureau
Note :
Pour Vista et Windows 7 faites un clic droit sur l'icône et sélectionnez Exécuter en tant qu'administrateur.
Copie les lignes ci dessous :

Citation :

O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [HKLM] -- DAEMON Tools Toolbar
O42 - Logiciel: Vuze Remote Toolbar - (.Vuze Remote.) [HKLM] -- Vuze_Remote Toolbar
O3 - Toolbar: Easy Photo Print - {9421DD08-935F-4701-A9CA-22DF90AC4EA6} . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Epson Software\Easy Photo Print\EPTBL.dll
[HKCU\Software\AppDataLow\Software\Conduit]
[HKLM\Software\Conduit]
O43 - CFD:Common File Directory ----D- C:\Program Files\Conduit
O69 - SBI: prefs.js [Xavier - p63q55xu.default] user_pref("CT2504091.SearchEngine", "Search||http://search.conduit.com/Results.aspx?q=UCM_SEARCH_TERM&ctid=CT2504091
O69 - SBI: prefs.js [Xavier - p63q55xu.default] user_pref("CT2504091.SearchFromAddressBarUrl", "http://search.conduit.com/ResultsExt.aspx?ctid=CT2504091&q=");
OPT:O4 - HKLM\..\Run: [SoundMan] . (.Realtek Semiconductor Corp. - Realtek Sound Manager.) -- C:\Windows\SOUNDMAN.exe
OPT:O4 - HKLM\..\Run: [WMAAD] . (.Sony Corporation - WALKMAN Launcher.) -- C:\Program Files\Sony\WALKMAN Launcher\WMAAD.exe
OPT:O4 - HKLM\..\Run: [AdobeAAMUpdater-1.0] . (.Adobe Systems Incorporated - Adobe Updater Startup Utility.) -- C:\Program Files\Common Files\Adobe\OOBE\PDApp\UWA\UpdaterStartupUtility.exe
OPT:O4 - HKLM\..\Run: [HP Software Update] . (.Hewlett-Packard - hpwuSchd Application.) -- C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
OPT:O4 - HKLM\..\Run: [hpqSRMon] . (.Hewlett-Packard - HpqSRmon.) -- C:\Program Files\HP\Digital Imaging\bin\hpqSRMon.exe
OPT:O4 - HKLM\..\Run: [SunJavaUpdateSched] . (.Sun Microsystems, Inc. - Java(TM) Update Scheduler.) -- C:\Program Files\Common Files\Java\Java Update\jusched.exe
OPT:O4 - HKLM\..\Run: [DivXUpdate] . (.Pas de propriétaire - DivX Update.) -- C:\Program Files\DivX\DivX Update\DivXUpdate.exe
OPT:O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\QTTask.exe
OPT:O4 - HKLM\..\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper.) -- C:\Program Files\iTunes\iTunesHelper.exe
OPT:O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe
OPT:O4 - HKLM\..\Run: [Adobe ARM] . (.Adobe Systems Incorporated - Adobe Reader and Acrobat Manager.) -- C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe
OPT:O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] . (.Microsoft Corporation - MCTAdmin.) -- C:\Windows\System32\mctadmin.exe
OPT:O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] . (.Microsoft Corporation - MCTAdmin.) -- C:\Windows\System32\mctadmin.exe
OPT:O4 - Global Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\HP Digital Imaging Monitor.lnk . (.Hewlett-Packard Co..) -- C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
OPT:O4 - Global Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Microsoft Office.lnk . (.Microsoft Corporation.) -- C:\Program Files\Microsoft Office\Office10\OSA.EXE
Clique sur le bouton
Clique sur le bouton OK .
Clique sur le bouton Tous pour les sélectionner.
Clique sur le bouton Nettoyer afin de les supprimer
Accepte la désinstallation des programmes si proposé, mais refuse le redémarrage de ton pc si également proposé, car cela stopperai ZHPFix.
Ton navigateur risque de s'ouvrir pendant la désinstallation des toolbars, pas de panique c'est normal, ferme les fenêtres tout simplement.
Redémarre le pc, copie et colle le rapport ZHPFix.txt qui s'affiche.
Note : le rapport est enregistré sous C:\Program Files\ZHPDiag\ZHPFixReport.txt

Voilà après cela ça devrait déjà aller mieux.

Refait un nouveau scan zhpdiag pour contrôle.

@+

Sujet: Re: [résolu]Possibilité de virus Dim 17 Oct 2010 - 19:59

Alors j'ai viré tout les OPT:04 comme c'était les seuls que j'avais le droits de cocher apparemment.
Il y a encore DAEMON TOOL et Vuze mais lui je viens d'enlever daemon tool de mes modules Firefox. et vuze je ne les pas trouvé.

le rapport

Spoiler:

Le nouveau scan:

http://www.cijoint.fr/cjlink.php?file=cj201010/cijvstL9S8.txt

Sujet: Re: [résolu]Possibilité de virus Dim 17 Oct 2010 - 20:27

Citation :: Alors j'ai viré tout les OPT:04 comme c'était les seuls que j'avais le droits de cocher apparemment.

on s'est mal compris, mais ce n'est pas grave.

En fait il faut que toutes les lignes du script soient cochées pour être prises en compte. C'est pour cela que je que je te mets :

Citation :: Clique sur le bouton Tous pour les sélectionner.

Si tu décoches la cases la ligne n'est pas prise en compte. Apparemment tu as décoché les toolbars, ce n'est pas grave, je vais regarder ton nouveau scan et on va y remédier.

Tu as le droit de décocher que les cases devant les lignes 04 précédées de OPT: afin de conserver le programme au démarrage du pc.

Je jette un oeil à ton scan et te met la procédure.

@+

Me revoilà Wink

Ce coup ci ne décoche rien, suis bien la procédure Razz

ZHPFix

Ferme toutes tes applications en cours.
Double clique sur l'icône ZHPFix sur ton bureau
Note :
Pour Vista et Windows 7 faites un clic droit sur l'icône et sélectionnez Exécuter en tant qu'administrateur.
Copie les lignes ci dessous :

Citation :

R3 - URLSearchHook: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) (5, 7, 2, 2) -- C:\Program Files\Vuze_Remote\tbVuze.dll
R3 - URLSearchHook: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) (5, 7, 2, 2) -- C:\Program Files\Vuze_Remote\tbVuze.dll
O2 - BHO: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\Vuze_Remote\tbVuze.dll
O3 - Toolbar: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\Vuze_Remote\tbVuze.dll
O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} . (.Pas de propriétaire - ToolBand Module.) -- C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll
O3 - Toolbar: Contribute Toolbar - {517BDDE4-E3A7-4570-B21E-2B52B6139FC7} . (.Adobe Systems, Inc. - Contribute IE Plugin.) -- C:\Program Files\Adobe\Adobe Contribute CS5\Plugins\IEPlugin\contributeieplugin.dll
O3 - Toolbar: Easy Photo Print - {9421DD08-935F-4701-A9CA-22DF90AC4EA6} . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\Epson Software\Easy Photo Print\EPTBL.dll
O42 - Logiciel: DAEMON Tools Toolbar - (.DT Soft Ltd.) [HKLM] -- DAEMON Tools Toolbar
O42 - Logiciel: Vuze Remote Toolbar - (.Vuze Remote.) [HKLM] -- Vuze_Remote Toolbar
[HKCU\Software\AppDataLow\Software\Conduit]
[HKCU\Software\YahooPartnerToolbar]
[HKLM\Software\Conduit]
O43 - CFD:Common File Directory ----D- C:\Program Files\Conduit
O43 - CFD:Common File Directory ----D- C:\Program Files\DAEMON Tools Toolbar
O69 - SBI: SearchScopes [HKCU] {AD22EBAF-0D18-4fc7-90CC-5EA0ABBE9EB8} [DefaultScope] - (DAEMON Search) - http://www.daemon-search.com
Clique sur le bouton
Clique sur le bouton OK .
Clique sur le bouton Tous pour les sélectionner.
Clique sur le bouton Nettoyer afin de les supprimer
Accepte la désinstallation des programmes si proposé, mais refuse le redémarrage de ton pc si également proposé, car cela stopperai ZHPFix.
Ton navigateur risque de s'ouvrir pendant la désinstallation des toolbars, pas de panique c'est normal, ferme les fenêtres tout simplement.
Redémarre le pc, copie et colle le rapport ZHPFix.txt qui s'affiche.
Note : le rapport est enregistré sous C:\Program Files\ZHPDiag\ZHPFixReport.txt

J'attends donc le rapport zhpfix Wink

Sujet: Re: [résolu]Possibilité de virus Dim 17 Oct 2010 - 22:33

J'ai fais exactement comme c'est écrit.
Effectivement j'ai mal compris. Il est écrit "au niveau" des 04 précédés des OPT. Et pour moi je me suis dis "c'est ici". Désolé pour l'erreur.

Rapport:

Spoiler:

Sujet: Re: [résolu]Possibilité de virus Lun 18 Oct 2010 - 8:56

Hello Aienkien

Bien tu peux désinstaller les outils utilisés sauf Malwarebytes que tu peux conserver et utiliser régulièrement après l'avoir mis à jour.

Pour désinstaller les outils :

Lance zhpfix
clique sur l'icône A (Nettoyeur de Tools)
clique sur Nettoyer
Redémarre le pc

Ensuite purge ta restauration système afin d'y supprimer les malwares sauvegardés.

Purger la restauration du système sous windows XP

Puis tu peux terminer par un nettoyage avec Ccleaner :

Nettoyage avec Ccleaner

Voilà, bonne continuation

Sujet: Re: [résolu]Possibilité de virus Mar 19 Oct 2010 - 18:57

Merci c'est très gentil de s'être occupé de moi!
Je recommanderai se forum à un maximum de personnes.

Encore merci et Re-Merci.

Ps: Merci a Laenise de m'avoir envoyé ici ^^ (il se reconnaitra).

Sujet: Re: [résolu]Possibilité de virus Mer 3 Nov 2010 - 16:51

Le sujet semble résolu, je le verrouille. Si pour une raison ou une autre, vous avez besoin de le réouvrir, faites en la demande par MP en précisant la raison et le lien vers ce sujet. Ceci ne s'applique qu'à Aienkien. Pour les autres, créez votre propre sujet svp.

» [Résolu] virus suite à essai telechargement arma2 - virus ? bohemia interactive & impossible supprimer fichier
» [Résolu]mon ordi plante + possibilité d'infection. help me please
» virus ou pas ?? [RESOLU]
» (RESOLU) virus
» Virus ...(résolu)