[OK] PC infecté? Demande d'aide et d'analyse de logs

Sécurité et insécurité. Virus, Trojans, Spywares, Failles etc. …

Modérateur: Modérateurs et Modératrices

Règles du forum
Assiste.com a suspendu l'assistance à la décontamination après presque 15 ans sur l'ancien forum puis celui-ci. Voir :

Procédure de décontamination 1 - Anti-malware
Décontamination anti-malwares

Procédure de décontamination 2 - Anti-malware et antivirus (La Manip)
La Manip - Procédure standard de décontamination

Entretien périodique d'un PC sous Windows
Entretien périodique d'un PC sous Windows

Protection des navigateurs, de la navigation et de la vie privée
Protéger le navigateur, la navigation et la vie privée

Messagede renaudoo » 23 Juin 2009, 11:43

merci très chère NickW :Mouaaarrrrffffffff:

je clôturerai bien ce sujet mais avant je voudrai te soumettre ceci :
j'ai installé tout ce que tu m'as conseillé (Antivir, Outpost) et fait tout ce que tu m'as dit scrupuleusement!.

mais... j'ai 2 nouveaux problèmes :(

1/Outpost Firewall Pro :

lors de l'installation, il m'a fait plusieurs erreurs (fichiers introuvables).
je l'ai réinstallé sans qu'il n'en fasse plus (d'erreurs).

Voici le message qu'il fait désormais au démarrage :

impossible de télécharger le pilote du fonctionnement réseau du Outpost Firewall Pro.
Outpost Firewall Pro est limité:impossible de télécharger le pilote AFW.SYS

2/clavier (pas Christian!):

le clavier répond quand il a le temps (il faut quelquefois appuyer 10 fois sur une touche avant que ça réponde!)
c'est un PC portable, je ne peux donc tester avec un autre clavier :(

signe d'une nouvelle infection ?

(je retape cette dernière phrase juste pour que tu voies l'étendue du désastre!)

sign d nouvell infeion ?

:(

Quelques pistes?

Ad-Aware (8.0.6 free anyversary edition) ne veut plus se mettre à jour : message Erreur : Echec lors du démarrage de la mise à jour.
Par contre, la maj fonctionne lorsque je lance le raccourci ad-hoc à partir du menu démarrer (Mise à jour Ad Aware)!

Spyware Blaster avait hier 1 restricted site protection disabled : je recherche la case décochée et trouve Red Sheriff
Je le coche, puis enable all protections (avec dernière maj du 12/06/09). Depuis c'est OK.

Je scan avec Malwarebytes' Anti-Malware 1.38 qui trouve 1 élément nuisible (cf. rapport ci-dessous).

Malwarebytes' Anti-Malware 1.38
Version de la base de données: 2322
Windows 5.1.2600 Service Pack 3

22/06/2009 19:17:31
mbam-log-2009-06-22 (19-17-31).txt

Type de recherche: Examen rapide
Eléments examinés: 81466
Temps écoulé: 4 minute(s), 26 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Internet Explorer\Control Panel\Homepage (Hijack.Homepage) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

J'ai effacé l'élément en quarantaine et rescanné avec dernière maj : plus rien!

Idem, un scan complet avec Antivir ne trouve rien du tout!

PS : après un redémarrage, le clavier fonctionne a nouveau parfaitement, c'est à n'y rien comprendre...
renaudoo
 
Messages: 29
Inscription: 10 Juin 2009, 15:36

Messagede renaudoo » 23 Juin 2009, 15:47

Je précise que le processeur se remet à tourner à quasiment 100% tout le temps ! :mad:
Même si je ne fais rien et désactive le maximum de process...
Tout ça sent extrêmement mauvais... :mad:


Ps: le clavier fonctionn quand il a le temps, d'aileurs les fautes de cette phrase ne viennent pas de moi mais de ce p... de clavier de m... (j'enrage) :evil:
renaudoo
 
Messages: 29
Inscription: 10 Juin 2009, 15:36

Messagede nickW » 24 Juin 2009, 00:16

Bonsoir,

Une première réponse à propos d'Outpost:

How to solve problems with AFW.SYS having the remnants of the previous Outpost installation
http://www.agnitum.com/support/kb/artic ... en&m=print


Il faut désinstaller Outpost comme indiqué sur la page ci-dessus, le télécharger depuis le site officiel: http://www.agnitum.fr/products/ puis le réinstaller.


Salut,
nickW - Image
30/07/2012: Plus de désinfection de PC jusqu'à nouvel ordre.
Pas de demande d'analyse de log en MP (Message Privé)
Mes configs
Avatar de l’utilisateur
nickW
Modérateur
 
Messages: 21698
Inscription: 20 Mai 2004, 17:41
Localisation: Dordogne/Île de France

Messagede renaudoo » 24 Juin 2009, 20:23

Outpost enfin installé après avoir suivi toute la procédure de nettoyage :D

Le processeur ne tourne plus à 100% comme hier. Je ne sais vraiment pas d'où cela peut venir, mais j'ai du retirer la batterie car je n'arrivait plus à l'éteindre hier soir. Cela peut-il avoir un rapport ? Le pc est alimenté via sa prise directement sans batterie désormais.

Spyware Blaster a trouvé encore cette saleté ci-dessous :
1 restricted site protection
Red Sheriff (2) adress : imrworldwide.com

j'ai nettoyé, mis à jour et lancé Malwarebytes Anti-malware qui a trouvé l'infection et nettoyé.

voici son rapport :

Malwarebytes' Anti-Malware 1.38
Version de la base de données: 2328
Windows 5.1.2600 Service Pack 3

24/06/2009 18:22:48
mbam-log-2009-06-24 (18-22-46).txt

Type de recherche: Examen complet (C:\|D:\|)
Eléments examinés: 134387
Temps écoulé: 1 hour(s), 9 minute(s), 59 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Internet Explorer\Control Panel\Homepage (Hijack.Homepage) -> Bad: (1) Good: (0) -> No action taken.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Enfin, Avira Antivirus ne semble plus rien trouver non plus :

Avira AntiVir Personal
Date de création du fichier de rapport : mercredi 24 juin 2009 15:06

La recherche porte sur 1487370 souches de virus.

Détenteur de la licence : Avira AntiVir Personal - FREE Antivirus
Numéro de série : 0000149996-ADJIE-0000001
Plateforme : Windows XP
Version de Windows : (Service Pack 3) [5.1.2600]
Mode Boot : Mode sans échec avec assistance réseau
Identifiant : Hanna
Nom de l'ordinateur : NANOUH

Informations de version :
BUILD.DAT : 9.0.0.65 17959 Bytes 22/04/2009 12:06:00
AVSCAN.EXE : 9.0.3.6 466689 Bytes 21/04/2009 12:20:54
AVSCAN.DLL : 9.0.3.0 49409 Bytes 03/03/2009 09:21:02
LUKE.DLL : 9.0.3.2 209665 Bytes 20/02/2009 10:35:11
LUKERES.DLL : 9.0.2.0 13569 Bytes 03/03/2009 09:21:31
ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27/10/2008 11:30:36
ANTIVIR1.VDF : 7.1.2.12 3336192 Bytes 11/02/2009 19:33:26
ANTIVIR2.VDF : 7.1.4.87 2982912 Bytes 12/06/2009 17:54:59
ANTIVIR3.VDF : 7.1.4.128 330752 Bytes 23/06/2009 14:35:10
Version du moteur : 8.2.0.193
AEVDF.DLL : 8.1.1.1 106868 Bytes 22/06/2009 17:55:10
AESCRIPT.DLL : 8.1.2.9 409978 Bytes 22/06/2009 17:55:09
AESCN.DLL : 8.1.2.3 127347 Bytes 22/06/2009 17:55:08
AERDL.DLL : 8.1.1.3 438645 Bytes 29/10/2008 17:24:41
AEPACK.DLL : 8.1.3.18 401783 Bytes 22/06/2009 17:55:08
AEOFFICE.DLL : 8.1.0.38 196987 Bytes 22/06/2009 17:55:07
AEHEUR.DLL : 8.1.0.133 1798520 Bytes 22/06/2009 17:55:06
AEHELP.DLL : 8.1.3.6 205174 Bytes 22/06/2009 17:55:02
AEGEN.DLL : 8.1.1.46 348533 Bytes 22/06/2009 17:55:02
AEEMU.DLL : 8.1.0.9 393588 Bytes 09/10/2008 13:32:40
AECORE.DLL : 8.1.6.12 180599 Bytes 22/06/2009 17:55:01
AEBB.DLL : 8.1.0.3 53618 Bytes 09/10/2008 13:32:40
AVWINLL.DLL : 9.0.0.3 18177 Bytes 12/12/2008 07:47:30
AVPREF.DLL : 9.0.0.1 43777 Bytes 03/12/2008 10:39:26
AVREP.DLL : 8.0.0.3 155905 Bytes 20/01/2009 13:34:28
AVREG.DLL : 9.0.0.0 36609 Bytes 07/11/2008 14:24:42
AVARKT.DLL : 9.0.0.3 292609 Bytes 24/03/2009 14:05:22
AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30/01/2009 09:36:37
SQLITE3.DLL : 3.6.1.0 326401 Bytes 28/01/2009 14:03:49
SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02/02/2009 07:20:57
NETNT.DLL : 9.0.0.0 11521 Bytes 07/11/2008 14:40:59
RCIMAGE.DLL : 9.0.0.21 2438401 Bytes 17/02/2009 12:49:32
RCTEXT.DLL : 9.0.37.0 88321 Bytes 15/04/2009 09:07:05

Configuration pour la recherche actuelle :
Nom de la tâche...............................: Contrôle intégral du système
Fichier de configuration......................: c:\program files\avira\antivir desktop\sysscan.avp
Documentation.................................: bas
Action principale.............................: interactif
Action secondaire.............................: ignorer
Recherche sur les secteurs d'amorçage maître..: marche
Recherche sur les secteurs d'amorçage.........: marche
Secteurs d'amorçage...........................: C:, D:,
Recherche dans les programmes actifs..........: marche
Recherche en cours sur l'enregistrement.......: marche
Recherche de Rootkits.........................: marche
Contrôle d'intégrité de fichiers système......: arrêt
Fichier mode de recherche.....................: Tous les fichiers
Recherche sur les archives....................: marche
Limiter la profondeur de récursivité..........: 20
Archive Smart Extensions......................: marche
Heuristique de macrovirus.....................: marche
Heuristique fichier...........................: moyen
Catégories de dangers divergentes.............: +APPL,+JOKE,+PCK,+SPR,

Début de la recherche : mercredi 24 juin 2009 15:06

La recherche d'objets cachés commence.
Impossible d'initialiser le pilote.

La recherche sur les processus démarrés commence :
Processus de recherche 'avscan.exe' - '1' module(s) sont contrôlés
Processus de recherche 'mbam.exe' - '1' module(s) sont contrôlés
Processus de recherche 'igfxsrvc.exe' - '1' module(s) sont contrôlés
Processus de recherche 'taskmgr.exe' - '1' module(s) sont contrôlés
Processus de recherche 'explorer.exe' - '1' module(s) sont contrôlés
Processus de recherche 'wmiprvse.exe' - '1' module(s) sont contrôlés
Processus de recherche 'unsecapp.exe' - '1' module(s) sont contrôlés
Processus de recherche 'AAWService.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'svchost.exe' - '1' module(s) sont contrôlés
Processus de recherche 'lsass.exe' - '1' module(s) sont contrôlés
Processus de recherche 'services.exe' - '1' module(s) sont contrôlés
Processus de recherche 'winlogon.exe' - '1' module(s) sont contrôlés
Processus de recherche 'csrss.exe' - '1' module(s) sont contrôlés
Processus de recherche 'smss.exe' - '1' module(s) sont contrôlés
'17' processus ont été contrôlés avec '17' modules

La recherche sur les secteurs d'amorçage maître commence :
Secteur d'amorçage maître HD0
[INFO] Aucun virus trouvé !

La recherche sur les secteurs d'amorçage commence :
Secteur d'amorçage 'C:\'
[INFO] Aucun virus trouvé !
Secteur d'amorçage 'D:\'
[INFO] Aucun virus trouvé !

La recherche sur les renvois aux fichiers exécutables (registre) commence :
Le registre a été contrôlé ( '50' fichiers).


La recherche sur les fichiers sélectionnés commence :

Recherche débutant dans 'C:\' <ACER>
Recherche débutant dans 'D:\' <ACERDATA>
D:\pagefile.sys
[AVERTISSEMENT] Impossible d'ouvrir le fichier !
[REMARQUE] Ce fichier est un fichier système Windows.
[REMARQUE] Il est correct que ce fichier ne puisse pas être ouvert pour la recherche.


Fin de la recherche : mercredi 24 juin 2009 16:28
Temps nécessaire: 1:22:15 Heure(s)

La recherche a été effectuée intégralement

5574 Les répertoires ont été contrôlés
203984 Des fichiers ont été contrôlés
0 Des virus ou programmes indésirables ont été trouvés
0 Des fichiers ont été classés comme suspects
0 Des fichiers ont été supprimés
0 Des virus ou programmes indésirables ont été réparés
0 Les fichiers ont été déplacés dans la quarantaine
0 Les fichiers ont été renommés
1 Impossible de contrôler des fichiers
203983 Fichiers non infectés
6787 Les archives ont été contrôlées
1 Avertissements
1 Consignes
renaudoo
 
Messages: 29
Inscription: 10 Juin 2009, 15:36

Messagede nickW » 27 Juin 2009, 21:35

Bonsoir,


renaudoo a écrit:Spyware Blaster a trouvé encore cette saleté ci-dessous :
1 restricted site protection
Red Sheriff (2) adress : imrworldwide.com

j'ai nettoyé, mis à jour


Pour Red Sheriff (2) dont la protection disparaît dans Spyware Blaster, il s'agit d'un conflit avec Spybot-S&D (la Vaccination retire cette protection).
Voir: http://forums.spybot.info/showthread.php?p=318256



MBAM a écrit:Elément(s) de données du Registre infecté(s):
HKEY_CURRENT_USER\SOFTWARE\Policies\Microsoft\Internet Explorer\Control Panel\Homepage (Hijack.Homepage) -> Bad: (1) Good: (0)

renaudoo a écrit:j'ai ... lancé Malwarebytes Anti-malware qui a trouvé l'infection et nettoyé.


Il ne s'agit pas d'une infection (d'ailleurs tu vois des "infections" un peu partout).
MBAM te signale que la page de démarrage d'Internet Explorer est verrouillée contre les modifications (pour l'utilisateur actuel).

C'est toi qui as demandé à Spybot-S&D de le faire (dans Outils---->Ajustements IE).

Salut,
nickW - Image
30/07/2012: Plus de désinfection de PC jusqu'à nouvel ordre.
Pas de demande d'analyse de log en MP (Message Privé)
Mes configs
Avatar de l’utilisateur
nickW
Modérateur
 
Messages: 21698
Inscription: 20 Mai 2004, 17:41
Localisation: Dordogne/Île de France

Précédente

Retourner vers Sécurité (Contamination - Décontamination)

Qui est en ligne

Utilisateurs parcourant ce forum: Aucun utilisateur enregistré et 24 invités