Bonjour,

Je soupçonne quelques éléments infectieux sur le PC d'une connaissance.

Voici l'analyse avec ZHPDIAG.

http://cjoint.com/?AHnoBSsfDvE

Un helper qualifié aurait-il l'amabilité d'y jeter un oeil ?

D'avance, merci infiniment pour le coup de main.

Bonjour

Prends connaissance de ceci, pour information : http://rue-du-montceau.pagesperso-orang ... anchor-top
Trois outils à passer :
1- Télécharge RogueKiller (par Tigzy) sur le bureau
(A partir d'une clé USB si le Rogue empêche l'accès au net) .
http://www.sur-la-toile.com/RogueKiller/
Quitte tous les programmes en cours
Lance RogueKiller.exe.
http://i65.servimg.com/u/f65/11/05/93/83/wgmxs810.png
Sous Vista/Seven, faire un clic droit et choisir Exécuter en tant qu'administrateur.
Si une détection apparait en haut de la fenêtre, tape 2 (mode REMOVE) et valide par la touche Entrer.
(Si le programme a été bloqué, renommer en RogueKiller.com et recommencer)
Envoie une copie du rapport RKreport[1].txt.
Si les raccourcis ont disparus et seulement dans ce cas, relance l'outil en mode 6.
Envoie une copie du rapport RKreport[2].txt.

2- Télécharge AD-Remover sur ton bureau.
http://www.teamxscript.org/adremoverTelechargement.html
Double clique sur AD-R.exe
Clique sur le bouton Nettoyer.
Poste le rapport qui va s'ouvrir en fin de scan.
Le rapport est sauvegardé sous C:\Ad-report-SCAN[1].txt
Puis ferme le programme par Quitter.

3- Télécharge et installe Malwarebytes Anti-Malware
http://www.techspot.com/downloads/4716- ... lware.html
Double-clique sur le fichier mbam-setup-1.50.1.exe
(Sous Vista et 7 autorise les modifications)
A la fin de l'installation, veille à ce que les options suivantes soient cochées
-Mettre à jour Malwarebytes' Anti-Malware
-Exécuter Malwarebytes' Anti-Malware
Clique sur Terminer
Une fenêtre Mise à jour de Malwarebytes' Anti-Malware va s'ouvrir avec une barre de progression.
Puis une autre annonçant le succès de la mise à jour de la base de données. Clique sur OK.
Le programme s'ouvre sur l'onglet Recherche.
Coche , clique sur le bouton

A la fin du scan, sélectionne tout et clique sur Supprimer la sélection
Poste le rapport qui s'ouvre après cette suppression.
Redémarre le pc si cela est demandé
Tu peux retrouver le rapport dans l'onglet Rapports/Logs avec la date et l'heure d'exécution.

Bonsoir Nardino,

Tout d'abord merci de prendre en charge ce cas. J'ai pris connaissance du lien qui évoque les méfaits de certaines barres d'outils. J'étais au courant, mais au mois maintenant j'ai sous le coude une liste exhaustive.

Voici le rapport de RogueKiller :

RogueKiller V5.3.1 [06/08/2011] par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion- ... ntees.html

Systeme d'exploitation: Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur: Pierre-André [Droits d'admin]
Mode: Suppression -- Date : 16/08/2011 21:09:50

Processus malicieux: 1
[SUSP PATH] nmnveg.exe -- c:\documents and settings\pierre-andré\local settings\application data\nmnveg.exe -> KILLED [TermProc]

Entrees de registre: 6
[SUSP PATH] HKCU\[...]\Run : oycfvwhu (C:\Documents and Settings\Pierre-André\Local Settings\Application Data\nmnveg.exe) -> DELETED
[SUSP PATH] HKLM\[...]\Run : oycfvwhu (C:\Documents and Settings\Pierre-André\Local Settings\Application Data\nmnveg.exe) -> DELETED
[BLACKLIST] HKLM\[...]\Root : LEGACY_USNJSVC () -> DELETED
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)
[HJ] HKCU\[...]\ClassicStartMenu : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)
[HJ] HKCU\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

Fichier HOSTS:
127.0.0.1 localhost


Termine : << RKreport[1].txt >>
RKreport[1].txt


Voici le rapport de AD-Remover

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 21:13:17 le 16/08/2011, Mode normal

Microsoft Windows XP Édition familiale Service Pack 3 (X86)
Pierre-André@PC-PIERRE-ANDRE ( )

============== ACTION(S) ==============


Fichier supprimé: C:\WINDOWS\system32\ConduitEngine.tmp
Dossier supprimé: C:\Documents and Settings\Pierre-André\Local Settings\Application Data\Conduit
Dossier supprimé: C:\Documents and Settings\All Users\Menu Démarrer\Programmes\InternetGameBox
Dossier supprimé: C:\Documents and Settings\All Users\Application Data\PopCap Games
Dossier supprimé: C:\Documents and Settings\All Users\Menu Démarrer\Programmes\PopCap Games
Dossier supprimé: C:\Program Files\PopCap Games
Dossier supprimé: C:\Documents and Settings\All Users\Application Data\Trymedia

(!) -- Fichiers temporaires supprimés.


Clé supprimée: HKLM\Software\Classes\Interface\{115CCBAE-27B0-47C3-BA42-BAB708424393}
Clé supprimée: HKLM\Software\Classes\TypeLib\{937936AF-28CA-4973-B8AE-F250406149A2}
Clé supprimée: HKLM\Software\PopCap
Clé supprimée: HKLM\Software\Trymedia Systems
Clé supprimée: HKCU\Software\Lanconfig
Clé supprimée: HKCU\Software\PartyGaming
Clé supprimée: HKCU\Software\PopCap
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\InternetGameBox
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MenuOrder\Start Menu2\Programs\PopCap Games
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}
Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}
Clé supprimée: HKCU\Software\Microsoft\SystemCertificates\TrustedPublisher\Certificates\7EE743314C844C7F445B8B1D7617612DF1FDD50F
Clé supprimée: HKCU\Software\Microsoft\SystemCertificates\TrustedPublisher\Certificates\E6A6A4A475FCE37F8B5AC2F1244DEB2BFCA5615A
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}

Valeur supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\WinTrust\Trust Providers\Software Publishing\Trust Database\0|goicfboogidikkejccmclpieicihhlpo hpfanicgkffmccehnpkikogcffaepkfp
Valeur supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\WinTrust\Trust Providers\Software Publishing\Trust Database\0|goicfboogidikkejccmclpieicihhlpo dgnckdmmolaijpbbakmplfhlfpdhglgc
Valeur supprimée: HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser|{D4027C7F-154A-4066-A1AD-4243D8127440}


============== SCAN ADDITIONNEL ==============

**** Internet Explorer Version [8.0.6001.18702] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dl ... ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dl ... r=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dl ... r=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dl ... r=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_SearchScopes\{CD10120B-C165-4f8d-8C74-639629E238FF} - "MyStart Rechercher" (hxxp://mystart.magentic.com/french/?search={searchTerms}&loc=search_box)
HKCU_ElevationPolicy\{4169044D-6BA4-4661-B7D6-E29274F1F458} - C:\Program Files\WildTangent Games\App\BrowserIntegration\wtapp_ProtocolHandler.exe (WildTangent, Inc.)
HKLM_ElevationPolicy\9a5c6d5e-a6c2-4780-ad23-59c903a44752 - C:\Program Files\DailyGames\DailyGamesToolbarHelper.exe (x)
HKLM_ElevationPolicy\ee6d007a-1375-4678-a294-507d914d479d - C:\Program Files\Dailymotion\DailymotionToolbarHelper.exe (x)
HKLM_Extensions\{2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - "Créer un Favori de l'appareil mobile" (C:\Program Files\Microsoft ActiveSync\inetrepl.dll,210)
HKLM_Extensions\{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - "?" (?)
HKLM_Extensions\{e2e2dd38-d088-4134-82b7-f2ba38496583} - "?" (?)
BHO\{5C255C8A-E604-49b4-9D64-90988571CECB} (?)
BHO\{6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - "Search Helper" (C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll)

========================================

C:\Program Files\Ad-Remover\Quarantine: 3633 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 12 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 16/08/2011 21:13:27 (4738 Octet(s))

Fin à: 21:16:09, 16/08/2011

============== E.O.F ==============


Voici le rapport MalwareByte

Malwarebytes' Anti-Malware 1.51.1.1800
www.malwarebytes.org

Version de la base de données: 7481

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

16.08.2011 21:42:22
mbam-log-2011-08-16 (21-42-22).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 197963
Temps écoulé: 16 minute(s), 57 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 1
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\TWK70 (Malware.Trace) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\twk70\n (Malware.Trace) -> Value: n -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Bonsoir
Pour terminer, télécharge ZHPDiag de Nicolas Coolman sur ton bureau

Décompresse le fichier téléchargé et lance l'icône ZHPDiag
Dans l'interface clique sur la loupe en haut dans la barre d'outil.
Laisse faire le scan jusqu'à ce que la barre de progression soit à 100%. Tu fermes ZHPDiag.
Un fichier ZHPDiag.txt sera enregistré sur le bureau, tu l'héberges sur Cjoint
Tu me communiques le lien obtenu dans ta réponse.

Deux tutos si nécessaire.
ZHPDiag
Cjoint
@+

Bonjour Nardino,

Voici le rapport ZHPDiag : http://cjoint.com/?AHshpHEYr5J
Durant le scan réalisé par cet outil, un virus ou un programme indésirable a été détecté par Antivir

Objet : nmnveg.exe
Résultat positif : BDS/IRCBot.A.837
Action : Déplacer en quarantaine

... je l'ai mis en quarantaine.

Cordialement.

Bonjour
Lance ZHPFix par l'icône sur le bureau, avec élévation des privilèges pour Vista et Windows 7.
Clique sur l'icône à gauche du A rouge pour importer le rapport ZHPDiag.
Une fois celui-ci affiché, clique sur OK.
Le rapport va défiler et des cases vont apparaitre devant toutes les lignes.
Coche les suivantes :

O42 - Logiciel: Amazing Adventures Around the World - (.PopCap Games.) [HKLM] -- Amazing Adventures Around the World
O42 - Logiciel: Bejeweled 2 Deluxe 1.0 - (.PopCap Games.) [HKLM] -- Bejeweled 2 Deluxe 1.0
O42 - Logiciel: Bejeweled Twist 1.0.3.8137 - (.PopCap Games.) [HKLM] -- Bejeweled Twist 1.0.3.8137
O42 - Logiciel: Peggle Nights Deluxe 1.0.3.5802 - (.PopCap Games.) [HKLM] -- Peggle Nights Deluxe 1.0.3.5802
O43 - CFD: 17.12.2010 - 20:50:56 - [93511] ----D- C:\Program Files\Babylon
O43 - CFD: 17.12.2010 - 20:51:52 - [0] ----D- C:\Documents and Settings\Pierre-André\Application Data\BabylonToolbar
[HKCU\Software\66712641724862730159056139274558]
[HKLM\Software\Classes\toolband.easyhidebtn]
[HKLM\Software\Classes\toolband.easyhidebtn.1]
[HKLM\Software\Classes\toolband.skypeiehelper]
[HKLM\Software\Classes\toolband.skypeiehelper.1]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{00000000-6E41-4FD3-8538-502F5495E5FC}]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{2EECD738-5844-4a99-B4B6-146BF802613B}]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{7DEB75C2-8007-4C57-8557-7D7627A8C9E0}]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{98889811-442D-49dd-99D7-DC866BE87DBC}]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{df780f87-ff2b-4df8-92d0-73db16a1543a}]

Clique sur le bouton Nettoyer .
Poste le rapport obtenu.
@+

Bonjour Nardino,

Voici le rapport demandé :

Rapport de ZHPFix 1.12.3356 par Nicolas Coolman, Update du 17/08/2011
Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-19.08.2011-07-18-50.txt
Run by Pierre-André at 19.08.2011 07:18:50
Windows XP Home Edition Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-p ... hpfix.html

========== Logiciel(s) ==========
ABSENT Uninstall Process: c:\program files\popcap games\amazing adventures 2\popuninstall.exe
ABSENT Uninstall Process: c:\program files\popcap games\bejeweled 2 deluxe\popuninstall.exe
ABSENT Uninstall Process: c:\program files\popcap games\bejeweled twist\popuninstall.exe
ABSENT Uninstall Process: c:\program files\popcap games\peggle nights deluxe\popuninstall.exe

========== Clé(s) du Registre ==========
SUPPRIME [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Amazing Adventures Around the World]
SUPPRIME [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Bejeweled 2 Deluxe 1.0]
SUPPRIME [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Bejeweled Twist 1.0.3.8137]
SUPPRIME [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Peggle Nights Deluxe 1.0.3.5802]
SUPPRIME Key: HKCU\Software\66712641724862730159056139274558
SUPPRIME Key: HKLM\Software\Classes\toolband.easyhidebtn
SUPPRIME Key: HKLM\Software\Classes\toolband.easyhidebtn.1
SUPPRIME Key: HKLM\Software\Classes\toolband.skypeiehelper
SUPPRIME Key: HKLM\Software\Classes\toolband.skypeiehelper.1
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{00000000-6E41-4FD3-8538-502F5495E5FC}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{2EECD738-5844-4a99-B4B6-146BF802613B}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{7DEB75C2-8007-4C57-8557-7D7627A8C9E0}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{98889811-442D-49dd-99D7-DC866BE87DBC}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{df780f87-ff2b-4df8-92d0-73db16a1543a}


========== Récapitulatif ==========
14 : Clé(s) du Registre
4 : Logiciel(s)


End of the scan in 00mn 02s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 19.08.2011 07:18:50 [2140]

Bonjour,
Il reste à supprimer les outils utilisés.
**Suppression de RogueKiller**
Sur le bureau, supprime RogueKiller.exe, RK_Quarantine, et le(s) fichier(s) RKreport[*].txt.
** Suppression de Ad-Remover**
Lance-le et clique sur le bouton Désinstaller
**Suppression de ZHPDiag**
Tu ouvres le dossier correspondant à ton système :
XP > C:\Program Files\ZHPDiag\unins000.exe
Vista/7 32bits > C:\Programmes\ZHPDiag\unins000.exe
Vista/7 64bits > C:\Porgram Files(x86)\ZHPDiag\unins000.exe
Tu cliques sur le fichier unins000.exe
Puis tu supprimes le dossier ZHPDiag.
Explication en image http://rue-du-montceau.pagesperso-orang ... iag_3.html
** Nettoyage quarantaine de MalwaresBytes**
Tu vas dans l'onglet quarantaine et tu vides celle-ci de tout son contenu.
**Nettoyage des fichiers temporaires**
Télécharge ATFCleaner de Atribune
http://www.atribune.org/ccount/click.php?id=1
Il ne nécessite pas d'installation.
Clique sur le fichier ATF-Cleaner.exe
Dans Main clique sur Select All et décoche Prefetch
Clique sur Empty Selected
Puis sur OK sur le popup suivant qui t'annonce ce qui a été supprimé.
Tu peux renouveler pour Firefox, Opéra si tu utilises ces navigateurs.
Après Select All il te sera demandé si tu veux supprimer les mots de passes enregistrés.
"Are you sure you want to delete Firefox (ou Opéra) saved password?"
A toi d'en décider en cliquant sur Oui ou Non.
**Création d'un point sain de restauration système**
Sous Vista/7
Dans Panneau de configuration/Système/onglet Restauration du système, coche Désactiver la restauration du système sur tous les lecteurs puis clique sur OK
Décocher la case Désactiver ... afin de réactiver la restauration système. Un nouveau point de restauration propre sera créé.
Sous XP
Clique droit sur le poste de travail et sur Propriétés.
Dans l'onglet Restauration du système, coche Désactiver la restauration du système puis clique sur OK.
Décoche la case pour créer un nouveau point.
**Fermeture du sujet**
Tu peux éditer le titre de ta question de base et y ajouter [résolu].
@+

Bonjour,

Je vais faire cela dès demain.

Dans l'intervalle, je te remercie beaucoup pour ton aide Nardino.

Bonne continuation.

Bonjour,

Je n'arrive pas à télécharger ATF-Cleaner (This ID doesn't exist!).
Une idée ?

D'avance, merci.
Cordialement.

Bonjour
Voici un lien qui fonctionne pour ATF-Cleaner
http://www.infos-du-net.com/telecharger ... 10869.html

Navré Nardino, mais ce lien ne fonctionne plus visiblement. Connais-tu une autre adresse ?

Bonjour
Voici pour vider les caches des navigateurs.
Nettoyage des caches de navigation

Avec Internet Explorer 7
--------------------------------
Clique sur Outils en haut à droite, puis sur Options Internet.
Dans la nouvelle fenêtre, Historique de navigation, clique sur le bouton Supprimer.
Dans la fenêtre suivante clique sur les boutons :

-Supprimer les fichiers
-Supprimer les cookies
-Supprimer l'historique
-Supprimer les formulaires

Si tu ne gardes pas tes mots de passe, tu cliques sur le bouton Tout supprimer en bas à gauche.

Avec Internet Explorer 8/9
------------------------------
Appuie sur les touches MAJ+CTRL+SUPPR ou clique sur Outils en haut à droite, puis sur Options Internet (ou Panneau de configuration > Options Internet )
Coche :
-Conserver les données des sites Web favoris
-Fichiers Internet temporaires
-Cookies
-Historique
-Historique de téléchargement
-Données de formulaire
Clique sur Supprimer

Avec Firefox
------------
Outils, Supprimer l'historique récent ou appuie sur les touches MAJ+CTRL+SUPPR
Dans la fenêtre coche au moins:
-Navigation et historique de téléchargements
-Cache
-Cookies

Clique sur le bouton Effacer maintenant en bas à gauche

Avec Opéra
----------
Outils, Supprimer des données privées.
Dans la nouvelle fenêtre, clique sur le bouton Détails si nécessaire
Et coche :
-Supprimer les cookies temporaires
-Supprimer tous les cookies
-Effacer l'historique des pages visitées
-Supprimer l'heure de visite des signets

Puis clique sur le bouton Supprimer en bas à gauche

Pour le reste tu vides les fichiers "temp" sans hésitation.