Bonjour tout le monde
 
Système : windows xp sp3 pro
Antivirus : Trend micro officeScan
 
Au tout début j'ai eu une alerte sur le fichier cafbine70mps.exe mais je me suis pas méfié.
Mais après j'ai eu un comportement bizarre de l'ordinateur. J'ai le focus de la fenêtre que j'utilise qui part (genre je fais défiler une page web avec la molette de la souris et tout à coup firefox n'a plus le focus donc je dois cliquer sur firefox pour continuer). J'ai des fenêtre IE qui s'ouvre toute seul.
J'ai aussi des processus suspect. J'avais ubejya.exe puis 0.42353042350425774.exe
Si je tente d'aller sur le online scan de bitdefender depuis firefox (www.bitdefender.fr/scanner/online/free.html), je ne tombe par sur la page mais je suis automatiquement redirigé sur une autre page avec java qui se charge et des alertes virus.
 
J'ai réussi à lancer le online scan depuis internet explorer. Il  m'a détecté 4 fichiers et effacé 3 (si vous voulez je peux mettre le rapport ici). Le dernier c'est un fichier .dat qui se trouve dans C:\Program Files\Trend Micro\OfficeScan Client donc je suppose que c'est un fichier en quarantaine de l'antivirus.
 
L'ennui c'est que je continue à avoir des fenêtre IE qui s'ouvre dans l'infection est toujours présente.
Qu'est-ce que je dois faire ?
 
J'ai toujours eu un comportement prudent mais là j'ai pas compris comment l'infection s'est propagée.
 
Si ça peut aider, officescan à vu les infections suivante : Threath Behavior ID: 778, JAVA_DLOADR.EQ, JAVA_LOADER.HLL, TROJ_JAVA.AQ
Bitdefender a trouvé : Gen:Variant.FakeAv.25, Trojan.Generic.KD.132691, Gen:Variant.Kazy.12057 (non supprimé), Trojan.Generic.KDV.133416

Salut.
 
Bienvenue ici.
 
Il est interdit de poster un rapport sur ce forum. Donc, d'abord, édite ton message et supprime le rapport.
 
Ensuite, Utilise ce logiciel de diagnostic :
 
   
Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau.
Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.
Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
Héberge le rapport ZHPDiag.txt sur ce site, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.
 
++

Bonjour et merci de ton aide.
Euh je n'ai pas mis de rapport. Si c'est les 2 dernières lignes par rapport aux antivirus qui te gène, je peu les enlever. Je les ai tapée à la main.
 
Voici le rapport de ZHPdiag : http://www.cijoint.fr/cjlink.php?f [...] ye3bkM.txt
 
par soucis de confidentialité j'ai modifié mon nom d'utilisateur par xyz
 
Il y a ces lignes qui me paraisse louche alors j'ai fermé les processus associé depuis le gestionnaire des tâches.
[MD5.94174D769084A775ADECBF3586658643] - (.ComponentOne LLC - lrDrWeb For Windows  2011.) -- C:\WINDOWS\Ubejya.exe   [132608]
[MD5.CFD554E8A38DC2AFD05735B12A609454] - (.ComponentOne LLC - kDrWeb For Windows  2011.) -- C:\DOCUME~1\xyz\LOCALS~1\Temp\Uzm.exe   [128512]
[MD5.B1D9CDEA4BE8FD553475CFEA42D4C4AE] - (.ComponentOne LLC - DrWeb For Windows  2011.) -- C:\DOCUME~1\xyz\LOCALS~1\Temp\Uzl.exe   [140288]
 
Merci

J'ai régulièrement 1 de ces 3 process qui se lance tout seul. J'ai voulu alors désactiver le service Task scheduler (tâche planifiées). Mais je ne sais pas pourquoi je n'ai pas accès au gestionnaire des services.

Je n'avais pas ce soucis avant.

Je tombe encore parfois sur une page détournée quand je clic sur un lien dans google. Lors du détournement (redirect), je vois pendant 1-2 secondes que c'est blueseek.com qui le fait. Je me demande comment de tel site peuvent exister

edit : bon j'ai pu stopper le service task scheduler depuis le server, j'espère que ces process ne se lanceront plus.

Quelqu'un pourrait il prendre le relai svp ?
Bon depuis que j'ai désactivé le task scheduler (tache planifiée), je n'ai plus les 3 processus qui se lance ni des fenêtre internet explorer qui se lance, par contre j'ai toujours la redirection blueseek...
C'est bizarre, il n'y a aucune tâche planifiée, je savais pas qu'on pouvait en cacher.
Je vais quitter le boulot, vaut mieux que je laisse tourner l'ordi, car si j'étein et que je démarre la machine demain, tout va se relancer

Salut,
 
Patience, Ric025 va venir continuer la désinfection de ton pc. comme nous tous, il a aussi une vie en dehors du forum.

Salut
 
Bonjour Alain
 
@Chev_alier :

 
Désolé, erreur de copier-coller
 
Télécharge ensuite Malwarebytes Anti-Malware (MBAM): ---> Malwarebytes Anti-Malware <---
 
Installe-le en vérifiant que la case de mise à jour soit bien cochée en fin d'installation.
 
Après la mise à jour, lance-le et coche "Examen Rapide". Puis "Rechercher".
 
Si MBAM trouve quelque chose: fais "Voir les résultats" puis "Supprimer la sélection".
 
Poste le rapport généré.
 
++

Oui c'est vrai, tout le monde a une vie excusez moi, c'est le stress. J'aurais du penser à Malwarebyte, c'est un des meilleures pour ce genre d'infection.
 
voici le rapport : http://www.cijoint.fr/cjlink.php?f [...] GKN5bL.txt
Il m'a demandé de redémarrer après la désinfection, ce que j'ai fais.
 
Apparemment il n'y a plus de comportement suspect, les click depuis google ne sont plus détourné et l'accès aux services de windows (services.msc) est à nouveau disponible sans erreur.
 
Y a t'il autre chose à faire ?
Moi je vais partir à la chasse sur le serveur pour voir s'il y a pas eu une copie qui a été faite (les profiles sont copiés).
 
En tout cas, chapeau à vous    . Avec toutes les infections qui circule et des malware de plus en plus fourbe, je pense notamment à windows antivirus Pro, ils se sont quand même donné la peine et les moyens de faire un faux antivirus avec l'interface qui va avec et tout. N'importe quel novice se ferai avoir.
Ca doit pas être toujours facile de faire le bon diagnostic et de proposer les outils de désinfections adéquat.

Salut
 
Pas de soucis, on sait ce que c'est
 
Apparemment, MBAM a une nouvelle fois bien bossé. Peux-tu relancer ZHPDiag et me donner le nouveau lien ci-joint stp ?  
 
++

Voilà le nouveau rapport de ZHPDiag : http://www.cijoint.fr/cjlink.php?f [...] whQXZ0.txt
 
Je dois supprimer le dossier : C:\Documents and Settings\xyz\Application Data\730D8072F74B7101BE4B5651ED341D93 (vide), c'est juste ?
 
Que faire pour éviter une nouvelle infection ? Faire toutes les mises à jour windows updates ? Au niveau Java ou Javascript il y a quelque chose à faire ? Peut-être aussi l'adobe flash player ?

Oui, supprime ce fichier.
 
Pour les mises à jour, juste Java : http://www.java.com/fr/download/
 
Sinon, tout est ok ?  
 
Dis-moi si tu as trouvé le fichier et réussi à la supprimer ?  
 
++

Le dossier 730Dxxx... a été supprimé. Sa date de modification était le 17.02 à 10:46, c'est sans doute la date et heure de l'infection.  
Bizarrement il y a un dossier C:\Documents and Settings\xyz\Application Data\Adobe\plugs (vide) qui porte exactement la même date de modification (et de création)
Donc c'est peut-être une vulnérabilités d'Adobe Shockwave flash qui a été utilisée.
 
Sinon pas d'autre comportement suspucieux pour le moment.

Si tout va bien :  
 
DelFix - Option Suppression
 
Télécharge DelFix (d'Xplode) sur ton bureau.  
 
Lance-le puis sélectionne l'option Suppression et valide en appuyant sur la touche [Entrée]
 
Patiente quelques secondes puis copie/colle le contenu du rapport qui s'ouvrira à l'écran dans ton prochain message.  
 
Note : Le rapport est également sauvegardé à la racine du disque dur ( C:\DelFixSuppr.txt )  
 
= = = = = =  
 
Relance DelFix et choisis "Désinstallation".
 
===============================
 
!! Très Important !!
 
Supprimer les anciens points de restauration:
 

• Clique droit sur "Poste de travail".
• Clique sur "Propriétés".
• Clique sur l'onglet "Restauration du système".
• Coche la case "Désactiver la restauration...", puis "Appliquer" et valide par "OK".
• Redémarre le pc.

• Clique droit sur "Poste de travail".
• Clique sur "Propriétés".
• Clique sur l'onglet "Restauration du système".
• Redécoche la case "Désactiver la restauration...", puis "Appliquer" et valide par "OK".

Les points sont supprimés.
 
Création d'un nouveau point:
 

• Clique sur "démarrer", "tous les programmes", "Accessoires" puis "Outils système".  
• Clique sur "Restauration du système".
• Dans la nouvelle fenêtre, coche la case "Créer un point de restauration".
• Clique sur "Suivant".
• Entre un nom pour le point de restauration : ce nom doit être assez évocateur (comme: "Après désinfection..." )
• Clique sur "Créer" et le point de restauration se créé automatiquement.

=============
 
Pour une navigation plus sûre et plus rapide:
 
Addon à ajouter à firefox pour le sécuriser:
 

• Ici : WOT : https://addons.mozilla.org/en-US/firefox/addon/3456
• Explications/Demo ici : http://www.mywot.com/fr/demo

+ ceux-ci: http://www.malekal.com/securiser_Firefox.php
 
=============
 
[b]Utile, à lire absolument, quelques minutes de prévention, notamment sur les cracks : http://www.malekal.com/fichiers/pr [...] alware.pdf[/B]
 
=============
 
Si tu n'as plus de question et/ou problème, pour moi, c'est ok! (Si tu as encore des questions, n'hésite pas ! )
 
++

Merci je ferai tout ça lundi ! Bon weekend l'amoureux

 
Merci, bon week-end à toi.

ton lien pour delfix ne marche pas. Si ce programme sert uniquement à supprimer les outils de désinfection, je peu le faire manuellement avec ajout/suppression de programme non ?
 
Au niveau des points de restauration, je tiens à garder les plus ancien (qui sont sain). Donc j'ai supprimé les points de restauration qui sont dans la période d'infection ainsi que celui qui est juste après la désinfection avec CCleaner

Au niveau de firefox j'ai mis flashblock, noscript et WOT

Pas de soucis
 
Oui, pour Delfix, je m'en suis rendu compte sur un autre sujet, j'ai changé mon canned : http://www.teamxscript.org/too/Xplode/DelFix.exe
 
Ok pour les modules Firefox, si tu as un soucis avec WOT ou autre, dis-moi, mais bon, tu as vu que c'est assez simple et plutôt efficace
 
Si tu veux tester WOT, essaie de taper "eorezo" sur Google. C'est un site qui propose des logiciels piégés Donc néfaste. WOT te bloquera l'entrée.  
 
Tu peux aussi te créer un compte WOT et noter toi-même les sites que tu visites / connais. En bien ou en mal. C'est comme ça que fonctionne cet outil, par le biais du partage entre les internautes.  
 
++