Programme "Fantome"

[BigBob]

Bonsoir,
J'ai travaillé aujourd'hui à la désinfection d'un PC sous XP et j'ai utilisé la panoplie classique : antimalware, antiadware, antivirus...
Je suis toujours confronté au problème suivant : si je démarre la PC en mode sans échec, Word démarre sans soucis et fonctionne correctement, si je démarre le PC normalement, Word démarre et au bout de 2 à 3 secondes disparait.
En regardant avec ProcExp, je vois que word.exe est toujours là mais impossible de tuer le programme et chose encore plus bizarre, si je regarde les propriétés du programme depuis ProcExp, elles sont absentes (pas de nom d'image par exemple).

Est-ce que quelqu'un a déjà été confronté à un problème similaire ou est-ce que quelqu'un a une idée ?
Merci d'avance à ceux qui m'aideront.
BigBob

[Malekal_morte]

Salut,

Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/2010/11/12/tutorial-otl/

* Télécharge http://oldtimer.geekstogo.com/OTL.exe sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :



netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\*.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles
%windir%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
services.exe
wininit.exe
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s
HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s
CREATERESTOREPOINT
nslookup http://www.google.fr /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs



* Clique sur le bouton Analyse.

* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans une réponse.
Je répète : donne le lien du rapport pjjoint ici en réponse.

<gras>NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE</gras>

[BigBob]

Bonjour,
Merci pour cette réponse très complète !
Je vais suivre les instructions à la lettre... mais pas avant une semaine pour cause de vacances.
Bonne journée !
BigBob

[Malekal_morte]

ok, ça roule!

[BigBob]

Bonsoir,
Cela a pris un peu plus de temps que prévu... mais voici enfin les fichiers
OTL.TXT
Extra.txt

Pour information, maintenant Word ne disparait plus instantanément. J'ai fait un scan Malwarebytes et il n'y a plus de problème.
J'avais installé ESET Smart Security et ensuite NOD32 mais ni l'un ni l'autre ne fonctionnait correctement. Une fois installés, le PC était complètement figé et on entendait le disque dur faire des accès par saccades...
Du coup j'ai installé Avira en version gratuite.

Le dernier point que j'ai noté c'est que dans Chrome j'ai eu un popup (fhtooles.info) qui me proposait de gagner un iPad et qui ouvrait un onglet sur http://content.quizdingo.com/
Je n'ai rien trouvé qui parle de ce malware...

Enfin en regardant dans le fichier OTL.TXT il me semble que le fichier host est bien pollué.
Merci d'avance de l'aide fournie
BigBob

[Malekal_morte]

Y a rien d'anormal sur ton rapport.
donc peut-être voir là : http://forum.malekal.com/tester-materie ... 44006.html