Windows 10 infecté par le virus chinois UCGuard

[franzouillette]

Bonsoir,

J'espère que vous allez pouvoir m'aider. Voici les liens des fichiers FRST :

FRST: http://pjjoint.malekal.com/files.php?id ... u11y12h6p5
Shortcut: http://pjjoint.malekal.com/files.php?id ... 12q11s9f14
Additional: http://pjjoint.malekal.com/files.php?id ... 9u8p8e12n6


Merci d'avance.

[Malekal_morte]

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

CreateRestorePoint:
CloseProcesses:
Task: {B2CDC301-3ED2-4E70-9654-C34C9D59D603} - System32\Tasks\psv_Zotis => /c regedit.exe /s "C:\ProgramData\Quoteex\Techex.reg" & del "C:\ProgramData\Quoteex\Techex.reg" & SCHTASKS /Delete /TN "psv_Zotis" /F <==== ATTENTION
Task: {A8FBAC50-40B1-483A-96AF-56B92FC28C28} - System32\Tasks\psv_Viaing => /c regedit.exe /s "C:\ProgramData\Quoteex\BlackNamstring.reg" & del "C:\ProgramData\Quoteex\BlackNamstring.reg" & SCHTASKS /Delete /TN "psv_Viaing" /F <==== ATTENTION
Task: {69686399-1E13-4D8F-BB0A-65348E6303C4} - System32\Tasks\Clpaiedcherdogh Schedule => C:\Program Files (x86)\Kobather\ruwach.exe [2016-11-23] (Glarysoft Ltd)
 R2 GmSvc; C:\Program Files (x86)\LDSGameCenter\GmSvc.dll [463272 2016-11-04] () 
 ShellExecuteHooks: - {F294F81A-A5C3-11E6-9C79-64006A5CFC23} - C:\Program Files (x86)\Kobather\Celecult.dll [146944 2016-11-23] ()  
 R2 Ngerpy; C:\Program Files (x86)\Kobather\drupingcache.dll [276480 2016-11-23] () [Fichier non signé]  
 R1 UCGuard; C:\Windows\System32\DRIVERS\ucguard.sys [81792 2016-08-02] (Huorong Borui (Beijing) Technology Co., Ltd.) <==== ATTENTION  
 2016-11-23 21:51 - 2016-11-23 22:57 - 00000000 ____D C:\Program Files (x86)\LDSGameCenter 
 NETSVCx32: GmSvc -> C:\Program Files (x86)\LDSGameCenter\GmSvc.dll () 
 2016-11-23 21:50 - 2016-11-23 21:50 - 00037552 _____ (Basil) C:\Windows\system32\Drivers\WinDivert64.sys  
 2016-11-23 21:50 - 2016-11-23 21:50 - 00000000 ____D C:\Users\USER\AppData\Local\UCBrowser 
 2016-11-23 21:50 - 2016-08-02 14:37 - 00081792 _____ (Huorong Borui (Beijing) Technology Co., Ltd.) C:\Windows\system32\Drivers\ucguard.sys  
 2016-11-23 21:49 - 2016-11-23 21:50 - 00000000 ____D C:\Program Files (x86)\UCBrowser 
 2016-11-23 21:48 - 2016-11-23 22:05 - 00000000 ____D C:\Program Files (x86)\Kobather_ 
 2016-11-23 21:48 - 2016-11-23 21:48 - 00000000 ____D C:\Program Files (x86)\Microsoft Silverlight  
 2016-11-23 21:48 - 2016-11-23 21:48 - 00000000 _____ C:\TOSTACK 
 2016-11-23 21:47 - 2016-11-23 21:47 - 01897574 _____ C:\Users\USER\AppData\Roaming\Free-Zap.bin  
 2016-11-23 21:47 - 2016-11-23 21:47 - 00003346 _____ C:\Windows\System32\Tasks\psv_Viaing 
 2016-11-23 21:47 - 2016-11-23 21:47 - 00003310 _____ C:\Windows\System32\Tasks\psv_Zotis 
 2016-11-23 21:47 - 2016-11-23 21:47 - 00000000 ____D C:\Users\USER\AppData\Roaming\Mozilla  
 2016-11-23 21:46 - 2016-11-23 21:46 - 07310848 _____ C:\Users\USER\AppData\Roaming\agent.dat  
 2016-11-23 21:46 - 2016-11-23 21:46 - 01906380 _____ C:\Users\USER\AppData\Roaming\Soltouch.tst 
 2016-11-23 21:46 - 2016-11-23 21:46 - 00140288 _____ C:\Users\USER\AppData\Roaming\Installer.dat  
 2016-11-23 21:46 - 2016-11-23 21:46 - 00126464 _____ C:\Users\USER\AppData\Roaming\noah.dat  
 2016-11-23 21:46 - 2016-11-23 21:46 - 00070704 _____ C:\Users\USER\AppData\Roaming\Config.xml  
 2016-11-23 21:46 - 2016-11-23 21:46 - 00018432 _____ C:\Users\USER\AppData\Roaming\Main.dat  
 2016-11-23 21:46 - 2016-11-23 21:46 - 00016224 _____ C:\Users\USER\AppData\Roaming\InstallationConfiguration.xml  
 2016-11-23 21:46 - 2016-11-23 21:46 - 00005568 _____ C:\Users\USER\AppData\Roaming\md.xml  
 2016-11-23 21:46 - 2016-11-23 21:46 - 00000000 ____D C:\ProgramData\Avira  
 2016-11-23 21:46 - 2016-11-23 21:46 - 00000000 ____D C:\ProgramData\Avg  
 2016-11-23 21:45 - 2016-11-23 22:05 - 00000000 ____D C:\Users\USER\AppData\Roaming\Ckunerdom 
 2016-11-23 21:45 - 2016-11-23 22:05 - 00000000 ____D C:\Program Files (x86)\Kobather 
 2016-11-23 21:45 - 2016-11-23 21:57 - 00006158 _____ C:\Windows\System32\Tasks\Clpaiedcherdogh Schedule 
 2016-11-23 21:45 - 2016-11-23 21:45 - 00000000 ____D C:\Users\USER\AppData\Local\Lerdish 
EmptyTemp:
RemoveProxy:
Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

Enfin, pense à réinitialiser tes navigateurs:
==================================
Réinitialise tes navigateurs et/ou re-paramètre manuellement tes navigateurs WEB ( page de démarrage, moteur de recherche, etc ) mais aussi supprimer/désactiver les extensions inutiles/parasites.
Pour t'aider à effectuer ce ménage, clique ci-dessous sur le nom du navigateur WEB que tu utilises :
* Réinitialiser et réparer Mozilla Firefox
* Réinitialiser et réparer Google Chrome (premier paragraphe)
* Réinitialiser et réparer Internet Explorer

[franzouillette]

Bonjour,

Merci beaucoup. Voici le log:

Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 23-11-2016
Exécuté par USER (27-11-2016 10:34:21) Run:3
Exécuté depuis C:\Users\USER\Desktop
Profils chargés: USER (Profils disponibles: defaultuser0 & USER)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
CreateRestorePoint:
CloseProcesses:
Task: {B2CDC301-3ED2-4E70-9654-C34C9D59D603} - System32\Tasks\psv_Zotis => /c regedit.exe /s "C:\ProgramData\Quoteex\Techex.reg" & del "C:\ProgramData\Quoteex\Techex.reg" & SCHTASKS /Delete /TN "psv_Zotis" /F <==== ATTENTION
Task: {A8FBAC50-40B1-483A-96AF-56B92FC28C28} - System32\Tasks\psv_Viaing => /c regedit.exe /s "C:\ProgramData\Quoteex\BlackNamstring.reg" & del "C:\ProgramData\Quoteex\BlackNamstring.reg" & SCHTASKS /Delete /TN "psv_Viaing" /F <==== ATTENTION
Task: {69686399-1E13-4D8F-BB0A-65348E6303C4} - System32\Tasks\Clpaiedcherdogh Schedule => C:\Program Files (x86)\Kobather\ruwach.exe [2016-11-23] (Glarysoft Ltd)
R2 GmSvc; C:\Program Files (x86)\LDSGameCenter\GmSvc.dll [463272 2016-11-04] ()
ShellExecuteHooks: - {F294F81A-A5C3-11E6-9C79-64006A5CFC23} - C:\Program Files (x86)\Kobather\Celecult.dll [146944 2016-11-23] ()
R2 Ngerpy; C:\Program Files (x86)\Kobather\drupingcache.dll [276480 2016-11-23] () [Fichier non signé]
R1 UCGuard; C:\Windows\System32\DRIVERS\ucguard.sys [81792 2016-08-02] (Huorong Borui (Beijing) Technology Co., Ltd.) <==== ATTENTION
2016-11-23 21:51 - 2016-11-23 22:57 - 00000000 ____D C:\Program Files (x86)\LDSGameCenter
NETSVCx32: GmSvc -> C:\Program Files (x86)\LDSGameCenter\GmSvc.dll ()
2016-11-23 21:50 - 2016-11-23 21:50 - 00037552 _____ (Basil) C:\Windows\system32\Drivers\WinDivert64.sys
2016-11-23 21:50 - 2016-11-23 21:50 - 00000000 ____D C:\Users\USER\AppData\Local\UCBrowser
2016-11-23 21:50 - 2016-08-02 14:37 - 00081792 _____ (Huorong Borui (Beijing) Technology Co., Ltd.) C:\Windows\system32\Drivers\ucguard.sys
2016-11-23 21:49 - 2016-11-23 21:50 - 00000000 ____D C:\Program Files (x86)\UCBrowser
2016-11-23 21:48 - 2016-11-23 22:05 - 00000000 ____D C:\Program Files (x86)\Kobather_
2016-11-23 21:48 - 2016-11-23 21:48 - 00000000 ____D C:\Program Files (x86)\Microsoft Silverlight
2016-11-23 21:48 - 2016-11-23 21:48 - 00000000 _____ C:\TOSTACK
2016-11-23 21:47 - 2016-11-23 21:47 - 01897574 _____ C:\Users\USER\AppData\Roaming\Free-Zap.bin
2016-11-23 21:47 - 2016-11-23 21:47 - 00003346 _____ C:\Windows\System32\Tasks\psv_Viaing
2016-11-23 21:47 - 2016-11-23 21:47 - 00003310 _____ C:\Windows\System32\Tasks\psv_Zotis
2016-11-23 21:47 - 2016-11-23 21:47 - 00000000 ____D C:\Users\USER\AppData\Roaming\Mozilla
2016-11-23 21:46 - 2016-11-23 21:46 - 07310848 _____ C:\Users\USER\AppData\Roaming\agent.dat
2016-11-23 21:46 - 2016-11-23 21:46 - 01906380 _____ C:\Users\USER\AppData\Roaming\Soltouch.tst
2016-11-23 21:46 - 2016-11-23 21:46 - 00140288 _____ C:\Users\USER\AppData\Roaming\Installer.dat
2016-11-23 21:46 - 2016-11-23 21:46 - 00126464 _____ C:\Users\USER\AppData\Roaming\noah.dat
2016-11-23 21:46 - 2016-11-23 21:46 - 00070704 _____ C:\Users\USER\AppData\Roaming\Config.xml
2016-11-23 21:46 - 2016-11-23 21:46 - 00018432 _____ C:\Users\USER\AppData\Roaming\Main.dat
2016-11-23 21:46 - 2016-11-23 21:46 - 00016224 _____ C:\Users\USER\AppData\Roaming\InstallationConfiguration.xml
2016-11-23 21:46 - 2016-11-23 21:46 - 00005568 _____ C:\Users\USER\AppData\Roaming\md.xml
2016-11-23 21:46 - 2016-11-23 21:46 - 00000000 ____D C:\ProgramData\Avira
2016-11-23 21:46 - 2016-11-23 21:46 - 00000000 ____D C:\ProgramData\Avg
2016-11-23 21:45 - 2016-11-23 22:05 - 00000000 ____D C:\Users\USER\AppData\Roaming\Ckunerdom
2016-11-23 21:45 - 2016-11-23 22:05 - 00000000 ____D C:\Program Files (x86)\Kobather
2016-11-23 21:45 - 2016-11-23 21:57 - 00006158 _____ C:\Windows\System32\Tasks\Clpaiedcherdogh Schedule
2016-11-23 21:45 - 2016-11-23 21:45 - 00000000 ____D C:\Users\USER\AppData\Local\Lerdish
EmptyTemp:
RemoveProxy:
Reboot:

*****************

Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{B2CDC301-3ED2-4E70-9654-C34C9D59D603}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{B2CDC301-3ED2-4E70-9654-C34C9D59D603}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\psv_Zotis => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\psv_Zotis" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{A8FBAC50-40B1-483A-96AF-56B92FC28C28}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{A8FBAC50-40B1-483A-96AF-56B92FC28C28}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\psv_Viaing => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\psv_Viaing" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{69686399-1E13-4D8F-BB0A-65348E6303C4}" => clé supprimé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{69686399-1E13-4D8F-BB0A-65348E6303C4}" => clé supprimé(es) avec succès
C:\Windows\System32\Tasks\Clpaiedcherdogh Schedule => déplacé(es) avec succès
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Clpaiedcherdogh Schedule" => clé supprimé(es) avec succès
GmSvc => service supprimé(es) avec succès
HKLM\Software\Microsoft\Windows\CurrentVersion\explorer\ShellExecuteHooks\\{F294F81A-A5C3-11E6-9C79-64006A5CFC23} => valeur supprimé(es) avec succès
"HKCR\CLSID\{F294F81A-A5C3-11E6-9C79-64006A5CFC23}" => clé supprimé(es) avec succès
Ngerpy => service supprimé(es) avec succès
UCGuard => Impossible d'arrêter le service.
UCGuard => service supprimé(es) avec succès
C:\Program Files (x86)\LDSGameCenter => déplacé(es) avec succès
HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\SvcHost\\netsvcs GmSvc => supprimé(es) avec succès
C:\Windows\system32\Drivers\WinDivert64.sys => déplacé(es) avec succès
C:\Users\USER\AppData\Local\UCBrowser => déplacé(es) avec succès
C:\Windows\system32\Drivers\ucguard.sys => déplacé(es) avec succès
C:\Program Files (x86)\UCBrowser => déplacé(es) avec succès
C:\Program Files (x86)\Kobather_ => déplacé(es) avec succès
C:\Program Files (x86)\Microsoft Silverlight => déplacé(es) avec succès
C:\TOSTACK => déplacé(es) avec succès
C:\Users\USER\AppData\Roaming\Free-Zap.bin => déplacé(es) avec succès
"C:\Windows\System32\Tasks\psv_Viaing" => non trouvé(e).
"C:\Windows\System32\Tasks\psv_Zotis" => non trouvé(e).
C:\Users\USER\AppData\Roaming\Mozilla => déplacé(es) avec succès
C:\Users\USER\AppData\Roaming\agent.dat => déplacé(es) avec succès
C:\Users\USER\AppData\Roaming\Soltouch.tst => déplacé(es) avec succès
C:\Users\USER\AppData\Roaming\Installer.dat => déplacé(es) avec succès
C:\Users\USER\AppData\Roaming\noah.dat => déplacé(es) avec succès
C:\Users\USER\AppData\Roaming\Config.xml => déplacé(es) avec succès
C:\Users\USER\AppData\Roaming\Main.dat => déplacé(es) avec succès
C:\Users\USER\AppData\Roaming\InstallationConfiguration.xml => déplacé(es) avec succès
C:\Users\USER\AppData\Roaming\md.xml => déplacé(es) avec succès
C:\ProgramData\Avira => déplacé(es) avec succès
C:\ProgramData\Avg => déplacé(es) avec succès
C:\Users\USER\AppData\Roaming\Ckunerdom => déplacé(es) avec succès
C:\Program Files (x86)\Kobather => déplacé(es) avec succès
"C:\Windows\System32\Tasks\Clpaiedcherdogh Schedule" => non trouvé(e).
C:\Users\USER\AppData\Local\Lerdish => déplacé(es) avec succès

========= RemoveProxy: =========

HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-1629271666-1523025712-1529799306-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => valeur supprimé(es) avec succès
HKU\S-1-5-21-1629271666-1523025712-1529799306-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => valeur supprimé(es) avec succès


========= Fin de RemoveProxy: =========


=========== EmptyTemp: ==========

BITS transfer queue => 296456 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 19361942 B
Java, Flash, Steam htmlcache => 2923 B
Windows/system/drivers => 30450773 B
Edge => 80041814 B
Chrome => 0 B
Firefox => 0 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 259 B
systemprofile32 => 154 B
LocalService => 16624 B
NetworkService => 2360 B
defaultuser0 => 607174 B
USER => 218455344 B

RecycleBin => 56731086 B
EmptyTemp: => 387.2 MB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 10:35:05 ====

[Malekal_morte]

ok,
refais un scan FRST et donne les rapports via pjjoint pour faire le point.