Analyse Rapport Hijack et ANTIVIR

[regis56]

Bonjour Dready !

 

Les cookies tout le monde en as pas de problèmes pour ca pour le reste :

 

On recommence alors !

 

1/Faire une sauvegarde du registre

Cliquer sur démarrer/executer

Taper ou copier/coller :

regedit /e Sav2.reg

Cliquer sur Ok

Le fichier de sauvegarde se trouve ici

C:\Documents and Settings\Le nom de ta session\Sav2.reg

 

2/ Créer un fichier Bloc Notes avec le texte qui se trouve dans l'espace "code" ci-dessous (copie/colle, sans le mot "Code"=>Attention pas de ligne vierge avant REGEDIT4 ) :

 

REGEDIT4

[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{07B18EAB-A523-4961-B6BB-170DE4475CCA}]

 

-Enregistre ce fichier dans : Bureau

-Nom du fichier : remove.reg

-Type : tous les fichiers

-cliquer sur Enregistrer

-quitter le Bloc Notes: ne clique pas sur le fichier maintenant!

 

Sur le bureau tu dois avoir ce remove.

 

- Redémarre le PC, impérativement en mode sans échec,(n'ayant pas accès à Internet, tu as préalablement copié ces instructions dans un fichier texte)

 

- Clique sur le fichier remove.reg pour qu'il s'exécute.Un message te demandera la fusion,accepte.

 

- Elimine le fichier remove.reg

 

Redémarre en mode normal

 

Faire un rapport Panda STP !

 

A plus.

[Dready]

re,

 

my web search s'accroche...

 

 

Incident Statut Analyse

 

Outil indésirable:application/mywebsearch No Désinfecté HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{07B18EA1-A523-4961-B6BB-170DE4475CCA}

Spyware:Cookie/RealMedia No Désinfecté C:\Documents and Settings\technicien CETEF\Cookies\technicien cetef@247realmedia[1].txt

Spyware:Cookie/Xiti No Désinfecté C:\Documents and Settings\technicien CETEF\Cookies\technicien cetef@xiti[1].txt

 

-----------EDIT----------------------------------------------------

 

Vu sur d'autres forum : que penses-tu de regcleaner ? Cela vaut-il le coup d'essayer avec ? Il semble que pour certains cela ai marché ... cf ICI

Modifié le 14 octobre 2006 par Dready

[regis56]

Re

 

Hum ??? c'est étonnant ca ?

 

Je connait pas regcleaner mais tu peut tenter ceci

http://www.zebulon.fr/articles/regseeker-1.php

 

Et refais un scan chez Panda ensuite pour voir !

 

A plus.

[Dready]

Salut Regis56,

 

franchement, je crois que y a rien à faire pour virer cette m**** qui semble se régénérer toute seule...

 

Je l'ai supprmimé avec Regseeker, mais elle réaparaît à chaque fois....

 

 

Incident Statut Analyse

 

Outil indésirable:application/mywebsearch No Désinfecté HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{00A6FAF1-072E-44cf-8957-5838F569A31D}

Modifié le 15 octobre 2006 par Dready

[regis56]

Re

 

On va tenter autre chose !

 

-Faire un scan antivirus en ligne ici

http://housecall65.trendmicro.com/ (fire fox ou IE)

Et faire celui-ci

http://www.trendmicro.com/spyware-scan/ (IE avec active x seulement)

 

A la fin du scan, sauvegarder le rapport sur le Bureau.(cliquer sur l'onglet Résultats/ puis cliquer sur Edition/tout sélectionner/copier puis ouvrir un fichier texte et coller la sélection dedans)

 

-Poster le(s) rapport(s) trendmicro

 

A plus.

[Dready]

Salut Regis56 !

 

Le premier scan n'a semble-t-il pas été mené jusqu'au bout. Je l'ai laissé tourner toute la nuit mais la barre de progression en bas à gauche est restée bloquée au deux-tiers....

 

Je colle quand même ce que j'ai récupéré dans l'onglet résultat.

 

Par ailleurs, je n'ai pas vu la possibilité d'imprimer un rapport du second scan. Mais i a détecté 5 choses qu'il m'a proposé de nettoyer.

 

 

Transfert d'informations...

 

Sur...

 

 

 

Résultats

 

 

 

Ticket

 

 

 

Encyclopédie

 

Résultats de la vérification en cours de publication...

Programmes malveillants détectés

 

Remarque : La suppression complète des programmes malveillants mentionnés ci-dessous a échoué ! Si vous souhaitez obtenir des conseils généraux pour résoudre ce problème, cliquez ici. programmes malveillants Des informations détaillées figurent dans les sections concernant les programmes malveillants.

TITLE_OF_MALWARE

0 Infections

 

Transfert d'informations supplémentaires sur ce programme malveillant...

Informations générales sur ce type de programme malveillant.

Il n'existe actuellement aucune information supplémentaire concernant ce programme malveillant...

Informations générales sur ce type de programme malveillant.

Alias-Noms: aucun autre nom connu

Plate-forme: Aucune indication donnée

Réception des premières occurences le: Aucune indication donnée

Degré de risque général Très faibleFaibleMoyenÉlevé

Informations générales sur ce type de programme malveillant.

 

Certaines infections de ce programme malveillant n'ont pas pu être supprimées automatiquement ! Vous pouvez, en principe, effectuer une sélection manuelle des options "Supprimer" et Nouveau "nettoyage" pour résoudre ce problème.

Vous pouvez au choix cliquer ici afin d'obtenir un mode d'emploi précis concernant la suppression manuelle de ces infections.

Options de nettoyage Nettoyer automatiquement toutes les Infections détectées

Choisir de manière individuelle une action pour chaque infection détectée

Système d'exploitation infectéLaisser l'infection relative à la ligne sélectionnée inchangéeLa sélection de cette colonne permet d'éliminer l'infection correspondanteAttention : la sélection de cette colonne entraîne l'élimination de l'infection correspondante (par ex. le fichier infecté) sur votre disque durInfections liées à ce programme malveillantSont affichées ici toutes les infections liées au programme malveillant mentionné précédemmentRaisonCette colonne expose la raison de l'échec du processus de nettoyage.L'accès au fichier a été bloqué par le systèmeLe nettoyage n'est pas compatible avec les signatures actuelles

Signatures détectées

Signature EICAR

0 Signatures

La signature détectée est une signature dangereuse conçue pour tester les scan antivirus . Les fichiers indiqués ne sont pas infectés, mais contiennent uniquement la signature Signature Eicar.

Ne pas modifier les signatures sur l'ordinateurSupprimer les signatures. Attention ! Si vous sélectionnez cette colonne, les fichiers de signatures correspondants seront définitivement supprimés.Fichiers eicarSont affichés ici tous les chemins d'accès à la signature mentionnée ci-dessusRaisonaccès impossiblenon pris en charge

Graywares et programmes espions détéctés

 

Remarque : La suppression complète des graywares mentionnés ci-dessous a échoué ! Si vous souhaitez obtenir des conseils généraux pour résoudre ce problème, cliquez ici. graywares Des informations détaillées figurent dans les paragraphes concernant les graywares.

 

ADWARE_FUNWEBPRODUCTS

1 Infections

 

Transfert d'informations sur ce grayware/programme espion...

Informations générales sur ce type de grayware/programme espion.

Il n'existe actuellement aucune information supplémentaire concernant ce grayware/programme espion...

Informations générales sur ce type de grayware/programme espion.

This adware generates pop-up advertisements.

Alias-Noms: Adware-MWS (McAfee), AdWare.FunWeb.E (Ikarus)

Plate-forme: Aucune indication donnée

Réception des premières occurences le: Aucune indication donnée

Degré de risque général Très faibleFaibleMoyenÉlevé

Informations générales sur ce type de grayware/programme espion.

 

This adware generates pop-up advertisements.

 

Certaines infections liées à ce grayware/programme malveillant n'ont pas pu être supprimées automatiquement !

Cliquez ici obtenir un mode d'emploi concernant la suppression manuelle de ces infections.

Options de nettoyage Nettoyer automatiquement toutes les Infections détectées

Choisir de manière individuelle une action pour chaque infection détectée

Infections liées aux graywares/programmes espionsLaisser l'infection relative à la ligne sélectionnée inchangéeLa sélection de cette colonne permet d'éliminer l'infection correspondanteAttention : la sélection de cette colonne entraîne l'élimination de l'infection correspondante (par ex. le fichier infecté) sur votre disque durInfections liées à ce grayware/programme espionSont affichées ici toutes les infections liées au grayware/programme espion mentionné ci-dessusRaisonCette colonne expose la raison de l'échec du processus de nettoyage.L'accès au fichier a été bloqué par le systèmeLe nettoyage n'est pas compatible avec les signatures actuelles

 

ADWARE_ABETTERINTERNET

1 Infections

 

Transfert d'informations sur ce grayware/programme espion...

Informations générales sur ce type de grayware/programme espion.

Il n'existe actuellement aucune information supplémentaire concernant ce grayware/programme espion...

Informations générales sur ce type de grayware/programme espion.

This adware, when executed, displays an End-User License Agreement (EULA) containing information meant to deceive the user. Oftentimes, if does not...

Alias-Noms: Adware-abetterintrn (McAfee); not-a-virus:AdWare.Win32.BetterInternet.az (Kaspersky)

Plate-forme: Aucune indication donnée

Réception des premières occurences le: Aucune indication donnée

Degré de risque général Très faibleFaibleMoyenÉlevé

Informations générales sur ce type de grayware/programme espion.

 

This adware, when executed, displays an End-User License Agreement (EULA) containing information meant to deceive the user. Oftentimes, if does not display a EULA.

 

It also generates pop-up advertisements.

 

Certaines infections liées à ce grayware/programme malveillant n'ont pas pu être supprimées automatiquement !

Cliquez ici obtenir un mode d'emploi concernant la suppression manuelle de ces infections.

Options de nettoyage Nettoyer automatiquement toutes les Infections détectées

Choisir de manière individuelle une action pour chaque infection détectée

Infections liées aux graywares/programmes espionsLaisser l'infection relative à la ligne sélectionnée inchangéeLa sélection de cette colonne permet d'éliminer l'infection correspondanteAttention : la sélection de cette colonne entraîne l'élimination de l'infection correspondante (par ex. le fichier infecté) sur votre disque durInfections liées à ce grayware/programme espionSont affichées ici toutes les infections liées au grayware/programme espion mentionné ci-dessusRaisonCette colonne expose la raison de l'échec du processus de nettoyage.L'accès au fichier a été bloqué par le systèmeLe nettoyage n'est pas compatible avec les signatures actuelles

TITLE_OF_GRAYWARE

0 Infections

 

Transfert d'informations sur ce grayware/programme espion...

Informations générales sur ce type de grayware/programme espion.

Il n'existe actuellement aucune information supplémentaire concernant ce grayware/programme espion...

Informations générales sur ce type de grayware/programme espion.

Alias-Noms: aucun autre nom connu

Plate-forme: Aucune indication donnée

Réception des premières occurences le: Aucune indication donnée

Degré de risque général Très faibleFaibleMoyenÉlevé

Informations générales sur ce type de grayware/programme espion.

 

Certaines infections liées à ce grayware/programme malveillant n'ont pas pu être supprimées automatiquement !

Cliquez ici obtenir un mode d'emploi concernant la suppression manuelle de ces infections.

Options de nettoyage Nettoyer automatiquement toutes les Infections détectées

Choisir de manière individuelle une action pour chaque infection détectée

Infections liées aux graywares/programmes espionsLaisser l'infection relative à la ligne sélectionnée inchangéeLa sélection de cette colonne permet d'éliminer l'infection correspondanteAttention : la sélection de cette colonne entraîne l'élimination de l'infection correspondante (par ex. le fichier infecté) sur votre disque durInfections liées à ce grayware/programme espionSont affichées ici toutes les infections liées au grayware/programme espion mentionné ci-dessusRaisonCette colonne expose la raison de l'échec du processus de nettoyage.L'accès au fichier a été bloqué par le systèmeLe nettoyage n'est pas compatible avec les signatures actuelles

 

Cookies HTTP

1 Détecté

Un coockie (en anglais " keks ") est en principe utilisé pour enregistrer les fichiers utilisateurs d'une transaction Internet effectuée via un navigateur avec un serveur Web. Les cookies mentionnés ici sont appelés "cookies de profils."Ils ont pour unique but d'espionner votre comportement d'utilisateur.

Options de nettoyage Supprimer tous les cookies détectés

Choisir une action spécifique pour chaque cookie

Conserver ce cookieSupprimer ce cookieCookiesLes cookies indiqués ici sont considérés comme douteux.RaisonCette colonne expose la raison de l'échec du processus de nettoyage.L'accès au cookie a été bloqué par le systèmeLa suppression n'est pas prise en charge par les signatures actuelles

Failles de sécurité détectées

 

ASP.NET Path Validation Vulnerability (887219)

 

Transfert d'informations supplémentaires sur ces failles de sécurité...

Une erreur est survenue lors de la tentative d'obtention d'informations supplémentaires sur ces failles de sécurité. Aucune autre information supplémentaire n'est disponible pour le moment.

A vulnerability in ASP.NET allows an attacker to bypass the security of an ASP.NET Web site, and access a machine. The attacker gains unauthorized access to some areas of the sai...

Informations supplémentaires sur cette faille de sécurité et sa suppression.

Programmes et services concernés: Microsoft .NET Framework 1.0

Microsoft .NET Framework 1.1

Programme malveillant expoitant cette faille de sécurité: inconnu

A vulnerability in ASP.NET allows an attacker to bypass the security of an ASP.NET Web site, and access a machine. The attacker gains unauthorized access to some areas of the said Web site, and is able to control it accordingly. The actions that the attacker could take would depend on the specific content being protected.

Informations supplémentaires sur cette faille de sécurité et sa suppression.

TITLE_OF_VULNERABILITY

 

Transfert d'informations supplémentaires sur ces failles de sécurité...

Une erreur est survenue lors de la tentative d'obtention d'informations supplémentaires sur ces failles de sécurité. Aucune autre information supplémentaire n'est disponible pour le moment.

Informations supplémentaires sur cette faille de sécurité et sa suppression.

Programmes et services concernés: inconnu

Programme malveillant expoitant cette faille de sécurité: inconnu

Informations supplémentaires sur cette faille de sécurité et sa suppression.

Le port : est accessible

 

Transfert d'informations supplémentaires sur ce port...

Une erreur est survenue lors de la tentative d'obtention des informations supplémentaires sur ce port. Aucune autre information supplémentaire n'est disponible pour le moment.

Services courants sur ce port: inconnu

Programme malveillant utilisant le port de manière abusive: inconnu

Nettoyer » Supprime les infections détectées de votre ordinateur d'après les options sélectionnées.

Un ticket est requis

[regis56]

Bonjour Dready !

 

Bon comme il trouve toujour quelque chose on va essayer ceci

 

Télécharge A2 ici

http://download4.emsisoft.com/a2FreeSetup.exe

 

Nettoi tout ce qu'il trouve !

Comme je l'utilise rarement essai d'envoyer un rapport !

 

A plus.

[Dready]

re,

 

voici le rapport . J'ai mis les trois traces en quarantaine et les ai ensuite supprimées.

 

je vais refaire aussi un scan Panda. Mais en fait je pense que Mywebsearch est régénérée à chaque lancement de IE....

 

Version - a-squared Free 2.0

 

Réglages Scan:

 

Objets: Mémoire, Traces, Cookies, C:\, E:\, F:\, G:\, H:\

Scan archives: Marche

Heuristiques: Marche

Scan ADS: Marche

 

Début du scan: 16/10/2006 10:12:27

 

Value: HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{56256A51-B582-467e-B8D4-7786EDA79AE0} --> DisplayName Détecter: Trace.Registry.MyWebSearch Toolbar

Value: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{56256A51-B582-467e-B8D4-7786EDA79AE0} --> DisplayName Détecter: Trace.Registry.MyWebSearch Toolbar

Value: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{56256A51-B582-467e-B8D4-7786EDA79AE0} --> URL Détecter: Trace.Registry.MyWebSearch Toolbar

 

Scanné

 

Fichiers: 209151

Traces: 78425

Cookies: 9

Processus: 58

 

Trouver

 

Fichiers: 0

Traces: 3

Cookies: 0

Processus: 0

Clés de Registre: 0

 

Fin du Scan: 16/10/2006 11:23:25

Temps du Scan: 01:10:58

 

Value: HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{56256A51-B582-467e-B8D4-7786EDA79AE0} --> DisplayName Quarantaine Trace.Registry.MyWebSearch Toolbar

Value: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{56256A51-B582-467e-B8D4-7786EDA79AE0} --> DisplayName Quarantaine Trace.Registry.MyWebSearch Toolbar

Value: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{56256A51-B582-467e-B8D4-7786EDA79AE0} --> URL Quarantaine Trace.Registry.MyWebSearch Toolbar

 

Quarantaine

 

Fichiers: 0

Traces: 3

Cookies: 0

[regis56]

Bonjour Dready !

 

Fais ceci STP

 

Télécharge la dernière version de Killbox -> http://www.downloads.subratam.org/KillBox.zip

Place le programme dans le répertoire qui te plaît (pas d'installation Windows)

 

- redémarre l'ordinateur en mode sans échec

 

- lance Pocket Killbox

--- choisis l'option Delete on Reboot

--- copie la liste ci-dessous, des fichiers à supprimer (Ctrl-C) et File / Paste from Clipboard

Mwsbar.dll

MWSSRCAS.DLL

* les boutons "Single File" et "All Files" deviennent actifs mais "Single File" est activé par défaut.

Il faut alors impérativement activer (cliquer sur) "All Files", impérativement, sinon seul le premier de la liste sera supprimé.

--- vérifie que tous les fichiers sont enregistrés, par la liste déroulante "Full Path of File to Delete"

--- /!\ ATTENTION si un ou des fichiers ".dll" sont présents dans la liste les mettrent en début de liste , et coche "Unregister .dll Before Deleting".

--- clique sur la croix blanche sur fond rouge (Delete File) :

 

- "File will be Removed on Reboot, Do you want to reboot now?", réponds OUI si tu es prêt à procéder

 

Si Pocket KillBox ne fait pas redémarrer le PC, redémarre le toi même.

 

Tu pourras trouver un tutorial complet et détaillé par Jesses : http://perso.wanadoo.fr/jesses/Docs/Logiciels/KillBox.htm

 

Ensuite :

Lance Regseeker

Clic sur "find in registry"

Marque Mwsbar et clic sur search

 

Vérifie que en bas à gauche "backup before deletion" est bien coché !

 

Supprime ce qu'il va trouver !

recommence comme ceci

 

Lance Regseeker

Clic sur "find in registry"

Marque MWSSRCAS et clic sur search

 

Vérifie que en bas à gauche "backup before deletion" est bien coché !

 

Supprime ce qu'il va trouver !

 

Recommence l'opération avec ces clsid

56256A51-B582-467e-B8D4-7786EDA79AE0

 

00A6FAF1-072E-44cf-8957-5838F569A31D

 

07B18EAB-A523-4961-B6BB-170DE4475CCA

 

Et enfin fais un scan Panda pour voir si il trouve encore quelque chose !

 

A plus.

[Dready]

Bonsoir REgis56 et merci d'être aussi patient !

 

Pour l'instant je n'ai pas suivi cette dernière procédure car les fichiers Mwsbar.dll et MWSSRCAS.DLL que tu m'as dit de supprimer ne sont apparamment pas présents sur mon ordi (Recherche avec RegSeeker et windows, même dans fichiers caché et système, infructueuse).

 

Est-ce bien ceux là que je dois entrer dans Killbox ? Je ne comprends pas.

(Mais de toutes façons j'ai quand même essayé, mais le File/Paste from Clipboard ne me fait rien apparaître dans la listbox).