[Résolu] PC infecté par navipromo

maikell · le 25 novembre 2008

[mod]

Split d'un sujet pris en charge par le Sioux (skets).

Ce sujet est maintenant autonome.

[/mod]

Search Navipromo version 3.6.9 commencé le 25/11/2008 à 21:48:53,39

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!

!!! Postez ce rapport sur le forum pour le faire analyser !!!

!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

bonjour

je suis maikell

je suis nouveau donc pas familiarisé

pouvez vous analyser mon rapport suite à analyse avec votre logiciel

merci de la réponse

j'ai le logiciel anti virus de NEUF et spyware doctor de TOOLS

Outil exécuté depuis C:\Program Files\navilog1

Session actuelle : "DUDRAGNE"

Mise à jour le 05.11.2008 à 21h00 par IL-MAFIOSO

Microsoft Windows XP [version 5.1.2600]

Internet Explorer : 7.0.5730.13

Système de fichiers : NTFS

Recherche executé en mode normal

*** Recherche Programmes installés ***

Favorit

*** Recherche dossiers dans "C:\WINDOWS" ***

*** Recherche dossiers dans "C:\Program Files" ***

*** Recherche dossiers dans "C:\Documents and Settings\All Users\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\All Users\menudm~1" ***

*** Recherche dossiers dans "c:\docume~1\alluse~1\applic~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\DUDRAGNE\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\ISABELLE\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\maikelle\applic~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\DUDRAGNE\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\ISABELLE\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\maikelle\locals~1\applic~1" ***

*** Recherche dossiers dans "C:\Documents and Settings\DUDRAGNE\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\ISABELLE\menudm~1\progra~1" ***

*** Recherche dossiers dans "C:\DOCUME~1\maikelle\menudm~1\progra~1" ***

*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***

pour + d'infos : http://www.gmer.net

*** Recherche avec GenericNaviSearch ***

!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!

!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans "C:\WINDOWS\system32" *

* Recherche dans "C:\Documents and Settings\DUDRAGNE\locals~1\applic~1" *

* Recherche dans "C:\DOCUME~1\ISABELLE\locals~1\applic~1" *

* Recherche dans "C:\DOCUME~1\maikelle\locals~1\applic~1" *

*** Recherche fichiers ***

*** Recherche clés spécifiques dans le Registre ***

HKEY_CURRENT_USER\Software\Lanconfig trouvé !

*** Module de Recherche complémentaire ***

(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :

C:\WINDOWS\system32\nsinet.exe trouvé !

2)Recherche Heuristique :

* Dans "C:\WINDOWS\system32" :

* Dans "C:\Documents and Settings\DUDRAGNE\locals~1\applic~1" :

ymskaom.exe trouvé !

ymskaom.dat trouvé !

ymskaom_nav.dat trouvé !

ymskaom_navps.dat trouvé !

* Dans "C:\DOCUME~1\ISABELLE\locals~1\applic~1" :

* Dans "C:\DOCUME~1\maikelle\locals~1\applic~1" :

3)Recherche Certificats :

Certificat Egroup trouvé !

Certificat Electronic-Group trouvé !

Certificat Montorgueil absent !

Certificat OOO-Favorit trouvé !

Certificat Sunny-Day-Design-Ltd absent !

4)Recherche fichiers connus :

*** Analyse terminée le 25/11/2008 à 21:54:10,84 ***

Modifié le 12 décembre 2008 par maikell

Thanos · le 25 novembre 2008

Merci @ Falkra pour le split

maikell: le pc est infecté par navipromo et tu as utilisé le bon programme!

La suite >>

1°) Double clique sur le raccourci Navilog1 présent sur le bureau et laisse-toi guider.

Au menu principal, choisis 2 et valide.
Le fix va t'informer qu'il va alors redémarrer ton PC
Ferme toutes les fenêtres ouvertes et enregistre tes documents personnels ouverts
Appuie sur une touche comme demandé.(si ton Pc ne redémarre pas automatiquement, fais le toi même)
Au redémarrage de ton PC, choisis ta session habituelle.Patiente jusqu'au message :
*** Nettoyage Termine le ..... ***
Le bloc note va s'ouvrir: sauvegarde le rapport de manière à le retrouver.
Referme le bloc note. Ton bureau va réapparaitre

PS:Si ton bureau ne réapparait pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches.

Puis rends-toi à l'onglet "processus". Clique en haut à gauche sur fichiers et choisis "exécuter"

Tape explorer et valide. Celà te fera apparaitre ton bureau.

Si tu ne trouve pas le rapport, il se nomme cleannavi.txt et se trouve dans C:\

2°) Télécharge random's system information tool (RSIT) par random/random et sauvegarde-le sur le Bureau.

Double-clique sur RSIT.exe afin de lancer RSIT.
Clique Continue à l'écran Disclaimer.
Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence.
Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront. Poste le contenu de log.txt (<<qui sera affiché)
ainsi que de info.txt (<<qui sera réduit dans la Barre des Tâches).
Si tu ne vois pas ces deux rapports, tu les trouveras dans le dossier C:\rsit

maikell · le 25 novembre 2008

voici mon rapport d'analyse après redémarrage ordi

cela semble aller

merci pour votre aide

à plus

maikell

Clean Navipromo version 3.6.9 commencé le 25/11/2008 à 22:47:20,03

Outil exécuté depuis C:\Program Files\navilog1

Session actuelle : "DUDRAGNE"

Mise à jour le 05.11.2008 à 21h00 par IL-MAFIOSO

Microsoft Windows XP [version 5.1.2600]

Internet Explorer : 7.0.5730.13

Système de fichiers : NTFS

Mode suppression automatique

avec prise en charge résultats Catchme et GNS

Nettoyage exécuté au redémarrage de l'ordinateur

*** fsbl1.txt non trouvé ***

(Assurez-vous que Catchme n'avait rien trouvé lors de la recherche)

*** Suppression avec sauvegardes résultats GenericNaviSearch ***

* Suppression dans "C:\WINDOWS\System32" *

* Suppression dans "C:\Documents and Settings\DUDRAGNE\locals~1\applic~1" *

* Suppression dans "C:\DOCUME~1\ISABELLE\locals~1\applic~1" *

* Suppression dans "C:\DOCUME~1\maikelle\locals~1\applic~1" *

*** Suppression dossiers dans "C:\WINDOWS" ***

*** Suppression dossiers dans "C:\Program Files" ***

*** Suppression dossiers dans "C:\Documents and Settings\All Users\menudm~1\progra~1" ***

*** Suppression dossiers dans "C:\Documents and Settings\All Users\menudm~1" ***

*** Suppression dossiers dans "c:\docume~1\alluse~1\applic~1" ***

*** Suppression dossiers dans "C:\Documents and Settings\DUDRAGNE\applic~1" ***

*** Suppression dossiers dans "C:\DOCUME~1\ISABELLE\applic~1" ***

*** Suppression dossiers dans "C:\DOCUME~1\maikelle\applic~1" ***

*** Suppression dossiers dans "C:\Documents and Settings\DUDRAGNE\locals~1\applic~1" ***

*** Suppression dossiers dans "C:\DOCUME~1\ISABELLE\locals~1\applic~1" ***

*** Suppression dossiers dans "C:\DOCUME~1\maikelle\locals~1\applic~1" ***

*** Suppression dossiers dans "C:\Documents and Settings\DUDRAGNE\menudm~1\progra~1" ***

*** Suppression dossiers dans "C:\DOCUME~1\ISABELLE\menudm~1\progra~1" ***

*** Suppression dossiers dans "C:\DOCUME~1\maikelle\menudm~1\progra~1" ***

*** Suppression fichiers ***

*** Suppression fichiers temporaires ***

Nettoyage contenu C:\WINDOWS\Temp effectué !

Nettoyage contenu C:\Documents and Settings\DUDRAGNE\locals~1\Temp effectué !

*** Traitement Recherche complémentaire ***

(Recherche fichiers spécifiques)

1)Suppression avec sauvegardes nouveaux fichiers Instant Access :

C:\WINDOWS\system32\nsinet.exe trouvé !

Copie C:\WINDOWS\system32\nsinet.exe réalisée avec succès !

C:\WINDOWS\system32\nsinet.exe supprimé !

2)Recherche, création sauvegardes et suppression Heuristique :

* Dans "C:\WINDOWS\system32" *

* Dans "C:\Documents and Settings\DUDRAGNE\locals~1\applic~1" *

ymskaom.exe trouvé !

Copie ymskaom.exe réalisée avec succès !

ymskaom.exe supprimé !

ymskaom.dat trouvé !

Copie ymskaom.dat réalisée avec succès !

ymskaom.dat supprimé !

ymskaom_nav.dat trouvé !

Copie ymskaom_nav.dat réalisée avec succès !

ymskaom_nav.dat supprimé !

ymskaom_navps.dat trouvé !

Copie ymskaom_navps.dat réalisée avec succès !

ymskaom_navps.dat supprimé !

* Dans "C:\DOCUME~1\ISABELLE\locals~1\applic~1" *

* Dans "C:\DOCUME~1\maikelle\locals~1\applic~1" *

*** Sauvegarde du Registre vers dossier Safebackup ***

sauvegarde du Registre réalisée avec succès !

*** Nettoyage Registre ***

Nettoyage Registre Ok

*** Certificats ***

Certificat Egroup supprimé !

Certificat Electronic-Group supprimé !

Certificat Montorgueil absent !

Certificat OOO-Favorit supprimé !

Certificat Sunny-Day-Design-Ltdt absent !

*** Nettoyage terminé le 25/11/2008 à 23:02:36,62 ***

Thanos · le 25 novembre 2008

Très bien! Le malware a été supprimé

Tu ne dois plus avoir de pubs lors de tes surfs normalement.

Info importante à retenir >>

L'infection navipromo (qu'on a éliminé grace à navilog) est véhiculée par des logiciels qu'il faut fuir absolument!! en voici une liste non exhaustive pour ne pas tomber dans le piège à nouveau >

go-astro
GoRecord
HotTVPlayer
MailSkinner
Messenger Skinner
Instant Access
InternetGameBox
sudoplanet
Webmediaplayer sauf celui provenant du site suivant > http://www.azertysite.new.fr/

D'une manière générale, méfie toi des utilitaires que tu télécharges!!Utilise Google pour voir si c'e n'est pas un logiciel qui installe un spyware : une simple recherche de quelques minutes te permettra de te faire une idée.

Par exemple : fais une recherche sur MessengerSkinner et tu verras le nombre de discussion ou les gens se plaignent de publicité intempestives ....

Plus d'infos sur le site de Malekal Morte dont les infos sont tirées > http://www.malekal.com/popupsintempestives.php

Voilà une autre liste (chez Assiste.com) que tu peux consulter avant d'installer un antispyware si tu es amené à le faire : elle recense tout un tas de faux utilitaires qui n'ont aucune efficacité, et qui peuvent même être dangereux car pas fiables : http://assiste.com.free.fr/p/craptheque/craptheque.html

D'autres apparaissent chaque jour (ou presque) ! aussi une recherche encore une fois avant d'installer quoique ce soit!!

A présent, poste moi stp le rapport de RSIT comme indiqué dans mon précédent message

Thanos · le 28 novembre 2008

salut

D'après ton rapport hijackthis, une infection visible (surement un reste!) >>

1°) Démarre Hijackthis qui se trouve dans le répertoire C:\Program Files\trend micro.

Pour cela, double-clique sur le fichier DUDRAGNE.exe puis clique sur "Do a system scan only", et coche les lignes suivantes :

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.crawler.com/search/dispatcher.a...&tbid=66028

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://www.crawler.com/search/ie.aspx?tb_id=60327

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,CustomizeSearch = http://dnl.crawler.com/support/sa_customize.aspx?TbId=60327

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.crawler.com/search/ie.aspx?tb_id=60327

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://dnl.crawler.com/support/sa_customize.aspx?TbId=60327

O2 - BHO: EoBho - {64F56FC1-1272-44CD-BA6E-39723696E350} - C:\Program Files\EoRezo\EoAdv\EoRezoBHO.dll (file missing)

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O3 - Toolbar: (no name) - {0BF43445-2F28-4351-9252-17FE6E806AA0} - (no file)

O4 - HKLM\..\Run: [C:\WINDOWS\system32\kdvjm.exe] C:\WINDOWS\system32\kdvjm.exe

-Ferme tous les programmes et clique sur "Fix Checked"

2°) Un petit scan supplémentaire avec un programme que tu vas pouvoir conserver >>

Télécharge Malwarebytes' Anti-Malware (MBAM)

Branche tous les supports amovibles que tu possèdes avant de faire ce scan (clé usb/disque dur externe etc)

Double clique sur le fichier téléchargé pour lancer le processus d'installation.
Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
Sélectionne "Exécuter un examen complêt"
Clique sur "Rechercher"
L'analyse démarre, le scan est relativement long, c'est normal.
A la fin de l'analyse, un message s'affiche :
L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.
Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
Ferme tes navigateurs.
Si des malwares ont été détectés, clique sur Afficher les résultats.
Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

Poste le rapport de MBAM ainsi qu'un nouveau rapport hijackthis.

Pour faire un rapport hijackthis, procède ainsi >>

Démarre Hijackthis qui se trouve dans le répertoire C:\Program Files\trend micro.
Pour cela, double-clique sur le fichier DUDRAGNE.exe
Accepte la license en cliquant sur le bouton "I Accept"
Choisis l'option "Do a system scan and save a log file"
Clique sur "Save log" pour enregistrer le rapport qui s'ouvrira avec le bloc-note
Clique sur "Edition -> Sélectionner tout", puis sur "Edition -> Copier" pour copier tout le contenu du rapport
Colle le rapport que tu viens de copier sur ce forum
Ne fixe encore AUCUNE ligne, cela pourrait empêcher ton PC de fonctionner correctement

Tutoriel > > http://cybersecurite.xooit.com/t138-HijackThis-2-0-2.htm

@+

maikell · le 28 novembre 2008

Malwarebytes' Anti-Malware 1.30

Version de la base de données: 1433

Windows 5.1.2600 Service Pack 3

28/11/2008 23:00:23

mbam-log-2008-11-28 (23-00-23).txt

Type de recherche: Examen complet (C:\|D:\|E:\|F:\|G:\|H:\|I:\|J:\|K:\|)

Eléments examinés: 133861

Temps écoulé: 1 hour(s), 57 minute(s), 46 second(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 3

Valeur(s) du Registre infectée(s): 0

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 1

Fichier(s) infecté(s): 0

Processus mémoire infecté(s):