Eorezo et plus de pages affichables avec IE

[alainj77]

Bonjour

Tout d'abord avec un peu d'avance meilleurs voeux a toute l'équipe de Zebulon.

Je viens encore profiter de vos services pour un voisin roi de l'infection.

J'ai fait une analyse par MBAM qui a détecté une foule de EOREZO, GIBMEDIA et bien d'autres. J'ai tout mis en quarantaine mais je n'ai rien supprimé avant de demander votre aide.

J'ai aussi constaté qu'il y avait ANTIVIR et NORTON d'installés. Je n'ai pas supprimé NOROTON, mais le ferais dès que vous m'y autoriserez. Il y a aussi beaucoup de barres d'outis dans IE que je voudrai supprimer.

Suite à la désinfection par MBAM (j'ai gardé les rapports examen rapide et examen complet si vous en avez besoin), la connexion Internet établis, aucune page ne s'ouvre ni avec IE ni avec Firefox. La page de démarrage de IE se trouve modifiée à y.lo.st, même si je la modifie cela ne change rien aucune page ne s'ouvre.

J'ai fait un HijackThis, mais je suis toujours aussi nul pour lire le rapport, donc avant de faire n'importe quoi, je préfère demander votre aide précieuse et très éclairée.

Avec mes remerciements par avance pour votre assistance, je joints le rappoty HJT :

 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 13:54:47, on 31/12/2010

Platform: Windows Vista (WinNT 6.00.1904)

MSIE: Internet Explorer v7.00 (7.00.6000.17037)

Boot mode: Normal

 

Running processes:

C:\Windows\system32\Dwm.exe

C:\Windows\Explorer.EXE

C:\Windows\system32\taskeng.exe

C:\Program Files\Windows Defender\MSASCui.exe

C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe

C:\Program Files\Windows Media Player\wmpnscfg.exe

C:\Windows\system32\wbem\unsecapp.exe

C:\Windows\system32\wuauclt.exe

C:\Program Files\Internet Explorer\ieuser.exe

C:\HJT\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = ${URL_SEARCHPAGE}

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = Moteur de recherche : Web, Photos, Videos, Voyages, Encyclopédie

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = Yahoo! France

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Bing

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = ${URL_SEARCHPAGE}

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = ${URL_STARTPAGE}

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = Bing

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

R3 - URLSearchHook: SearchSettings Class - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Program Files\Search Settings\kb127\SearchSettings.dll

R3 - URLSearchHook: PHPNukeFR Toolbar - {1c491116-c175-45e1-a570-6fb14fea8b7b} - C:\Program Files\PHPNukeFR\tbPHPN.dll

R3 - URLSearchHook: Recherche France Toolbar - {d5b75883-e809-4120-bfeb-8d707d5dfbe3} - C:\Program Files\Recherche_France\tbRech.dll

R3 - URLSearchHook: Softonic_France Toolbar - {4daac69c-cba7-45e2-9bc8-1044483d3352} - C:\Program Files\Softonic_France\tbSoft.dll

R3 - URLSearchHook: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} - C:\Program Files\myBabylon_English\tbmyBa.dll

O1 - Hosts: ::1 localhost

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: PHPNukeFR Toolbar - {1c491116-c175-45e1-a570-6fb14fea8b7b} - C:\Program Files\PHPNukeFR\tbPHPN.dll

O2 - BHO: (no name) - {1E8A6170-7264-4D0F-BEAE-D42A53123C75} - c:\Program Files\Common Files\Symantec Shared\coShared\Browser\1.0\NppBho.dll

O2 - BHO: Softonic_France Toolbar - {4daac69c-cba7-45e2-9bc8-1044483d3352} - C:\Program Files\Softonic_France\tbSoft.dll

O2 - BHO: VMN Toolbar - {4E7BD74F-2B8D-469E-8DA9-FD60BB9AAE33} - C:\PROGRA~1\VMNTOO~1\VMNTOO~1.DLL

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: DealioBHO Class - {6A87B991-A31F-4130-AE72-6D0C294BF082} - C:\Program Files\Dealio\kb127\Dealio.dll

O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll

O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live ID - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Easy Photo Print - {9421DD08-935F-4701-A9CA-22DF90AC4EA6} - C:\Program Files\Epson Software\Easy Photo Print\EPTBL.dll

O2 - BHO: Babylon IE plugin - {9CFACCB6-2F3F-4177-94EA-0D2B72D384C1} - C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll

O2 - BHO: VMN Toolbar - {A057A204-BACC-4D26-8287-79A187E26987} - C:\PROGRA~1\VMNTOO~1\VMNTOO~1.DLL

O2 - BHO: SpiderMessenger_BHO - {ADE49752-DBBC-43A3-9498-379A82F574BF} - C:\Program Files\SpiderMessenger\SpiderMessenger.BHO.dll

O2 - BHO: SkypeIEPluginBHO - {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll

O2 - BHO: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} - C:\Program Files\myBabylon_English\tbmyBa.dll

O2 - BHO: EoBHO - {C7B76B90-3455-4AE6-A752-EAC4D19689E5} - C:\Program Files\EoRezo\EoAdv\EoRezoBHO.dll (file missing)

O2 - BHO: Recherche France Toolbar - {d5b75883-e809-4120-bfeb-8d707d5dfbe3} - C:\Program Files\Recherche_France\tbRech.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll

O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Program Files\Windows Live\Toolbar\wltcore.dll

O2 - BHO: SearchSettings Class - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Program Files\Search Settings\kb127\SearchSettings.dll

O3 - Toolbar: Show Norton Toolbar - {90222687-F593-4738-B738-FBEE9C7B26DF} - c:\Program Files\Common Files\Symantec Shared\coShared\Browser\1.0\UIBHO.dll

O3 - Toolbar: VMN Toolbar - {4E7BD74F-2B8D-469E-8DA9-FD60BB9AAE33} - C:\PROGRA~1\VMNTOO~1\VMNTOO~1.DLL

O3 - Toolbar: Dealio - {E67C74F4-A00A-4F2C-9FEC-FD9DC004A67F} - C:\Program Files\Dealio\kb127\Dealio.dll

O3 - Toolbar: Veoh Web Player Video Finder - {0FBB9689-D3D7-4f7a-A2E2-585B10099BFC} - C:\Program Files\Veoh Networks\VeohWebPlayer\VeohIEToolbar.dll

O3 - Toolbar: PHPNukeFR Toolbar - {1c491116-c175-45e1-a570-6fb14fea8b7b} - C:\Program Files\PHPNukeFR\tbPHPN.dll

O3 - Toolbar: VMN Toolbar - {A057A204-BACC-4D26-8287-79A187E26987} - C:\PROGRA~1\VMNTOO~1\VMNTOO~1.DLL

O3 - Toolbar: Easy Photo Print - {9421DD08-935F-4701-A9CA-22DF90AC4EA6} - C:\Program Files\Epson Software\Easy Photo Print\EPTBL.dll

O3 - Toolbar: Recherche France Toolbar - {d5b75883-e809-4120-bfeb-8d707d5dfbe3} - C:\Program Files\Recherche_France\tbRech.dll

O3 - Toolbar: Softonic_France Toolbar - {4daac69c-cba7-45e2-9bc8-1044483d3352} - C:\Program Files\Softonic_France\tbSoft.dll

O3 - Toolbar: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} - C:\Program Files\myBabylon_English\tbmyBa.dll

O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Program Files\Windows Live\Toolbar\wltcore.dll

O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide

O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [MSConfig] "C:\Windows\system32\msconfig.exe" /auto

O4 - HKLM\..\Run: [Malwarebytes' Anti-Malware (reboot)] "C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript

O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe

O4 - HKUS\S-1-5-19\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')

O4 - HKUS\S-1-5-20\..\Run: [sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')

O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\Windows\system32\GPhotos.scr/200

O8 - Extra context menu item: Compare Prices with &Dealio - C:\Users\Morain\AppData\LocalLow\Dealio\kb127\res\DealioSearch.html

O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O8 - Extra context menu item: Translate this web page with Babylon - res://C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/ActionTU.htm

O8 - Extra context menu item: Translate with Babylon - res://C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll/Action.htm

O9 - Extra button: Ajout Direct - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra 'Tools' menuitem: &Ajout Direct dans Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Poker\Titan Poker\casino.exe (file missing)

O9 - Extra 'Tools' menuitem: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Poker\Titan Poker\casino.exe (file missing)

O9 - Extra button: Skype add-on for Internet Explorer - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll

O9 - Extra 'Tools' menuitem: Skype add-on for Internet Explorer - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll

O9 - Extra button: Dealio - {E908B145-C847-4e85-B315-07E2E70DECF8} - C:\Program Files\Dealio\kb127\Dealio.dll

O9 - Extra 'Tools' menuitem: Dealio - {E908B145-C847-4e85-B315-07E2E70DECF8} - C:\Program Files\Dealio\kb127\Dealio.dll

O9 - Extra button: Translate this web page with Babylon - {F72841F0-4EF1-4df5-BCE5-B3AC8ACF5478} - C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll

O9 - Extra 'Tools' menuitem: Translate this web page with Babylon - {F72841F0-4EF1-4df5-BCE5-B3AC8ACF5478} - C:\Program Files\Babylon\Babylon-Pro\Utils\BabylonIEPI.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

O13 - Gopher Prefix:

O16 - DPF: {029FDBA6-3547-11D7-AA4C-0050BF051A00} (Rawflow ICD Client) - http://s.tf1.fr/mmdia/static/rawflow/clients/5.3.1.0/Rawflow.cab

O16 - DPF: {2250C29C-C5E9-4F55-BE4E-01E45A40FCF1} (CMediaMix Object) - http://musicmix.messenger.msn.com/Medialogic.CAB

O16 - DPF: {5C051655-FCD5-4969-9182-770EA5AA5565} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab56986.cab

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/FR-FR/a-UNO1/GAME_UNO1.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab

O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab

O18 - Protocol: skype-ie-addon-data - {91774881-D725-4E58-B298-07617B9B86A8} - C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe

O23 - Service: Service Bonjour (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe

O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe

O23 - Service: COM Host (comHost) - Symantec Corporation - c:\Program Files\Common Files\Symantec Shared\VAScanner\comHost.exe

O23 - Service: eRecovery Service (eRecoveryService) - Acer Inc. - C:\Acer\Empowering Technology\eRecovery\eRecoveryService.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Service de l’iPod (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Validation de mot de passe Symantec IS (ISPwdSvc) - Symantec Corporation - c:\Program Files\Norton Internet Security\isPwdSvc.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe

O23 - Service: LiveUpdate Notice Service Ex (LiveUpdate Notice Ex) - Symantec Corporation - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe

O23 - Service: LiveUpdate Notice Service - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe

O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\Windows\system32\GameMon.des.exe (file missing)

O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe

O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe

O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe

O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe

O23 - Service: Symantec AppCore Service (SymAppCore) - Symantec Corporation - c:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe

 

--

End of file - 13777 bytes

[pear]

Bonjour,

 

Téléchargez l'outil de désinstallation Norton pour votre version de Windows.

Suivez les instructions à l’écran.

L'ordinateur pourra être redémarré plusieurs fois et vous serez peut-être invité à répéter certaines étapes après le redémarrage.

Supprimez sur votre machine tout fichier Symantec et Norton(dans Program files et Program files\Fichiers communs)

 

mais , magré cela , il reste probablement des traces dans le régistre:

Rechercher et supprimer toutes les occurences Norton et Symantec

 

ou utiliser cet outil:

Desinstaller Nortonl

 

Pour eorezo etc..

 

Téléchargez AD-Remover sur le bureau

 

Déconnectez-vous et fermez toutes les applications en cours

Cliquer sur "Ad-R.exe" pour lancer l'installation et laisser les paramètres par défaut .

Une fenêtre s'affichera Vous prévenant des risques de l'utilisation de ce logiciel

Cliquez sur "OUI"

Double cliquer sur l'icône Ad-remover sur le bureau

Au menu principal choisir l'optionScanner et Validez

 

Patientez pendant le travail de l'outil.

Poster le rapport qui apparait à la fin .

Il est sauvegardé aussi sous C:\Ad-report.log

 

Ensuite

 

Relancer Ad- remover , choisir l'option Nettoyer

 

Il y aura 2 rapports à poster après Scanner et Nettoyer

 

Pour désinstaller AD-Remover, lancez avec l'option D puis supprimer l'icône du bureau.

 

 

ensuite:

 

Lancez cet outil de diagnostic:

Téléchargez ZhpDiag de Coolman

Décompresser le fichier ZHPDiag.fix sur le bureau

puis double-cliquer sur le fichier ZHPDiag.exe pour installer l'outil

Sur le bureau ,il y aura 3 icônes

 

Sous XP, double clic sur ZhpDiag

Sous Vista/7, faire un clic droit et Exécuter en tant qu'administrateur

Clic sur la Loupe pour lancer le scan

 

Postez en le rapport ZhpDiag.txt qui apparait sur le bureau

Comment poster les rapports

Vous copiez/collez tout ou partie des rapports dans un ou plusieurs messages.

Autre solution:

Aller sur le site :Ci-Joint

Appuyez sur Parcourir et chercher les rapports sur le disque,

Ensuite appuyez sur Créer le lien CJoint,

>> dans la page suivante --> ,,

une adresse http//.. sera créée

Copier /coller cette adresse dans votre prochain message.

 

[alainj77]

Bonjour Pear

Merci de votre aide.

Meilleurs voeux pour cette nouvelle année.

J'ai été un peu long, excusez moi, voici les 3 rapports dans l'ordre : scan, cleaner et ZHP

© CJoint.com, 2010

© CJoint.com, 2010

© CJoint.com, 2010

Apparemment IE refonctionne, mais je n'ai pas laissé le PC connecté au cas ou (Antivir n'est pas à jour et c'est une vieille version).

J'attends votre avis avant de reconnecter le PC et téléchrger la nouvelle version d'antivir.

[pear]

Bonsoir,

 

S'il fallait en croire votre dernier rapport, tout se passe comme si Ad-remover n'avait rien fait.

Vous pouvez recommencer , svp.?

[alainj77]

Bonjour

Aucun problème pour recommencer, je vous fait entièrement confiance.

J'avais pourtant tout fait dans l'ordre, mais j'ai constaté que le PC était extrêmement lent. Peut être suis je allé trop vite pour faire le dernier rapport après le redémarrage demandé par AdRemover.

La j'ai attendu qu'il n'y ai plus aucune activité sur le disque (15 minutes).

Je vous renvoie les 3 rapports :

© CJoint.com, 2010

© CJoint.com, 2010

© CJoint.com, 2010

En espérant que ce n'est pas en mettant ma clé USB pour transférer sur un autre PC que je remets l'infection.

[pear]

Même constatation.

 

On va recommencer en desinfectant d'abord les clés usb:

 

Prévention:

Désactiver l'autorun sur tous les lecteur (USB, CD, DVD, SATA, Firewire, etc.

Pour cela,sous Xp :

Copier/coller ,dans le bloc notes,ce qui suit ,(en vert)sans ligne blanche au début.mais une à la fin.

Windows Registry Editor Version 5.00

 

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion­\Policies\Explorer]

"NoDriveTypeAutoRun"=dword:000000ff

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion­\Policies\Explorer]

"NoDriveTypeAutoRun"=dword:000000ff

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]

@="@SYS:DoesNotExist"

 

Sous Vista/7

Copier/coller ce qui suiten vertdans le bloc notes,sans ligne blanche au début.mais une à la fin.

Windows Registry Editor Version 5.00

 

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers]

"DisableAutoplay"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\Autorun.inf]

@="@SYS:DoesNotExist"

 

Fichier ->Enregistrez sous..

Clic sur bureau à gauche

Dans type de fichier->Tous les fichiers

Dans Nom-> regis.reg.

Allez sur le bureau

Cliquez droit sur le fichier ->fusionner

Acceptez la modification du Régistre

[/color]

 

 

Télécharger Usb Fix , sur le bureau

 

Installez le avec les paramètres par défault

Vous devez désactiver la protection en temps réel de votre Antivirus qui peut considérer certains composants de ce logiciel comme néfastes.

* Pour cela, faites un clic droit sur l'icône de l'antivirus en bas à droite à côté de l'horloge puis Disable Guard ou Shield ou Résident...

Brancher les périphériques externes (clé USB, disque dur externe, etc...) sans les ouvrir

Si vous êtes sous Vistaésactiver L'UAC ,avant utilisation.

 

Faire un Clic-droit sur le raccourci Usbfix sur le bureau et choisir "Exécuter en tant qu'administrateur".

 

Lancer l' option 1(Recherche)

le rapport UsbFix.txt est sauvegardé à la racine du disque .

Faites en un copier/coller dans le bloc notes pour le poster.

 

Ensuite,

Lancer l'option 2(Suppression)

Le bureau disparait et le pc redémarre

Patientez le temps du scan.

le rapport UsbFix.txt est sauvegardé à la racine du disque

Faites en un copier/coller dans le bloc notes pour le poster.

 

 

Vaccination

Pour vous éviter une infection ultérieure:

Lancer l' Option 3 (vaccination)

 

 

Pour Désinstaller

Double clic sur le raccourci UsbFix sur le bureau

Lancer l' option 5 ( Désinstaller ) ....

 

 

 

ensuite Ad_Remover et Zhpdiag.

[alainj77]

J'ai fait le scan et le nettoyage avec USBFix (qui ne se désinstalle pas).

Comme IE refonctionne, j'ai téléchargé à nouveau ADRemover et ZHPdiag.

J'ai fait le scan de ADRemover puis le nettoyage et enfin le scan de ZHPdiag.

Voici les rapports :

© CJoint.com, 2010

© CJoint.com, 2010

© CJoint.com, 2010

http://cjoint.com/?0bcoXlXLYBu

© CJoint.com, 2010

Modifié le 2 janvier 2011 par alainj77

[pear]

Bien,

 

Cliquez sur l'icone Zhpfix qui doit être sur votre bureau.ou Dans ZHPDiag, sur l'icône

Copier/coller et vérifier que toutes les lignes en vert ci dessous(et seulement elles) sont dans la fenêtre

 

[HKLM\SOFTWARE\Microsoft\Security Center] UacDisableNotify: Modified

G0 - GCSP: Preference [user Data\Default][HomePage] http://y.lo.st

O2 - BHO: EoBHO - {C7B76B90-3455-4AE6-A752-EAC4D19689E5} . (.Pas de propriétaire - Pas de description.) -- (.not file.)

O4 - HKLM\..\Run: [eRecoveryService] Clé orpheline => Orphean Key not necessary

O4 - Global Startup: C:\Documents And Settings\Morain\Desktop\Corbeille - Raccourci (2).lnk - Clé orpheline

O4 - Global Startup: C:\Documents And Settings\Morain\Desktop\Disque amovible (G) - Raccourci.lnk . (.Pas de propriétaire.) -- G:\ (.not file.)

O4 - Global Startup: C:\Documents And Settings\Morain\Desktop\iTunesSetup.exe - Raccourci.lnk . (.Pas de propriétaire.) -- C:\Users\Morain\Desktop\iTunesSetup.exe (.not file.)

O4 - Global Startup: C:\Documents And Settings\Morain\Desktop\KFAT3 (F) - Raccourci.lnk . (.Pas de propriétaire.) -- F:\ (.not file.)

O4 - Global Startup: C:\Users\Morain\Desktop\Corbeille - Raccourci (2).lnk - Clé orpheline

O4 - Global Startup: C:\Users\Morain\Desktop\Disque amovible (G) - Raccourci.lnk . (.Pas de propriétaire.) -- G:\ (.not file.)

O4 - Global Startup: C:\Users\Morain\Desktop\iTunesSetup.exe - Raccourci.lnk . (.Pas de propriétaire.) -- C:\Users\Morain\Desktop\iTunesSetup.exe (.not file.)

O4 - Global Startup: C:\Users\Morain\Desktop\KFAT3 (F) - Raccourci.lnk . (.Pas de propriétaire.) -- F:\ (.not file.)

M2 - MFEP: prefs.js [Morain - qlg9bkc9.default\{4daac69c-cba7-45e2-9bc8-1044483d3352}] [] Softonic_France Toolbar v2.5.8.6 (.Conduit Ltd..)

M2 - MFEP: prefs.js [Morain - qlg9bkc9.default\{b2e293ee-fd7e-4c71-a714-5f4750d8d7b7}] [babylon] myBabylon English Toolbar v2.5.6.0 (.Conduit Ltd..)

R3 - URLSearchHook: PHPNukeFR Toolbar - {1c491116-c175-45e1-a570-6fb14fea8b7b} . (.Conduit Ltd. - Conduit Toolbar.) (5, 7, 2, 2) -- C:\Program Files\PHPNukeFR\tbPHPN.dll

R3 - URLSearchHook: Recherche France Toolbar - {d5b75883-e809-4120-bfeb-8d707d5dfbe3} . (.Conduit Ltd. - Conduit Toolbar.) (4, 5, 192, 5) -- C:\Program Files\Recherche_France\tbRech.dll

R3 - URLSearchHook: Softonic_France Toolbar - {4daac69c-cba7-45e2-9bc8-1044483d3352} . (.Conduit Ltd. - Conduit Toolbar.) (5, 3, 7, 1) -- C:\Program Files\Softonic_France\tbSoft.dll

R3 - URLSearchHook: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) (5, 3, 4, 2) -- C:\Program Files\myBabylon_English\tbmyBa.dll

R3 - URLSearchHook: Yahoo! Toolbar avec bloqueur de fenêtres pop-up - {EF99BD32-C1FB-11D2-892F-0090271D4F88} Clé orpheline

R3 - URLSearchHook: PHPNukeFR Toolbar - {1c491116-c175-45e1-a570-6fb14fea8b7b} . (.Conduit Ltd. - Conduit Toolbar.) (5, 7, 2, 2) -- C:\Program Files\PHPNukeFR\tbPHPN.dll

R3 - URLSearchHook: Recherche France Toolbar - {d5b75883-e809-4120-bfeb-8d707d5dfbe3} . (.Conduit Ltd. - Conduit Toolbar.) (4, 5, 192, 5) -- C:\Program Files\Recherche_France\tbRech.dll

R3 - URLSearchHook: Softonic_France Toolbar - {4daac69c-cba7-45e2-9bc8-1044483d3352} . (.Conduit Ltd. - Conduit Toolbar.) (5, 3, 7, 1) -- C:\Program Files\Softonic_France\tbSoft.dll

R3 - URLSearchHook: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) (5, 3, 4, 2) -- C:\Program Files\myBabylon_English\tbmyBa.dll

O2 - BHO: PHPNukeFR Toolbar - {1c491116-c175-45e1-a570-6fb14fea8b7b} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\PHPNukeFR\tbPHPN.dll

O2 - BHO: Softonic_France Toolbar - {4daac69c-cba7-45e2-9bc8-1044483d3352} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\Softonic_France\tbSoft.dll

O2 - BHO: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\myBabylon_English\tbmyBa.dll

O2 - BHO: Recherche France Toolbar - {d5b75883-e809-4120-bfeb-8d707d5dfbe3} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\Recherche_France\tbRech.dll

O3 - Toolbar: PHPNukeFR Toolbar - {1c491116-c175-45e1-a570-6fb14fea8b7b} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\PHPNukeFR\tbPHPN.dll

O3 - Toolbar: (no name) - {A057A204-BACC-4D26-8287-79A187E26987} . (.Pas de propriétaire - Pas de description.) -- (.not file.)

O3 - Toolbar: Recherche France Toolbar - {d5b75883-e809-4120-bfeb-8d707d5dfbe3} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\Recherche_France\tbRech.dll

O3 - Toolbar: Softonic_France Toolbar - {4daac69c-cba7-45e2-9bc8-1044483d3352} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\Softonic_France\tbSoft.dll

O3 - Toolbar: myBabylon English Toolbar - {b2e293ee-fd7e-4c71-a714-5f4750d8d7b7} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files\myBabylon_English\tbmyBa.dll

O42 - Logiciel: Dealio Toolbar 3.4 - (.Pas de propriétaire.) [HKLM] -- {6105648C-0C3C-481D-8C11-1F4952D6FB53}

O42 - Logiciel: PHPNukeFR Toolbar - (.PHPNukeFR.) [HKLM] -- PHPNukeFR Toolbar

O42 - Logiciel: Recherche_France Toolbar - (.Pas de propriétaire.) [HKLM] -- Recherche_France Toolbar

O42 - Logiciel: Softonic_France Toolbar - (.Pas de propriétaire.) [HKLM] -- Softonic_France Toolbar

[HKCU\Software\AppDataLow\Software\PHPNukeFR]

[HKLM\Software\PHPNukeFR]

O43 - CFD: 29/06/2010 - 09:01:06 ----D- C:\Program Files\PHPNukeFR

O42 - Logiciel: Messenger Plus! Live & Sponsor (CiD) - (.Patchou.) [HKLM] -- Messenger Plus! Live

O42 - Logiciel: Spyware Doctor 5.5 - (.PC Tools.) [HKLM] -- Spyware Doctor

O43 - CFD: 17/07/2008 - 09:09:20 ----D- C:\Program Files\Spyware Doctor

O44 - LFC:[MD5.16426DCE11E522839FFEC98D2FAA1EE7] - 02/01/2011 - 14:00:27 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\Ad-Report-CLEAN[1].txt [2405]

O44 - LFC:[MD5.ED065291B145B62615B729734B6FCB5B] - 02/01/2011 - 13:57:50 ---A- . (.Pas de propriétaire - Pas de description.) -- C:\Ad-Report-SCAN[1].txt [2361]

O69 - SBI: SearchScopes [HKUS\.DEFAULT] {545F2775-6980-4A37-A40F-3394DE6A45C7} - (Dealio) - {searchTerms} | Price Comparison Shopping @ Dealio - Page 1

O69 - SBI: SearchScopes [HKUS\S-1-5-18] {545F2775-6980-4A37-A40F-3394DE6A45C7} - (Dealio) - {searchTerms} | Price Comparison Shopping @ Dealio - Page 1

SS - | Demand 18/06/2008 337800 | C:\Program Files\Spyware Doctor\pctsAuxs.exe (sdAuxService) . (.PC Tools.) - C:\Program Files\Spyware Doctor\pctsAuxs.exe

SS - | Demand 18/06/2008 1017224 | C:\Program Files\Spyware Doctor\pctsSvc.exe (sdCoreService) . (.PC Tools.) - C:\Program Files\Spyware Doctor\pctsSvc.exe

O42 - Logiciel: CiD Help - (.Pas de propriétaire.) [HKCU] -- RectHtmMore

O42 - Logiciel: RM-X Player V4.2 - (.PRODIFF.) [HKLM] -- RM-X® Player Pack V4.2_is1

[HKCU\Software\BitDownload]

[HKCU\Software\MessengerSkinner]

[HKCU\Software\Prodiff]

O43 - CFD: 08/05/2007 - 12:29:40 ----D- C:\Program Files\Adverts

O43 - CFD: 24/02/2008 - 10:09:04 ----D- C:\Program Files\HECKMEALJUMP

O43 - CFD: 30/12/2010 - 23:03:38 ----D- C:\ProgramData\HECKMEALJUMP

O43 - CFD: 25/01/2009 - 12:09:00 ----D- C:\ProgramData\Trans draw once less

O53 - SMSR:HKLM\...\startupreg\NoDNS [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\NoDNS\NoDNS.exe

O53 - SMSR:HKLM\...\startupreg\OfferBox [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Program Files\OfferBox\OfferBox.exe

O53 - SMSR:HKLM\...\startupreg\Once Less Close Hole [Key] . (.Pas de propriétaire - Pas de description.) -- "C:\ProgramData\idol the each.a2rwxa"

O53 - SMSR:HKLM\...\startupreg\runner1 [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Windows\mrofinu2000352.exe

O69 - SBI: SearchScopes [HKCU] {0633EE93-1111-472f-A0FF-E1416B8B2EAA} - (Search) - http://www.pucuy.com/google?q={searchTerms}&sa=Search&cx=partner-pub-3546861938806019:fn51rv5o9ne&cof=FORID%3A10&ie=UTF-8&hl=fr

 

 

Cliquez ensuite sur-

Cliquer sur "OK", ce qui fait apparaître un carré à gauche de chaque ligne.

Cliquer sur "Tous" puis sur "Nettoyer".

Acceptez de Redémarrer pour achever le nettoyage.

Copier-coller le rapport de suppression dans la prochaine réponse.

 

Si besoin(au cas où vous n'auriez pas l'icône zhpfix)

Télécharger ZHPFix de Nicolas Coolman sur le bureau.

Sous Vista/7 clic-droit, "Exécuter En tant qu'Administrateur

Suivre les instructions qui apparaissent à l'écran.

Lancer ZHPFix (laisser la case cochée)

Cliquer ensuite sur le H

Copier-coller (Ctrl C CTRL V) toutes les lignes en vert (et seulement elles) dans le cadre blanc

Cliquer sur "Tous" puis sur "Nettoyer".

 

Téléchargez MBAM

 

Branchez tous les supports amovibles avant de faire ce scan (clé usb/disque dur externe etc)

Avant de lancer Mbam

Vous devez d'abord désactiver vos protections mais vous ne savez pas comment faire

Exécuter avec droits d'administrateur.

Sous Vista , désactiver l'Uac

 

Double cliquez sur l'icône Download_mbam-setup.exe pour lancer le processus d'installation.

Enregistrez le sur le bureau .

Fermer toutes les fenêtres et programmes

Suivez les indications (en particulier le choix de la langue et l'autorisation d'accession à Internet)

N'apportez aucune modification aux réglages par défaut et, en fin d'installation,

Vérifiez que les options Update et Launch soient cochées

MBAM démarrera automatiquement et enverra un message demandant à mettre à jour le programme avant de lancer une analyse.

cliquer sur OK pour fermer la boîte de dialogue..

Dans l'onglet "mise à jour", cliquez sur le bouton Recherche de mise à jour:

Si le pare-feu demande l'autorisation de connecter MBAM, acceptez.

Une fois la mise à jour terminée, allez dans l'onglet Recherche.

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

.L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

 

Si MBAM n'a rien trouvé, il le dira aussi.

Cliquez sur "Ok" pour poursuivre.

Fermez les navigateurs.

Cliquez sur Afficher les résultats .

 

Nettoyage

Relancez Mbam(Malewares'Bytes)

Sélectionnez "Exécuter un examen complet"

Cliquez sur "Rechercher"

L' analyse prendra un certain temps, soyez patient !

A la fin , un message affichera :

L'examen s'est terminé normalement.

Sélectionnez tout et cliquez sur Supprimer la sélection ,

MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.

puis ouvrir le Bloc-notes et y copier le rapport d'analyse qui peut être retrouvé sous l'onglet Rapports/logs.

Copiez-collez ce rapport dans la prochaine réponse.

[alainj77]

J'ai suivi a la lettre vos instructions pour ZHPFix, le PC a redémarré et oh miracle! je n'ai aucun rapport ni sur le bureau ni sur le disque dur.

Dois je recommencer avant de lancer MBAM?

Dois je retélécharger MBAM vu qu'il est déjà installé?

Dans le doute et n'ayant pas vos connaissances, je préfère demander plutôt que de tenter et de faire des erreurs.

[pear]

Bonjour,

 

Lancez Mbam sans en oublier les Mises à jour.