Infections Multiples

[Goldust]

D'accord Apollo, je vais attendre un peu.

J'en profite pour vous remerciez du temps que vous me consacrez.

 

J'ai une question: vu que l'ordinateur marche à nouveau normalement malgré l'infection, puis je l'utiliser normalement ? Ou bien est ce plus prudent que je ne m'en serve que lorsque le problème sera entièrement résolu ?

 

 

Note: J'ai édité mon message précédent.

[Apollo]

Il vaut mieux ne faire que le strict nécessaire sur le web.

 

C'est normal qu'on essaie de trouver la solution, perso, il y a plus d'une semaine que cette saloperie m'agace, je veux sa peau.

 

Ok on va utiliser la console de récup si tu as modifié le nombre de secondes d'affichage de l'écran de choix de démarrages.

 

Redémarre ton pc et avec les flèches du clavier, sélectionne la console de recupération (recovery console) valide par la touche Enter.

 

Je n'ai pas eu le termps de préparer un "discours en conserve" rédigé en français mais je vais te diriger vers une page traduite par live.search: http://www.microsofttranslator.com/bv.aspx?from=&to=fr&a=http%3A%2F%2Fwww.bleepingcomputer.com%2Fforums%2Ftopic392645.html%2Fpage__st__15__p__2217394%23entry2217394

 

Si tu comprends l'anglais, vois la page d'origine: Rootkit problem: TDSS Killer Fails, Google redirects - Page 2

 

Si tu as une question, n'hésite pas.

 

NB: ne relance pas ComboFix comme demandé sur la page de bleeping computers.

 

@++

[Goldust]

Re,

Voila, j'ai effectué la manipulation, que dois je faire au redémarrage du PC ?

[Apollo]

Tu as fait le FIXMBR?

 

Si oui, on refera un ComboFix de contrôle mais on va s'occuper de cette saleté d'ask toolbar et les autres que te montrent ZHPDiag car cela crée pas mal de problèmes.

 

Télécharge Ad-Remover de C-XX et Enregistre-le sur le bureau.

 

http://www.teamxscript.org/adremoverTelechargement.html

 

Ferme toutes les applications ouvertes pour l'installer.

 

Sous XP: Double-clique, (Clic droit/exécuter comme administrateur pour Vista/7) sur l'icône placée sur le bureau.

 

Si le firewall se manifeste, accorde les autorisations à l'outil pour qu'il puisse travailler.

 

Clique sur Nettoyer sans passer par Scanner.

 

 

Le rapport se trouve aussi sous C:\Ad-Report Clean.

Copie/colle-le dans ta réponse stp.

 

La page d'accueil sera peut-être changée; il suffit de remettre sa page habituelle via les options internet.

 

@++

 

PS: je dois faire une course urgente, ne t'inquiète pas si je ne réponds pas de suite

 

@++

 

réessaie aussi TDSSkiller.

[Goldust]

Voila, le nettoyage est fini

 

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

 

Mis à jour par TeamXscript le 12/04/11

Contact: AdRemover[DOT]contact[AT]gmail[DOT]com

Site web: http://www.teamxscript.org

 

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 16:43:07 le 23/04/2011, Mode sans echec

 

Microsoft Windows XP Professionnel Service Pack 2 (X86)

Administrateur@ERIC ( )

 

============== ACTION(S) ==============

 

 

 

(!) -- Fichiers temporaires supprimés.

 

 

Clé supprimée: HKLM\Software\Classes\Interface\{D6094FC6-821F-474C-8D73-C13066CD178D}

Clé supprimée: HKLM\Software\Google\Chrome\Extensions\bjeikeheijdjdfjbmknpefojickbkmom

 

 

============== SCAN ADDITIONNEL ==============

 

**** Mozilla Firefox Version [4.0 (fr)] ****

 

HKLM_MozillaPlugins\@pandonetworks.com/PandoWebPlugin (x)

HKCU_MozillaPlugins\pandonetworks.com/PandoWebPlugin (x)

Searchplugins\bing.xml ( hxxp://www.bing.com/search)

Components\browsercomps.dll (Mozilla Foundation)

HKCU_Extensions|{1266764D-FC4F-4FA7-B63B-884D53B1680F} - C:\Documents and Settings\Administrateur\Application Data\NetAssistant\

 

-- C:\Documents and Settings\Administrateur\Application Data\Mozilla\FireFox\Profiles\1rdpc0gm.default --

User.js - browser.startup.homepage, hxxp://www.megacours.com/mot2.php/

Prefs.js - browser.startup.homepage, hxxp://www.megacours.com/mot2.php/

Prefs.js - browser.startup.homepage_override.buildID, 20110318052756

Prefs.js - browser.startup.homepage_override.mstone, rv:2.0

 

========================================

 

**** Internet Explorer Version [6.0.2900.2180] ****

 

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome

HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896

HKCU_Main|Start Page - hxxp://fr.msn.com/

HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896

HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm

HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

HKLM_Main|Start Page - hxxp://fr.msn.com/

HKLM_Toolbar|{8E5E2654-AD2D-48bf-AC2D-D17F00898D06} (C:\Program Files\AVAST Software\Avast\aswWebRepIE.dll)

BHO\{59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} (?)

BHO\{5C255C8A-E604-49b4-9D64-90988571CECB} (?)

BHO\{8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - "avast! WebRep" (C:\Program Files\AVAST Software\Avast\aswWebRepIE.dll)

 

========================================

 

C:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)

C:\Program Files\Ad-Remover\Backup: 13 Fichier(s)

 

C:\Ad-Report-CLEAN[1].txt - 23/04/2011 16:43:16 (482 Octet(s))

 

Fin à: 16:44:28, 23/04/2011

 

============== E.O.F ==============

 

 

TDSSKiller marche !!!!

 

Il a analysé 220 objets et n'a rien trouvé d'anormal.

 

Voici le rapport: http://www.cijoint.fr/cjlink.php?file=cj201104/cij52XW82I.txt

 

Néanmoins le diagnostique ZHP détecte encore des choses:

http://www.cijoint.fr/cjlink.php?file=cj201104/cijWXui4qI.txt

Modifié le 23 avril 2011 par Goldust

[Apollo]

De retour,

 

J'ai été "retardé" en chemin mais quand un ancien d'aciérie rencontre un vieux de la vieille de l'aciérie, ils se racontent... des souvenirs. C'est pas tous les jours qu'on rencontre de vieux camarades de boulot.

 

Alors cela a bien fonctionné, tant mieux, mais quand tout sera clean, tu devras en profiter pour sauvegarder le mbr sur un support externe.

 

Je vais regarder le rapport et je re.

 

@++

[Apollo]

Bip,

 

ZHPFix :

 

• Ferme toutes les applications ouvertes
   
  
• Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau
  Important:
  Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur.
   
  
• Clique sur H .
   
  
• Copie-colle les lignes ci-dessous dans la fenêtre

 

O42 - Logiciel: NetAssistant - (.Freeze.com.) [HKLM] -- {1266764D-FC4F-4FA7-B63B-884D53B1680F}     
O42 - Logiciel: NetAssistant for Firefox - (.Freeze.com.) [HKCU] -- NetAssistant    
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe    
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe    
[HKCR\CLSID\{B1549E58-3894-11D2-BB7F-00A0C999C4C1}]      
[HKLM\Software\Classes\CLSID\{B1549E58-3894-11D2-BB7F-00A0C999C4C1}]   
emptytemp

 

• Clique sur l'icone représentant la lettre H (« coller les lignes Helper »). Le script doit automatiquement apparaitre dans ZHPFix, sinon, colle-le.
   
  Clique sur le bouton GO pour lancer le nettoyage

 

• Valide par Oui la désinstallation des programmes si demandé
   
  
• Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC
   
  
• Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.
  Le rapport ZHPFixReport.txt est enregistré sous C:\Program files\ZHPFix\ZHPFixReport.txt

 

@++

[Goldust]

Re,

Je vais manger et je fais ca

 

Ca fait toujours plaisir de recroiser une ancienne connaissance

[Goldust]

Voila le rapport, apparemment 2 clés n'ont pas put être supprimée.

 

Rapport de ZHPFix 1.12.3278 par Nicolas Coolman, Update du 21/04/2011

Fichier d'export Registre :

Run by Administrateur at 23/04/2011 19:44:38

Windows XP Professional Service Pack 2 (Build 2600)

Web site : ZHPFix Fix de rapport

 

========== Logiciel(s) ==========

O42 - Logiciel: NetAssistant for Firefox - (.Freeze.com.) [HKCU] -- NetAssistant => Logiciel supprimé avec succès

 

========== Clé(s) du Registre ==========

O42 - Logiciel: NetAssistant - (.Freeze.com.) [HKLM] -- {1266764D-FC4F-4FA7-B63B-884D53B1680F} => Clé supprimée avec succès

[HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\NetAssistant] => Clé supprimée avec succès

HKCR\CLSID\{B1549E58-3894-11D2-BB7F-00A0C999C4C1} => Clé non supprimée

HKLM\Software\Classes\CLSID\{B1549E58-3894-11D2-BB7F-00A0C999C4C1} => Clé non supprimée

 

========== Valeur(s) du Registre ==========

O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Valeur supprimée avec succès

O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe => Valeur absente

 

========== Dossier(s) ==========

Dossiers temporaires Windows supprimés: 43

 

========== Fichier(s) ==========

Fichiers temporaires Windows supprimés : 222

 

 

========== Récapitulatif ==========

4 : Clé(s) du Registre

2 : Valeur(s) du Registre

1 : Dossier(s)

1 : Fichier(s)

1 : Logiciel(s)

 

 

End of the scan

Modifié le 23 avril 2011 par Goldust

[Apollo]

Précision: quand je dis de faire une sauvegarde du mbr, ça veut dire de le copier sur un support externe en cas de besoin.

 

Il faudra faire des tas de mises à jour mais on va poursuivre la désinfection: fais bien attention aux indications en rouge pour MBAM

 

1)Télécharger ATF Cleaner par Atribune.

• Installe-le sur le bureau. (A conserver car très utile après chaque séance de surf)
   
  Double-clique ATF-Cleaner.exe afin de lancer le programme.
  --> Sous Vista/Seven: Clic droit/exécuter en temps qu'administrateur.
   
  Sous l'onglet Main, choisis : Select All
  Cliquer sur le bouton Empty Selected
  

Si tu utilises le navigateur Firefox :

• Clique Firefox au haut et choisis : Select All
  Cliquer le bouton Empty Selected
  NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.
  

Si tu utilises le navigateur Opera :

• Clique Opera au haut et choisis : Select All
  Cliquer le bouton Empty Selected
  NOTE : Si tu veux conserver tes mots de passe sauvegardés, cliquer No à l'invite.
  

Clique Exit, du menu principal, afin de fermer le programme.

Pour obtenir du Support technique, double-clique l'adresse électronique située au bas de chacun des menus.

 

-------------------------------------

2) Télécharge Malwarebytes' Anti-Malware (MBAM)

 

Ou ici: Télécharger Malwarebytes' Anti-Malware sur 01net Telecharger.com

 

Si MBAM est déjà installé, aller directement à la mise à jour puis à l'analyse.

 

Ce logiciel est à garder.

 

Uniquement en cas de problème de mise à jour:

 

Télécharger mises à jour MBAM

 

Exécute le fichier après l'installation de MBAM

 

Connecter les supports amovibles (clés usb etc.) avant de lancer l'analyse.

 

• Double clique sur le fichier téléchargé pour lancer le processus d'installation.
  
• Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
  
• Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
  
• Sélectionne "Exécuter un examen complet"
  
• Clique sur "Rechercher"
  
• L'analyse démarre, le scan est relativement long, c'est normal.
  
• A la fin de l'analyse, un message s'affiche :

  L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.

  Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
  
• Ferme tes navigateurs.
  
• Si des malwares ont été détectés, clique sur Afficher les résultats.
  Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
  
• MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

Si MBAM demande à redémarrer le pc, fais-le.

 

!!! Ne pas vider la quarantaine sans avis !!! (en cas de faux-positifs toujours possibles.)

 

Malwarebytes' Anti-Malware Support - Malwarebytes Forum

 

@++