[Résolu] Privacy Protection

al77fr2 · le 28 novembre 2011

Bonjour,

On m'a confié un pc pour réparation.

Celui-ci est malheureusement infecté par Privacy Protection.

Je suspecte la présence d'autres malwares.

Voici un rapport préliminaire :

Mon lien Cjoint

Merci d'avance de votre aide.

Modifié le 28 novembre 2011 par al77fr2

Apollo · le 28 novembre 2011

Bonsoir,

C'est en effet bien infecté.

Télécharge RogueKiller (par Tigzy) sur le bureau

(A partir d'une clé USB si le Rogue empêche l'accès au net) .

RogueKiller

Quitte tous les programmes en cours

Lance RogueKiller.exe.

Sous Vista/Seven, faire un clic droit et choisir Exécuter en tant qu'administrateur.

Si une détection apparait en haut de la fenêtre, tape 2 (mode REMOVE) et valide par la touche Entrer.

(Si le programme a été bloqué, renommer en RogueKiller.com et recommencer)

Si les raccourcis ont disparu, relance l'outil en mode 6.

Poste le rapport RKreport[2].txt.

++

al77fr2 · le 28 novembre 2011

RogueKiller V6.1.10 [18/11/2011] par Tigzy
mail: tigzyRK<at>gmail<dot>com
Remontees: [url=http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html][RogueKiller] Remontées (1/37)[/url]
Blog: [url=http://tigzyrk.blogspot.com]tigzy-RK[/url]

Systeme d'exploitation: Windows 7 (6.1.7601 Service Pack 1) 32 bits version
Demarrage : Mode normal
Utilisateur: elodie [Droits d'admin]
Mode: Suppression -- Date : 28/11/2011 17:35:33

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 8 ¤¤¤
[sUSP PATH] HKCU\[...]\Run : binternet (C:\Users\elodie\binternet.exe) -> DELETED
[sUSP PATH] HKCU\[...]\Run : tempHome (C:\Users\elodie\AppData\Local\Temp\racourci.vbe) -> DELETED
[sUSP PATH] HKCU\[...]\Run : Protection (C:\Users\elodie\Protection1254.exe) -> DELETED
[sUSP PATH] HKCU\[...]\Run : {333E6195-0288-1F39-84EB-082CE9041102} (C:\Users\elodie\AppData\Roaming\Qeohdii\dimiil.exe) -> DELETED
[sUSP PATH] HKCU\[...]\Run : Privacy Protection (C:\Users\elodie\AppData\Roaming\privacy.exe) -> DELETED
[sUSP PATH] Protection.lnk : C:\Users\elodie\Protection.exe -> DELETED
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [LOADED] ¤¤¤

¤¤¤ Infection : Rogue.AntiSpy-SP ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤


Termine : << RKreport[2].txt >>
RKreport[1].txt ; RKreport[2].txt

Apollo · le 28 novembre 2011

Stp, ne place pas les rapports entre des balises, merci.

Télécharge AdwCleaner par Xplode: Les Téléchargements - Outils de Xplode - AdwCleaner

Enregistre-le sur le bureau (et pas ailleurs).

Si tu es sous XP double clique sur AdwCleaner pour lancer l'outil.

Si tu es sous Vista/Seven, clique droit sur AdwCleaner et choisis exécuter en temps qu'administrateur.

Clique sur Suppression et laisse travailler l'outil.

Le rapport va s'ouvrir en fichier texte; copie la totalité de son contenu et colle-le dans ta réponse.

Le rapport est en outre sauvegardé sous C:\AdwCleaner[s1]

-------------------------

Modifié le 28 novembre 2011 par Apollo

al77fr2 · le 28 novembre 2011

# AdwCleaner v1.319 - Rapport créé le 28/11/2011 à 18:11:48

# Mis à jour le 20/11/11 à 11h par Xplode

# Système d'exploitation : Windows 7 Starter Service Pack 1 (32 bits)

# Nom d'utilisateur : elodie - ELODIE-PC (Administrateur)

# Exécuté depuis : C:\Users\elodie\Downloads\adwcleaner.exe

# Option [suppression]

***** [services] *****

***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Users\elodie\AppData\Roaming\FissaSearch

Dossier Supprimé : C:\Users\elodie\AppData\Roaming\OfferBox

Dossier Supprimé : C:\Program Files\Ask.com

Dossier Supprimé : C:\Program Files\OfferBox

Fichier Supprimé : C:\Users\elodie\F_ajour.jar

Fichier Supprimé : C:\Users\elodie\errorlog.tmp

***** [Registre] *****

Clé Supprimée : HKCU\Software\FissaSearch

Clé Supprimée : HKCU\Software\Offerbox

Clé Supprimée : HKLM\SOFTWARE\Offerbox

Clé Supprimée : HKLM\SOFTWARE\Classes\OfferBox.OfferBoxServer

Clé Supprimée : HKLM\SOFTWARE\Classes\OfferBox.OfferBoxServer.1

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{A7E8C343-7860-4A95-9AA8-AAF30D0F6D1E}

Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2796BAE63F1801E277261BA0D77770028F20EEE4

Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{6612AFDD-34AD-4B89-A236-7E6D07C3FDCD}

Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{ED85AEBE-F834-4088-B5D3-97EB2478A6CD}

Clé Supprimée : HKLM\SOFTWARE\Google\Chrome\Extensions\bjeikeheijdjdfjbmknpefojickbkmom

Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\MenuExt\Recherche avec search-web

Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E}

Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{557C21FE-7274-410D-853E-9ED4471BF193}

Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{b41306c6-96d0-442a-bcc4-b0f621e82ce9}

Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440}

Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{00000000-6E41-4FD3-8538-502F5495E5FC}

Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440}

Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\chat-land.org

Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\New Windows\Allow [*.chat-land.org]

Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{D4027C7F-154A-4066-A1AD-4243D8127440}]

Valeur Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Run [optical]

Valeur Supprimée : HKLM\SOFTWARE\Mozilla\Firefox\Extensions [[email protected]]

***** [Navigateurs] *****

-\\ Internet Explorer v8.0.7601.17514

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Main - Start Page] = hxxp://pentoweb.net/ap8.php --> hxxp://www.google.fr

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Main - Search Page] = hxxp://www.search-web.net --> hxxp://www.google.fr

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Main - Default_Page_URL] = hxxp://www.search-web.net --> hxxp://www.google.fr

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Main - Default_Secondary_Page_URL] = hxxp://www.search-web.net --> hxxp://www.google.fr

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Main - Start Page_bak] = hxxp://www.search-web.net --> hxxp://www.google.fr

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Main - Search Bar] = hxxp://www.search-web.net --> hxxp://www.google.fr

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Main - Default_Search_URL] = hxxp://www.search-web.net/keyword/ --> hxxp://www.google.fr

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Main - SearchMigratedDefaultName] = search-web.net --> hxxp://www.google.fr

Remplacé : [HKCU\Software\Microsoft\Internet Explorer\Main - SearchMigratedDefaultURL] = hxxp://www.search-web.net/results.php?cx=partner-pub-4817357351118828%3Avhr5ng8vpns&cof=GIMP%3ACCCCCC%3BT%3A000000%3BALC%3A551a8b%3BGFNT%3AB7B7B7%3BLC%3A2200cc%3BBGC%3AFFFFFF%3BVLC%3A551a8b%3BGALT%3A008B45%3BFORID%3A10%3BDIV%3A%23FFFFF0%3B&ie=iso-8859-1&oe=iso-8859-1&q={searchTerms} --> hxxp://www.google.fr

-\\ Google Chrome v0.0.0.0

Fichier : C:\Users\elodie\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[s1].txt - [4461 octets] - [28/11/2011 18:11:48]

*************************

Dossier Temporaire : 89 dossier(s)et 963 fichier(s) supprimés

########## EOF - C:\AdwCleaner[s1].txt - [4683 octets] ##########

Apollo · le 28 novembre 2011

Re,

Télécharge TDSSKiller de Kaspersky sur ton bureau.

Ou: http://support.kaspersky.com/fr/downloads/utils/tdsskiller.zip ; décompresse le zip.

Double-clique sur TDSSKiller.exe

L'écran de TDSSKiller s'affiche:

- Laisser cochées les 2 options par défaut -Visible via l'onglet "change parameter".

Et coche les 2 options supplémentaires:

Clique sur Start scan pour lancer l'analyse.

- Si une menace est détectée (Threats detected) vérifie que, suivant le cas:

En général, laisse les options proposées par défaut par l'outil

l'option "delete" (effacer) est bien cochée pour la famille TDL2

l'option "delete" (effacer) est bien cochée pour tout objet de la forme chiffre_aléatoire:chiffre_aléatoire.exe

l'option "delete" (effacer) est bien cochée pour tout service de la forme chiffre et/ou lettre aléatoire (hidden file)

l'option "cure" (réparer ) pour la famille TDL3.

l'option "cure" (réparer ) pour la famille tdl4(\HardDisk0\MBR).

l'option "cure" (réparer) pour la famille Rootkit.Win32.ZAccess

puis clique sur Continue.

- laisse l'action par défaut "skip" (sauter) pour les "suspicious objects. low risks", avant de savoir ce que c'est, puis clique sur Continue.

En fin d'analyse il peut être demandé de relancer la machine:

clique sur Reboot Now.

- Si aucun reboot n'est demandé, clique sur le bouton Report et poste le contenu du fichier qui s'affiche.

- Si un reboot est demandé, aprés redémarrage tu trouveras le contenu du rapport de TDSSKiller ici:

SystemDrive\TDSSKiller.Version_Date_Heure_log.txt)

[systemDrive représente la partition sur laquelle est installé le système, généralement C:]

+++

al77fr2 · le 28 novembre 2011

Unsigned file

Suspicious file, medium risk

TrueSight.sys

MD5 : f69641efdb18acb4753b0155f7deed5

Skip ou delete ?

Apollo · le 28 novembre 2011

Skip sauf si l'outil conseille delete.

ensuite:

1) Télécharger ATF Cleaner par Atribune.

Installe-le sur le bureau. (A conserver car très utile après chaque séance de surf)

Archive-Host | Hébergement de fichiers et Solutions Web

|MG| ATF Cleaner 3.0.0.2 Download

Double-clique ATF-Cleaner.exe afin de lancer le programme.
--> Sous Vista/7: Clic droit/exécuter en temps qu'administrateur.

Sous l'onglet Main, choisis : Select All
Cliquer sur le bouton Empty Selected

Si tu utilises le navigateur Firefox :

Clique Firefox au haut et choisis : Select All
Cliquer le bouton Empty Selected
NOTE : Si tu veux conserver tes mots de passe sauvegardés, clique No à l'invite.

Si tu utilises le navigateur Opera :

Clique Opera au haut et choisis : Select All
Cliquer le bouton Empty Selected
NOTE : Si tu veux conserver tes mots de passe sauvegardés, cliquer No à l'invite.

Clique Exit, du menu principal, afin de fermer le programme.

Pour obtenir du Support technique, double-clique l'adresse électronique située au bas de chacun des menus.

--------------------

2) Télécharge Malwarebytes' Anti-Malware (MBAM).

Malwarebytes : Malwarebytes Anti-Malware PRO removes malware including viruses, spyware, worms and trojans, plus it protects your computer clique pour la version FREE et enregistre l'exécutable sur le bureau.

Si MBAM est déjà installé, aller directement à la mise à jour puis à l'analyse.

Ce logiciel est à garder.

Uniquement en cas de problème de mise à jour:

Télécharger mises à jour MBAM

Exécute le fichier après l'installation de MBAM

Connecter les supports amovibles (clés usb etc.) avant de lancer l'analyse.

Double clique sur le fichier téléchargé pour lancer le processus d'installation.
Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour": si le pare-feu demande l'autorisation à MBAM de se connecter, accepte.
Une fois la mise à jour terminée, rends-toi dans l'onglet "Recherche".
Sélectionne "Exécuter un examen complet"
Clique sur "Rechercher"
L'analyse démarre, le scan est relativement long, c'est normal.
A la fin de l'analyse, un message s'affiche :
L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés.
Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi.
Ferme tes navigateurs.
Si des malwares ont été détectés, clique sur Afficher les résultats.
Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse. Copie-colle ce rapport et poste-le dans ta prochaine réponse.

Si MBAM demande à redémarrer le pc, fais-le.

Si au redémarrage Windows te dit qu'il a bloqué certains programmes de démarrage, clique sur la bulle puis sur Exécuter les programmes bloqués/Malwarebytes Anti-Malware.

@++

al77fr2 · le 28 novembre 2011

Malwarebytes' Anti-Malware 1.51.2.1300

www.malwarebytes.org

Version de la base de données: 8258

Windows 6.1.7601 Service Pack 1

Internet Explorer 8.0.7601.17514

28/11/2011 22:17:46

mbam-log-2011-11-28 (22-17-46).txt

Type d'examen: Examen complet (C:\|D:\|Q:\|)

Elément(s) analysé(s): 282485

Temps écoulé: 2 heure(s), 24 minute(s), 15 seconde(s)

Processus mémoire infecté(s): 0

Module(s) mémoire infecté(s): 0

Clé(s) du Registre infectée(s): 0

Valeur(s) du Registre infectée(s): 1

Elément(s) de données du Registre infecté(s): 0

Dossier(s) infecté(s): 0

Fichier(s) infecté(s): 3

Processus mémoire infecté(s):