[Résolu] Demande d'aide pour finir une désinfection de PUP

[iMu13]

Bonjour,

 

j'aide une amie à débarrasser son ordinateur de PUP et peut-être autre chose.

J'ai utilisé MBAM puis CCleaner. Avant de nettoyer avec CCleaner, j'ai fait une sauvegarde du registre.

Ensuite, en regardant les demandes sur votre forum et les réponses, j'ai aussi utilisé AdwCleaner, JRT et SFTGC.

Enfin j'ai fait un diag avec ZHP Diag et refait encore un scan complet avec MBAM.

 

Il me semble cependant qu'il reste encore des trucs pas clairs, mais là j'ai besoin d'un avis d'expert....

 

Je poste ici les différents rapports obtenus :

 

MBAM 1 - MBAM 2

 

AdwCleaner R - AdwCleaner S

 

JRT

 

SFTGC

 

Merci par avance de votre aide!

Modifié le 7 octobre 2013 par iMu13

[Apollo]

Bonjour,

 

1) Ne jamais toucher au registre de Windows, surtout depuis Vista/7 et 8, il n'aime pas ça.

 

2) Ne jamais télécharger de programmes ou d'outils sur des sites alternatifs, en évitant comme la peste 01.net, Softonic, Ask, Eorezo etc. Toujours aller chez l'éditeur créateur de l'outil.

 

Si ton rapport ZHPDiag est récent, héberge-le stp sinon, fais un nouveau.

ZHPDiag :

• Télécharge ZHPDiag de Nicolas Coolman. et enregistre-le sur le BUREAU.
  
• Double-clique sur ZHPDiag.exe pour lancer l'installation
  
  • Important:
    Sous Vista et Windows 7/8 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

[*]L'outil a créé 2 icônes ZHPDiag et ZHPFix sur le Bureau.

[*]Double-clique sur ZHPDiag pour lancer l'exécution

• Important:
  Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

Clique sur Configurer.

[*]Clique sur le petit tournevis et clique sur TOUS.

Décocher 045 . Clic sur OK.

[*]Clique sur Rechercher pour lancer l'analyse. Tu patientes jusqu'à ce que le scan affiche 100%
Tu refermes ZHPDiag

[*]Le rapport ZHPDiag.txt se trouve sur le Bureau. (et sous c:\ZHP\ZHPDiag.txt)
Ce rapport étant trop long pour le forum, héberge le :

• soit directement sur le forum en pièce jointe dans ta réponse : Ajouter un fichier en pièce jointe sur le forum <<< Seulement pour le forum Vista-XP.fr!
• soit sur Cjoint et copie-colle le lien fourni dans ta réponse.

ou http://dl.free.fr/ en cas d'indisponibilité de cjoint.

@++

[iMu13]

Merci pour ta réponse Apollo. Effectivement, je lui ai répété tous tes très bons conseils.

Mais j'arrive un peu après la bataille... pour cette fois

 

Si je comprends bien le point numéro 1, il faut éviter d'utiliser Ccleaner sur Windows 8?

Dans ce cas, je réinstalle la sauvegarde du registre ou non? Si oui, comme je l'ai faite avant de passer tous les autres outils, ça ne posera pas de problèmes?

 

Voici le diag de ZHPDiag, que j'ai oublié de poster dans ma demande :

ZHPDiag

 

Merci encore du coup de main

[Apollo]

Bonjour,

 

 

il faut éviter d'utiliser Ccleaner sur Windows 8?

Si mais pas l'outil registre.

 

 

--------------------------------

ZHPFix :

 

• Ferme toutes les applications ouvertes

   

   

• Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau
  Important:
  Sous Vista et Windows 7/8 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur.

   

   

• Copie les lignes ci-dessous dans la fenêtre

sauf citation.

 

 

Script ZhpFix

R0 - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://www.delta-homes.com =>Toolbar.DeltaSearch
O3 - Toolbar: (no name) [64Bits] - [HKLM]{318A227B-5E9F-45bd-8999-7F8F10CA4CF5} Clé orpheline => Toolbar.Avast
[HKLM\Software\Wow6432Node\delta-homesSoftware] =>Toolbar.DeltaSearch
G1 - GCS: Preference [user Data\Default] http://start.iminent.com =>Adware.IMBooster
G0 - GCSP: Preference [user Data\Default][HomePage] http://start.iminent.com =>Adware.IMBooster
R1 - HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs = http://www.qvo6.com =>Hijacker.Qvo6
O23 - Service: Service Software Update (Software_update (Software_update) . (...) - C:\Program Files (x86)\Software\Update\SoftwareUpdate.exe (.not file.) =>Adware.Boxore
O39 - APT:Automatic Planified Task - C:\Windows\Tasks\SoftwareUpdateTaskMachineCore.job [930] => Adware.Boxore
O39 - APT:Automatic Planified Task - C:\Windows\Tasks\SoftwareUpdateTaskMachineUA.job [934] => Adware.Boxore
[MD5.00000000000000000000000000000000] [APT] [EPUpdater] (...) -- C:\Users\aline\AppData\Roaming\BABSOL~1\Shared\BabMaint.exe (.not file.) [0] =>Hijacker.BabSolution
[MD5.00000000000000000000000000000000] [APT] [softwareUpdateTaskMachineCore] (...) -- C:\Program Files (x86)\Software\Update\SoftwareUpdate.exe (.not file.) [0] =>Adware.Boxore
[MD5.00000000000000000000000000000000] [APT] [softwareUpdateTaskMachineUA] (...) -- C:\Program Files (x86)\Software\Update\SoftwareUpdate.exe (.not file.) [0] =>Adware.Boxore
O42 - Logiciel: Iminent - (.Iminent.) [HKLM][64Bits] -- {81FCC50B-950F-4063-8E4A-D99CAA4FBB1F} =>Adware.IMBooster
[HKCU\Software\Allin1Convert_8h] =>Adware.Allin1Convert
[HKCU\Software\BrowseFox] =>Adware.BrowseFox
[HKCU\Software\TutoTag] =>Spyware.AgenceExclusive
[HKCU\Software\Tutorials] =>Spyware.AgenceExclusive
[HKLM\Software\Wow6432Node\Allin1Convert_8h] =>Adware.Allin1Convert
[HKLM\Software\Wow6432Node\Tutorials] =>Spyware.AgenceExclusive
O43 - CFD: 13/09/2013 - 19:19:56 - [1,069] ----D C:\Program Files (x86)\Allin1Convert_8h =>Adware.Allin1Convert
O43 - CFD: 03/10/2013 - 10:30:48 - [0] ----D C:\Program Files (x86)\dalesearch =>Hijacker.Dalesearch
O68 - StartMenuInternet: <IEXPLORE.EXE> <Internet Explorer>[HKLM\..\Shell\open\Command] (...) -- C:\Program Files\Internet Explorer\iexplore.exe http://www.qvo6.com =>Hijacker.Qvo6
O90 - PUC: "B05CCF18F0593604E8A49DC9AAF4BBF1" . (.Iminent.) -- C:\Windows\Installer\{81FCC50B-950F-4063-8E4A-D99CAA4FBB1F}\imbooster.ico =>Adware.IMBooster
SS - | Auto 10/07/1658 0 | (Software_update) . (...) - C:\Program Files (x86)\Software\Update\SoftwareUpdate.exe =>Adware.Boxore
SS - | Demand 10/07/1658 0 | (Software_update_m) . (...) - C:\Program Files (x86)\Software\Update\SoftwareUpdate.exe =>Adware.Boxore
[HKLM\SYSTEM\CurrentControlSet\Services\Software_update (Software_update] =>Adware.Boxore^
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{81FCC50B-950F-4063-8E4A-D99CAA4FBB1F}] =>Adware.IMBooster^
[HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{2FA28606-DE77-4029-AF96-B231E3B8F827}] =>Toolbar.Babylon
[HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}] =>PUP.V9Software
[HKCU\Software\Tutorials] =>Spyware.AgenceExclusive
[HKLM\Software\Wow6432Node\Tutorials] =>Spyware.AgenceExclusive
[HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\29799DE249E7DBC459FC6C8F07EB8375] =>PUP.Tarma
[HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\0238BBE24EA3A70408B81E4BB89C15E5] =>PUP.Tarma
[HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UpgradeCodes\F1057DD419AED0B468AD8888429E139A] =>Adware.IMBooster
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{CD1A63BA-A08C-431B-9A34-F240AADC728D}] =>Adware.MyWebSearch
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{CD1A63BA-A08C-431B-9A34-F240AADC728D}] =>Adware.MyWebSearch
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{A4C2FB10-84C3-44EB-9F9E-860FA1D9A797}] =>Adware.Allin1Convert
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{A4C2FB10-84C3-44EB-9F9E-860FA1D9A797}] =>Adware.Allin1Convert
[HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Application\WsysSvc] =>PUP.eSafeSecurity
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{fbcbc43a-dca9-4192-a4c8-b57fd0f77d4d}] =>Adware.Allin1Convert
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{fbcbc43a-dca9-4192-a4c8-b57fd0f77d4d}] =>Adware.Allin1Convert
[HKCU\Software\Allin1Convert_8h] =>Adware.Allin1Convert
[HKCU\Software\AppDataLow\Software\Allin1Convert_8h] =>Adware.Allin1Convert
[HKLM\Software\Wow6432Node\Allin1Convert_8h] =>Adware.Allin1Convert
[HKCU\Software\AppDataLow\{1146AC44-2F03-4431-B4FD-889BC837521F}] =>PUP.OptimizerPro
[HKLM\Software\Wow6432Node\{1146AC44-2F03-4431-B4FD-889BC837521F}] =>PUP.OptimizerPro
[HKLM\Software\Classes\esrv.iminentESrvc] =>Adware.IMBooster
[HKLM\Software\Classes\esrv.iminentESrvc.1] =>Adware.IMBooster
[HKLM\Software\Wow6432Node\Classes\esrv.iminentESrvc] =>Adware.IMBooster
[HKLM\Software\Wow6432Node\Classes\esrv.iminentESrvc.1] =>Adware.IMBooster
C:\Program Files (x86)\Allin1Convert_8h =>Adware.Allin1Convert^
C:\Program Files (x86)\dalesearch =>Hijacker.Dalesearch^
[HKCU\Software\BrowseFox] =>Adware.BrowseFox^
[HKCU\Software\TutoTag] =>Spyware.AgenceExclusive^
C:\Windows\Installer\{81FCC50B-950F-4063-8E4A-D99CAA4FBB1F}\imbooster.ico =>Adware.IMBooster^
C:\Program Files (x86)\Software\Update\SoftwareUpdate.exe =>Adware.Boxore^

Firewallraz
emptytemp
emptyflash

 

 

 

Cliquer sur IMPORTER., cela devrait coller le contenu du presse papier dans la fenêtre ZHPFix.

 

• Le script doit automatiquement apparaitre dans ZHPFix.

   

  Clique sur le bouton GO pour lancer le nettoyage

 

 

• Valide par Oui la désinstallation des programmes si demandé.

   

   

• Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC

   

   

• Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.
  Le rapport ZHPFixReport.txt est enregistré sous C:\ZHP\ZHPFix.txt

 

Si le Bureau ne réapparaît pas presse Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , tape explorer.exe et valide.

 

@++

 

[iMu13]

Merci pour le script!

 

J'ai eu un message d'erreur pour Iminent.

Il semblait impossible de supprimer le fichier suivant : C:\\Users\aline\AppData\Local\Temp\Iminent\iminent.msi

J'ai donc annulé l'action pour continuer le script.

En regardant le log, j'ai tout de même l'impression qu'Iminent a bien été supprimé, ainsi que d'autres qui me posaient question (Allin1Convert et BrowseFow).

Tu me confirmes si tout est ok?

 

En tout cas, un très grand merci pour la rapidité et l'efficacité de ta réponse.

 

Voici le rapport demandé :

 

Rapport de ZHPFix 2013.10.1.2 par Nicolas Coolman, Update du 02/10/2013
Fichier d'export Registre :
Run by aline at 06/10/2013 11:33:49
High Elevated Privileges : OK
Windows 8 Home Premium Edition, 64-bit (Build 9200)

Corbeille vidée

========== Logiciels ==========
SUPPRIMÉ: Iminent

========== Clés du Registre ==========
SUPPRIMÉ: [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{81FCC50B-950F-4063-8E4A-D99CAA4FBB1F}]
SUPPRIMÉ: [HKLM\SOFTWARE\Classes\CLSID\{318A227B-5E9F-45bd-8999-7F8F10CA4CF5}]
SUPPRIMÉ: HKLM\Software\Wow6432Node\delta-homesSoftware
SUPPRIMÉ: HKCU\Software\Allin1Convert_8h
SUPPRIMÉ: HKCU\Software\BrowseFox
SUPPRIMÉ: HKCU\Software\TutoTag
SUPPRIMÉ: HKCU\Software\Tutorials
SUPPRIMÉ: HKLM\Software\Wow6432Node\Allin1Convert_8h
SUPPRIMÉ: HKLM\Software\Wow6432Node\Tutorials
SUPPRIMÉ: [HKLM\Software\Classes\Installer\Products\\B05CCF18F0593604E8A49DC9AAF4BBF1]
SUPPRIMÉ: [HKLM\Software\Classes\Installer\Features\B05CCF18F0593604E8A49DC9AAF4BBF1]
SUPPRIMÉ: Service: Software_update
SUPPRIMÉ: Service: Software_update_m
SUPPRIMÉ:* HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{2FA28606-DE77-4029-AF96-B231E3B8F827}
SUPPRIMÉ:* HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}
SUPPRIMÉ:* HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\29799DE249E7DBC459FC6C8F07EB8375
SUPPRIMÉ:* HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\0238BBE24EA3A70408B81E4BB89C15E5
SUPPRIMÉ:* HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UpgradeCodes\F1057DD419AED0B468AD8888429E139A
SUPPRIMÉ: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{CD1A63BA-A08C-431B-9A34-F240AADC728D}
SUPPRIMÉ: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{CD1A63BA-A08C-431B-9A34-F240AADC728D}
SUPPRIMÉ: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{A4C2FB10-84C3-44EB-9F9E-860FA1D9A797}
SUPPRIMÉ: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{A4C2FB10-84C3-44EB-9F9E-860FA1D9A797}
SUPPRIMÉ: HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Application\WsysSvc
SUPPRIMÉ: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{fbcbc43a-dca9-4192-a4c8-b57fd0f77d4d}
SUPPRIMÉ: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{fbcbc43a-dca9-4192-a4c8-b57fd0f77d4d}
SUPPRIMÉ: HKCU\Software\AppDataLow\Software\Allin1Convert_8h
SUPPRIMÉ: HKCU\Software\AppDataLow\{1146AC44-2F03-4431-B4FD-889BC837521F}
SUPPRIMÉ: HKLM\Software\Wow6432Node\{1146AC44-2F03-4431-B4FD-889BC837521F}
SUPPRIMÉ: HKLM\Software\Classes\esrv.iminentESrvc
SUPPRIMÉ: HKLM\Software\Classes\esrv.iminentESrvc.1

========== Valeurs du Registre ==========
SUPPRIMÉ: Toolbar: {318A227B-5E9F-45bd-8999-7F8F10CA4CF5}
ABSENT Valeur Standard Profile: FirewallRaz :
ABSENT Valeur Domain Profile: FirewallRaz :
SUPPRIMÉ: FirewallRaz (Domain) : {808F1451-4108-46FD-ADBB-F17324B5F0BD}
SUPPRIMÉ: FirewallRaz (Domain) : {E7985E1D-C36F-4787-80A8-6350D07E9266}

========== Eléments de donnée du Registre ==========
SUPPRIMÉ: R0 - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page
SUPPRIMÉ: R1 - HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs
SUPPRIMÉ: StartMenuInternet: C:\Program Files\Internet Explorer\iexplore.exe http://www.qvo6.com

========== Préférences navigateur ==========
PRESENT Chrome File: C:\Users\aline\AppData\Local\Google\Chrome\User Data\Default\Preferences
SUPPRIMÉ Chrome Site: http://start.iminent.com
SUPPRIMÉ Chrome Site: http://start.iminent.com
SUPPRIMÉ Chrome Site: http://start.iminent.com
SUPPRIMÉ Chrome Site: http://start.iminent.com
SUPPRIMÉ Chrome Site: http://start.iminent.com
SUPPRIMÉ Chrome Site: http://start.iminent.com
PRESENT Chrome File: C:\Users\aline\AppData\Local\Google\Chrome\User Data\Default\Preferences
ABSENT Chrome Site: http://start.iminent.com

========== Dossiers ==========
SUPPRIMÉ: C:\Program Files (x86)\Allin1Convert_8h
SUPPRIMÉ: C:\Program Files (x86)\dalesearch
SUPPRIME Temporaires Windows
SUPPRIME Flash Cookies

========== Fichiers ==========
SUPPRIMÉ: c:\windows\tasks\softwareupdatetaskmachinecore.job
SUPPRIMÉ: c:\windows\tasks\softwareupdatetaskmachineua.job
SUPPRIME Temporaires Windows
SUPPRIME Flash Cookies

========== Tache planifiée ==========
SUPPRIMÉ: EPUpdater
SUPPRIMÉ: SoftwareUpdateTaskMachineCore
SUPPRIMÉ: SoftwareUpdateTaskMachineCore
SUPPRIMÉ: SoftwareUpdateTaskMachineUA


========== Récapitulatif ==========
30 : Clés du Registre
5 : Valeurs du Registre
3 : Eléments de donnée du Registre
4 : Dossiers
4 : Fichiers
1 : Logiciels
9 : Préférences navigateur
4 : Tache planifiée


End of clean in 01mn 34s

========== Chemin de fichier rapport ==========
C:\Users\aline\AppData\Roaming\ZHP\ZHPFix[R1].txt - 06/10/2013 11:33:52 [4824]

[Apollo]

Bonjour,

 

1)

Fais ces vérifications de sécurité stp:

http://theknitter-apollo.xooit.com/p17644.htm

Ou ici: http://www.vista-xp.fr/forum/topic13109.html#p108827

 

-----------------------------------

2)

ESET ONLINE SCANNER

Télécharge ESET Online Scanner sur ton Bureau en cliquant sur ce logo:
http://download.eset.com/special/eos/esetsmartinstaller_enu.exe

• Double-clique sur le fichier esetsmartinstaller_enu.exe présent sur ton Bureau pour installer le scanner. Attention: si tu disposes de Windows VISTA, clique droit sur esetsmartinstaller_enu.exe puis sélectionne "exécuter en tant qu'administrateur"
• Accepte la licence en cochant la case "YES, i accept the terms of use", puis clique sur le bouton "Start"
• Une fois le scanner installé, configure-le en cochant la case "Remove found threats" et en cochant la case "Scan archives" de même que la case "scan for the potentially unsafe applications."
  
• Lance la recherche antivirale en cliquant sur le bouton "Start": l'outil se met à jour puis lance le scan: une barre de progression indique où en est la recherche
• Quand le scan est terminé, si des virus ont été détectés, clique sur la ligne "List of found threats":
  
• Une nouvelle fenêtre apparaît: clique sur "Export to text file" et enregistre le rapport sur ton Bureau en le nommant logESET.txt
• Clique sur le bouton "Back" pour retourner à l'interface précédente, puis coche la case "Uninstall application on close"
  
• Clique enfin sur le bouton "Finish" puis ferme la fenêtre du scanner
• Ouvre le fichier logESET sur ton Bureau et copie-colle son contenu dans ta prochaine réponse
  

Nota : ce scan peut être très long et prendre plusieurs heures.

 

@++

[iMu13]

Grâce à tes liens, j'ai pu faire toutes les mises à jour.

Il n'en manquait que deux...

 

Apparemment le scan d'ESET a détecté ZHPDiag comme un virus, rien d'autre.

Voici le log :

C:\Program Files (x86)\ZHPDiag\ZHPDiag.exe probably unknown NewHeur_PE virus deleted - quarantined

Je crois qu'on arrive au bout là, non?

J'attends le go pour changer le titre du post en Résolu!

 

Milles merci pour l'aide précieuse.

[Apollo]

Bonsoir,

 

Faux-positif d'ESET.

 

---------------------------------------

Désinstaller les outils spéciaux.

Télécharge DelFix sur ton bureau. http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/3-delfix
Lance-le et appuie sur le bouton "Supprimer les outils de désinfection". >> Exécuter.

NB, tu peux également cocher la case "Purger la restauration système", un nouveau point sera automatiquement créé. Conseillé quand le pc est désinfecté.

Delfix s'autodétruira ensuite.

 

-------------

Pense à éditer ton premier post pour ajouter "Résolu" devant le titre. Pour cela clique sur "Modifier" dans ton premier post. Tu pourras alors changer le titre.

Utilise pour ça, l'éditeur complet

@++

Modifié le 6 octobre 2013 par Apollo

[iMu13]

Enôôôôôôôrmes mercis pour la réactivité et l'efficacité!

 

Au top tu es Appolo!

 

(Je vais de ce pas, inculquer les bonnes manières du surf à ma copine ....)

 

Tcho!

[Apollo]

Bonsoir,

 

 

Je vais de ce pas, inculquer les bonnes manières du surf à ma copine

 

Bonne idée!

 

@++