[Résolu] PC surpollué de pubs, lent, navigation Internet ralentie (2)

[Félinette]

Bonjour,

 

J'ai le même pb, plein de pubs, j'ai réussi à me débarasser de nationzoom mais pas de l'ensemble de ce qui pollue.

Diag : http://cjoint.com/data/0Ain7AohJdT.htm

 

Merci pour votre aide

Cé.

[Invité Notpa]

Félinette,

 

Bienvenu sur Zébulon !

 

Merci de ne pas te raccrocher à un sujet déjà existant dans le forum Analyses et éradication malwares. J'ai scindé ton post pour en faire un sujet à part. Même si les symptômes sont différents, les PCs sont différents dans leur contenu et environnement.

 

Sujet d'origine : http://forum.zebulon.fr/pc-surpollue-de-pubs-lent-navigation-internet-ralentie-t205417.html

 

Cordialement

 

Notpa

[Apollo]

Bonsoir,

 

1) Télécharge Junkware Removal Tool sur le bureau: http://www.bleepingcomputer.com/download/junkware-removal-tool/

Site éditeur: http://thisisudax.org/

Sous XP, double-clique sur l'icône et presse une touche lorsque cela sera demandé.

Sous Vista/7/8, clic droit/exécuter en temps qu'administrateur.

L'outil peut demander si on souhaite vérifier la présence d'une nouvelle version Y/N >> taper Y.
S'il découvre une version obsolète, il le dira et devrez presser une touche. L'outil se fermera.

JRT_New sera créé sur le bureau;

Jette l'ancien JRT et renomme JRT_New en JRT .

Si c'est déjà la bonne version , il commencera sa recherche de malwares normalement. Patience svp.

Afin de ne pas fausser le rapport, ne passer l'outil qu'une seule fois svp!

Si l'antivirus fait des siennes: désactive-le provisoirement. Si tu ne sais pas comment faire, reporte-toi à cet article.

Poste le rapport généré à la fin de l'analyse.

NB: Le bureau disparaitra un instant, c'est normal.

>>>Si le rapport est long, l'héberger ici: http://cjoint.com ou http://dl.free.fr/

------------------------------
*** Si tu as une ancienne version d'AdwCleaner, lance-le et clique sur désinstaller.***

2) Télécharge AdwCleaner par Xplode: http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/28-adwcleaner

Enregistre-le sur le bureau (et pas ailleurs).

Afin de ne pas fausser le rapport, ne passer l'outil qu'une seule fois svp!

Si tu es sous XP double clique sur AdwCleaner pour lancer l'outil.
Si tu es sous Vista/Seven, clique droit sur AdwCleaner et choisis exécuter en temps qu'administrateur.

Clique sur Scanner et laisse travailler l'outil.

Cliquer sur Nettoyer, le bouton sera accessible.

Le rapport va s'ouvrir en fichier texte; copie la totalité de son contenu et colle-le dans ta réponse.

Le rapport est en outre sauvegardé sous C:\AdwCleaner[s0]

NB: Si l'outil "cale" en mode normal, le lancer en mode sans échec: http://www.vista-xp.fr/forum/topic93.html

A lire absolument: http://www.vista-xp.fr/forum/topic5482.html
http://www.vista-xp.fr/forum/topic10389.html

-------------------------

@++

[Félinette]

Bonjour,

 

Merci pour votre réponse. Sinon, c'est sans doute pas cool pour vous mais - comme ça fait flipper de voir son ordi pourrir - j'ai fait un scanne avec Malwarebytes et Adwcleaner avant d'attendre votre réponse, je réalise que ça va surement fausser votre analyse (si besoin je peux refaire un diag).

 

Rapport JRT + Adw (à suivre dans le fichier) sur : http://cjoint.com/data/0AjqdZbE2Td.htm

 

J'ai bien pris note de vos recommendations de lecture (mais je le savais), surtout, j'ai transmis à mon compagnon qui s'était laissé avoir...

 

merci encore

Modifié le 9 janvier 2014 par Félinette

[Apollo]

Bonsoir,

 

Poster le rapport de MBAM svp.

 

----------------------------

Fais ces vérifications de sécurité stp:

http://theknitter-apollo.xooit.com/p17644.htm

Ou ici: http://www.vista-xp.fr/forum/topic13109.html#p108827

 

 

------------------------

Faire un nouveau scan ZHPDiag et héberger le rapport.

 

@++

[Félinette]

Les pubs intempestives ont disparu (au moins pour le moment)...

 

Alors le lien du nouveau diag (qui n'a pas l'air terrible) : http://cjoint.com/data/0AjuFNPyust.htm

et le rapport Mbam :

Malwarebytes Anti-Malware (Essai) 1.75.0.1300
www.malwarebytes.org

Version de la base de données: v2014.01.08.05

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 11.0.9600.16476
Céline :: CÉLINE-PC [administrateur]

Protection: Activé

09/01/2014 08:50:50
mbam-log-2014-01-09 (08-50-50).txt

Type d'examen: Examen complet (C:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 381197
Temps écoulé: 1 heure(s), 13 minute(s), 13 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 3
C:\Users\Céline\AppData\Local\Temp\CT3319415 (PUP.Optional.Conduit.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Céline\AppData\Roaming\newnext.me (PUP.Optional.NextLive.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Céline\AppData\Roaming\newnext.me\cache (PUP.Optional.NextLive.A) -> Mis en quarantaine et supprimé avec succès.

Fichier(s) détecté(s): 11
C:\Users\Céline\AppData\Local\Temp\nsf60C0.exe (PUP.Optional.SearchProtect.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Céline\AppData\Local\Temp\nsf62E3.exe (PUP.Optional.SearchProtect.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Céline\AppData\Local\Temp\nsf94D.exe (PUP.Optional.SearchProtect.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Céline\AppData\Local\Temp\nsh85BB.exe (PUP.Optional.SearchProtect.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Céline\AppData\Local\Temp\nsk4D8.exe (PUP.Optional.SearchProtect.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Céline\AppData\Local\Temp\nsk6FB.exe (PUP.Optional.SearchProtect.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Céline\AppData\Local\Temp\nsu6515.exe (PUP.Optional.SearchProtect.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Céline\AppData\Local\Temp\CT3319415\ddt.csf (PUP.Optional.Conduit.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Céline\AppData\Roaming\newnext.me\nengine.cookie (PUP.Optional.NextLive.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Céline\AppData\Roaming\newnext.me\nengine.dll (PUP.Optional.NextLive.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\Céline\AppData\Roaming\newnext.me\cache\spark.bin (PUP.Optional.NextLive.A) -> Mis en quarantaine et supprimé avec succès.

(fin)

Bonne soirée

[Apollo]

ZHPFix :

 

• Ferme toutes les applications ouvertes

   

   

• Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau
  Important:
  Sous Vista et Windows 7/8 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur.

   

   

• Copie les lignes ci-dessous dans la fenêtre

sauf citation.

 

 

 

Script ZHPFix

G1 - GCS: Preference [user Data\Default] http://www.nationzoom.com =>Hijacker.NationZoom
G2 - GCE: Preference [user Data\Default] [flpcjncodpafbgdpnkljologafpionhb] Managera v.0.1 (Activé)
G2 - GCE: Preference [user Data\Default] [ifohbjbgfchkkfhphahclmkpgejiplfo] Lightning Newtab v.1.1.8.4, (Désactivé)
O4 - HKLM\..\Wow6432Node\Run: [fst_fr_50] Clé orpheline
O43 - CFD: 18/11/2013 - 19:31:26 - [2,005] ----D C:\ProgramData\InstallMate
O43 - CFD: 09/01/2014 - 22:11:55 - [1,224] ----D C:\Users\Céline\AppData\Roaming\newnext.me
O43 - CFD: 06/01/2014 - 21:41:09 - [1,224] ----D C:\Users\Céline\AppData\Local\genienext
[MD5.4D875BDC1B855F4622FE05DFCE802A3E] [sPRF][07/01/2014] (.Skytech Co., Ltd. - Skytech.) -- C:\Users\Céline\AppData\Local\Temp\adks_NationZoom_20131230.exe [564888]
[MD5.32DCED18FFFEA0035E4FA975CA0AE8BE] [sPRF][22/04/2013] (.The Software Group - Software Update Setup.) -- C:\Users\Céline\AppData\Local\Temp\BoxoreInstaller.exe [620656]
[MD5.C5638426CEDAD3A4CAFAB83AB530B4BE] [sPRF][07/01/2014] (.Box ore - Box ore.) -- C:\Users\Céline\AppData\Local\Temp\OBBoxore.exe [663269]
[HKLM\Software\Google\Chrome\Extensions\ifohbjbgfchkkfhphahclmkpgejiplfo]
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:fst_fr_50
C:\Users\Céline\AppData\Local\Google\Chrome\User Data\Default\Extensions\ifohbjbgfchkkfhphahclmkpgejiplfo
C:\ProgramData\InstallMate
C:\Users\Céline\AppData\Local\Temp\adks_NationZoom_20131230.exe
C:\Users\Céline\AppData\Local\Temp\BoxoreInstaller.exe
C:\Users\Céline\AppData\Local\Temp\OBBoxore.exe
[MD5.C67BCF6441E378371F0D6EEFB7EF0861] [sPRF][16/12/2013] (.Conduit - SP Usage Sender.) -- C:\Users\Céline\AppData\Local\Temp\nsf60C0.exe [167812]
[MD5.C67BCF6441E378371F0D6EEFB7EF0861] [sPRF][16/12/2013] (.Conduit - SP Usage Sender.) -- C:\Users\Céline\AppData\Local\Temp\nsf62E3.exe [167812]
[MD5.C67BCF6441E378371F0D6EEFB7EF0861] [sPRF][16/12/2013] (.Conduit - SP Usage Sender.) -- C:\Users\Céline\AppData\Local\Temp\nsf94D.exe [167812]
[MD5.C67BCF6441E378371F0D6EEFB7EF0861] [sPRF][16/12/2013] (.Conduit - SP Usage Sender.) -- C:\Users\Céline\AppData\Local\Temp\nsh85BB.exe [167812]
[MD5.C67BCF6441E378371F0D6EEFB7EF0861] [sPRF][16/12/2013] (.Conduit - SP Usage Sender.) -- C:\Users\Céline\AppData\Local\Temp\nsk4D8.exe [167812]
[MD5.C67BCF6441E378371F0D6EEFB7EF0861] [sPRF][16/12/2013] (.Conduit - SP Usage Sender.) -- C:\Users\Céline\AppData\Local\Temp\nsk6FB.exe [167812]
[MD5.C67BCF6441E378371F0D6EEFB7EF0861] [sPRF][16/12/2013] (.Conduit - SP Usage Sender.) -- C:\Users\Céline\AppData\Local\Temp\nsu6515.exe [167812]
[HKLM\Software\Wow6432Node\Microsoft\Tracing\BingBar_RASAPI32]
C:\Users\Céline\AppData\Local\Temp\nsf60C0.exe
C:\Users\Céline\AppData\Local\Temp\nsf62E3.exe
C:\Users\Céline\AppData\Local\Temp\nsf94D.exe
C:\Users\Céline\AppData\Local\Temp\nsh85BB.exe
C:\Users\Céline\AppData\Local\Temp\nsk4D8.exe
C:\Users\Céline\AppData\Local\Temp\nsk6FB.exe
C:\Users\Céline\AppData\Local\Temp\nsu6515.exe
firewallraz
shotcutfix
proxyfix
emptytemp
emptyflash

 

Cliquer sur IMPORTER., cela devrait coller le contenu du presse papier dans la fenêtre ZHPFix.

 

• Le script doit automatiquement apparaitre dans ZHPFix.

   

  Clique sur le bouton GO pour lancer le nettoyage

 

 

• Valide par Oui la désinstallation des programmes si demandé.

   

   

• Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC

   

   

• Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.
  Le rapport ZHPFixReport.txt est enregistré sous C:\ZHP\ZHPFix.txt

 

Si le Bureau ne réapparaît pas presse Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , tape explorer.exe et valide.

 

@++

Modifié le 9 janvier 2014 par Apollo

[Félinette]

Voici le rapport :

 

Rapport de ZHPFix 2013.12.14.5 par Nicolas Coolman, Update du 06/12/2013
Fichier d'export Registre :
Run by Céline at 10/01/2014 10:39:19
High Elevated Privileges : OK
Windows 7 Home Premium Edition, 64-bit Service Pack 1 (Build 7601)

Corbeille vidée (00mn 06s)

========== Processus mémoire ==========
SUPPRIMÉ: Memory Process: C:\Users\Céline\AppData\Local\Temp\adks_NationZoom_20131230.exe
SUPPRIMÉ: Memory Process: C:\Users\Céline\AppData\Local\Temp\BoxoreInstaller.exe
SUPPRIMÉ: Memory Process: C:\Users\Céline\AppData\Local\Temp\OBBoxore.exe
SUPPRIMÉ: Memory Process: C:\Users\Céline\AppData\Local\Temp\nsf60C0.exe
SUPPRIMÉ: Memory Process: C:\Users\Céline\AppData\Local\Temp\nsf62E3.exe
SUPPRIMÉ: Memory Process: C:\Users\Céline\AppData\Local\Temp\nsf94D.exe
SUPPRIMÉ: Memory Process: C:\Users\Céline\AppData\Local\Temp\nsh85BB.exe
SUPPRIMÉ: Memory Process: C:\Users\Céline\AppData\Local\Temp\nsk4D8.exe
SUPPRIMÉ: Memory Process: C:\Users\Céline\AppData\Local\Temp\nsk6FB.exe
SUPPRIMÉ: Memory Process: C:\Users\Céline\AppData\Local\Temp\nsu6515.exe

========== Clés du Registre ==========
SUPPRIMÉ: HKLM\Software\Wow6432Node\Microsoft\Tracing\BingBar_RASAPI32

========== Valeurs du Registre ==========
SUPPRIMÉ RunValue: fst_fr_50
Aucune Valeur Standard Profile: FirewallRaz :
Aucune Valeur Domain Profile: FirewallRaz :
ProxyFix : Configuration proxy supprimée avec succès
SUPPRIMÉ ProxyServer Value
SUPPRIMÉ ProxyEnable Value
SUPPRIMÉ EnableHttp1_1 Value
SUPPRIMÉ ProxyHttp1.1 Value
SUPPRIMÉ ProxyOverride Value

========== Préférences navigateur ==========
PRESENT Chrome File: C:\Users\Céline\AppData\Local\Google\Chrome\User Data\Default\Preferences
SUPPRIMÉ Chrome Site: http://www.nationzoom.com

========== Dossiers ==========
SUPPRIMÉ: C:\ProgramData\InstallMate
SUPPRIMÉ: C:\Users\Céline\AppData\Roaming\newnext.me
SUPPRIMÉ: C:\Users\Céline\AppData\Local\genienext
SUPPRIMÉS Temporaires Windows (26)
SUPPRIMÉS Flash Cookies (0)

========== Fichiers ==========
SUPPRIMÉ: c:\users\céline\appdata\local\google\chrome\user data\default\preferences
SUPPRIMÉS Temporaires Windows (259) (36 472 526 octets)
SUPPRIMÉS Flash Cookies (0) (0 octets)

========== Autre ==========
NON TRAITÉ shotcutfix


========== Récapitulatif ==========
10 : Processus mémoire
1 : Clés du Registre
9 : Valeurs du Registre
5 : Dossiers
3 : Fichiers
2 : Préférences navigateur
1 : Autre


End of clean in 00mn 17s

========== Chemin de fichier rapport ==========
C:\Users\Céline\AppData\Roaming\ZHP\ZHPFix[R1].txt - 10/01/2014 10:39:25 [2524]

Y a t-il autre chose à faire ?

[Apollo]

Si le pc se comporte normalement, il faut juste finaliser >>

 

Désinstaller les outils spéciaux.

Télécharge DelFix sur ton bureau. http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/3-delfix
Lance-le et appuie sur le bouton "Supprimer les outils de désinfection". >> Exécuter.

NB, tu peux également cocher la case "Purger la restauration système", un nouveau point sera automatiquement créé. Conseillé quand le pc est désinfecté.

Delfix s'autodétruira ensuite.

 

• Pense à éditer ton premier post pour ajouter "Résolu" devant le titre. Pour cela clique sur "Modifier" dans ton premier post. Tu pourras alors changer le titre.

Utilise pour ça, l'éditeur complet

@++

 

NON TRAITÉ shotcutfix

 

ouille! faut que je fasse gaffe aux fautes de frappe moi, mais cela n'aura aucune conséquence ici.

 

++

[Félinette]

Merci beaucoup pour tout ça ! Heureusement qu'il y a des wonderinformaticiens comme vous, les super-héros informatiques qui viennent au secours des pauvres bêtas comme moi )