[Résolu] Usurpation de mon adresse e-mail pour e-bouncing

[Yoko75]

Bonjour,

Depuis hier, mon e-mail AOL et mon carnet d'adresses sont utilisés à mon insu : mes contacts reçoivent des mails expédiés avec ma bonne adresse mais je n'en vois aucune trace dans ma boîte d'envois. Ce mail leur recommande en mon nom et en anglais de cliquer sur un lien (pub pour un régime miracle).

Un trojan ?

Je pratique le safe hex et n'ai jamais cliqué sur des liens inconnus sans vérif préalable, mais pour info cette dernière semaine, pendant la maintenance de ma box hors service, j'ai dû me connecter à internet via un réseau WiFi public alors que je n'avais que Windows Defender et le pare-feu Windows, puis j'ai connecté à mon PC une clé 3G de prêt (peut-être infectée ?)

D'habitude je tourne avec antivirus et pare-feu gratos recommandés sur les sites de sécu, mais depuis mon achat de portable avec Windows 8, je me suis laissée convaincre que depuis Vista les pare-feu et antivirus de Windows étaient devenus valables. Il semble que non...

Avant de poster sur votre forum pour de l'aide, j'ai changé mon mot de passe e-mail, j'ai désactivé pare-feu Windows et Windows Defender pour les remplacer par Antivir (mais on dirait que la version gratuite n'offre pas de protection Web et e-mail...)

Antivir n'a rien détecté après un premier scan.

Ci-joint mon rapport ZHPDiag : http://cjoint.com/?3DstPExtOHK

Je suis à votre écoute pour commencer vérif et nettoyage de mon PC.

D'avance merci.

[Apollo]

Bonsoir,

 

ZHPFix :

• Ferme toutes les applications ouvertes
  
• Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau
  Important:
  Sous Vista et Windows 7/8 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur.
  
• Copie les lignes ci-dessous dans la fenêtre

sauf citation.

 

 

Script ZHPFix

O42 - Logiciel: Viewpoint Media Player - (...) [HKLM][64Bits] -- ViewpointMediaPlayer
[HKLM\Software\Wow6432Node\MetaStream]
[HKLM\Software\Wow6432Node\Viewpoint]
O43 - CFD: 17/04/2014 - 18:31:10 - [] ----D C:\Program Files (x86)\Viewpoint
O43 - CFD: 17/04/2014 - 18:31:10 - [] ----D C:\ProgramData\Viewpoint
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ViewpointMediaPlayer]
[HKLM\Software\Wow6432Node\Microsoft\Active Setup\Installed Components\{1B00725B-C455-4DE6-BFB6-AD540AD427CD}]
[HKLM\Software\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}]
[HKLM\Software\Wow6432Node\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}]
[HKLM\Software\Classes\axmetastream.metastreamctl]
[HKLM\Software\Classes\axmetastream.metastreamctl.1]
[HKLM\Software\Classes\AxMetaStream.MetaStreamCtlSecondary]
[HKLM\Software\Classes\AxMetaStream.MetaStreamCtlSecondary.1]
[HKLM\Software\Wow6432Node\MetaStream]
[HKLM\Software\Wow6432Node\Viewpoint]
[HKLM\Software\Classes\AppID\{4D076AB4-7562-427A-B5D2-BD96E19DEE56}]
[HKLM\Software\Wow6432Node\Classes\AppID\{4D076AB4-7562-427A-B5D2-BD96E19DEE56}]
[HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\ViewpointMediaPlayer]
[HKLM\Software\Classes\AppID\secman.DLL]
C:\Program Files (x86)\Viewpoint
C:\ProgramData\Viewpoint
EmptyClsid
Ifeofix
Proxyfix
FirewallRaz
ShortcutFix
EmptyPrefetch
emptytemp
emptyflash

 

Cliquer sur IMPORTER., cela devrait coller le contenu du presse papier dans la fenêtre ZHPFix.

• Le script doit automatiquement apparaitre dans ZHPFix.
  Clique sur le bouton GO pour lancer le nettoyage

• Valide par Oui la désinstallation des programmes si demandé.
  
• Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC
  
• Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.
  Le rapport ZHPFixReport.txt est enregistré sous C:\ZHP\ZHPFix.txt

Si le Bureau ne réapparaît pas presse Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , tape explorer.exe et valide.

[Yoko75]

Bonsoir Appollo, merci pour la prise en charge.

 

Voilà mon rapport ZHPFixReport.txt :

 

Rapport de ZHPFix 2014.4.13.3 par Nicolas Coolman, Update du 13/04/2014

Fichier d'export Registre :

Run by Yoko at 18/04/2014 23:32:46

High Elevated Privileges : OK

Windows 8 Home Premium Edition, 64-bit Service Pack 1 (9600)

Corbeille vidée (00mn 03s)

Dossier Prefetcher vidé

Réparation des raccourcis navigateur

========== Logiciels ==========

SUPPRIMÉ: Viewpoint Media Player

========== Clés du Registre ==========

SUPPRIMÉ: HKLM\Software\Wow6432Node\Viewpoint

SUPPRIMÉ: HKLM\Software\Wow6432Node\Microsoft\Active Setup\Installed Components\{1B00725B-C455-4DE6-BFB6-AD540AD427CD}

SUPPRIMÉ:* HKLM\Software\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}

SUPPRIMÉ: HKLM\Software\Classes\axmetastream.metastreamctl

SUPPRIMÉ: HKLM\Software\Classes\axmetastream.metastreamctl.1

SUPPRIMÉ: HKLM\Software\Classes\AxMetaStream.MetaStreamCtlSecondary

SUPPRIMÉ: HKLM\Software\Classes\AxMetaStream.MetaStreamCtlSecondary.1

SUPPRIMÉ: HKLM\Software\Classes\AppID\{4D076AB4-7562-427A-B5D2-BD96E19DEE56}

SUPPRIMÉ: HKLM\Software\Classes\AppID\secman.DLL

Branche de Base de Registres IFEO non infectée !

========== Valeurs du Registre ==========

ProxyFix : Configuration proxy supprimée avec succès

SUPPRIMÉ ProxyServer Value

SUPPRIMÉ ProxyEnable Value

SUPPRIMÉ EnableHttp1_1 Value

SUPPRIMÉ ProxyHttp1.1 Value

SUPPRIMÉ ProxyOverride Value

Aucune Valeur Standard Profile: FirewallRaz :

Aucune Valeur Domain Profile: FirewallRaz :

SUPPRIMÉ: FirewallRaz (Domain) : {9E3D57FC-7C37-4424-9352-4831E97D029D}

SUPPRIMÉ: FirewallRaz (Domain) : {548DCF8C-BFF2-4BA4-AA88-FBAF9AC8BCC6}

SUPPRIMÉ: FirewallRaz (Domain) : {E7985E1D-C36F-4787-80A8-6350D07E9266}

SUPPRIMÉ: FirewallRaz (None) : {808F1451-4108-46FD-ADBB-F17324B5F0BD}

========== Dossiers ==========

Aucun dossiers CLSID Local utilisateur vide

SUPPRIMÉS Temporaires Windows (4)

SUPPRIMÉS Flash Cookies (0)

========== Fichiers ==========

SUPPRIMÉS Temporaires Windows (15) (117 001 628 octets)

SUPPRIMÉS Flash Cookies (0) (0 octets)

========== Récapitulatif ==========

10 : Clés du Registre

12 : Valeurs du Registre

3 : Dossiers

2 : Fichiers

1 : Logiciels

End of clean in 00mn 12s

========== Chemin de fichier rapport ==========

C:\Users\Yolène\AppData\Roaming\ZHP\ZHPFix[R1].txt - 18/04/2014 23:32:50 [2242]

[Apollo]

Re,

 

1) Télécharge Junkware Removal Tool sur le bureau: http://www.bleepingcomputer.com/download/junkware-removal-tool/

Site éditeur: http://thisisudax.org/

Sous XP, double-clique sur l'icône et presse une touche lorsque cela sera demandé.

Sous Vista/7/8, clic droit/exécuter en temps qu'administrateur.

L'outil peut demander si on souhaite vérifier la présence d'une nouvelle version Y/N >> taper Y.
S'il découvre une version obsolète, il le dira et devrez presser une touche. L'outil se fermera.

JRT_New sera créé sur le bureau;

Jette l'ancien JRT et renomme JRT_New en JRT .

Si c'est déjà la bonne version , il commencera sa recherche de malwares normalement. Patience svp.

Afin de ne pas fausser le rapport, ne passer l'outil qu'une seule fois svp!

Si l'antivirus fait des siennes: désactive-le provisoirement. Si tu ne sais pas comment faire, reporte-toi à cet article.

Poste le rapport généré à la fin de l'analyse.

NB: Le bureau disparaitra un instant, c'est normal.

>>>Si le rapport est long, l'héberger ici: http://cjoint.com ou http://dl.free.fr/

------------------------------
*** Si tu as une ancienne version d'AdwCleaner, lance-le et clique sur désinstaller.***

2) Télécharge AdwCleaner par Xplode: http://general-changelog-team.fr/telechargements/logiciels/viewdownload/75-outils-de-xplode/28-adwcleaner

Enregistre-le sur le bureau (et pas ailleurs).

Afin de ne pas fausser le rapport, ne passer l'outil qu'une seule fois svp!

Si tu es sous XP double clique sur AdwCleaner pour lancer l'outil.
Si tu es sous Vista/Seven, clique droit sur AdwCleaner et choisis exécuter en temps qu'administrateur.

Clique sur Scanner et laisse travailler l'outil.

Cliquer sur Nettoyer, le bouton sera accessible.

Le rapport va s'ouvrir en fichier texte; copie la totalité de son contenu et colle-le dans ta réponse.

Le rapport est en outre sauvegardé sous C:\AdwCleaner[s0]

NB: Si l'outil "cale" en mode normal, le lancer en mode sans échec: http://www.vista-xp.fr/forum/topic93.html

A lire absolument: http://www.vista-xp.fr/forum/topic5482.html
http://www.vista-xp.fr/forum/topic10389.html

-------------------------

@++

[Yoko75]

Re !

 

Rapports JRT puis AdwCleaner à la suite :

 

 

 

 

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Junkware Removal Tool (JRT) by Thisisu

Version: 6.1.4 (04.06.2014:1)

OS: Windows 8.1 x64

Ran by Yoko on 19/04/2014 at 7:41:05,71

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

~~~ Services

~~~ Registry Values

Successfully repaired: [Registry Value] HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Internet Explorer\Main\\Default_Page_URL

~~~ Registry Keys

Successfully deleted: [Registry Key] HKEY_CLASSES_ROOT\CLSID\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}

Successfully deleted: [Registry Key] HKEY_CLASSES_ROOT\CLSID\{826D7151-8D99-434B-8540-082B8C2AE556}

Successfully deleted: [Registry Key] HKEY_CLASSES_ROOT\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8FFE}

Successfully deleted: [Registry Key] HKEY_CLASSES_ROOT\TypeLib\{11549FE4-7C5A-4C17-9FC3-56FC5162A994}

Successfully deleted: [Registry Key] HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\SearchScopes\{D36FB714-82A5-48AB-AC45-A7A7796ACA4E}

~~~ Files

~~~ Folders

~~~ Event Viewer Logs were cleared

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Scan was completed on 19/04/2014 at 7:44:44,13

End of JRT log

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

# AdwCleaner v3.024 - Rapport créé le 19/04/2014 à 07:55:18

# Mis à jour le 18/04/2014 par Xplode

# Système d'exploitation : Windows 8.1 (64 bits)

# Nom d'utilisateur : Yoko - ENVY-YO

# Exécuté depuis : C:\Users\Yolène\Desktop\adwcleaner.exe

# Option : Nettoyer

***** [ Services ] *****

***** [ Fichiers / Dossiers ] *****

Dossier Supprimé : C:\Users\Yolène\Documents\Youcam

***** [ Raccourcis ] *****

***** [ Registre ] *****

Clé Supprimée : HKLM\SOFTWARE\Classes\secman.OutlookSecurityManager

Clé Supprimée : HKLM\SOFTWARE\Classes\secman.OutlookSecurityManager.1

Clé Supprimée : HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{03F998B2-0E00-11D3-A498-00104B6EB52E}

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{03F998B2-0E00-11D3-A498-00104B6EB52E}

Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{1B00725B-C455-4DE6-BFB6-AD540AD427CD}

Clé Supprimée : [x64] HKLM\SOFTWARE\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8FFE}

***** [ Navigateurs ] *****

-\\ Internet Explorer v11.0.9600.17037

-\\ Google Chrome v34.0.1847.116

[ Fichier : C:\Users\Yolène\AppData\Local\Google\Chrome\User Data\Default\preferences ]

*************************

AdwCleaner[R0].txt - [1229 octets] - [02/03/2014 10:35:28]

AdwCleaner[R1].txt - [1456 octets] - [19/04/2014 07:52:45]

AdwCleaner[s0].txt - [1207 octets] - [02/03/2014 10:37:31]

AdwCleaner[s1].txt - [1382 octets] - [19/04/2014 07:55:18]

########## EOF - C:\AdwCleaner\AdwCleaner[s1].txt - [1442 octets] ##########

[Apollo]

Bonjour,

 

1) Télécharger SFTGC.exe sur le Bureau >>>> il ne peut pas être ailleurs! L'y déplacer si nécessaire.

Fermer les applications et navigateurs.

Sous XP, double cliquer sur le fichier.
Sous les autres versions de Windows, clic droit sur le fichier et choisir Exécuter en tant qu'administrateur.

Après l'initialisation, cliquer sur Go pour lancer le nettoyage.

Si l'antivirus chicane, désactive-le provisoirement. . Si tu ne sais pas comment faire, reporte-toi à cet article.

Un rapport va s'ouvrir à la fin.
Ce rapport est sur le bureau (SFTGC.txt)

Héberger sur http://cjoint.com pour ne pas planter le sujet. ou http://dl.free.fr/

--------------------------

Fais une analyse Complète (Personnalisée) après le scan rapide. Avec MBAM 2.0.

2) Télécharger MalwareBytes Antimalware sur le bureau. http://fr.malwarebytes.org/

MBAM 2.0 captures d'écran: http://theknitter-apollo.xooit.com/t3536-MBAM-2-0-Captures-d-cran.htm

http://www.pcastuces.com/logitheque/malwarebytes_anti-malware.htm

A la fin de l'installation, décocher la proposition de version d'essai de version Premium.

Cliquer sur Mettre à jour.

Options de langage:

Connecter les supports amovibles (USB) et cliquer sur Examiner maintenant.

Si des objets malveillants sont découverts:

A la fin de l'analyse, cliquer sur Export log et enregistrer le rapport en fichier texte.

Poster ce rapport.

Pour une analyse plus personnalisée, choisir cette option. L'analyse totale des disques, partitions et supports amovibles sera appliquée.

@++

[Yoko75]

Bonjour Apollo,

Peux-tu me dire quelles infections on est en train d'éradiquer stp ?

 

Voilà le rapport SFTGC : http://cjoint.com/?3Dtqs2rzIRN

 

Ca fait plus de 4 heures que l'examen complet personnalisé de Malwarebytes est lancé, mais depuis 1 heure il bloque sur :

 

c:\Windows\WinStore\pris\resources.fr-FR.pri

 

J'attends encore ou je relance ?

Modifié le 19 avril 2014 par Yoko75

[Apollo]

Attends encore un peu; tu n'as pas fait un examen rapide avant?

Si ça durait encore trop longtemps, arrête le scan et lance l'examen rapide.

 

Mais j'ai déjà vu des analyses MBAM durer + de 5 heures; ça dépend du pc et du nombre de fichiers à passer au crible.

 

++

Modifié le 19 avril 2014 par Apollo

[Yoko75]

Au temps pour moi juste après t'avoir posté le message le scan a enfin progressé sans rien détecter, le voici !

(et non, je n'ai pas fait de scan rapide avant le personnalisé)

 

 

 

Malwarebytes Anti-Malware

www.malwarebytes.org

Date de l'examen: 19/04/2014

Heure de l'examen: 17:03:47

Fichier journal: Rapport Malwarebytes.txt

Administrateur: Oui

Version: 2.00.1.1004

Base de données Malveillants: v2014.04.19.05

Base de données Rootkits: v2014.03.27.01

Licence: Gratuite

Protection contre les malveillants: Désactivé(e)

Protection contre les sites Web malveillants: Désactivé(e)

Chameleon: Désactivé(e)

Système d'exploitation: Windows 8.1

Processeur: x64

Système de fichiers: NTFS

Utilisateur: Yoko

Type d'examen: Examen "Personnalisé"

Résultat: Terminé

Objets analysés: 487308

Temps écoulé: 5 h, 10 min, 11 sec

Mémoire: Activé(e)

Démarrage: Activé(e)

Système de fichiers: Activé(e)

Archives: Activé(e)

Rootkits: Activé(e)

Shuriken: Activé(e)

PUP: Activé(e)

PUM: Activé(e)

Processus: 0

(No malicious items detected)

Modules: 0

(No malicious items detected)

Clés du Registre: 0

(No malicious items detected)

Valeurs du Registre: 0

(No malicious items detected)

Données du Registre: 0

(No malicious items detected)

Dossiers: 0

(No malicious items detected)

Fichiers: 0

(No malicious items detected)

Secteurs physiques: 0

(No malicious items detected)

(end)

[Apollo]

Impec, ça.

 

Fais ces vérifications de sécurité importantes stp:

http://theknitter-apollo.xooit.com/p17644.htm

Ou ici: http://www.vista-xp.fr/forum/topic13109.html#p108827

Pour Java, utiliser l'outil de Pierre13. (à partir de XP SP3!)
Poster son rapport.

Idem pour Adobe Reader (outil dédié de Pierre13 + rapport)

 

----------------------------

Fais ensuite un nouveau scan ZHPDiag et héberge le rapport.

 

@++