[Résolu] Infection ReimagePlus.com

[sharleen*]

Bonsoir.

 

 

Après une réinitialisation de Firefox, le navigateur se retrouve infecté par reimageplus.com.

L'analyse MBAM n'a rien donné.

 

résumé :

suite à un possible problème de compatibilité entre le navigateur (dernière version) et une de mes messageries, j'ai voulu vérifier si le problème existait sur IE8.

Message d'alerte d'IE8 au moment d'accéder à la messagerie gratuite comme quoi le certificat d'authentification semblait être faux, que la page était redirigée.

J'ai quitté, fermé le navigateur. Nettoyé avec Ccleaner.

J'ai ouvert Firefox, j'ai procédé à une réinitialisation. Une fenêtre s'est ouverte à la fin de l'opération signalant un problème d'onglet. J'ai fermé la fenêtre, derrière Mozilla était ouvert mais au lieu de la page d'accueil habituelle, c'était Google moteur de recherche.

Je me connecte à la dite messagerie, la connexion faite, un message d'alerte en bas de page signale un logiciel malveillant. Ce message redirigeait sur une page présentant un logiciel de Windows à télécharger. Ce que je n'ai pas fait.

Cette page (ni le message d'alerte en fait) ne provenait ni de l'anti-virus ni de microsoft.

Dans la barre d'adresse figurait reimageplus.com.

WOT a disparu, et il y a plein de pubs.

 

Merci de votre aide.

 

Modifié le 17 juin 2014 par sharleen*

[Apollo]

Bonsoir,

 

ZHPDiag :

• Télécharge ZHPDiag de Nicolas Coolman. et enregistre-le sur le BUREAU.
  http://www.nicolascoolman.fr/download/zhpdiag/
  
• Double-clique sur ZHPDiag.exe pour lancer l'installation
  
  • Important:
    Sous Vista et Windows 7/8 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

[*]L'outil a créé 2 icônes ZHPDiag et ZHPFix sur le Bureau.

[*]Double-clique sur ZHPDiag pour lancer l'exécution

• Important:
  Sous Vista et Windows 7 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur

Clique sur Complet (Full options)

[*]

[*]Tu patientes jusqu'à ce que le scan affiche 100%
Tu refermes ZHPDiag

[*]Le rapport ZHPDiag.txt se trouve sur le Bureau. (et sous c:\ZHP\ZHPDiag.txt)
Ce rapport étant trop long pour le forum, héberge le :

• soit directement sur le forum en pièce jointe dans ta réponse : Ajouter un fichier en pièce jointe sur le forum <<< Seulement pour le forum Vista-XP.fr!
• soit sur Cjoint et copie-colle le lien fourni dans ta réponse.

ou http://dl.free.fr/

http://www.rue-du-montceau.fr/tuto_cjoint.html >> tuto de Nardino pour héberger.

@++

[sharleen*]

Bonsoir Appollo.

Merci pour ta rapidité d'intervention.

 

Je fais ce que tu indiques, à +.

[sharleen*]

Re.

 

L'assistant veut créer un raccourci dans le menu démarrer, pas sur le bureau : c'est ok ?

[Apollo]

Oui, laisse tout par défaut. Tu auras ZHPDiag et ZHPFix sur le bureau.

Modifié le 29 mai 2014 par Apollo

[Apollo]

[sharleen*]

Merci.

Voici le lien :

 

http://cjoint.com/?0EDvAmeEbFX

[Apollo]

Pas grand-chose à première vue mais on fera des contrôles.

 

1)

ZHPFix :

• Ferme toutes les applications ouvertes
  
• Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau
  Important:
  Sous Vista et Windows 7/8 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur.
  
• Copie les lignes ci-dessous dans la fenêtre

sauf le mot citation.

 

 

Script ZHPFix

O42 - Logiciel: Google Toolbar for Firefox - (.Google.) [HKLM] -- {2CCBABCB-6427-4A55-B091-49864623C43F}
[MD5.78D9FE148F2D787C7F21C0D094F2A594] [WIS][04/03/2007] (.Google - Installs the Google Toolbar for Firefox.) -- C:\Windows\Installer\3e1e9.msi [94208]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{2CCBABCB-6427-4A55-B091-49864623C43F}]
[HKLM\Software\Classes\AOLTB.AOLToolBand.1]
C:\Windows\Installer\3e1e9.msi
EmptyClsid
Ifeofix
Proxyfix
FirewallRaz
ShortcutFix
EmptyPrefetch
emptytemp
emptyflash

Cliquer sur IMPORTER., cela devrait coller le contenu du presse papier dans la fenêtre ZHPFix.

• Le script doit automatiquement apparaitre dans ZHPFix.
  Clique sur le bouton GO pour lancer le nettoyage

• Valide par Oui la désinstallation des programmes si demandé.
  
• Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC
  
• Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.
  Le rapport ZHPFixReport.txt est enregistré sous C:\ZHP\ZHPFix.txt

Si le Bureau ne réapparaît pas presse Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , tape explorer.exe et valide.

 

-------------------------------

2)

*** Si tu as une ancienne version d'AdwCleaner, lance-le et clique sur désinstaller.***

Télécharge AdwCleaner par Xplode: [*]

https://toolslib.net/downloads/viewdownload/1-adwcleaner/

Enregistre-le sur le bureau (et pas ailleurs).

Afin de ne pas fausser le rapport, ne passer l'outil qu'une seule fois svp!

Si tu es sous XP double clique sur AdwCleaner pour lancer l'outil.
Si tu es sous Vista/Seven, clique droit sur AdwCleaner et choisis exécuter en temps qu'administrateur.

Clique sur Scanner et laisse travailler l'outil.

Cliquer sur Nettoyer , le bouton sera accessible.

Le rapport va s'ouvrir en fichier texte; copie la totalité de son contenu et colle-le dans ta réponse.

Le rapport est en outre sauvegardé sous C:\AdwCleaner[s0]

NB: Si l'outil "cale" en mode normal, le lancer en mode sans échec: http://www.vista-xp.fr/forum/topic93.html

A lire absolument: http://www.vista-xp.fr/forum/topic5482.html
http://www.vista-xp.fr/forum/topic10389.html

-------------------------

3)

Télécharge Junkware Removal Tool sur le bureau: http://www.bleepingcomputer.com/download/junkware-removal-tool/

Site éditeur: http://thisisudax.org/

Sous XP, double-clique sur l'icône et presse une touche lorsque cela sera demandé.

Sous Vista/7/8, clic droit/exécuter en temps qu'administrateur.

L'outil peut demander si on souhaite vérifier la présence d'une nouvelle version Y/N >> taper Y.
S'il découvre une version obsolète, il le dira et devrez presser une touche. L'outil se fermera. Mettez-le à la corbeille et téléchargez la dernière version.

Renomme JRT_NEW en JRT.

Si c'est déjà la bonne version , il commencera sa recherche de malwares normalement. Patience svp.

Afin de ne pas fausser les rapports, ne passer l'outil qu'une seule fois svp!

Si l'antivirus fait des siennes: désactive-le provisoirement. Si tu ne sais pas comment faire, reporte-toi à cet article.

Poste le rapport généré à la fin de l'analyse.

NB: Le bureau disparaitra un instant, c'est normal.

>>>Si le rapport est long, l'héberger ici: http://cjoint.com ou http://dl.free.fr/

 

++

[sharleen*]

Voilà le rapport ZHPFix;

Si le nettoyage par AdwCleaner doit prendre du temps, je le ferai demain.

 

 

Rapport de ZHPFix 2014.4.13.3 par Nicolas Coolman, Update du 13/04/2014
Fichier d'export Registre :
Run by YORK at 29/05/2014 21:54:35
High Elevated Privileges : OK
Windows XP Professional Service Pack 3 (Build 2600)

Corbeille vidée (00mn 02s)
Dossier Prefetcher vidé
Réparation des raccourcis navigateur

========== Logiciels ==========
SUPPRIMÉ: Google Toolbar for Firefox

========== Clés du Registre ==========
SUPPRIMÉ: HKLM\Software\Classes\AOLTB.AOLToolBand.1
Branche de Base de Registres IFEO non infectée !

========== Valeurs du Registre ==========
ProxyFix : Configuration proxy supprimée avec succès
SUPPRIMÉ ProxyServer Value
SUPPRIMÉ ProxyEnable Value
SUPPRIMÉ EnableHttp1_1 Value
SUPPRIMÉ ProxyHttp1.1 Value
SUPPRIMÉ ProxyOverride Value
SUPPRIMÉ: FirewallRaz (SP) : C:\Program Files\NETGEAR\NETGEAR ProSafe VPN Client\ViewLog.exe
SUPPRIMÉ: FirewallRaz (SP) : C:\Program Files\NETGEAR\NETGEAR ProSafe VPN Client\CmonApp.exe
SUPPRIMÉ: FirewallRaz (SP) : C:\Program Files\NETGEAR\NETGEAR ProSafe VPN Client\vpn.exe
SUPPRIMÉ: FirewallRaz (DP) : C:\Program Files\NETGEAR\NETGEAR ProSafe VPN Client\ViewLog.exe
SUPPRIMÉ: FirewallRaz (DP) : C:\Program Files\NETGEAR\NETGEAR ProSafe VPN Client\CmonApp.exe
SUPPRIMÉ: FirewallRaz (DP) : C:\Program Files\NETGEAR\NETGEAR ProSafe VPN Client\vpn.exe
Aucune valeur présente dans la clé d'exception du registre (FirewallRaz)

========== Dossiers ==========
Aucun dossiers CLSID Local utilisateur vide
SUPPRIMÉS Temporaires Windows (1)
SUPPRIMÉS Flash Cookies (2)

========== Fichiers ==========
SUPPRIMÉS Temporaires Windows (0) (0 octets)
SUPPRIMÉS Flash Cookies (1) (75 octets)


========== Récapitulatif ==========
2 : Clés du Registre
13 : Valeurs du Registre
3 : Dossiers
2 : Fichiers
1 : Logiciels


End of clean in 00mn 21s

========== Chemin de fichier rapport ==========
C:\Documents and Settings\YORK\Application Data\ZHP\ZHPFix[R1].txt - 29/05/2014 21:54:38 [1885]

[Apollo]

AdwCleaner va assez vite, c'est moins le cas pour JRT.