[Résolu] PC infecté ?

[Olivv!]

Bonjour à tous !

 

Je vous confie l’ordi de mon beau-père que j’ai récupéré dans un triste état : de plus en plus lent et qui plante souvent, en utilisant n’importe quel programme : apparition d’un message d’erreur/ de bug à envoyer à l’éditeur ou ne pas envoyer. Problème récurrent depuis plusieurs mois / années selon les dires du beau-père..

 

J’ai commencé par faire les mises à jour principales. Puis un peu de nettoyage dans les programmes inutilisés / inutiles notamment Framefox extension, Babylone, Duuqu, parmi les plus sympathiques..

Un passage d’AdwCleaner qui a trouvé pleins de choses (rapport du scan, du nettoyage et quarantaine dispo si besoin).

Idem avec MBAM. (26 éléments trouvés, rapport dispo si besoin)

 

Mais vu l'ampleur des dégâts, et vu que je suis une quiche en informatique (le beau-père aussi vous l’aurez remarqué J), il m'a semblé plus sage de me tourner vers des spécialistes.

 

Voici le log de ZHPDiag: http://cjoint.com/?3IquguAV0MU

 

Et d’avance, un grand merci pour l’aide que vous apporterez !

 

Olivier

Modifié le 18 septembre 2014 par Olivv!

[Apollo]

Bonsoir,

 

Poste les rapports d'analyse stp.

 

-----------

ZHPFix :

• Ferme toutes les applications ouvertes
• Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau

  Important:

  Sous Vista et Windows 7/8 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur.

• Copie les lignes ci-dessous dans la fenêtre

sauf le mot citation.

 

Script ZhpFix

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O47 - AAKE:Key Export SP - "F:\data\eSKernel.exe" [Enabled] .(...) -- F:\data\eSKernel.exe (.not file.)

O3 - Toolbar\WebBrowser: (no name) - [HKCU]{2318C2B1-4965-11D4-9B18-009027A5CD4F} Clé orpheline

O43 - CFD: 12/08/2013 - 21:27:13 - [] ----D C:\Documents and Settings\All Users\Application Data\APN

O43 - CFD: 06/01/2013 - 16:13:05 - [0] -SH-D C:\Documents and Settings\All Users\Application Data\{C4ABDBC8-1C81-42C9-BFFC-4A68511E9E4F}

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{493CCB71-DCAD-4257-9F08-8750F63BD792}]

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{493CCB71-DCAD-4257-9F08-8750F63BD792}]

[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{C4ABDBC8-1C81-42C9-BFFC-4A68511E9E4F}]

[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D6533F74-218B-41BE-9D91-5BD471FECFFD}]

[HKCU\Software\uTorrentBar_FR]

EmptyClsid

Ifeofix

Proxyfix

FirewallRaz

ShortcutFix

EmptyPrefetch

emptytemp

emptyflash

Cliquer sur IMPORTER., cela devrait coller le contenu du presse papier dans la fenêtre ZHPFix.

• Le script doit automatiquement apparaitre dans ZHPFix.

   

  Clique sur le bouton GO pour lancer le nettoyage

• Valide par Oui la désinstallation des programmes si demandé.
• Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC
• Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.

  Le rapport ZHPFixReport.txt est enregistré sous C:\ZHP\ZHPFix.txt

Si le Bureau ne réapparaît pas presse Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , tape explorer.exe et valide.

[Olivv!]

Bonjour Apollo,

 

Merci pour la prise en charge rapide!

 

Le rapport d'analyse de MBAM est introuvable que ce soit dans le dossier MBAM de Program Files ou en lançant MBAM / journal de l'historique d'examen : le rapport est présent avec la date et l'heure, mais lorsque je clique pour l'afficher, le rapport apparait complètement vierge.. (j'ai installé la version d'essai, ça a un lien?). Sinon, j'ai trouvé un dossier Log dans AppData (fichier xml) :

 

Une alerte Avira en même temps : Yet_another_cleaner_vel.exe adware/mustapha.B (déplacé en quarantaine)

 

Voici les deux rapports de ADWCleaner effectué hier:

http://cjoint.com/?3IrnpCEELd7

http://cjoint.com/?3Irnql0RgB9

 

et concernant ZHPFix, ça bloque avec le message d'erreur suivant: impossible de créer le fichier C:\ZHP\ZHPFixQuarantine.txt Accès refusé.

 

Un grand merci pour ton aide!!

J'attend tes instructions

[Apollo]

Désinstalle ZhpDiag pour le moment, on le reprendra plus tard.

 

Le fait d'avoir une version d'essai de MBAM n'a rien à voir avec l'absence du rapport mais j'ai remarqué que quelques membres avaient ce même problème (que je n'ai jamais constaté chez moi).

 

 

Télécharge Junkware Removal Tool sur le bureau: http://www.bleepingcomputer.com/download/junkware-removal-tool/

 

 

Site éditeur: http://thisisudax.org/

 

 

Sous XP, double-clique sur l'icône et presse une touche lorsque cela sera demandé.

 

Sous Vista/7/8, clic droit/exécuter en temps qu'administrateur.

 

L'outil peut demander si on souhaite vérifier la présence d'une nouvelle version Y/N >> taper Y.

S'il découvre une version obsolète, il le dira et devrez presser une touche. L'outil se fermera. Mettez-le à la corbeille et téléchargez la dernière version.

 

Renomme JRT_NEW en JRT.

 

Si c'est déjà la bonne version , il commencera sa recherche de malwares normalement. Patience svp.

 

 

Afin de ne pas fausser les rapports, ne passer l'outil qu'une seule fois svp!

 

 

Si l'antivirus fait des siennes: désactive-le provisoirement. Si tu ne sais pas comment faire, reporte-toi à cet article.

 

Poste le rapport généré à la fin de l'analyse.

 

NB: Le bureau disparaitra un instant, c'est normal.

 

>>>Si le rapport est long, l'héberger ici: http://cjoint.com ou http://dl.free.fr/

 

 

 

@++

[Apollo]

A lire et transmettre: http://www.vista-xp.fr/forum/topic10389.html

[Olivv!]

Voici le rapport de JRT: http://cjoint.com/?3IroDwqQ5jy

 

Pour MBAM, j'aurai bien aimé te transmettre le rapport, il avait quand même trouvé une quarantaine de saletés...

 

Rq: j'ai constaté qu'après le passage d'ADWCleaner (hier), le parapluie d'Avira est fermé dans la zone de notification, avec Protection Email désactivée. En cherchant sur le net, j'ai trouvé diverses réponses à ça, et au final, je ne sais pas quoi en penser / ni quoi faire.. Qu'en penses tu?

 

Merci pour le lien vers l'article "Logiciels et Sponsors", j'essaierai de le transmettre au beau-père.. (sans conviction!)

 

Et merci pour ton aide!

[Apollo]

Re,

 

j'ai constaté qu'après le passage d'ADWCleaner (hier), le parapluie d'Avira est fermé dans la zone de notification, avec Protection Email désactivée.

La réponse est simple: Avira fait installer Ask Toolbar pour pouvoir bénéficier du Webguard.

 

Si c'est éliminé, que ce soit par AdwCleaner, JRT ou Eset Online, le Webguard est désactivé.

Ce chantage est intolérable de la part d'un éditeur d'antivirus, car si Ask n'est pas à proprement parler un malware, il fait ralentir les navigateurs et le système en général.

 

D'ailleurs, c'est un manque d'attention que de ne pas décocher la case qui propose cette saleté pendant l'installation.

 

Il en existe d'autres qui valent bien Antivir. Avast est assez pesant, donc perso, j'utiliserais AVG Free, mais moi je préfère payer pour une solution "tout en un" que chipoter avec 36 logiciels différents (gratuits) J'estime qu'une bonne protection est un investissement.

 

Protéger son pc gratuitement

 

-----------------

Tu vas refaire une analyse MBAM, mais rapide cette fois.

 

1) Télécharger SFTGC.exe sur le Bureau >>>> il ne peut pas être ailleurs! L'y déplacer si nécessaire.

http://theknitter-apollo.xooit.com/p22075.htm

 

Ferme tes applications, navigateurs.

 

Sous XP, double cliquer sur le fichier.

Sous les autres versions de Windows, clic droit sur le fichier et choisir Exécuter en tant qu'administrateur.

 

Après l'initialisation, cliquer sur Go pour lancer le nettoyage.

 

Un rapport va s'ouvrir à la fin.

Ce rapport est sur le bureau (SFTGC.txt)

 

Héberger sur http://cjoint.com pour ne pas planter le sujet. ou http://dl.free.fr/

 

-----------------------

2) Téléchargez Malwarebytes Anti-Malware et enregistrez-le sur le Bureau.

 

http://fr.malwarebytes.org/mwb-download/

 

Faites un double clic sur mbam-setup-2.0.2..exe et suivez les invites pour installer le programme.

 

Lancer Malwarebytes Anti-Malware

 

Un essai gratuit de 14 jours des fonctions de la version Premium est pré-sélectionné. Si vous le désirez, vous pouvez dé-cocher cette case, et cela ne diminuera pas les capacités d'analyse et de suppression du programme.

 

 

Examen "Menaces" + Recherche de Rootkits:

 

Dans l'onglet Paramètres > Sous-onglet Détection et Protection, Options de détection, cochez la case située devant Recherche de Rootkits.

 

Cliquez sur l'onglet Examen, puis cliquez sur Examiner maintenant >>. Si une mise à jour est disponible, cliquez sur le bouton Mettre à jour maintenant.

 

Un Examen "Menaces" va démarrer.

 

Avec certaines infections, vous pouvez voir l'affichage de ce message:

 

'Malwarebytes n'a pas pu charger le pilote Anti-Rootkit DDA'

 

 

Cliquez sur 'Oui' sur ce message, pour permettre le chargement du pilote après un redémarrage.

 

Laissez l'ordinateur redémarrer. Continuez avec le reste de ces instructions.

 

Quand l'examen est terminé, click Appliquer les actions.

 

Attendez l'affichage du message vous invitant à faire redémarrer le PC, puis cliquez sur Oui.

 

Le rapport de trouve dans l'Historique de MBAM, le prendre après le redémarrage.

 

Langage:

 

 

Cocher recherche rootkits:

 

 

@++

[Olivv!]

Rapport SFTGC: http://cjoint.com/?3IrqIDl1eGn

 

Et MBAM n'a rien trouvé http://cjoint.com/?3IrqL38bH2z

 

Je redirai au beau-père de bien tout décocher lorsqu'il installe quoi que ce soit (le mieux serait encore qu'il arrête d'installer des conneries..)

 

Petite question: est-ce risqué de laisser le webguard d'avira désactivé? Est-il vraiment utile? Si oui, comment le rétablir?

 

Merci pour ton aide!

[Apollo]

Si on veut absolument Antivir gratuit, procéder comme ceci: http://forum.security-x.fr/tutoriels-317/(tutoriel)-antivir-personal-free-antivirus-installation/msg56721/#msg56721

 

Mais il faudra désinstaller celui qui est en place actuellement.

 

Bien prendre le temps de lire le tuto de Chantal11

[Olivv!]

Je comprend. Mais il s'agit d'Avira antivirus Pro, version payante, et valable jusqu'en... 2017!!

 

Juste une dernière question: le webguard de la version payante est-il indispensable pour la sécurité du PC? (ça craint si on laisse le parapluie fermé??)