[Résolu] PC infecté – Search Bar Dregol.com

[tipi1]

Bonjour,

Mon PC est infecté, il présente une searchbar qui redirige vers un pseudo moteur de recherche Dergol.com. Je n'ai pas réussi à m'en débarasser par la désinstallation. La recherche sur Dregol dans les moteurs de recherche pointe sur des sites qui semblent des anti malware fake...

Pouvez vous m'aider? Merci d'avance.

 

J'ai fait un premier diagnostic ZHPdiag dont voici le compte rendu:

http://cjoint.com/?ECDaWQhDHx7

Modifié le 29 mars 2015 par tipi1

[Apollo]

Bonjour,

 

Suis cette procédure et poste tous les rapports ici à la suite stp: http://theknitter-apollo.xooit.com/p20971.htm

 

@++

Modifié le 29 mars 2015 par Apollo

[tipi1]

Merci Apollo,

Voici donc:

 

1/ ZHPcleaner

http://cjoint.com/?0CDqc7BHwzq

 

2/ JRT

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Junkware Removal Tool (JRT) by Thisisu
Version: 6.4.7 (03.28.2015:1)
OS: Windows 7 Home Premium x86
Ran by Piganeau on 29/03/2015 at 9:45:00,21
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~ Services
~~~ Registry Values
~~~ Registry Keys
~~~ Files
~~~ Folders
Successfully deleted: [Folder] "C:\ProgramData\flexnet"
Successfully deleted: [Folder] "C:\Users\Piganeau\start menu\programs\browser manager"
~~~ FireFox
Successfully deleted the following from C:\Users\Piganeau\AppData\Roaming\mozilla\firefox\profiles\lcenxeiy.default\prefs.js

Emptied folder: C:\Users\Piganeau\AppData\Roaming\mozilla\firefox\profiles\lcenxeiy.default\minidumps [299 files]
~~~ Event Viewer Logs were cleared
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan was completed on 29/03/2015 at 9:46:56,34
End of JRT log
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

3/ ADWcleaner

# AdwCleaner v4.113 - Rapport créé le 29/03/2015 à 09:55:43
# Mis à jour le 22/03/2015 par Xplode
# Base de données : 2015-03-22.2 [Locale]
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (x86)
# Nom d'utilisateur : Piganeau - PIGANEAU-PC
# Exécuté depuis : C:\Users\Piganeau\Desktop\adwcleaner_4.113.exe
# Option : Nettoyer
***** [ Services ] *****
***** [ Fichiers / Dossiers ] *****
***** [ Tâches planifiées ] *****
***** [ Raccourcis ] *****
***** [ Registre ] *****
Donnée Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings [ProxyOverride] - *.local
***** [ Navigateurs ] *****
-\\ Internet Explorer v11.0.9600.17689
-\\ Mozilla Firefox v36.0.4 (x86 fr)
-\\ Google Chrome v
*************************
AdwCleaner[R0].txt - [938 octets] - [29/03/2015 09:52:01]
AdwCleaner[s0].txt - [864 octets] - [29/03/2015 09:55:43]
########## EOF - C:\AdwCleaner\AdwCleaner[s0].txt - [923 octets] ##########

4/ SFTGC (j'ai galéré pour le télécharger car les différents browsers le voyaient comme un malware)

http://cjoint.com/?0CDqhSXYIGH

 

5/ MBAM (désolé il y a 3 rapports, j'ai un peu merdé)

 

http://cjoint.com/?0CDqkn4WUZF

 

puis

 

Malwarebytes Anti-Malware
www.malwarebytes.org

Date de l'examen: 29/03/2015
Heure de l'examen: 11:04:47
Fichier journal: MAM2.txt
Administrateur: Oui

Version: 2.01.4.1018
Base de données Malveillants: v2015.03.29.03
Base de données Rootkits: v2015.03.26.01
Licence: Essai
Protection contre les malveillants: Activé(e)
Protection contre les sites Web malveillants: Activé(e)
Auto-protection: Désactivé(e)

Système d'exploitation: Windows 7 Service Pack 1
Processeur: x86
Système de fichiers: NTFS
Utilisateur: Piganeau

Type d'examen: Examen "Menaces"
Résultat: Annulé
Objets analysés: 59367
Temps écoulé: 3 min, 31 sec

Mémoire: Activé(e)
Démarrage: Activé(e)
Système de fichiers: Activé(e)
Archives: Activé(e)
Rootkits: Désactivé(e)
Heuristique: Activé(e)
PUP: Activé(e)
PUM: Activé(e)

Processus: 0
(Aucun élément malicieux détecté)

Modules: 0
(Aucun élément malicieux détecté)

Clés du Registre: 6
PUP.Optional.Multiplug, HKU\S-1-5-21-845568662-2560409586-1900657990-1000_Classes\TYPELIB\{157B1AA6-3E5C-404A-9118-C1D91F537040}, Mis en quarantaine, [b394db70a5e54ee86b30c2680003d42c],
PUP.Optional.Multiplug, HKU\S-1-5-21-845568662-2560409586-1900657990-1000_Classes\INTERFACE\{3B3F3AAD-FB97-49FF-BFEE-D22869AC4326}, Mis en quarantaine, [b394db70a5e54ee86b30c2680003d42c],
PUP.Optional.EasyLife.A, HKU\S-1-5-21-845568662-2560409586-1900657990-1000\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{01bd49d7-c76b-4310-8beb-14d7e5f322c6}, Mis en quarantaine, [3c0b1e2d2169fa3c38b87aeab84b4ab6],
PUP.Optional.EasyLife.A, HKU\S-1-5-21-845568662-2560409586-1900657990-1001\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{01BD49D7-C76B-4310-8BEB-14D7E5F322C6}, Mis en quarantaine, [3c0b1e2d2169fa3c38b87aeab84b4ab6],
PUP.Optional.Babylon.A, HKU\S-1-5-21-845568662-2560409586-1900657990-1001\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}, Mis en quarantaine, [f75073d8573375c1c2f5dd4e1ae9dc24],
PUP.Optional.Iminent.A, HKU\S-1-5-21-845568662-2560409586-1900657990-1001\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{BFFED5CA-8BDF-47CC-AED0-23F4E6D77732}, Mis en quarantaine, [e3641c2fb7d3ee489422200b8182bd43],

Valeurs du Registre: 2
PUP.Optional.Iminent.A, HKU\S-1-5-21-845568662-2560409586-1900657990-1001\SOFTWARE\MICROSOFT\INTERNET EXPLORER\URLSEARCHHOOKS\{84FF7BD6-B47F-46F8-9130-01B2696B36CB}, Mis en quarantaine, [97b0f15ab6d4e1558a723232b54ef10f],
PUP.Optional.Iminent.A, HKU\S-1-5-21-845568662-2560409586-1900657990-1001\SOFTWARE\MICROSOFT\INTERNET EXPLORER\URLSEARCHHOOKS|{84FF7BD6-B47F-46F8-9130-01B2696B36CB}, Mis en quarantaine, [97b0f15ab6d4e1558a723232b54ef10f],

Données du Registre: 0
(Aucun élément malicieux détecté)

Dossiers: 0
(Aucun élément malicieux détecté)

Fichiers: 5
PUP.Optional.Bandoo, C:\Users\Piganeau\AppData\Roaming\ZHP\Quarantine\iLividSetup(1).exe, Mis en quarantaine, [c681ce7d9ded75c12d7c5dd9857ca35d],
PUP.Optional.Bandoo, C:\Users\Piganeau\AppData\Roaming\ZHP\Quarantine\iLividSetup.exe, Mis en quarantaine, [ed5abe8d31590a2c812835017c857090],
PUP.Optional.Bandoo, C:\Users\Piganeau\AppData\Roaming\ZHP\Quarantine\iLividSetupV1(1).exe, Mis en quarantaine, [ff48a9a20a8022146544c472ee138f71],
PUP.Optional.Bandoo, C:\Users\Piganeau\AppData\Roaming\ZHP\Quarantine\iLividSetupV1(2).exe, Mis en quarantaine, [30173417ee9c44f2a70267cfa25fcb35],
PUP.Optional.Bandoo, C:\Users\Piganeau\AppData\Roaming\ZHP\Quarantine\iLividSetupV1.exe, Mis en quarantaine, [f35471dad5b5fb3b5b4e68ce6d9448b8],
Secteurs physiques: 0
(Aucun élément malicieux détecté)
(end)

 

et enfin le dernier (avec rootkit que j'avais oublié avant)

Malwarebytes Anti-Malware
www.malwarebytes.org

Date de l'examen: 29/03/2015
Heure de l'examen: 11:51:35
Fichier journal: MAM3.txt
Administrateur: Oui

Version: 2.01.4.1018
Base de données Malveillants: v2015.03.29.03
Base de données Rootkits: v2015.03.26.01
Licence: Essai
Protection contre les malveillants: Activé(e)
Protection contre les sites Web malveillants: Activé(e)
Auto-protection: Désactivé(e)

Système d'exploitation: Windows 7 Service Pack 1
Processeur: x86
Système de fichiers: NTFS
Utilisateur: Piganeau

Type d'examen: Examen "Personnalisé"
Résultat: Terminé
Objets analysés: 904061
Temps écoulé: 3 h, 29 min, 7 sec

Mémoire: Activé(e)
Démarrage: Activé(e)
Système de fichiers: Activé(e)
Archives: Activé(e)
Rootkits: Désactivé(e)
Heuristique: Activé(e)
PUP: Activé(e)
PUM: Activé(e)

Processus: 0
(Aucun élément malicieux détecté)

Modules: 0
(Aucun élément malicieux détecté)

Clés du Registre: 0
(Aucun élément malicieux détecté)

Valeurs du Registre: 0
(Aucun élément malicieux détecté)

Données du Registre: 0
(Aucun élément malicieux détecté)

Dossiers: 0
(Aucun élément malicieux détecté)

Fichiers: 8
PUP.Optional.MultiPlug.A, C:\Users\Piganeau\AppData\Local\Google\Chrome\User Data\Default\Cache\f_000045, , [e85f074491f982b47a46868bad557f81],
PUP.Optional.MultiPlug.A, C:\Users\Piganeau\AppData\Local\Google\Chrome\User Data\Default\Cache\f_0000c6, , [93b42e1d63275dd95769c44d3bc752ae],
PUP.Optional.MultiPlug.A, C:\Users\Piganeau\AppData\Local\Google\Chrome\User Data\Default\Cache\f_0000bf, , [2324a7a41f6b24127a469a77c73bd030],
PUP.Optional.MultiPlug.A, C:\Users\Piganeau\AppData\Local\Google\Chrome\User Data\Default\File System\000\t\00\00000000, , [e46378d3404abf77cef223ee1ee46f91],
PUP.Optional.MultiPlug.A, C:\Users\Piganeau\AppData\Local\Google\Chrome\User Data\Default\File System\000\t\00\00000001, , [4205f358d6b4bf77d1ef828f61a16997],
Trojan.Agent, G:\Applis\Premiere Elements\Adobe Premiere Elements 11\Keygen\keygen.exe, , [390eaba0b7d3171f519c357c3cc97f81],
Trojan.Zbot, G:\Applis\Utilitaires\securité\ccsetup133.exe, , [dd6a3d0eb0daa690791d4a76b64b8080],
PUP.Optional.Dregol.A, C:\Users\Piganeau\AppData\Roaming\Mozilla\Firefox\Profiles\lcenxeiy.default\prefs.js, Bon: (), Mauvais: (user_pref("browser.startup.homepage", "http://www.dregol.com/?f=1&a=drg_clu_15_13&cd=2XzuyEtN2Y1L1Qzu0EtDyCzyzyyD0E0AyC0Fzz0EyCtA0FyEtN0D0Tzu0StCtCzztBtN1L2XzutAtFzytFyBtFtDtN1L1CzutCyEtBzytDyD1V1StN1L1G1B1V1N2Y1L1Qzu2StAtCyEtDtC0CtCzytGyCtAtCtAtGtCyByByEtGzyyD0ByEtGyDyDyCtD0F0Ezz0EtA0DyEyD2QtN1M1F1B2Z1V1N2Y1L1Qzu2S0A0CtB0F0E0EtDyBtGtByC0CzztGyE0CyByDtGzytC0ByEtG0CyD0Bzy0CtCtD0A0FyE0C0D2QtN0A0LzuyE&cr=1162816056&ir="), ,[d07794b7cfbbd2643218dc58a165d729]

Secteurs physiques: 0
(Aucun élément malicieux détecté)
(end)

 

6/ shortcut cleaner

Shortcut Cleaner 1.3.5 by Lawrence Abrams (Grinler)
http://www.bleepingcomputer.com/
Copyright 2008-2015 BleepingComputer.com
More Information about Shortcut Cleaner can be found at this link:
http://www.bleepingcomputer.com/download/shortcut-cleaner/

Windows Version: Windows 7 Home Premium Service Pack 1
Program started at: 03/29/2015 03:26:39 PM.

Scanning for registry hijacks:

* No issues found in the Registry.

Searching for Hijacked Shortcuts:

Searching C:\Users\Piganeau\AppData\Roaming\Microsoft\Windows\Start Menu\

Searching C:\ProgramData\Microsoft\Windows\Start Menu\

Searching C:\Users\Piganeau\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\

Searching C:\Users\Public\Desktop\

Searching C:\Users\Piganeau\Desktop


0 bad shortcuts found.

Program finished at: 03/29/2015 03:26:52 PM
Execution time: 0 hours(s), 0 minute(s), and 13 seconds(s)

 

7/ ZHP diag final

http://cjoint.com/?0CDqnYm3qeM

 

Est ce que c'est bon maintenant ?

Merci beaucoup pour ton aide.

Thierry

[Apollo]

Bonjour,

 

Comment se comporte le pc?

 

As-tu mis tout en quarantaine avec MBAM?

 

Il semble que tout ne soit pas à jour. 'Adobe Flash Player' tu as la version 16 et la dernière est la 17.

 

https://get2.adobe.com/fr/flashplayer/ Fais attention à bien décocher les cases d'offres en option.

 

--------------

ZHPFix :

• Ferme toutes les applications ouvertes
• Double-clique sur ZHPFix, raccourci installé par ZHPDiag sur le Bureau

  Important:

  Sous Vista et Windows 7/8 : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur.

• Copie les lignes ci-dessous dans la fenêtre

sauf le mot citation.

 

Script ZhpFix

C:\Users\Piganeau\AppData\Local\Apps

 

 

EmptyClsid

Ifeofix

Proxyfix

FirewallRaz

ShortcutFix

EmptyPrefetch

emptytemp

emptyflash

Cliquer sur IMPORTER., cela devrait coller le contenu du presse papier dans la fenêtre ZHPFix.

• Le script doit automatiquement apparaitre dans ZHPFix.

   

  Clique sur le bouton GO pour lancer le nettoyage

• Valide par Oui la désinstallation des programmes si demandé.
• Laisse l'outil travailler. Si un redémarrage est demandé, accepte et redémarre le PC
• Le rapport ZHPFixReport.txt s'affiche. Copie-colle le contenu de ce rapport dans ta réponse.

  Le rapport ZHPFixReport.txt est enregistré sous C:\ZHP\ZHPFix.txt

Si le Bureau ne réapparaît pas presse Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , tape explorer.exe et valide.

++

[tipi1]

Merci Apollo,

Le PC me semble se comporter correctement, et oui j'ai mis en quarantaine les fichiers détectés par MBAM.

J'ai mis à jour Flash et j'ai fait ce que tu demandais avec ZHPfix. Le rapport est le suivant:

 

Rapport de ZHPFix 2015.3.18.4 par Nicolas Coolman, Update du 18/03/2015
Fichier d'export Registre :
Run by Piganeau at 29/03/2015 21:54:42
High Elevated Privileges : OK
Windows 7 Home Premium Edition, 32-bit Service Pack 1 (Build 7601)

Corbeille vidée (00mn 05s)
Dossier Prefetcher vidé
Réparation des raccourcis navigateur

========== Clés du Registre ==========
Branche de Base de Registres IFEO non infectée !

========== Valeurs du Registre ==========
ProxyFix : Configuration proxy supprimée avec succès
SUPPRIMÉ ProxyServer Value
SUPPRIMÉ ProxyEnable Value
SUPPRIMÉ EnableHttp1_1 Value
SUPPRIMÉ ProxyHttp1.1 Value
SUPPRIMÉ ProxyOverride Value
Aucune Valeur Standard Profile: FirewallRaz :
Aucune Valeur Domain Profile: FirewallRaz :
SUPPRIMÉ: FirewallRaz (Domain) : NetPres-In-TCP-NoScope
SUPPRIMÉ: FirewallRaz (Domain) : NetPres-Out-TCP-NoScope
SUPPRIMÉ: FirewallRaz (None) : NetPres-WSD-In-UDP
SUPPRIMÉ: FirewallRaz (None) : NetPres-WSD-Out-UDP
SUPPRIMÉ: FirewallRaz (Public) : NetPres-In-TCP
SUPPRIMÉ: FirewallRaz (Public) : NetPres-Out-TCP
SUPPRIMÉ: FirewallRaz (Private) : {BF43BD56-AD8F-4CCA-B734-FB75416AD98E}
SUPPRIMÉ: FirewallRaz (Private) : {13F32D4E-0E25-49EE-9D82-6F9D05D35467}
SUPPRIMÉ: FirewallRaz (Private) : {7FA9A384-8318-4827-8420-92AF10B5B9E0}
SUPPRIMÉ: FirewallRaz (Private) : {E3C20F4A-029B-4113-8468-1890A7E355E9}
SUPPRIMÉ: FirewallRaz (None) : {C4FDF1CA-7A6C-47F9-87EF-7B22FBDAE2D8}
SUPPRIMÉ: FirewallRaz (Private) : TCP Query User{421FB68E-2A86-4AD8-8A3D-AFFDEC1A5CBB}C:\users\lucas\appdata\roaming\cacaoweb\cacaoweb.exe
SUPPRIMÉ: FirewallRaz (Private) : UDP Query User{C16817BC-90B5-4B70-98AE-7B7E6E67BDFC}C:\users\lucas\appdata\roaming\cacaoweb\cacaoweb.exe
SUPPRIMÉ: FirewallRaz (None) : {366DFB35-8E8B-4F2E-9229-6AE212486DE7}
SUPPRIMÉ: FirewallRaz (None) : {84D062A1-3BC1-4065-B72A-070DF665D549}
SUPPRIMÉ: FirewallRaz (None) : {94E7F701-B758-4BF7-AC05-458FB5F46075}
SUPPRIMÉ: FirewallRaz (None) : {6A0494FC-3100-4F91-83BA-798D036BBEB2}
SUPPRIMÉ: FirewallRaz (Public) : TCP Query User{DD51F0EA-D2ED-4371-B6D8-1D88B8B4EB36}C:\users\lucas\appdata\roaming\cacaoweb\cacaoweb.exe
SUPPRIMÉ: FirewallRaz (Public) : UDP Query User{45A5CBD4-2A73-4FFA-A09B-10F6833A0A06}C:\users\lucas\appdata\roaming\cacaoweb\cacaoweb.exe
SUPPRIMÉ: FirewallRaz (Private) : {1B8C71FE-A1D3-4285-8321-C4FF054D0793}
SUPPRIMÉ: FirewallRaz (Private) : {6DEE1277-17E5-4A6A-8A2B-1AAA859499E0}
SUPPRIMÉ: FirewallRaz (Private) : {BC22A95B-A34B-43B0-807D-0EFA52048106}
SUPPRIMÉ: FirewallRaz (Private) : {3E4B5B22-56C3-40EA-B664-63A42D20311B}
SUPPRIMÉ: FirewallRaz (Private) : {45326297-4E94-4543-842B-603C390B35E5}
SUPPRIMÉ: FirewallRaz (Private) : {D1520FBA-F984-4FE2-A332-5911F69E2EB2}

========== Dossiers ==========
Aucun dossiers CLSID Local utilisateur vide
SUPPRIMÉS Temporaires Windows (16)
SUPPRIMÉS Flash Cookies (0)

========== Fichiers ==========
SUPPRIMÉS Temporaires Windows (21) (3 542 237 octets)
SUPPRIMÉS Flash Cookies (0) (0 octets)


========== Récapitulatif ==========
1 : Clés du Registre
33 : Valeurs du Registre
3 : Dossiers
2 : Fichiers

End of clean in 00mn 06s

========== Chemin de fichier rapport ==========
C:\Users\Piganeau\AppData\Roaming\ZHP\ZHPFix[R1].txt - 29/03/2015 21:54:48 [3206]

[Apollo]

Re,

 

Si tout est bon,

 

Désinstaller les outils spéciaux.

 

Télécharge DelFix sur ton bureau. https://toolslib.net/downloads/viewdownload/2-delfix/

Lance-le et coche "Supprimer les outils de désinfection". >> Exécuter.

 

NB, tu peux également cocher la case "Purger la restauration système", un nouveau point sera automatiquement créé. Conseillé quand le pc est désinfecté.

 

 

Delfix s'autodétruira ensuite.

• Pense à éditer ton premier post pour ajouter [Résolu] devant le titre. Pour cela clique sur "Modifier" dans ton premier post. Tu pourras alors changer le titre.

Utilise pour ça, l'éditeur complet

 

 

@++

[tipi1]

Merci Apollo

[Apollo]

Il n'y a pas de quoi.

 

Prudence sur le net.

 

Bye bye.