[Résolu] Antivirus inactif. Infection ?

[gobeload]

Bonjour à tous,

Un collègue m'a passé son ordinateur parce qu’il a remarqué un problème.

Symptôme :
Son antivirus (Avast) est désactivé, et pas moyen de le réactiver.

Ce que j'ai fait :
Il (le propriétaire) me demande de désinstaller et remettre Avast.
Après quelques essais infructueux pour réactiver Avast, je le désinstalle proprement
(en mode sans échec avec avastclear), et le réinstalle.
Avast est dans le même état qu'avant, installé mais pas actif.

Dans les services, j'ai vu que Avast est à l'état "démarrage".

J'ai désinstallé une nouvelle fois Avast et essayé d'installer un autre antivirus.
L'installation n'est jamais arrivée à son terme.
Le "Avira launcher" est présent, la protection web installée, mais pas l'antivirus.
Je relance l'installation, après avoir bossé avira demande de redémarrer l'ordinateur.
Redémarrage, antivirus pas installé.

J'ai demandé au propriétaire s'il y avait eu un "événement déclencheur" à son problème,
genre installation de logiciel ou téléchargement, il me dit que non.


Je vous joint un rapport ZHPDiag. Y-a-t-il quelque-chose qui expliquerais le problème là dedans?

http://www.cjoint.com/c/EJnjAUCxyK0

Merci pour votre aide.

Modifié le 16 octobre 2015 par gobeload

[pear]

Bonjour,

 

1)Certains outils sont parfois détectés par votre Anti-virus ou votre Anti-Malware comme étant un "RiskTool", un virus ou un "Trojan"
Dans ce cas:
Autorisez l'outil dans les exceptions de votre antivirus ou antimalware.
ou
Comment désactiver les protections résidentes
Bien évidemment, vous les rétablirez ensuite.

De même,votre navigateur peut bloquer un programme parce qu'il le croit dangereux.
Il faut donc décocher le blocage provisoirement
Sous Firefox ,
Options->Sécurité
Décocher : "Bloquer les sites signalés comme site d'attaque" .

Sous Chrome
Appuyer sur Ctrl+J (Downloads) -> "Récupérer le fichier malveillant" -> "Récupérer malgré tout"

Sous IE
Désactiver le filtre Smart Screen

Vous devez trouver les 2 icônes Zhpdiag, Zhpfix,
Sur le bureau ou sinon dans le dossier où vous avez installé Zhpdiag (Program files ->Zhpdiag ->Zhpfix)

sinon,
il est là
Cliquer sur l'icône Zhpfix


Sous Vista et + clic-droit, "Exécuter En tant qu'Administrateur

Copiez/Collez les lignes vertes dans le cadre ci dessous:
pour cela;
Clic gauche maintenu enfoncé, Balayer l'ensemble du texte à copier avec la souris pour le mettre en surbrillance ,de gauche à droite et de haut en bas
Ctrl+c mettre le tout en mémoire
Cliquer sur Importer
pour inscrire le texte dans la fenêtre vide qui s'ouvre


Script ZHPFix

O4 - GS\Quicklaunch [Administrateur]: FLV Player.lnk . (...) C:\Users\TOF\FLVPlayer\FLVPlayer.exe
O4 - GS\Quicklaunch [invité]: FLV Player.lnk . (...) C:\Users\TOF\FLVPlayer\FLVPlayer.exe
O4 - GS\Quicklaunch [TOF]: FLV Player.lnk . (...) C:\Users\TOF\FLVPlayer\FLVPlayer.exe
O4 - GS\Quicklaunch [updatusUser]: FLV Player.lnk . (...) C:\Users\TOF\FLVPlayer\FLVPlayer.exe
O43 - CFD: 2013/03/20 21:52:20 - [] D -- C:\Program Files\Software
O43 - CFD: 2013/03/20 21:52:20 - [] D -- C:\ProgramData\Software
O43 - CFD: 2013/03/20 21:50:39 - [] D -- C:\Users\TOF\AppData\Local\Software
C:\Program Files\Software
C:\ProgramData\Software
C:\Users\TOF\AppData\Local\Software
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} . (.Google Inc. - Google Toolbar.) -- C:\Program Files\Google\Google Toolbar\GoogleToolbar_32.dll ©
[MD5.00000000000000000000000000000000] [APT] [AVG-Secure-Search-Update_JUNE2013_TB_rmv] (...) -- C:\Windows\TEMP\{2426C65E-F9F8-401B-89AC-22D74FEAE577}.exe (.not file.) [0]
O39 - APT: AVG-Secure-Search-Update_JUNE2013_TB_rmv - (...) -- C:\Windows\Tasks\AVG-Secure-Search-Update_JUNE2013_TB_rmv.job [352]
O39 - APT: AVG-Secure-Search-Update_JUNE2013_TB_rmv - (...) -- C:\Windows\System32\Tasks\AVG-Secure-Search-Update_JUNE2013_TB_rmv [2856]



EmptyClsid
EmptyFlash
EmptyPrefetch
FirewallRaz
Ifeofix
Proxyfix
ShortcutFix
Sysrestore



Cliquer sur "Go" en bas, à gauche

Redémarrer pour achever le nettoyage.

Copier-coller,dans la réponse, le contenu du rapport ZHPFixReport.txt qui s'affiche .
Si besoin; il est enregistré sous C:\ZHP\ZHPFixReport.txt

2) Téléchargez sur le bureau ZhpCleaner
Désactivez vos protections: antivirus, ...
Fermez toutes les applications en cours (notamment votre navigateur)

Double cliquer sur Scanner pour lancer l'application
Sous Windows Vista / 7 / 8 clic droit > Exécuter en tant qu'administrateur
Accepter "les conditions d'utilisation"

Cliquer sur Nettoyer
En cas de présence d'un proxy, un message apparaît avec cette question suivie de l'adresse IP du proxy.:
Avez-vous installé ce proxy ?
Si vous n'avez pas installé de Proxy, cliquer sur Non pour en accepter la réparation.



3)Il faut Réinitialiser votre Navigateur
en cliquant ici

Cela désinstallera plugins et extensions que vous pourrez réinstaller avec la prudence nécessaire,après redémarrage

4)-=Suppression des fichiers temporaires=-


Téléchargez CCleaner
et installez le
à l'installation penser à décocher l'installation de Yahoo toolbar discrètement proposée en plus de CCleaner.
Lancez le en double cliquant sur CCleaner.exe

*Dans la section "Options" située dans la marge gauche,aller dans "Avancé" et décocher "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 24 heures".
Dans l'onglet "Cookies"
Sélectionnez ceux que vous voulez sauvegarder.
Dans la section "Nettoyeur"
Cocher toutes les cases dans la marge gauche pour Internet Explorer et Windows Explorer
Faites de même pour Système sauf les 2 dernières
Dans Avancé, ne cochez que les 4 dernières sauf Nettoyer l'espace libre
Cliquer sur Analyse
Le scan, qui peut prendre un peu de temps si c'est la première fois.
Une fois le scan terminé, cliquer sur Lancer le Nettoyage
Paramètrez la section Applications en fonction de votre système

Evitez d'utiliser le nettoyage du Régistre qui, pour vous faire gagner quelques microsecondes, risque de déstabiliser votre système




Comment poster les rapports
Aller sur le site Cijoint
Appuyer sur Parcourir et chercher les rapports sur le disque,
Cliquer sur Ouvrir
Cliquer sur Créer le lien CJoint,
>> dans la page suivante --> ,,
une adresse http//.. sera créée
Copier /coller cette adresse dans votre prochain message.
Sous Firefox, clic droit sur l'URL et, dans le menu contextuel qui s'ouvre, choisir « Copier l'adresse du lien »

Avec le navigateur Internet Explorer pour copier/coller sur le forum:
Cliquer sur le bouton, à gauche,en jaune sur la capture

Puis coller votre lien.

Modifié le 13 octobre 2015 par pear

[gobeload]

Voici le rapport ZHPFix :

 

Rapport de ZHPFix 2015.8.24.7 par Nicolas Coolman, Update du 24/08/2015

Fichier d'export Registre :

Run by TOF at 13/10/2015 13:30:34

High Elevated Privileges : OK

Windows 7 Ultimate Edition, 32-bit Service Pack 1 (Build 7601)

Corbeille vidée (00mn 10s)

Dossier Prefetcher vidé

Réparation des raccourcis navigateur

========== Clés du Registre ==========

SUPPRIMÉ: CLSID BHO: {AA58ED58-01DD-4d91-8333-CF10577473F7}

SUPPRIMÉ: [HKLM\SOFTWARE\Classes\CLSID\{AA58ED58-01DD-4d91-8333-CF10577473F7}]

Branche de Base de Registres IFEO non infectée !

========== Valeurs du Registre ==========

Aucune Valeur Standard Profile: FirewallRaz :

Aucune Valeur Domain Profile: FirewallRaz :

ProxyFix : Configuration proxy supprimée avec succès

SUPPRIMÉ ProxyServer Value

SUPPRIMÉ ProxyEnable Value

SUPPRIMÉ EnableHttp1_1 Value

SUPPRIMÉ ProxyHttp1.1 Value

SUPPRIMÉ ProxyOverride Value

========== Dossiers ==========

Aucun dossiers CLSID Local utilisateur vide

SUPPRIMÉS Flash Cookies (0)

========== Fichiers ==========

SUPPRIMÉ: c:\program files\google\google toolbar\googletoolbar_32.dll

SUPPRIMÉS Flash Cookies (0) (0 octets)

========== Tache planifiée ==========

SUPPRIMÉ: AVG-Secure-Search-Update_JUNE2013_TB_rmv

SUPPRIMÉ: AVG-Secure-Search-Update_JUNE2013_TB_rmv

========== Restauration Système ==========

Point de restauration du système créé avec succès

========== Récapitulatif ==========

3 : Clés du Registre

8 : Valeurs du Registre

2 : Dossiers

2 : Fichiers

2 : Tache planifiée

1 : Restauration Système

End of clean in 00mn 33s

========== Chemin de fichier rapport ==========

C:\Users\TOF\AppData\Roaming\ZHP\ZHPFix[R1].txt - 13/10/2015 13:30:45 [1636]

Maintenant je lance ZHPCleaner ?

[pear]

 

Maintenant je lance ZHPCleaner ?

Naturellement !

[gobeload]

Rapport ZHPCleaner :

 

~ ZHPCleaner v2015.10.11.362 by Nicolas Coolman (2015/10/11)

~ Run by TOF (Administrator) (13/10/2015 14:04:47)

~ Site : http://www.nicolascoolman.fr

~ Facebook : https://www.facebook.com/nicolascoolman1

~ State version : Version OK

~ Type : Nettoyer

~ Report : C:\Users\TOF\Desktop\ZHPCleaner.txt

~ Quarantine : C:\Users\TOF\AppData\Roaming\ZHP\ZHPCleaner_Quarantine.txt

~ UAC : Activate

~ Boot Mode : Normal (Normal boot)

Windows 7 Ultimate, 32-bit Service Pack 1 (Build 7601)

---\\ Service. (0)

~ Aucun élément malicieux ou superflu trouvé.

---\\ Navigateur internet. (0)

~ Aucun élément malicieux ou superflu trouvé.

---\\ Fichier hôte. (1)

~ Le fichier hôte est légitime. (25)

---\\ Tâche planifiée. (0)

~ Aucun élément malicieux ou superflu trouvé.

---\\ Explorateur ( Dossiers, Fichiers ). (15)

DEPLACÉ fichier: C:\Users\TOF\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\FLV Player.lnk [bad : C:\Users\TOF\FLVPlayer\FLVPlayer.exe] =>PUP.Optional.FLVPlayer

DEPLACÉ dossier: C:\Windows\Installer\MSI116E.tmp- =>Empty

DEPLACÉ dossier: C:\Windows\Installer\MSI12BB.tmp- =>Empty

DEPLACÉ dossier: C:\Windows\Installer\MSI13B6.tmp- =>Empty

DEPLACÉ dossier: C:\Windows\Installer\MSI2589.tmp- =>Empty

DEPLACÉ dossier: C:\Windows\Installer\MSI2701.tmp- =>Empty

DEPLACÉ dossier: C:\Windows\Installer\MSI4F0C.tmp- =>Empty

DEPLACÉ dossier: C:\Windows\Installer\MSI5027.tmp- =>Empty

DEPLACÉ dossier: C:\Windows\Installer\MSI8B3D.tmp- =>Empty

DEPLACÉ dossier: C:\Windows\Installer\MSIDC41.tmp- =>Empty

DEPLACÉ dossier: C:\Windows\Installer\MSIDE56.tmp- =>Empty

DEPLACÉ dossier: C:\Windows\Installer\MSIF0D6.tmp- =>Empty

DEPLACÉ dossier: C:\Windows\Installer\MSIF1E0.tmp- =>Empty

DEPLACÉ dossier: C:\Windows\Installer\MSIF329.tmp- =>Empty

DEPLACÉ dossier: C:\Windows\Installer\MSIF454.tmp- =>Empty

---\\ Base de Registres ( Clés, Valeurs, Données ). (5)

SUPPRIMÉ valeur: HKLM\SOFTWARE\Mozilla\Firefox\Extensions\\avg@toolbar [C:\ProgramData\AVG Secure Search\FireFoxExt\17.3.0.49] =>Toolbar.AVGSearch

SUPPRIMÉ clé*: HKLM\SOFTWARE\Classes\protector_dll.protectorbho [Google Toolbar Notifier BHO] =>PUP.Optional.BProtector

SUPPRIMÉ clé*: HKLM\SOFTWARE\Classes\protector_dll.protectorbho.1 [Google Toolbar Notifier BHO] =>PUP.Optional.BProtector

SUPPRIMÉ clé*: HKLM\SOFTWARE\Classes\TypeLib\{0DBE1FC4-77AE-48C0-80B9-04E1C489F5FF} [metacrawlerCmn 1.0 Type Library] =>PUP.Optional.SearchYa

SUPPRIMÉ clé*: HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{B73DC3B9-9E08-4781-BF75-12F6A54FBF89} [C:\Program Files\metaCrawler\1.8.19.0\ (Not File)] =>PUP.Optional.SearchYa

---\\ Bilan de la réparation

~ Réparation réalisée avec succès.

~ Ce navigateur est absent (Mozilla Firefox)

~ Ce navigateur est absent (Opera Software)

---\\ Statistiques

~ Items scannés : 409

~ Items trouvés : 0

~ Items annulés : 0

~ Items réparés : 20

~ End of clean in 0 minutes

===================

ZHPCleaner-[R]-13102015-14_04_59.txt

ZHPCleaner--13102015-14_03_36.txt

[gobeload]

Je rencontre une difficulté pour réinitialiser Chrome. La page paramètres reste vierge ! Impossible d'accéder à la commande de réinitialisation.

Les autres onglets, historique et extensions, fonctionnent.

[pear]

Réinitialiser le navigateur en cliquant ici

Cela désinstallera plugins et extensions que vous pourrez réinstaller avec la prudence nécessaire

 

Si vous êtes bloqué, désactivez votre antivirus

[gobeload]

Dans Chrome (navigateur par défaut ici) la page de paramètres reste vierge. La commande de réinitialisation est donc inaccessible.

 

L'antivirus n'est pas actif puisque il n'a pas réussi à s'installer. C'est le problème à l'origine de ce fil.

Modifié le 13 octobre 2015 par gobeload

[pear]

Peut-être un problème de droits sur Chrome et l'antivirus:

 

Télécharger GrantPerms de Farbar
en fonction de votre système 32 ou 64 bits

1/ pour lister les autorisations

Pour les systèmes x86, télécharger GrantPerms.zip et enregistrer le fichier sur le Bureau.
Version 32 bit
Pour les systèmes x64, télécharger GrantPerms64.zip et enregistrer le fichier sur le Bureau.
Version 64 bit

Décompresser l'archive ainsi téléchargée, et en fonction du système lancer GrantPerms.exe ou GrantPerms64.exe
Faire un Copier/Coller de ce qui suit dans la zone de saisie du programme:

chemin du fichier/dossier à examiner p.ex:C:\Program Files (x86)\Mozilla Firefox

...
2/ pour déverrouiller des fichiers

Cliquer sur Unlock.
Lorsque l'outil a terminé, cliquer sur OK.

Cliquer sur List Permissions et envoyer en réponse le contenu du fichier Perms.txt qui s'est ouvert.
Le fichier Perms.txt est enregistré dans le dossier à partir duquel l'outil a été lancé.

[gobeload]

J'ai lancé l'outil sur le dossier d’installation de chrome. Je ne sais pas si c'est la bonne cible. Chrome range des fichiers de paramétrage dans pleins d'endroits.

 

Le rapport :

 

GrantPerms by Farbar

Ran by TOF (administrator) at 2015-10-13 16:50:48

===============================================

\\?\C:\Program Files\Google\Chrome

Owner: BUILTIN\Administrateurs

DACL(NP)(AI):

BUILTIN\Administrateurs FULL ALLOW (CI)(OI)

AUTORITE NT\Système FULL ALLOW (CI)(OI)

BUILTIN\Utilisateurs READ/EXECUTE ALLOW (CI)(OI)

NT SERVICE\TrustedInstaller FULL ALLOW (I)

NT SERVICE\TrustedInstaller FULL ALLOW (CI)(IO)(I)

AUTORITE NT\Système FULL ALLOW (I)

AUTORITE NT\Système FULL ALLOW (CI)(OI)(IO)(I)

BUILTIN\Administrateurs FULL ALLOW (I)

BUILTIN\Administrateurs FULL ALLOW (CI)(OI)(IO)(I)

BUILTIN\Utilisateurs READ/EXECUTE ALLOW (I)

BUILTIN\Utilisateurs READ/EXECUTE ALLOW (CI)(OI)(IO)(I)

CREATEUR PROPRIETAIRE FULL ALLOW (CI)(OI)(IO)(I)