FAUX MODULE MOZILLA

Résolu/Fermé
efikas Messages postés 113 Date d'inscription lundi 3 novembre 2008 Statut Membre Dernière intervention 6 février 2010 - 4 janv. 2010 à 09:54
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 - 10 janv. 2010 à 00:37
Bonjour,

Par hasard je me suis rendu compte qu'un faux module supplémentaire Mozilla s'était installé dans la rubrique extension.Ce module s'appelle ZWUNZI ne peut pas se désinstaller (option grisé) juste on peut l'activer/désactiver.il se présente comme un"search from adress bar" et apparait dans la liste des moteurs de recherche du menu mozilla en haut à droite (menu déroulant des moteurs de recherche).
Si par malheur ou par simple curiosité on active ce moteur de recherche et qu'on lance une recherche il nous dirige vers son site ( zwunzi point com ) qui est un site à "trés mauvaise réputation" dixit WOT le module de mozilla qui donne des indications sur les sites visités (vert on peut y aller jusqu à rouge attention ce site à mauvaise réputation).Prévenu j'ai renoncé à me connecter à ce site.
J'ai supprimé des fichiers lui faisant reference dans c\prorammes\mozilla firefox\extensions repertoire chrome et aussi dans le repertoire search plugins.
Pour les fichiers .exe (zwunzi 127) et un .xml (zwunzi 127 aussi) ainsi qu'un service zwunzi code 023 je m'en suis débarassé avec Old Timer qui les a mis d'abord en quarantaine OTM (dans MovedFiles) et que j'ai supprimé définitivement en cliquant sur "clean up" du meme Old Timer (OTM).
J'ai fait une recherche dans mon PC je ne trouve plus de traces de Zwunzi (apparement).
J'ai Avast en gratuit et Spybot les 2 à jour qui ne m'ont rien décelés en amont.
tout cela c'était hier soir.
Ce matin j'ai fait un scan spybot qui n'a rien trouvé et je viens de lancer un scan au démarrage (qui est en cours...là je suis sur un autre pc).
J'aimerais bien essayer de comprendre où j'ai pu attraper ce "Zwunzi" et je me pose d'autant plus la question que ce PC est utilisé majoritairement par mon ado de fils qui a tendance à être moins regardant que moi sur ce qu'il télécharge.
Faut il que je poste un rapport hijackis pour avoir un avis de chez vous et savoir si le problème est résolu ou pas ?

Merci pour vos réponses
A voir également:

9 réponses

Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
4 janv. 2010 à 10:28
Bonjour,

plutôt qu'un rapport HJT, aujourd'hui limité, fais ceci :

Télécharge la dernière version de ZHPDiag

Enregistre le sur ton Bureau.

Une fois le téléchargement achevé,fais un double clic sur ZHPDiag.exe et suis les instructions.

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

pour Xp :Double clique sur le raccourci ZHPDiag sur ton Bureau.

pour vista et Seven : fais un clic droit sur le raccourci ZHPDiag sur ton Bureau et choisis "exécuter en tant qu'administrateur".

/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.

Clique sur la loupe pour lancer l'analyse.

Laisse l'outil travailler, il peut être assez long.

Ferme ZHPDiag en fin d'analyse.


Pour transmettre le rapport clique sur Cijoint

Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag).

Sélectionne le fichier ZHPDiag.txt.

Clique sur "Cliquez ici pour déposer le fichier".

Un lien de cette forme :

http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt

est ajouté dans la page.

Copie ce lien dans ta réponse.
0
efikas Messages postés 113 Date d'inscription lundi 3 novembre 2008 Statut Membre Dernière intervention 6 février 2010 16
4 janv. 2010 à 10:50
Bonjour Lyonnais 92,

Heureux de te revoir, j'ai déjà bénéficié de tes excellents conseils avec grand bénéfice.
Actuellement le Pc concerné par ce problême avec Zwunzi fait son scan avast au démarrage ( 83 % effectués) dés qu il a fini je fais ce que tu m'as demandé.
à tout de suite ......
0
efikas Messages postés 113 Date d'inscription lundi 3 novembre 2008 Statut Membre Dernière intervention 6 février 2010 16
4 janv. 2010 à 11:35
Bonjour,

Bon le scan au demarrage de avast est terminé ( pas de rapport? Normal si tout est OK ?et puis je n'avais pas coché la case "rapport" dans les réglages avast..maintenant c'est fait j'ai coché ...pour le prochain scan !)

J'ai donc pu faire ce que tu m'as demandé .

Voici le lien de ZHPDiag
http://www.cijoint.fr/cjlink.php?file=cj201001/cijpJ0Xh9O.txt


Sinon je te joins aussi une copie du journal AVAST rubrique avertissements (que moi je n'ai pas vu à l'époque...peut etre mon fils les a vus mais il ne m'as rien dit ...mumble c 'est un pgr de chat je crois qu'il utilise avec steam tout celà pour jouer en ligne au mmo Counter strike source).
la voici
0/07/2009 15:27:19 SYSTEM 1576 AAVM - scanning warning: x_AavmCheckFileDirectEx [UNI]: C:\Users\yves\AppData\Roaming\Mumble\mumble.sqlite (C:\Users\yves\AppData\Roaming\Mumble\mumble.sqlite) returning error, 00000005.
26/08/2009 19:20:41 SYSTEM 1620 Sign of "Win32:Delf-MLA [Trj]" has been found in "http://www.facilecs.com/Hack/22mars-2.rar\I-LoVe-it CSS Recode 1.0\I-LoVe-it CSS Recode 1.0.dll" file.
26/08/2009 19:20:42 SYSTEM 1620 Sign of "Win32:Delf-MLA [Trj]" has been found in "C:\Users\yves\AppData\Local\Temp\07x8gcmk.rar.part\I-LoVe-it CSS Recode 1.0\I-LoVe-it CSS Recode 1.0.dll" file.
23/10/2009 13:46:37 yves 2424 Function setifaceUpdatePackages() has failed. Return code is 0x2000000A, dwRes is 2000000A.
23/11/2009 20:26:45 SYSTEM 1424 Sign of "Win32:Adware-gen [Adw]" has been found in "C:\Program Files\Zwunzi\zwunzi.dll" file.
23/11/2009 20:30:58 SYSTEM 1424 Sign of "Win32:Adware-gen [Adw]" has been found in "C:\Program Files\Zwunzi\zwunzi.dll" file.
23/11/2009 20:31:01 SYSTEM 1424 Sign of "Win32:Adware-gen [Adw]" has been found in "C:\Program Files\Zwunzi\zwunzi.dll" file.
23/11/2009 20:31:01 SYSTEM 1424 Sign of "Win32:Adware-gen [Adw]" has been found in "C:\Program Files\Zwunzi\zwunzi.dll" file.


Merci
0
efikas Messages postés 113 Date d'inscription lundi 3 novembre 2008 Statut Membre Dernière intervention 6 février 2010 16
4 janv. 2010 à 13:18
euh je crois que je me suis trompé de fichier à te faire parvenir dans mon post précédent

je met le bon :

http://www.cijoint.fr/cjlink.php?file=cj201001/cijJMhgLyV.txt
0
efikas Messages postés 113 Date d'inscription lundi 3 novembre 2008 Statut Membre Dernière intervention 6 février 2010 16
4 janv. 2010 à 14:38
En cherchant dans le pc j'ai trouvé ce fichier cs.rar téléchargé le 26/08/09 (jour de l'avertissement avast) qui aprés analyse avec virus total est positif voir ci dessous rapport virus total :
j'ai toujours ce fichier dans ma liste de telechargements


Fichier cs.rar reçu le 2010.01.04 13:24:49 (UTC)
Situation actuelle: en cours de chargement ... mis en file d'attente en attente en cours d'analyse terminé NON TROUVE ARRETE
Résultat: 8/41 (19.52%)
en train de charger les informations du serveur...
Votre fichier est dans la file d'attente, en position: 2.
L'heure estimée de démarrage est entre 50 et 71 secondes.
Ne fermez pas la fenêtre avant la fin de l'analyse.
L'analyseur qui traitait votre fichier est actuellement stoppé, nous allons attendre quelques secondes pour tenter de récupérer vos résultats.
Si vous attendez depuis plus de cinq minutes, vous devez renvoyer votre fichier.
Votre fichier est, en ce moment, en cours d'analyse par VirusTotal,
les résultats seront affichés au fur et à mesure de leur génération.
Formaté Formaté
Impression des résultats Impression des résultats
Votre fichier a expiré ou n'existe pas.
Le service est en ce moment, stoppé, votre fichier attend d'être analysé (position : ) depuis une durée indéfinie.

Vous pouvez attendre une réponse du Web (re-chargement automatique) ou taper votre e-mail dans le formulaire ci-dessous et cliquer "Demande" pour que le système vous envoie une notification quand l'analyse sera terminée.
Email:

Antivirus Version Dernière mise à jour Résultat
a-squared 4.5.0.46 2010.01.04 -
AhnLab-V3 5.0.0.2 2010.01.02 -
AntiVir 7.9.1.122 2009.12.31 -
Antiy-AVL 2.0.3.7 2010.01.04 -
Authentium 5.2.0.5 2010.01.04 W32/Themida_Packed!Eldorado
Avast 4.8.1351.0 2010.01.03 -
AVG 8.5.0.430 2010.01.04 Win32/Themida
BitDefender 7.2 2010.01.04 -
CAT-QuickHeal 10.00 2010.01.04 -
ClamAV 0.94.1 2010.01.04 -
Comodo 3465 2010.01.04 -
DrWeb 5.0.1.12222 2010.01.04 -
eSafe 7.0.17.0 2010.01.03 -
eTrust-Vet 35.1.7214 2010.01.04 -
F-Prot 4.5.1.85 2010.01.03 W32/Themida_Packed!Eldorado
F-Secure 9.0.15370.0 2010.01.04 -
Fortinet 4.0.14.0 2010.01.02 -
GData 19 2010.01.04 -
Ikarus T3.1.1.79.0 2009.12.31 Trojan.Crypt
Jiangmin 13.0.900 2010.01.04 -
K7AntiVirus 7.10.936 2010.01.02 -
Kaspersky 7.0.0.125 2010.01.04 -
McAfee 5850 2010.01.03 New Malware.jn
McAfee+Artemis 5850 2010.01.03 New Malware.jn
McAfee-GW-Edition 6.8.5 2010.01.04 -
Microsoft 1.5302 2010.01.04 VirTool:Win32/Obfuscator.XX
NOD32 4742 2010.01.04 -
Norman 6.04.03 2010.01.04 -
nProtect 2009.1.8.0 2010.01.04 -
Panda 10.0.2.2 2010.01.03 -
PCTools 7.0.3.5 2010.01.04 -
Prevx 3.0 2010.01.04 -
Rising 22.29.00.04 2010.01.04 -
Sophos 4.49.0 2010.01.04 Sus/UnkPack-C
Sunbelt 3.2.1858.2 2010.01.03 -
Symantec 20091.2.0.41 2010.01.04 -
TheHacker 6.5.0.3.131 2010.01.04 -
TrendMicro 9.120.0.1004 2010.01.04 -
VBA32 3.12.12.1 2010.01.04 -
ViRobot 2010.1.4.2120 2010.01.04 -
VirusBuster 5.0.21.0 2010.01.03 -
Information additionnelle
File size: 1188871 bytes
MD5...: 01315fe650895286df48442e9027a0e6
SHA1..: fe84ffa458cc938f49a4819fbfd1698ac49ffed5
SHA256: e2875a6f9c126b03deaf87e52caa0b4e51067b817cc3aacacd5407980dbdedc7
ssdeep: 24576:u8mJqba0CVgnYQQW6EeknuCkk+IDLiMLoEkTxekvT2via6+m:+JtVgzl6E
etkdDDLoEkxjyvr6+m
PEiD..: -
PEInfo: -
RDS...: NSRL Reference Data Set
-
pdfid.: -
trid..: RAR Archive (83.3%)
REALbasic Project (16.6%)
sigcheck:
publisher....: n/a
copyright....: n/a
product......: n/a
description..: n/a
original name: n/a
internal name: n/a
file version.: n/a
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned
packers (F-Prot): Themida
packers (Authentium): Themida
0
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
4 janv. 2010 à 15:40
Bonjour,

je crois que tu as tout supprimé.

On nettoye les outils :

Pour Vista : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique sur le A rouge (Nettoyeur de Tools).

Clique sur Nettoyer.

Fais redémarrer l'ordi pour terminer le nettoyage.
0
efikas Messages postés 113 Date d'inscription lundi 3 novembre 2008 Statut Membre Dernière intervention 6 février 2010 16
4 janv. 2010 à 16:17
Merci de ta réponse,

Nettoyage terminé ? C'est une bonne nouvelle !

Mais si je peux me permetttre tu ne m'as pas répondu sur ceci qui suit et sur le post n°5 où je met un rapport de ce que trouve virus total en scannant un fichier encore présent dans mon ordi (que je peux supprimer facilement en effet puisqu'il est dans le fichier telechargements) :

rappel post n°3
Sinon je te joins aussi une copie du journal AVAST rubrique avertissements (que moi je n'ai pas vu à l'époque...peut etre mon fils les a vus mais il ne m'as rien dit ...mumble c 'est un pgr de chat je crois qu'il utilise avec steam tout celà pour jouer en ligne au mmo Counter strike source).
la voici
0/07/2009 15:27:19 SYSTEM 1576 AAVM - scanning warning: x_AavmCheckFileDirectEx [UNI]: C:\Users\yves\AppData\Roaming\Mumble\mumble.sqlite (C:\Users\yves\AppData\Roaming\Mumble\mumble.sqlite) returning error, 00000005.
26/08/2009 19:20:41 SYSTEM 1620 Sign of "Win32:Delf-MLA [Trj]" has been found in "http://www.facilecs.com/Hack/22mars-2.rar\I-LoVe-it CSS Recode 1.0\I-LoVe-it CSS Recode 1.0.dll" file.
26/08/2009 19:20:42 SYSTEM 1620 Sign of "Win32:Delf-MLA [Trj]" has been found in "C:\Users\yves\AppData\Local\Temp\07x8gcmk.rar.part\I-LoVe-it CSS Recode 1.0\I-LoVe-it CSS Recode 1.0.dll" file.
23/10/2009 13:46:37 yves 2424 Function setifaceUpdatePackages() has failed. Return code is 0x2000000A, dwRes is 2000000A.
23/11/2009 20:26:45 SYSTEM 1424 Sign of "Win32:Adware-gen [Adw]" has been found in "C:\Program Files\Zwunzi\zwunzi.dll" file.
23/11/2009 20:30:58 SYSTEM 1424 Sign of "Win32:Adware-gen [Adw]" has been found in "C:\Program Files\Zwunzi\zwunzi.dll" file.
23/11/2009 20:31:01 SYSTEM 1424 Sign of "Win32:Adware-gen [Adw]" has been found in "C:\Program Files\Zwunzi\zwunzi.dll" file.
23/11/2009 20:31:01 SYSTEM 1424 Sign of "Win32:Adware-gen [Adw]" has been found in "C:\Program Files\Zwunzi\zwunzi.dll" file.
0
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
4 janv. 2010 à 16:22
Re,

oui, supprime cs.rar

Si il résiste, va en mode sans échec;

Pour les avertissements, il semble que ils ne sont plus sur l'ordi.

Vérifie en scannant l'ordi avec l' antivirus.
0
efikas Messages postés 113 Date d'inscription lundi 3 novembre 2008 Statut Membre Dernière intervention 6 février 2010 16
4 janv. 2010 à 16:54
re,

j'ai trouvé plusieurs cs. quelque chose(dont un Kartoffel-Hack v2.9) dans le repertoire counter strike de mon fils tous autant infectés les uns que les autres au scan virus total.
Bon je pense qu il faut que je les supprime? Sinon quelle est la procédure exacte pour supprimer en mode sans echecs s'il te plait ?
0
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
4 janv. 2010 à 16:58
Re,

Démarre en mode sans échec :
Pour cela, tu tapotes la touche F8 dès le début de l’allumage du pc sans t’arrêter.
Une fenêtre va s’ouvrir tu te déplaces avec les flèches du clavier sur démarrer en mode sans échec puis tape entrée.
Une fois sur le bureau s’il n’y a pas toutes les couleurs et autres c’est normal !
(Si F8 ne marche pas utilise la touche F5).
0
efikas Messages postés 113 Date d'inscription lundi 3 novembre 2008 Statut Membre Dernière intervention 6 février 2010 16
4 janv. 2010 à 17:05
re,

c'est trés bizarre ...j'avais noté le rapport d'analyse de cs.rar dans note pad et fait une sauvegarde dans mes documents et là je viens de me rendre compte que le fichier .texte s'est transformé en fichier .rar ??c'est possible ça ?

Sinon une fois que j'ai démarré en mode sans echec on retrouve les memes menus pour faire la suppression de fichiers que lors d'un démarrage normal ?
0
efikas Messages postés 113 Date d'inscription lundi 3 novembre 2008 Statut Membre Dernière intervention 6 février 2010 16
4 janv. 2010 à 21:42
re,
j'ai fait la suppression en mode sans échecs de tous les fichiers douteux.
Cela doit être bon maintenant j'ai nettoyé les outils comme tu m'as dit.
Je te remercie pour tes conseils.
A bientôt car on n'en voit jamais le bout de ces virus !
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
4 janv. 2010 à 22:38
Re,

il y a des moyens de limiter les risques.

===

Une bonne configuration du parefeu :

https://www.malekal.com/windows-defender-firewall-parametrage/

===
Un antivirus efficace :

avast ne présente plus les qualités qu'il a eu.

Antivir lui est supérieur :

https://www.malekal.com/avira-free-security-antivirus-gratuit/

Le désinstallateur de Avast :

https://www.avast.com/fr-fr/uninstall-utility

===
Il ne faut pas être en mode Administrateur, surtout lors des surfs.

Donc il faut que le contrôle des comptes utilisateurs soit activé.

Ca peut ne pas être simple de faire rentrer ça dans la tête des ados !

Essaye d'expliquer que on peut "tout perdre" si on déroge à ces consignes et aussi qu'une désinfection, il arrive que ça dure.
0
efikas Messages postés 113 Date d'inscription lundi 3 novembre 2008 Statut Membre Dernière intervention 6 février 2010 16
6 janv. 2010 à 21:49
bonsoir

Suivant tes conseils j'ai modifiés mes comptes administrateurs en comptes utilisateurs sous vista et celà provoque des incohérences dans les programmes qui se gérent en "mode administrateurs" comme Spybot ou Ccleaner et qui sont "transformés" par ce changement . J'ai meme du désinstaller c cleaner et lors d'un essai de reinstallation je constate qu il s'installe sur le compte administrateur nouvellement créé mais pas sur le compte utilisateur ? J'ai aussi des problemes avec spybot qui lui reste présent mais effectue une sorte de reinitialisation comme si je reprenais tout à zéro (notamment les menus étaient en anglais, bon je les ai facilement remis en français et aussi il me posait des questions au démarrage style est ce que je voulais faire une sauvegarde de je ne sais plus quelles données en cas de plantage à venir...) ??
Pourrais tu éclairer ma lanterne ?
0
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
6 janv. 2010 à 23:15
Bonsoir,

tu as une solution qui est de lancer par clic droit et exécuter en tant qu'administrateur.

Pour Spybot S&D, il faut que tu acceptes les modifications.

Ceci dit, je ne suis pas convaincu de l'efficacité actuelle de Spybot S&D.

===

Tu gardes un compte Administrateur, mais tu ne t'en sers que dans quelques cas sûrs.

Sauf erreur, Vista demande si tu es bien à l'origine de la demande, tu confirmes quand c'est le cas.
0
efikas Messages postés 113 Date d'inscription lundi 3 novembre 2008 Statut Membre Dernière intervention 6 février 2010 16
7 janv. 2010 à 00:13
re,
encore une question : faut il avoir une installlation de spybot et de ccleaner à la fois dans le compte utilisateur et dans le compte administrateur (si par exemple j'installe ccleaner uniquement sur le compte administrateur pourra t il nettoyer le compte utilisateur ? meme question pour spybot...) ??

là je viens d'installer spybot et ccleaner sur la session administrateur et utilisateur mais j'ai l'impression que c'est redondant ??

merci de tes réponses.
0
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
7 janv. 2010 à 21:26
Bonsoir,

cesd 2 logiciels s'exécutent à partir d'une icône sur le Bureau.

Il suffit d'un seul exe et d'autant de raccourcis que de session.

Les installations sont redondantes.
0
efikas Messages postés 113 Date d'inscription lundi 3 novembre 2008 Statut Membre Dernière intervention 6 février 2010 16
9 janv. 2010 à 17:32
Bonjour,

Je viens de voir ta réponse à l'instant.
Dac j'ai compris.

Bon encore une fois merci pour ton aide.

à plus !
0
Lyonnais92 Messages postés 25159 Date d'inscription vendredi 23 juin 2006 Statut Contributeur sécurité Dernière intervention 16 septembre 2016 1 536
10 janv. 2010 à 00:37
Bonsoir,

de rien pour l'aide.
0