Intrusion EOREZO

Résolu/Fermé
philopat - 16 mai 2010 à 06:42
 Utilisateur anonyme - 16 mai 2010 à 18:30
Bonjour,





Après avoir téléchargé un logiciel pour visualiser facilement des web tv, des pub intempestives générées par Eorezo+ page de démarrage navigateur pointée sur Lo.st m'ennuient profondément pour ne pas dire plus ;o)). J'ai désinstallé le programme update d'eorezo par la méthode classique puis j'ai scanné à l'aide d'AD-R dont voici le rapport, merci de votre aide et de me dire si je peux lancer la séquence de nettoyage d'AD-R sans risque.
cdt
Philippe
.
======= RAPPORT D'AD-REMOVER 2.0.0.0,D | UNIQUEMENT XP/VISTA/7 =======
.
Mis à jour par C_XX le 07/05/10 à 16:50
Contact: AdRemover.contact@gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html
.
Lancé à: 06:09:44 le 16/05/2010 | Mode normal | Option: SCAN
Exécuté de: D:\Ad-Remover\ADR.exe
SE: Microsoft® Windows XP(TM) Service Pack 3 - X86
Nom du PC: MAISONXP
Utilisateur actuel: Philippe
.
============== ÉLÉMENT(S) TROUVÉ(S) ==============
.
.
D:\Documents and Settings\Philippe\Application Data\EoRezo
D:\Documents and Settings\Philippe\Local Settings\Application Data\EoRezo
D:\Program Files\EoRezo
.
HKCU\Software\EoRezo
HKLM\Software\Classes\AppID\{AFBB7970-789A-4264-BA70-E8127DECE400}
HKLM\Software\Classes\AppID\EoEngineBHO.DLL
HKLM\Software\Classes\CLSID\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
HKLM\Software\Classes\EoEngineBHO.EOBHO
HKLM\Software\Classes\EoEngineBHO.EOBHO.1
HKLM\Software\Classes\Interface\{813A22E0-3E2B-4188-9BDA-ECA9878B8D48}
HKLM\Software\Classes\Interface\{DF76E9B7-35EC-46FC-AF56-5B79DED9D64F}
HKLM\Software\Classes\TypeLib\{18AF7201-4F14-4BCF-93FE-45617CF259FF}
HKLM\Software\EoRezo
HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C10DC1F4-CCDF-4224-A24D-B23AFC3573C8}
HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\EoRezo_is1
HKLM\Software\Microsoft\Windows\CurrentVersion\Run|Eorezo
HKLM\Software\Microsoft\Windows\CurrentVersion\Run|Softwarehelper
.
.
============== SCAN ADDITIONNEL ==============
.
* Mozilla FireFox Version 3.6.3 (fr) *
.
D:\Documents and Settings\Philippe\..\lwvuqs37.default\prefs.js - browser.download.dir: D:\\Documents and Settings\\Philippe\\Mes documents\\TÃfÆ'Ã'©lÃfÆ'Ã'©chargements
D:\Documents and Settings\Philippe\..\lwvuqs37.default\prefs.js - browser.download.lastDir: D:\\Documents and Settings\\Philippe\\Bureau
D:\Documents and Settings\Philippe\..\lwvuqs37.default\prefs.js - browser.startup.homepage: hxxp://www.orange.fr/
D:\Documents and Settings\Philippe\..\lwvuqs37.default\prefs.js - browser.startup.homepage_override.mstone: rv:1.9.2.3
.
.
* Internet Explorer Version 7.0.5730.13 *
.
[HKCU\Software\Microsoft\Internet Explorer\Main]
.
Do404Search: 0x01000000
Enable Browser Extensions: yes
First Home Page: hxxp://y.lo.st
Local Page: D:\WINDOWS\system32\blank.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Show_ToolBar: yes
Start Page: hxxp://y.lo.st
.
[HKLM\Software\Microsoft\Internet Explorer\Main]
.
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=69157
Default_Search_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Delete_Temp_Files_On_Exit: yes
Local Page: %SystemRoot%\system32\blank.htm
Search Page: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Start Page: hxxp://go.microsoft.com/fwlink/?LinkId=69157
.
[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
.
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm
.
========================================
.
D:\Ad-Remover\Quarantine: 0 Fichier(s)
D:\Ad-Remover\Backup: 1 Fichier(s)
.
D:\Ad-Report-SCAN[1].txt - 3131 Octet(s)
.
Fin à: 06:13:03, 16/05/2010
.
============== E.O.F - SCAN[1] ==============

11 réponses

Utilisateur anonyme
16 mai 2010 à 06:49
Salut philopat


1) /!\ Déconnecte-toi d'internet et ferme toutes applications en cours /!\
* Double-clique sur l'icône Ad-remover située sur ton Bureau.
* Sur la page, clique sur le bouton « Nettoyer »
* Confirme l'opération
* Laisse travailler l'outil.
* Poste le rapport qui apparaît à la fin.
(Le rapport est sauvegardé aussi sous C:\Ad-report.
(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller)


ensuite

* Télécharge Random's System Information Tool (RSIT) par random/random et sauvegarde-le sur ton Bureau.

>> Random's System Information Tool (RSIT) par random/random

* Double-clique sur RSIT.exe afin de lancer RSIT.
* Sous ==> Windows7/ Vista.
* Clic droit sur l'icône RSIT.exe , puis sur Exécuter en tant qu'administrateur dans le menu déroulant,afin de lancer RSIT.* Clique sur Continue à l'écran Disclaimer.
* Si l'outil HijackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence.
* Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront.
* Poste le contenu de log.txt (<==qui sera affiché) ainsi que de info.txt (<==qui sera réduit dans la Barre des Tâches).
* Héberge le rapport sur ce site,
cijoint.fr
* puis copie/colle le lien fourni dans ta prochaine réponse
* Note : Les deux rapports sont également sauvegardés %systemroot%\rsit
0
Bonjour Virus-C-C et merci beaucoup pour ton aide matinale!!
voici les liens vers les fichiers info+ log d' HijackThis et le Ad-Report-CLEAN[1].txt (dans l'ordre)

http://www.cijoint.fr/cjlink.php?file=cj201005/cijG5d0W6L.txt
http://www.cijoint.fr/cjlink.php?file=cj201005/cijKMrPE5P.txt
http://www.cijoint.fr/cjlink.php?file=cj201005/cijH8dJoLY.txt

merci encore et bon dimanche
Philopat
0
Utilisateur anonyme
16 mai 2010 à 08:47
Salut Philopat

C est t-Bien

1) *Télécharges --> Malwarebytes' (mbam)

Malwarebytes' (mbam)

* installes + mise a jour
* Lances--> Malwarebytes (MBAM)
* Puis vas dans l'onglet "Recherche", coche >>Exécuter un examen complet
* puis "Rechercher"
* Sélectionnes tes disques durs" puis clique sur "Lancer l'examen"
* A la fin du scan, clique sur Afficher les résultats puis sur Enregistrer le rapport
*Si MalwareBytes' détecte des infections, clique sur ==>Afficher les résultats, puis sur ==>Supprimer la sélection
* S'il t' es demandé de redémarrer, clique sur "oui "
* aprés la suppression(s) de ou des infections trouvées --> poste le rapport ici



0
Voili, voilou Virus-C-C

ci-dessous le rapport MalwareBytes,

je pense que tout est OK maintenant sauf indication contraire de ta part!

Un grand merci
Philopat

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4105

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.13

16/05/2010 11:11:20
mbam-log-2010-05-16 (11-11-20).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|G:\|)
Elément(s) analysé(s): 259597
Temps écoulé: 1 heure(s), 39 minute(s), 44 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 2
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 4

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
D:\System Volume Information\_restore{16359D3D-8C25-474B-9CAE-20789C3D15D7}\RP224\A0035073.exe (Rogue.Eorezo) -> Quarantined and deleted successfully.
D:\System Volume Information\_restore{16359D3D-8C25-474B-9CAE-20789C3D15D7}\RP224\A0035074.exe (Rogue.Eorezo) -> Quarantined and deleted successfully.
D:\System Volume Information\_restore{16359D3D-8C25-474B-9CAE-20789C3D15D7}\RP224\A0035082.exe (Rogue.Eorezo) -> Quarantined and deleted successfully.
D:\System Volume Information\_restore{16359D3D-8C25-474B-9CAE-20789C3D15D7}\RP224\A0035083.dll (Rogue.Eorezo) -> Quarantined and deleted successfully.
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Utilisateur anonyme
16 mai 2010 à 11:28
Re

Trés bien !!

tu as Ccleaner

* Lances CCleaner.
* Ensuite, clique sur Options ==> Avancé et décoche la case
* Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures
* Clique sur l'onglet ==> Nettoyeur puis sur ==>Lancer le Nettoyage.
* Ensuite clique sur l'icone==> Registre , à droite, clique sur ==>Chercher des erreurs" puis sur "Réparer les erreurs sélectionnées.
* Accepte la sauvegarde, de la BDR (base de registre )qu'il propose
* Je te conseille de le repasser au moins deux fois,(ou + jusqu'à qu'il ne trouve plus d'erreurs.)

Poste un nouveau Log RSIT

on terminera aprés la procédure >> Important



0
Moi qui croyait que c'était fini :o)) !!

ci-après les liens vers les logs RSIT

http://www.cijoint.fr/cjlink.php?file=cj201005/cijjx2ez6k.txt
http://www.cijoint.fr/cjlink.php?file=cj201005/cijE7IkoCP.txt
0
Utilisateur anonyme
16 mai 2010 à 12:06
Re

ça se termine !!

* Lances Hijackthis
* Cliques sur ==> Do a System Scan Only
* coches ces Lignes

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] D:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [HP Software Update] D:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] D:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'Default user')


* Fermes tes autres applications
* Cliques sur ==> Fix Checked



ensuite


Télécharges ToolsCleaner de A.Rothstein
.pour enlever les programmes utilisés pendant la procédure.

>> ToolsCleaner

. Enregistres ToolsCleaner2.exe sur le Bureau.
. Double-cliquer dessus, puis cliquer sur >> Recherche
==> Le programme va chercher les utilitaires installé
.Il se peut que la fenêtre devienne blanche pendant le scan, c'est normal !
. Lorsque la recherche est terminée ToolsCleaner affiche une liste des différents outils trouvés,
. cliques sur ==> Suppression afin de les supprimer.
. et ensuite cliques ==> vidage Corbeille
. Fermes le programme en cliquant sur "Quitter ".
. Postes le rapport qui se trouve ici >>> C:\TCleaner.txt
. tu termines en faisant un clic droit sur ToolsCleaner et tu le supprimes


poste les rapports et reviens pour la suite Important

0
http://www.cijoint.fr/cjlink.php?file=cj201005/cij7gdpMdH.txt

voila pour le dernier log Hijackthis, par contre je me suis loupé pour le rapport de ToolsCleaner. J'ai supprimé l'utilitaire avant de poster et du coup je n'ai pas pu retrouver le rapport ce qui m'étonne un peu d'ailleurs. Pour être sur j'ai réinstallé TC, cette fois-ci rapport OK mais vide logique le travail ayant été fait auparavant..
0
Salut philopat

OK , je t avis demandé un RSIT,mais bon

Ton log est correct !!!!

Fais dans l ordre ,lis bien

* 1) Mets à jour Explorer
>> Explorer




2)* Rends toi ici pour Vérifier l'installation de Java
Version Java

* 3) Installe ce Soft qui te tiendra au courant des mises à jour de tes Logiciels installés
>> Secunia Personal Software Inspector


Ce qui suit est important


désactive la Restauration de ton système :

* sert à supprimer les infections qui se trouvent dans la restauration du système.
* Cliques sur démarrer.
* Clic droit sur "Poste de travail" puis choisir "Propriétés".
* Sélectionnes l'onglet "Restauration du système".
* Coches ==>Désactiver la Restauration du système sur tous les lecteurs ou Désactiver la Restauration du système puis appliquer.
* OK==>Redémarres ton PC

ensuite

*Puis retournes sur ==>Poste de travail ==> Propriétés
* décoches cette fois ==>Désactiver la Restauration du système==>appliquer ==> puis ok.

aprés

* Création du point de restauration :

* vas dans le Menu Démarrer puis dans Programmes,
* Accessoires et enfin dans Outils système,
* Choisis Restauration du système,
* Sélectionnes==> Créer un point de restauration,
* Cliques sur Suivant,
* Entres un nom pour le point de restauration : ce nom assez simple pour que tu le retrouves
* Cliques ==>Créer et le point de restauration se créé automatiquement

@+
VIRUS/C/C de H-F Windows Vista / Windows XP
0
J'ai tout fait comme tu m'as dit...;o)), En conclusion ...grand nettoyage de printemps.

Je te remercie encore une fois pour ton aide , ton investissement et ton partage d'expérience des plus efficaces.
J'ai profité toute la journée de tes compétences et ce n'est pas rien!
Très bénéfique pour ma machine et moi-même.
Je te souhaite une très bonne soirée.
Philopat
0
Utilisateur anonyme
16 mai 2010 à 18:30
Re


* Pas de soucis ,un pliaisir
* Tu peux mettre ton problème résolu !!
>> Résolu

Bon Surf !!
0