Grosse Infection - pop-up intempestive Fermé

Question

Bonjour, 

Depuis quelques jours, j'ai ie8 qui s'ouvre tout seul avec des pubs. Je croyais avoir fait le ménage mais la bébête a l'air de se plaire sur mon ordi.

Pourriez-vous me donner un coup de main ?

Merci

Configuration: Windows XP / Firefox 3.6.6 / ie8 /

Malekal_morte- · Answer

Salut,

Sauvegarde tes documents importants.


Désactive les logiciels de protection (Antivirus, Antispywares) puis :       

Télécharge Combofix sUBs : http://download.bleepingcomputer.com/sUBs/ComboFix.exe et sauvegarde le sur ton bureau et pas ailleurs!       

Double-clic sur combofix, accepte la licence d'utilisation et laisse toi guider.       

Eventuellement, installe la console de récupération comme cela est conseillé       

Attends que combofix ait terminé, un rapport sera créé. Poste le rapport.
Si le rapport ne passe pas, envoie le sur ce site : http://www.cijoint.fr/
et donne le lien ici :)     

Tu as le tutorial sur ce lien pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix       

PS : si Combofix ne se lance pas, renomme le fichier Combofix et retente.       

Si pas mieux, tente en mode sans échec sans prise en charge du réseau : Redémarre en mode sans échec, pour cela, redémarre l'ordinateur, avant le logo Windows, tapote sur la touche F8, un menu va apparaître, choisis Mode sans échec et appuye sur la touche entrée du clavier.

sherred · Answer

mais bien sur

bonjour a toi 
suis  toutes ces manips

Télécharges AD-Remover ( de Cyrildu17 / C_XX ) sur ton bureau : 
http://pagesperso-orange.fr/NosTools/C_XX/AD-R.exe

/!\ Déconnectes toi et fermes toutes applications en cours 

? Double clique sur le programme d'installation , et installe le dans son emplacement par défaut. ( C:\Program files ) 
? Double clique sur l'icône Ad-remover située sur ton bureau 
? Au menu principal choisi l'option "SCAN" 
? Postes le rapport qui apparait à la fin . 

( le rapport est sauvegardé aussi sous C:\Ad-report-scan.txt ) 

(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller ) 

--------------------------------------
Télécharge Toolbar-S&D (Team IDN) sur ton Bureau. 
https://77b4795d-a-62cb3a1a-s-sites.googlegroups.com/site/eric71mespages/ToolBarSD.exe?attachauth=ANoY7cpVobGk5bHnxrhQ4yaoEUDJvOYNnEGyYjgqHZz5GqZLfutR3fMFPlsC3-CGIilfupPAguYATNyua3csodN_frdMK8sSzUpit10Yac-QJCOkMqJKkbdKcP6ySs8trWPgoNVIq4TGGWCe6o0txXQv-ZueJF9vZzw3RXsGwFYIqN2lvF2LPdQzS8mE1d5kWOVOz6EMzQuE5-lClSJM869uq3oc7-t7yg%3D%3D&attredirects=3 

* Lance l'installation du programme en exécutant le fichier téléchargé. 
* Double-clique maintenant sur le raccourci de Toolbar-S&D. 
* Sélectionne la langue souhaitée en tapant la lettre de ton choix puis en validant avec la touche Entrée. 
* Choisis maintenant l'option 1 (Recherche). Patiente jusqu'à la fin de la recherche. 
* Poste le rapport généré. (C:\TB.txt)

---------------------------------------
>>Télécharge random's system information tool (RSIT) http://images.malwareremoval.com/random/RSIT.exe par random/random 
>>sauvegarde-le sur le Bureau. 
>>Double-clique sur RSIT.exe Clic Continue à l'écran Disclaimer. 
>>Si l'outil HIjackThis (version à jour) n'est pas présent ou non détecté sur l'ordinateur, RSIT le téléchargera et tu devras accepter la licence. 
>>Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront. log.txt qui sera affiché ..ainsi que de info.txt qui sera réduit dans la Barre des Tâches. 

Fait un copié / collé sur ta prochaine reponse 

------------------------------------------------------------
dans tous les cas 
si tu n'arrive pas a faire 
le copié collé

copie les ici 
http://www.cijoint.fr/ 

- et Copie les liens dans ta réponse.

noptien · Answer

Re,

Pour information, j'ai volontairement masqué le nom de la boite et l'id compte (****, coco)

Merci pour votre aide

Rapport Combofix :

http://www.cijoint.fr/cjlink.php?file=cj201007/cijqxZ4Xvp.txt

Adreport :

http://www.cijoint.fr/cjlink.php?file=cj201007/cijy5dB76q.txt

TB :

http://www.cijoint.fr/cjlink.php?file=cj201007/cijizyt1i6.txt

RSIT log :

http://www.cijoint.fr/cjlink.php?file=cj201007/cijIdzGFOh.txt

RSIT info :

http://www.cijoint.fr/cjlink.php?file=cj201007/cijFBCe2km.txt

sherred · Answer

il manque des trucs?
télécharge hijackthis http://www.trendsecure.com/portal/en-US/_download/HJTInstall.exe 
>> enregistre la cible sous .... "le bureau" renomme HJTInstall.exe en par exemple HJT.exe 

>> Fais un double-clic sur "HJT.exe" afin de lancer l'installation 

>> Clique sur Install ensuite sur "I Accept" 

>> Clique sur" Do a scan system and save log file" 

>> Le bloc-notes s'ouvrira, fais un copier-coller de tout son contenu ici dans ta prochaine réponse

http://pagesperso-orange.fr/rginformatique/section%20virus/demohijack.htm

noptien · Answer

Voivi le log hijackthis 

http://www.cijoint.fr/cjlink.php?file=cj201007/cijr8KU4gx.txt 

@+

PS : Je ne crois pas qu'il manque des trucs. J'ai fait toutes les manip démandées.

Malekal_morte- · Answer

Tes pubs, elles s'ouvrent mm pas quand tu surfs pas ?
Que internet Explorer est pas ouvert ?

noptien · Answer

Apparemment oui. En fait cela fait quelques jours que j'observe le truc. Au démarrage j'ai ie qui démarre en tant que service. Il prend son temps, puisque la première pop-up n'arrive pas tout de suite. J'ai beau "killer" le processus, il revient sans cesse. Pour le moment, la seule solution que j'ai trouvé est de le mettre en pause grâce à Process explorer.

Il est vraiment bien caché, ce truc. Je pense même qu'il arrive à contourner les outils de scan connu. (hijackthis, Combofix) Bien entendu je ne parle même pas de symantec.

@+

Malekal_morte- · Answer

Je pense que t'as Trojan.Cycler / Vilsel :)

Je look deux trois trucs :)

Malekal_morte- · Answer

Installe ça : http://www.microsoft.com/downloads/details.aspx?FamilyID=E8BA3E56-D8FE-4A91-93CF-ED6985E3927B&displayLang=en 

Ensuite : 
Menu Démarrer / executer et tape cmd puis OK. 

tape ça, tout pareil sans faute : cacls "C:\System Volume Information" /T /G "Tout le monde":F 
Tu valides, ça doit te demander si t'es sûr tu dis oui. 
Ca reset les permissions dans System Volume Information pour donner accès à tout le monde (c'est les points de restauration). 

Tu fais une recherche dans C:\System Volume Information des .exe 
Clic droit sur C:\System Volume Information / Recherche et en nom *.exe

regarde si t'as un svchost.exe, microsoft.exe ou smss.exe qui traine là dedans. 

Ca serait dans un répertoire qui ressemble à un guid (_restore{d5fffa500b1b}) mais en plus court, alors que les vrais guid des points de resto sont plus long \_restore{4E170950-50E0-453F-B281-59338F8EC32E}\RP16\ 

exemple : 

C:\System Volume Information\_restore{d5fffa500b1b}\smss.exe Infected: Trojan-Clicker.Win32.Cycler.ajnt 
C:\System Volume Information\_restore{d5fffa500b1b}\svchost.exe Infected: Trojan-Clicker.Win32.Cycler.ajnt 

Le but du jeu est de voir, si tu as ça : https://forum.malekal.com/viewtopic.php?t=25956&start= 

Rise Against rules :D

noptien · Answer

Je n'ai rien trouvé dans le system volume information qui ressemble à ce que tu décris. En plus les éléments ont l'air d'avoir été renommé avec des A000086.exe   

Si cela ne t'ennuie pas; on peut remettre cela à demain matin. Je dois récupérer les enfants.    

Si tu as une piste, je l'exploiterai tout de suite en arrivant.   

@+   

Nopt  

ps: je n'ai pas vu de dossier de type guid en court. je n'ai qu'un  _restore{E23CFAEE-3E3E-4A75-AE68-ED7A2E47A5F5}

Malekal_morte- · Answer

humm....  
J'ai l'impression qu'elle a muté et qu'il y a plus les .exe  

Faudrait  Lancer BootRemover : https://forum.malekal.com/viewtopic.php?t=25956&start=  
Tu fais une capture, tu l'envoie sur cijoint et tu files le lien ici.  

Tu as un PC de marque style Dell etc ?  


* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.     
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)     

* Lance OTL 
* Sous Peronnalisation, copie-colle ce qu'il y a dans le cadre ci-dessous :     
netsvcs 
msconfig 
safebootminimal 
safebootnetwork 
activex 
drivers32 
%ALLUSERSPROFILE%\Application Data\*. 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
C:\System Volume Information\*.exe /s 
C:\System Volume Information\*
%APPDATA%\*. 
%APPDATA%\*.exe /s 
%SYSTEMDRIVE%\*.exe 
%systemroot%\*. /mp /s 
%systemroot%\system32\*.dll /lockedfiles 
%systemroot%\Tasks\*.job /lockedfiles 
%systemroot%\system32\drivers\*.sys /lockedfiles 
%systemroot%\System32\config\*.sav 
CREATERESTOREPOINT     
* Clique sur le bouton Quick Scan.     
* Quand le scan est fini, utilise le site http://www.cijoint.fr/ pour me donner les deux rapports : OTL.Txt et Extras.Txt.     

Ensuite :  

Télécharge GMER à partir de ce lien : http://www.gmer.net#files - clic sur "Download EXE" et télécharge le fichier sur ton bureau.  
Voir le tutorial GMER, ça peut peut-être t'aider : https://www.malekal.com/tutorial-gmer/  

Désactive tes logiciels de protection (antivirus, antispyware etc) et ferme tous les programmes ouverts.  
Double-clic sur le fichier GMER téléchargé.  
[b]IMPORTANT:/b Si une alerte de ton antivirus apparaît pour le fichier gmer.sys ou gmer.exe, laisse le s'executer.  
Clic sur l'onglet "rootkit"  
Laisse tout coché.  
Clic sur Scan  
Lorsque le scan est terminé, clic sur "Copy"  

Ouvre le bloc-note et clic sur le Menu Edition / Coller  
Le rapport doit alors apparaître.  
Enregistre le fichier sur ton bureau et copie/colle le contenu ici.  


Rise Against rules :D

Malekal_morte- · Answer

humm.... 
J'ai l'impression qu'elle a muté et qu'il y a plus les .exe  

Ca doit être ça. 

Regarde ce sujet, ça doit être le même problème que toi : 
https://forum.malekal.com/viewtopic.php?t=27187&start= 


Ca va être galère cette infection :\

Rise Against rules :D

noptien · Answer

Bonjour, 
 me revoila. Bon j'ai eu un soucis avec GMER qui a scanné toute la journée de vendredi et à fini par faire planté la machine (chaleur ?, virus ?) 

Bon j'ai quand même choper quelque trucs 

bootkitremover : 

http://www.cijoint.fr/cjlink.php?file=cj201007/cijTdMQLBz.jpg 

OTL text : 

http://www.cijoint.fr/cjlink.php?file=cj201007/cij0lHa9l6.txt 

OTL extra : 

http://www.cijoint.fr/cjlink.php?file=cj201007/cijeNap9r1.txt 

Voili, voilou. 

Je vais voir le lien que tu me proposes.  J'ai obeservé que lorque je renomme iexplore.exe, il est recréé à la volée, même si je fais un doublon en lecture seul. 
LEs processus qui travaille à sa création sont 2 svhost, le principal contient le lanceur de processus DCOM et le SERvices Terminal serveur l'autre svhost porte le service acquisition image. Dernier point l'iexplore qui est recréé est toujours à la date du 8/03/2009 à 15:09. Ne pourrais-je pas faire une recherche du clone sur le PC ?  

Merci pour ton aide, je file sur le lien. C'est une vraie m./... ce truc; cela faisait longtemps que je n'étais pas tombé sur un truc pareil. Mais on va l'avoir; on va l'avoir.

PS : je viens de parcourir le lien que tu me proposes. J'ai exactement le même symptome ( le volume qui part à zero)

noptien · Answer

Houra, Malekal_morte champion du monde !!!!

j'ai suivi le fil du lien proposé et j'ai retrouvé mon MBR. Plus de pub et le volume est revenu. 

Merci beaucoup pour ton aide précieuse.

@+

Nopt

Malekal_morte- · Answer

OK tu peux refaire une capture d'écran de bootkitremover pour voir.

Tu devrais désinstaller Spyware Terminator et Crawler.

noptien · Answer

Voila la capture d'écran :

http://www.cijoint.fr/cjlink.php?file=cj201007/cijyf7rERG.jpg

Je désinstalle Terminator et Crawler

Merci

Grosse Infection -> pop-up intempestive

16 réponses

Discussions similaires