Redirection Google vers sites de pubs ou malv

Question

Bonjour, 

Je suis aussi touchée par ce problème de redirection vers des sites malveillants lorsque je fais des recherches sur google et l'ordinateur est plus lent.
 J'utilise Mozilla Firefox 3.6. 
Avast ne détecte pas de virus.

Voici mon rapport Hijackthis:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:23:01, on 06/08/2010
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Acer\Acer Arcade\PCMService.exe
C:\acer\epm\epm-dm.exe
C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe
C:\Program Files\AVG Anti-Spyware 7.5\avgas.exe
C:\PROGRA~1\LAUNCH~1\QtZgAcer.EXE
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\AVG Anti-Spyware 7.5\guard.exe
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLService.exe
C:\Program Files\CyberLink\Shared Files\RichVideo.exe
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Mozilla Firefox\plugin-container.exe
C:\Documents and Settings\Chloé Michaud\Mes documents\Téléchargements\HiJackThis.exe
C:\Program Files\ZHPDiag\ZHPDiag.exe
C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [AzMixerSel] C:\Program Files\Realtek\InstallShield\AzMixerSel.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Acer\Acer Arcade\PCMService.exe"
O4 - HKLM\..\Run: [EPM-DM] c:\acer\epm\epm-dm.exe
O4 - HKLM\..\Run: [ePowerManagement] C:\Acer\ePM\ePM.exe boot
O4 - HKLM\..\Run: [avast5] C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe /nogui
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\QtZgAcer.EXE
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Envoyer à OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O23 - Service: avast! Antivirus - AVAST Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Mail Scanner - AVAST Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: avast! Web Scanner - AVAST Software - C:\Program Files\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe
O23 - Service: CyberLink Media Library Service - Cyberlink - C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe
O23 - Service: EvtEng - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: RegSrvc - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - C:\Program Files\WinPcap\rpcapd.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation  - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe

gen-hackman · Answer

salut :

DESACTIVE TON ANTIVIRUS ET TON PAREFEU SI PRESENTS !!!!!(car il est detecté a tort comme infection)

&#9654 Télécharge ici :List_Kill'em

 et enregistre le sur ton bureau 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur le raccourci sur ton bureau pour lancer l'installation

Laisse coché :

&#9830 Executer List_Kill'em

une fois terminée , clic sur "terminer" et le programme se lancera seul

choisis l'option Search

&#9654 laisse travailler l'outil

il se peut qu'une boite de dialogue s'ouvre , dans ce cas clique sur "ok" ou "Agree"

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal ,c'est une recherche supplementaire de fichiers cachés , le programme n'est pas bloqué.

&#9654 Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM 

Pour me le transmettre clique sur ce lien : http://www.cijoint.fr/ 

&#9654 Clique sur Parcourir et cherche le fichier ci-dessus. 

&#9654 Clique sur Ouvrir. 

&#9654 Clique sur "Cliquez ici pour déposer le fichier". 

Un lien de cette forme : 

http://www.cijoint.fr/cjlink.php?file=265368/cijSKAP5fU.txt 

est ajouté dans la page. 

&#9654 Copie ce lien dans ta réponse. 

&#9654 Fais de même avec more.txt qui se trouve sur ton bureau

jacques.gache · Answer

bonjour, pour éviter ce genre de chose il serait bon de mettre ton pc à jour car tu es toujours avec le sp2 de xp et il y a dèja longtemps que le sp3 est disponible  pareil pour IE la version 8 est dispo depuis longtemps et tu est toujours avec le 6 sans parler des autre  mises à jour qui date , genre adobe reader tu as la 7 et la neuf est  la depuis pas mal de temps !  

pour lecture    Pourquoi et comment je me fais infecter? 


réponse en partie édité , je te laisse avec gen-hacman que je salues au passage
    
 Perso je ne sais peut être pas grand chose, mais si le peu que je sais p­eut aider et bien,   
 je veux bien le partager avec toi  !!

Victoria · Answer

Merci pour ces messages,
Voila le lien pour le rapport de List- Kill'hem: 
http://www.cijoint.fr/cjlink.php?file=cj201008/cijgeXSl1e.txt

Voila le lien pour le rapport More:
http://www.cijoint.fr/cjlink.php?file=cj201008/cijgRtu9ZJ.txt

Je vais désormais mettre à jour l'ordinateur selon les conseils de jacques.gache.

gen-hackman · Answer

* Télécharge ici : USBFIX sur ton bureau 



/!\ Désactive provisoirement et seulement le temps de l'utilisation d'USBFIX, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur l'icône Usbfix située sur ton Bureau.
Sur la page, clique sur le bouton :

« Recherche »

/!\ Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptible d'avoir été infectées sans les ouvrir

- puis clique sur OK
- Laisse travailler l'outil.
- Poste le rapport qui apparaît à la fin.
le rapport se trouve sur C:\ UsbFix.txt



 Note : "Process.exe", une composante de l'outil, est détecté par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool. 
          Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus. 
          Mis entre de mauvaises mains, cet utilitaire pourrait arrêter des logiciels de sécurité (Antivirus, Firewall...) d'où l'alerte émise par ces antivirus.

Victoria · Answer

Bonjour,

Bizarrement l'ordinateur est beaucoup plus lent au démarrage depuis hier, peut être est-ce dû aux nouveaux logiciels de désinfection installés.

Voilà le rapport de USBFix:
http://www.cijoint.fr/cjlink.php?file=cj201008/cijJQkqDN0.txt

Merci

gen-hackman · Answer

&#9654 Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau.
mais cette fois-ci :

&#9654 choisis l'Option Clean

ton PC va redemarrer,

laisse travailler l'outil.

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

&#9654 colle le contenu dans ta reponse

Victoria · Answer

Voilà le rapport Kill'em:

¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.0.2.3 ¤¤¤¤¤¤¤¤¤¤

User : Chloé Michaud (Administrateurs)
Update on 05/08/2010 by g3n-h@ckm@n ::::: 17.50
Start at: 13:09:30 | 07/08/2010

Intel(R) Pentium(R) M processor 1.73GHz
Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 6.0.2900.5512
Windows Firewall Status : Enabled
AV : avast! Antivirus 5.0.83886674 [ Enabled | Updated ]

C:\ -> Disque fixe local | 35,6 Go (10,58 Go free) [ACER] | FAT32
D:\ -> Disque fixe local | 35,98 Go (24,77 Go free) [ACERDATA] | FAT32
E:\ -> Disque CD-ROM

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes ------- Memory(Ko)

C:\WINDOWS\System32\smss.exe ----56 Ko
C:\WINDOWS\system32\csrss.exe ----1012 Ko
C:\WINDOWS\system32\winlogon.exe ----1340 Ko
C:\WINDOWS\system32\services.exe ----16728 Ko
C:\WINDOWS\system32\lsass.exe ----1452 Ko
C:\WINDOWS\system32\svchost.exe ----700 Ko
C:\WINDOWS\system32\svchost.exe ----1368 Ko
C:\WINDOWS\System32\svchost.exe ----9488 Ko
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe ----656 Ko
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe ----292 Ko
C:\WINDOWS\system32\svchost.exe ----416 Ko
C:\WINDOWS\system32\svchost.exe ----216 Ko
C:\Program Files\Alwil Software\Avast5\AvastSvc.exe ----17180 Ko
C:\WINDOWS\Explorer.EXE ----296 Ko
C:\WINDOWS\system32\cmd.exe ----584 Ko
C:\WINDOWS\system32\spoolsv.exe ----916 Ko
C:\WINDOWS\system32\svchost.exe ----232 Ko
C:\Program Files\AVG Anti-Spyware 7.5\guard.exe ----11344 Ko
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLCapSvc.exe ----528 Ko
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLServer.exe ----128 Ko
C:\Program Files\Acer\Acer Arcade\Kernel\CLML_NTService\CLMLService.exe ----1788 Ko
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe ----252 Ko
C:\Program Files\CyberLink\Shared Files\RichVideo.exe ----304 Ko
C:\Program Files\Acer\Acer Arcade\Kernel\TV\CLSched.exe ----532 Ko
C:\WINDOWS\system32\wuauclt.exe ----2052 Ko
C:\WINDOWS\system32\wbem\wmiprvse.exe ----2640 Ko
C:\WINDOWS\System32\alg.exe ----420 Ko
C:\Program Files\List_Kill'em\ERUNT.EXE ----3128 Ko
C:\Program Files\List_Kill'em\pv.exe ----2332 Ko

¤¤¤¤¤¤¤¤¤¤ Files/folders :

Quarantined & Deleted !! : C:\Program Files\WinPCap
Quarantined & Deleted !! : C:\WINDOWS\002666_.tmp

Quarantined & Deleted !! : C:\WINDOWS\System32\dumphive.exe
Quarantined & Deleted !! : C:\WINDOWS\System32\Packet.dll
Quarantined & Deleted !! : C:\WINDOWS\System32\Process.exe
Quarantined & Deleted !! : C:\WINDOWS\System32\SrchSTS.exe
Quarantined & Deleted !! : C:\WINDOWS\System32\tmp.reg
Quarantined & Deleted !! : C:\WINDOWS\System32\VCCLSID.exe
Quarantined & Deleted !! : C:\WINDOWS\System32\WS2Fix.exe
Quarantined & Deleted !! : C:\WINDOWS\Uninstall.ini
Quarantined & Deleted !! : File
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\Local Settings\Temp\px.dll
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\ose00000.exe
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\pxhpinst.exe
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\PxInsA64.exe
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\pxsetup.exe
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\PxCpyA64.exe
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\PxCpyI64.exe
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\PxInsI64.exe
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\FP_PL_PFS_INSTALLER.exe
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\catchme.dll
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\pxdrv.dll
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\pxmas.dll
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\pxwave.dll
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\vxblock.dll
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\primosdk.DLL
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\pxafs.dll
Quarantined & Deleted !! : C:\Documents and Settings\Chloé Michaud\LOCAL Settings\Temp\pxsfs.dll
Deleted !! : C:\RECYCLED\Dc1.lnk
Deleted !! : C:\RECYCLED\Dc2.lnk
Deleted !! : C:\RECYCLED\Dc3.lnk
Deleted !! : C:\RECYCLED\Dc4.lnk
Deleted !! : C:\RECYCLED\Dc5.lnk
Deleted !! : C:\RECYCLED\Dc6.lnk
Deleted !! : C:\RECYCLED\Dc7.txt

=======
Hosts :
=======

127.0.0.1 localhost

========
Registry
========

Deleted : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser : {0E5CBF21-D15F-11D0-8301-00AA005B4383}
Deleted : HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System : DisableRegistryTools
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Install.exe"
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Setup.exe"
Deleted : HKLM\SYSTEM\CurrentControlSet\Services\NPF
Deleted : HKLM\SYSTEM\ControlSet002\Services\NPF
Deleted : HKLM\SYSTEM\ControlSet003\Services\NPF
=================
Internet Explorer
=================

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page = https://www.msn.com/fr-fr/?ocid=iehp
Local Page = C:\WINDOWS\system32\blank.htm
Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page = https://www.google.com/?gws_rd=ssl
Local Page = C:\WINDOWS\system32\blank.htm
Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

===============
Security Center
===============

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
FirstRunDisabled = 1 (0x1)
AntiVirusDisableNotify = 0 (0x0)
FirewallDisableNotify = 0 (0x0)
UpdatesDisableNotify = 0 (0x0)
AntiVirusOverride = 1 (0x1)
FirewallOverride = 1 (0x1)

========
Services
=========

Ndisuio : Start = 3
EapHost : Start = 2
Ip6Fw : Start = 2
SharedAccess : Start = 2
wuauserv : Start = 2
wscsvc : Start = 2

============
Disk Cleaned
anti-ver blaster : OK
Prefetch cleaned
================

FEATURE_BROWSER_EMULATION | svchost :
====================================

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll >>UNKNOWN [0x8606B78A]<<
kernel: MBR read successfully
user & kernel MBR OK
copy of MBR has been found in sector 0x0950E4C1
malicious code @ sector 0x0950E4C4 !
PE file found in sector at 0x0950E4DA !

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Merci

Redirection Google vers sites de pubs ou malv

7 réponses

Discussions similaires

Newsletters