Infection Search Settings

bonjour

fais ceci stp

1)

relances Ad Remover
option NETTOYAGE
poster le rapport

............

2)
fais ceci pour un diagnostic complet du PC :

Télécharge ZHPDiag ( de? Nicolas coolman ).
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

Double clique sur le fichier d'installation, puis installe le avec les? paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )

Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista )

Clique sur la loupe? en haut à gauche, puis laisse l'outil scanner.

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau.

Rend toi sur Cjoint :? http://www.cijoint.fr/

Clique sur "Parcourir " dans la partie " Joindre un fichier[...] "

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau

Clique ensuite sur "Créer le lien cjoint " et copie/colle le dans ton prochain message

Bonsoir moment de grace et merci pour ton aide ;)

Voilà le rapport d'AD-Remover option "Nettoyage"

======= RAPPORT D'AD-REMOVER 2.0.0.1,D | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 26/07/10 à 12:00
Contact: AdRemover.contact[AT]gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 00:19:25 le 16/08/2010, Mode normal

Microsoft Windows XP Édition familiale Service Pack 3 (X86)
ERIC@COSTE ( )

============== ACTION(S) ==============

Service: "Application Updater" Stoppé et supprimé

0,Fichier supprimé: C:\Program Files\Mozilla Firefox\extensions\searchsettings@spigot.com
0,Dossier supprimé: C:\Documents and Settings\ERIC\Application Data\AGI
0,Dossier supprimé: C:\Documents and Settings\All Users\Application Data\AGI
0,Dossier supprimé: C:\Program Files\AGI
0,Dossier supprimé: C:\Documents and Settings\ERIC\Application Data\pdfforge
0,Dossier supprimé: C:\Program Files\pdfforge Toolbar
0,Dossier supprimé: C:\Documents and Settings\ERIC\Application Data\Search Settings

(!) -- Fichiers temporaires supprimés.

1,Clé supprimée: HKLM\Software\Classes\Interface\{62EB444A-07A0-4E0F-80EE-34B92A9B0E5D}
0,Clé supprimée: HKLM\Software\Classes\agcore.AGUtils
0,Clé supprimée: HKLM\Software\Classes\agcore.Base64.Base64
0,Clé supprimée: HKLM\Software\Classes\agcore.Browser
0,Clé supprimée: HKLM\Software\Classes\agcore.CommandLine.CommandLineException
0,Clé supprimée: HKLM\Software\Classes\agcore.CommandLine.CommandLineParseException
0,Clé supprimée: HKLM\Software\Classes\agcore.CommandLine.OptionParser
0,Clé supprimée: HKLM\Software\Classes\agcore.CommandLine.RootParser
0,Clé supprimée: HKLM\Software\Classes\agcore.Config.AGConfig
0,Clé supprimée: HKLM\Software\Classes\agcore.Config.ApplicationConfig
0,Clé supprimée: HKLM\Software\Classes\agcore.Config.ConfigParser
0,Clé supprimée: HKLM\Software\Classes\agcore.Config.DirMap
0,Clé supprimée: HKLM\Software\Classes\agcore.Config.UrlMap
0,Clé supprimée: HKLM\Software\Classes\agcore.Cookie.AppInfoConstants
0,Clé supprimée: HKLM\Software\Classes\agcore.Cookie.AppInfoCookieData
0,Clé supprimée: HKLM\Software\Classes\agcore.Cookie.Cookie
0,Clé supprimée: HKLM\Software\Classes\agcore.Install.Installer
0,Clé supprimée: HKLM\Software\Classes\agcore.Install.InstallerException
0,Clé supprimée: HKLM\Software\Classes\agcore.Install.InstallUtil
0,Clé supprimée: HKLM\Software\Classes\agcore.Json.Json
0,Clé supprimée: HKLM\Software\Classes\agcore.Logger
0,Clé supprimée: HKLM\Software\Classes\agcore.Misc.DictUtil
0,Clé supprimée: HKLM\Software\Classes\agcore.MozLib
0,Clé supprimée: HKLM\Software\Classes\agcore.ProcessUtil.LoggedInUser
0,Clé supprimée: HKLM\Software\Classes\agcore.ProcessUtil.ProcessManager
0,Clé supprimée: HKLM\Software\Classes\agcore.ProcessUtil.ProcessUtility
0,Clé supprimée: HKLM\Software\Classes\agcore.RegUtil
0,Clé supprimée: HKLM\Software\Classes\agcore.Search.ProviderFactory
0,Clé supprimée: HKLM\Software\Classes\agcore.Search.Search
0,Clé supprimée: HKLM\Software\Classes\agcore.Shell.Shutil
0,Clé supprimée: HKLM\Software\Classes\agcore.Text.TextUtil
0,Clé supprimée: HKLM\Software\Classes\agcore.UrlLib.UrlLib
0,Clé supprimée: HKLM\Software\Classes\agcore.Win32API
0,Clé supprimée: HKLM\Software\AGI
0,Clé supprimée: HKLM\Software\Application Updater
0,Clé supprimée: HKLM\Software\pdfforge
0,Clé supprimée: HKLM\Software\Search Settings
0,Clé supprimée: HKCU\Software\AGI
0,Clé supprimée: HKCU\Software\Search Settings
0,Clé supprimée: HKCU\Software\AppDataLow\Software\pdfforge
3,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0BC6E3FA-78EF-4886-842C-5A1258C4455A}
3,Clé supprimée: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{0BC6E3FA-78EF-4886-842C-5A1258C4455A}
0,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\LowRegistry\Search Settings

============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.6.8 (fr)] **

-- C:\Documents and Settings\ERIC\Application Data\Mozilla\FireFox\Profiles\7tfg38wl.default\Prefs.js --
browser.download.lastDir, C:\\Documents and Settings\\ERIC\\Bureau
browser.startup.homepage, hxxp://www.google.fr/firefox
browser.startup.homepage_override.mstone, rv:1.9.2.8

========================================

** Internet Explorer Version [8.0.6001.18702] **

[HKCU\Software\Microsoft\Internet Explorer\Main]
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Search Asst: no

[HKLM\Software\Microsoft\Internet Explorer\Main]
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 93 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 14 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 16/08/2010 (4281 Octet(s))
C:\Ad-Report-SCAN[1].txt - 15/08/2010 (5257 Octet(s))

Fin à: 00:22:14, 16/08/2010

============== E.O.F ==============

Je mets le résultat de ZHPDiag après.
Encore merci.

Et voilà le rapport de ZHPDiag.

http://www.cijoint.fr/cjlink.php?file=cj201008/cij7rMNIlk.txt

Merci pour ton aide.

le pc est propre

1)

Copie tout le texte présent en gras ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusOverride: Modified

Puis Lance ZHPFix depuis le raccourci du bureau .

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".

Copie/Colle le rapport à l'écran dans ton prochain message

.......................

2)

pour être sûr

Desactive ton antivirus le temps de la manip ainsi que ton parefeu si présent(car il est detecté a tort comme infection)

Télécharge et installe List&Kill'em et enregistre le sur ton bureau

http://sd-4.archive-host.com/membres/up/829108531491024/Mes_Tools/List_Killem_Install.exe

double clique ( clic droit "executer en tant qu'administrateur" pour Vista/7 ) sur le raccourci sur ton bureau pour lancer l'installation

coche la case "creer une icone sur le bureau"

une fois terminée , clic sur "terminer" et le programme se lancer seul

choisis la langue puis choisis l'option SEARCH

laisse travailler l'outil

à l'apparition de la fenetre blanche , c'est un peu long , c'est normal , le programme n'est pas bloqué.

un rapport du nom de catchme apparait sur ton bureau , ignore-le,ne le poste pas , mais ne le supprime pas pour l instant, le scan n'est pas fini.

Poste le contenu du rapport qui s'ouvre aux 100 % du scan à l'ecran "COMPLETED"

tu peux supprimer le rapport catchme.log de ton bureau maintenant.

CONTRIBUTEUR SECURITE

Voilà le résultat du rapport ZHPFix

Rapport de ZHPFix v1.12.3134 par Nicolas Coolman, Update du 12/08/2010
Fichier d'export Registre :
Run by ERIC at 16/08/2010 00:52:46
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Récapitulatif ==========

End of the scan

Je fais le scan avec List&Kill'em ;)

Je joins le rapport de List&Kill'em

http://www.cijoint.fr/cjlink.php?file=cj201008/cij5XGE2gs.txt

et le fichier "More" apparu sur le bureau

http://www.cijoint.fr/cjlink.php?file=cj201008/cijholiAAW.txt

Merci

il confirme

Relance List_Kill'em(soit en clic droit pour vista/7),avec le raccourci sur ton bureau.
mais cette fois-ci :

choisis l'option CLEAN
ton PC va redemarrer,

laisse travailler l'outil.

en fin de scan la fenetre se ferme , et tu as un rapport du nom de Kill'em.txt sur ton bureau ,

colle le contenu dans ta reponse

penses à réactiver tes protections ensuite

à l'issue de cette manip, sauf si soucis de ton côté, on peut considerer ton sujet comme résolu

Bonsoir,

Voilà le dernier rapport de Kill'em.

¤¤¤¤¤¤¤¤¤¤ Kill'em by g3n-h@ckm@n 2.0.2.8 ¤¤¤¤¤¤¤¤¤¤

User : ERIC (Administrateurs)
Update on 16/08/2010 by g3n-h@ckm@n ::::: 00.30
Start at: 01:40:10 | 16/08/2010

AMD Processor model unknown
Microsoft Windows XP Édition familiale (5.1.2600 32-bit) # Service Pack 3
Internet Explorer 8.0.6001.18702
Windows Firewall Status : Disabled
AV : AntiVir Desktop 9.0.1.32 [ (!) Disabled | Updated ]
FW : Outpost Firewall Pro[ (!) Disabled ]7.0

C:\ -> Disque fixe local | 149,04 Go (122,24 Go free) | NTFS
D:\ -> Disque CD-ROM

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Processes ------- Memory(Ko)

C:\WINDOWS\System32\smss.exe ----416 Ko
C:\WINDOWS\system32\csrss.exe ----3456 Ko
C:\WINDOWS\system32\winlogon.exe ----3500 Ko
C:\WINDOWS\system32\services.exe ----3608 Ko
C:\WINDOWS\system32\lsass.exe ----6540 Ko
C:\WINDOWS\system32\svchost.exe ----4884 Ko
C:\WINDOWS\system32\svchost.exe ----4584 Ko
C:\WINDOWS\System32\svchost.exe ----20316 Ko
C:\WINDOWS\system32\svchost.exe ----2968 Ko
C:\WINDOWS\system32\logonui.exe ----1852 Ko
C:\WINDOWS\system32\svchost.exe ----3024 Ko
C:\WINDOWS\system32\spoolsv.exe ----5272 Ko
C:\Program Files\Avira\AntiVir Desktop\sched.exe ----5008 Ko
C:\WINDOWS\system32\svchost.exe ----3784 Ko
C:\WINDOWS\Explorer.EXE ----11240 Ko
C:\WINDOWS\system32\cmd.exe ----1904 Ko
C:\PROGRA~1\Agnitum\OUTPOS~1\acs.exe ----15780 Ko
C:\Program Files\Avira\AntiVir Desktop\avguard.exe ----68724 Ko
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe ----2572 Ko
C:\WINDOWS\system32\nvsvc32.exe ----4212 Ko
C:\WINDOWS\system32\svchost.exe ----4240 Ko
C:\WINDOWS\system32\wuauclt.exe ----6776 Ko
C:\Program Files\Avira\AntiVir Desktop\avmailc.exe ----1016 Ko
C:\Program Files\Avira\AntiVir Desktop\AVWEBGRD.EXE ----5388 Ko
C:\WINDOWS\system32\wbem\wmiprvse.exe ----8240 Ko
C:\WINDOWS\System32\alg.exe ----3916 Ko
C:\Program Files\List_Kill'em\ERUNT.EXE ----3296 Ko
C:\Program Files\List_Kill'em\pv.exe ----2780 Ko

¤¤¤¤¤¤¤¤¤¤ Files/folders :

=======
Hosts :
=======

127.0.0.1 localhost

========
Registry
========

Deleted : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser : {0E5CBF21-D15F-11D0-8301-00AA005B4383}
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Install.exe"
Deleted : "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Setup.exe"

=================
Internet Explorer
=================

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
Start Page = https://www.msn.com/fr-fr/?ocid=iehp
Local Page = C:\WINDOWS\system32\blank.htm
Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
Start Page = https://www.google.com/?gws_rd=ssl
Local Page = C:\WINDOWS\system32\blank.htm
Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch

===============
Security Center
===============

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
FirstRunDisabled = 1 (0x1)
AntiVirusDisableNotify = 0 (0x0)
FirewallDisableNotify = 0 (0x0)
UpdatesDisableNotify = 0 (0x0)
AntiVirusOverride = 1 (0x1)
FirewallOverride = 1 (0x1)

========
Services
=========

Ndisuio : Start = 3
EapHost : Start = 2
Ip6Fw : Start = 2
SharedAccess : Start = 2
wuauserv : Start = 2
wscsvc : Start = 2

============
Disk Cleaned
anti-ver blaster : OK
Prefetch cleaned
================

FEATURE_BROWSER_EMULATION | svchost :
====================================

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys pciide.sys PCIIDEX.SYS
kernel: MBR read successfully
user & kernel MBR OK

¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤( EOF )¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

Merci pour tout ;)

pas d'autres soucis ?

Non, pas d'autres soucis.

Le PC est beaucoup plus rapide maintenant.

Je te remercie encore pour ton aide et ta patience.

CactusFlower

ok

résolu

bonne continuation