Search settings et autres #@! Fermé

Question

Bonjour,

Je me permet de réecrire le message car le titre n'était pas très clair sur le post précédent



Configuration: Windows XP / Firefox 3.6.8


Je crois être infecté par search setings 1.2.3, je voudrais savoir la procédure à suivre pour supprimer ceci ainsi que les autres choses que je n'aurais éventuellement pas vus.


Voici le rapport Toolabar S&D :


-----------\ ToolBar S&D 1.2.9 XP/Vista

Microsoft Windows XP Édition familiale ( v5.1.2600 ) Service Pack 3
X86-based PC ( Multiprocessor Free : Intel(R) Core(TM)2 Quad CPU Q6600 @ 2.40GHz )
BIOS : BIOS Date: 01/04/08 16:13:45 Ver: 08.00.12
USER : Kantin ( Administrator )
BOOT : Normal boot
Antivirus : avast! antivirus 4.8.1368 [VPS 100828-0] 4.8.1368 (Activated)
A:\ (USB)
C:\ (Local Disk) - NTFS - Total:195 Go (Free:80 Go)
D:\ (Local Disk) - NTFS - Total:97 Go (Free:32 Go)
E:\ (Local Disk) - NTFS - Total:97 Go (Free:11 Go)
F:\ (Local Disk) - NTFS - Total:75 Go (Free:8 Go)
H:\ (USB)
I:\ (USB)
J:\ (USB)
K:\ (CD or DVD)
L:\ (USB)
N:\ (CD or DVD)
P:\ (USB)

"C:\ToolBar SD" ( MAJ : 22-08-2009|18:42 )
Option : [1] ( 28/08/2010|16:06 )

-----------\ Recherche de Fichiers / Dossiers ...

C:\WINDOWS\Prefetch\SEARCHSETTINGS.EXE-253CB611.pf
C:\DOCUME~1\Kantin\APPLIC~1\Search Settings
C:\DOCUME~1\Kantin\APPLIC~1\Search Settings\kb130
C:\DOCUME~1\Kantin\APPLIC~1\Search Settings\kb130	emp
C:\DOCUME~1\Kantin\APPLIC~1\Search Settings\kb130	emp\ws-14848.log

-----------\ Extensions

(Kantin) - {19503e42-ca3c-4c27-b1e2-9cdb2170ee34} => flashgot
(Kantin) - {20a82645-c095-46ed-80e3-08825760534b} => chrome_user


-----------\ [..\Internet Explorer\Main]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Local Page"="C:\WINDOWS\system32\blank.htm"
"Start Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome"
"Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"

[HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main]
"Default_Page_URL"="http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome"
"Default_Search_URL"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
"Search Page"="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
"Start Page"="http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home"
"Search Bar"="https://www.bing.com/?toHttps=1&redig=8F3F334EA60E4B1CB4D040DCFE393A89{SUB_RFC1766}/srchasst/srchasst.htm"


--------------------\ Recherche d'autres infections


Aucune autre infection trouvée !


1 - "C:\ToolBar SD\TB_1.txt" - 28/08/2010|16:05 - Option : [1]
2 - "C:\ToolBar SD\TB_2.txt" - 28/08/2010|16:06 - Option : [1]

-----------\ Fin du rapport a 16:06:48,40


Et merci d'avance pour votre précieuse aide !

Xplode · Answer

Bonjour,

Je fais fermer ton précédent sujet et on continue ici :)

-+-+-+-+-> AD-Remover <-+-+-+-+-


[x] Télécharge AD-Remover ( de  C_XX ).

[x] Lance AD-Remover puis choisis l'option " Nettoyer ".

Note : Utilisateurs de vista/seven -> Clic droit sur "Ad-R.exe" puis " Exécuter en tant qu'administrateur "

[x] Patiente pendant le scan, un rapport s'ouvrira ensuite. Poste son contenu dans ton prochain message

[x] Note : Le rapport se trouve également sous C:\Ad-Report-CLEAN.txt

kantin · Answer

et voilà !



======= RAPPORT D'AD-REMOVER 2.0.0.1,D | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 26/07/10 à 12:00
Contact: AdRemover.contact[AT]gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (SCAN [1]) -> Lancé à 16:20:22 le 28/08/2010, Mode normal

Microsoft Windows XP Édition familiale Service Pack 3 (X86) 
Kantin@PURSANG ( ) 
 
============== RECHERCHE ==============

Service: "Application Updater" Présent 

0,Dossier trouvé: C:\Program Files\Application Updater
0,Dossier trouvé: C:\Documents and Settings\Kantin\Application Data\Search Settings
3,Fichier trouvé: C:\WINDOWS\Installer\5a58e8.msi  

1,Clé trouvée: HKLM\Software\Classes\CLSID\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé trouvée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé trouvée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
1,Clé trouvée: HKLM\Software\Classes\Interface\{2A42D13C-D427-4787-821B-CF6973855778}
1,Clé trouvée: HKLM\Software\Classes\Interface\{3D8478AA-7B88-48A9-8BCB-B85D594411EC}
1,Clé trouvée: HKLM\Software\Classes\Interface\{93FF076F-ACC9-4D39-B07D-E9A4D6D1F4C7}
1,Clé trouvée: HKLM\Software\Classes\Interface\{D5A1EF9A-7948-435D-8B87-D6A598317288}
1,Clé trouvée: HKLM\Software\Classes\TypeLib\{CD082CCA-086F-4FD8-8FD7-247A0DBBD1CC}
0,Clé trouvée: HKLM\Software\Classes\ComObject.DeskbarEnabler
0,Clé trouvée: HKLM\Software\Classes\ComObject.DeskbarEnabler.1
0,Clé trouvée: HKLM\Software\Classes\SearchSettings.BHO
0,Clé trouvée: HKLM\Software\Classes\SearchSettings.BHO.1
0,Clé trouvée: HKLM\Software\Classes\URLSearchHook.MHURLSearchHook
0,Clé trouvée: HKLM\Software\Classes\URLSearchHook.MHURLSearchHook.1
0,Clé trouvée: HKLM\Software\Application Updater
0,Clé trouvée: HKLM\Software\Search Settings
0,Clé trouvée: HKCU\Software\Search Settings

0,Valeur trouvée: HKLM\Software\Microsoft\Windows\CurrentVersion\Run|SearchSettings
0,Valeur trouvée: HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks|{E312764E-7706-43F1-8DAB-FCDD2B1E416D}


============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.6.8 (fr)] **

-- C:\Documents and Settings\Kantin\Application Data\Mozilla\FireFox\Profiles\y4fmib7k.default\Prefs.js --
browser.download.dir, C:\Documents and Settings\Kantin\Bureau
browser.download.lastDir, C:\Documents and Settings\Kantin\Bureau\cielle\photos\IMAGES\champignon atomique
browser.startup.homepage_override.mstone, rv:1.9.2.8

========================================

** Internet Explorer Version [6.0.2900.5512] **

[HKCU\Software\Microsoft\Internet Explorer\Main] 
Do404Search: 0x01000000
Enable Browser Extensions: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Show_ToolBar: yes
Start Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome

[HKLM\Software\Microsoft\Internet Explorer\Main] 
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
Start Page: hxxp://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS] 
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 1 Fichier(s)

C:\Ad-Report-SCAN[1].txt - 28/08/2010 (2176 Octet(s)) 

Fin à: 16:22:23, 28/08/2010 
 
============== E.O.F ==============

kantin · Answer

Ah ok ! sorry !


Donc c'est bon, mais il a demandé de redemarrer pour finaliser le nettoyage,
dois-je le relancer pour être sur ?


Que dois-je faire d'autre doc ?

Xplode · Answer

Non, pas besoin de le relancer.

Fais ceci maintenant :

-+-+-+-+-> Malwarebytes' Anti-Malware <-+-+-+-+-


[x] Télécharge Malwarebytes' Anti-malware sur ton bureau.

[x] Installe le en laissant les options par défaut ( Cocher seulement " Créer une icône sur le bureau " )

[x] A la fin de l'installation, MBAM se mettra à jour automatiquement puis s'exécutera.

[x] Une fois lancé, clique sur " Exécuter un examen complet " puis sur " Rechercher "

[x] Sélectionne tout tes disques locaux et amovibles.

[x] Patiente pendant toute la durée du scan, puis clique sur " Ok " une fois l'analyse effectuée.

[x] Clique ensuite sur " Afficher les résultats " puis sur " Supprimer la sélection ". Valide ensuite par " Ok ".

[x] MBAM ouvrira un rapport, copie/colle son contenu dans ta prochaine réponse.

[x] Tu peux ensuite vider la quarantaine de MBAM.

[x] Note : MBAM t'invitera peut être à redémarrer ton PC, fais le. Le rapport se trouve dans la partie " Rapports/Logs " de MBAM.

[x] Si tu as des soucis, un tutoriel est disponible à cette adresse.

kantin · Answer

mise à jour impossible !

Xplode · Answer

Télécharge le fichier de mise à jour manuelle de malwarebytes et installe le. Ça mettra à jour malwarebytes ;-)

Ensuite suis les indications données plus haut

kantin · Answer

non c'est bon, j'avais une ancienne version.
Je poste le log à la fin

kantin · Answer

le rapport donc.
On dirait que c'est bon !


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4494

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

28/08/2010 17:50:09
mbam-log-2010-08-28 (17-50-09).txt

Type d'examen: Examen complet (C:\|)
Elément(s) analysé(s): 328482
Temps écoulé: 39 minute(s), 58 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

Xplode · Answer

En effet !

Fais ceci pour qu'on supprime les résidus d'infection et ensuite on pourra finaliser:

-+-+-+-+-> ZHPDiag <-+-+-+-+-


[x] Nous allons effectuer un diagnostic de ton ordinateur, pour ce faire, télécharge ZHPDiag ( de Nicolas Coolman ).

[x] Exécute l'installateur -> /!\ Coche la case " créer une icône sur le bureau " /!\ 

[x] Lance le en double cliquant sur l'icône ZHPDiag qui se trouve sur ton bureau ( Sous Vista/Seven : Clic droit sur l'icône -> " Exécuter en tant qu'administrateur " )

[x] Clique sur l'icône en forme de loupe en haut à gauche ( Lancer le diagnostic ).

[x] Une fois l'analyse terminée, clique sur l'icône en forme de disquette bleue puis sauvegarde le fichier sur ton bureau.

[x] Rend toi sur cjoint puis clique sur " Parcourir ".

[x] Sélectionne le fichier ZHPDiag.txt présent sur ton bureau, puis clique sur " Ouvrir ".

[x] Clique ensuite sur " Créer le lien cjoint " puis copie/colle dans ta prochaine réponse le lien créé.

kantin · Answer

et voila

https://www.cjoint.com/?iDlq0ljytq

Xplode · Answer

-+-+-+-+-> ZHPFix <-+-+-+-+-


/!\ Utilisateurs de vista/7 , cette manipulation est à effectuer en tant qu'administrateur ( Clic droit -> [Exécuter en tant qu'administrateur] ) /!\

[x] Copie le texte en gras ci-dessous ( CTRL + C pour copier )


[HKLM\Software\Trad-FR]  
O4 - HKCU\..\Run: [AdobeBridge] Clé orpheline  
OPT:O4 - HKLM\..\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper Module.) -- C:\Program Files\iTunes\iTunesHelper.exe  
OPT:O4 - HKLM\..\Run: [RTHDCPL] . (.Realtek Semiconductor Corp. - Realtek HD Audio Control Panel.) -- C:\Windows\RTHDCPL.EXE   
OPT:O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\qttask.exe 
OPT:O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet   
OPT:O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe    
OPT:O4 - HKLM\..\Run: [TkBellExe] . (.RealNetworks, Inc. - RealNetworks Scheduler.) -- C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe 


[x] Lance ZHPFix qui est présent sur ton bureau.

[x] Clique sur le "H" bleu ( Coller les lignes Helper )

[x] Les lignes précédemment copiées apparaîtront à l'écran dans l'encadré jaune pâle.

[x] Vérifie que seules les lignes indiquées plus haut sont présentes puis clique sur [Ok] 

[x] Clique maintenant sur [Tous] , puis sur [Nettoyer]

[x] Copie/Colle le contenu du rapport à l'écran dans ton prochain message.

[x] Note : le rapport se trouve également sous C:\Program Files\ZHPDiag\ZHPFixReport.txt

kantin · Answer

Rapport de ZHPFix v1.12.3141 par Nicolas Coolman, Update du 27/08/2010
Fichier d'export Registre : C:\ZHPExportRegistry-29-08-2010-21-12-51.txt
Run by Kantin at 29/08/2010 21:12:51
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html
Contact : nicolascoolman@yahoo.fr

========== Clé(s) du Registre ==========
HKLM\Software\Trad-FR  => Clé supprimée avec succès

========== Valeur(s) du Registre ==========
O4 - HKCU\..\Run: [AdobeBridge] Clé orpheline  => Valeur supprimée avec succès
O4 - HKLM\..\Run: [iTunesHelper] . (.Apple Inc. - iTunesHelper Module.) -- C:\Program Files\iTunes\iTunesHelper.exe  => Valeur supprimée avec succès
O4 - HKLM\..\Run: [RTHDCPL] . (.Realtek Semiconductor Corp. - Realtek HD Audio Control Panel.) -- C:\Windows\RTHDCPL.EXE  => Valeur supprimée avec succès
O4 - HKLM\..\Run: [QuickTime Task] . (.Apple Inc. - QuickTime Task.) -- C:\Program Files\QuickTime\qttask.exe  => Valeur supprimée avec succès
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet  => Valeur supprimée avec succès
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] . (.Adobe Systems Incorporated - Adobe Acrobat SpeedLauncher.) -- C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe  => Valeur supprimée avec succès
O4 - HKLM\..\Run: [TkBellExe] . (.RealNetworks, Inc. - RealNetworks Scheduler.) -- C:\Program Files\Fichiers communs\Real\Update_OB\realsched.exe  => Valeur supprimée avec succès


========== Récapitulatif ==========
1 : Clé(s) du Registre
7 : Valeur(s) du Registre


End of the scan






Encore merci pour ton aide précieuse !

Search settings et autres #@!

12 réponses

Discussions similaires