Win32 adware toolbare dealio

Question

Bonjour, NOD 32 a trouvé ceci et il ne peut apparemment pas les supprimer... Que puis-je faire? Merci

C:\Documents and Settings\PC-HP\Mes documents\mes textes\NOD32 Antivirus 3.0.642(with unlimited update fix)\NOD32 Antivirus 3.0.642(with unlimited update fix)\Setup\eav_nt32_enu.exe »CAB »is151642.exe - Win32/Adware.Virtumonde application

C:\Documents and Settings\PC-HP\Temporary Internet Files\Content.IE5\448ZS64Z\pdfforgeToolbar[1].msi »MSI »Data1.cab »CAB »searchsettings.exe - Win32/Adware.Toolbar.Dealio application

C:\Documents and Settings\PC-HP\Temporary Internet Files\Content.IE5\448ZS64Z\pdfforgeToolbar[1].msi »MSI »Data1.cab »CAB »applicationupdater.exe.2AEA64FA_898D_4F2B_A6D4_6ACAB09B67CA - probablement une variante de  Win32/Adware.Toolbar.Dealio  application 

C:\Documents and Settings\PC-HP\Temporary Internet Files\Content.IE5\448ZS64Z\pdfforgeToolbar[1].msi »MSI »Data1.cab »CAB »widgitoolbarie.dll - une variante de Win32/Adware.Toolbar.Dealio application

Utilisateur anonyme · Answer

salut,

ton Nod32 me semble légèrement non officiel : with unlimited update fix un antivirus avec mise a jour illimité c'est quand même louche!!!

bonne continuation :D

crapoulou · Answer

Bonjour, 

Avoir un antivirus cracké, c'est pire que de ne pas en avoir. 
Je ne sais pas si tu te rends compte de cette aberration. 
Tu ne sais absolument pas d'où ça vient, qui l'a touché et le code éventuellement injecté ! 

C'est comme ceux qui achètent des médicaments illégalement, finalement tu te ruines encore plus la santé... ! 
Je te conseille très fortement de le désinstaller avant même de commencer le processus de désinfection de ta machine ! 

Edit.

Donc tu ne peux pas m'aider? C'est un ami qui me l'a installé, je n'y connais rien...
Tu diras merci à ton ami au passage.

Top' tu n'es pas si loin de nous.

crapoulou · Answer

Bon ok je vais désinstaller et recommencer autrement. Je lapiderai cet ami en place publique...

T'es pas obligé, ça ira.

Une fois cela fait, on pourra t'aider.
Crois moi, c'est pour le bien de ton PC, pas uniquement pour respecter les règles !

crapoulou · Answer

Ok. Oui, je serai là demain. Pour avancer, je te donne la procédure de diagnostic que tu auras à faire : ******* Si t'es sous Vista ou 7, désactive l'UAC : Tu lanceras les exécutables aussi par clic droit > Exécuter en tant qu'administrateur. ******* Pour établir un diagnostic plus en profondeur de ton PC : Télécharge Random's System Information Tool (RSIT) de random/random et enregistre l'exécutable sur le Bureau. = = = = >>> En cliquant ici <<< = = = = * Double clique sur RSIT.exe pour le lancer. * Une première fenêtre s'ouvre, clique alors sur Continue (Disclaimer). * Si la dernière version de HijackThis n'est pas détectée sur ton PC, RSIT le téléchargera et te demandera d'accepter la licence. * Lorsque l'analyse sera terminée, deux fichiers texte s'ouvriront (probablement avec le bloc-notes). * Poste le contenu de log.txt et de info.txt. Si tu as des soucis pour envoyer le fichier, héberge-le sur cijoint.fr. Aide en images.

crapoulou · Answer

Désactive le Teatimer de Spybot (protection résidente) car il va nuire au bon déroulement de la désinfection (bloque certains outils) : - Lance Spybot - Va dans Mode puis Mode avancé puis Outils puis Résident et décoche la case Tea timer. ************ Dans la liste des programmes, désinstalle ceci : pdfforge Toolbar PDFCreator est très bien mais sa Toolbar un peu trop présente et curieuse de tes actions sur le net. *********** Ton PC est plein d'adwares : Suppression avec AD-R : Télécharge AD-R (de C_XX ) sur ton bureau : = = = =>>> En cliquant ici <<<= = = = /!\ Déconnecte-toi et ferme toutes applications en cours, désactive ton antivirus le temps de la manipulation/!\ * Exécute AD-R. * Au menu principal clique sur le bouton "Nettoyer". * Poste le rapport qui apparaît à la fin. (Le rapport est sauvegardé aussi sous Ad-Report-CLEAN[1].txt)

crapoulou · Answer

Bien. La suite : Télécharge Malwarebytes' Anti-Malware = = = = >>> En cliquant ici <<< = = = = - Enregistre le sur le bureau - Double clique sur le fichier téléchargé pour lancer le processus d'installation - Lorsqu'il te le sera demandé, mets à jour Malwarebytes anti malware - Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, acceptes - Une fois la mise à jour terminée, ferme Malwarebytes - Double-clique sur l'icône de malwarebytes pour le relancer - Dans l'onglet, Recherche, probablement ouvert par défaut, - Sélectionne Exécuter un examen complet - Clique sur Rechercher - Le scan démarre - A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur `Afficher les résultats' pour afficher tous les objets trouvés. - Clique sur Ok pour poursuivre. - Si des malwares ont été détectés, cliques sur Afficher les résultats - Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. - Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. - Rends toi dans l'onglet rapport/log - Tu clique dessus pour l'afficher. - Une fois affiché, cliques sur édition en haut du bloc notes, et puis sur sélectionner tout - Tu recliques sur édition et puis sur copier et tu reviens sur le forum et dans ta réponse - Tu clique droit dans le cadre de la réponse et coller Si tu as besoin d'aide regarde ce tutorial ICI

crapoulou · Answer

Il faut à tout prix que tu supprimes tous les cracks que tu as sur ton PC, sinon, ce n'est même pas la peine de continuer à désinfecter ton PC ! Supprime tous les cracks que tu as. ******* Ensuite, pour vérification : Télécharge et installe UsbFix de C_XX & El_Desaparecido : = = = = >>> En cliquant ici <<< = = = = Branche tes sources de données externes à ton PC, (clé USB, disque dur externe, etc...) susceptibles d'avoir été infectés sans les ouvrir ! * Double clique sur le raccourci UsbFix présent sur ton bureau. * Clique sur le bouton Recherche * Laisse travailler l'outil. * Ensuite poste l'intégralité du rapport UsbFix.txt qui apparaîtra. Notes : - Le rapport UsbFix.txt est sauvegardé à la racine du disque. (C:\UsbFix.txt) (CTRL+A Pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller sur le forum). - Si l'outil ne se lance pas, désactive ton antivirus le temps de la manipulation. ************ Ensuite, génère un nouveau rapport RSIT et envoie moi le contenu du nouveau fichier log.txt qui sera généré. Top' tu n'es pas si loin de nous.

crapoulou · Answer

Vide la quarantaine de Malwarebytes' Anti malware. Ensuite, pour supprimer les cracks : Va dans "Mes documents" et supprime ces dossiers et désinstalle les programme associés s'ils sont installés : c:\documents and settings\PC-HP\mes documents éléchargements\guitar.pro.v5.2incl.keymake c:\documents and settings\PC-HP\mes documents\zone alarm pro 7.0.462 incl keygen ****** On va rechercher les cracks : Télécharge SEAF.exe de C_XX sur ton bureau : = = = = =>>> En cliquant ici <<<= = = = = * Double clique sur SEAF.exe que tu viens de télécharger. * Une fenêtre va s'ouvrir. * Copie-colle ceci dans la barre de recherche blanche serial,keygen,crack,no-cd * Coche sur la droite : "Chercher également dans le registre" * Coche en bas "Afficher les ADS" et "Informations supplémentaires". * Clique ensuite sur "Lancer la recherche". * Patiente pendant la recherche. * Une fenêtre avec un rapport au format ".txt" va s'afficher. * Copie/colle ce rapport dans ta prochaine réponse.

crapoulou · Answer

Désinstalle Zonealarm.
Il arrive qu'il bloque la connexion internet.
normalement, tout devrait rentrer dans l'ordre à ce niveau-là ensuite.

J'ai bien vu ton rapport SEAF même s'il n'est pas sur le forum.
Je le regarderai de plus près plus tard.

crapoulou · Answer

As-tu retrouvé ta connexion Internet ?!

crapoulou · Answer

Sauvegarde ce qui suit dans un fichier texte (notepad) :

Windows Registry Editor Version 5.00

[-HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\accesskeygenerator.com]
[-HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\cracks4all.com]
[-HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\digikeygen.com]
[-HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\keygenguru.com]
[-HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\me.uk\cracks]
[-HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains
ewcracks.com]
[-HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains
ewcracks.net] 
[-HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\serialplayers.com]

********

Ensuite, affiche les extensions des fichiers :

Affiche les extensions des fichiers (si ce n'est pas déjà le cas) : 
- Mes documents
- Outils
- Options des dossiers
- Onglet « Affichage »
- Décoche Masquer les extensions des fichiers dont le type est connu

***********

renomme ton fichier => remplace le .txt en .reg
Accepte le changement d'extension.

Double clique sur le fichier .reg et accepte la fusion avec le registre.

Concernant les alertes de ton antivirus, quel fichier est détecté ? As-tu tenté quelque chose (quarantaine, suppression, ...) ?

crapoulou · Answer

Ouvre le bloc notes :
Démarrer > Tous les programmes > Accessoires > Bloc-notes

OU

Démarrer > Exécuter > tape notepad > [Entrée]

Ensuite, copie-colle ce qui est mis plus haut et suis les instructions. Toutes les étapes sont décrites point par point, tu ne peux pas te tromper.

En cas de doute, demande moi, il n'y a pas de souci.

Cela permet de corriger des entrées de registre.
Si tu n'arrive vraiment pas à créer le fichier, on fera autrement.

crapoulou · Answer

Bon alors prends le ici :
http://sd-1.archive-host.com/membres/up/68979205412808752/CCM/crapoulou.reg

Tu le télécharge sur ton PC puis tu le lances par double clic.

crapoulou · Answer

Ok, parfait. 
C'est tout à fait ça. 
Maintenant, supprime ce fichier téléchargé crapoulou.reg, nous n'en avons plus besoin. 

Si tu avais affiché les extensions des fichiers, tu peux maintenant les masquer (comme tu veux). 

Tu as désinstallé ZoneAlarm ? 
As-tu installé un autre pare-feu à la place ? 

Relance RSIT afin de générer un nouveau rapport. 
Envoie le rapport log.txt généré stp. 

On a bientôt terminé ;-).
Top' tu n'es pas si loin de nous.

yugnat · Answer

Logfile of random's system information tool 1.08 (written by random/random)
Run by PC-HP at 2011-03-28 18:45:43
Microsoft Windows XP Professionnel Service Pack 2
System drive C: has 203 GB (88%) free of 229 GB
Total RAM: 1022 MB (26% free)

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 18:46:33, on 28/03/2011
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ehome\ehtray.exe
C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\HP\QuickPlay\QPService.exe
C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\Eset
od32kui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Creative\Creative Media Lite\CTZDetec.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\WINDOWS\system32undll32.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Western Digital\WD SmartWare\WD Drive Manager\WDDMStatus.exe
C:\Program Files\Western Digital\WD SmartWare\Front Parlor\WDSmartWare.exe
C:\Documents and Settings\PC-HP\Application Data\Dropbox\bin\Dropbox.exe
C:\Program Files\HP\Digital Imaging\bin\hpqimzone.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\WINDOWS\system32\CTsvcCDA.exe
C:\Program Files\Creative\Shared Files\CTDevSrv.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
c:\PROGRA~1\mcafee\SITEAD~1\mcsacore.exe
C:\Program Files\Eset
od32krn.exe
C:\WINDOWS\system32
vsvc32.exe
C:\Program Files\CyberLink\Shared Files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Western Digital\WD SmartWare\WD Drive Manager\WDDMService.exe
C:\WINDOWS\system32\mqsvc.exe
C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
C:\WINDOWS\system32\mqtgsvc.exe
C:\WINDOWS\system32undll32.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Mozilla Firefox\plugin-container.exe
C:\Documents and Settings\PC-HP\Mes documents\Téléchargements\RSIT.exe
C:\Program Files	rend micro\PC-HP.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://go.microsoft.com/fwlink/?linkid=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://fr.msn.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://ad.harrenmedianetwork.com/...
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
R3 - URLSearchHook: (no name) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - (no file)
R3 - URLSearchHook: McAfee SiteAdvisor Toolbar - {0EBBBE48-BAD4-4B4C-8E5A-516ABECAE064} - c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Fichiers communs\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Fichiers communs\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: SkypeIEPluginBHO - {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O2 - BHO: McAfee SiteAdvisor BHO - {B164E929-A1B6-4A06-B104-2CD0E90A88FF} - c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll
O2 - BHO: (no name) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - (no file)
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: McAfee SiteAdvisor Toolbar - {0EBBBE48-BAD4-4B4C-8E5A-516ABECAE064} - c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Program Files\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [hpWirelessAssistant] C:\Program Files\hpq\HP Wireless Assistant\HP Wireless Assistant.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /nodetect
O4 - HKLM\..\Run: [MsmqIntCert] regsvr32 /s mqrt.dll
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] CHDAudPropShortcut.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [QPService] "C:\Program Files\HP\QuickPlay\QPService.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [QlbCtrl] %ProgramFiles%\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
O4 - HKLM\..\Run: [Cpqset] C:\Program Files\Hewlett-Packard\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [RecGuard] C:\Windows\SMINST\RecGuard.exe
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [LanguageShortcut] "C:\Program Files\CyberLink\PowerDVD\Language\Language.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset
od32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 10.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Fichiers communs\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [EPSON Stylus DX7400 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATICDE.EXE /FU "C:\WINDOWS\TEMP\E_S1F1.tmp" /EF "HKCU"
O4 - HKCU\..\Run: [CTZDetec.exe] C:\Program Files\Creative\Creative Media Lite\CTZDetec.exe
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [Xvocozis] rundll32.exe  "C:\WINDOWS\lspe32r.dll",Startup
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Dropbox.lnk = C:\Documents and Settings\PC-HP\Application Data\Dropbox\bin\Dropbox.exe
O4 - Global Startup: Démarrage rapide de HP Photosmart Premier.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: WDDMStatus.lnk = C:\Program Files\Western Digital\WD SmartWare\WD Drive Manager\WDDMStatus.exe
O4 - Global Startup: WDSmartWare.lnk = C:\Program Files\Western Digital\WD SmartWare\Front Parlor\WDSmartWare.exe
O8 - Extra context menu item: &Traduire à partir de l'anglais - res://C:\Program Files\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: Pages liées - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Pages similaires - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Recherche &Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Version de la page actuelle disponible dans le cache Google - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: Skype Plug-In - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O9 - Extra 'Tools' menuitem: Skype Plug-In - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://ie.redirect.hp.com/...
O18 - Protocol: dssrequest - {5513F07E-936B-4E52-9B00-067394E91CC5} - c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll
O18 - Protocol: sacore - {5513F07E-936B-4E52-9B00-067394E91CC5} - c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll
O18 - Protocol: skype-ie-addon-data - {91774881-D725-4E58-B298-07617B9B86A8} - C:\Program Files\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FICHIE~1\Skype\SKYPE4~1.DLL
O22 - SharedTaskScheduler: Pré-chargeur Browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Démon de cache des catégories de composant - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: AddFiltr - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\AddFiltr.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: CT Device Query service (CTDevice_Srv) - Creative Technology Ltd - C:\Program Files\Creative\Shared Files\CTDevSrv.exe
O23 - Service: Service d'administration du Gestionnaire de disque logique (dmadmin) - Unknown owner - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: Service de planification Media Center (ehSched) - Unknown owner - C:\WINDOWS\eHome\ehSched.exe
O23 - Service: Journal des événements (Eventlog) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Service Google Update (gupdate) (gupdate) - Unknown owner - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Service Google Update (gupdatem) (gupdatem) - Unknown owner - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - c:\Program Files\Fichiers communs\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Service COM de gravage de CD IMAPI (ImapiService) - Unknown owner - C:\WINDOWS\system32\imapi.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Fichiers communs\LightScribe\LSSrvc.exe
O23 - Service: McAfee SiteAdvisor Service - McAfee, Inc. - c:\PROGRA~1\mcafee\SITEAD~1\mcsacore.exe
O23 - Service: Partage de Bureau à distance NetMeeting (mnmsrvc) - Unknown owner - C:\WINDOWS\system32\mnmsrvc.exe
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Fichiers communs\Ahead\Lib\NMIndexingService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset  - C:\Program Files\Eset
od32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32
vsvc32.exe
O23 - Service: Plug-and-Play (PlugPlay) - Unknown owner - C:\WINDOWS\system32\services.exe
O23 - Service: Gestionnaire de session d'aide sur le Bureau à distance (RDSessMgr) - Unknown owner - C:\WINDOWS\system32\sessmgr.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared Files\RichVideo.exe
O23 - Service: Carte à puce (SCardSvr) - Unknown owner - C:\WINDOWS\System32\SCardSvr.exe
O23 - Service: Journaux et alertes de performance (SysmonLog) - Unknown owner - C:\WINDOWS\system32\smlogsvc.exe
O23 - Service: Cliché instantané de volume (VSS) - Unknown owner - C:\WINDOWS\System32\vssvc.exe
O23 - Service: WD SmartWare Drive Manager (WDDMService) - WDC - C:\Program Files\Western Digital\WD SmartWare\WD Drive Manager\WDDMService.exe
O23 - Service: WD SmartWare Background Service (WDSmartWareBackgroundService) - Memeo - C:\Program Files\Western Digital\WD SmartWare\Front Parlor\WDSmartWareBackgroundService.exe
O23 - Service: Service Windows Media Connect (WMConnectCDS) - Unknown owner - C:\Program Files\Windows Media Connect 2\wmccds.exe
O23 - Service: Carte de performance WMI (WmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\wmiapsrv.exe

crapoulou · Answer

Fais de même avec ce fichier stp (le contenu du fichier a changé) :

http://sd-1.archive-host.com/membres/up/68979205412808752/CCM/crapoulou.reg

Une fois fait, supprime-le.

**********

Ensuite, analyse ces fichiers :
C:\WINDOWS\uhemutokaratiqe.dll
C:\WINDOWS\oxiyisukinasule.dll
C:\WINDOWS\idizomopajeboy.dll
C:\WINDOWS\efeqadir.dll
C:\WINDOWS\ecadoruvozerazur.dll
Sur le site de virustotal :
https://www.virustotal.com/gui/

Parcourir > Sélectionne ton fichier > Analyser, patiente que l'analyse soit terminée.

Poste bien les rapports en m'indiquant à chaque rapport envoyé le nom du fichier concerné !

(Si VirusTotal indique que le fichier a déjà été analysé, clique sur le bouton Ré-analyse le fichier maintenant).

crapoulou · Answer

J'aurais pensé que ces fichiers étaient infectieux :

C:\WINDOWS\uhemutokaratiqe.dll
C:\WINDOWS\oxiyisukinasule.dll
C:\WINDOWS\idizomopajeboy.dll
C:\WINDOWS\efeqadir.dll
C:\WINDOWS\ecadoruvozerazur.dll

Peux-tu m'envoyer ces fichiers (en faisant une archive) stp ?

Aide si nécessaire.

Tu trouveras mon adresse sur mon profil.

**************

Je te donne la procédure de fin de désinfection ce soir.

crapoulou · Answer

Alors, j'ai regardé tes fameuses "dll" étranges. Il s'avère que ce n'est même pas du code compilé telle que le serait une dll mais du simple code html. C'est une machine perso ou de la FAC ? Quoi qu'il en soit, le fonctionnement de la FAC de stocker le code HTML de la page d'authentification dans une/des DLL (même code), c'est pas joli joli car pas propre pour des développeurs Web ! Bref, tu peux faire ce que tu veux de ces fichiers, ils n'ont en tout cas rien à faire dans C:\Windows ! Cet écran te dit quelque chose j'imagine ?! C'est le contenu de ces fichiers. ************* Pour finir, un bonne longue procédure : ************* Lance Hijackthis. Il se situe ici : C:\Program Files rend micro\PC-HP.exe Clique sur "Do a system scan only". Coche ces lignes : R3 - URLSearchHook: (no name) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - (no file) O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) O2 - BHO: (no name) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - (no file) O4 - HKLM\..\Run: [LanguageShortcut] "C:\Program Files\CyberLink\PowerDVD\Language\Language.exe" O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe" O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /nodetect O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe O4 - HKLM\..\Run: [Cpqset] C:\Program Files\Hewlett-Packard\Default Settings\cpqset.exe O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe" O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Fichiers communs\Ahead\Lib\NeroCheck.exe O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 10.0\Reader\Reader_sl.exe" O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE LOCAL') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SERVICE RÉSEAU') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user') Clique ensuite sur fix checked. Ferme Hijackthis. ************* Pour supprimer toutes les traces des logiciels qui ont servi à traiter les infections spécifiques : Télécharge Toolscleaner sur ton Bureau = = = =>>> En cliquant ici <<<= = = = * Double-clique sur ToolsCleaner2.exe et laisse le travailler * Clique sur Recherche et laisse le scan se terminer. * Clique sur Suppression pour finaliser. * Tu peux, si tu le souhaites, te servir des Options facultatives. * Clique sur Quitter, pour que le rapport puisse se créer. * Le rapport (TCleaner.txt) se trouve à la racine de votre disque dur (C:\)...colle le dans ta réponse. ********************* Tu peux garder Malwarebytes anti malware en tant qu'anti malware, il est très efficace. (Même s'il ne résout pas tous les problèmes, bien entendu ... !) Par contre, il n'a pas de scan résident en mode gratuit ! Il faut donc pour l'utiliser le lancer, faire les mises à jour et faire un scan complet après. ********************* Télécharge Antivir ou Avast (comme tu veux, antivirus gratuits et efficaces) : Lien pour Antivir Lien pour Avast Ensuite, déconnecte ton PC d'Internet et du réseau (pour des raisons de sécurité étant donné que tu n'auras pas d'antivirus). - Désinstalle NOD32 - Redémarre - Installe Antivir ou Avast (pas les deux bien entendu, jamais deux antivirus en même temps). Si tu veux un tutoriel pour la configuration d'Antivir, regarde ici : https://www.commentcamarche.net/faq/16831-tutoriel-configuration-optimale-d-antivir-personal Si tu veux un tutoriel pour la configuration d'Avast, regarde ici : http://www.commentcamarche.net/faq/25844-avast-installation-et-premiere-utilisation A la fin de l'installation, applique les mises à jour et tu peux éventuellement faire une analyse complète du système. Si tu veux, tu peux la lancer demain, ça ne presse pas. ********************* Mets à jour Windows via Windows update ou en installant directement le Service Pack 3. Ton PC contient là de nombreuses failles de sécuirtés connues étant donné que les mises à jour n'ont pas été appliquées et les patchs non installés : http://www.microsoft.com/downloads/fr-fr/details.aspx?FamilyID=2fcde6ce-b5fb-4488-8c50-fe22559d164e ********************* Mets à jour Internet Explorer en téléchargeant la version 8 (même si tu ne l'utilises pas, sinon c'est une faille de sécurité de ne pas le tenir à jour...) = = = =>>> En cliquant ici <<<= = = = Pour information, Internet Explorer 9 n'est disponible que pour Windows 7. ********************* Afin d'optimiser les capacités et performances de ton PC (suppression de fichiers temporaires, ...) : * Télécharge Ccleaner Slim (Cet utilitaire n'est pas là pour enlever des virus ou autres infections !) = = = = >>> En cliquant ici <<< = = = = * Installe le. * Choisis l'onglet Nettoyeur Quitte ton navigateur Internet avant de le lancer, décoche la dernière case (Avancé si elle est cochée) puis clique sur "lancer le nettoyage" quand il aura terminé le scan cliques en bas à droite sur "lancer le nettoyage" et accepte par oui. Attention, il risque de vider ta corbeille : si tu veux récupérer des fichiers effacés par erreur, mieux vaut le faire maintenant. De plus, tes historiques d'Internet seront effacés. * Choisis l'onglet Registre - Clique sur Chercher des erreurs - Une fois la recherche terminée, clic sur Réparer les erreurs sélectionnées (par défaut, tout est sélectionné, laisse comme ça) - Au message Voulez-vous sauvegarder les changements faits dans le registre, réponds Oui et enregistre le fichier au format « .reg » en le nommant par la date par exemple en le mettant sur le bureau. Puis continue. - A la fenêtre qui s'ouvre ensuite, clique sur Corriger toutes les erreurs sélectionnées puis OK - Recommence jusqu'à ce qu'aucune erreur n'apparaisse (ou une seule récurrente). - Ferme Ccleaner. * Tutoriel en images ICI si besoin. Note : La sauvegarde utilisée permet de remettre tel que la base était avant la manipulation au cas où il y aurait des soucis mais cela ne m'est jamais arrivé ! Il vaut mieux prendre des précautions, c'est tout. ;-)

crapoulou · Answer

Oups pour les questions, désolé.
Il n'y a pas de question bêtes.

Je ne peux pas vraiment te faire une explication complète sur les failles de sécurité sur le Web mais à retenir :

- La simple visite d'un site Web contaminé peut suffire à te faire faire des actions malveillantes (code JavaScript exécuté sur la machine cliente pour une connexion vers un serveur différent, requêtes Ajax, ...)
- Le téléchargement de fichier, logiciel sur des sites douteux de ce genre te fait courir à coup sûr un rogue sur ta machine
- Les sites de streaming infectieux et malveillants peuvent te faire installer soit-disant un plugin (ou add-on) pour ton navigateur afin que la vidéo puisse être lue. En réalité, tu installes un logiciel entièrement malveillant. La même technique est utilisée avec les codecs vidéo.
Google t'aidera aussi si tu es interessé pour comprendre.

Pour répondre à ta question, il y a un risque à naviguer sur tous les sites de toute façon... Après, ce sont des sites plus à risques que d'autres.
Attention, ne pas mettre tous les sites de streaming dans le même panier, certains sont clean !
https://www.commentcamarche.net/faq/16405-comment-regarder-des-films-en-streaming
Article sur le site de Malekal vraiment vieux mais le fonctionnement général est le même pour les vecteurs d'infection des rogues :
https://forum.malekal.com/viewtopic.php?t=19425&start=

***********

Pour ce qui est de la sécurité des MAC.
On dit que Windows est une passoire niveau sécurité contrairement à MAC et Linux.
Réponse => Vrai et Faux !
Vrai car l'architecture de Windows fait qu'il y a des problèmes de sécurité de base (Avant, on avait les autoruns sur clé USB par exemple). Le noyau Linux est plus robuste et pour un administrateur système, il est plus sûr de sécuriser une machine sous Linux.
De plus, la majorité des infections sont faites pour Windows.

Faux car comme je viens de le dire, les virus sont faits, créés pour Windows. Cela signifie que les Virus ont un enjeu économique important pour ceux qui les créent et tentent de les répandre. Windows étant très majoritaire que le marché, il est plus soumis aux failles car de nombreuses personnes malveillantes cherchent les failles !
Maintenant, c'est de moins en moins vrais et des virus sont créés pour agir sur d'autres systèmes d'exploitation (kernel Linux, MAC). Ce n'est pas par hasard que les antivirus Linux et Mac existent. Les éditeurs d'antivirus ne s'embêteraient pas s'ils n'y avait pas de souci, ce serait une perte financière pour eux !

Article assez récent à ce propos :
https://www.01net.com/actualites/virus-sur-mac-sophos-fait-le-point-523852.html

Je te laisse regarder sur Google aussi en veillant à ce que la source soit de qualité, il doit y avoir de nombreux articles intéressants.

**********

Oui, les mises à jour de l'antivirus sont à faire tout de suite.
Après, elles devraient être automatiques et il ne devrait plus t'embêter.

*********

Supprime Toolscleaner de ta machine ainsi que son rapport :
C:\TCleaner.txt

crapoulou · Answer

Désinstalle Spybot Search and destroy, il ne sert pas à grand chose.
Si tu veux avant, tu peux me faire une capture d'écran de ces fameux messages avant et me les montrer.

Il me faut absolument savoir si tu as un rapport avec l'ENS de Lyon !!!

Page d'authentification :
https://cas.ens-lyon.fr/cas/login

*******

Pour le rapport d'Antivir, il faut purger la zone de restauration du système dans laquelle se situent encore les infections.
On le fera juste après.

crapoulou · Answer

Re,

Excuse moi du délai !

Mais effectivement j'essaierai de me renseigner... 

=> Des nouvelles à ce propos ?

Je me demande si ce n'est pas des faux positifs (fausses détections).
Si c'est le cas, le fonctionnement de l'identification est vraiment très étrange !!!

**********

il est dit dans ton lien ci-dessus, que l'on doit ensuite créer un nouveau point de restauration, or comme tu peux t'en douter étant donnée ma quichitude, je ne sais pas le faire... 

=> En décochant la case "Désactiver la restauration...", un nouveau point de restauration sera créé.
regarde ici pour créer un point de restauration manuellement :
https://www.commentcamarche.net/informatique/windows/147-restaurer-windows-avec-les-points-de-restauration/#6-creer-un-point-de-restauration

Tu peux également consulter les points de restauration existants.

Win32 adware toolbare dealio

21 réponses

Votre réponse

Discussions similaires

Newsletters