Virus agaçant Résolu/Fermé

Question

Bonjour, 

Depuis 2 jours maintenant mon navigateur (Maxthon 2.5) ouvre des pages internet tout seul; certaines que j'ai visitées récement et d'autres qui me sont complètement inconnues (même des pages blanches). Quelqu'un aurait-il une idée de comment dégager ce virus ??? Merci à l'avance pour vos réponses ^^

PS: Je suis Windows 7 et voici le rapport Hijackthis

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:29:05, on 20/03/2011
Platform: Unknown Windows (WinNT 6.01.3004)
MSIE: Internet Explorer v8.00 (8.00.7100.0000)
Boot mode: Normal

Running processes:
C:\Windows\system32	askhost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Grabber2k\grabber2k.exe
C:\Program Files\NCSoft\Launcher\NCLauncher.exe
C:\Program Files\eMule\emule.exe
C:\Users	ora-hi\AppData\Roaming\Maxthon2\Maxthon.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Windows\system32\DllHost.exe
C:\Program Files\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\Users	ora-hi\AppData\Local\Temp\Oqr.exe
C:\Program Files\Avira\AntiVir Desktop\avcenter.exe
C:\Program Files\VideoLAN\VLC\vlc.exe
C:\Users	ora-hi\AppData\Local\Temp\Oqs.exe
C:\Windows\Orivua.exe
C:\Users	ora-hi\Desktop\HiJackThis.exe
C:\Windows\system32\SearchFilterHost.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com?SearchSource=10&ctid=CT1098640
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
R3 - URLSearchHook: free-downloads.net Toolbar - {ecdee021-0d17-467f-a1ff-c7a115230949} - C:\Program Files\free-downloads.net	bfree.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: BitComet ClickCapture - {39F7E362-828A-4B5A-BCAF-5B79BFDFEA60} - C:\Program Files\BitComet	ools\BitCometBHO_1.4.12.6.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Mega Manager IE Click Monitor - {bf00e119-21a3-4fd1-b178-3b8537e75c92} - C:\Program Files\Megaupload\Mega Manager\MegaIEMn.dll
O2 - BHO: free-downloads.net Toolbar - {ecdee021-0d17-467f-a1ff-c7a115230949} - C:\Program Files\free-downloads.net	bfree.dll
O3 - Toolbar: free-downloads.net Toolbar - {ecdee021-0d17-467f-a1ff-c7a115230949} - C:\Program Files\free-downloads.net	bfree.dll
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Windows\system32\NeroCheck.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [BitComet] "C:\Program Files\BitComet\BitComet.exe" /tray
O4 - HKCU\..\Run: [Grabber2k] C:\Program Files\Grabber2k\grabber2k.exe
O4 - HKCU\..\Run: [AlcoholAutomount] "C:\Program Files\Alcohol Soft\Alcohol 52\AxAutoMntSrv.exe" -automount
O4 - HKCU\..\Run: [NCsoft Launcher] C:\Program Files\NCSoft\Launcher\NCLauncher.exe /Minimized
O4 - HKCU\..\Run: [DS3 Tool] C:\Program Files\MotioninJoy\ds3\DS3_Tool.exe -mini
O4 - HKCU\..\Run: [A9YA3MI1CF] C:\Users	ora-hi\AppData\Local\Temp\Oqr.exe
O4 - HKCU\..\Run: [NtWqIVLZEWZU] C:\Users	ora-hi\AppData\Local\Temp\Oqs.exe
O4 - HKCU\..\Run: [eMuleAutoStart] C:\Program Files\eMule\emule.exe -AutoStart
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVICE LOCAL')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'SERVICE RÉSEAU')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'SERVICE RÉSEAU')
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Readereader_sl.exe
O8 - Extra context menu item: Download Link Using Mega Manager... - C:\Program Files\Megaupload\Mega Manager\mm_file.htm
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Tout télécharger avec BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddAllLink.htm
O8 - Extra context menu item: Télécharger avec BitComet - res://C:\Program Files\BitComet\BitComet.exe/AddLink.htm
O9 - Extra button: (no name) - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - (no file)
O9 - Extra button: BitComet - {D18A0B52-D63C-4ed0-AFC6-C1E3DC1AF43A} - res://C:\Program Files\BitComet	ools\BitCometBHO_1.4.12.6.dll/206 (file missing)
O13 - Gopher Prefix: 
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O16 - DPF: {E6F480FC-BD44-4CBA-B74A-89AF7842937D} (SysInfo Class) - http://content.systemrequirementslab.com.s3.amazonaws.com/...
O23 - Service: AMD External Events Utility - AMD - C:\Windows\system32\atiesrxx.exe
O23 - Service: Avira AntiVir Planificateur (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - StarWind Software - C:\Program Files\Alcohol Soft\Alcohol 52\StarWind\StarWindServiceAE.exe

Malekal_morte- · Accepted Answer

Salut,


Bienvenue.
Voici la procédure à suivre.
Prière de lire attentivement les instructions pour les suivre correctement.
Bien poster les rapports comme demandés afin de pouvoir les analyser.


ETAPE 1 :
Télécharge et installe Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/  
Mets le à jour, fais un scan rapide, supprime tout et poste le rapport ici.
!!! Malwarebyte doit être à jour avant de faire le scan !!! 


ETAPE 2 :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/ 

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau. 
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur) 

* Lance OTL 
* Sous Peronnalisation, copie-colle ce qu'il y a dans le cadre ci-dessous : 
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop
CREATERESTOREPOINT
nslookup www.google.fr /c 
* Clique sur le bouton Analyse. 
* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer les rapports. 
Donnes le liens pjjoint ici ensuite pour pouvoir être consultés.

tora-hi · Answer

En ce qui concerne les pages blanches qu'il ouvre des fois, c'est généralement celles-ci qui reviennent : 

http://ad.yieldmanager.com/clk?2,13%3B0604dfaf337bc8e0%3B12ed4f27642,0%3B%3B%3B545823826,wRMAAEaRGAAPtYIAAAAAAMwvIQAAAAAAAgAgAAIAAAAAAP8AAAABFtK2JgAAAAAADKIrAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAACUDRAAAAAAAAIAAgAAAAAAPHby1C4BAAAAAAAAADUyYWJkMDI2LTUzMzAtMTFlMC05YTU2LTAwMjQ4MWI0MGM1NgA4nyoAAAA=,http%3A%2F%2Fib.adnxs.com%2Fclick%2FAfp9_-bFzz9O4fcl0QHLPwAAAMDMzPw_TuH3JdEByz8B-n3_5sXPP87LCAUU-d1NgSEEkwNLRTjsYoZNAAAAAIhMAABYAAAAQQMAAAIAAADuJwIAuQMAAAEAAABVU0QAVVNEACwB-gClCgAAYAoBAgUCAAUAAAAAsSXzBgAAAAA.%2Fcnd%3D%21FRU5OgjRrAIQ7s8IGAAguQcoADFmZmZmZmbGP0ITCAAQABgAIAEo_v__________AUgAUABYpRVgAGjBBg..%2Fclickenc%3D%24,http%3A%2F%2Fad.103092804.com%2Fst%3Fad_type%3Diframe%26ad_size%3D300x250%26section%3D1767016

ou

http://ads.creafi-online-media.com/clk?2,13%3B76dbcfe6c5260acd%3B12ed4ef7c3c,0%3B%3B%3B504062329,RwQAAI6nGQD96XUAAAAAAAEAAAAAAAAAAgAAAAAAAAAAAP8AAAABFp6WKAAAAAAArQwgAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAACnxBAAAAAAAAIBAgAAAAAAO3zv1C4BAAAAAAAAAGRjZGRjYzBhLTUzMmYtMTFlMC1iNmY2LTAwMWNjNGZiYTBjYQA4nyoAAAA=,,http%3A%2F%2Fad.yieldmanager.com%2F

des adresses bizarre donc

jfkpresident · Answer

Bonsoir,

Pour suivre..

tora-hi · Answer

ok j'ai installé et mis à jour Malwarebyte, l'analyse est en cours. Je post supprime tout une fois l'analyse finie et post le rapport ici. Mais ça sera sûrement pour demain entre 12h et 13h si je peux, sinon à partir de 18h (après le travail). Ensuite je m'occupe d'OTL. Merci pour le coup de main et bonne nuit ^^

tora-hi · Answer

Bah en fait il vient de finir, voici le rapport:

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6113

Windows 6.1.7100
Internet Explorer 8.0.7100.0

20/03/2011 21:55:41
mbam-log-2011-03-20 (21-55-41).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 143884
Temps écoulé: 9 minute(s), 4 seconde(s)

Processus mémoire infecté(s): 3
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 4
Valeur(s) du Registre infectée(s): 2
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 7

Processus mémoire infecté(s):
c:\Users	ora-hi\AppData\Local\Temp\Oqs.exe (Trojan.Downloader) -> 3804 -> Unloaded process successfully.
c:\Users	ora-hi\AppData\Local\Temp\Oqr.exe (Trojan.Downloader) -> 5688 -> Unloaded process successfully.
c:\Windows\Orivua.exe (Trojan.Downloader) -> 2296 -> Unloaded process successfully.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\A9YA3MI1CF (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\NtWqIVLZEWZU (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\XML (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\ (Hijack.Zones) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\NtWqIVLZEWZU (Trojan.Downloader) -> Value: NtWqIVLZEWZU -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\A9YA3MI1CF (Trojan.Downloader) -> Value: A9YA3MI1CF -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowMyComputer (PUM.Hijack.StartMenu) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Users	ora-hi\AppData\Local\Temp\Oqs.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
c:\Users	ora-hi\AppData\Local\Temp\Oqr.exe (Trojan.Downloader) -> Delete on reboot.
c:\Windows\Orivua.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
c:\Users	ora-hi\AppData\Local\Temp\Oqq.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
c:\Windows\Tasks\{22116563-108c-42c0-a7ce-60161b75e508}.job (Trojan.Downloader) -> Quarantined and deleted successfully.
c:\Windows\Tasks\{62c40aa6-4406-467a-a5a5-dfdf1b559b7a}.job (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Windows\Tasks\{bbaeaeaf-1275-40e2-bd6c-bc8f88bd114a}.job (Trojan.Downloader) -> Quarantined and deleted successfully.

tora-hi · Answer

L'analyse de OTL est terminée voici les rapports

OTL.txt : https://pjjoint.malekal.com/files.php?read=42ea8321459810

Extras.txt : https://pjjoint.malekal.com/files.php?read=bb93612d7f81514

tora-hi · Answer

Je vous souhaite une bonne nuit je repasserais demain après le travail (vers 18h).

Malekal_morte- · Answer

Relance OTL. 
o sous Personnalisation, copie_colle le contenu du cadre ci dessous et clic Correction, un rapport apparraitra suite à l'operation que tu conserveras sur clé usb par exemple afin d'en coller le resultat: 

:OTL
PRC - [2011/03/19 15:48:42 | 000,132,096 | ---- | M] (AVG Technologies CZ, s.r.o.) -- C:\Users	ora-hi\AppData\Local\Temp\Oqr.exe
[2011/03/20 13:41:58 | 000,000,312 | -HS- | M] () -- C:\Windows	asks\Opqgeep.job 
[2011/03/19 15:48:41 | 000,155,648 | RHS- | M] () -- C:\Windows\System32\sqlwoac.dll  

* redemarre le pc sous windows et poste le rapport ici 

Zip le dossier C:\_OTL\MovedFiles.
Envoie le zip sur http://upload.malekal.com

~~~

Les barres d'outils sont là pour t'affilier à un service (moteur de recherche de Yahoo! ou Google), ça rajoute des fonctionnalités mais en général les navigateurs les ont par défaut. 
Plusieurs toolbars ralentissent le PC et peuvent faire planter les navigateurs WEB. 
Au final, il est pas conseillé d'en utiliser. 
Lire : 
Les toolbars c'est pas obligatoire! 

O2 - BHO: (IeMonitorBho Class) - {bf00e119-21a3-4fd1-b178-3b8537e75c92} - C:\Program Files\Megaupload\Mega Manager\MegaIEMn.dll (Megaupload Limited)
O2 - BHO: (free-downloads.net Toolbar) - {ecdee021-0d17-467f-a1ff-c7a115230949} - C:\Program Files\free-downloads.net	bfree.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (free-downloads.net Toolbar) - {ecdee021-0d17-467f-a1ff-c7a115230949} - C:\Program Files\free-downloads.net	bfree.dll (Conduit Ltd.)
O3 - HKCU\..\Toolbar\WebBrowser: (free-downloads.net Toolbar) - {ECDEE021-0D17-467F-A1FF-C7A115230949} - C:\Program Files\free-downloads.net	bfree.dll (Conduit Ltd.)

tora-hi · Answer

Bonjour ^^

Voici le rapport de correction de OTL

========== OTL ==========
No active process named Oqr.exe was found!
C:\Windows\Tasks\Opqgeep.job moved successfully.
C:\Windows\System32\sqlwoac.dll moved successfully.
 
OTL by OldTimer - Version 3.2.22.3 log created on 03212011_122546

tora-hi · Answer

Et j'ai envoyé le répertoire MovedFiles en .zip à http://upload.malekal.com

Malekal_morte- · Answer

Terriible les AV : http://www.virustotal.com/file-scan/report.html?id=8d7713d6d1384b2ba4a3865e88788c83cbf6324683eb9d7ccf019de50a60c2f9-1300729583

T'as ça : https://www.malekal.com/trojan-win32-vundo-le-retour/

surf un peu voir ce que cela donne .

tora-hi · Answer

Je suis sur le net depuis 1h maintenant et pas une seule page s'est ouverte pour le moment. J'vais attendre ce soir pour me réjouir mais le prob semble être règlé ^^ J'repasse ce soir pour te tenir au courant.

Un grand merci pour ton aide :)

Malekal_morte- · Answer

Fais plus attention à l'avenir....

Maintiens tes logiciel à jour c'est important, utilise ce programme : /faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite    
Absolument à faire.    

Les antivirus ne font pas tout en ce qui concerne la sécurité de ta machine (mettre à jour ses logiciels etc etc)
La meilleur protection reste de connaître les infections pour pouvoir les éviter et avoir de bonne habitude.
Donc faut se documenter.

Un peu de lecture pour éviter les infections :
- connaitre et éviter les infections : https://www.malekal.com/fichiers/projetantimalwares/ProjetAntiMalware-courte.pdf  
- sécuriser son PC : http://forum.malekal.com/comment-securiser-son-ordinateur.html  
- lire : http://www.commentcamarche.net/faq/27128-malwares-quels-enjeux-version-synthese

Ce qu'il ne faut pas faire :
Je télécharge n'importe quoi - je m'infecte : 
https://forums.commentcamarche.net/forum/affich-19719198-onglets-pub-intempestifs#14
https://forums.commentcamarche.net/forum/affich-18347759-le-nouveau-avast-sonne-trop-souvent#9
Je télécharge depuis n'importe où - je m'infecte : https://forums.commentcamarche.net/forum/affich-19916973-clickpotato-vlc-virus#6
Recommandations sur la sécurité : https://forums.commentcamarche.net/forum/affich-18680013-windows-7-et-antispyware#1

Fonctionnement de quelques catégories de malwares :
https://forums.commentcamarche.net/forum/affich-17725521-virus-programme-troyen
https://forums.commentcamarche.net/forum/affich-17746390-concernant-la-propagation-des-virus

Si tu as des questions sur le fonctionement des malwares.
N'hésite pas.

tora-hi · Answer

Bon bah pas une seule page n'est apparue ^^ Encore merci pour ton aide et tout ces conseils :) Bonne continuation !!!

Virus agaçant

14 réponses

Discussions similaires