Aide pour désinfection /examen de log

Résolu/Fermé
Thomas102 - 22 mars 2011 à 08:47
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 - 26 mars 2011 à 21:20
Bonjour,


depuis quelques temps, Firefox ouvre régulièrement des onglets soit vers ebay, soit vers des sites infectant mon PC ou tentant de le faire. Firefox ne bloque pas toujours l'ouverture des onglets. La protection résidente d'Avast, et celle de Malwarebytes anti-malware ne détectent rien lorsque ce ces onglets s'ouvrent.


Mon système d'exploitation est windows vista.


Un peu d'historique de l'infection :

- J'ai été infecté par un rogue qui apparemment connu qui tentait de me faire acheter un antivirus. J'ai apparemment supprimé ce rogue grâce à un scan avec Malwarebytes anti-malware. Ce premier scan avec Malwarebytes anti-malware m'a permis de supprimer toutes les infections apparentes de mon PC.
- J'ai aussi passé CCleaner ensuite.
- Après ces scans, le rogue semblait avoir disparu mais mon ordinateur est devenu très lent au démarrage (17 minutes pour allumer l'ordinateur) et me faisait des « écrans bleus » toutes les 10 minutes. A l'ouverture de windows, j'avais aussi une fenêtre d'alerte m'indiquant qu'il ne trouvait pas un .DLL)
- J'ai supprimé certains services au démarrage de Windows, et ça à corriger le pb du temps d'ouverture. Windows s'ouvrait normalement et la fenêtre d'alerte n'apparaît plus.
- Quelques temps plus tard, j'ai remarqué le comportement bizarre de Firefox qui ouvrait régulièrement des onglets qu'il considèrait lui-même comme infecté. Avast ne détecte rien. J'avais aussi toujours des écrans bleus toutes les 10 ou 15 min.
- Un 2em scan avec Malwarebytes anti-malware m'a retrouvé 3 infections que j'ai à nouveau supprimées. Mais le problème de firefox reste présent : ils continu à ouvrir des onglets non désirés vers des pages apparemment infectées.
- Je surfe maintenant avec Google Chrome. celui-ci n'ouvre pas de fenêtre infectées et ne provoque plus d'écran bleus.


A la lecture de ce forum, ça ressemble à une infection magicControl que vous avez déjà traité plusieurs fois ; je pourrais simplement suivre la procédure que vous avez indiqué à ces personnes, mais vous insistez bien sur le fait que les outils que vous préconisez sont puissants (en particulier hijackthis), et qu'il faut faire examiner les logs par un spécialiste ; par ailleurs, mes essais de me débrouiller seul ont pas produit de résultats bien fantastiques pour l'instant. Aussi, je préfère demander conseil...


Est-ce qu'une âme charitable pourrait m'aider pas à pas dans cet désinfection?


Merci d'avance.

52 réponses

ok merci. La procédure de nettoyage de UsbFix semble avoir fonctionné jusqu'à 100%. J'ai aussi eu l'ouverte du rapport avec le fichier txt en fin de procédure. Par contre l'ordi n'a pas redémarré, et je n'ai aucun zip sur ma page d'accueil.

J'ai juste envoyé mon rapport à l'diteur d'UsbFix pour les aider. En espérant que ça les aide.

Je t'envoie le rapport avec l'autre ordi, sur celui-ci, je ne peut toujours pas copier/coller les rapport dans le corps des message.
0
voici le rapport:

http://www.cijoint.fr/cjlink.php?file=cj201103/cijr0ktilj.txt
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
23 mars 2011 à 13:26
OK. c'est bon pour USBFix

Je pense que tu ne peux pas mettre ta réponse dans le corps du message car tu n'es pas inscrit sur CCM.
En revanche tu dois pouvoir depuis ce PC accéder aux site de téléchargement et mettre le lien.
On va faire l'essai.

Relance ZHPDiag, clique sur la flêche verte pour installer la mise à jour, refais un scan et poste le rapport via cijoint, toujours en restant sur ce PC.

Smart
0
ok, voilà le rapport
_ _ _ _ _ _ _ _ _ _ _ _ _

http://www.cijoint.fr/cjlink.php?file=cj201103/cijHcNZtGd.txt
0
tien, ça a marché le dépot sur cijoint.fr
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
23 mars 2011 à 15:49
Je te l'avais dit, après le passage de TDSSKiller, tu devrais avoir accés aux sites d'hébergement.
On va don continuer la désinsfectio:

Fais ceci:
- Rends-toi à cette adresse afin de télécharger AD-Remover (créé par C_XX) : http://www.teamxscript.org/adremoverTelechargement.html
- Clique sur TÉLÉCHARGER et enregistre-le sur ton bureau.
- Déconnecte toi et ferme toutes les applications en cours
- Double clique sur le fichier d'installation de AD-Remover, le programme s'installera automatiquement.
- Au menu principal choisi l'option "Nettoyage" et tape sur [entrée] .
- Laisse travailler l'outil et ne touche à rien ...
- Poste le rapport qui apparait à la fin. (Le rapport est sauvegardé aussi sous C:\Ad-report.log)
(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )


Ensuite tu relances MBAM, n'oublie pas de faire une mise à jour, c'est important, fais un scan complet et poste le rapport.

Cela fait deux rapports à poster

Smart
0
Voici le rapport d'AD-R (c'est le 2em nettoyage que je fais avec lui, ça explique le (2) dans le nom du fichier.

http://www.cijoint.fr/cjlink.php?file=cj201103/cijPJMi4au.txt

Je relance MBAM maintenant et posterai son rapport plus tard (le scam complet prends environ 4 heures)

Merci en tout cas. JE pense qu'on arrive au bout de la procédure.
0
et voici maintenant le rapport MBAM :


Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6142

Windows 6.0.6001 Service Pack 1
Internet Explorer 8.0.6001.18828

23/03/2011 21:16:45
mbam-log-2011-03-23 (21-16-45).txt

Type d'examen: Examen complet (C:\|D:\|E:\|F:\|)
Elément(s) analysé(s): 469372
Temps écoulé: 3 heure(s), 39 minute(s), 33 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
23 mars 2011 à 21:24
OK refais un scan ZHpDiag et poste le rapport via cijoint et ensuite on va passer à la phase finale. il nous reste à faire:
- les mises à jour prioritaires
- l'optimisation du PC
- la désinstallation des outils de désinfection
- les conseils de prévention quand on surfe sur Internet

Smart
0
voilà le dernier scan ZHpDiag

http://www.cijoint.fr/cjlink.php?file=cj201103/cijD6ZQK6q.txt
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
23 mars 2011 à 23:46
Il reste envore des traces:

- Ferme toutes tes applications en ours
- Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert)
Si tu ne l'as pas, télécharge le depuis ce lien: https://www.zebulon.fr/telechargements/securite/systeme/zhpfix.html
Copie/colle les lignes en gras suivantes :

----------------------------------------------------------
M1 - SPR:Search Page Redirection - C:\Program Files\Mozilla FireFox\extensions\wtxpcom@mybrowserbar.com
R3 - URLSearchHook: (no name) - {B922D405-6D13-4A2B-AE89-08A030DA4402} Clé orpheline
O42 - Logiciel: pdfforge Toolbar v4.3 - (.Spigot, Inc..) [HKLM] -- {A0B139A7-E8D5-49E8-A7BF-12421E652208}
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O4 - HKCU\..\Run: [AdobeBridge] Clé orpheline
O4 - HKUS\S-1-5-21-3191096231-3882244805-2271900928-1000\..\Run: [AdobeBridge] Clé orpheline
O43 - CFD: 22/03/2011 - 10:03:26 - [2884779] ----D- C:\Program Files\Spybot - Search & Destroy
O43 - CFD: 22/03/2011 - 08:54:26 - [2090] ----D- C:\ProgramData\Spybot - Search & Destroy
O64 - Services: CurCS - (.not file.) - 528c9280 (528c9280) .(...) - LEGACY_528C9280
FirewallRAZ

----------------------------------------------------------
- Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur « OK » puis sur « Tous », puis sur « Nettoyer »
- Copie/colle la totalité du rapport dans ta prochaine réponse

Et redémarre le PC

Smart
0
Bon, j'ai un gros contretemps. J'ai voulu mettre Windows à jour via "windows update" mais celui ci ne fonctionnait pas. J'ai donc téléchargé et tenter d'installer manuellement la mise à jour vers Vista SP2. J'ai lancé l'installation, et Windows m'a indiqué un truc du style "Le service Pack n'a été installé. Annulation des modifications, n'éteignez pas l'ordinateur". et là évidemment il a planté et redémarré.

Depuis, Vista ne s'allume plus en mode normal. Dès que l'écran de "bienvenue" de vista s'ouvre, il me fait un écran bleu.

Windows s'ouvre tout de même en mode sans échec. Je vais essayé de lancer ZHPFix en mode sans échec pour appliquer tes consignes.

Si tu as une idée pour que je puisse à nouveau ouvrir Windows en mode normal n'hésite pas...
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
24 mars 2011 à 09:45
AH. C'est embétant. :-(

on va faire une restauration système à une date antérieure avant la MAJ Vista. Mais on rique de reprendre la désinfection.

Va sur le lien ci-dessous pour la procédure et choisis un point de restauration à une dte et heure antèrieure avant la MAJ, si possible le le prmeire de cttestauration que tu trouves avant la date et l'heure de la MAJ

Smart
0
Quel lien ci-dessous?
0
Voici le rapport ZHPFix

http://www.cijoint.fr/cjlink.php?file=cj201103/cijVTQQduM.txt
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
24 mars 2011 à 10:17
Redémarre le PC et dis moi si tu as accés à Vista en mode normal ?
Si oui. ne fais pas la restauration système.
Si non fais la restauration et voici le lien que j'avais oublié de donner:
http://www.vista-xp.fr/forum/topic209.html

Smart
0
Apres le scan ZHPFix de ce matin, le PC ne redémarrait toujours pas en mode normal. J'ai été obligé de faire la restauration (j'ai trouvé un autre lien qui expliquait la procédure).

La restauration semble avoir marché. Je retrouve mon PC dans le même état qu'hier soir avant la mise à jour SP2 (vers 23h). Je peux donc à nouveau ouvrir Windows en mode normal (ouf).

Je viens de refaire un diagnostic avec ZHPDiag. Le rapport se trouve là :

http://www.cijoint.fr/cjlink.php?file=cj201103/cijPs23iHh.txt
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
24 mars 2011 à 11:37
OK on va donc refaire:

- Ferme toutes tes applications en ours
- Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert)
Si tu ne l'as pas, télécharge le depuis ce lien: https://www.zebulon.fr/telechargements/securite/systeme/zhpfix.html
Copie/colle les lignes en gras suivantes :

----------------------------------------------------------
M1 - SPR:Search Page Redirection - C:\Program Files\Mozilla FireFox\extensions\wtxpcom@mybrowserbar.com
R3 - URLSearchHook: (no name) - {B922D405-6D13-4A2B-AE89-08A030DA4402} Clé orpheline
O42 - Logiciel: pdfforge Toolbar v4.3 - (.Spigot, Inc..) [HKLM] -- {A0B139A7-E8D5-49E8-A7BF-12421E652208}
O81 - IFC: Internet Feature Controls [HKUS\.DEFAULT] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O81 - IFC: Internet Feature Controls [HKUS\S-1-5-18] [FEATURE_BROWSER_EMULATION] -- svchost.exe
O4 - HKCU\..\Run: [AdobeBridge] Clé orpheline
O4 - HKUS\S-1-5-21-3191096231-3882244805-2271900928-1000\..\Run: [AdobeBridge] Clé orpheline
O43 - CFD: 22/03/2011 - 10:03:26 - [2884779] ----D- C:\Program Files\Spybot - Search & Destroy
O43 - CFD: 22/03/2011 - 08:54:26 - [2090] ----D- C:\ProgramData\Spybot - Search & Destroy
O64 - Services: CurCS - (.not file.) - 528c9280 (528c9280) .(...) - LEGACY_528C9280
[MD5.00000000000000000000000000000000] [APT] [5a857a00] (.Pas de propriétaire.) -- C:\Users\Laurent\AppData\Local\Temp\setup2766159616.exe (.not file.)
[MD5.00000000000000000000000000000000] [APT] [fb190b00] (.Pas de propriétaire.) -- C:\Users\Laurent\AppData\Local\Temp\setup2807414272.exe (.not file.)
FirewallRAZ

----------------------------------------------------------
- Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur « OK » puis sur « Tous », puis sur « Nettoyer »

Remarque: Il faudra quand même faire les mises à jour de Windows et autres logiciels, sinon tu risques de te faire re-infecté, car avec de vieilles versions il ya des failles de sécurité non corrigées et toujours présentes. Si la MAJ de windows a planté je pense que cela vient de ton fichier hosts qui est corrompu et empèche l'accés aux mises à jour.

Smart
0
voilà le rapport de scan ZHPFix

http://www.cijoint.fr/cjlink.php?file=cj201103/cijmN6zJNv.txt

Pour info, il m'a affiché 2 fenêtres en cours de scan avec des chiffres dedans (du style "0082308" + un bouton "ok". Il a fallut cliquer sur "ok" pour poursuivre le scan).

Sur ta remarque: Les mises à jours de Vista ne fonctionnent plus depuis au moins 2 ans sur cet ordi. Ca n'est pas faute d'avoir essayé, mais Windows update ne fonctionne plus et je n'ai jamais trouvé de solution à ce pb.

La réinitialisation du fichier Host me fait un peu peur. Est-ce que cette procédure permettra à tous les éditeurs de softs installés sur ma machine de contrôler si je suis à jour sur les licences? Est-ce que les versions des softs installées sans licence sur cette machine fonctionneront toujours?
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
24 mars 2011 à 13:12
C'est OK pour ZHPFix.

Le fichiers Hosts empèche les mises que si les sites de mises à jour y sont spécifiés, c'est pour cette raison que l'on voit tous les sites concernant Adobe, il se peut qu'il y ait également des sites concernant Microsoft. mais en aucun cas cela n'empèche les MAJ si les sites ne sont pas indiqués.

Tu éditer ton fichiers hosste et supprimer tous les sites exceptés ceux de Adobe que tu as craké.
Va sur ce lien pour t'aider à le faire :
https://www.commentcamarche.net/faq/5993-modifier-son-fichier-hosts

Tu vas refaire un scanZHPdiag pour une dernière vérification et poster le rapport via cijoint

Smart

PS: Je dois m'absenter, mais je serai de retour en fin d'après-midi
0
Bon, j'ai édité mon fichier Hosts. Je n'ai laissé que "127.0.0.1 localhost" et les liens vers les serveurs d'Adobe.

Auparavent j'ai fais un test en ne laissant que "127.0.0.1 localhost" pour voir si Windows update fonctionne avec la configuration de base du fichier Hosts mais ça ne marche pas non plus. Apparement si Windows uppdate ne fonctionne pas, ça n'est pas du au fichier Hosts.

Maintenant mon Hosts qui se trouve ici C:\Windows\System32\drivers\etc
à cette tete là:

# Copyright (c) 1993-2006 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a '#' symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host
# Start of entries inserted by Spybot - Search & Destroy
# This list is Copyright 2000-2008 Safer Networking Limited
# End of entries inserted by Spybot - Search & Destroy

127.0.0.1 localhost
127.0.0.1 activate.adobe.com
127.0.0.1 practivate.adobe.com
127.0.0.1 ereg.adobe.com
127.0.0.1 activate.wip3.adobe.com
127.0.0.1 wip3.adobe.com
127.0.0.1 3dns-3.adobe.com
127.0.0.1 3dns-2.adobe.com
127.0.0.1 adobe-dns.adobe.com
127.0.0.1 adobe-dns-2.adobe.com
127.0.0.1 adobe-dns-3.adobe.com
127.0.0.1 ereg.wip3.adobe.com
127.0.0.1 activate-sea.adobe.com
127.0.0.1 wwis-dubc1-vip60.adobe.com
127.0.0.1 activate-sjc0.adobe.com
127.0.0.1 adobeereg.com
127.0.0.1 Registration
127.0.0.1 3dns.adobe.com
127.0.0.1 3dns-1.adobe.com
127.0.0.1 3dns-2.adobe.com
127.0.0.1 3dns-3.adobe.com
127.0.0.1 3dns-4.adobe.com
127.0.0.1 activate.adobe.com
127.0.0.1 activate-sea.adobe.com
127.0.0.1 activate-sea.adobe.com
127.0.0.1 activate-sjc0.adobe.com
127.0.0.1 activate.wip.adobe.com
127.0.0.1 activate.wip1.adobe.com
127.0.0.1 activate.wip2.adobe.com
127.0.0.1 activate.wip3.adobe.com
127.0.0.1 activate.wip4.adobe.com
127.0.0.1 adobe-dns.adobe.com
127.0.0.1 adobe-dns-1.adobe.com
127.0.0.1 adobe-dns-2.adobe.com
127.0.0.1 adobe-dns-3.adobe.com
127.0.0.1 adobe-dns-4.adobe.com
127.0.0.1 crl.verisign.net
127.0.0.1 CRL.VERISIGN.NET.*
127.0.0.1 ood.opsource.net
127.0.0.1 209-34-83-73.ood.opsource.net
127.0.0.1 practivate.adobe
127.0.0.1 practivate.adobe.*
127.0.0.1 practivate.adobe.com
127.0.0.1 practivate.adobe.newoa

Sinon, je viens de refaire un scan ZHPdiag. Voici le rapport :

http://www.cijoint.fr/cjlink.php?file=cj201103/cij6VV0xe7.txt

Merci encore
0
Smart91 Messages postés 29096 Date d'inscription dimanche 15 juillet 2007 Statut Contributeur sécurité Dernière intervention 5 avril 2014 2 326
24 mars 2011 à 23:27
OK. Ce n'est pas le fichier hosts qui empèche les MAJ de windows update
Il faudra trouver pourquoi. Sans te vexer ta version Windows est-elle légale.

Sinon tu vas faire ceci car il reste des restes:
- Ferme toutes tes applications en ours
- Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert)
Si tu ne l'as pas, télécharge le depuis ce lien: https://www.zebulon.fr/telechargements/securite/systeme/zhpfix.html
Copie/colle les lignes en gras suivantes :

----------------------------------------------------------
[HKCR\CLSID\{35b8892d-c3fb-4d88-990d-31db2ebd72bd}]
[HKCR\CLSID\{6ed74ae3-8066-4385-aaba-243e033f75a3}]
[HKCR\CLSID\{77829f14-d911-40ff-a2f0-d11db8d6d0bc}]
[HKCR\CLSID\{a8fa2fde-bf01-4dd9-aaff-7bacfdcae896}]
[HKCR\Interface\{1e2d3c35-7aa0-4f6b-a334-30035604c03b}]
[HKCR\nctaudiofile2.audiofile2]
[HKCR\nctaudiofile2.audiofile2.2]
[HKCR\nctaudiofile2.audiofile2lameenc]
[HKCR\nctaudiofile2.audiofile2lameenc.1]
[HKCR\TypeLib\{93e3d79c-0786-48ff-9329-93bc9f6dc2b3}]
[HKCR\TypeLib\{e160feb0-334e-4648-9ee1-fcbbf2e2aa4b}]
O43 - CFD: 24/03/2011 - 11:43:32 - [1168216] ----D- C:\Program Files\Spybot - Search & Destroy
----------------------------------------------------------
- Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur « OK » puis sur « Tous », puis sur « Nettoyer »
- Copie/colle la totalité du rapport dans ta prochaine réponse

Smart
0