infection eorezo Fermé

Question

Bonjour, je voudrais savoir quel sont les retombée ou effet indesirable de ce trojan ?
d ou vient il ? 
merci d avance



Configuration: Windows Vista / Firefox 4.0

moment de grace · Answer

bonjour

tu as des pubs en pagaille

est ce ton cas ?

titi · Answer

bonjour ,oui j arrete pas de gagner lol

moment de grace · Answer

* Télécharge de AD-Remover sur ton Bureau. (Merci à C_XX) 
http://www.teamxscript.org/adremoverTelechargement.html

/!\ Déconnecte-toi d'internet et ferme toutes applications en cours /!\ 

 Désactive provisoirement et seulement le temps de l'utilisation de ADremover, la protection en temps réel de ton Antivirus et de tes Antispywares, qui peuvent gêner fortement la procédure de recherche et de nettoyage de l'outil. 

- Double-clique sur l'icône Ad-remover située sur ton Bureau. 
- Sur la page, clique sur le bouton « NETTOYER » 
- Confirme lancement du scan 
- Laisse travailler l'outil. 
- Poste le rapport qui apparaît à la fin. 

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt) 

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller)

titi · Answer

ok , merci on choppe ce truc ou en général ??

moment de grace · Answer

en général, lors de l'installation d'utilitaire

https://forum.malekal.com/viewtopic.php?t=18245&start=

titi · Answer

merci , voici le rapport
======= RAPPORT D'AD-REMOVER 2.0.0.2,F | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 01/03/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files (x86)\Ad-Remover\main.exe (SCAN [1]) -> Lancé à 09:26:50 le 28/03/2011, Mode normal

Microsoft® Windows Vista(TM) Édition Familiale Premium  Service Pack 2 (X64) 
redge@PC-DE-EGDER (Packard Bell IMEDIA X3560 FR) 
 
============== RECHERCHE ==============


Dossier trouvé: C:\Users\redge\AppData\Roaming\Mozilla\FireFox\Profiles\qth8f2wo.default\conduit
Dossier trouvé: C:\Users\redge\AppData\LocalLow\Conduit
Dossier trouvé: C:\Program Files (x86)\Conduit
Fichier trouvé: C:\Users\redge\Downloads\PartyPokerFrSetup.exe

-- Fichier ouvert: C:\Users\redge\AppData\Roaming\Mozilla\FireFox\Profiles\qth8f2wo.default\Prefs.js --
Ligne trouvée: user_pref("CT2613520.SearchEngine", "Recherche||hxxp://search.conduit.com/Results.aspx?q=UCM_SEARCH_... 
Ligne trouvée: user_pref("CT2613520.SearchFromAddressBarUrl", "hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT261... 
Ligne trouvée: user_pref("CT2613520.ct2613520.SearchEngine", "Recherche||hxxp://search.conduit.com/Results.aspx?q=U... 
Ligne trouvée: user_pref("CommunityToolbar.SearchFromAddressBarSavedUrl", "chrome://browser-region/locale/region.pr... 
Ligne trouvée: user_pref("CommunityToolbar.ToolbarsList", "CT2613520"); 
Ligne trouvée: user_pref("CommunityToolbar.ToolbarsList2", "CT2613520"); 
Ligne trouvée: user_pref("CommunityToolbar.facebook.settingsLastCheckTime", "Mon Mar 21 2011 15:19:22 GMT+0100"); 
-- Fichier Fermé --
 

Clé trouvée: HKLM\Software\Conduit
Clé trouvée: HKCU\Software\AppDataLow\Software\Conduit


============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [4.0 (fr)] ****

HKLM_MozillaPlugins\@checkpoint.com/FFApi (x)
HKLM_MozillaPlugins\@nvidia.com/3DVision (x)
HKLM_MozillaPlugins\@nvidia.com/3DVisionStreaming (x)
Searchplugins\bing.xml (    hxxp://www.bing.com/search)
Components\browsercomps.dll (Mozilla Foundation)

-- C:\Users\redge\AppData\Roaming\Mozilla\FireFox\Profiles\qth8f2wo.default --
Prefs.js - browser.startup.homepage_override.buildID, 20110318052756
Prefs.js - browser.startup.homepage_override.mstone, rv:2.0

========================================

**** Internet Explorer Version [8.0.6001.19019] ****

HKCU_Main|Default_Page_URL - hxxp://homepage.packardbell.com/rdr.aspx?b=ACPW&l=040c&s=1&o=vp64&d=0311&m=imedia_x3560_fr
HKCU_Main|Search Page - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKCU_Main|Start Page - hxxp://homepage.packardbell.com/rdr.aspx?b=ACPW&l=040c&s=1&o=vp64&d=0311&m=imedia_x3560_fr
HKLM_Main|Default_Page_URL - hxxp://homepage.packardbell.com/rdr.aspx?b=ACPW&l=040c&s=1&o=vp64&d=0311&m=imedia_x3560_fr
HKLM_Main|Default_Search_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Search Page - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Start Page - hxxp://homepage.packardbell.com/rdr.aspx?b=ACPW&l=040c&s=1&o=vp64&d=0311&m=imedia_x3560_fr
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files (x86)\Internet Explorer\iedw.exe (x)
HKLM_Extensions\{725EC34E-943C-4df6-B0B2-FBDE7F242276} - "PartyPoker.fr" (C:\Programs\PartyFrance\PartyPokerFr\Images\ppicon.ico)

========================================

C:\Program Files (x86)\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Program Files (x86)\Ad-Remover\Backup: 1 Fichier(s)

C:\Ad-Report-SCAN[1].txt - 28/03/2011 09:30:32 (3496 Octet(s)) 

Fin à: 09:31:12, 28/03/2011 
 
============== E.O.F ==============

moment de grace · Answer

tu t'es trompé d'option

1)

relances ad remover
option nettoyage
poste le rapport

______

2)

Télécharge ZHPDiag ( de Nicolas coolman ). 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

ou

https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/


(outil de diagnostic)

 Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )
 
Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista ) 

Clique sur la loupe en haut à gauche, puis laisse l'outil scanner. 

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau. 

Rend toi sur http://pjjoint.malekal.com/

Clique sur "Parcourir " 

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau 

Clique ensuite sur "Envoyer le fichier " et copie/colle le lien dans ton prochain message

titi · Answer

ceci dit il est en quarantaine dans malware byte
ils sont deux et j ai relancer mon antivirus

titi · Answer

pardon
j y retourne

moment de grace · Answer

sans rapport je ne peux rien faire...

Télécharge ZHPDiag ( de Nicolas coolman ). 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

ou

https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/


(outil de diagnostic)

 Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher " Créer une icône sur le bureau " )
 
Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Executer en tant qu'admin ( vista ) 

Clique sur la loupe en haut à gauche, puis laisse l'outil scanner. 

Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau. 

Rend toi sur http://pjjoint.malekal.com/

Clique sur "Parcourir " 

Sélectionne le rapport ZHPdiag.txt qui se trouve sur ton bureau 

Clique ensuite sur "Envoyer le fichier " et copie/colle le lien dans ton prochain message

titi · Answer

je viens de me reveiller desolé donc j ai essayer de telecharger zhp diag de chez zebulon mon pc bloque le telechargement et me redirige vers avg .
pour le liens ccm je suis rediriger vers www premium orange le telechargement marche 
bon ca marche 
voici le rapport zhpdiag
Les fichiers avec l'extension ne peuvent pas être uploadés 
reponse malekal
j essaie copier coller

moment de grace · Answer

ok

1)

supprime ce dossier C:\Program 

2)

Copie  tout le texte présent [b]en gras[/b] ci-dessous ( tu le selectionnes avec ta souris / Clique droit dessus et choisis "copier" ou fait Ctrl+C )

O44 - LFC:[MD5.F3B25701FE362EC84616A93A45CE9998] - 18/03/2011 - 19:51:01 ---A- . (...) -- C:\Windows\dd_dotnetfx35error_lp.txt   [2]    
[HKCU\Software\Microsoft\Windows\CurrentVersion\ext\stats\{83ff80f4-8c74-4b80-b5ba-c8ddd434e5c4}]    
O44 - LFC:[MD5.F3B25701FE362EC84616A93A45CE9998] - [MD5.F3B25701FE362EC84616A93A45CE9998] - 18/03/2011 - 19:51:01 ---A- . (...) -- C:\Windows\dd_dotnetfx35error_lp.txt   [2]    
O44 - LFC:[MD5.F3B25701FE362EC84616A93A45CE9998] - 18/03/2011 - 19:51:01 ---A- . (...) -- C:\Windows\dd_dotnetfx35error_lp.txt   [2]    
[HKCU\Software\Microsoft\Windows\CurrentVersion\ext\stats\{83ff80f4-8c74-4b80-b5ba-c8ddd434e5c4}]    
[HKCU\Software\Microsoft\Windows\CurrentVersion\ext\stats\{83ff80f4-8c74-4b80-b5ba-c8ddd434e5c4}]    
O44 - LFC:[MD5.F3B25701FE362EC84616A93A45CE9998] - 18/03/2011 - 19:51:01 ---A- . (...) -- C:\Windows\dd_dotnetfx35error_lp.txt   [2]    
O44 - LFC:[MD5.F3B25701FE362EC84616A93A45CE9998] - [MD5.F3B25701FE362EC84616A93A45CE9998] - 18/03/2011 - 19:51:01 ---A- . (...) -- C:\Windows\dd_dotnetfx35error_lp.txt   [2]    
O44 - LFC:[MD5.F3B25701FE362EC84616A93A45CE9998] - 18/03/2011 - 19:51:01 ---A- . (...) -- C:\Windows\dd_dotnetfx35error_lp.txt   [2]   

Puis Lance ZHPFix depuis le raccourci du bureau .

* Une fois l'outil ZHPFix ouvert , clique sur le bouton [ H ] ( "coller les lignes Helper" ) .

* Dans l'encadré principal tu verras donc les lignes que tu as copié précédemment apparaitrent .

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur " Ok " , puis " Tous " et enfin " Nettoyer ".

Copie/Colle le rapport à l'écran dans ton prochain message 

le rapport se trouve dans le dossier de zhpdiag dans program files sous le nom de ZHPFixReport 

____________

3)

redemarre le pc et dis moi si tu as encore des soucis

titi · Answer

merci , moment de grace
mais j arrive pas a faire des recherches
la commande executer n est pas dans le menu demarrer et a tu regarder le screen shoot j ai pas les droits pour acceder a ce fichier, quand je clic pour modifier .
comment dois je faire pour l etape un ?
merci de m aiguiller car là je seche meme en cherchant sur ordinateur j ai pas les droits et le moteur de recherche là aussi ne trouve jamais rien une petite indication meme la restauration systeme ne marche pas ...

moment de grace · Answer

pour le 1 tu le supprime manuellement

__________

* Télécharge sur le bureau RogueKiller (par tigzy) 
http://www.geekstogo.com/forum/files/file/413-roguekiller/


*( Sous Vista/Seven,clique droit, lancer en tant qu'administrateur )

* Quitte tous tes programmes en cours 
* Lance RogueKiller.exe. 
* Lorsque demandé, tape 1 et valide 

* puis l'option 6
* Un rapport (RKreport.txt) a du se créer à côté de l'exécutable, colle son contenu dans la réponse 
* Si le programme a été bloqué, ne pas hésiter a essayer plusieurs fois. ou renommer l'outil en firefox.exe ou roguekiller.com

titi · Answer

bon ca as marcher sans renommer , par contre dans demarage de rogue kill il y avait marquer tentative de detournement et je l ai fait hors ligne voici le rapport un que j ai fait deux fois svp j aimerais des expliquations sur le resultat merci encore voila le rapport un suivis du deux : RogueKiller V4.3.4 par Tigzy contact sur http://www.sur-la-toile.com mail: tigzyRKgmailcom Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 64 bits version Demarrage : Mode normal Utilisateur: redge [Droits d'admin] Mode: Recherche -- Date : 28/03/2011 18:44:30 Processus malicieux: 0 Entrees de registre: 0 Fichier HOSTS: 127.0.0.1 localhost ::1 localhost Termine : << RKreport[1].txt >> RKreport[1].txt deux: RogueKiller V4.3.4 par Tigzy contact sur http://www.sur-la-toile.com mail: tigzyRKgmailcom Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 64 bits version Demarrage : Mode normal Utilisateur: redge [Droits d'admin] Mode: Raccourcis RAZ -- Date : 28/03/2011 18:48:41 Processus malicieux: 0 Attributs de fichiers restaures: Bureau: Success 0 / Fail 0 Lancement rapide: Success 0 / Fail 0 Programmes: Success 1 / Fail 0 Menu demarrer: Success 1 / Fail 0 Dossier utilisateur: Success 16 / Fail 0 Mes documents: Success 3 / Fail 0 Mes favoris: Success 0 / Fail 0 Mes images: Success 0 / Fail 0 Ma musique: Success 0 / Fail 0 Mes videos: Success 0 / Fail 0 Disques locaux: Success 62 / Fail 0 Termine : << RKreport[2].txt >> RKreport[1].txt ; RKreport[2].txt

moment de grace · Answer

poste moi tous les rapports roguekiller

titi · Answer

alors , j ai document and setting ou je n ai pas les droit d acces il faudrait que je modifie les autorisations ce que je ne sait pas configurer en fait .
et C:// JE NE TROUVE PAS PAR AILLEUR OUPS c est quand meme pas commun ce double slash il me semble .
merci

moment de grace · Answer

les rapports sont sur le bureau à côté de l'outil

moment de grace · Answer

Attention, avant de commencer, lit attentivement la procédure, et imprime la Aide à l'utilisation https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix Télécharge ComboFix de sUBs sur ton Bureau : http://download.bleepingcomputer.com/sUBs/ComboFix.exe (clic droit sur le lien ...enregistrer la cible du lien sous ) /!\ Déconnecte-toi du net et DESACTIVES TOUTES LES DEFENSES, antivirus et antispyware y compris /!\ ---> Double-clique sur ComboFix.exe Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter SURTOUT INSTALLES LA CONSOLE DE RECUPERATION (si il te propose de l'installer remets internet) ---> Mets-le en langue française F Tape sur la touche 1 (Yes) pour démarrer le scan. Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire. Une fois le scan achevé, un rapport va s'afficher : Poste son contenu /!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\ Note : Le rapport se trouve également là : C:\ComboFix.txt

titi · Answer

bonjour , ca va j espere car moi pas lol 
pourrait tu regarder ce screen shoot stp voici le liens
http://www.cijoint.fr/cjlink.php?file=cj201103/cijFXOdKu7.jpg
donc moi apres reflexion je me dit que je suis pas admin de mon pc et donc je ne peux trouver c://program car c est dans la partie admin qu il doit etre stocker
et j ai essayer de modifier les autorisation pour acceder a plein de fichiers mais on me refuse les modifs
merci de jeter un oeil car c est bizarre

moment de grace · Answer

effectivement, il y a un soucis

as tu plusieurs compte sur ce pc et as tu le même soucis en mode sans echec

https://www.micro-astuce.com/depannage/demarrer-mode-sans-echec.php

titi · Answer

bonjour , et merci de m accorder du temps j ai repasser une nuit blanche pour trouver rien .
je voulais essayer de récupèrer un index de clefs valides afin de pouvoir
recuperer les autorisation pour pouvoir ouvrir les fichier qui me sont interdit pour enfin virer c://program . mais c est peine perdu j ai fait un peux de menage virer les logiciel qui me servent a rien .
par contre j ai recuperer la commande executer c etait trop simple .

moment de grace · Answer

on reprends là à combofix comme expliqué ici

https://forums.commentcamarche.net/forum/affich-21410694-infection-eorezo#33

Infection eorezo

23 réponses

Discussions similaires