comment supprimer un adware Fermé

Question

Bonjour,

Je suis embêté par un adware (enfin, je le suppose avec mes maigres conaissances en info). Des fenêtres inconnues s'ouvrent à la place de mes recherches sur internet.

Malgré plusieurs scans, Mc Afee internet security 2011 (à jour) ne détecte rien, j'ai essayé aussi spybot, AD remover et d'autres anti spywares sans succès.

le truc a semblé s'aggraver ces derniers jours et ce soir, je n'accède plus à internet (j'écris dun autre poste) alors que la connection semble oprationelle et Mc Afee m'avertit toutes les 5 minutes que mon pc n'est plus protégé et lance des scans.

En somme, je suis un peu perdu et j'ai besoin d'aide!

Ma config est la suivante:
ordi portable saùmsung R719
pentiuem dualcore 2.10 GHz, 4 Go de ram
Windows 7 familial premium
antivirus: mc afee internet secutity 2011

Merci d'avance de votre aide

Smart91 · Answer

Bonjour,

On va faire un diagnostic de ton PC:

Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau 
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html 

Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions.
 
/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau. 
-  Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer. 
(/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix)
-  Clique sur la loupe pour lancer l'analyse. 
-  Laisse l'outil travailler, il peut être assez long. 
-  Ferme ZHPDiag en fin d'analyse. 
-  Pour transmettre le rapport clique sur ce lien : http://www.cijoint.fr/ 
-  Clique sur Parcourir et cherche le répertoire où est installé ZHPDiag (en général C:\Program Files\ZHPDiag). 
-  Sélectionne le fichier ZHPDiag.txt. 
-  Clique sur "Cliquez ici pour déposer le fichier". 
-  Un lien de cette forme : http://www.cijoint.fr/cjlink.php?file=cj200905/cijSKAP5fU.txt est ajouté dans la page. 
-  Copie ce lien dans ta réponse.

Smart

besseo · Answer

Salut smart,

Merci de t'intéresser à mon pb. voila le lien du diag

http://www.cijoint.fr/cjlink.php?file=cj201104/cijrN8keGt.txt

Smart91 · Answer

Tu as une rediection de tes pages Internet à cause d'un proxy. 
J'ai vu également que tu as utilisé AD-Remover peux poster ce rapport: 
C:\Ad-Report-CLEAN[1].txt  

Ensuite tu vas faire ceci: 
- Ferme toutes tes applications en cours 
- Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag en cliquant sur l'écusson vert)  
Si tu ne l'as pas, télécharge le depuis ce lien: https://www.zebulon.fr/telechargements/securite/systeme/zhpfix.html 
Copie/colle les lignes en gras suivantes : 
  
----------------------------------------------------------  
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:63354 
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable = 1 
O4 - Global Startup: C:\Users\Anne\Desktop\Dark Orbit Free.lnk - Clé orpheline 
O4 - Global Startup: C:\Users\Anne\Desktop\Popular ScreenSavers.lnk - Clé orpheline 
O23 - Service:  (0261171301223751mcinstcleanup) - Clé orpheline
----------------------------------------------------------  
- Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)  
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes  
- Clique sur le bouton  <gras>« GO » pour le lancer le nettoyage 
- Copie/colle la totalité du rapport dans ta prochaine réponse 

Smart  
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

besseo · Answer

Salut smart,

J'ai réutilisé AD remover dont voici le rapport


======= RAPPORT D'AD-REMOVER 2.0.0.2,F | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 01/03/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 00:08:20 le 03/04/2011, Mode normal

Microsoft Windows 7 Édition Familiale Premium   (X86) 
Anne@ANNE-PC (SAMSUNG ELECTRONICS CO., LTD. R519/R719) 
 
============== ACTION(S) ==============

Service: "Application Updater" Stoppé et supprimé 

Dossier supprimé: C:\Program Files\Application Updater
Dossier supprimé: C:\Program Files\pdfforge Toolbar
Dossier supprimé: C:\Users\Anne\AppData\LocalLow\Search Settings
Dossier supprimé: C:\Program Files\Common Files\Spigot

(!) -- Fichiers temporaires supprimés.


Clé supprimée: HKLM\Software\Classes\CLSID\{B922D405-6D13-4A2B-AE89-08A030DA4402}
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{B922D405-6D13-4A2B-AE89-08A030DA4402}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{B922D405-6D13-4A2B-AE89-08A030DA4402}
Clé supprimée: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{B922D405-6D13-4A2B-AE89-08A030DA4402}
Clé supprimée: HKLM\Software\Application Updater
Clé supprimée: HKLM\Software\Conduit
Clé supprimée: HKLM\Software\pdfforge
Clé supprimée: HKLM\Software\Search Settings
Clé supprimée: HKCU\Software\Conduit
Clé supprimée: HKCU\Software\AppDataLow\Software\pdfforge
Clé supprimée: HKCU\Software\AppDataLow\Software\Search Settings
Clé supprimée: HKLM\Software\Classes\Installer\Products\7A931B0A5D8E8E947AFB2124E1562280
Clé supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\Userdata\S-1-5-18\Products\7A931B0A5D8E8E947AFB2124E1562280

Valeur supprimée: HKLM\Software\Microsoft\Windows\CurrentVersion\Run|SearchSettings
Valeur supprimée: HKLM\Software\Microsoft\Internet Explorer\Toolbar|{B922D405-6D13-4A2B-AE89-08A030DA4402}


============== SCAN ADDITIONNEL ==============

**** Internet Explorer Version [8.0.7600.16385] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKCU_URLSearchHooks|{B922D405-6D13-4A2B-AE89-08A030DA4402} (x)
HKCU_Toolbar\WebBrowser|{977AE9CC-AF83-45E8-9E03-E2798216E2D5} (x)
HKLM_Toolbar|{0EBBBE48-BAD4-4B4C-8E5A-516ABECAE064} (c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll)
HKCU_ElevationPolicy\{04CA4C1F-B03A-4AE7-BE5F-34006F6CF441} - C:\Windows\System32\Macromed\Flash\FlashUtil9f.exe (x)
HKCU_ElevationPolicy\{4D13653B-1A17-4511-9118-635639EE1618} - C:\Program Files\eMule\emule.exe (http://www.emule-project.net)
HKLM_ElevationPolicy\{07d873dc-b9b9-44f5-af0b-fb59fa54fb7a} - C:\Windows\System32\wpcer.exe (x)
HKLM_ElevationPolicy\{0a402d70-1f10-4ae7-bec9-286a98240695} - C:\Windows\System32\winfxdocobj.exe (x)
HKLM_ElevationPolicy\{1FCCD250-A453-4348-86C1-E5EA9B76FADB} - C:\Program Files\McAfee\VirusScan\mcvsmap.exe (McAfee, Inc.)
HKLM_ElevationPolicy\{628F3201-34D0-49C0-BB9A-82A26AEFB291} - C:\Program Files\IMinent Toolbar\TbHelper2.exe (x)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{A6E2003F-95C5-4591-BA9A-0093080FDB5C} - C:\Program Files\Common Files\Oberon Media\OberonBroker\1.0.0.63\OberonBroker.exe (x)
HKLM_ElevationPolicy\{A8F94DF3-F6C6-422a-8BFC-7EE0F60A8609} - C:\Program Files\McAfee\VirusScan\mcvsshld.exe (McAfee, Inc.)
HKLM_ElevationPolicy\{DAABE21E-DB8C-49b8-9511-9E6547ECBC5F} - c:\Program Files\McAfee\SiteAdvisor\McSACore.exe (McAfee, Inc.)
HKLM_ElevationPolicy\{E6B969FB-6D33-48d2-9061-8BBD4899EB08} - C:\Program Files\Iminent\MMServer\Iminent.MMServer.exe (x)
HKLM_Extensions\{2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - "@C:\windows\WindowsMobile\INetRepl.dll,-222" (C:\windows\WindowsMobile\INetRepl.dll,210)
HKLM_Extensions\{2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - "?" (?)
BHO\{02478D38-C3F9-4efb-9B51-7695ECA05670} (?)
BHO\{27B4851A-3207-45A2-B947-BE8AFE6163AB} - "McAfee Phishing Filter" (c:\progra~1\mcafee\msk\mskapbho.dll)
BHO\{5C255C8A-E604-49b4-9D64-90988571CECB} (?)
BHO\{6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - "Search Helper" (C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll)
BHO\{7DB2D5A0-7241-4E79-B68D-6309F01C5231} - "scriptproxy" (C:\Program Files\Common Files\McAfee\SystemCore\ScriptSn.20110309204638.dll)
BHO\{B164E929-A1B6-4A06-B104-2CD0E90A88FF} - "McAfee SiteAdvisor BHO" (c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll)

========================================

C:\Program Files\Ad-Remover\Quarantine: 38 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 28 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 31/03/2011 23:53:17 (5272 Octet(s)) 
C:\Ad-Report-SCAN[1].txt - 31/03/2011 23:48:36 (5469 Octet(s)) 

Fin à: 00:09:49, 03/04/2011 
 
============== E.O.F ============== 










Une fois AD remover utilisé, plus moyen d'accéder à internet. Pourtant, ma connection est opérationnelle.

Ensuite, j'ai fait l'opération que tu me conseilles sur ZHPFix. Tu trouveras le rapport ci dessous.

J'ai pu à nouveau utiliser internet et j'ai ouvert une quinzaine de pages sans être redirigé comme précédemment.







Rapport de ZHPFix 1.12.3269 par Nicolas Coolman, Update du 30/03/2011
Fichier d'export Registre : C:\ZHPExportRegistry-4-3-2011-12-19-30 AM.txt
Run by Anne at 4/3/2011 12:19:30 AM
Windows 7 Home Premium Edition, 32-bit  (Build 7600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Clé(s) du Registre ==========
O23 - Service: (0261171301223751mcinstcleanup) - Clé orpheline  => Clé supprimée avec succès

========== Elément(s) de donnée du Registre ==========
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:63354  => Donnée supprimée avec succès
R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyEnable = 1  => Donnée supprimée avec succès

========== Fichier(s) ==========
c:\users\anne\desktop\dark orbit free.lnk  => Supprimé et mis en quarantaine
c:\users\anne\desktop\popular screensavers.lnk  => Supprimé et mis en quarantaine


========== Récapitulatif ==========
1 : Clé(s) du Registre
2 : Elément(s) de donnée du Registre
2 : Fichier(s)


End of the scan

Smart91 · Answer

Tu vas faire ceci

* Télécharge et installe Malwarebytes
* A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
* Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
* Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet puis "Rechercher"
* Ne t'inquiète pas, l'analyse peut durer plusieurs heures en fonction du nombre de fichiers et infections à analyser 
* A la fin de l'analyse, clique sur "Afficher les résultats"
* Coche tous les éléments détectés puis clique sur "Supprimer la sélection"
* Enregistre le rapport
* S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes
* Un rapport apparait après la suppression : poste le dans ta prochaine réponse.

Smart

besseo · Answer

Salut Smart,

J'ai lancé MBAM dont voici le rapport après redémarrage. ça a l'air de beuacoup mieux marcher ce soir mais je ne sais pas si mon pc est complètement clean!

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Version de la base de données: 6269

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

05/04/2011 00:26:19
mbam-log-2011-04-05 (00-26-19).txt

Type d'examen: Examen complet (C:\|D:\|)
Elément(s) analysé(s): 258028
Temps écoulé: 1 heure(s), 11 minute(s), 30 seconde(s)

Processus mémoire infecté(s): 3
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 4
Elément(s) de données du Registre infecté(s): 1
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 3

Processus mémoire infecté(s):
c:\Users\Anne\AppData\Roaming\dwm.exe (Trojan.Downloader) -> 564 -> Unloaded process successfully.
c:\Users\Anne\AppData\Roaming\microsoft\conhost.exe (Trojan.Agent) -> 1596 -> Unloaded process successfully.
c:\Users\Anne\AppData\Local\Temp\csrss.exe (Trojan.Agent) -> 2212 -> Unloaded process successfully.

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\conhost (Trojan.Agent) -> Value: conhost -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\conhost (Trojan.Agent) -> Value: conhost -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load (Trojan.Agent) -> Value: Load -> Delete on reboot.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell.Gen) -> Value: Shell -> Quarantined and deleted successfully.

Elément(s) de données du Registre infecté(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load (Trojan.Agent) -> Bad: (C:\Users\Anne\AppData\Local\Temp\csrss.exe) Good: () -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Users\Anne\AppData\Roaming\dwm.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
c:\Users\Anne\AppData\Roaming\microsoft\conhost.exe (Trojan.Agent) -> Quarantined and deleted successfully.
c:\Users\Anne\AppData\Local\Temp\csrss.exe (Trojan.Agent) -> Quarantined and deleted successfully.





Besseo

Smart91 · Answer

Redémarre le PC
Relance MBAM et vide la quarantaine 
Ensuite tu vas faire ceci: 
- Télécharge sur le bureau RogueKiller de Tigzy 
- Quitte tous tes programmes en cours 
- Sous Vista/Seven , clique droit -> lancer en tant qu'administrateur 
- Sinon lance simplement RogueKiller.exe 
- Lorsque demandé, tape 1 [SCAN] et valide 
- Un rapport (RKreport.txt) a du se créer sur le bureau, poste-le. 

* Note : Si le programme a été bloqué, ne pas hésiter à essayer plusieurs fois. Si cela ne passe toujours pas , (cela peut arriver), renommer RogueKiller.exe en Winlogon.exe 

Smart 
"Si tu n'as pas d'ambitions, tu t'installes au bord de la chute" (Kundera)

Comment supprimer un adware

7 réponses