Goméo ? redirection intempestive !!

Résolu
Bonjour,

Comme beaucoup je viens lire de temps en temps ce forum sans y participer, je me suis décidé à m'inscrire car j'ai un soucis de redirection vers "fr.gomeo. fr" lorsque je surf avec Firefox et aucune page ne s'ouvre avec IE8 (que je viens de réinstaller).

J'ai windows XP familial, protégé par avast home, CC cleaner (utilisé tous les jours), et un nettoyage régulier avec Spybot - Search & Destroy.

Suite à mes lectures sur ce forum, j'ai téléchargé :

- SUPERAntiSpyware Free Edition
- Malwarebytes' Anti-Malware
- ZHPDiag
- AD-R
- combofix
- hijackthis

J'ai nettoyé avec ces différents programmes en suivant les instructions des membres de ce forum mais sans résultat concluant (je me demande m^me si je n'ai pas viré des éléments importants) puisque je n'ai plus accès à Windows update (Internet Explorer ne peut pas afficher cette page Web).

Alors après 15 jours de recherche et de bidouillage , je me décide à venir prendre de l'aide ici.

Si quelqu'un peut me donner la marche à suivre, (avant un jetage d'ordi par la fenêtre), ça me serait plus utile :) car je commence à plancher.
merci d'avance

Satanas

24 réponses

Résumé de la discussion

Le problème concerne une redirection vers fr.gomeo.fr lors de la navigation et l'impossibilité d'afficher des pages sous XP avec IE8, malgré des nettoyages et l'usage de plusieurs outils de sécurité. La recommandation la plus pertinente consiste à exécuter TDSSKiller de Kaspersky pour détecter et éliminer les éléments malveillants, puis relancer un redémarrage et analyser le rapport. D'autres interventions préconisées incluent Malwarebytes, l'analyse des rapports ZHPDiag et ComboFix, et le partage des journaux via des services en ligne pour obtenir une aide ciblée. Par ailleurs, les rapports des outils et les chemins d’accès aux journaux, comme TDSSKiller et ZHPDiag, permettent d’évaluer précisément les éléments détectés et de guider les étapes suivantes.

Bobot (l’IA à votre service)
  1. au cas où , voilà le rapport de

    Malwarebytes' Anti-Malware 1.50.1.1100
    www.malwarebytes.org

    Version de la base de données: 6224

    Windows 5.1.2600 Service Pack 3
    Internet Explorer 8.0.6001.18702

    01/04/2011 19:10:35
    mbam-log-2011-04-01 (19-10-35).txt

    Type d'examen: Examen complet (C:\|)
    Elément(s) analysé(s): 403781
    Temps écoulé: 2 heure(s), 12 minute(s), 21 seconde(s)

    Processus mémoire infecté(s): 0
    Module(s) mémoire infecté(s): 0
    Clé(s) du Registre infectée(s): 0
    Valeur(s) du Registre infectée(s): 0
    Elément(s) de données du Registre infecté(s): 0
    Dossier(s) infecté(s): 0
    Fichier(s) infecté(s): 0

    Processus mémoire infecté(s):
    (Aucun élément nuisible détecté)

    Module(s) mémoire infecté(s):
    (Aucun élément nuisible détecté)

    Clé(s) du Registre infectée(s):
    (Aucun élément nuisible détecté)

    Valeur(s) du Registre infectée(s):
    (Aucun élément nuisible détecté)

    Elément(s) de données du Registre infecté(s):
    (Aucun élément nuisible détecté)

    Dossier(s) infecté(s):
    (Aucun élément nuisible détecté)

    Fichier(s) infecté(s):
    (Aucun élément nuisible détecté)
    1. salut,

      Non dsl, je m'apporte pas de réponse mais bienvenue au club...
      --
      1. merci pour l'accueil :)

        Voici le rapport AD-R avant de lancer SUPERAntiSpyware (2h30), j'essaie de prendre de l'avance !!

        ======= RAPPORT D'AD-REMOVER 2.0.0.2,F | UNIQUEMENT XP/VISTA/7 =======

        Mis à jour par TeamXscript le 01/03/11
        Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
        Site web: http://www.teamxscript.org

        C:\Program Files\Ad-Remover\main.exe (SCAN [8]) -> Lancé à 19:24:12 le 01/04/2011, Mode normal

        Microsoft Windows XP Édition familiale Service Pack 3 (X86)
        Xavier@XAVIER-B ( )

        ============== RECHERCHE ==============

        ============== SCAN ADDITIONNEL ==============

        **** Mozilla Firefox Version [3.6.16 (fr)] ****

        -- C:\Documents and Settings\Xavier\Application Data\Mozilla\FireFox\Profiles\0zsb4a1m.default --
        Extensions\{39952c40-5197-11da-8cd6-0800200c9a66} (Tab Control)
        Prefs.js - browser.download.dir, C:\\Mes documents\\Téléchargements
        Prefs.js - browser.search.defaultenginename, Yahoo
        Prefs.js - browser.search.selectedEngine, Yahoo
        Prefs.js - browser.startup.homepage, hxxp://www.google.fr/
        Prefs.js - browser.startup.homepage_override.mstone, rv:1.9.2.16

        ========================================

        **** Internet Explorer Version [8.0.6001.18702] ****

        HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
        HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
        HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
        HKCU_Main|Start Page - hxxp://www.google.fr/
        HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
        HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
        HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
        HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
        HKLM_Main|Start Page - hxxp://fr.msn.com/
        HKCU_URLSearchHooks|{1392b8d2-5c05-419f-a8f6-b9f15a596612} - "Freecorder Toolbar" (C:\Program Files\Freecorder\prxtbFre0.dll)
        HKCU_Toolbar|{710EB7A1-45ED-11D0-924A-0020AFC7AC4D} (x)
        HKCU_Toolbar\WebBrowser|{1392B8D2-5C05-419F-A8F6-B9F15A596612} (C:\Program Files\Freecorder\prxtbFre0.dll)
        HKLM_ElevationPolicy\7c743f76-bb89-49c4-b03f-d4230975ae1f - C:\Program Files\Freecorder\FreecorderToolbarHelper.exe (?)
        HKLM_ElevationPolicy\7cc9a1af-e281-4bc8-80a8-32ef84deab2d - C:\Program Files\Freecorder\FreecorderToolbarHelper.exe (?)
        HKLM_ElevationPolicy\9b0ca6db-421c-4942-a7ef-304d4d522497 - C:\Program Files\Freecorder\FreecorderToolbarHelper.exe (?)
        HKLM_ElevationPolicy\e8171dfc-8a13-4960-a7de-f54fc24b67f0 - C:\Program Files\Freecorder\FreecorderToolbarHelper.exe (?)
        HKLM_ElevationPolicy\ffe44122-6443-41e8-95b4-0a6033e33aed - C:\Program Files\Freecorder\FreecorderToolbarHelper.exe (?)
        HKLM_ElevationPolicy\{5F29A231-6FA9-4232-8551-8DF7D63EF7D7} - C:\Documents and Settings\Xavier\Local Settings\Application Data\Conduit\CT1060933\FreecorderAutoUpdaterHelper.exe (x)
        HKLM_ElevationPolicy\{7D980092-BF29-4E61-B223-D704949B0751} - C:\Program Files\Freecorder\FreecorderToolbarHelper.exe (?)
        HKLM_Extensions\{e2e2dd38-d088-4134-82b7-f2ba38496583} - "?" (?)
        BHO\{1392b8d2-5c05-419f-a8f6-b9f15a596612} - "Freecorder Toolbar" (C:\Program Files\Freecorder\prxtbFre0.dll)

        ========================================

        C:\Program Files\Ad-Remover\Quarantine: 173 Fichier(s)
        C:\Program Files\Ad-Remover\Backup: 40 Fichier(s)

        C:\Ad-Report-CLEAN[1].txt - 31/03/2011 11:03:14 (12982 Octet(s))
        C:\Ad-Report-CLEAN[2].txt - 31/03/2011 11:20:15 (3610 Octet(s))
        C:\Ad-Report-CLEAN[3].txt - 31/03/2011 11:36:20 (3740 Octet(s))
        C:\Ad-Report-CLEAN[4].txt - 31/03/2011 11:46:15 (3844 Octet(s))
        C:\Ad-Report-CLEAN[5].txt - 31/03/2011 18:26:47 (3937 Octet(s))
        C:\Ad-Report-CLEAN[6].txt - 31/03/2011 19:01:28 (4072 Octet(s))
        C:\Ad-Report-CLEAN[7].txt - 01/04/2011 16:33:43 (4199 Octet(s))
        C:\Ad-Report-SCAN[1].txt - 31/03/2011 11:01:02 (12913 Octet(s))
        C:\Ad-Report-SCAN[2].txt - 31/03/2011 11:26:04 (3632 Octet(s))
        C:\Ad-Report-SCAN[3].txt - 31/03/2011 18:23:59 (3830 Octet(s))
        C:\Ad-Report-SCAN[4].txt - 31/03/2011 19:00:36 (3962 Octet(s))
        C:\Ad-Report-SCAN[5].txt - 01/04/2011 16:33:01 (4100 Octet(s))
        C:\Ad-Report-SCAN[6].txt - 01/04/2011 19:19:55 (435 Octet(s))
        C:\Ad-Report-SCAN[7].txt - 01/04/2011 19:22:04 (435 Octet(s))
        C:\Ad-Report-SCAN[8].txt - 01/04/2011 19:24:19 (540 Octet(s))

        Fin à: 19:25:28, 01/04/2011

        ============== E.O.F ==============

        et je lance SUPERAntiSpyware
        1. Contributeur sécurité
          hello

          arrêtes SUPERAntiSpyware que tu peux supprimer ainsi que spybot

          ensuite, poste les rapports ZHP combofix

          pour cela

          Rend toi sur http://pjjoint.malekal.com/

          Clique sur "Parcourir "

          Sélectionne le rapport

          Clique ensuite sur "Envoyer le fichier " et copie/colle le lien dans ton prochain message

          enfin

          J'ai nettoyé avec ces différents programmes en suivant les instructions des membres de ce forum

          as tu le lien de ca stp
          1. bonjour et merci de prendre le temps de m'aider.

            J'ai oublié de dire que je travaillais la nuit d'où ma réponse tardive aujourd'hui.

            Voilà les 2 rapports demandés :

            https://pjjoint.malekal.com/files.php?id=14969ee9bc13514

            Arf , en fait je n'arrive pas à uploader celui de ZHP, je retente et le transmet dès que possible ( La connexion a été réinitialisée et je n'atteins pas le lien ).

            *******J'ai nettoyé avec ces différents programmes en suivant les instructions des membres de ce forum****

            as tu le lien de ca stp , voilà le lien demandé.

            https://forums.commentcamarche.net/forum/affich-21248467-redirection-gameo
            1. Encore moi pour dire que je ne peux uploader mon rapport ZHP dont le nom est : ZHPDiag.Txt. et qui fait 153 ko sur le site: http://pjjoint.malekal.com/

              Je dois faire un copier-coller du rapport directement sur mon message ici ?? ou je dois l'uploader via un autre site ?

              encore merci pour ton aide :)
              1. essaie de le coller directement
                autrement essaye çà :
                * Télécharge https://support.kaspersky.com/downloads/utils/tdsskiller.exe (de Kaspersky Labs) sur ton Bureau.
                * Lance le (si tu utilises Windows Vista ou 7 : fais un clic-droit dessus et choisis "Exécuter en tant qu'administrateur")
                * Clique sur [Start Scan] pour démarrer l'analyse.
                * Si des éléments sont trouvés, clique sur [Cure/Delete] puis sur [Reboot Now]
                * Un rapport s'ouvrira au redémarrage de l'ordinateur.
                * Copie/colle son contenu dans ta prochaine réponse.
                Note : Le rapport se trouve également sous C:\TDSSKiller.N°deversion_Date_Heure_log.txt

                (Merci à Valuu pour le tuyau !)
              2. Contributeur sécurité
                (attention à ce qui fonctionne chez l'un et qui n'est pas forcément à réaliser chez l'autre)

                néanmoins

                suis l'indication de Conqueror qui est la bonne consigne

                un rootkit tld traine sur ton pc

                poste le rapport stp
              3. Désolé de vous avoir coupé l'herbe sous le pied mais j'étais tellement content d'avoir réglé mon pb :)
              4. Contributeur sécurité
                (sourire)

                pas de soucis...mais prudence néanmoins
            2. Merci à vous 2

              Je n'arrive toujours pas à obtenir un lien à vous donner pour le rapport ZHPDiag.txt

              Et je galère de + en + pour avoir un système stable , Pc long à s'éteindre et long à s'allumer. Les programmes également long à se lancer avec plantage. C'est pour cette raison que je tarde à répondre :(

              voilà le rapport :

              https://pjjoint.malekal.com/files.php?id=bf1a133b6d91112

              PS : Pour info, j'ai normalement un 2eme DD d'installer sur ma machine avec Vista et mes sauvegardes perso.
              Je choisi à l'ouverture si je passe sur vista ou XP mais depuis 10 jours le bios ne trouvait plus mon 2eme DD , je l'ai donc débranché.
              1. Contributeur sécurité
                Attention, avant de commencer, lit attentivement la procédure, et imprime la

                Aide à l'utilisation
                https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

                Télécharge ComboFix de sUBs que tu renommes SATANAS.exe avant de l'enregistrer sur ton Bureau :

                http://download.bleepingcomputer.com/sUBs/ComboFix.exe

                (clic droit sur le lien /enregistrer la cible du lien sous/ renommer/choisir le bureau/enregistrer )

                /!\ Déconnecte-toi du net et <gras>DESACTIVES TOUTES LES DEFENSES, antivirus et antispyware y compris /!\ </gras>

                ---> Double-clique sur ComboFix.exe
                Un "pop-up" va apparaître qui dit que ComboFix est utilisé à vos risques et avec aucune garantie... Clique sur oui pour accepter

                SURTOUT INSTALLES LA CONSOLE DE RECUPERATION
                (si il te propose de l'installer remets internet)

                ---> Mets-le en langue française F
                Tape sur la touche 1 (Yes) pour démarrer le scan.

                Ne touche à rien(souris, clavier) tant que le scan n'est pas terminé, car tu risques de planter ton PC

                En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

                Une fois le scan achevé, un rapport va s'afficher : Poste son contenu

                /!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

                Note : Le rapport se trouve également là : C:\ComboFix.txt
                1. Contributeur sécurité
                  le bloc note est vide

                  peux tu le copier coller ici
                  1. Contributeur sécurité
                    Rends toi sur ce site :

                    https://www.virustotal.com/gui/

                    Clique sur parcourir et cherche ce fichier :

                    c:\documents and settings\All Users\Application Data\5C62FF0D97.sys

                    Clique sur Send File.

                    Un rapport va s'élaborer ligne à ligne.

                    Attends la fin. Il doit comprendre la taille du fichier envoyé.


                    Copie le lien de Virus Total dans ta réponse.(l'url de la page des résultats)


                    Si tu ne trouves pas le fichier alors

                    Affiche tous les fichiers et dossiers :

                    Pour cela :
                    Clique sur démarrer/panneau de configuration/option des dossiers/affichage

                    Cocher afficher les dossiers cachés

                    Décoche la case "Masquer les fichiers protégés du système d'exploitation (recommandé)"

                    Décocher masquer les extensions dont le type est connu

                    Puis fais «appliquer» pour valider les changements.

                    Et OK

                    1. Je me suis aperçu qu' en copiant-collant l'adresse du fichier que vous m'avez demandé d'analyser sur https://www.virustotal.com/gui/ , il n'est pas nécessaire de passer par les options de dossier pour cocher/décocher dans /panneau de configuration/option des dossiers/affichage...etc

                      En copiant l'emplacement du fichier, ici par exemple :

                      c:\documents and settings\All Users\Application Data\5C62FF0D97.sys

                      et en le collant sur le site "https://www.virustotal.com/gui/", dans le nom de fichier après avoir cliqué sur parcourir, le site réussi à analyser le fichier (m^me si l'option cacher les dossiers....est coché).

                      Voilà , c'était juste pour info.
                    2. Contributeur sécurité
                      cette indication sur ma consigne est précédée par Si tu ne trouves pas le fichier alors

                      (sourire)
                  2. :)

                    http://www.virustotal.com/file-scan/report.html?id=ef2c6fc7aed9eeb063ec33511ecb360695c3656dee3076fc4a7409a118baecc5-1301857808
                    1. Contributeur sécurité
                      ok

                      pour le principe

                      Téléchargez MalwareByte's Anti-Malware (que tu pourras garder ensuite)

                      https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/

                      . Enregistres le sur le bureau
                      . Double cliques sur le fichier téléchargé pour lancer le processus d'installation.
                      . Dans l'onglet "mise à jour", cliques sur le bouton Recherche de mise à jour
                      . Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, accepte
                      . Une fois la mise à jour terminé
                      . Rend-toi dans l'onglet, Recherche
                      . Sélectionnes Exécuter un examen rapide
                      . Cliques sur Rechercher
                      . Le scan démarre.
                      . A la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement. Cliquez sur 'Afficher les résultats' pour afficher tous les objets trouvés.
                      . Cliques sur Ok pour poursuivre.
                      . Si des malwares ont été détectés, clique sur Afficher les résultats
                      . Sélectionnes tout (ou laisses cochés) et cliques sur Supprimer la sélection Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine.
                      . Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse.
                      . Rends toi dans l'onglet rapport/log
                      . Tu cliques dessus pour l'afficher, une fois affiché
                      . Tu cliques sur edition en haut du boc notes, et puis sur sélectionner tous
                      . Tu recliques sur edition et puis sur copier et tu reviens sur le forum et dans ta réponse
                      . tu cliques droit dans le cadre de la reponse et coller

                      Si tu as besoin d'aide regarde ces tutoriels :
                      Aide: https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
                      http://www.infos-du-net.com/forum/278396-11-tuto-malwarebytes-anti-malware-mbam
                      1. Malwarebytes' Anti-Malware 1.50.1.1100
                        www.malwarebytes.org

                        Version de la base de données: 6265

                        Windows 5.1.2600 Service Pack 3
                        Internet Explorer 8.0.6001.18702

                        04/04/2011 09:34:12
                        mbam-log-2011-04-04 (09-34-12).txt

                        Type d'examen: Examen rapide
                        Elément(s) analysé(s): 172028
                        Temps écoulé: 3 minute(s), 55 seconde(s)

                        Processus mémoire infecté(s): 0
                        Module(s) mémoire infecté(s): 0
                        Clé(s) du Registre infectée(s): 0
                        Valeur(s) du Registre infectée(s): 0
                        Elément(s) de données du Registre infecté(s): 0
                        Dossier(s) infecté(s): 0
                        Fichier(s) infecté(s): 0

                        Processus mémoire infecté(s):
                        (Aucun élément nuisible détecté)

                        Module(s) mémoire infecté(s):
                        (Aucun élément nuisible détecté)

                        Clé(s) du Registre infectée(s):
                        (Aucun élément nuisible détecté)

                        Valeur(s) du Registre infectée(s):
                        (Aucun élément nuisible détecté)

                        Elément(s) de données du Registre infecté(s):
                        (Aucun élément nuisible détecté)

                        Dossier(s) infecté(s):
                        (Aucun élément nuisible détecté)

                        Fichier(s) infecté(s):
                        (Aucun élément nuisible détecté)
                        1. Tout semble rentrer dans l'ordre, j'ai m^me accès à "windows update". Merci beaucoup donc pour votre aide.

                          J'ai quand m^me refais toutes les étapes dans l'ordre de notre discussion, et voici le rapport de TDSKiller de ce matin :

                          https://pjjoint.malekal.com/files.php?read=o14z11p11i13h5h5z7d5y6

                          Il trouve un rootkit dans ce fichier : HardDisk0 (Rootkit.Win32.TDSS.tdl4 qui apparemment a été supprimé par ce même programme. J'ai refais également un passage avec Combofix dont le rapport est ici :

                          https://pjjoint.malekal.com/files.php?read=x9d14f6r5p7g15i12p14t7

                          Puis je viens de refaire toutes ces opérations et plus aucun problème à signaler, ni chez TDSKiller, Combofix et malwarebytes anti-malware.

                          J'ai une question cependant : un fichier de 1Ko s'est créé (le 31/03/11) sur la racine de C:\ ce dernier est nommé :

                          C:\PhysicalDisk0_MBR.bin

                          J'ai donc été sur https://www.virustotal.com/gui/ en envoyant ce fichier et le rapport indique que le fichier est sain. Mais ça me parait louche ....qu'en pensez vous ?

                          encore merci pour votre aide :)
                          • 1
                          • 2