Problème de liens google détournés vers pub

Question

Bonjour, 
J'ai un détournement des liens google résultant d'une recherche. Que doisje faire pour y remedier? 
Merci d'avance. Je suis novice en info.



Configuration: Windows 7 / Firefox 5.0.1

Ch93 · Answer

Salut

Tu as quel antivirus ?
Est ce que tu as un anti spyware ?
Tu navigues avec quel navigateur ?

briss73 · Answer

salut
antivirus: avira antivir 
firewall: comodo
anti spyware: j'ai installé mbam pour checker mais il a rien trouvé (est ce un anti spyware déjà? :) sinon non je n'en ai pas..)
je suis sur firefox 5.0.1

Ch93 · Answer

Tu as fait des scans complet pour rechercher des virus éventuels ?


Note: Si tu aimes le pare-feu Comodo tu peux installer Comodo Internet Security.

briss73 · Answer

Oui et il n'y avait pas de virus décélés.
Je suis en train de consulter les forums sur ce meme type de probleme. Apparemment, AD-remover serait efficace. 
https://forums.commentcamarche.net/forum/affich-18514443-mes-liens-google-sont-detournes-vers-des-pubs#q=liens+google+d%E9tourn%E9s&cur=2&url=%2F

kalimusic · Answer

Bonjour et Bienvenue sur CCM 

1. Télécharge l'utilitaire de désinfection TDSSKiller (de Kaspersky) sur ton Bureau.

&#x25CF; Lance TDSSKiller.exe 
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; Clique sur Start scan.
&#x25CF; Laisse l'outil balayer ton système sans l'interrompre et sans utiliser le PC.
&#x25CF; Conserve l'action proposée par défaut par l'outil
- Pour TDSS.tdl2 : l'option Delete sera cochée.
- Pour TDSS.tdl3 ou TDSS.tdl4 : assure toi que Cure est bien cochée.
- Pour "Suspicious object" laisse sur "Skip"
&#x25CF; Clique sur Continue puis sur Reboot now pour redémarrer.
&#x25CF; Le rapport de suppression se trouve à la racine du disque principal : C:\TDSSKiller.n° de version_date_heure_log.txt 
&#x25CF; Copie-colle le dans la prochaine réponse.

== == == == == == == == == == == == == == == == == == == == == 

2. Télécharge OTL  (de OldTimer) sur ton Bureau. 

 Ferme toutes tes applications en cours 

&#x25CF;  Lance OTL.exe  
- Sous XP double-clic sur l'icône pour lancer l'outil. 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF;  L'interface principale s'ouvre : 
&#x25CF;  Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal 
&#x25CF;  Laisse tous les autres paramètres par défaut 
&#x25CF;  Dans la partie du bas "Personnalisation", copie/colle la liste en citation : 

netsvcs 
SAVEMBR:0 
/md5start
volsnap.*
explorer.exe
winlogon.exe
Userinit.exe
svchost.exe
/md5stop
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%APPDATA%\*.exe /s 
%SYSTEMDRIVE%\*.exe 
%systemroot%\*. /mp /s 
%systemroot%\system32\*.dll /lockedfiles 
%systemroot%\Tasks\*.job /lockedfiles 
%systemroot%\system32\drivers\*.sys /lockedfiles 
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
CREATERESTOREPOINT 
&#x25CF;  Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.   
&#x25CF;  2 rapports vont s'ouvrir au format bloc-note : 
OTL.txt (qui sera affiché) ainsi que Extras.txt (réduit dans la barre des tâches)  
&#x25CF;  Ne les poste pas sur le forum, ils seraient trop long  
&#x25CF;  Héberge les sur http://www.cijoint.fr/ 
&#x25CF;  Tu obtiendras 2 liens de ce type http://www.cijoint.fr/cjlink.php?file=cj200906/XcijvLjYL5L.txt que tu me donneras dans ton prochain message. 

A +

briss73 · Answer

Salut
Voila pour le premier test TDSSkiller: 
http://www.cijoint.fr/cjlink.php?file=cj201107/cijvKiaEJx.txt

Je fais le deuxieme de suite.
Merci

briss73 · Answer

et voila pour les deux autres fichiers via OTL: 
http://www.cijoint.fr/cjlink.php?file=cj201107/cije2dmb7z.txt
http://www.cijoint.fr/cjlink.php?file=cj201107/cijvelAblv.txt
Merci de m'indiquer la suite :)

kalimusic · Answer

briss73,

&#x25CF;  La plupart des infections nécessitent plusieurs outils et manipulations pour les supprimer complètement. Même si les symptômes disparaissent rapidement, il est préférable de terminer la procédure.
&#x25CF;  N'utilise pas d'outil de désinfection de ta propre initiative, ne pas suivre également d'autres conseils afin de ne pas interférer sur la procédure en cours.
&#x25CF;  Prends le temps de lire ce qui est demandé, ne te lance pas dans une manipulation que tu n'as pas compris. 
&#x25CF;  Héberge les rapports des outils sur http://www.cijoint.fr/ ou https://www.cjoint.com/ ou https://textup.fr/
&#x25CF;  Je t'aide bénévolement, je réponds quand je peux et dés que je peux, merci :)

Afin de permettre aux outils de désinfection de travailler correctement :

Désactiver l'UAC Windows 7

  == == == == == == == == == == == == == == == == == == == == == ==

1. Utilises tu un proxy pour naviguer avec Firefox ? 
Si non (ou si ma question ne veut rien dire pour toi), fait ceci : 

Ouvre  Firefox : 
- Outils > Options >  Avancé 
- Onglet Réseau > rubrique Connexion > Paramètres 
- Coche la case Pas de proxy et valide par OK 

2. Rends toi sur le site Virus Total  

&#x25CF; Clique sur la case "Parcourir"  
&#x25CF; Une nouvelle fenêtre s'ouvre te permettant de naviguer sur le disque dur  
&#x25CF; Parcoure l'arborescence de ton disque dur pour sélectionner ce fichier C:\PhysicalMBR.bin  
&#x25CF; Clique sur le fichier puis sur "Ouvrir" en bas de la fenêtre   
&#x25CF; Clique maintenant sur le bouton "Send File (Envoyer le fichier)"  
  
Si un message te dit que le fichier à déjà été analysé, ré-analyse le  

Le fichier est mis en attente puis le scan débute, à la fin de l'analyse copie l'URL dans la barre d'adresse et colle la dans ta réponse, cela doit ressembler à ceci : http://www.virustotal.com/fr/analisis/4ad23c3e409a3845815fcc6d0c977fbeb90ba8d1bcdf6d41b22993907a7944aa-1270983527   

Fait la même analyse pour ce fichier : C:\Windows\SysWow64\srvany.exe    

A+

briss73 · Answer

voila pour le premier URL: 
http://www.virustotal.com/file-scan/report.html?id=ae871e1dc26258e9be249a4b405a23d143a269a11272e5b0a343a2971c2f5585-1310809704

voila pour la deuxieme analyse: 
http://www.virustotal.com/file-scan/report.html?id=abd4afd71b3c2bd3f741bbe3cec52c4fa63ac78d353101d2e7dc4de2725d1ca1-1310809899

Merci :)

kalimusic · Answer

re,

Désolé pour le proxy, je t'ai parlé de Firefox, alors que cela concerne Internet Explorer. Sauf si c'est toi qui l'a installé ou qu'il s'agit d'un pc professionnel :

- Outils > Options Internet > Onglet Connexions
- Rubrique Paramètres de réseau local > Paramètres du réseau
- Décoche la case Utiliser un serveur proxy pour votre réseau loca
- Valide par OK, puis Appliquer

Il n'y a pas grand chose dans les rapports, tu as les mêmes redirections avec les 2 navigateurs ?

A +

briss73 · Answer

re, 

j'ai effectué la modification sur internet explorer. Pas de changement. J'obtiens effectivement la même redirection vers des pubs lorsque je clique sur un lien recherche google que ce soit avec mozilla ou internet explorer.

A+.

kalimusic · Answer

re,

Ok pour le proxy.

Les redirections ne pouvaient pas venir de la modification du proxy de toute façon, mais il fallait réinitialiser les paramètres.

Ton FAI est bien Orange ?
On va commencer par une chose simple, fait un reset de ta box :
https://assistance.orange.fr/livebox-modem/toutes-les-livebox-et-modems/depanner/un-probleme-de-materiel/la-livebox-affiche-un-message-d-erreur/livebox-play-remettre-a-zero_19265-19420

A +

briss73 · Answer

oui c'est bien orange, je m'y mets. Je te tiens au courant.
A +.

briss73 · Answer

c'est bon. C'est effectué et il n'y a pas de changements...toujours une redirection mais le reset est bien effectué! 
A quoi c'est dû du coup? 
Bref j'attends tes directives et te remercie de te soucier de mon cas! 

A+

kalimusic · Answer

Bonsoir,

On va faire des analyses complémentaires sur 2 pistes différentes.

1. Télécharge aswMBR sur ton Bureau.

&#x25CF; Double clic sur aswMBR.exe 
&#x25CF; Refuse la demande de mise à jour
&#x25CF; Clique sur le bouton Scan
&#x25CF; Patiente pendant l'analyse
&#x25CF; Clique sur Save log 
&#x25CF; Enregistre le rapport sur le Bureau. 

2. Télécharge SystemLook de jpshortstuff sur le Bureau.
http://jpshortstuff.247fixes.com/SystemLook_x64.exe

&#x25CF; Double-clique sur SystemLook.exe pour l'exécuter 
&#x25CF; Copie les lignes en citation dans le champ texte principal : 

:filefind
consrv.dll  
winsrv.dll
:dir
C:\WINDOWS\system64 /s 
:reg
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /sub

&#x25CF; Clique sur le bouton Rechercher 
&#x25CF; Patiente, le Bloc-note s'ouvre avec les résultats de l'analyse. 

Le rapport SystemLook.txt se trouve également sur le Bureau 

Héberge les rapports sur http://www.cijoint.fr/ ou https://www.cjoint.com/ ou https://textup.fr/ et donne moi les liens.

A +

briss73 · Answer

premier resultat avec aswMBR (étonnament court comme scan): 
http://www.cijoint.fr/cjlink.php?file=cj201107/cijN8vcWYm.txt
Le deuxième rapport via systemlook : 
http://www.cijoint.fr/cjlink.php?file=cj201107/cijP2rwgft.txt

Merci 
A+

kalimusic · Answer

Bonjour,

1. Télécharge Erunt, il va nous servir à faire une sauvegarde du registre avant les manipulations qui suivent.
Installe le et fait une sauvegarde comme indiqué > ici <

2. Relance OTL
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; L'interface principale s'ouvre :
&#x25CF; Dans la partie du bas "Personnalisation", copie/colle la liste en citation :

:OTL
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = localhost;127.0.0.1
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = 10.73.11.254:3128
[1 C:\ProgramData\*.tmp files -> C:\ProgramData\*.tmp -> ]
[1 C:\ProgramData\*.tmp files -> C:\ProgramData\*.tmp -> ]

:Reg 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems]
"Windows"="%SystemRoot%\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,20480,768 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ServerDll=sxssrv,4 ProfileControl=Off MaxRequestThreads=16"

:Files
C:\Windows\System32\consrv.dll	
C:\Windows\system64\consrv.dll
ipconfig /flushdns /c

:Commands 
[emptyflash]
[emptytemp]
&#x25CF; Clique sur le bouton Correction.
&#x25CF; Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.   
&#x25CF; Accepte en cliquant sur OK. 
&#x25CF; Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.   
&#x25CF; Copie/colle le dans ton prochain message.   

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles (Vérifie la date si besoin : jjmmaaaa_xxxxxxxx.log) 

A +

briss73 · Answer

re, 

Opération effectuée avec quelques frayeurs lors de la restauration du système mais tout est ok. Le fichier OTL ne s'est pas ouvert spontanément mais il est bien présent à l'adresse indiquée. 
Voici le fichier: 

All processes killed
========== OTL ==========
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride| /E : value set successfully!
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer| /E : value set successfully!
C:\ProgramData\SPLCD7C.tmp deleted successfully.
========== REGISTRY ==========
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems\"Windows"="%SystemRoot%\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,20480,768 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ServerDll=sxssrv,4 ProfileControl=Off MaxRequestThreads|16" /E : value set successfully!
========== FILES ==========
File\Folder C:\Windows\System32\consrv.dll not found.
C:\Windows\system64\consrv.dll moved successfully.
[color=#A23BEC]< ipconfig /flushdns /c >[/color]
Configuration IP de Windows
Cache de r'solution DNS vid'.
C:\Users\Brice Mallein\Desktop\cmd.bat deleted successfully.
C:\Users\Brice Mallein\Desktop\cmd.txt deleted successfully.
========== COMMANDS ==========
 
[EMPTYFLASH]
 
User: All Users
 
User: Brice Mallein
->Flash cache emptied: 4840 bytes
 
User: Default
 
User: Default User
 
User: Public
 
Total Flash Files Cleaned = 0,00 mb
 
 
[EMPTYTEMP]

PS: tu as une idée précise de ce que ça peut être? Merci pour l'aide.
 
User: All Users
 
User: Brice Mallein
->Temp folder emptied: 313578928 bytes
->Temporary Internet Files folder emptied: 30127625 bytes
->FireFox cache emptied: 166964829 bytes
->Flash cache emptied: 0 bytes
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Public
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 319025440 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 419332 bytes
RecycleBin emptied: 267532520 bytes
 
Total Files Cleaned = 1 047,00 mb
 
 
OTL by OldTimer - Version 3.2.26.1 log created on 07172011_120316

kalimusic · Answer

re,

Toujours des redirections ?

Relance  SystemLook 
Copie les lignes en citation dans le champ texte principal :  

:filefind 
consrv.dll   
:reg 
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /sub 

Héberge le rapport et donne moi le lien. 

A +

briss73 · Answer

oui j'ai toujours des redirections. J'ai relancé systemlook.
Le lien: http://www.cijoint.fr/cjlink.php?file=cj201107/cijvLhZg6u.txt

Je sais pas si ça peut aider mais lors de la redirection vers les pubs le serveur qui répond est toujours: www.1000ksearches.com...

A+

kalimusic · Answer

briss73,

J'ai localisé l'infection depuis la première recherche avec SystemLook.
C'est une variante récente du rootkit MAX++ . Normalement TDSSKiller au tout début aurait du me mettre sur la voie, il ne sait pas la supprimer mais arrive à trouver le driver fautif. Du coup, on a exploré certaines pistes pour rien. 
Il faut un outil plus puissant pour l'éradiquer, sauvegarde tes documents les plus importants.

Télécharge  ComboFix de sUBs sur ton bureau (et nulle part ailleurs ! ) en le renommant avant de l'enregistrer  briss73.exe

!! Ferme toutes tes applications en cours et désactive les protections résidentes de ton PC (Antivirus, Antispywares, Pare-feu, etc...) !!   

Regarde attentivement ce tutoriel pour t'aider : 
https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix 
Imprime ce dont tu auras besoin, car ensuite toutes les fenêtres doivent être fermés.

&#x25CF; Lance ComboFix
&#x25CF; Accepte la licence d'utilisation et laisse toi guider par le programme
&#x25CF; Autorise ComboFix a se connecter à internet pour les mises à jour si le programme le demande

 !! Surtout ne rien faire et ne rien toucher pendant le travail de l'outil !!  
(risque de plantage complet de l'ordinateur) 

&#x25CF; A la fin ComboFix indique l'emplacement du rapport et l'ouvre spontanément (il est possible que ComboFix est besoin de redémarre l'ordinateur)
&#x25CF; Héberge le sur http://www.cijoint.fr/ et donne moi le lien. 

!! Réactive les protections résidentes de ton PC  !!   

Note : Le rapport se trouve normalement à la racine du disque: C:\ComboFix.txt 

A +

briss73 · Answer

Combofix a marché, je te donne le résultat ici: 
http://www.cijoint.fr/cjlink.php?file=cj201107/cijno1xPrj.txt
Je n'ai plus de redirections sur les liens google. Que dois-je désinstaller et supprimer?
Autre petit souci: ma clé d'activation de windows7 n'est plus valable. En effet, j'utilise la version W7 déja installé sur mon ancien ordi mais qui ne marche plus. 
En tout cas, un grand merci pour la résolution du problème.
A+

kalimusic · Answer

re,

Pour ta clé d'activation, tu sais certainement que les licenses Microsoft assez sont restrictives. Je suppose que Windows était préinstallé sur ton ancien pc ?

1. Désinstalle ComboFix comme indiqué sur ce lien : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix#uninstall

2. On fait une dernière vérification, fait un scan en ligne :
http://www.bibou0007.com/t3691-tutorial-eset-online-scanner
Donne moi le rapport.

Si tout est ok, on finira de désinstaller les outils.

A +

briss73 · Answer

J'ai voulu redémarrer mon ordi. Il a souhaité une restauration du système...du coup je suis revenu au point de départ avant l'execution de combofix. J'ai de nouveau la redirection. Du coup, je recommence l'etape, je te publie le fichier log de combofix et je passe a tes nouvelles directives. 
PS: oui windows etait installé sur mon ancien PC. Comment faire donc?
A+

briss73 · Answer

Voila le premier lien pour la reutilisation de combofix:
http://www.cijoint.fr/cjlink.php?file=cj201107/cijLQ7uIjq.txt
Plus de redirections google observées.
Je commence l'etape de desinstallation?

briss73 · Answer

Re, 

J'ai tenté de desinstaller combofix suivant la méthode envoyée. J'ai un petit souci à ce niveau car j'ai changé le nom de l'application ComboFix.exe en briss73.exe comme tu me l'avais demandé plus haut. 
Du coup lorsque je tape combofix /uninstall dans le menu démarrer un message d'erreur s'affiche en disant:
Windows ne trouve pas 'briss73.exe'. Vérifiez que vous avez entré le nom correct, puis réessayez.

Voila, je reste sage et j'attends tes directives. 
Merci.
A+

kalimusic · Answer

re,

Renomme le en ComboFix.exe 

Pour la licence, si c'est bien une une version pré-installée sur un PC de marque, c'est une licence constructeur liée à la machine et elle ne peut pas être utiliser sur un autre PC. La solution légale est d'acheter une licence.
Comment as tu fait pour installer Seven sur ton nouveau pc, tu avais des DVD d'installation  ?

A +

briss73 · Answer

Bonsoir,  

J'ai changé le nom et rien n'y fait, la recherche ne trouve rien...pourtant l'application est bien sur mon bureau.  
J'attends avant de faire le scan en ligne?  

Pour ma version windows, j'ai téléchargé légalement via le site msdnaa academics et gravé sur un cd (offre étudiante gratuite). Le site m'a donc donné une clé et j'ai installé la version sur mon ancien ordinateur. Il est tombé en panne il y a qques temps et du cp j'ai installé w7 avec la même clé sur cet ordi. Mais voila que je n'ai plus acces à msdnaa ( je ne suis plus étudiant) donc je ne peux plus avoir de clé...et c'est embêtant.

A+

briss73 · Answer

voila le rapport ESET: 
C:\Qoobox\Quarantine\C\Windows\System32\consrv.dll.vir	Win64/Agent.AC cheval de troie	nettoyé par suppression - mis en quarantaine

A+

kalimusic · Answer

Bonjour,

Eset a trouvé un fichier dans la quarantaine de ComboFix. Il était déjà neutralisé.

1. Lance OTL 
- Sous Vista/Seven  clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel. 
&#x25CF; Dans la partie du bas "Personnalisation", copie/colle:
clearallrestorepoints&#x25CF; Clique sur le bouton Correction.

2. Relance OTL en tant qu'administrateur  
&#x25CF; Clique sur le bouton Purge outils
&#x25CF; Clique ensuite sur OK dans la boite de dialogue qui t'invite à redémarrer le système.

3. Télécharge Security Check (by screen31 ) sur ton Bureau.

&#x25CF;  Double-click sur l'icône SecurityCheck.exe 
&#x25CF;  Continue en appuyant sur une touche et patiente pendant l'analyse
&#x25CF;  Le rapport checkup.txt doit s'ouvrir spontanément à la fin du scan. 
&#x25CF;  Copie/colle le rapport dans ton prochain message. 

4. Télécharge DelFix (d'Xplode) sur ton bureau.

&#x25CF;  Lance le et appuie sur Recherche
&#x25CF;  Copie/colle le contenu du rapport qui s'ouvrira à l'écran dans ton prochain message.

Note : Le rapport est également sauvegardé à la racine du disque dur ( C:\DelFixSearch.txt )

A +

briss73 · Answer

Re,  
bon j'ai eu le même problème au redemarrage plantage complet. Donc j'ai rebooté mon ordi au final..plus de problème. Merci encore pour ton aide, elle m'a permis de mieux comprendre certains plantages et logiciels. 
Pour l'activation de w7, tu as des conseils?

A+

kalimusic · Answer

Bonsoir,

Pour activer Seven, il faut acheter une licence à Microsoft.
Pourquoi CCM n'aide pas la contrefaçon numérique des logiciels

Je comprends pas ton plantage, c'est à quel moment ? avec OTL ?

Tu as fait les dernières étapes ?
Elles ne sont pas inutiles :
1. Purge la restauration système pour éviter que tu te ré-infectes comme tu l'as fait. 
2. Désinstallation de OTL.
3. Teste les failles de sécurité des logiciels non à jour.
4. Désinstalle proprement les outils utilisés

A +

Problème de liens google détournés vers pub

32 réponses

Votre réponse

Discussions similaires

Newsletters