Ouverture intempestive sites de jeu (aussi !)

Bonjour,

Navilog est destiné pour les infections Navipromo!

--------------------------------------------------------------------------------------
Nous allons effectuer un diagnostic de ton PC:
*Télécharge ZHPDiag sur ton bureau :

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html

* Laisse toi guider lors de l'installation,coche "Ajouter une icône sur le bureau" et décoche la case "Exécuter ZHPDiag"

/!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »

* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur un des sites ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
http://pjjoint.malekal.com/

Si indisponible:

http://ww38.toofiles.com/fr/documents-upload.html

ou :

https://www.casimages.com/

* Tuto zhpdiag :
http://www.premiumorange.com/zeb-help-process/zhpdiag.html

Hébergement de rapport sur pjjoint.malekal.com

* Rends toi sur http://pjjoint.malekal.com/
* Clique sur le bouton Parcourir
* Sélectionne le fichier que tu veux heberger et clique sur Ouvrir
*Clique sur le bouton Envoyer
* Un message de confirmation s'affiche, copie le lien dans ta prochaine réponse.

_ _ _ Fish66_ _ _ I''"""""I_ _ membre _ _I''"""""I_ _ contributeur _ _ _
¤¤¤ Le meilleur remède pour tous les problèmes, c'est la patience.... ¤¤¤

Re,

Oui c'est bien EoRezo et PCTuto :-)

Télécharge AdwCleaner (merci à Xplode)
Lance AdwCleaner
Clique sur le bouton [chercher]
Patiente...
Poste le rapport qui apparait en fin de recherche.
Il se trouve également à C:\AdwCleaner[SX] (où X est un chiffre)

Tu as installé des programmes PCTuto, cet adware peut transmettre certaines

informations personnelles (Adresse, Numéro téléphone...) et comme tu as

remarqué il affiche aussi des popups de publicité...

Pour plus d'informations clique sur ce lien...

========================
1/
Lance AdwCleaner
Clique sur le bouton [suppression]
Patiente...
Poste le rapport qui apparait en fin de recherche.
Il se trouve également à C:\AdwCleaner[SX] (où X est un chiffre)

2/
* Télécharge de AD-Remover sur ton Bureau.
http://www.teamxscript.org/adremoverTelechargement.html

/!\ Ferme toutes applications en cours /!\

- Double-clique sur l'icône Ad-remover située sur ton Bureau.
- Sur la page, clique sur le bouton «chercher »
- Confirme lancement du scan
- Laisse travailler l'outil.
- Poste le rapport qui apparaît à la fin.

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt)

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour c

_ _ _ Fish66_ _ _ I''"""""I_ _ membre _ _I''"""""I_ _ contributeur _ _ _
¤¤¤ Le meilleur remède pour tous les problèmes, c'est la patience.... ¤¤¤

Pour l'étape 1, ok, voir le rapport ci-dessous, mais pour l'étape 2, le double-clic me donne une petite fenêtre : ERROR: NOT_ADMINISTRATOR.
Damned, ça allait bien jusque là.

Donc le rapport adwcleaner:

# AdwCleaner v1.3 - Rapport créé le 24/08/2011 à 14:00:42
# Mis à jour le 23/08/11 à 17h par Xplode
# Système d'exploitation : Windows 7 Professional (64 bits)
# Nom d'utilisateur : CORESTA - COR-PORTABLE (Administrateur)
# Exécuté depuis : C:\Users\CORESTA\Desktop\adwcleaner.exe
# Option [Suppression]

***** [KillNav] *****

Aucun navigateur n'était en cours d'exécution.

***** [Processus] *****

Tué : [PID:3824] autoupdater.exe
Tué : [PID:3544] pctuto.exe

***** [Services] *****

***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Users\CORESTA\AppData\Local\Agence-Exclusive
Dossier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PCTuto
Dossier Supprimé : C:\Program Files (x86)\Agence-Exclusive
Dossier Supprimé : C:\Program Files (x86)\PCTuto

***** [Registre] *****

Clé Supprimée : HKCU\Software\Agence-Exclusive
Clé Supprimée : HKLM\SOFTWARE\Agence-Exclusive
Clé Supprimée : HKLM\SOFTWARE\Classes\PCTutoBHO.PCTBHO
Clé Supprimée : HKLM\SOFTWARE\Classes\PCTutoBHO.PCTBHO.1
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\PCTutoBHO.DLL
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{759F1421-4D31-4c1f-8C51-E4956A037676}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{293A63F7-C3B6-423a-9845-901AC0A7EE6E}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{0BF73E27-2734-4F7B-925A-4BBB1457F5FA}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{293A63F7-C3B6-423a-9845-901AC0A7EE6E}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{293A63F7-C3B6-423a-9845-901AC0A7EE6E}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\PcTuto_is1
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [PcTuto]

***** [Registre (64 bits)] *****

***** [Navigateurs] *****

-\\ Internet Explorer v8.0.7600.16385

[OK] Le registre ne contient aucune entrée illégitime.

-\\ Mozilla Firefox v6.0 (fr)

Profil : c6wmi8s8.default
Fichier : C:\Users\CORESTA\AppData\Roaming\Mozilla\Firefox\Profiles\c6wmi8s8.default\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[R1].txt - [2779 octets] - [24/08/2011 13:10:04]
AdwCleaner[S1].txt - [2240 octets] - [24/08/2011 14:00:42]

########## EOF - C:\AdwCleaner[S1].txt - [2368 octets] ##########

??? Ad-remover ne démarre pas du tout. Pourtant je suis l'administrateur, c'est même écrit dans le rapport.

Cela dit, le PCtuto semble avoir été "tué" et plein d'autres clés etc supprimées, si j'en juge adwcleaner.

Est-ce suffisant ?

Si non, y a-t'il une alternative à AD-remover ?
Si oui, merci de ces procédures et du tapage sur les doigts pour n'avoir pas lu les conditions d'utilisations que je signe à la légère.

Puis-je aussi supprimer tous ces petits outils (ADW, ZHP, ...) ou au contraire les utiliser régulièrement ?

Re,

Non, on n'a pas terminé :-)

Clique avec le bouton droit de la souris sur Ad-remover et choisis "exécuter en tant qu'administrateur" et tu termines le reste des procédures!

@+

AH ben zut, j'ai voulu répondre et voila qu'on me demande un titre au message alors qu'il n'y a pas de champ pour ça !
Ou alors message trop lourd ? Je fais un premier envoi juste comme ça, si ça marche, je coupe l'autre en deux.
À suivre!

Bon, ça a marché, voici donc le rapport du clic droit qui sauve. Partie 1/2 pas passionnant, c'est du connu.
======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files (x86)\Ad-Remover\main.exe (SCAN [1]) -> Lancé à 16:56:55 le 24/08/2011, Mode normal

Microsoft Windows 7 Professionnel (X64)
CORESTA@COR-PORTABLE (Dell Inc. Latitude E6410)

============== RECHERCHE ==============

Dossier trouvé: C:\Users\CORESTA\AppData\Roaming\Agence-Exclusive

Allons bon, ça recommence.. pas de titre, pas d'envoi, mais pas de champ, pas de titre, on n'en sort pas !

Ou bien il y a un morceau du rapport que le forum ne digère pas ?
Je saute le chapitre Firefox, pour voir...
========================================

**** Internet Explorer Version [8.0.7600.16385] ****

HKCU_Main|Search Page - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKCU_Main|Start Page - hxxp://go.microsoft.com/fwlink/?LinkId=69157
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=69157
HKLM_Main|Default_Search_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Search Page - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Start Page - hxxp://go.microsoft.com/fwlink/?LinkId=69157
HKLM_Toolbar|{381FFDE8-2394-4F90-B10D-FC6124A40F8C} (C:\Program Files\BitDefender\BitDefender 2011\Antispam32\IEToolbar.dll)
HKLM_ElevationPolicy\{07d873dc-b9b9-44f5-af0b-fb59fa54fb7a} - C:\Windows\SysWOW64\wpcer.exe (x)
HKLM_ElevationPolicy\{0a402d70-1f10-4ae7-bec9-286a98240695} - C:\Windows\SysWOW64\winfxdocobj.exe (x)
HKLM_ElevationPolicy\{6A7C9604-8A57-4B28-821B-BDEDF0E04788} - C:\Program Files\Microsoft Office\Office14\winproj.exe (x)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files (x86)\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{80B84A0A-EDA4-47FD-8BE1-6B49F4197BE6} - C:\Program Files\BitDefender\BitDefender 2011\Antispam32\about.exe\about.ex (x)
HKLM_ElevationPolicy\{B43A0C1E-B63F-4691-B68F-CD807A45DA01} - C:\Windows\system32\TSWbPrxy.exe (x)

========================================

C:\Program Files (x86)\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Program Files (x86)\Ad-Remover\Backup: 0 Fichier(s)

C:\Ad-Report-SCAN[1].txt - 24/08/2011 16:57:23 (2643 Octet(s))

Fin à: 16:58:00, 24/08/2011

============== E.O.F ==============

Ah, ça a marché. Voyons ce qu'il y a dans le chapitre incriminé:

**** Mozilla Firefox Version 6.0 fr
HKLM_MozillaPlugins\Adobe Reader (x)

puis un truc de searchplugins\bing.xml
puis des components\browsercomps.dll
puis un HKLM_Extensions FFToolbar@bitdefender et où ça se trouve sur le disque C:

et derrière une ligne C:\users\CORESTA etc qui se termine par \Profiles\c6wmi8s8.default

et enfin, 3 lignes qui commencent par Prefs.js-browser.
la première envoie sur la partition D:\\
les deux autres sur browser.startup.homepage_override

j'hésite à tout recopier car ça ne passe pas...

j'espère que ça va t'aider à m'aider !

Re,

1/
* inscris toi sur le forum afin de rendre tes liens lisibles

* ICI >> Forum comment ca marche

2/
/!\ Ferme toutes applications en cours /!\

- Double-clique sur l'icône Ad-remover située sur ton Bureau.
- Sur la page, clique sur le bouton «Nettoyer »
- Confirme lancement du scan
- Laisse travailler l'outil.
- Poste le rapport qui apparaît à la fin.

(Le rapport est sauvegardé aussi sous C:\Ad-report(Scan/clean).Txt)

(CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour c

@+

Voili voila (inscription faite):

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files (x86)\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 18:35:50 le 24/08/2011, Mode normal

Microsoft Windows 7 Professionnel (X64)
CORESTA@COR-PORTABLE (Dell Inc. Latitude E6410)

============== ACTION(S) ==============

Dossier supprimé: C:\Users\CORESTA\AppData\Roaming\Agence-Exclusive

(!) -- Fichiers temporaires supprimés.

============== SCAN ADDITIONNEL ==============

**** Mozilla Firefox Version [6.0 (fr)] ****

HKLM_MozillaPlugins\Adobe Reader (x)
Searchplugins\bing.xml ( hxxp://www.bing.com/search)
Components\browsercomps.dll (Mozilla Foundation)
HKLM_Extensions|FFToolbar@bitdefender.com - C:\Program Files\BitDefender\BitDefender 2011\bdaphffext\

-- C:\Users\CORESTA\AppData\Roaming\Mozilla\FireFox\Profiles\c6wmi8s8.default --
Prefs.js - browser.download.lastDir, D:\\°PMG\\MUSIQUE
Prefs.js - browser.startup.homepage_override.buildID, 20110811165603
Prefs.js - browser.startup.homepage_override.mstone, rv:6.0

========================================

**** Internet Explorer Version [8.0.7600.16385] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKLM_Toolbar|{381FFDE8-2394-4F90-B10D-FC6124A40F8C} (C:\Program Files\BitDefender\BitDefender 2011\Antispam32\IEToolbar.dll)
HKLM_ElevationPolicy\{07d873dc-b9b9-44f5-af0b-fb59fa54fb7a} - C:\Windows\SysWOW64\wpcer.exe (x)
HKLM_ElevationPolicy\{0a402d70-1f10-4ae7-bec9-286a98240695} - C:\Windows\SysWOW64\winfxdocobj.exe (x)
HKLM_ElevationPolicy\{6A7C9604-8A57-4B28-821B-BDEDF0E04788} - C:\Program Files\Microsoft Office\Office14\winproj.exe (x)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files (x86)\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{80B84A0A-EDA4-47FD-8BE1-6B49F4197BE6} - C:\Program Files\BitDefender\BitDefender 2011\Antispam32\about.exe\about.ex (x)
HKLM_ElevationPolicy\{B43A0C1E-B63F-4691-B68F-CD807A45DA01} - C:\Windows\system32\TSWbPrxy.exe (x)

========================================

C:\Program Files (x86)\Ad-Remover\Quarantine: 5 Fichier(s)
C:\Program Files (x86)\Ad-Remover\Backup: 14 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 24/08/2011 18:35:53 (2914 Octet(s))
C:\Ad-Report-SCAN[1].txt - 24/08/2011 16:57:23 (2781 Octet(s))

Fin à: 18:36:35, 24/08/2011

============== E.O.F ==============

Re,

Lance ZHPDiag depuis ton bureau et prépare un nouveau rapport

ZHPDiag (à l'héberger )

@+

Bonjour, c'est reparti pour un tour :-)
https://pjjoint.malekal.com/files.php?id=ZHPDiag_x12n11d7s11o14d11y8j6z14t13i14j7k11u13z11q10u12y12m11n14

Bonjour,

* Télécharge MBAM et installe le selon l'emplacement par défaut
https://www.malwarebytes.com/mwb-download/
* Fais la mise à jour
* Lance Malwarebytes' Anti-Malware
* Clique dans l'onglet "Recherche"
* Coche l'option "Exécuter un examen complet" puis sur le bouton "Rechercher"
* Choisis de scanner tous tes disques durs, puis clique sur 'Lancer l'examen"

A la fin de l'analyse, si MBAM n'a rien trouvé :

* Clique sur OK, le rapport s'ouvre spontanément

Si des menaces ont été détectées :

* Clique sur OK puis "Afficher les résultats"
* Choisis l'option "Supprimer la sélection"
* Si MBAM demande le redémarrage de Windows : Clique sur "Oui"
* Le rapport s'ouvre automatiquement après la suppression, il se trouve aussi dans l'onglet "Rapports/Logs"

* Copie/colle le rapport dans le prochain message


Remarque :
- S'il y'a un problème de mise à jour de mbam, tu peux la faire manuellement en téléchargeant ce fichier
puis en l'exécutant.

@+

_ _ _ Fish66_ _ _ I''"""""I_ _ membre _ _I''"""""I_ _ contributeur _ _ _
¤¤¤ Le meilleur remède pour tous les problèmes, c'est la patience.... ¤¤¤

Et voila le travail. J'ai supprimé la sélection (Trojan.Eorezo) mais pas les deux autres qui n'étaient pas cochés.

Malwarebytes' Anti-Malware 1.51.1.1800
www.malwarebytes.org

Version de la base de données: 7561

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

25/08/2011 10:46:26
mbam-log-2011-08-25 (10-46-26).txt

Type d'examen: Examen complet (C:\|D:\|E:\|)
Elément(s) analysé(s): 319418
Temps écoulé: 40 minute(s), 28 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 2

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{293A63F7-C3B6-423A-9845-901AC0A7EE6E} (Trojan.Eorezo) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\program files (x86)\ad-remover\quarantine\C\Users\CORESTA\AppData\Roaming\agence-exclusive\agence-exclusive\autoupdater.exe.vir (PUP.Tuto4PC) -> Not selected for removal.
c:\program files (x86)\ad-remover\quarantine\C\Users\CORESTA\AppData\Roaming\agence-exclusive\agence-exclusive\updatepctuto.exe.vir (PUP.Tuto4PC) -> Not selected for removal.

Re,

Ah, pourquoi tu n'as pas coché ?

Reprend l'analyse stp et coche toutes lignes affichées à fin de supprimer toutes les infections !

@+

Pourquoi ? Mais parce que tes explications sont si précises qu'il n'était pas question pour moi de m'écarter des instructions. Cela dit, j'aurais pu te signaler la chose et te demander avant.
Bref, j'ai relancé, puis interrompu dès que les 2 éléments ont été annoncés, et j'ai coché et supprimé. Ce qui a été confirmé dans le rapport "quarantined and suppressed successfully" . Ensuite, il y a eu demande de redémarrage.