Security Sphere : un pc de plus infécté

Bonsoir :)

▶ Télécharge sur le bureau RogueKiller

▶ Quitte tous tes programmes en cours

▶ Sous Vista/Seven , clique droit -> lancer en tant qu'administrateur
Sinon lance simplement RogueKiller.exe

▶ Lorsque demandé, tape 1 et valide

▶ Un rapport (RKreport.txt) a du se créer sur le bureau, poste-le moi.

Bonne soirée.

RogueKiller V6.1.3 [14/10/2011] par Tigzy
contact sur http://www.sur-la-toile.com
mail: tigzyRK<at>gmail<dot>com
Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html

Systeme d'exploitation: Windows Vista (6.0.6001 Service Pack 1) 32 bits version
Demarrage : Mode normal
Utilisateur: Nicolas [Droits d'admin]
Mode: Recherche -- Date : 20/10/2011 17:07:03

Processus malicieux: 0

Entrees de registre: 2
[HJ] HKLM\[...]\System : ConsentPromptBehaviorAdmin (0) -> FOUND
[HJ] HKLM\[...]\System : EnableLUA (0) -> FOUND

Fichiers / Dossiers particuliers:

Driver: [LOADED]

Fichier HOSTS:
::1 localhost


Termine : << RKreport[1].txt >>
RKreport[1].txt



A noter que lors de ce scan, Security Sphere ne semblait pas "etre présent"

bonjour

MBAM est un scanner généraliste qui détecte et supprime beaucoup d'infections:

MBAM :

▣ Télécharge MBAM


▣ Tu auras un tutoriel à ta disposition pour l'installer et l'utiliser correctement.


▣ Fais la mise à jour du logiciel /!\(elle se fait normalement à l'installation)/!\


▣ A l'apparition de la fenêtre de MBAM, clique sur «exécuter un examen complet»


▣ Sélectionne les disques que tu veux analyser et clique sur "Lancer l'examen"


> L'analyse peut durer un plusieurs heures...


▣ Une fois l'analyse terminée, clique sur "OK" puis sur "Afficher les résultats"


▣ Vérifie que tout est bien coché et clique sur "Supprimer la sélection" => et ensuite sur "OK"


▣ Un rapport va s'ouvrir dans le bloc note... Fais un copié/collé du rapport dans ta prochaine réponse sur le forum > Si le logiciel te demande de redémarrer, fais le en cliquant sur « OUI » »

Bonsoir et merci de ton aide

le rapport de MBAM étant trop long je n'ai pas pu le poster. voici le lien pour y acceder :

http://www.cijoint.fr/cjlink.php?file=cj201110/cijSbjif3B.txt



c'est clean ?

pas de trace de rogue mais pas mal de chose quand même, on va donc continuer avec un diagnistique:

----->ZHPDIAG<-----

/!\ utilisateur de vista et seven, désactiver l'UAC./!\

/!\ utilisateur de vista et seven faite clique droit et "éxécuter en temps qu'administrateur/!\

▶ Télécharge zhpdiag (de Nicolas Coolman)

▶ Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.

> /!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag, « exécuter en tant qu'Administrateur »/!\

▶ Clique sur la petite loupe en haut à gauche pour débuter l'analyse :

▶ attention, le scan peut durer un certain temps, ne touche a rien d'autre tant que le scan est en cour

▶ Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette

▶ Héberge le rapport ZHPDiag.txt sur cjoint, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.


@++

Voila le resultat du scan, antivirus coupé et internet déconnecté :

http://cjoint.com/?AJva64tPyil

Option Recherche :
Téléchargez AdwCleaner ( d'Xplode ) sur votre bureau.
Lancez le, cliquez sur [Recherche] puis patientez le temps du scan.
Une fois le scan fini, un rapport s'ouvrira.
Note : Le rapport est également sauvegardé sous C:\AdwCleaner[R1].txt

Voici le rapport de AdwCleaner, le scan a été ultra rapide quelques secondes seulement

# AdwCleaner v1.312 - Rapport créé le 21/10/2011 à 17:29:38
# Mis à jour le 18/10/11 à 21h par Xplode
# Système d'exploitation : Windows Vista (TM) Home Premium Service Pack 1 (32 bits)
# Nom d'utilisateur : Nicolas - PC-DE-NICOLAS (Droits Limités)
# Exécuté depuis : D:\Nicolas\Bureau\adwcleaner.exe
# Option [Recherche]


***** [Processus] *****

Présent : [PID:2460] SearchSettings.exe

***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Présent : C:\Users\Nicolas\AppData\LocalLow\Search Settings
Dossier Présent : C:\Users\Nicolas\AppData\LocalLow\pdfforge
Dossier Présent : C:\Program Files\pdfforge Toolbar
Fichier Présent : C:\Users\Nicolas\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Chat-Land site de chat et de rencontre gratuit.URL
Fichier Présent : C:\Users\Nicolas\scriptjava.html
Fichier Présent : C:\Users\Nicolas\F_ajour.jar
Fichier Présent : C:\Users\Nicolas\errorlog.tmp

***** [Registre] *****

Clé Présente : HKCU\Software\Conduit
Clé Présente : HKCU\Software\Search Settings
Clé Présente : HKCU\Software\AppDataLow\Software\pdfforge
Clé Présente : HKLM\SOFTWARE\OpenCandy NSIS SDK
Clé Présente : HKLM\SOFTWARE\pdfforge
Clé Présente : HKLM\SOFTWARE\Search Settings
Clé Présente : HKLM\SOFTWARE\Classes\CLSID\{B922D405-6D13-4A2B-AE89-08A030DA4402}
Clé Présente : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{557C21FE-7274-410D-853E-9ED4471BF193}
Clé Présente : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{B922D405-6D13-4A2B-AE89-08A030DA4402}
Clé Présente : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{B922D405-6D13-4A2B-AE89-08A030DA4402}
Clé Présente : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\{B922D405-6D13-4A2B-AE89-08A030DA4402}
Clé Présente : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
Valeur Présente : HKCU\Software\Microsoft\Internet Explorer\New Windows\Allow [*.chat-land.org]
Valeur Présente : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{E312764E-7706-43F1-8DAB-FCDD2B1E416D}]
Valeur Présente : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{B922D405-6D13-4A2B-AE89-08A030DA4402}]
Valeur Présente : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [SearchSettings]

***** [Navigateurs] *****

-\\ Internet Explorer v8.0.6001.19088

[OK] Le registre ne contient aucune entrée illégitime.

*************************

AdwCleaner[R1].txt - [2513 octets] - [21/10/2011 17:29:38]

########## EOF - C:\AdwCleaner[R1].txt - [2641 octets] ##########

relance le mais, clic sur "suppression" puis, poste moi le rapport :)

# AdwCleaner v1.312 - Rapport créé le 22/10/2011 à 02:41:12
# Mis à jour le 18/10/11 à 21h par Xplode
# Système d'exploitation : Windows Vista (TM) Home Premium Service Pack 1 (32 bits)
# Nom d'utilisateur : Nicolas - PC-DE-NICOLAS (Droits Limités)
# Exécuté depuis : D:\Nicolas\Bureau\adwcleaner.exe
# Option [Suppression]


***** [KillNav] *****

Aucun navigateur n'était en cours d'exécution.

***** [Processus] *****


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Users\Nicolas\AppData\LocalLow\Search Settings
Dossier Supprimé : C:\Users\Nicolas\AppData\LocalLow\pdfforge
Dossier Supprimé : C:\Program Files\pdfforge Toolbar
Fichier Supprimé : C:\Users\Nicolas\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Chat-Land site de chat et de rencontre gratuit.URL
Fichier Supprimé : C:\Users\Nicolas\scriptjava.html
Fichier Supprimé : C:\Users\Nicolas\F_ajour.jar
Fichier Supprimé : C:\Users\Nicolas\errorlog.tmp

***** [Registre] *****

Clé Supprimée : HKCU\Software\Conduit
Clé Supprimée : HKCU\Software\Search Settings
Clé Supprimée : HKCU\Software\AppDataLow\Software\pdfforge
Clé Supprimée : HKLM\SOFTWARE\OpenCandy NSIS SDK
Clé Supprimée : HKLM\SOFTWARE\pdfforge
Clé Supprimée : HKLM\SOFTWARE\Search Settings
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{B922D405-6D13-4A2B-AE89-08A030DA4402}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{557C21FE-7274-410D-853E-9ED4471BF193}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{B922D405-6D13-4A2B-AE89-08A030DA4402}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{B922D405-6D13-4A2B-AE89-08A030DA4402}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\{B922D405-6D13-4A2B-AE89-08A030DA4402}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\{E312764E-7706-43F1-8DAB-FCDD2B1E416D}
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\New Windows\Allow [*.chat-land.org]
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks [{E312764E-7706-43F1-8DAB-FCDD2B1E416D}]
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{B922D405-6D13-4A2B-AE89-08A030DA4402}]
Valeur Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [SearchSettings]

***** [Navigateurs] *****

-\\ Internet Explorer v8.0.6001.19088

[OK] Le registre ne contient aucune entrée illégitime.

*************************

AdwCleaner[R1].txt - [2642 octets] - [21/10/2011 17:29:38]
AdwCleaner[R2].txt - [2661 octets] - [22/10/2011 02:41:04]
AdwCleaner[S1].txt - [2692 octets] - [22/10/2011 02:41:12]

*************************

Dossier Temporaire : 16 dossier(s)et 29 fichier(s) supprimés

########## EOF - C:\AdwCleaner[S1].txt - [2913 octets] ##########

Refais ceci pour faire le point:
https://forums.commentcamarche.net/forum/affich-23437049-security-sphere-un-pc-de-plus-infecte#7

comme la première fois, il faut que tu me l'heberge sur www.cjoint.com de manière à ce qu'il soit complèt ;)

Merci

sorry, voici le lien

http://www.cijoint.fr/cjlink.php?file=cj201110/cijSssE7Nc.txt

et merci à toi !

Ce script va cibler certains éléments à supprimer :


* Lance ZHPFix à partir du raccourci sur ton Bureau (si tu es sous Windows Vista ou Windows 7, fais le par un clic-droit --> Exécuter en temps qu'administrateur)
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »).

* Copie les lignes suivantes :
____________________________________________________________________________________________________________________________
O42 - Logiciel: pdfforge Toolbar v1.0 - (.GreenTree Applications, Inc..) [HKLM] -- {B8B0FC8B-E69B-4215-AF1A-4BDFF20D794B}
[HKCU\Software\Microsoft\Internet Explorer\lowregistry\search settings]


__________________________________________________________________________________________________________________________________

* Clique sur "OK"
* Clique ensuite sur « Tous », puis sur « Nettoyer »
* Copie/colle la totalité du rapport dans ta prochaine réponse.

Rapport de ZHPFix 1.12.3365 par Nicolas Coolman, Update du 18/10/2011
Fichier d'export Registre :
Run by Nicolas at 24/10/2011 20:48:16
Windows Vista Home Premium Edition, 32-bit Service Pack 1 (Build 6001)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Logiciel(s) ==========
SUPPRIME O42 - Logiciel: pdfforge Toolbar v1.0 - (.GreenTree Applications, Inc..) [HKLM] -- {B8B0FC8B-E69B-4215-AF1A-4BDFF20D794B}

========== Clé(s) du Registre ==========
ABSENT Key: HKCU\Software\Microsoft\Internet Explorer\lowregistry\search settings


========== Récapitulatif ==========
1 : Clé(s) du Registre
1 : Logiciel(s)


End of clean in 00mn 24s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 24/10/2011 20:48:16 [741]

Ok,

Normalement, ton pc est clean, as tu encore des soucis avec ton pc avant que nous passions à la fin?
Anciennement 91300, ancien contributeur sécurité

Il ne me semble pas :)
J'ai mis a jour Avast (v 6.0)
Et est ce que je laisse installer tous les logiciels que vous m'avait fait indiquer ou pas ? notamment MBAM qui se lance au demarrage.

En tout cas merci pour votre (ton) aide ;)

histoire de tout finir proprement:

1- NOUS ALLONS METTRE A JOUR TON PC

Tout dabord désinstalles tout ce qui ne te sert pas, ça te fait de l'espace en plus

Il est important d'avoir les dernières mises à jour sur ton PC. En effet, celles ci corrigent des failles de sécurité qui peuvent parfois être exploitées par un programme malveillant.

1ère étape : Java

> Télécharge JavaRa puis décompresse le sur ton bureau.
> Ouvre le dossier JavaRa puis exécute JavaRa.exe.
> Clique sur "Search For Updates".
> Sélectionne "Update Using jucheck.exe" puis clique sur "Search".
> Autorise le processus à se connecter s'il te le demande, clique sur "install" et suis la procédure d'installation.
> Une fois l'installation terminée, revient à l'écran de JavaRa et clique sur "Remove Older Versions".
> Clique sur " Oui " pour confirmer. Laisse l'outil travailler, puis clique sur " Ok " et une nouvelle fois sur " Ok ".
> Un rapport s'ouvrira, copie/colle son contenu dans ton prochain message.

/!\ Si la méthode "Update Using jucheck.exe" ne fonctionne pas, télécharge la dernière version de java à cette adresse puis passe directement à la partie " Remove Older Versions " /!\

2ème étape : Adobe Reader

> Si tu utilises adobe reader, il est important qu'il soit à jour.
> Si il n'est pas à jour, certains programmes malveillants peuvent exploiter différentes failles et infecter ton PC
> Pour vérifier qu'adobe reader est à jour, lance le puis clique sur [Aide] -> [Rechercher les mises à jour]

3ème étape : Mise à jour des logiciels

> Il est également primordial de garder tes logiciels à jour. Pour ce faire, il existe un petit utilitaire, Update Checker.
> Télécharge le Ici
> Un tutoriel pour son utilisation est disponible Ici.


2- Vacciner les supports amovibles

> Si nous n'avons pas utilisé USBfix lors de la procédure, tu peux vacciner tes supports amovibles pour éviter qu'ils ne s'infectent.
> Télécharge USBfix puis lance le. (Clique droit/Exéuter en tant qu'administrateur pour Vista/7).
> Branche tout tes médias amovibles ( Clé USB, Disque dur externe, carte SD ) puis sélectionne l'option [Vacciner].
> Appuie sur [Ok] au message de confirmation.
> Une fois la vaccination terminée, relance usbfix et choisis l'option désinstaller.

Note : Si ton anvirus émet une alerte, désactive le momentanément ( il s'agit d'un faux positif )


3- DelFix

> Télécharge DelFix sur ton bureau.
> Lance le.
> Clique sur Supression puis valide en appuyant sur [Entrée].
> Patiente pendant le scan jusqu'à l'ouverture du rapport.
> Copie/Colle le contenu du rapport dans ta prochaine réponse.

Note : Le rapport se trouve également sous C:\DelFixSearch


4- Optimisation

1ère étape : Suppression des fichiers inutiles

> Télécharge CCleaner
> Installe le, puis lance le.
> Va dans l'onglet "Options" puis " Avancé " et décoche " Effacer uniquement les fichiers[...] ".
> Cliques sur l'onglet " Nettoyeur " puis cliques sur [Analyser] . A la fin de l'analyse, clique sur [Nettoyer].
> Rends toi à l'onglet " Registre " puis cliques sur [Chercher les erreurs]. Cliques ensuite sur [Corriger les erreurs séléctionnées].
> Accepte la sauvegarde puis enregistre la dans tes documents ( tu pourras la supprimer si aucun problème n'apparaît après

la suppression )
> Cliques ensuite sur [Corriger toutes les erreurs sélectionnées] puis sur [Fermer]
> Tu peux renouveller ces opérations tous les jours.

2ème étape : Défragmentation

Au fur et à mesure que tu installes des logiciels, copies des fichiers etc.. le disque dur se fragmente et les accès en lecture/écriture sont plus longs.

> Ouvre l'explorateur, puis fais un clique droit sur ta partition principale ( généralement C:\ )
> Clique sur [Propriété] puis sur l'onglet [Outils]
> Clique sur [Defragmenter maintenant] puis sélectionne le disque dur à défragmenter (le C:\ en temps normal).

3ème étape : Vérification des disques

> Ouvre l'explorateur, puis fais un clique droit sur ta partition principale ( généralement C:\ )
> Clique sur [Propriété] puis sur l'onglet [Outils]
> Clique sur [Vérifier maintenant] puis coche les deux cases présentes.
> Clique sur [Démarrer] ( Tu devras éventuellement redémarrer ton PC et le scan du disque s'effectuera au prochain démarrage )

4ème étape : Désactivation des programmes au démarrage

> Lance CCleaner
> Va dans [Outils] puis [Démarrage]
> Désactives les lignes que tu jugent inutiles
> Veilles à ne pas désactiver la/les lignes correspondantes à ton antivirus

4- Purge de la restauration système


La restauration système est un endroit que windows utilise pour créer des sauvegardes. En cas de soucis, tu peux utiliser ces sauvegardes pour revenir à un état antérieur au problème.

> Après une désinfection, il faut purger la restauration système pour supprimer toutes traces de malwares y résidant.

> Tutoriels :

- Windows XP
- Windows Vista
- Windows 7

N'oublies pas de réactiver la restauration système.


5- UAC ( Uniquement pour Vista/Seven )

Si tu as désactivé l'UAC, il est important de la réactiver.

-> Pourquoi garder l'UAC activée?


6- Secunia PSI

Afin de vérifier si toutes les mise à jour ont bien été installées , nous allons utiliser un petit programme.

->met à jour les autres avec secunia téléchargeable ici.
->TUTO, voir section Secunia Personal Software Inspector (Secunia PSI)

8- Liens utiles

Ces liens sont en rapport direct avec la sécurité de ton PC.
Prends le temps de les lire pour comprendre pourquoi tu as été infecté.

- Les dangers du P2P
- La sécurité de son PC, c'est quoi?
- Sécuriser son ordinateur
- Pourquoi maintenir son navigateur à jour?
- Les toolbars c'est pas obligatoire

Bon surf et @+++ ;)
(je te conseille de garder Malwarebyte's et de passer des scans complet de temps en temps, ne pas oublier de le mettre à jour avant un scan ;)
Et n'oublies pas de passer ton sujet en RESOLU.

[FIN]
Anciennement 91300, ancien contributeur sécurité

Voila pour Delfix

# DelFix v8.1 - Rapport créé le 27/10/2011 à 17:51
# Mis à jour le 20/06/11 à 19h par Xplode
# Système d'exploitation : Windows Vista (TM) Home Premium (32 bits) [version 6.0.6002] Service Pack 2
# Nom d'utilisateur : Nicolas - PC-DE-NICOLAS (Administrateur)
# Exécuté depuis : C:\Users\Nicolas\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\LZWG9F22\DelFix-8.1.exe
# Option [Suppression]


~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\Kill'em
Supprimé : C:\tdsskiller
Supprimé : C:\Program Files\ZHPDiag

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\JavaRa.log
Supprimé : C:\PhysicalDisk0_MBR.bin

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKCU\SOFTWARE\g3n-h@ckm@n

~~~~~~ Autre ~~~~~~

-> Prefetch vidé

########## EOF - "C:\DelFixSuppr.txt" - [855 octets] ##########



j'ai aussi installé le sp2 de vista que la maj automatique ne m'avait PAS proposé.... et je vais le suivre le reste de tes conseils au fur et à mesure que j'en aurais le temps.

Merci pour ton aide :)