Besoin d'aide - Ordinateur infecté

Question

Bonjour, 

Le pc depuis lequel je vous écrit est violemment infecté. Son utilisation est possible mais il faut admettre des lenteurs occasionnelles, des barres d'outils (ask.com) gênantes, une page d'accueil modifiée (http://webplayersearch.com/), un moteur de recherche également modifié (questscan), et probablement bien plus encore.

Les outils classiques (l'antivirus, Malwaresbytes', ad-aware etc) ne trouvent désormais rien alors que les problèmes demeurent.

Dans le passé j'ai déjà eu des problèmes similaires et des helper m'avaient assisté dans tout un tas de manip efficace. Les manipulations avaient commencé par un scan Ad-remover. Dois-je répéter celui-ci et poster ici un rapport ?

Dans l'attente de vous lire, je vous remercie par avance.

Configuration: Windows XP / Firefox 7.0.1

2011N2 · Answer

Salut,

Bienvenue sur Comment Ça Marche. On va essayer de résoudre ton problème ensemble. Voici quelques régles ==>

-Ici, les helpers sont volontaires, et nous avons également une vie de famille, du travail, comme tout le monde. En conséquences, sois patient en attendant tes réponses de la part du helper.

-Suis la procédure jusqu'au bout, sinon ça ne servira à rien.

-Ne panique pas, n'hésite pas à poser des questions si tu as des doutes, car c'est beaucoup mieux que de planter ton PC si tu ne sais pas quoi faire.

-Avant d'effectuer des manipulations, lis la procédure jusqu'au bout, afin de ne pas faire d'erreur.

-Lors de la désinfection, désactive ton antivirus, afin que la désinfection puisse s'effectuer normalement.

-Si tu es sous Vista/7, éxécute un programme toujours en faisant un clic droit puis ==> Éxécuter en tant qu'administrateur

-Si tu crack (Emule, BiTorrent, etc...) arrête tout de suite, c'est une source d'infection, et la désinfection sera donc inutile.

-N'ouvre pas d'autres sujets pour le même problème (que ce soit sur ce forum ou sur un autre).

Si tu es prêt, c'est partit ==>



On va faire un diagnostic de ton PC pour plus de renseignements ==>

=> Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau : 

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html

ou : 

http://www.premiumorange.com/zeb-help-process/zhpdiag.html

ou :
 
https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/


=> Laisse toi guider lors de l'installation, coche "Ajouter une icône sur le bureau" et décoche la case "Exécuter ZHPDiag". 

/!\Utilisateur de Vista et Seven/!\ : Clic droit sur le logo de ZHPdiag (parchemin) puis « Exécuter en tant qu'Administrateur » 

=> Clique sur l'icône, en haut à gauche, représentant une loupe : « Lancer le diagnostic ».  
=> Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette.  
=> Héberge le rapport ZHPDiag.txt sur un des sites ci-dessous, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum :
 
https://www.cjoint.com/  

ou


http://www.cijoint.fr/ 

ou : 

http://ww38.toofiles.com/fr/documents-upload.html 

ou :
 

http://pjjoint.malekal.com/ 

ou : 

https://www.casimages.com/ 



Si tu as besoin d'aide, ou quelque chose n'est pas clair, n'hésite pas à poser la question.

@+, merci.


Gabriel.

pmglgg · Answer

Merci pour la rapidité de ta réponse. J'ai bien pris le temps de relire ton message.

Voici le lien où tu trouveras le rapport, qui ne veut pas dire grand chose pour moi : 

http://pjjoint.malekal.com/files.php?read=ZHPDiag_y13d1513e10l1010j6z11b7n11d11d15v7d5i12h13g12o9k7c12

2011N2 · Answer

Peux-tu l'héberger sur cjoint ? https://www.cjoint.com/ 

Parce que là, il ne s'affiche pas correctement :)

@+

Gabriel.

pmglgg · Answer

Bien sûr !

Et voila : http://cjoint.com/data/0JzsAxmkpTi.htm 

Je te souhaite une bonne soirée.

2011N2 · Answer

Parfais :)

Télécharge ToolbarShooter (de 2011N2) sur ton bureau (Si il est bloqué, ignore l'alerte et lance le programme). 
Double-clique sur l'icône présente sur ton bureau.
Appuye sur 1 (Recherche) puis ==> Entrée.
Patiente lors du scan.
À la fin, un rapport s'ouvre, héberge le ici : https://www.cjoint.com/
Le rapport est également sauvegardé sous C:\ au nom de Rapport ToolbarShooter.

@+

Gabriel.

pmglgg · Answer

Voici le lien ; http://cjoint.com/data/0JztlglsHFe.htm

A+

2011N2 · Answer

Ok :) /!\Ferme toutes les applications en cours avant de continuer/!\ Double-clique sur l'icône Toolbar Shooter présente sur ton bureau. Appuye sur 2 (Suppression) puis ==> Entrée. Patiente lors du scan. À la fin du nettoyage, il est demandé de redémarrer l'ordinateur, tape 1 pour redémarrer l'ordinateur. Une fois l'ordinateur redémarré, le rapport de ToolbarShooter est sauvegardé à la racine du disque sous le nom de ToolbarShooterSUP, héberge le ici : https://www.cjoint.com/ @+ Gabriel.

pmglgg · Answer

J'ai suivi tes instructions ; 

voici le lien : http://cjoint.com/data/0JztQIgUR44.htm

Bien à toi,
à la prochaine

2011N2 · Answer

Ok :)

Tu peux me refaire un ZHPdiag ?

Merci,

Gabriel.

pmglgg · Answer

Bien sûr, voici mon rapport,

http://cjoint.com/data/0Jzw2olbPV9.htm

Merci pour ta patience et tes conseils
Bonne nuit!

2011N2 · Answer

Re :)

On va désinstaller Ad-aware et Spybot (obsolète).

>Copie les lignes "helpers" (Avec Ctrl + C) présentes dans le fichier texte : http://dl.dropbox.com/u/32869654/Pour%20pmglgg.txt

>Ouvre ZHPfix, icone seringue (Vista et 7 : "Exécuter en tant qu'administrateur").
>Colle les lignes helpers : Pour ce, clique sur la balise document, à droite de l'appareil photo. Ou alors sur le H.  
>Faire Ok. 
>Clique sur "Tous".  
>Clique sur "Nettoyer". 
>Copie le rapport, et coller-le dans la prochaine réponse sur le forum.

P.S. Si le bureau disparaît, fais Ctrl + Alt + Suppr afin d'ouvrir le gestionnaire des tâches puis dans Applications, clic sur Nouvelle Tache puis tape explorer.exe. Le bureau devrait normalent réapparaître.


Si tu as des questions, n'hésite pas à me les poser !

@+

Gabriel.

pmglgg · Answer

Hey !

Simplement avant de commencer la manip, que sont les lignes helpers ?
L'intégralité du fichier texte à ce lien ; http://dl.dropbox.com/u/32869654/Pour%20pmglgg.txt  ou bien quelques unes des lignes du texte ?

2011N2 · Answer

Tout ce qui est dedans :)

@++

Gabriel.

pmglgg · Answer

Cher Gabriel, 

tu trouveras ci-dessous le rapport. Je n'ai pas pris le temps de l'héberger sur cijoint, j'espère que tu ne m'en voudras pas ...
Pour information,

les îcones n'ont pas disparus du bureau lors de la manip.

Rapport de ZHPFix 1.12.3365 par Nicolas Coolman, Update du 18/10/2011
Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-26-10-2011-21-18-30.txt
Run by User at 26/10/2011 21:18:30
Windows XP Professional Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Logiciel(s) ==========
SUPPRIME O42 - Logiciel: Spybot - Search & Destroy - (.Safer Networking Limited.) [HKLM] -- {B4092C6D-E886-4CB2-BA68-FE5A88D31DE6}_is1

========== Processus mémoire ==========
SUPPRIME Memory Process: C:\Program Files\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe

========== Clé(s) du Registre ==========
SUPPRIME Key: CLSID BHO: {FCBCCB87-9224-4B8D-B117-F56D924BEB18}
SUPPRIME Key: HKCU\Software\PriceGong
SUPPRIME Key: HKCU\Software\Zugo
SUPPRIME Key: HKCU\Software\searchqutoolbar
SUPPRIME Key: SearchScopes :{4B8C28A7-A9BC-45F8-990D-21499EED643C}
SUPPRIME Key*: SearchScopes :{4B8C28A7-A9BC-45F8-990D-21499EED643C}
ABSENT SearchScopes :{4B8C28A7-A9BC-45F8-990D-21499EED643C}
SUPPRIME Key: HKLM\Software\Classes\TypeLib\{01bcb858-2f62-4f06-a8f4-48f927c15333}
SUPPRIME Key: HKLM\Software\Classes\TypeLib\{2D5E2D34-BED5-4B9F-9793-A31E26E6806E}
SUPPRIME Key: HKLM\Software\Classes\AppID\{442f13bc-2031-42d5-9520-437f65271153}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{8A9D74F9-560B-4FE7-ABEB-3B2E638E5CD6}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{8A9D74F9-560B-4FE7-ABEB-3B2E638E5CD6}
SUPPRIME Key: HKLM\Software\Classes\Interface\{c9ae652b-8c99-4ac2-b556-8b501182874e}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{D433A9D0-8267-40CB-8AD5-24F22FA5373F}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{F0626A63-410B-45E2-99A1-3F2475B2D695}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{F0626A63-410B-45E2-99A1-3F2475B2D695}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{FCBCCB87-9224-4B8D-B117-F56D924BEB18}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{FCBCCB87-9224-4B8D-B117-F56D924BEB18}
ABSENT Key: HKLM\Software\Classes\CLSID\{FCBCCB87-9224-4B8D-B117-F56D924BEB18}
ABSENT Key: HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{FCBCCB87-9224-4B8D-B117-F56D924BEB18}
SUPPRIME Key: Service: Lavasoft Ad-Aware Service
SUPPRIME Key: Menu Contextuel: Rechercher sur le Web
SUPPRIME Key: HKLM\Software\Classes\URLSearchHook.ToolbarURLSearchHook
ABSENT Key: HKLM\Software\Classes\urlsearchhook.toolbarurlsearchhook
SUPPRIME Key: HKLM\Software\Classes\urlsearchhook.toolbarurlsearchhook.1

========== Valeur(s) du Registre ==========
SUPPRIME URLSearchHook: {CA3EB689-8F09-4026-AA10-B9534C691CE0}
ABSENT [HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks]:{CA3EB689-8F09-4026-AA10-B9534C691CE0}
SUPPRIME [HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]:{D4027C7F-154A-4066-A1AD-4243D8127440}

========== Préférences navigateur ==========
ABSENT Chrome File: 
SUPPRIME Mozilla Pref: user_pref("CT1060933.SearchFromAddressBarUrl", "http://search.conduit.com/ResultsExt.aspx?ctid=CT1060933&SearchSource=2&q=");
SUPPRIME Mozilla Pref: user_pref("CT1060933.TBHomePageUrl", "http://search.conduit.com/?ctid=CT1060933&SearchSource=13");
SUPPRIME Mozilla Pref: user_pref("CommunityToolbar.ConduitHomepagesList", "http://search.conduit.com/?ctid=CT1060933&SearchSource=13");
SUPPRIME Mozilla Pref: user_pref("sweetim.toolbar.previous.browser.search.defaulturl", "http://search.conduit.com/ResultsExt.aspx?ctid=CT1060933&SearchSource=3&q=

========== Dossier(s) ==========
SUPPRIME Folder: C:\Documents and Settings\User\Application Data\searchqutoolbar
SUPPRIME Folder: c:\program files\enigma software group\spyhunter
SUPPRIME Folder: C:\Program Files\Spybot - Search & Destroy
SUPPRIME Folder: C:\Documents and Settings\User\Local Settings\Application Data\APN
SUPPRIME Temporaires Windows: : 81
SUPPRIME Flash Cookies: 4

========== Fichier(s) ==========
SUPPRIME File: c:\program files\webplayertool	bunsy127.tmp	bhelper.dll
SUPPRIME File: c:\program files\webplayertool	bunsy127.tmp	bcore3.dll
SUPPRIME File: c:\program files\lavasoft\ad-aware\ad-awareadmin.exe
ABSENT Folder/File: c:\program files\lavasoft\ad-aware\ad-awareadmin.exe
SUPPRIME File: c:\program files\lavasoft\ad-aware\aawservice.exe
SUPPRIME File: c:\documents and settings\user\application data\mozilla\firefox\profiles
vdi3yr4.default\searchplugins\askcom.xml
SUPPRIME File: c:\documents and settings\user\application data\mozilla\firefox\profiles
vdi3yr4.default\searchplugins\conduit.xml
ABSENT File: c:\program files\sweetim	oolbars\internet exploreresources\menuext.html
ABSENT File: c:\documents and settings\user\application data\mozilla\firefox\profiles
vdi3yr4.default\searchplugins\askcom.xml
ABSENT File: c:\documents and settings\user\application data\mozilla\firefox\profiles
vdi3yr4.default\searchplugins\conduit.xml
ABSENT Folder/File: c:\documents and settings\user\application data\mozilla\firefox\profiles
vdi3yr4.default\searchplugins\conduit.xml
SUPPRIME File: C:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles
vdi3yr4.default\SearchPlugins\SweetIM Search.xml
SUPPRIME Temporaires Windows: : 46
SUPPRIME Flash Cookies: 1

========== Tache planifiée ==========
SUPPRIME Task: Ad-Aware Update (Daily 1)
SUPPRIME Task: Ad-Aware Update (Daily 2)
SUPPRIME Task: Ad-Aware Update (Daily 3)
SUPPRIME Task: Ad-Aware Update (Daily 4)
SUPPRIME Task: Ad-Aware Update (Weekly)

========== Restauration Système ==========
Point de restauration du système créé avec succès


========== Récapitulatif ==========
1 : Processus mémoire
25 : Clé(s) du Registre
3 : Valeur(s) du Registre
6 : Dossier(s)
14 : Fichier(s)
1 : Logiciel(s)
5 : Préférences navigateur
5 : Tache planifiée
1 : Restauration Système


End of clean in 01mn 30s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 26/10/2011 21:18:30 [5982]

2011N2 · Answer

Re, Parfais comme ça :) ATTENTION ! Plusieurs heures de scan sont probables ! Tu pourras brancher tes périphériques externes pour les scanner en même temps si tu le souhaites. Télécharge Malwarebytes' Anti-Malware MBAMsur ton bureau : http://www.malwarebytes.org/mbam/program/mbam-setup.exe Si problème essaie avec celui-ci : https://www.commentcamarche.net/telecharger/securite/14361-malwarebytes-anti-malware/ . Enregistre-le sur ton bureau. . Double clique sur le fichier téléchargé pour lancer le processus d'installation. (Vista et 7 : Éxécuter en tant qu'administrateur) . Si le pare-feu demande l'autorisation de se connecter pour malwarebytes, accepte. . Dans l'onglet "Mise à jour", clique sur le bouton "Recherche de mise à jour". Fais le plusieurs fois jusqu'à ce qu'il te dise que tu as la dernière version de base de données. . Une fois la mise à jour terminée : . Rends-toi dans l'onglet "Recherche" . Sélectionne Exécuter un Examen complet. . Sélectionne Tous les disques si proposé. . Clique sur Rechercher. . Le scan démarre. Patiente, cela peut durer plusieurs heures, selon la taille de tes disques. . À la fin de l'analyse, un message s'affiche : L'examen s'est terminé normalement ou autre. Clique sur "Afficher les résultats" pour afficher tous les objets trouvés. . Cliques sur Ok pour poursuivre. . Si des malwares ont été détectés, clique sur Afficher les résultats. . Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, Malwarebytes va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. . Malwarebytes va ouvrir le bloc-notes et y copier le rapport d'analyse. . Redemarre le PC si il le fait pas lui même. . Une fois redémarré double-clique sur Malwarebytes' AntiMalware. . Rends toi dans l'onglet "rapport/log". . Tu cliques sur le rapport pour l'afficher. . Tu cliques sur Edition en haut du boc notes,et puis sur Sélectionner tout. . Tu recliques sur Edition et puis sur Copier et tu reviens sur le forum et dans ta réponse, colle le rapport (CTRL + V). => Si tu as besoin d'aide regarde ce tutoriel : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/ Si tu as des questions, n'hésite pas à me les poser ! @+ Gabriel.

pmglgg · Answer

Et hop un rapport de plus ; 
Bien à toi,


Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 8024

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

26/10/2011 23:39:50
mbam-log-2011-10-26 (23-39-50).txt

Type d'examen: Examen complet (C:\|D:\|F:\|G:\|H:\|I:\|)
Elément(s) analysé(s): 322501
Temps écoulé: 1 heure(s), 35 minute(s), 47 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)

2011N2 · Answer

Ok :)

Encore des soucis ?

Comment se comporte le PC ?

@++

Gabriel.

pmglgg · Answer

Cher Gabriel,

merci pour tout ce que tu as fait jusqu'à maintenant.
Hélas, la vie n'est pas si belle hum enfin si simple...
De nombreux problèmes ne sont pas résolus tels que la page d'accueil des navigateurs et le moteur de recherche par défaut dans la barre d'adresse (questscan  au lieu de google).
Toutefois il y a un progrès car ces problèmes ont disparu d'IE et persistent simplement sur Firefox et Chrome.

Bien à toi,
Paul

2011N2 · Answer

Ok :)

Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.
Lance le, clique sur [Recherche] puis patiente le temps du scan.
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[Search].txt

@+

Gabriel.

pmglgg · Answer

Bonsoir,

voici le lien vers le scan,
http://www.cijoint.fr/cj201110/cijnpd1zcV.txt
A+

2011N2 · Answer

Ok.
Passe le en mode suppression et poste le rapport.

@+

Gabriel.

Besoin d'aide - Ordinateur infecté

21 réponses

Votre réponse

Newsletters