[Tutoriel] Se Debarrasser de adfirstsolution Fermé

Question

Bonjour, j'ai été récement ennuyé par des pops up incessantes à chaque lancement de mozilla firefox, du nom de ad.adfirstsolution etc... J'ai trouvé la solution à ce problème sur ce forum, et je remercie ceux qui ont contribué à la donner. Afin d'aider ceux qui auraient le même problème, je fais un résumé des opérations qui ont fonctionné pour moi, en espérant que ça fonctionnera pour vous ! 1 : telechargez puis lancez lopxp ici : http://pageperso.aol.fr/balltrap34/lopxp.zip (vous avez juste à cliquer dessus pour voir apparaitre un rapport qui va vous aider ) 1bis : débranchez internet ... (on ne sait jamais ;-) ) 2 : dans ce rapport, vers la fin (pour moi en tout cas) il y a un paragraphe qui ressemble à ceci : ****************************************** Recherche des taches planifiées dans C:\WINDOWS asks Le volume dans le lecteur C s'appelle **** Le num‚ro de s‚rie du volume est ******** R‚pertoire de C:\WINDOWS\Tasks 11/02/2006 01:00 252 A895B8DA91922F56.job 16/12/2003 15:30 362 Symantec NetDetect.job 16/12/2003 15:30 512 Norton AntiVirus - Analyser mon ordinateur.job 04/08/2003 08:59 6 SA.DAT 04/08/2003 08:58 .. 04/08/2003 08:58 . 04/08/2003 08:49 65 desktop.ini 5 fichier(s) 1ÿ197 octets 2 R‚p(s) 7ÿ786ÿ020ÿ864 octets libres ****************************************** la ligne qui nous interresse est la premiere : 11/02/2006 01:00 252 A895B8DA91922F56.job c'est cette tache qui initialise le virus publicitaire ( si j'ai bien compris ) 3 : cliquez sur menu demarrez, executez... et tapez cmd à la suite de la ligne de commande qui apparait (indiquant le repertoire actif ) écrivez ceci : del /a C:\WINDOWS\Tasks\*****************.job en remplacant les etoiles par la sequence de lettres et chiffres donnees dans le rapport de lopxp (dans cet exemple ça donne : del /a C:\WINDOWS\Tasks\A895B8DA91922F56.job ) RQ : si tout se passe bien, rien ne s'affiche à part une nouvelle ligne indiquant à nouveau le repertoire actif RQ2 : si un message d'erreur apparait, essayez la même opération en mode sans echec (redemmarez et mitraillez F5 ou F8 (selon votre pc) ) 4 : redemarez le pc et lancez à nouveau lopxp. normalement, la ligne qui était présente tout à l'heure doit avoir disparu... (n'oubliez pas de croiser les doigts avant :-) ) 5 : rebranchez internet et lancez firefox .... en espérant que cette solution marche chez vous ! Ensuite il faudrait pour bien faire, supprimer la faille a causé votre infection. il y a deux cas possibles : 1 ) l'infection a été causé lors de l'installation d'un logiciel particulier (personnelement c'était netpumper , j'ai lu aussi que msn plus pouvait aussi en etre la cause : adfirstsolution serait son principal sponsor...) 2 ) vous avez été infecté en navigant : dans ce cas, il faut supprimer cette ligne grace à HijackThis : R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.kwwjnpmoiyngnkvjtkfzf.net/t5ToAqPOhM/zvv61OTYJzIl7LffBi31SCYy6HWXVQlz4_zgJHIrN0MBYBEyf4glK.cgi (plus d'infos ici : virus infecte par ad adfirstsolution com ) J'espère que ce topic pourra vous aider ! Si c'est le cas, n'oubliez pas de remercier tout ceux qui ont participé au topic dont je tient mes sources : virus infecte par ad adfirstsolution com Bonne journée à tous

Lyonnais92 · Answer

Bonjour à tous,

Mon premier conseil serait, au cas où vous seriez infecté, de venir demander notre aide. une infection peut en cacher une autre et nous pouvons vous aider à combler les failles de sécurité.
Pour ceux qui voudraient se lancer seul dans la maneuvre (ce n'est pas impossible), deux ajouts à Bombadyl.

1) Le rapport lopxp donne non seulement le nom de la tâche répétitive qu'il faut "tuer" (sinon le problème revient au prochain démarrage). Il donne aussi l'heure de création de cette tâche. Cela permet de retrouver le dossier crée au même moment (voir dans le post cité l'intervention de régis59 qui demande la suppression d'un dossier, après affichage des fichiers et dossiers cachés, ce dossier est crée au même moment que la tâche). Ce dossier aussi doit être détruit.

2) Il faut aussi "fixer" la ligne R1 du rapport HijackThis. Il faut donc télécharger HijackThis, l'installer dans son dossier et le lancer avec l'option do a scan only. La ligne est très facile à reconnaître. Pour la fixer, cocher la case devant, fermer toutes les fenêtres (hormis celle d'HijackThis) et cliquer sur fix checked.

Bonne suite.

Mon Luco · Answer

Je ne connais pas grand chose aux infections de virus et autres spywares et j'ai été embété aussi par ces horribles pop up générés par adfirstsolution ( qui apparaissent par internet explorer bien que j'utilise firefox). J'ai fait de multiples scans via antivirus et antispywares divers... sans résultat...Je suis donc tombé sur ce forum et ton explication qui pour une fois me semblait claire comparée à d'autres palabres sur les forums et apparemment le problème est résolu !! (jusqu'au prochain!!). Qui que tu sois,je voulais juste te remercier. joyeux noël ! 
(Ceci dit, à quoi servent les logiciels anti virus et antispywares s'ils ne sont pas capables de détecter ce type d'infections et de les détruire : ce qui est quand même plus facile pour un nul comme moi !! ) 
Cordialement...

Lyonnais92 · Answer

Bonsoir,

D'abord je suis content que cette synthèse ait pu te permettre de résoudre ton problème.

Je vais essayer de répondre à ta question, en espérant ne pas dire trop de bêtises. Antivirus et antispywares peuvent détecter et éradiquer à l'entrée.

Il arrive que l'antivirus ne soit pas à jour, pas lancé, voire même pas d'antivirus ..... A ce moment là, normal de le retrouver dans l'ordi.

Par contre, quand la bestiole est introduite, ça se complique. S'il s'agit que de détruire ou réparer un fichier, ces logiciels, mis à jour, y arrivent.

Mais, d'une part il existe des choses plus malicieuses que les virus et les spywares, d'autres part, la bestiole peut modifier plus en profondeur le système (en particulier en modifiant la base de registre). A ce moment là, il faut un programme sinon spécifique, dans le cas de lopxp c'est le cas, en tout cas très ciblé sur une catégorie, régulièrement mis à jour et qui, à partir de l'analyse faite sur le comportement de l'intrus et de ses conséquences, répare les dégâts.

Même s'il est vrai que aucun antivirus ni antispyware n'est parfait, ils ont leurs limites car ils ne peuvent pas traiter toutes les catégories de malwares. En plus, l''expérience montre que celui qui frappe sur le clavier reste plus souvent responsable que les logiciels. Plus souvent ne veut pas dire toujours.

Bon surf  (bien protégé).

jeantof · Answer

Bonjour, 
voila l'analyse de naviscope, qui saurait me dire ce que je dois faire. Merci d'avance



Search Navipromo version 3.3.6 commencé le 18/11/2007 à  1:24:55,20ention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!
!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:\Program Files
avilog1
Mise à jour le 14.11.2007 à 18h00 par IL-MAFIOSO


Microsoft Windows XP [version 5.1.2600]
Internet Explorer : 6.0.2800.1106 


*** Recherche Programmes installés ***




*** Recherche dossiers dans C:\WINDOWS ***



*** Recherche dossiers dans C:\Program Files ***

C:\Program Files\MessengerSkinner trouvé !


*** Recherche dossiers dans C:\Documents and Settings\All Users\Application Data ***




*** Recherche dossiers dans C:\Documents and Settings\seguin\Application Data ***


*** Recherche dossiers dans C:\DOCUME~1\ALLUSE~1\MENUDM~1\PROGRA~1 ***


*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***
pour + d'infos : http://www.gmer.net

!! Fichier(s)/processus caché(s) différent(s) !!
!! Résultat Catchme non pris en compte par Navilog1 !!


*** Recherche avec GenericNaviSearch ***
!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!
!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans C:\WINDOWS\system32 *

Fichiers trouvés :

ablejrjnj.exe trouvé ! 
cgzenzae.exe trouvé ! 
dcrsyaqd.exe trouvé ! 
lkzwvem.exe trouvé ! 
tfdcgcmzhf.exe trouvé ! 
uleprdjar.exe trouvé ! 
uwwxeh.exe trouvé ! 

* Recherche dans C:\DOCUME~1\SEGUIN\LOCALS~1\APPLIC~1 *

Fichiers trouvés :

uwwxeh.exe trouvé ! 
uwwxeh.dat trouvé ! 
uwwxeh_nav.dat trouvé ! 
uwwxeh_navps.dat trouvé ! 



*** Recherche fichiers *** 




*** Recherche clés spécifiques dans le Registre ***

HKEY_CURRENT_USER\Software\Lanconfig trouvé ! 

*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche fichiers connus:

2)Recherche Heuristique :

C:\WINDOWS\system32
zdzzj.dat trouvé !

C:\DOCUME~1\SEGUIN\LOCALS~1\APPLIC~1\uwwxeh.dat trouvé !
C:\DOCUME~1\SEGUIN\LOCALS~1\APPLIC~1\uwwxeh_nav.dat trouvé !

3)Recherche Certificats :

Certificat Egroup trouvé !


*** Analyse terminée le 18/11/2007 à  1:26:01,00 ***

Lyonnais92 · Answer

Bonjour,

Double clique sur le raccourci Navilog1 présent sur le bureau et laisse-toi guider. 
Au menu principal, choisis 2 et valide. 

Le fix va t'informer qu'il va alors redémarrer ton PC 
Ferme toutes les fenêtres ouvertes et enregistre tes documents personnels ouverts
Appuie sur une touche comme demandé.
(si ton Pc ne redémarre pas automatiquement, fais le toi même)
Au redémarrage de ton PC, choisis ta session habituelle.

Patiente jusqu'au message : 
*** Nettoyage Termine le ..... *** 
Le blocnote va s'ouvrir. 
Sauvegarde le rapport de manière à le retrouver 
Referme le blocnote. Ton bureau va réapparaitre 

PS:Si ton bureau ne réapparait pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches. 
Puis rends-toi à l'onglet "processus". Clique en haut à gauche sur fichiers et choisis "exécuter" 
Tape explorer et valide. Celà te fera apparaitre ton bureau.

Clique sur ce lien 
http://www.trendsecure.com/portal/en-US/threat_analytics/HJTInstall.exe 
pour télécharger le fichier d'installation d'HijackThis.

Enregistre HJTInstall.exe sur ton bureau.  

Double-clique sur HJTInstall.exe pour lancer le programme

Par défaut, il s'installera là : 
C:\Program Files\Trend Micro\HijackThis

Accepte la license en cliquant sur le bouton "I Accept"

Choisis l'option "Do a system scan and save a log file"

Clique sur "Save log" pour enregistrer le rapport qui s'ouvrira avec le bloc-note

Clique sur "Edition -> Sélectionner tout", puis sur "Edition -> Copier" pour copier tout le contenu du rapport

Colle le rapport que tu viens de copier sur ce forum

Ne fixe encore AUCUNE ligne, cela pourrait empêcher ton PC de fonctionner correctement


Tutoriaux : http://pageperso.aol.fr/balltrap34/demohijack.htm (ne fixe rien pour le moment !!)
              http://cybersecurite.xooit.com/t138-HijackThis-2-0-2.htm

jeantof · Answer

Merci à toi Lyonnais92 je vais essayer de pratiquer avec tes indications et je te tien au courant. Bonne journée à toi

[Tutoriel] Se Debarrasser de adfirstsolution

6 réponses

Discussions similaires