Comment supprimer u-search.net? Résolu/Fermé

Question

Bonjour, 

J'ai récemment téléchargé le logiciel groovedown, mais celui-ci semble être la cible du virus / malware u-search.net.

Résultat : mon PC est infecté :(

J'ai fait une recherche antivirus (avast), j'ai lancé un malware bytes, un spybot le tout en mode sans échec, sans succès.

Je n'ai aucun processus anormal, je n'ai rien trouvé dans le registre (j'ai supprimé tout ce qui ressortais quand je recherchais pour "u-search.net"), et dans le log de boot de mon PC rien ne semble anormal non plus (je peux cependant le poster si besoin).

J'ai également fait une recherche avec hijackthis sans résultat frappant, je pourrais poster le rapport si nécessaire.

De plus, je n'ai trouvé aucune source fiable et fonctionnelle sur le  net pour me débarrasser de cette saleté.

Est-ce que quelqu'un sait comment le supprimer?

Je peux poster ici tous les logs mentionnés si besoin.


Merci d'avance !

Configuration: Windows 7 / Firefox 15.0.1

noreply · Accepted Answer

En fait, ce n'est pas exactement une infection.
Tu as installé GrooveShark avec le profil "installation par défaut". En choisissant "Installation personnalisée", il t'aurait proposé de ne pas définir "u-search" comme page d'accueil sur tes navigateurs.
C'est un peu planqué, c'est vrai. D'une façon générale c'est pour ça que je te recommande de toujours choisir "installation personnalisée" quelque soit le logiciel.

Si tu veux nettoyer, voici la procédure:
http://frickinexcuse.net/u-search-net-and-the-groovedown-trojan-fix/#comment-62

En gros, un fichier de préférences de firefox (prefs.js / user.js dans le dossier de ton profil), des extensions et réglages pour les autres navigateurs (page d'accueil par défaut, proxy à vérifier).

g3n-h@ckm@n · Answer

salut

 Télécharge et enregistre ADWcleaner sur ton bureau :

ADWCleaner (Merci à Xplode)

Lance le,

(Pour vista et seven => clic droit "executer en tant qu'administrateur")

clique sur suppression et poste son rapport.

KiTe37 · Answer

voici le rapport :

# AdwCleaner v2.003 - Rapport créé le 25/09/2012 à 23:45:06
# Mis à jour le 23/09/2012 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : KiTe - THEWORLD
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\KiTe\Desktop\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****


***** [Registre] *****

Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\incredibar.com
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\EscDomains\incredibar.com
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\incredibar.com
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\EscDomains\incredibar.com

***** [Navigateurs] *****

-\ Internet Explorer v9.0.8112.16421

Restauré : [HKCU\Software\Wow6432Node\Microsoft\Internet Explorer\SearchScopes - DefaultScope]
Restauré : [HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchScopes - DefaultScope]
Restauré : [HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes - DefaultScope]
Restauré : [HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes - DefaultScope]
Restauré : [HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes - DefaultScope]
Restauré : [HKU\S-1-5-21-3229955345-1190243535-2953811619-1000\Software\Microsoft\Internet Explorer\SearchScopes - DefaultScope]

-\ Mozilla Firefox v15.0.1 (fr)

Nom du profil : default 
Fichier : C:\Users\KiTe\AppData\Roaming\Mozilla\Firefox\Profiles\vpa97ywu.default\prefs.js

C:\Users\KiTe\AppData\Roaming\Mozilla\Firefox\Profiles\vpa97ywu.default\user.js ... Supprimé !

[OK] Le fichier ne contient aucune entrée illégitime.

-\ Google Chrome v [Impossible d'obtenir la version]

Fichier : C:\Users\KiTe\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [2092 octets] - [25/09/2012 23:45:06]

########## EOF - C:\AdwCleaner[S1].txt - [2152 octets] ##########




Et apparemment, je peux de nouveau changer la home page de Firefox

g3n-h@ckm@n · Answer

Attention !!! : cet outil peut etre détecté à tort comme virus
Attention !!! : cet outil est puissant suivre scrupuleusement les instructions ci-dessous

tous les processus "non vitaux de windows" vont être coupés , enregistre ton travail.

Désactive toutes tes protections si possible , antivirus , sandbox , pare-feux , etc....

telecharge et enregistre Pre_Scan sur ton bureau :

https://forums-fec.be/gen-hackman/Pre_Scan.exe

si le lien ne fonctionne pas :

http://general-changelog-team.fr/fr/downloads/viewdownload/41-outils-de-gen-hackman/52-pre-scan
http://www.archive-host.com

Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

https://forums-fec.be/gen-hackman/Pre_Scan.pif

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan

Il est possible que l'outil fasse redemarrer ton pc , laisse-le faire

NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Heberge le rapport sur http://pjjoint.malekal.com puis donne le lien obtenu en echange sur le forum où tu te fais aider

KiTe37 · Answer

après 30 minutes et un reboot, l'outil s'est coupé sans générer de log sur le bureau.
Je passe donc au .pif et recommence?

KiTe37 · Answer

autant pour moi, l'outil semblait continuer à tourner en fond et le log est apparu.
le site pour le poster semble inaccessible pour l'instant, je le posterais demain.

KiTe37 · Answer

voici le lien du rapport : https://pjjoint.malekal.com/files.php?id=20120926_d107y85e7

mot de passe : usearch

g3n-h@ckm@n · Answer

ok relance l'outil , clique sur "Chk.SVC" puis heberge le rapport

s'il n'apparait pas , clic droit sur le bureau => actualiser

KiTe37 · Answer

https://pjjoint.malekal.com/files.php?id=20120926_k11y15i8j13n8
mot de passe : usearch

g3n-h@ckm@n · Answer

desinstalle spybot search and destroy rien du tout

====

 Attention !!! pense à re-désactiver tes protections

Clique sur ce lien : https://www.cjoint.com/?BIAvpzAb7eC

Selectionne tout le texte qui s'y trouve CTRL+A puis CTRL+C ou clic droit/copier

Relance Pre_scan puis choisis l'option "Script"

une page va s'ouvrir

logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

g3n-h@ckm@n · Answer

fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.


&#9654 Télécharge ici :

Malwarebytes  

&#9654 Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

relance malwarebytes en suivant scrupuleusement ces consignes :

! Déconnecte toi et ferme toutes applications en cours !

&#9654 Lance Malwarebyte's .

Fais un examen dit "Complet" .

&#9654 Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
&#9654 à la fin tu cliques sur "résultat" .
&#9654 Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

&#9654 Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !


&#9654 Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

g3n-h@ckm@n · Answer

magnifique des soucis persistent ?

g3n-h@ckm@n · Answer

le menage

 https://gen-hackman.kanak.fr/#1037

KiTe37 · Answer

merci beaucoup d'avoir pris le temps de me dépanner :)

g3n-h@ckm@n · Answer

:)