Smileycore.dll Résolu

Question

Bonjour, 

Voilà mon soucis. Avast a détecter un fichier menaçant nommé Smileycore.dll
Je n'arrive pas à m'en débarrasser, quelqu'un connait-il la marche à suivre ?
Je suis sous Win7 64bits. 

Merci d'avance! :)

benhabbo · Answer

Essaie avec un anti-malware tel que Malwarebytes'.

juju666 · Answer

Salut envoie-la sur https://www.virustotal.com/gui/ 

Et colle le lien obtenu dans ta barre d'adresse après l'analyse, dans ta prochaine réponse

Je pense que c'est un faux positif mais ... virustotal le confirmera

igzee · Answer

J'ai oublié de préciser que le "virus" est dans un fichier nommé FFToolbar.xpi, que j'ai réussi à déplacer à la racine de C:/ dans un dossier isolé.

juju666 · Answer

Bah ouais c'est un adware

&#9654 Télécharge sur cette page: AdwCleaner (de Xplode) 

&#9654 Lance-le

clique sur Suppression et patiente le temps du nettoyage.

&#9654 Poste le contenu du rapport que tu trouveras dans ton disque dur c:\ADwcleaner[Sx].txt ou son contenu s'il s'ouvre.

juju666 · Answer

Nous n'avons pas terminé, c'est normal !!!

&#9654 Télécharge et installe Malwarebytes' Anti-Malware (MBAM). 

&#9654 Exécute-le. Accepte la mise à jour.



&#x25CF; Uniquement en cas de problème de mise à jour:

&#x25CF; Télécharger mises à jour manuelles MBAM 

&#x25CF; Exécute le fichier après l'installation de MBAM 



&#9654 Sélectionne "Exécuter un examen complet" 
&#9654 Clique sur "Rechercher" 
&#9654 L'analyse démarre, le scan est relativement long, c'est normal. 

A la fin de l'analyse, un message s'affiche : 

 Citation :

    L'examen s'est terminé normalement. Clique sur 'Afficher les résultats' pour afficher tous les objets trouvés. 

&#9654 Clique sur "Ok" pour poursuivre. Si MBAM n'a rien trouvé, il te le dira aussi. 
&#9654 Ferme tes navigateurs. 
&#9654 Si des malwares ont été détectés, clique sur Afficher les résultats. 
&#9654 Sélectionne tout (ou laisse coché) et clique sur Supprimer la sélection, MBAM va détruire les fichiers et clés de registre et en mettre une copie dans la quarantaine. 
    MBAM va ouvrir le Bloc-notes et y copier le rapport d'analyse : ferme le. 

Si MBAM demande à redémarrer le pc : &#9654  fais-le. 

Au redémarrage, relance MBAM, onglet "Rapport/Logs", copie/colle celui qui correspond à l'analyse effectuée.

igzee · Answer

L'analyse est terminé, il n'a rien trouvé et je n'ai pas eu le choix d'afficher les résultats, il l'a fait tout seul :


Malwarebytes Anti-Malware (Essai) 1.65.0.1400
www.malwarebytes.org

Version de la base de données: v2012.10.09.06

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
K_az :: I-K_AZ-I [administrateur]

Protection: Désactivé

09/10/2012 14:51:44
mbam-log-2012-10-09 (14-51-44).txt

Type d'examen: Examen complet (B:\|C:\|D:\|E:\|I:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 309464
Temps écoulé: 16 minute(s), 44 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)

 
FFToolbar.xpi toujours présent, mais supprimable manuellement. J'ai pas juste à faire ça ??

juju666 · Answer

lol pas grave :)

quand ça sera fini : 

Télécharge ici :OTL

&#9654 enregistre le sur ton Bureau.

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.

&#9654 => Clique ici pour voir la Configuration

&#9654 Copie et colle le contenu de ce qui suit en gras dans la partie inférieure d'OTL "Personnalisation"

/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop 
netsvcs
safebootminimal
safebootnetwork 
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\system32\*.ini
%systemroot%\Tasks\*.*
%systemroot%\system32\Tasks\*.*
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\system32\config\*.exe /s
%systemroot%\system32\*.sys 
HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
CREATERESTOREPOINT 

&#9654 Clic sur Analyse.

A la fin du scan, le Bloc-Notes va s'ouvrir avec le rapport (OTL.txt).

Ce fichier est sur ton Bureau (en général C:\Documents and settings\le_nom_de_ta_session\<Bureau ou Desktop>\OTL.txt)

&#9654&#9654&#9654 NE LE POSTE PAS SUR LE FORUM (il est trop long)

heberge OTL.txt et extra.txt sur FEC Upload et donne les liens obtenus en échange

igzee · Answer

Voilà c'est fait, OTL.txt est dispo sur:
https://forums-fec.be/upload/www/?a=d&i=3502967498

OTL a également créé un fichier Extras.txt, alors je l'ai upload au cas où tu le voudrais aussi :
https://forums-fec.be/upload/www/?a=d&i=7226424633

:)

juju666 · Answer

C'était précisé, et demandé ! ;)

==========================

Avast n'est pas à jour, tu es à la version 5, il est en version 7 !
Désinstalle-le pour le moment.

==========================

C:\aVirus       
C:\Windows	pcsd      

Tu connais ? oO
Y'a quoi dedans ? 

==========================

C:\Windows\expstart.exe
Ce fichier se lance automatiquement via la clé shell. M'étonnerait qu'il soit innofensif ! 

Envoie le sur virustotal.com et colle le lien de la barre d'adresse dans ta prochaine réponse.

==========================

Ton fichier hosts est détourné à des fins malveillantes (par toi pour adobe ... mais également par des malwares). On rétablira ça en même temps.

A+

igzee · Answer

- Avast :
J'ai pourtant bien la version 7 ainsi qu'un abonnement Avast Security Pro.

- C:\aVirus : 
C'est le dossier où j'ai déplacé le fichier FFToolbar.xpi qui contient le fameux Smileycore.dll !

- C:\Windows	pcsd : 
Je sais pas du tout ce que c'est :/

- C:\Windows\expstart.exe :
Je l'ai analysé sur virustotal.com, voilà le lien:
https://www.virustotal.com/gui/file/266a91f025756038826e923dd37106d7da8db54ec0cc7131caac1820416cb30b
 
- Fichiers Host: 
Quels malwares ?

juju666 · Answer

Mouais .... On le vire on verra bien ! ^^

ATTENTION !!! : Script personnalisé pour cette machine uniquement , ne pas reproduire !! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

sur OTL.exe pour le lancer.


&#9654Copie la liste qui se trouve en gras ci-dessous,

&#9654 colle-la dans la zone sous "Personnalisation" :

:OTL
O20 - HKU\S-1-5-21-37497133-3824516631-3797950683-1000 Winlogon: Shell - (expstart.exe) - C:\Windows\expstart.exe ()      
@Alternate Data Stream - 1237 bytes -> C:\Program Files\Common Files\System:2SL60mmh1TuYbRQ99      
@Alternate Data Stream - 1211 bytes -> C:\ProgramData\Microsoft:up3IbL3a5LOBhvGTF5      
@Alternate Data Stream - 1128 bytes -> C:\ProgramData\Microsoft:1pmIrCV8IJf82cuOTn0uLQNfrc5      
@Alternate Data Stream - 1078 bytes -> C:\Program Files\Common Files\Microsoft Shared:W43SQurR4xdK8w728rZ9      

:Files
C:\aVirus
C:\Windows	pcsd
C:\Windows\expstart.exe

:Commands
[EMPTYTEMP]
[RESETHOSTS]

&#9654 Clique sur "Correction" pour lancer la suppression.


&#9654 Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail apres le redemarrage.

igzee · Answer

Voilà c'est fait. Voici le rapport:

All processes killed
========== OTL ==========
Registry value HKEY_USERS\S-1-5-21-37497133-3824516631-3797950683-1000\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell:expstart.exe deleted successfully.
C:\Windows\expstart.exe moved successfully.
ADS C:\Program Files\Common Files\System:2SL60mmh1TuYbRQ99 deleted successfully.
ADS C:\ProgramData\Microsoft:up3IbL3a5LOBhvGTF5 deleted successfully.
ADS C:\ProgramData\Microsoft:1pmIrCV8IJf82cuOTn0uLQNfrc5 deleted successfully.
ADS C:\Program Files\Common Files\Microsoft Shared:W43SQurR4xdK8w728rZ9 deleted successfully.
========== FILES ==========
C:\aVirus folder moved successfully.
C:\Windows	pcsd moved successfully.
File\Folder C:\Windows\expstart.exe not found.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 56519 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: Invité
->Temp folder emptied: 699658 bytes
->Temporary Internet Files folder emptied: 34984166 bytes
->Java cache emptied: 7617522 bytes
->FireFox cache emptied: 29489462 bytes
->Flash cache emptied: 1066 bytes
 
User: K_az
->Temp folder emptied: 95786392 bytes
->Temporary Internet Files folder emptied: 189936060 bytes
->Java cache emptied: 6179003 bytes
->FireFox cache emptied: 55246964 bytes
->Google Chrome cache emptied: 332142020 bytes
->Apple Safari cache emptied: 0 bytes
->Flash cache emptied: 1931269 bytes
 
User: Public
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 557056 bytes
%systemroot%\System32 .tmp files removed: 6660160 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 1631833 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 85347 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 728,00 mb
 
C:\Windows\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully
 
OTL by OldTimer - Version 3.2.69.0 log created on 10102012_134619

Files\Folders moved on Reboot...
C:\Users\K_az\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
File move failed. C:\Windows	emp\_avast_\Webshlock.txt scheduled to be moved on reboot.

PendingFileRenameOperations files...

Registry entries deleted on Reboot...


Par contre, ça a réintialisé mon host et ça craint, parce que je me retrouve avec de la pub dans msn...

juju666 · Answer

Pour la pub dans MSN, c'est quelle version ? Y'a un patch que j'utilise qui permet de l'enlever, en plus t'as plus le bandeau dans le bas ainsi ;)

________________________________________________

Reste le ménage à faire:  https://forums-fec.be/entraide/viewtopic.php?f=11&t=229

igzee · Answer

T'en fait pas pour la pub j'ai déjà rectifié :) 
J'ai juste une pub texte en bas de mes fenêtres de conversation que j'arrive pas à virer :/

Je suis en train de faire le ménage d'après ton lien! :)

Sinon, je te remercie fortement de ton aide. C'est sympa de trouver des Docteur House de l'informatique pour nous aider quand on en a besoin! ( Enfin sauf que tu m'as pas traité comme House l'aurait fait :D ) J'espère pouvoir te renvoyer l'ascenseur d'une manière ou d'une autre! ;)

juju666 · Answer

Hum, c'est MSN 2011 quoi ? 

TuneUp => Poubelle, ça detroy le pc ça améliore pas ses perf'

igzee · Answer

Oui c'est la version 2011.

En quoi ça destroy le pc ?

juju666 · Answer

Tiens, prends ça : http://apatch.org/downloads/ (A-Patch for Windows Live Messenger 2011 (15)) 

Voir : https://forum.malekal.com/viewtopic.php?t=26069&start= 

C.F. : § Effet Marketting et réels effets des nettoyeurs  

Extrait : 

Oubliez nettoyeur = PC plus rapides, à la limite un nettoyeur comme CCleaner peut s'avérer utile pour entretenir son PC propre en le passant de temps en temps, une fois par mois et encore!
  
 .::. Contributeur Sécurité .::.

Smileycore.dll

17 réponses

Newsletters