Supprimer Virus Form1Résolu/Fermé

Question

Bonjour, 

J'ai remarqué qu'une fenêtre appelée "Form 1" apparaissait au démarrage de l'ordinateur. Je suis sous windows XP et j'ai pu lire sur des forums qu'il s'agirait d'un logiciel malveillant. 
J'y ai d'ailleurs vu qu'il fallait faire un scan avec des logiciels tels ZHPDiag ou OTL, mais étant donné que je ne m'y connais pas trop. J'ai vraiment besoin de votre aide pour m'en débarrasser ! 

Merci d'avance !

Configuration: Windows XP / Chrome 23.0.1271.64

Malekal_morte- · Answer

Salut,

Télécharge et installe Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Mets le à jour, fais un scan rapide, supprime tout et poste le rapport ici.  
!!! Malwarebyte doit être à jour avant de faire le scan !!! 
Supprime bien ce qui est détecté : bouton supprimer sélection.


puis OTL avec le script :

Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/    

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.    
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)    

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL    
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :    



netsvcs   
msconfig   
safebootminimal   
safebootnetwork   
activex   
drivers32   
%ALLUSERSPROFILE%\Application Data\*.   
%ALLUSERSPROFILE%\Application Data\*.exe /s   
%APPDATA%\*.   
%APPDATA%\*.exe /s   
%temp%\.exe /s   
%SYSTEMDRIVE%\*.exe   
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles   
%systemroot%\Tasks\*.job /lockedfiles   
%systemroot%\system32\drivers\*.sys /lockedfiles   
%systemroot%\System32\config\*.sav   
/md5start   
explorer.exe   
winlogon.exe   
wininit.exe   
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
CREATERESTOREPOINT   
nslookup www.google.fr /c   
SAVEMBR:0   
hklm\software\clients\startmenuinternet|command /rs   
hklm\software\clients\startmenuinternet|command /64 /rs    



* Clique sur le bouton Analyse.

NE PAS COPIER/COLLER LE RAPPORT ICI - LIRE JUSQU'AU BOUT
* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent), donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message.

Loic_18 · Answer

OK, merci à vous. je vous envoie tous les rapports dès que c'est terminé !

Loic_18 · Answer

Bonsoir,   
ça été vraiment long. J'ai appliqué la procédure.  
Voici tous les rapports :   
- OTL.txt  
https://pjjoint.malekal.com/files.php?id=20121116_p7v88b6i9  

- EXTRAS.txt  
https://pjjoint.malekal.com/files.php?id=20121116_u156r15o15u11  

- Malwarebytes  
https://pjjoint.malekal.com/files.php?id=20121116_y14z5h7d15x6

Je reste à  l'écoute. Merci !

Malekal_morte- · Answer

Envoi C:\Program Files\Fichiers communs\alq.exe
sur http://upload.malekal.com


Relance OTL. 
o sous Persfonnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:  

:OTL
IE - HKU\S-1-5-21-2025429265-1897051121-839522115-1004\..\SearchScopes\{0D7562AE-8EF6-416d-A838-AB665251703A}: "URL" = http://start.facemoods.com/?a=ddrnw&s={searchTerms}&f=4
IE - HKU\S-1-5-21-2025429265-1897051121-839522115-1004\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = http://search.babylon.com/?q={searchTerms}&affID=113480&tt=3312_5&babsrc=SP_ss&mntrId=4461a4ea0000000000000014a511ec7d
IE - HKU\S-1-5-21-2025429265-1897051121-839522115-1004\..\SearchScopes\{3CC638EF-FDD1-4AEE-9546-33BB4AA310CF}: "URL" = http://www.search.ask.com/?l=dis{searchTerms}&locale=&apn_ptnrs=RX&apn_dtid=YYYYYYYYCI&apn_uid=25357806-3364-4289-a526-40ff217bc4a2&apn_sauid=8C4458B3-6520-4B81-943B-BEFD711A381B
IE - HKU\S-1-5-21-2025429265-1897051121-839522115-1004\..\SearchScopes\{69ABAE4C-47BC-4EAD-A2B3-ED08ED617830}: "URL" = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=ct3135048
IE - HKU\S-1-5-21-2025429265-1897051121-839522115-1004\..\SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233}: "URL" = https://isearch.avg.com/?cid={1B0A8917-9683-4273-942B-4BBD1134581E}&mid=b42b5992af04dfad9f47bf88956a2ea3-7c6fd10da74ce68573e689d356d64e3a335f51bc&lang=fr&ds=AVG&pr=pr&d=2012-08-17 17:03:19&v=12.2.0.5&sap=dsp&q={searchTerms}
IE - HKU\S-1-5-21-2025429265-1897051121-839522115-1004\..\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2406}: "URL" = http://www1.search-results.com/web?l=dis&q=&o=APN10645&apn_dtid=%5EBND406%5EYY%5EFR&shad=s_0043&gct=ds&apn_ptnrs=%5EAG6&d=406-0&lang=en&atb=sysid%3D406%3Auid%3Dde089e6e07e8c7e0%3Asrc%3Dieb%3Ao%3DAPN10645%3Atg%3D&p2=%5EAG6%5EBND406%5EYY%5EFR{searchTerms}
IE - HKU\S-1-5-21-2025429265-1897051121-839522115-1004\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT3045275
FF - prefs.js..browser.search.defaultengine: "Ask.com"
FF - prefs.js..browser.search.defaultenginename: "AVG Secure Search"
FF - prefs.js..browser.search.order.1: "Search the web (Babylon)"
FF - prefs.js..browser.startup.homepage: "about:home"
FF - prefs.js..keyword.URL: "http://search.babylon.com/?affID=113480&tt=3312_5&babsrc=KW_ss&mntrId=4461a4ea0000000000000014a511ec7d&q="
[2012/10/06 23:49:58 | 000,000,000 | ---D | M] (Complitly - Speed up your search with your personal search suggestions tool) -- C:\Documents and Settings\ADJOBY Marc\Application Data\Mozilla\Firefox\Profiles\hznq920j.default\extensions\{33e0daa6-3af3-d8b5-6752-10e949c61516}
CHR - plugin: 2YourFace Util (Enabled) = C:\Documents and Settings\ADJOBY Marc\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\lmblfngognklgemafekefcdjcnkdhmdm\1.0_0\2YourFace_Util.dll
[2009/07/29 22:07:16 | 000,031,232 | ---- | C] () -- C:\Program Files\Fichiers communs\alq.exe
O4 - HKLM..\Run: [Application Layer Gateway] C:\Program Files\Fichiers communs\alq.exe ()

~~

T'avais isntallé Babylon Toolbar et Compltly


Attention à ce que tu installes :
Des logiciels additionnels sont proposés (barre d'outils, adwares) via l'installation de logiciel gratuit en général ou via certains sites de téléchargement comme Softonic ou 01Net.
L'éditeur touche de l'argent à chaque installation réussie de ces programmes additionnels (un genre de sponsoring), ton PC se retrouve avec des barres d'outils qui ralentissent le navigateur ou des adwares qui ouvrent des popups de publicités.
Les barres d'outils sont là pour t'affilier à un service (moteur de recherche de Yahoo! ou Google), ça rajoute des fonctionnalités mais en général les navigateurs les ont par défaut.        
De plus, elles enregistrent les sites que tu visites pour les transmettre (tracking) à faire de la publicité ciblée, c'est pas super niveau protection de la vie privée.       
Plusieurs toolbars ralentissent le PC et peuvent faire planter les navigateurs WEB.        
Au final, il est pas conseillé d'en utiliser.

Enfin l'accumulation de ces programmes ralentissent l'ordinateur/navigateur WEB.

Ces programmes additionnels sont proposées à l'installation de programmes et très souvent ces ajouts sont précochés. C'est notamment le cas sur 01net et Softonic qu'ils est conseillé d'éviter comme sites de téléchargement.
Dès lors, lorsque tu installes un programme, lis bien ce qui est proposé car tu risques d'installer des barres d'outils sans le savoir.


Lire Les PUPs/LPIs : https://www.malekal.com/adwares-pup-protection/

Tu peux installer ce programme pour filtrer ces PUPs/Adwares les plus fréquents avec HOSTS Anti-PUPs/Adwares : http://www.malekal.com/2012/01/10/hosts-anti-pupsadware/


* redemarre le pc sous windows et poste le rapport ici

Loic_18 · Answer

Bonsoir, 

voilà le rapport :

========== OTL ==========
Registry key HKEY_USERS\S-1-5-21-2025429265-1897051121-839522115-1004\Software\Microsoft\Internet Explorer\SearchScopes\{0D7562AE-8EF6-416d-A838-AB665251703A}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0D7562AE-8EF6-416d-A838-AB665251703A}\ not found.
Registry key HKEY_USERS\S-1-5-21-2025429265-1897051121-839522115-1004\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}\ not found.
Registry key HKEY_USERS\S-1-5-21-2025429265-1897051121-839522115-1004\Software\Microsoft\Internet Explorer\SearchScopes\{3CC638EF-FDD1-4AEE-9546-33BB4AA310CF}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{3CC638EF-FDD1-4AEE-9546-33BB4AA310CF}\ not found.
Registry key HKEY_USERS\S-1-5-21-2025429265-1897051121-839522115-1004\Software\Microsoft\Internet Explorer\SearchScopes\{69ABAE4C-47BC-4EAD-A2B3-ED08ED617830}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{69ABAE4C-47BC-4EAD-A2B3-ED08ED617830}\ not found.
Registry key HKEY_USERS\S-1-5-21-2025429265-1897051121-839522115-1004\Software\Microsoft\Internet Explorer\SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{95B7759C-8C7F-4BF1-B163-73684A933233}\ not found.
Registry key HKEY_USERS\S-1-5-21-2025429265-1897051121-839522115-1004\Software\Microsoft\Internet Explorer\SearchScopes\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2406}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9BB47C17-9C68-4BB3-B188-DD9AF0FD2406}\ not found.
Registry key HKEY_USERS\S-1-5-21-2025429265-1897051121-839522115-1004\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{afdbddaa-5d3f-42ee-b79c-185a7020515b}\ not found.
Prefs.js: "Ask.com" removed from browser.search.defaultengine
Prefs.js: "AVG Secure Search" removed from browser.search.defaultenginename
Prefs.js: "Search the web (Babylon)" removed from browser.search.order.1
Prefs.js: "about:home" removed from browser.startup.homepage
Prefs.js: "http://search.babylon.com/?affID=113480&tt=3312_5&babsrc=KW_ss&mntrId=4461a4ea0000000000000014a511ec7d&q=" removed from keyword.URL
C:\Documents and Settings\ADJOBY Marc\Application Data\Mozilla\Firefox\Profiles\hznq920j.default\extensions\{33e0daa6-3af3-d8b5-6752-10e949c61516}\defaults\preferences folder moved successfully.
C:\Documents and Settings\ADJOBY Marc\Application Data\Mozilla\Firefox\Profiles\hznq920j.default\extensions\{33e0daa6-3af3-d8b5-6752-10e949c61516}\defaults folder moved successfully.
C:\Documents and Settings\ADJOBY Marc\Application Data\Mozilla\Firefox\Profiles\hznq920j.default\extensions\{33e0daa6-3af3-d8b5-6752-10e949c61516}\chrome\content folder moved successfully.
C:\Documents and Settings\ADJOBY Marc\Application Data\Mozilla\Firefox\Profiles\hznq920j.default\extensions\{33e0daa6-3af3-d8b5-6752-10e949c61516}\chrome folder moved successfully.
C:\Documents and Settings\ADJOBY Marc\Application Data\Mozilla\Firefox\Profiles\hznq920j.default\extensions\{33e0daa6-3af3-d8b5-6752-10e949c61516} folder moved successfully.
File C:\Documents and Settings\ADJOBY Marc\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\lmblfngognklgemafekefcdjcnkdhmdm\1.0_0\2YourFace_Util.dll not found.
C:\Program Files\Fichiers communs\alq.exe moved successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Application Layer Gateway deleted successfully.
File C:\Program Files\Fichiers communs\alq.exe not found.
 
OTL by OldTimer - Version 3.2.69.0 log created on 11162012_183455

Malekal_morte- · Answer

Ca roule ? plus de form1 ?

Loic_18 · Answer

Oui, merci. ça roule. 
J'ai remarqué qu'il n'était plus là au redémarrage et aussi  que le fichier alq.exe avait disparu. Merci encore pour votre aide.

Malekal_morte- · Answer

Sécurise ton PC !

Important - ton infection est venue par un exploit sur site web :   

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.  
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.  
Exemple avec : Exploit Java  

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash : 
/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite     
https://forum.malekal.com/viewtopic.php?t=15960&start=  

Passe le mot à tes amis ! 

~~

Filtrer les PUPs/Adwares les plus fréquents avec HOSTS Anti-PUPs/Adwares : http://www.malekal.com/2012/01/10/hosts-anti-pupsadware/

~~

Le reste de la sécurité : http://forum.malekal.com/comment-securiser-son-ordinateur.html

Loic_18 · Answer

Vraiment Merci. Je vais lancer les mises à jour de ce pas !

Supprimer Virus Form1

9 réponses

Discussions similaires

Newsletters