analyse complète ordi

Question

Bonjour, 
Je sais que mon ordinateur est infecté, j'ai déjà supprimé des logiciels espions du type babylon, mais j'aimerais que l'analyse soit plus poussée.
Pourriez vous m'aider???
Par avance merci


Configuration: Windows 7 / Chrome 23.0.1271.97

g3n-h@ckm@n · Answer

salut

Télécharge et enregistre ADWCleaner sur ton bureau :

Lance le,(Pour vista/7/8 => clic droit "executer en tant qu'administrateur")

clique sur suppression et poste C:\Adwcleaner[Sx].txt

touptigus · Answer

merci, je l'avais déjà fait, voici le rapport :
# AdwCleaner v2.104 - Rapport créé le 06/01/2013 à 22:45:57
# Mis à jour le 29/12/2012 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : darty - DARTY-PC
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\darty\Downloads\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Program Files (x86)\DealPly
Dossier Supprimé : C:\ProgramData\Babylon
Dossier Supprimé : C:\ProgramData\boost_interprocess
Dossier Supprimé : C:\Users\darty\AppData\Local\Google\Chrome\User Data\Default\Extensions\gaiilaahiahdejapggenmdmafpmbipje
Dossier Supprimé : C:\Users\darty\AppData\LocalLow\BabylonToolbar
Dossier Supprimé : C:\Users\darty\AppData\Roaming\Babylon
Dossier Supprimé : C:\Users\darty\AppData\Roaming\OfferBox
Fichier Supprimé : C:\Program Files (x86)\Mozilla Firefox\searchplugins\babylon.xml
Fichier Supprimé : C:\user.js

***** [Registre] *****

Clé Supprimée : HKCU\Software\BabylonToolbar
Clé Supprimée : HKCU\Software\Google\Chrome\Extensions\gaiilaahiahdejapggenmdmafpmbipje
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{2EECD738-5844-4A99-B4B6-146BF802613B}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{98889811-442D-49DD-99D7-DC866BE87DBC}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{2EECD738-5844-4A99-B4B6-146BF802613B}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{98889811-442D-49DD-99D7-DC866BE87DBC}
Clé Supprimée : HKCU\Software\Offerbox
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4D79-A620-CCE0C0A66CC9}
Clé Supprimée : HKLM\Software\Babylon
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4EAF-B541-F8DE92DD98DB}
Clé Supprimée : HKLM\SOFTWARE\Classes\Prod.cap
Clé Supprimée : HKLM\Software\DealPly
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\MyBabylontb_RASAPI32
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\MyBabylontb_RASMANCS
Clé Supprimée : HKLM\Software\Offerbox
Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Google\Chrome\Extensions\gaiilaahiahdejapggenmdmafpmbipje

***** [Navigateurs] *****

-\ Internet Explorer v8.0.7601.17514

Remplacé : [HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURls - Tabs] = hxxp://search.babylon.com/?affID=115284&tt=3612_6&babsrc=NT_ss&mntrId=38c5a5e700000000000018f46a35f7a6 --> hxxp://www.google.com

-\ Google Chrome v23.0.1271.97

Fichier : C:\Users\darty\AppData\Local\Google\Chrome\User Data\Default\Preferences

Supprimée [l.8] : homepage = "hxxp://search.babylon.com/?affID=115284&tt=3612_6&babsrc=HP_ss&mntrId=38c5a5e7000[...]
Supprimée [l.12] : urls_to_restore_on_startup = [ "hxxp://search.babylon.com/?affID=115284&tt=3612_6&babsrc=H[...]
Supprimée [l.1480] : homepage = "hxxp://search.babylon.com/?affID=115284&tt=3612_6&babsrc=HP_ss&mntrId=38c5a5e7000000[...]
Supprimée [l.1783] : urls_to_restore_on_startup = [ "hxxp://search.babylon.com/?affID=115284&tt=3612_6&babsrc=HP_s[...]

*************************

AdwCleaner[R1].txt - [3475 octets] - [06/01/2013 22:42:41]
AdwCleaner[R2].txt - [3535 octets] - [06/01/2013 22:45:31]
AdwCleaner[S2].txt - [3268 octets] - [06/01/2013 22:45:57]

########## EOF - C:\AdwCleaner[S2].txt - [3328 octets] ##########

g3n-h@ckm@n · Answer

tous les processus "non vitaux de windows" vont être coupés , enregistre ton travail. Il y aura une extinction du bureau pendant le scan --> pas de panique.

Désactive toutes tes protections si possible , antivirus , sandbox , pare-feux , etc....: https://forum.pcastuces.com/default.asp

telecharge et enregistre Pre_Scan sur ton bureau :

https://forums-fec.be/gen-hackman/Pre_Scan.exe

si le lien ne fonctionne pas :

http://www.archive-host.com

si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Scan|Kill"

si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

https://forums-fec.be/gen-hackman/Pre_Scan.pif

si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

Il se peut que des fenêtres noires clignotent , laisse-le travailler.

Laisse l'outil redemarrer ton pc.

Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra à la racine de ton disque système ( généralement C:\ )

NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

Heberge le rapport sur https://www.cjoint.com/ puis donne le lien obtenu en echange sur le forum où tu te fais aider

touptigus · Answer

voilà :
https://www.cjoint.com/c/CAhaF3XrhbV

g3n-h@ckm@n · Answer

ok relance l'outil , clique sur diag et heberge le rapport pre_diag et donne le lien

touptigus · Answer

voila (encore):
https://www.cjoint.com/c/CAha7n0b0aw

g3n-h@ckm@n · Answer

desinstalle esobi
desinstalle driver wiz
 
 ====

tu as utilisé Malwarebytes ?

====

&#9654 Télécharge ici : Ad-remover sur ton bureau : 

&#9654 ferme toutes fenetres ! 

si tu as XP => double clique
si tu as Vista ou windows 7 => clic droit "executer en tant que...." 

&#9654 sur "Ad-R.exe" pour l'installer et ne touche pas aux parametres

&#9654 clique le raccourci Ad-remover qui est sur ton bureau pour lancer l'outil .
 
&#9654 choisis "option Nettoyer" et tape sur [entrée] .

&#9654 Laisse travailler l'outil et ne touche à rien ... 

&#9654 Poste le rapport C:\Ad-report.log qui apparait à la fin , sur le forum ...

touptigus · Answer

bonjour, merci pour ton aide. 
je n'ai pas trouvé driver wiz

j'avais lancé un scan de antimalware bytes, mais ça n'avais rien donné.

voici le rapport de ADcleaner:

======= RAPPORT D'AD-REMOVER 2.0.0.2,G | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par TeamXscript le 12/04/11
Contact: AdRemover[DOT]contact[AT]gmail[DOT]com
Site web: http://www.teamxscript.org

C:\Program Files (x86)\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 09:02:24 le 07/01/2013, Mode normal

Microsoft Windows 7 Édition Familiale Premium  Service Pack 1 (X64) 
darty@DARTY-PC (Acer Aspire 5736Z) 
 
============== ACTION(S) ==============



(!) -- Fichiers temporaires supprimés.




============== SCAN ADDITIONNEL ==============

**** Internet Explorer Version [8.0.7601.17514] ****

HKCU_Main|Default_Page_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
HKCU_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKCU_Main|Search bar - hxxp://go.microsoft.com/fwlink/?linkid=54896
HKCU_Main|Start Page - hxxp://fr.msn.com/
HKLM_Main|Default_Page_URL - hxxp://go.microsoft.com/fwlink/?LinkId=54896
HKLM_Main|Default_Search_URL - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Search bar - hxxp://search.msn.com/spbasic.htm
HKLM_Main|Search Page - hxxp://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
HKLM_Main|Start Page - hxxp://fr.msn.com/
HKLM_Toolbar|{265EEE8E-3228-44D3-AEA5-F7FDF5860049} (C:\Program Files (x86)\DartyBox Sécurité\NRS\iescript\baselitmus.dll)
HKLM_ElevationPolicy\{07d873dc-b9b9-44f5-af0b-fb59fa54fb7a} - C:\Windows\SysWOW64\wpcer.exe (x)
HKLM_ElevationPolicy\{0a402d70-1f10-4ae7-bec9-286a98240695} - C:\Windows\SysWOW64\winfxdocobj.exe (x)
HKLM_ElevationPolicy\{44D1B085-E495-4b5f-9EE6-34795C46E7E7} - C:\Program Files (x86)\Java\jre7\bin\jp2launcher.exe (Oracle Corporation)
HKLM_ElevationPolicy\{5852F5ED-8BF4-11D4-A245-0080C6F74284} - C:\Program Files (x86)\Java\jre7\bin\javaws.exe (Oracle Corporation)
HKLM_ElevationPolicy\{70f641fd-9ffc-4d5b-a4dc-962af4ed7999} - C:\Program Files (x86)\Internet Explorer\iedw.exe (x)
HKLM_ElevationPolicy\{A6E2003F-95C5-4591-BA9A-0093080FDB5C} - C:\Program Files (x86)\Common Files\Oberon Media\OberonBroker\1.0.0.63\OberonBroker.exe (?)
HKLM_ElevationPolicy\{B43A0C1E-B63F-4691-B68F-CD807A45DA01} - C:\Windows\system32\TSWbPrxy.exe (x)
HKLM_ElevationPolicy\{C8FE2181-CAE7-49EE-9B04-DB7EB4DA544A} - C:\Program Files (x86)\Java\jre7\bin\ssvagent.exe (Oracle Corporation)
HKLM_Extensions\{22CC3EBD-C286-43aa-B8E6-06B115F74162} - "HP Smart Print" (C:\Program Files (x86)\Hewlett-Packard\SmartPrint\smartprint.ico)
BHO\{C6867EB7-8350-4856-877F-93CF8AE3DC9C} - "Browsing Protection Class" (C:\Program Files (x86)\DartyBox Sécurité\NRS\iescript\baselitmus.dll)

========================================

C:\Program Files (x86)\Ad-Remover\Quarantine: 0 Fichier(s)
C:\Program Files (x86)\Ad-Remover\Backup: 15 Fichier(s)

g3n-h@ckm@n · Answer

ok refais un diag avec pre_scan stp

touptigus · Answer

voici :
https://www.cjoint.com/c/CAhmjyRxfw1

g3n-h@ckm@n · Answer

Attention !!! pense à re-désactiver tes protections

Clique sur ce lien : https://www.cjoint.com/c/CAhnT7V4NZw

Selectionne tout le texte qui s'y trouve CTRL+A puis CTRL+C ou clic droit/copier

Relance Pre_scan puis choisis l'option "Script"

une page va s'ouvrir

logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille 

poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail

Analyse complète ordi

11 réponses

Votre réponse

Discussions similaires

Newsletters