Infesté par system progressive protection

Bonjour,

Effectivement le rogue (system progressive) n'était pas seul (ZAccess)..., fais ce qui suit:

Attention : Le logiciel qui suit peut faire des dégâts en cas de mauvaise utilisation ! Désactive tous tes logiciels de protection avant de l'utiliser.

¶ Télécharge ComboFix (de sUBs) sur ton Bureau.
¶ Double-clique sur ComboFix.exe afin de le lancer.
¶ Si tu es sous Windows XP, il va te demander d'installer la console de récupération : tu dois absolument accepter.
¶ Ne touche à rien pendant le scan.
¶ Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse.

Tutoriel officiel de Combofix : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

"Celui qui aime à apprendre est bien près du savoir" (Confucius)

/!\ Attention : Cette procédure n'est valable que pour xafest /!\

*Ouvre le bloc-note ( Menu démarrer -> Programmes -> Accessoires -> Bloc-Note )
*Copie/Colle le texte ci-dessous dans le bloc-note :
_____________________________________________________________________

ClearJavaCache::
KillAll::
File::
c:\documents and settings\drUninst.exe      
Firefox::
FF - prefs.js: keyword.URL - hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT2851639&SearchSource=2&q=    
FF - ExtSQL: 2012-11-18 21:21; {05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}; c:\documents and settings\Christelle\Application Data\Mozilla\Firefox\Profiles\85wmewrv.default\extensions\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e} 
FF - user.js: keyword.URL - hxxp://redirecterror.sfr.fr/?q=    

_____________________________________________________________________

*Enregistre ce fichier sur le bureau en le nommant CFScript.txt (pas autrement !)
*Fais glisser le fichier CFScript.txt sur Combofix.exe

Aide en image

*Combofix va se lancer. Patiente pendant le scan puis poste le contenu du rapport qui s'ouvrira dans ta prochaine réponse.
*Note : Le fichier est enregistré sous C:\Combofix.txt

Nous allons procéder à de plus amples investigations, fais ce qui suit dans l'ordre:

*Télécharger sur le bureau RogueKiller (par tigzy)
*Quitter tous les programmes en cours
*Lancer RogueKiller.exe
* Attendre la fin du Prescan ...
*Cliquer sur Host RAZ
*Cliquer sur Rapport et copier coller le contenu du notepad dans ta réponse
Pour t'aider

*Télécharger Malwarebytes Anti-Rootkit Ici
*Décompresser le contenu du dossier dans un emplacement idéal.
*Ouvrir le dossier où le contenu a été décompressé et exécutez mbar.exe (Vista/7 exécuter en tant qu'administrateur)
*Suivre les instructions de l'assistant pour faire la mise à jour ensuite cliquer sur [Scan].
*Cliquer sur le bouton Nettoyage pour supprimer toutes les menaces et redémarrer si vous êtes invité à le faire.
*Attendre que le système s'arrête pour que le processus de nettoyage soit terminé.
*Effectuez une deuxième analyse avec Malwarebytes Anti-Rootkit pour vérifier qu'aucune menaces demeurent. Si c'est le cas, cliquez sur Nettoyage et répétez l'opération.
*Lorsque terminé, s'il vous plaît envoyer les deux rapports qui se trouvent dans MBAR dossier ..... mbar-log.txt et du système log.txt

Il y a du mieux, maintenant on va faire le ménage :)

Téléchargez RstHosts sur votre bureau.
Lancez-le et appuiez sur [Restaurer].
Un message vous indiquera la réussite de l'opération, cliquez sur [OK] puis cliquez sur [Créer un rapport].

Note : Le rapport est également sauvegardé à la racine du disque dur (C:\RstHosts.txt)

--------------

Utilise cet outil de désinfection spécifique aux logiciels publicitaires :

*Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.
*Lance le puis clique sur [Suppression]. Sauvegarde tout travail en cours puis accepte la fermeture des programmes en cours d'exécution.
*Patiente le temps du nettoyage.
*Une fois le scan fini, il te sera proposé de redémarrer.
*Au redémarrage du PC, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.
*Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

Bonjour,

Ceci:

System drive C: has 3 GB (2%) free of 117 GB    => Seuil critique dépassé  

Il faudra penser à faire de la place en désinstallant les programmes/logiciels que tu n'utilise plus ou peu.
----------------

1) Ce script va cibler certains éléments à supprimer :
________________________________________________________________

SysRestore
O42 - Logiciel: neroxml - (.Nero AG.) [HKLM] -- {56C049BE-79E9-4502-BEA7-9754A3E60F9B}
[HKCU\Software\YahooPartnerToolbar]
[HKLM\Software\BrowserChoice]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}]
[HKLM\Software\Classes\CLSID\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}]
[HKLM\Software\Google\Chrome\Extensions\elhjaoldnkkbifioodjndkijecdeinld]
[HKLM\Software\Google\Chrome\Extensions\paoponfhfdfnjgddpnpjkambkcgdaaib]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{56C049BE-79E9-4502-BEA7-9754A3E60F9B}]
[HKLM\Software\Classes\NeroSearch.NeroSearchQuerySourceSettings]
[HKLM\Software\Classes\NMSearch.NMSearchQueryConfigManager]
[HKLM\Software\Classes\NMSearch.NMSearchQuerySyntaxTree]
EmptyFlash
FirewallRaz
EmptyTemp

________________________________________________________________

¶ Sélectionne le script ci-dessus en entier et copie le (Édition --> Copier)
¶ Lance ZHPFix à partir du raccourci sur ton Bureau
¶ Clique sur l'icône représentant le presse-papier (« coller le presse-papier »)
¶ Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
>>les lignes ci-dessus sont celles qui doivent apparaître dans la fenêtre de ZHPFix. Si ce n'est pas le cas, ne surtout pas cliquer sur le bouton GO. Il faut veiller à bien copier les lignes<<
¶ Clique sur le bouton « GO » pour lancer le nettoyage,
¶ Copie/colle la totalité du rapport dans ta prochaine réponse
Pour t'aider

2) Mise à jour:
*Désinstalle via Ajout/suppression programmes:
-Adobe Reader X
-Java 6 Update 20
-Java 6 Update 35

*Télécharge et installe:
-Java 7 Update 10 (si proposé "décoche" la barre Ask)
-Adobe Reader XI

*Sécuriser ses navigateurs :
Si ce n'est pas déjà fait, installe Wot sur tes navigateurs :
https://chrome.google.com/webstore/detail/wot-web-of-trust-website/bhmmomiinigofkjcapegjjndpbikblnp
-Adblock plus > Firefox > Chrome

Lire: L'importance de maintenir à jour son PC

3) Redémarre l'ordinateur et refais une analyse de contrôle ZHPDiag (héberge le rapport), et dis moi dans ta prochaine réponse comment fonctionne le PC.

Ce script va cibler certains éléments à supprimer :

¶ Ouvre ce lien, sélectionne le script en entier et copie le (Édition --> Copier)
¶ Lance ZHPFix à partir du raccourci sur ton Bureau
¶ Clique sur l'icône représentant le presse-papier (« coller le presse-papier »)
¶ Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
>>les lignes ci-dessus sont celles qui doivent apparaître dans la fenêtre de ZHPFix. Si ce n'est pas le cas, ne surtout pas cliquer sur le bouton GO. Il faut veiller à bien copier les lignes<<
¶ Clique sur le bouton « GO » pour lancer le nettoyage,
¶ Copie/colle la totalité du rapport dans ta prochaine réponse
Pour t'aider

*Quand l'outil aura terminé, fais redémarrer le PC.

Bonsoir,

Nous allons lancer une analyse en ligne de ton ordinateur :

* Rends toi sur cette page.
* Clique sur "Lancer ESET Online Scanner".
* Laisse toi guider pour installer les éléments nécessaires au lancement de l'analyse.
* Poste le rapport qui apparaitra à la fin de l'analyse.

Bonsoir,

Non ton PC est clean, on termine :)
__________________________________________________________________

1) Vacciner les supports amovibles :
*Télécharge MKV (créé par El Desaparecido) sur ton Bureau.
*Si ton antivirus affiche une alerte, ignore-la et désactive l'antivirus temporairement.
*Branche toutes tes sources de données externes à ton PC (clé USB, disque dur externe, etc...) sans les ouvrir.
*Double clique sur MKV.exe.
*Clique sur Vacciner.

2) Il faut supprimer tous les outils que nous avons utilisés : Télécharge DelFix (de Xplode) sur ton Bureau --> Lance le et coche toutes les cases sauf "Effectuer une sauvegarde du registre" --> Clique ensuite sur Exécuter.
* Le rapport sera enregistré dans le presse-papier. Copie/Colle le dans ta prochaine réponse (Ouvre le Bloc-Note et fais Coller pour faire apparaître le rapport).

3) Optimisation :
* Télécharge CCleaner, lance le.
* Clique sur Nettoyeur >> Analyse >> Lancer le nettoyage, puis sur OK dans la fenêtre qui s'affiche.
* Enfin, clique sur Registre >> corrige toutes les erreurs et recommence jusqu'à ce que CCleaner ne trouve plus d'erreurs.

* Télécharge Defraggler. Installe le (décoche l'installation de la barre d'outil Yahoo qui est proposée lors de l'installation) puis lance le.
Ferme tous tes autres programmes, sélectionne ton disque dur et clique sur "Défragmentation rapide".

4) Prévention :
Je te conseille vivement de lire cet article qui t'apportera des informations de prévention et de protection contre les infections (environ 15 minutes de lecture très instructive et utile) : Prévention et sécurité sur internet

5) Précautions :
Fais régulièrement une sauvegarde de tes documents importants sur un support externe (disque dur externe, CD/DVD réinscriptible...)
Ici, nous avons pu désinfecter ton ordinateur, mais ce n'est pas toujours le cas. Certaines infections cryptent les documents et demandent une rançon pour les récupérer, d'autres les modifient pour diffuser des infections, obligeant donc à les effacer... Il faut donc toujours avoir une sauvegarde saine de tes documents, sinon tu risques de les perdre.

Conseils :
-Désinstalles tout ce qui ne te sert pas, ça te fait de l'espace en plus.
-Il est important d'avoir les dernières mises à jour sur ton PC. En effet, celles ci corrigent des failles de sécurité qui peuvent parfois être exploitées par un programme malveillant.
-Garde Malwarebyte's et passe des scans complet de temps en temps, ne pas oublier de le mettre à jour avant un scan.

Bonne lecture et bon courage, n'hésite pas à poser des questions en cas de besoin ;)

PS: J'attends le rapport de DelFix.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\{80b8c23c-16e0-4cd8-bbc3-cecec9a78b79}]
C'est Antivir plus précisément : antivir_workstation_winu_en.exe

Une astuce pour ne plus être embêté avec cette détection :

Ouvre CCleaner, section Options => Exclure => Ajouter une clé du registre, exclure : "{80b8c23c-16e0-4cd8-bbc3-cecec9a78b79}" dans la boîte de dialogue qui s'ouvre et vérifies que HKCR est sélectionné correspondant à "HKEY_CLASSES_ROOT".

Sinon pour le rapport c'est bon ;)
Passer un sujet en résolu

Bonsoir,

Merci de votre aide.

Voici le rapport de Combofix : https://pjjoint.malekal.com/files.php?id=20130110_u7x7v14v7d9

Ca y est, c'est fait.

Et voici le rapport : https://pjjoint.malekal.com/files.php?id=20130110_h5d12l8w9x10

Du chinois pour moi !

Bonjour,

Peux-tu utiliser ce logiciel de diagnostic :

¶ Télécharge ZHPDiag (de Nicolas Coolman)
¶ Lance le (si tu es sous Windows Vista ou Windows 7, fais le par un clic-droit --> Exécuter en tant qu'administrateur)
¶ Laisse toi guider lors de l'installation (pense à cocher la case pour créer un raccourci sur le Bureau)
¶ Il se lancera automatiquement à la fin de l'installation
¶ Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
¶ Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
¶ Rends toi sur ce site, clique sur "Parcourir", sélectionne le rapport de ZHPDiag et clique sur Envoyer le fichier. Patiente pendant l'envoi du fichier, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

Bonjour,

Voilà le lien vers le rapport ZHPDiag : https://pjjoint.malekal.com/files.php?id=ZHPDiag_20130111_j15e14w14n15t15

Merci de votre présence !

Bonsoir,

Voilà donc le rapport de Roguekiller :

RogueKiller V8.4.3 [Jan 10 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : https://www.luanagames.com/index.fr.html
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur : Christelle [Droits d'admin]
Mode : HOSTS RAZ -- Date : 11/01/2013 21:15:21

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 0 ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\WINDOWS\system32\drivers\etc\hosts

127.0.0.1 localhost

216.239.32.20 www.google.ae # bck9

216.239.32.20 www.google.at # bck9

216.239.32.20 www.google.be # bck9

216.239.32.20 www.google.ca # bck9

216.239.32.20 www.google.ch # bck9

216.239.32.20 www.google.cl # bck9

216.239.32.20 www.google.co.il # bck9

216.239.32.20 www.google.co.in # bck9

216.239.32.20 www.google.co.jp # bck9

216.239.32.20 www.google.co.kr # bck9

216.239.32.20 www.google.co.nz # bck9

216.239.32.20 www.google.co.uk # bck9

216.239.32.20 www.google.co.ve # bck9

216.239.32.20 www.google.co.za # bck9

216.239.32.20 www.google.com # bck9

216.239.32.20 www.google.com.ar # bck9

216.239.32.20 www.google.com.au # bck9

216.239.32.20 www.google.com.br # bck9

[...]

¤¤¤ Nouveau fichier HOSTS: ¤¤¤
127.0.0.1 localhost

Termine : << RKreport[4]_H_11012013_211521.txt >>
RKreport[1]_S_10012013_134358.txt ; RKreport[2]_D_10012013_134633.txt ; RKreport[3]_H_11012013_211501.txt ; RKreport[4]_H_11012013_211521.txt

puis ici le 1er rapport de Mbar où il a trouvé un fichier douteux qui est Roguekiller que j'avais renommé winlogon afin de pouvoir l'ouvrir lorsqu'il y avait le virus:

Malwarebytes Anti-Rootkit 1.01.0.1011
www.malwarebytes.org

Database version: v2013.01.11.13

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Christelle :: DOMICILE-98C57F [administrator]

11/01/2013 21:33:45
mbar-log-2013-01-11 (21-33-45).txt

Scan type: Quick scan
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM | P2P
Scan options disabled:
Objects scanned: 26281
Time elapsed: 4 minute(s), 47 second(s)

Memory Processes Detected: 0
(No malicious items detected)

Memory Modules Detected: 0
(No malicious items detected)

Registry Keys Detected: 0
(No malicious items detected)

Registry Values Detected: 0
(No malicious items detected)

Registry Data Items Detected: 0
(No malicious items detected)

Folders Detected: 0
(No malicious items detected)

Files Detected: 1
C:\Documents and Settings\Christelle\Bureau\Winlogon.exe (Heuristics.Reserved.Word.Exploit) -> Delete on reboot.

(end)

Voilà le 2ème rapport après élimination de winlogon :

Malwarebytes Anti-Rootkit 1.01.0.1011
www.malwarebytes.org

Database version: v2013.01.11.13

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Christelle :: DOMICILE-98C57F [administrator]

11/01/2013 21:45:07
mbar-log-2013-01-11 (21-45-07).txt

Scan type: Quick scan
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM | P2P
Scan options disabled:
Objects scanned: 26275
Time elapsed: 4 minute(s), 52 second(s)

Memory Processes Detected: 0
(No malicious items detected)

Memory Modules Detected: 0
(No malicious items detected)

Registry Keys Detected: 0
(No malicious items detected)

Registry Values Detected: 0
(No malicious items detected)

Registry Data Items Detected: 0
(No malicious items detected)

Folders Detected: 0
(No malicious items detected)

Files Detected: 0
(No malicious items detected)

(end)

et enfin le rapport system-log trop long à copier ici donc il est ici : https://pjjoint.malekal.com/files.php?id=20130111_f10b15o12b14b5

merci de ta patience.

Impeccable, tu peux refaire une analyse ZHPDiag, stp (pense à héberger le rapport)

Et voilà !
https://pjjoint.malekal.com/files.php?id=ZHPDiag_20130111_w9r8p9o11p14

Est-ce que ça semble bien ?

Bonjour,

Voici le rapport de RStHosts :
-|x| RstHosts v2.0 - Rapport créé le 12/01/2013 à 07:25:18
-|x| Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
-|x| Nom d'utilisateur : Christelle - DOMICILE-98C57F (Administrateur)

-|x|- Informations -|x|-

Emplacement : C:\WINDOWS\System32\drivers\etc\hosts
Attribut(s) : RASH
Propriétaire : Christelle - DOMICILE-98C57F
Taille : 89 bytes
Date de création : 14/04/2008 - 13:00:00
Date de modification : 12/01/2013 - 07:25:12
Date de dernier accès : 12/01/2013 - 07:25:12

-|x|- Contenu du fichier -|x|-

# Fichier Hosts créé par RstHosts

127.0.0.1 localhost
::1 localhost

-|x|- E.O.F - C:\RstHosts.txt - 638 bytes -|x|-

puis celui d'Adwcleaner ici : http://dl.free.fr/getfile.pl?file=/63zXJ4ke (ca ne marchait pas avec pjjoint)

Bon début de journée,

Bonjour,

1) Utilise ce logiciel de désinfection généraliste :

¶ Télécharge et installe Malwarebytes' Anti-Malware
¶ A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
¶ Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
¶ Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet" puis "Rechercher"
¶ Sélectionne tes disques durs" puis clique sur "Lancer l'examen"
¶ A la fin de l'analyse, clique sur Afficher les résultats
¶ Coche tous les éléments détectés puis clique sur Supprimer la sélection
¶ Enregistre le rapport
¶ S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes
¶ Poste dans ta prochaine réponse le rapport apparaissant après la suppression

2) Fais une nouvelle analyse ZHPDiag (héberge le rapport).

Bonjour,

Voici le rapport de MBAM : https://pjjoint.malekal.com/files.php?id=20130113_k8w7w5g5z11

et celui de ZHPDiag : https://pjjoint.malekal.com/files.php?id=ZHPDiag_20130113_u13w5j13e9m11

Merci pour votre aide et bon dimanche,

Bonsoir,

J'avais bien noté qu'il manquait sérieusement d'espace sur mon disque dur donc je projette l'achat d'un disque dur externe pour stocker mes photos. J'ai quand même supprimé quelques programmes inutilisés.

Voici le rapport de ZHPDiag ensuite : https://pjjoint.malekal.com/files.php?id=ZHPDiag_20130113_g9i9r7k15f12

Bonne fin de journée,