Présence de troyan et autres saletés

Bonjour Malekal_morte,

J'ai bien pensé à mettre à jour et voici le rapport :

Malwarebytes Anti-Malware (Essai) 1.70.0.1100
www.malwarebytes.org

Version de la base de données: v2013.01.27.05

Windows Vista Service Pack 2 x86 NTFS
Internet Explorer 9.0.8112.16421
Nalion :: ORDI [administrateur]

Protection: Activé

27/01/2013 15:11:34
mbam-log-2013-01-27 (15-11-34).txt

Type d'examen: Examen rapide
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 274730
Temps écoulé: 15 minute(s), 17 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 0
(Aucun élément nuisible détecté)

(fin)



Je suis donc tirée d'affaire ?

Ça y est, j'ai fait désinstaller Unity Web Player (je ne savais même pas que j'avais ça...).

Voici le rapport :
# AdwCleaner v2.109 - Rapport créé le 27/01/2013 à 19:47:50
# Mis à jour le 26/01/2013 par Xplode
# Système d'exploitation : Windows Vista (TM) Home Premium Service Pack 2 (32 bits)
# Nom d'utilisateur : Nalion - ORDI
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\Nalion\AppData\Local\Opera\Opera\temporary_downloads\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Users\Nalion\AppData\Local\freetvradio Air
Dossier Supprimé : C:\Users\Nalion\AppData\Roaming\AGI
Dossier Supprimé : C:\Users\Nalion\AppData\Roaming\FissaSearch
Dossier Supprimé : C:\Users\Nalion\AppData\Roaming\freeTVRadio
Dossier Supprimé : C:\Users\Nalion\AppData\Roaming\Mozilla\Firefox\Profiles\cod3xexg.default\extensions\@FissaPlugin
Dossier Supprimé : C:\Users\Nalion\AppData\Roaming\OfferBox
Dossier Supprimé : C:\Windows\Installer\{2C8574B5-6935-4FCE-860E-F4E8602378FF}
Dossier Supprimé : C:\Windows\Installer\{38470B46-9BF1-40AE-A588-F6AD6D1C2D42}
Fichier Supprimé : C:\END
Fichier Supprimé : C:\Users\V.I.P.O ®\Desktop\eBay.lnk

***** [Registre] *****

Clé Supprimée : HKCU\Software\FissaSearch
Clé Supprimée : HKCU\Software\freeTVRadio
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{70D46D94-BF1E-45ED-B567-48701376298E}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{B41306C6-96D0-442A-BCC4-B0F621E82CE9}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{40038D23-8356-413E-95B5-4070C5D042FF}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{4260E0CC-0F75-462E-88A3-1E05C248BF4C}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{6E15D3C4-C6FC-4F02-B130-77CC5B1F09DB}
Clé Supprimée : HKCU\Software\Offerbox
Clé Supprimée : HKCU\Software\Spointer
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{0BC6E3FA-78EF-4886-842C-5A1258C4455A}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{4260E0CC-0F75-462E-88A3-1E05C248BF4C}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{826D7151-8D99-434B-8540-082B8C2AE556}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{66EEF543-A9AC-4A9D-AA3C-1ED148AC8EEE}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{11549FE4-7C5A-4C17-9FC3-56FC5162A994}
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\063A857434EDED11A893800002C0A966
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\0FF2AEFF45EEA0A48A4B33C1973B6094
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\305B09CE8C53A214DB58887F62F25536

***** [Navigateurs] *****

-\\ Internet Explorer v9.0.8112.16457

[OK] Le registre ne contient aucune entrée illégitime.

-\\ Mozilla Firefox v [Impossible d'obtenir la version]

Fichier : C:\Users\Nalion\AppData\Roaming\Mozilla\Firefox\Profiles\cod3xexg.default\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

-\\ Opera v12.12.1707.0

Fichier : C:\Users\Nalion\AppData\Roaming\Opera\Opera\operaprefs.ini

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [3314 octets] - [27/01/2013 19:47:50]

########## EOF - C:\AdwCleaner[S1].txt - [3374 octets] ##########

Ah d'accord ! Ben dis donc. Je pense que ça devait venir de Free TV Radio que j'avais installé il y a longtemps et que j'avais fini par désinstallé parce que je n'en voyais plus trop l'utilité. Ça explique pas mal de choses (comme la présence de Fissa que j'avais noté il y a quelques mois avant de le désinstaller, je savais même pas d'où ça sortait).
Et moi qui pensais que 01net était un site sûr... Je ferai beaucoup plus attention dorénavant !

Je vais de ce pas relancer OTL !

Sont en voie de guérison 01 pas net je te laisse lire : https://www.google.be/?gws_rd=ssl#hl=fr&tbo=d&sclient=psy-ab&q=01.net+site:malekal.com&oq=01.net+site:malekal.com&gs_l=hp.3...375.4346.0.4453.23.23.0.0.0.1.439.2568.17j5j4-1.23.0...0.0...1c.1.07DRDO1ZeuM&pbx=1&bav=on.2,or.r_gc.r_pw.r_qf.&bvm=bv.41524429,d.d2k&fp=2a3a147101b176e9&biw=1366&bih=578

Néanmoins...
En attente d'OTL

C'est fait ! Voilà ce que ça a donné :

All processes killed
========== OTL ==========
C:\Users\Nalion\AppData\Roaming\mozilla\Firefox\Profiles\cod3xexg.default\extensions\@FissaPlugin(11)\content folder moved successfully.
C:\Users\Nalion\AppData\Roaming\mozilla\Firefox\Profiles\cod3xexg.default\extensions\@FissaPlugin(11) folder moved successfully.
No active process named OD2MediaBar_VistaFileManager.exe was found!
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\MediaBarFileManager deleted successfully.
C:\Program Files\On Demand Distribution\OD2 Music Manager\OD2MediaBar_VistaFileManager.exe moved successfully.
========== COMMANDS ==========

[EMPTYTEMP]

User: Administrateur

User: All Users

User: Default
->Temp folder emptied: 16384 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 56548 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Nalion
->Temp folder emptied: 9634864 bytes
->Temporary Internet Files folder emptied: 268727677 bytes
->Java cache emptied: 215 bytes
->FireFox cache emptied: 27854530 bytes
->Apple Safari cache emptied: 29645824 bytes
->Opera cache emptied: 59576952 bytes
->Flash cache emptied: 1584426 bytes

User: Public

User: TEMP

User: V.I.P.O ®
->Temp folder emptied: 16384 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 41702 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 616673005 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 18403281 bytes
%systemroot%\system32\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment folder emptied: 31492833 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 1 015,00 mb


OTL by OldTimer - Version 3.2.69.0 log created on 01272013_221630

Files\Folders moved on Reboot...
File move failed. C:\Windows\temp\_avast_\Webshlock.txt scheduled to be moved on reboot.

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

Ok ! Pfou, le chemin est long ! Je ne pense pas avoir le temps de suivre toute la procédure ce soir, je vais me contenter de mettre à jour mes programmes, je m'occuperai de Delfix et Ccleaner demain et je posterai ici les retours.
Merci beaucoup pour ton aide juju666 en tout cas. Merci également à Malekal_morte pour son intervention super rapide !

Si jamais tu as le temps, pourrais-tu m'expliquer un peu ce qu'avait mon ordi, ce que disaient les rapports OTL, le but du texte de personnalisation, etc. J'aimerais comprendre ce qu'il s'est passé ces 10 dernières heures haha :) mais je ne veux pas non plus abuser de ta disponibilité, tu as déjà fait beaucoup pour moi !

Ce que tu avais, je l'ai expliqué ici : https://forums.commentcamarche.net/forum/affich-27005069-presence-de-troyan-et-autres-saletes#2
et ici : https://forums.commentcamarche.net/forum/affich-27005069-presence-de-troyan-et-autres-saletes#8

OTL ne fait que lister des endroits connus dans l'ordi (répertoires & registre) où s'installent les malwares.
La personnalisation permet en scan d'en voir plus car il peut pas tout lister c'est un fait, et en correction à supprimer des choses qui resistent aux fix actuels.

En tout cas fait gaffe avec java d'actif dans tes navigateurs, suffit de tomber sur un site avec une régie pub douteuse et/ou qui s'est fait hack qui contient un exploit java et ça s'installe sur ton PC.

EDIT :

ah oui et j'insiste, c'est marqué sur mon tuto de fin mais :

"{26A24AE4-039D-4CA4-87B4-2F83216011FF}" = Java(TM) 6 Update 30
"{26A24AE4-039D-4CA4-87B4-2F83216018F0}" = Java(TM) 6 Update 18
"{3248F0A8-6813-11D6-A77B-00B0D0160020}" = Java(TM) 6 Update 2
"{3248F0A8-6813-11D6-A77B-00B0D0160070}" = Java(TM) 6 Update 7

T'oublieras pas de désinstaller toutes ces vieilles versions de Java bien remplies de failles et de mettre à jour comme j'explique.

Ah oui ! Pardon, je suis un peu HS, merci pour ce résumé !

Du coup tu me conseillerais de laisser Java désactivé la plupart du temps et de ne l'activer que quand j'en ai vraiment besoin ?

C'est mieux ouais.
Et de le mettre à jour, chépa si tu as vu mon édit ci dessus

Ok. J'ai bien supprimé les anciennes versions de Java et j'ai mis à jour

J'ai une dernière question, quand je tente de créer la sauvegarde sur ERUNT, on me dit que le fichier c:\windows\28-01-2013\ERDNT.INF n'a pas pu être créé : "la sauvegarde du registre va continuer, mais pas les informations de restauration pour le programme ERDNT".
Que faire ? L'étape Ccleaner est-elle nécessaire ?
J'ai fait un nettoyage du disque en attendant.

Il a bien été lancé en tant qu'admin Erunt ? (clic droit -> exécuter en tant qu'admin)
Faudra que je teste sur mon Win 7 voir.

CCleaner ça va virer quelques fichiers temporaires et vider la 40aine de Malwarebytes par exemple :)
Par contre le registre ça sert à rien de le nettoyer, c'pas parce qu'il va virer 100 clés sur les millions d'entrées que tu vas voir une différence ... ;)

Ah oui, je suis bête, j'avais pas fait en tant qu'admin !

D'accord. J'aimerais une précision à propos de CCleaner, si je coche par exemple "Skype" dans l'onglet Applications et que je fais "Nettoyer", ça va me le désinstaller ? Ma question semble stupide, mais j'ai peur de faire une bêtise...

Y'a pas de question stupide ;)
Non, à mon avis il supprime les historiques de conversation :-)

http://www.piriform.com/blog/2011/3/24/ccleaner-v305
Added cleaning for Adobe Air, Advanced Searchbar, Steam, Xfire, Skype, AOL Instant Messenger, Camfrog Video Chat, Miranda Instant

Ah d'accord, très bien :) dans ce cas, il ne me reste plus qu'à procéder au nettoyage et je verrai enfin la lumière au bout du tunnel !

Dernière question (et normalement, promis, je ne t'embêterai plus) : par rapport aux détections génériques que j'ai eu, vaut-il mieux que je modifie tout ce qui est mot de passe, même si ce n'était pas enregistré par le navigateur ?