IP infectée Résolu/Fermé

Question

Bonjour, 

J'ai un gros soucis de connexion internet actuellement. Windows me dit que mon Ip n'est pas valide ou qu'il y a conflit IP.

Après maintes recherches CBL m'informe que mon IP est infectée!!!
Cela dépasse le stade de ma comprehension.

IP Address 101.99.xx.xxx is listed in the CBL. It appears to be infected with a spam sending trojan, proxy or some other form of botnet.

It was last detected at 2013-04-16 13:00 GMT (+/- 30 minutes), approximately 19 hours, 30 minutes ago.

This IP is infected (or NATting for a computer that is infected) with a spam-sending infection. In other words, it's participating in a botnet. If you simply remove the listing without ensuring that the infection is removed (or the NAT secured), it will probably relist again. 

Pouvez vous me donner un coup de main?
Un grand merci d'avance


Configuration: Windows seven 
Firefox

juju666 · Answer

Salut,

&#9654 Télécharge ici :  RogueKiller 
&#9654 Enregistre et ferme tous les programmes en cours
&#9654 Lance RogueKiller et attend que le Prescan ait fini
&#9654 Accepte l'EULA puis clique sur Scan. 
&#9654 Une fois terminé, clique sur Rapport et copie/colle le rapport dans ta prochaine réponse.

A+

nonoy54 · Answer

Re, et merci de la prise en charge.
J'ai avira + MBAM. J'ai fait une analyse en ligne avec ESET qui a trouvé et nettoyé..
une variante de: win32/Bundled.toolbar.ask.Application.

Je ferai plus tard avec Roguekiller, je dois sortir, il est 16h ici.

nonoy54 · Answer

j'ai eu le temps, ça a été vite. RogueKiller V8.5.4 [Mar 18 2013] par Tigzy mail : tigzyRKgmailcom Remontees : https://www.luanagames.com/index.fr.html Site Web : https://www.luanagames.com/index.fr.html Blog : http://tigzyrk.blogspot.com/ Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version Demarrage : Mode normal Utilisateur : asus [Droits d'admin] Mode : Recherche -- Date : 17/04/2013 15:52:33 | ARK || FAK || MBR | ¤¤¤ Processus malicieux : 0 ¤¤¤ ¤¤¤ Entrees de registre : 14 ¤¤¤ [DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{0DBB9848-4B30-4EA6-84C6-B894EFAB0ACB} : NameServer (10.11.197.180 8.8.8.8) -> TROUVÉ [DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{46F2C7B4-35A6-4FB5-B542-1DBAB3B222D2} : NameServer (8.26.56.26,156.154.70.22) -> TROUVÉ [DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{CD9BBA7E-704D-47E7-890B-084D370E7FEE} : NameServer (10.19.195.212 8.8.8.8) -> TROUVÉ [DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{F222047A-904E-4E46-AFC7-D372429354C9} : NameServer (10.19.195.212 8.8.8.8) -> TROUVÉ [DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{FC0D6E7E-0434-417F-841A-93B8D8AFFB4B} : NameServer (10.19.195.212 8.8.8.8) -> TROUVÉ [DNS] HKLM\[...]\ControlSet003\Services\Tcpip\Interfaces\{0DBB9848-4B30-4EA6-84C6-B894EFAB0ACB} : NameServer (10.11.197.180 8.8.8.8) -> TROUVÉ [DNS] HKLM\[...]\ControlSet003\Services\Tcpip\Interfaces\{46F2C7B4-35A6-4FB5-B542-1DBAB3B222D2} : NameServer (8.26.56.26,156.154.70.22) -> TROUVÉ [DNS] HKLM\[...]\ControlSet003\Services\Tcpip\Interfaces\{CD9BBA7E-704D-47E7-890B-084D370E7FEE} : NameServer (10.19.195.212 8.8.8.8) -> TROUVÉ [DNS] HKLM\[...]\ControlSet003\Services\Tcpip\Interfaces\{F222047A-904E-4E46-AFC7-D372429354C9} : NameServer (10.19.195.212 8.8.8.8) -> TROUVÉ [DNS] HKLM\[...]\ControlSet003\Services\Tcpip\Interfaces\{FC0D6E7E-0434-417F-841A-93B8D8AFFB4B} : NameServer (10.19.195.212 8.8.8.8) -> TROUVÉ [HJ] HKLM\[...]\System : ConsentPromptBehaviorAdmin (0) -> TROUVÉ [HJ] HKLM\[...]\Wow6432Node\System : ConsentPromptBehaviorAdmin (0) -> TROUVÉ [HJ] HKLM\[...]\System : EnableLUA (0) -> TROUVÉ [HJ] HKLM\[...]\Wow6432Node\System : EnableLUA (0) -> TROUVÉ ¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤ ¤¤¤ Driver : [NON CHARGE] ¤¤¤ ¤¤¤ Fichier HOSTS: ¤¤¤ --> C:\Windows\system32\drivers\etc\hosts 127.0.0.1 localhost ¤¤¤ MBR Verif: ¤¤¤ +++++ PhysicalDrive0: ATA Hitachi HTS54756 SCSI Disk Device +++++ --- User --- [MBR] 393469542cb348f26f9a89bcd8736cc6 [BSP] 2df4e4393ef6efc24351e5bc0934916b : Windows 7/8 MBR Code Partition table: 0 - [XXXXXX] FAT32-LBA (0x1c) [HIDDEN!] Offset (sectors): 2048 | Size: 25600 Mo 1 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 52430848 | Size: 265395 Mo 2 - [XXXXXX] EXTEN-LBA (0x0f) [VISIBLE] Offset (sectors): 595959808 | Size: 319484 Mo User = LL1 ... OK! User = LL2 ... OK! Termine : << RKreport[1]_S_17042013_155233.txt >> RKreport[1]_S_17042013_155233.txt

juju666 · Answer

Clic DNS RAZ dans RogueKiller.

Ne prends pas d'initiatives tu vas tout chambouler, merci.

MBAM avait trouvé des trucs ? 

Tu pourras faire un adwcleaner en suppression aussi : 

&#9654 Télécharge sur cette page: AdwCleaner (de Xplode) 

&#9654 Lance-le

clique sur Suppression et patiente le temps du nettoyage.

&#9654 Poste le contenu du rapport que tu trouveras dans ton disque dur c:\ADwcleaner[Sx].txt ou son contenu s'il s'ouvre.

A+

nonoy54 · Answer

Non, Mbam n'avait rien trouvé.
Voici le rapport demandé:

# AdwCleaner v2.200 - Rapport créé le 17/04/2013 à 22:32:19
# Mis à jour le 02/04/2013 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : asus - CLAUDE
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\asus\Desktop\AdwCleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****


***** [Registre] *****


***** [Navigateurs] *****

-\ Internet Explorer v9.0.8112.16476

[OK] Le registre ne contient aucune entrée illégitime.

-\ Mozilla Firefox v20.0.1 (fr)

Fichier : C:\Users\asus\AppData\Roaming\Mozilla\Firefox\Profiles\hikce6n5.Claude\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

Fichier : C:\Users\asus\AppData\Roaming\Mozilla\Firefox\Profiles\y62nz4zm.default\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

Fichier : C:\Users\Administrateur\AppData\Roaming\Mozilla\Firefox\Profiles\3e1u712q.default\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

-\ Google Chrome v26.0.1410.64

Fichier : C:\Users\asus\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

Fichier : C:\Users\Administrateur\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [1407 octets] - [17/04/2013 22:32:19]

########## EOF - C:\AdwCleaner[S1].txt - [1467 octets] ##########

juju666 · Answer

T'as fait le DNS RAZ ? :)

nonoy54 · Answer

Bonjour. Oui je l'ai fait. Voici le rapport. RogueKiller V8.5.4 [Mar 18 2013] par Tigzy mail : tigzyRKgmailcom Remontees : https://www.luanagames.com/index.fr.html Site Web : https://www.luanagames.com/index.fr.html Blog : http://tigzyrk.blogspot.com/ Systeme d'exploitation : Windows 7 (6.1.7601 Service Pack 1) 64 bits version Demarrage : Mode normal Utilisateur : asus [Droits d'admin] Mode : DNS RAZ -- Date : 17/04/2013 22:31:39 | ARK || FAK || MBR | ¤¤¤ Processus malicieux : 0 ¤¤¤ ¤¤¤ Entrees de registre : 10 ¤¤¤ [DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{0DBB9848-4B30-4EA6-84C6-B894EFAB0ACB} : NameServer (10.11.197.180 8.8.8.8) -> REMPLACÉ () [DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{46F2C7B4-35A6-4FB5-B542-1DBAB3B222D2} : NameServer (8.26.56.26,156.154.70.22) -> REMPLACÉ () [DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{CD9BBA7E-704D-47E7-890B-084D370E7FEE} : NameServer (10.19.195.212 8.8.8.8) -> REMPLACÉ () [DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{F222047A-904E-4E46-AFC7-D372429354C9} : NameServer (10.19.195.212 8.8.8.8) -> REMPLACÉ () [DNS] HKLM\[...]\ControlSet001\Services\Tcpip\Interfaces\{FC0D6E7E-0434-417F-841A-93B8D8AFFB4B} : NameServer (10.19.195.212 8.8.8.8) -> REMPLACÉ () [DNS] HKLM\[...]\ControlSet003\Services\Tcpip\Interfaces\{0DBB9848-4B30-4EA6-84C6-B894EFAB0ACB} : NameServer (10.11.197.180 8.8.8.8) -> REMPLACÉ () [DNS] HKLM\[...]\ControlSet003\Services\Tcpip\Interfaces\{46F2C7B4-35A6-4FB5-B542-1DBAB3B222D2} : NameServer (8.26.56.26,156.154.70.22) -> REMPLACÉ () [DNS] HKLM\[...]\ControlSet003\Services\Tcpip\Interfaces\{CD9BBA7E-704D-47E7-890B-084D370E7FEE} : NameServer (10.19.195.212 8.8.8.8) -> REMPLACÉ () [DNS] HKLM\[...]\ControlSet003\Services\Tcpip\Interfaces\{F222047A-904E-4E46-AFC7-D372429354C9} : NameServer (10.19.195.212 8.8.8.8) -> REMPLACÉ () [DNS] HKLM\[...]\ControlSet003\Services\Tcpip\Interfaces\{FC0D6E7E-0434-417F-841A-93B8D8AFFB4B} : NameServer (10.19.195.212 8.8.8.8) -> REMPLACÉ () ¤¤¤ Driver : [NON CHARGE] ¤¤¤ Termine : << RKreport[4]_DN_17042013_223139.txt >> RKreport[1]_S_17042013_155233.txt ; RKreport[2]_S_17042013_222625.txt ; RKreport[3]_S_17042013_223030.txt ; RKreport[4]_DN_17042013_223139.txt

juju666 · Answer

Salut,

Super, ça doit être good là non ?

nonoy54 · Answer

Oui, cela semble bon..
A priori je n'ai plus d'infection et mon problème de connexion internet (réseau indéterminé, IP invalide, conflit IP semble résolu..) J'attends un peu pour voir, car j'avais un problème de non renouvellement de bail toutes les 2 heures.
Je te tiens au courant..
Quoiqu'il en soit tu m'as bien aidé à avancer dans mon schmilblik.
Merci

juju666 · Answer

Si tu as Spybot, désinstalle, il est dépassé et inefficace.
Si tu as McAfee Security Scan, pareil désinstalle le, il sert à rien.
Et c'est la même chose pour AD-Aware, dépassé et inefficace, donc à désinstaller.

~~

Passe un coup de delfix en cochant toutes cases : https://www.commentcamarche.net/telecharger/securite/7111-delfix/

~~

Installe Malwarebyte's Anti-Malware : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Fais des scans réguliers avec, il est efficace.

~~

Sécurise ton PC ! 

Un exploit sur site web permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.
Exemple avec : Exploit Java

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash :
https://www.commentcamarche.net/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite

https://forum.malekal.com/viewtopic.php?t=15960&start=

Désactive Java de tes navigateurs WEB : https://www.commentcamarche.net/faq/35621-desactiver-java-sur-ses-navigateurs-web


Passe le mot à tes amis !

~~

Le reste de la sécurité : http://forum.malekal.com/comment-securiser-son-ordinateur.html  

Bonne lecture et n'oublie pas d'indiquer que ton sujet est résolu :)

nonoy54 · Answer

Merci à toi.
A l'utilisation, tout semble parfait. J'ai encore eu une coupure de connexion avec  connexion non identifiée, mais cela évolue en positif.
Encore merci pour ton aide précieuse.
Bonne continuation :-)

juju666 · Answer

Y'a plusieurs pc sur le réseau ?

nonoy54 · Answer

Non, en général un seul + 1 ou 2 Iphones. J'ai déjà essayé de les couper mais sans résultat.

juju666 · Answer

Faudrait voir du côté de la box.

Le service DHCP ne produit pas d'erreurs ?

nonoy54 · Answer

Je pensais effectivement au routeur. J'avais un bail de 2 heures pile qui ne se renouvelait pas automatiquement. J'étais obligé de me connecter en mode sans échec puis de nouveau normalement.
Depuis ton intervention, je n'ai plus de notions de bail.. et ça a tenu 6h.
Comment savoir pour le service DHCP

juju666 · Answer

On va pousser les investigations et OTL me permet de voir les dernières erreurs système, on verra si le service DHCP merdouille :)

Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections : 

&#9654 Télécharge ici :OTL

&#9654 Fais un double clic sur l'icône pour le lancer (clic droit executer en tant qu'administrateur sous Vista, Windows 7 ou Windows 8). Vérifier que toutes les autres fenêtres sont fermées afin qu'il s'exécute sans interruption.

&#9654 Quand la fenêtre apparaît, Coche la case Tous les utilisateurs
&#9654 Coche les cases à coté de Recherche Lop et Recherche Purity.
&#9654 Laisse tous les autres paramètres par défaut 

&#9654 Copie et colle le contenu de ce qui suit en gras dans la partie inférieure d'OTL "Personnalisation"


msconfig 
netsvcs 
/md5start
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
services.exe
winsock.*
/md5stop
%temp%\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%SYSTEMDRIVE%\*.*
BASESERVICES
CREATERESTOREPOINT
SAVEMBR:0

&#9654 Clic sur Analyse.

A la fin du scan, 2 Bloc-Notes vont s'ouvrir avec les rapports (OTL.txt et extras.txt).

NE PAS COPIER/COLLER LE RAPPORT ICI - LIRE JUSQU'AU BOUT

Ces fichiers se trouvent à côté de l'exécutable OTL.exe

héberge OTL.txt et extra.txt sur FEC Upload et donne les liens obtenus en échange  

NE PAS COPIER/COLLER LE LIEN DE SUPPRESSION, CONSERVE-LE SI TU DESIRE ENSUITE SUPPRIMER LES RAPPORTS DE LA BASE DE DONNEES FEC

nonoy54 · Answer

Voici

https://forums-fec.be/upload/www/?a=d&i=0768618037

https://forums-fec.be/upload/www/?a=d&i=8783824242

juju666 · Answer

En effet :  

Error - 18/04/2013 23:41:25 | Computer Name = Claude | Source = Bonjour Service | ID = 100 
Description = mDNSCoreReceiveResponse: Resetting to Probing:   16 Claude.local.  
AAAA FE80:0000:0000:0000:695E:ADF7:DE43:CBB3 
  
Error - 19/04/2013 03:34:17 | Computer Name = Claude | Source = Bonjour Service | ID = 100 
Description = mDNSCoreReceiveResponse: Received from 169.254.203.179:5353    4 Claude.local. 
  
Error - 19/04/2013 03:34:17 | Computer Name = Claude | Source = Bonjour Service | ID = 100 
Description = mDNSCoreReceiveResponse: ProbeCount 1; will deregister    4 Claude.local. 
  
Error - 19/04/2013 03:34:17 | Computer Name = Claude | Source = Bonjour Service | ID = 100 
Description = Local Hostname Claude.local already in use; will try Claude-2.local 
 instead

Essaie la commande netsh winsock reset all et netsh winsock reset catalog en invite de commande :) 
  
  
 .::. Contributeur Sécurité .::.

nonoy54 · Answer

Je soupçonnais un problème avec Bonjour et j'avais mis le service en démarrage différé comme indiqué sur les site de Microsoft, Mais ça n'avait rien changé.
Je viens de faire tes manips.
J'ai redémarré et cela semble impeccable. Je verrais à l'usage si il y a coupures on non.
J'ai été étonné par OTL, ça donne même mon adresse précise (et ce n'est pas facile). Je défie quiconque de la trouver sur un plan Google ou autre car elle n'est pas répertoriée..

:-)

juju666 · Answer

Oups!  

J'ai édité, c'est supprimé.
On a réinitialisé le catalogue winsock et la pile tcp/ip, on verra si ça tiens.
Si pas, faudra ptêtre utiliser un truc comme https://www.tweaking.com/content/page/windows_repair_all_in_one.html pour réparer le DHCP ou https://support.microsoft.com/en-us/help/173396

nonoy54 · Answer

Ok merci
Je vais tester demain car il est 22h ici et je te tiens au courant.
bonne fin de journée

juju666 · Answer

Ah oui ok :)
Nous 16h37 :)

nonoy54 · Answer

En fait, internet coupe encore toutes les 2 heures. Je passe de mon réseau domestique à un réseau public non identifié et je n'ai plus de connexion.
Je redémarre en mode sans échec puis en mode normal et tout reviens pour....2 heures. 
:-)

juju666 · Answer

Pouarf, je dois t'avouer que je sèche un peu...

nonoy54 · Answer

Ne penses-tu pas à un problème routeur?

juju666 · Answer

Probable.

nonoy54 · Answer

Je vais voir avec l'installateur..
Je te remercie vivement pour ton aide :-)
En plus ça permet d'évoluer dans les connaissances.
Bonne continuation.
Nonoy

nonoy54 · Answer

Pas de problème côté routeur, ça viens de mon PC.....

juju666 · Answer

Mouais ...

Voir : https://forums.commentcamarche.net/forum/affich-37641640-conflit-d-adresse-ip
Voir aussi : https://support.microsoft.com/fr-fr/help/133490/fix-duplicate-ip-address-conflicts-on-a-dhcp-network

C'est pas trop mon domaine, perso je chasse le virus donc forcément j'ai de solides connaissances sur certaines choses de windows, mais pour le reste :p
Surtout en réseaux je suis vraiment nul :)

nonoy54 · Answer

Merci de ton aide encore une fois.

:-)

juju666 · Answer

Vois aussi quand le problème se représente : 

Panneau de configuration\Réseau et Internet\Gérer les réseaux sans fil
Met en surbrillance  le réseau qui pose pblm et click "Propriétés de la carte"

ensuite propriétés de protocole internet version 4 (TCP/IPv4) (case déjà coché du protocole )

et cocher les deux cases :obtenir une adresse IP automatiquement obtenir les adresses des serveurs DNS automatiquement

nonoy54 · Answer

Je suis en adresse automatique et j'ai essayé une fixe. Ca ne change rien.

juju666 · Answer

Je sèche !

nonoy54 · Answer

Pas grave, merci.

nonoy54 · Answer

Bonjour à toi.
Je viens te dire que mon problème est résolu. Il venait en fait de COMODO.
Je l'ai supprimé et tout baigne.
Merci à toi.

juju666 · Answer

Salut,

Merci de l'info, ça pourra servir :)

IP infectée

36 réponses

Discussions similaires