Searchnu/410

Question

Bonjour, 

Ayant été infecté par la page searchnu/410, j'ai réussi à la faire partir de la page de démarage dans chrome et firefox mais elle s'ouvre toujours en parallèle lorsque j'ouvre chrome ou que je tape quelque chose dans la barre firefox.

Comment m'en débarrasser définitivement?

Merci d'avance,

Michaël

Configuration: Windows 7 / Chrome 26.0.1410.64

2011N2 · Answer

Re :)

On va faire un diagnostic de ton PC pour plus de renseignements ==>

-Télécharge ZHPDiag sur ton bureau : 

https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
 
ou : 
https://www.commentcamarche.net/telecharger/utilitaires/24803-zhpdiag/
 

- Laisse toi guider lors de l'installation, coche "Ajouter une icône sur le bureau" et décoche la case "Exécuter ZHPDiag". 

 /!\Utilisateur de Vista et Seven : Clique droit sur le logo de ZHPdiag [i](parchemin), /i« Exécuter en tant qu'Administrateur » /!\ 

- Clique sur l'icône représentant une loupe, celle de droite (« Diagnostic Full Options »).
- S'il n'est pas déjà présent sur le bureau, enregistre le rapport à l'aide de l'icône représentant une disquette. 
- Héberge le rapport ZHPDiag.txt sur le site ci dessous, puis copie/colle le lien fourni dans ta prochaine réponse : 
 https://www.cjoint.com/ 

=> Si indisponible, tu peux utiliser le site suivant : http://pjjoint.malekal.com/

- Tutoriel ZHPdiag, si tu n'as pas tout compris : http://www.premiumorange.com/zeb-help-process/zhpdiag.html

- Tutoriel cjoint, si besoin : http://www.forum-entraide-informatique.com/support/cjoint-com-tutoriel-t2939.html#16374


Aide en vidéo : https://www.youtube.com/watch?v=n3o7PLTu3Gg&feature=youtu.be

Si tu as des questions, n'hésite pas à me les poser.

@+

Gabriel.

miksco · Answer

Voici : http://cjoint.com/13av/CDEnnzhdpV6.htm

2011N2 · Answer

Re,

Bien. Tu as déjà utilisé AdwCleaner c'est bien ça ?
On va enlever les restes d'infection, et supprimer PC Performer (arnaque, pour plus d'infos : http://www.commentcamarche.net/faq/35717-desinstaller-pc-performer )

- Copie les lignes qui sont à l'intérieur de ce lien (Ctrl + A puis Ctrl + C) : https://dl.dropboxusercontent.com/u/32869654/Pour%20miksco.txt


- Ouvre ZHPfix, icone seringue (Vista/7/8 : "Exécuter en tant qu'administrateur").
- Colle les lignes helpers si elles ne sont déjà présentes. Pour ce, clique sur la balise document (Coller le presse papier), à droite de l'appareil photo.
- Clique sur Go.
- Clique sur Oui pour confirmer le nettoyage des données.
- Copie le rapport, et colle-le dans la prochaine réponse sur le forum.

P.S. Si le bureau disparaît, fais Ctrl + Alt + Suppr afin d'ouvrir le gestionnaire des tâches puis dans Applications, clique sur Nouvelle tâche puis tape explorer.exe. Le bureau devrait normalent réapparaître.

/!\ Attention, ta corbeille va être vidée. Vérifie qu'il n'y ait aucun fichier supprimé par mégarde à l'intérieur. /!\

Aide en vidéo ici : https://www.youtube.com/watch?v=8gBWXPow8s0&feature=youtu.be


Si tu as des questions, n'hésite pas à me les poser.

@+

Gabriel.

miksco · Answer

Une fenetre d'unistall de la search toolbar est apparue, j'ai mis next, c'est déjà ca de désinstallé.

Voici pour le rapport :

Rapport de ZHPFix 2013.3.9.1 par Nicolas Coolman, Update du 9/03/2013
Fichier d'export Registre : 
Run by Michaël at 30/04/2013 13:56:04
High Elevated Privileges : OK
Windows 7 Home Premium Edition, 64-bit Service Pack 1 (Build 7601)

Corbeille vidée

========== Logiciel(s) ==========
ABSENT Uninstall Process: c:\progra~2\search~1\datamngr\srtool~1\uninstall.exe

========== Processus mémoire ==========
SUPPRIME Memory Process: C:\Program Files (x86)\Search Results Toolbar\Datamngr\DatamngrCoordinator.exe
SUPPRIME Reboot Memory Process: C:\Program Files (x86)\Search Results Toolbar\Datamngr\DatamngrUI.exe
SUPPRIME Memory Process: C:\Program Files (x86)\PC Performer\PCPerformer.exe
SUPPRIME Memory Process: C:\Users\Michaël\AppData\Local\Temp\BundleSweetIMSetup.exe
SUPPRIME Memory Process: C:\Users\Michaël\AppData\Local\Temp\MybabylonTB.exe

========== Clé(s) du Registre ==========
SUPPRIME [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\koyotesofttoolbarnew]
SUPPRIME Key: Service: DatamngrCoordinator
SUPPRIME Key: HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\PC Performer_is1
ABSENT Key: Service: DatamngrCoordinator
SUPPRIME Key: HKCU\Software\PerformerSoft
SUPPRIME Key: HKLM\Software\Wow6432Node\PerformerSoft
SUPPRIME Key: HKCU\Software\koyotesofttoolbarnew
SUPPRIME Key: HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\extensions\{898EA8C8-E7FF-479B-8935-AEC46303B9E5}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}
SUPPRIME Key: HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}
SUPPRIME Key: HKLM\Software\Wow6432Node\Microsoft\Tracing\BingBar_RASMANCS
SUPPRIME Key: HKCU\Software\Softonic
SUPPRIME Key: HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{FDE58148-57E7-43BF-879A-29CCE818C078}
SUPPRIME Key: HKLM\Software\Wow6432Node\Microsoft\Tracing\BingBar_RASAPI32
SUPPRIME Key: HKLM\Software\Classes\Installer\Features\521D59DC299285843BFEF5F65BF2AB6D
SUPPRIME Key: HKLM\Software\Classes\Installer\Products\521D59DC299285843BFEF5F65BF2AB6D
SUPPRIME Key*: HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\521D59DC299285843BFEF5F65BF2AB6D
ABSENT Key: HKLM\Software\Wow6432Node\Classes\Installer\Features\521D59DC299285843BFEF5F65BF2AB6D
ABSENT Key: HKLM\Software\Wow6432Node\Classes\Installer\Products\521D59DC299285843BFEF5F65BF2AB6D
SUPPRIME Key: HKLM\Software\Classes\Installer\Features\84185EDF7E75FB3478A992CC8E810C87
SUPPRIME Key: HKLM\Software\Classes\Installer\Products\84185EDF7E75FB3478A992CC8E810C87
SUPPRIME Key*: HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\84185EDF7E75FB3478A992CC8E810C87
ABSENT Key: HKLM\Software\Wow6432Node\Classes\Installer\Features\84185EDF7E75FB3478A992CC8E810C87
ABSENT Key: HKLM\Software\Wow6432Node\Classes\Installer\Products\84185EDF7E75FB3478A992CC8E810C87

========== Valeur(s) du Registre ==========
SUPPRIME {DE65DD44-0F33-4F81-A975-206C2D8AAF3D}
SUPPRIME {4E5B15E2-CBDD-4037-BC46-26433E575288}
SUPPRIME RunValue: Adobe Reader Speed Launcher

========== Dossier(s) ==========
SUPPRIME Folder: C:\Program Files (x86)\PC Performer
SUPPRIME Reboot Folder**: C:\Program Files (x86)\Search Results Toolbar
SUPPRIME Folder: C:\ProgramData\Datamngr
SUPPRIME Folder: C:\ProgramData\IBUpdaterService
SUPPRIME Folder: c:\programdata\microsoft\windows\start menu\programs\pc performer
SUPPRIME Temporaires Windows
SUPPRIME Flash Cookies

========== Fichier(s) ==========
SUPPRIME File***: c:\program files (x86)\search results toolbar\datamngr\datamngrcoordinator.exe
ABSENT File: c:\program files (x86)\search results toolbar\datamngr\datamngrcoordinator.exe
SUPPRIME File: c:\windows	asks\pc performer_default.job 
SUPPRIME File: c:\windows	asks\pc performer_updates.job 
ABSENT Folder/File: c:\program files (x86)\pc performer\pcperformer.exe
SUPPRIME File: c:\windows\prefetch\pcperformer.exe-f9e6cfdb.pf 
SUPPRIME File: c:\users\michaël\appdataoaming\performersoft\pc performer\partial backups\00000001.rmx 
SUPPRIME File: c:\users\michaël\appdataoaming\performersoft\pc performer\partial backups\00000001.rxb 
SUPPRIME File: c:\users\michaël\appdataoaming\performersoft\pc performer\excludelist.rcp 
SUPPRIME File: c:\users\michaël\appdataoaming\performersoft\pc performer\french_rcp.dat 
SUPPRIME File: c:\users\michaël\appdataoaming\performersoft\pc performer	emphllist.rcp 
SUPPRIME File: c:\users\michaël\appdataoaming\performersoft\pc performeresults.rcp 
SUPPRIME File: C:\Users\Michaël\AppData\Local\Temp\appid.dat
SUPPRIME File*: c:\users\michaël\appdata\local	emp\appid.dat
SUPPRIME File: c:\users\michaël\appdata\local	emp\bundlesweetimsetup.exe
SUPPRIME File*: c:\users\michaël\appdata\local	emp\mybabylontb.exe
ABSENT Folder/File: c:\programdata\ibupdaterservice
ABSENT Folder/File: c:\users\michaël\appdata\local	emp\bundlesweetimsetup.exe
ABSENT Folder/File: c:\users\michaël\appdata\local	emp\mybabylontb.exe
SUPPRIME File: c:\windows\prefetch\cnmse87.exe-164cabf6.pf 
SUPPRIME File: c:\windows\prefetch\vt4.exe-5203e9bb.pf 
SUPPRIME File: c:\windows\prefetch\ares.exe-cc5a68df.pf 
SUPPRIME File: c:\windows\prefetch\arcgis.exe-cb7d8e94.pf 
SUPPRIME File: c:\windows\prefetch\_iu14d2n.tmp-a72b8a2b.pf 
SUPPRIME Temporaires Windows
SUPPRIME Flash Cookies

========== Tache planifiée ==========
SUPPRIME Task: PC Performer
SUPPRIME Task: PC Performer_DEFAULT
SUPPRIME Task: PC Performer_UPDATES

========== Restauration Système ==========
Point de restauration du système créé avec succès


========== Récapitulatif ==========
5 : Processus mémoire
25 : Clé(s) du Registre
3 : Valeur(s) du Registre
7 : Dossier(s)
26 : Fichier(s)
1 : Logiciel(s)
3 : Tache planifiée
1 : Restauration Système


End of clean in 00mn 50s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R10].txt - 21/04/2013 18:47:27 [891]
C:\ZHP\ZHPFix[R1].txt - 21/04/2013 17:45:09 [492]
C:\ZHP\ZHPFix[R2].txt - 21/04/2013 17:51:07 [564]
C:\ZHP\ZHPFix[R3].txt - 21/04/2013 18:31:03 [533]
C:\ZHP\ZHPFix[R4].txt - 21/04/2013 18:33:35 [584]
C:\ZHP\ZHPFix[R5].txt - 21/04/2013 18:35:16 [635]
C:\ZHP\ZHPFix[R6].txt - 21/04/2013 18:36:39 [686]
C:\ZHP\ZHPFix[R7].txt - 21/04/2013 18:37:59 [845]
C:\ZHP\ZHPFix[R8].txt - 21/04/2013 18:38:26 [788]
C:\ZHP\ZHPFix[R9].txt - 21/04/2013 18:39:58 [839]
C:\ZHP\ZHPFix[R11].txt - 30/04/2013 13:56:05 [6688]

2011N2 · Answer

Re,

Ok, bien.

Tu as Malwarebytes' AntiMawares sur ton PC c'est ça ? Si oui, fais la mise à jour, fais un examen complet et poste moi le rapport. :)

@+

Gabriel.

miksco · Answer

voici le rapport  : 

Malwarebytes Anti-Malware 1.75.0.1300
www.malwarebytes.org

Version de la base de données: v2013.04.30.02

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
Michaël :: MIK [administrateur]

30/04/2013 14:02:06
MBAM-log-2013-04-30 (15-06-51).txt

Type d'examen: Examen complet (C:\|D:\|Q:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 471881
Temps écoulé: 1 heure(s), 4 minute(s), 11 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 1
C:\Users\Michaël\Desktop\bureau\bundleSetup.exe (PUP.BundleInstaller.IB) -> Aucune action effectuée.

(fin)

2011N2 · Answer

Re,

Bien. :)

Et tu as oublié de répondre à ma question : as-tu déjà utilisé AdwCleaner ?

@+

Gabriel.

miksco · Answer

Euh oui il y a une semaine je crois, dans la flopée de chose que j'ai essayé. Mais sans résultat, je recommence?

Que dois-je faire mnt?

miksco · Answer

pour le moment rien a changé concernant chrome et firefox

2011N2 · Answer

Ok, supprime l'ancienne version et recommence : http://general-changelog-team.fr/en/downloads/viewdownload/20-outils-de-xplode/2-adwcleaner

Utilise le mode Recherche, et poste moi le rapport.

@+

Gabriel.

miksco · Answer

voici : 
# AdwCleaner v2.300 - Rapport créé le 30/04/2013 à 15:51:24
# Mis à jour le 28/04/2013 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : Michaël - MIK
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\Michaël\Downloads\AdwCleaner.exe
# Option [Recherche]


***** [Services] *****

Présent : DatamngrCoordinator

***** [Fichiers / Dossiers] *****

Dossier Présent : C:\Program Files (x86)\search results toolbar
Dossier Présent : C:\Users\Michaël\AppData\Roaming\PerformerSoft

***** [Registre] *****

Clé Présente : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{35B8892D-C3FB-4D88-990D-31DB2EBD72BD}

***** [Navigateurs] *****

-\ Internet Explorer v9.0.8112.16476

[OK] Le registre ne contient aucune entrée illégitime.

-\ Mozilla Firefox v20.0.1 (fr)

Fichier : C:\Users\Michaël\AppData\Roaming\Mozilla\Firefox\Profiles\fjbnol8z.default\prefs.js

Présente : user_pref("keyword.URL", "hxxp://dts.search-results.com/sr?src=ffb&gct=ds&appid=0&systemid=410&apn_d[...]

-\ Google Chrome v26.0.1410.64

Fichier : C:\Users\Michaël\AppData\Local\Google\Chrome\User Data\Default\Preferences

Présente [l.3173] : urls_to_restore_on_startup = [ "hxxp://www.google.com", "hxxp://www.searchnu.com/410" ]

*************************

AdwCleaner[R1].txt - [1327 octets] - [30/04/2013 15:51:24]
AdwCleaner[S1].txt - [6561 octets] - [21/04/2013 18:33:32]
AdwCleaner[S2].txt - [1272 octets] - [21/04/2013 19:40:59]
AdwCleaner[S3].txt - [1332 octets] - [21/04/2013 20:09:33]

########## EOF - C:\AdwCleaner[R1].txt - [1567 octets] ##########

2011N2 · Answer

Re,

Ok.
Relance AdwCleaner, puis clique sur [Suppression] puis patiente le temps du scan.
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse, comme la fois précédente.

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

@+

Gabriel.

miksco · Answer

voici : 

# AdwCleaner v2.300 - Rapport créé le 30/04/2013 à 15:57:54
# Mis à jour le 28/04/2013 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : Michaël - MIK
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\Michaël\Downloads\AdwCleaner.exe
# Option [Suppression]


***** [Services] *****

Arrêté & Supprimé : DatamngrCoordinator

***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Users\Michaël\AppData\Roaming\PerformerSoft
Supprimé au redémarrage : C:\Program Files (x86)\search results toolbar

***** [Registre] *****

Clé Supprimée : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{35B8892D-C3FB-4D88-990D-31DB2EBD72BD}

***** [Navigateurs] *****

-\ Internet Explorer v9.0.8112.16476

[OK] Le registre ne contient aucune entrée illégitime.

-\ Mozilla Firefox v20.0.1 (fr)

Fichier : C:\Users\Michaël\AppData\Roaming\Mozilla\Firefox\Profiles\fjbnol8z.default\prefs.js

Supprimée : user_pref("keyword.URL", "hxxp://dts.search-results.com/sr?src=ffb&gct=ds&appid=0&systemid=410&apn_d[...]

-\ Google Chrome v26.0.1410.64

Fichier : C:\Users\Michaël\AppData\Local\Google\Chrome\User Data\Default\Preferences

Supprimée [l.3173] : urls_to_restore_on_startup = [ "hxxp://www.google.com", "hxxp://www.searchnu.com/410" ]

*************************

AdwCleaner[R1].txt - [1636 octets] - [30/04/2013 15:51:24]
AdwCleaner[R2].txt - [1696 octets] - [30/04/2013 15:57:46]
AdwCleaner[S1].txt - [6561 octets] - [21/04/2013 18:33:32]
AdwCleaner[S2].txt - [1272 octets] - [21/04/2013 19:40:59]
AdwCleaner[S3].txt - [1332 octets] - [21/04/2013 20:09:33]
AdwCleaner[S4].txt - [1651 octets] - [30/04/2013 15:57:54]

########## EOF - C:\AdwCleaner[S4].txt - [1711 octets] ##########

miksco · Answer

pour firefox, c'est redevenu normal.

Pour chrome, mes préférence et personnalisation était parti, je me suis reconnecté à mon compte google, fermé et réouvert le navigateur, et le deuxième onglet s'est ouvert de nouveau avec searchnu/410...

2011N2 · Answer

Re,

Ok, essaye de le réinitialiser : https://forums.commentcamarche.net/forum/affich-37585758-reinitialiser-son-navigateur

@+ 

Gabriel.

miksco · Answer

Re,

 Je viens de réinitialiser...Chrome redémarre "vierge" mais dés que je me reconnecte à mon compte avec tout mes favoris qui revienne, dés que je le réouvre, il y a systématiquement cette deuxième page qui s'ouvre...

2011N2 · Answer

Re,

Ok. Il faut enlever les préférences de Google donc.
Regarde ici : https://support.google.com/chrome/answer/185277?hl=fr&topic=1693469&ctx=topic
C'est en bas, dans "Supprimer des données synchronisées de votre compte Google".

@+

Gabriel.

miksco · Answer

Re, 

Done... mais la page s'ouvre toujours...

2011N2 · Answer

Re,

Ok, fais moi un nouveau rapport ZHPdiag.

@+

Gabriel.

miksco · Answer

re,

voici : http://cjoint.com/13mi/CEbjgYCh8sc.htm

2011N2 · Answer

Re,

Ok, juste une question avant le script.

Tout ce qui est à cet emplacement :  C:\Users\Michaël\AppData\Local\Google\Chrome\User Data\Default sauvegarde\Local Storage

Par exemple ça : C:\Users\Michaël\AppData\Local\Google\Chrome\User Data\Default sauvegarde\Local Storage\https_sports.bwin.be_0.localstorage

Tu t'en sers ? Tu souhaites tout garder ? (On supprimera quand même les traces de Searchnu qui y sont encore)

@+

Gabriel.

miksco · Answer

Je ne sais meme pas ce que c'est ... :)

Pour moi on peut suprrimer tout ce qui est inutile, j'aimerais juste garder mes favoris sur google

2011N2 · Answer

Re,

Ok. :)

- Copie les lignes qui sont à l'intérieur de ce lien (Ctrl + A puis Ctrl + C) : https://dl.dropboxusercontent.com/u/32869654/Pour%20miksco%202.txt


- Ouvre ZHPfix, icone seringue (Vista/7/8 : "Exécuter en tant qu'administrateur").
- Colle les lignes helpers si elles ne sont déjà présentes. Pour ce, clique sur la balise document (Coller le presse papier), à droite de l'appareil photo.
- Clique sur Go.
- Clique sur Oui pour confirmer le nettoyage des données.
- Copie le rapport, et colle-le dans la prochaine réponse sur le forum.

P.S. Si le bureau disparaît, fais Ctrl + Alt + Suppr afin d'ouvrir le gestionnaire des tâches puis dans Applications, clique sur Nouvelle tâche puis tape explorer.exe. Le bureau devrait normalent réapparaître.

/!\ Attention, ta corbeille va être vidée. Vérifie qu'il n'y ait aucun fichier supprimé par mégarde à l'intérieur. /!\

Aide en vidéo ici : https://www.youtube.com/watch?v=8gBWXPow8s0&feature=youtu.be


Si tu as des questions, n'hésite pas à me les poser.

@+

Gabriel.

Searchnu/410 - Page 2

Discussions similaires

Newsletters