Infection Navigateur & Proxy Résolu

Question

Bonjour, 

je viens vers vous, pour un problème vraiment coriace.

En quelques mots: J'ai un pc qui ne se connecte à Internet qu'en utilisant une connexion proxy, il me coche sur tous les navigateurs (logique vu qu'ils utilisent tous IE) "Utilisez la connexion au proxy".

Seulement, je n'ai pas de proxy chez moi.

Inutile de me dire de cocher les options, ça ne fonctionne pas après redémarrage, par contre tant que le pc n'est pas redémarré, la navigation est possible.

Niveau désinfection:

-Rogue Killer me sort bien 2 lignes de proxy, 1 qui est effacé et l'autre remplacé, après redémarrage, rebelotte.

-Adwcleaner me sortait des lignes complètes, désormais, plus d'entrée illégitime.

-Combofix m'en a aussi sortie des pleines lignes, mais plus rien de notable.

-Ccleaner m'a fait une correction importante au niveau des erreurs registres, mais ça ne résout pas mon problème.

-Ad-Remover ne m'a sortie que quelques lignes de toolbar et merdouille (que les autres n'avaient pas vu d'ailleurs).

-Malwarebytes m'a trouvé 2 menaces complémentaires à tout le reste, supprimées.

-Avast en 3 scans complets de démarrages m'a trouvé qu'une seule menace, supprimée aussi avec succès.

J'attire aussi votre attention sur le fait que Avast (l'anti-virus) se met automatiquement sur la recherche d'un proxy.

J'ai sûrement un problème avec un script de démarrage ou autre connerie mais je sèche complet.

Le pc est un Windows 8, si vous avez une idée.

Cordialement,

Youri03.

Configuration: Windows 7 / Chrome 27.0.1453.116

Malekal_morte- · Answer

Salut,

Donne le rapports RogueKiller et Combofix.

Youri03 · Answer

Bon j'ai du mal, je te transfert que le Rogue, combo est partie à la poubelle -.-...Maintenant il ne me sort plus rien. Pour Rogue voici les rapports Avant la suppression et après:

AVANT:
RogueKiller V8.6.2 _x64_ [Jul 2 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : hxxp://www.adlice.com/forum/
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 8 (6.2.9200 ) 64 bits version
Demarrage : Mode normal
Utilisateur : pierre [Droits d'admin]
Mode : Recherche -- Date : 07/08/2013 10:23:13
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 2 ¤¤¤
[PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (hxxp=127.0.0.1:8877;hxxps=127.0.0.1:8877) -> TROUVÉ
[PROXY IE] HKCU\[...]\Internet Settings : ProxyEnable (1) -> TROUVÉ

¤¤¤ Tâches planifiées : 0 ¤¤¤

¤¤¤ Entrées Startup : 0 ¤¤¤

¤¤¤ Navigateurs web : 2 ¤¤¤
[FF][PROXY] ueqlsqyp.default : user_pref("network.proxy.hxxp", "127.0.0.1"); -> TROUVÉ
[FF][PROXY] ueqlsqyp.default : user_pref("network.proxy.type", 4); -> TROUVÉ

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver : [NON CHARGE 0x0] ¤¤¤

¤¤¤ Ruches Externes: ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> %SystemRoot%\System32\drivers\etc\hosts

127.0.0.1 localhost

¤¤¤ MBR Verif: ¤¤¤

+++++ PhysicalDrive0: Hitachi HTS545050A7E380 +++++
--- User ---
[MBR] a84dd93b5b19931ceaddbccc47850486
[BSP] df4f83c1f72e36823a12b0dfc7617313 : Empty MBR Code
Partition table:
0 - [XXXXXX] UNKNOWN (0x00) [VISIBLE] Offset (sectors): 1 | Size: 2097152 Mo
User = LL1 ... OK!
User = LL2 ... OK!

+++++ PhysicalDrive1: Hitachi HTS545050A7E380 +++++
--- User ---
[MBR] 597cb9a0745e2de7591b5825163fdd1c
[BSP] 33a07a59d299ab4ea9f4ab0156f9d86f : Windows XP MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 4159 | Size: 7678 Mo
User = LL1 ... OK!
Error reading LL2 MBR!

Termine : << RKreport[0]_S_07082013_102313.txt >>

--------------------------------------------------------------------

APRES:

RogueKiller V8.6.2 _x64_ [Jul 2 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : hxxp://www.adlice.com/forum/
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows 8 (6.2.9200 ) 64 bits version
Demarrage : Mode normal
Utilisateur : pierre [Droits d'admin]
Mode : Proxy RAZ -- Date : 07/08/2013 10:23:39
| ARK || FAK || MBR |

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 2 ¤¤¤
[PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (hxxp=127.0.0.1:8877;hxxps=127.0.0.1:8877) -> SUPPRIMÉ
[PROXY IE] HKCU\[...]\Internet Settings : ProxyEnable (1) -> REMPLACÉ (0)

¤¤¤ Navigateurs web : 2 ¤¤¤
[FF][PROXY] ueqlsqyp.default : user_pref("network.proxy.hxxp", "127.0.0.1"); -> SUPPRIMÉ
[FF][PROXY] ueqlsqyp.default : user_pref("network.proxy.type", 4); -> REMPLACÉ(0)

¤¤¤ Driver : [NON CHARGE 0x0] ¤¤¤

¤¤¤ Ruches Externes: ¤¤¤

¤¤¤ Infection : ¤¤¤

Termine : << RKreport[0]_PR_07082013_102339.txt >>
RKreport[0]_S_07082013_102313.txt

Malekal_morte- · Answer

Combofix aussi.

Youri03 · Answer

Le voici, impossible de le faire avec la version la plus récente, il considérait mon système comme un Windows 2000 ...Bref, voici le rapport. Je note qu'il me ressort une quantité de chose par rapport aux derniers coups. Si tu vois quelque chose qui m'échappe...

ComboFix 13-06-30.01 - pierre 08/07/2013  11:48:59.2.2 - x64 MINIMAL
Microsoft Windows 8  6.2.9200.0.1252.33.1036.18.3977.3402 [GMT 2:00]
Lancé depuis: c:\users\pierre\Desktop\ComboFix.exe
AV: avast! Antivirus *Enabled/Updated* {2B2D1395-420B-D5C9-657E-930FE358FC3C}
AV: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
SP: avast! Antivirus *Enabled/Updated* {904CF271-6431-DA47-5FCE-A87D98DFB681}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
 * Un nouveau point de restauration a été créé
.
- Mode FONCTIONNALITES REDUITES -
.
.
(((((((((((((((((((((((((((((   Fichiers créés du 2013-06-08 au 2013-07-08  ))))))))))))))))))))))))))))))))))))
.
.
2013-07-08 08:00 . 2013-07-08 08:00	--------	d-----w-	c:\program files (x86)\Ad-Remover
2013-07-08 07:51 . 2013-07-08 07:51	--------	d-----w-	c:\program files (x86)\VS Revo Group
2013-07-08 07:32 . 2013-07-08 07:34	--------	d-----w-	c:\program files\CCleaner
2013-07-08 07:18 . 2013-07-08 07:19	--------	d-----w-	c:\users\pierre\AppData\Local\Adobe
2013-07-08 06:52 . 2013-07-08 06:52	--------	d-----w-	c:\program files (x86)\Glary Utilities
2013-07-05 16:43 . 2013-07-05 16:43	--------	d-----w-	c:\windows\ServiceProfiles\LocalService\winhttp
2013-07-05 15:22 . 2013-07-05 15:22	--------	d-----w-	c:\users\pierre\AppData\Roaming\Malwarebytes
2013-07-05 15:22 . 2013-07-05 15:22	--------	d-----w-	c:\programdata\Malwarebytes
2013-07-05 15:22 . 2013-07-05 15:22	--------	d-----w-	c:\users\pierre\AppData\Local\Programs
2013-07-05 15:21 . 2013-07-08 06:54	--------	d-----w-	c:\users\pierre\AppData\Roaming\GlarySoft
2013-07-05 15:06 . 2012-08-21 09:13	359464	----a-w-	c:\windows\system32\drivers\aswSP.sys
2013-07-05 15:06 . 2012-08-21 09:13	25232	----a-w-	c:\windows\system32\drivers\aswFsBlk.sys
2013-07-05 15:06 . 2012-08-21 09:13	59728	----a-w-	c:\windows\system32\drivers\aswTdi.sys
2013-07-05 15:06 . 2012-08-21 09:13	54072	----a-w-	c:\windows\system32\drivers\aswRdr2.sys
2013-07-05 15:06 . 2012-08-21 09:13	969200	----a-w-	c:\windows\system32\drivers\aswSnx.sys
2013-07-05 15:06 . 2012-08-21 09:13	71600	----a-w-	c:\windows\system32\drivers\aswMonFlt.sys
2013-07-05 15:05 . 2012-08-21 09:12	41224	----a-w-	c:\windows\avastSS.scr
2013-07-05 15:05 . 2012-08-21 09:12	227648	----a-w-	c:\windows\SysWow64\aswBoot.exe
2013-07-05 14:22 . 2013-07-05 14:24	360	----a-w-	c:\windows\DeleteOnReboot.bat
2013-07-05 07:38 . 2013-07-05 07:38	237744	----a-w-	c:\programdata\Microsoft\Windows\Sqm\Manifest\Sqm10209.bin
2013-07-03 21:11 . 2013-05-15 22:35	144384	----a-w-	c:\windows\system32	ssdisai.dll
2013-06-21 11:04 . 2013-06-12 19:47	96168	----a-w-	c:\windows\SysWow64\WindowsAccessBridge-32.dll
2013-06-18 07:05 . 2013-05-30 23:24	1257472	----a-w-	c:\windows\system32\kernel32.dll
2013-06-17 08:09 . 2013-05-23 23:01	1300992	----a-w-	c:\windows\system32\gdi32.dll
2013-06-17 08:09 . 2013-05-23 22:27	1022464	----a-w-	c:\windows\SysWow64\gdi32.dll
2013-06-16 15:59 . 2013-05-15 02:25	888320	----a-w-	c:\windows\system32\autochk.exe
2013-06-16 15:59 . 2013-05-15 02:25	542208	----a-w-	c:\windows\system32\untfs.dll
2013-06-16 15:59 . 2013-05-15 02:24	793088	----a-w-	c:\windows\SysWow64\autochk.exe
2013-06-16 15:59 . 2013-05-15 02:24	482816	----a-w-	c:\windows\SysWow64\untfs.dll
2013-06-16 13:51 . 2013-05-04 06:59	13644288	----a-w-	c:\windows\system32\Windows.UI.Xaml.dll
2013-06-16 13:51 . 2013-05-04 04:57	10788864	----a-w-	c:\windows\SysWow64\Windows.UI.Xaml.dll
2013-06-16 13:51 . 2013-05-04 06:58	1332736	----a-w-	c:\windows\system32\sysmain.dll
2013-06-16 13:51 . 2013-05-04 06:57	1131520	----a-w-	c:\windows\system32\AppXDeploymentServer.dll
2013-06-16 13:51 . 2013-05-04 06:58	10116096	----a-w-	c:\windows\system32	winui.dll
2013-06-16 13:51 . 2013-05-04 06:59	3241472	----a-w-	c:\windows\system32\wuaueng.dll
2013-06-16 13:51 . 2013-05-04 06:59	1483776	----a-w-	c:\windows\system32\VSSVC.exe
2013-06-16 13:51 . 2013-05-04 04:47	427520	----a-w-	c:\windows\system32\driversdbss.sys
2013-06-13 13:57 . 2013-05-10 02:42	17271808	----a-w-	c:\program files\Common Files\Microsoft Shared\Microsoft Camera Codec Pack\MicrosoftRawCodec.dll
2013-06-13 13:57 . 2013-05-10 02:21	16642560	----a-w-	c:\program files (x86)\Common Files\Microsoft Shared\Microsoft Camera Codec Pack\MicrosoftRawCodec.dll
2013-06-13 13:41 . 2013-04-02 23:37	25088	----a-w-	c:\windows\SysWow64\cryptdlg.dll
2013-06-13 13:41 . 2013-04-02 23:12	30720	----a-w-	c:\windows\system32\cryptdlg.dll
2013-06-12 13:57 . 2013-04-23 23:12	1569792	----a-w-	c:\windows\SysWow64\crypt32.dll
2013-06-12 13:57 . 2013-04-23 22:55	1889280	----a-w-	c:\windows\system32\crypt32.dll
2013-06-12 13:57 . 2013-04-23 23:13	1013248	----a-w-	c:\windows\SysWow64\certutil.exe
2013-06-12 13:57 . 2013-04-23 23:12	109056	----a-w-	c:\windows\SysWow64\cryptnet.dll
2013-06-12 13:57 . 2013-04-23 22:56	1255936	----a-w-	c:\windows\system32\certutil.exe
2013-06-12 13:57 . 2013-04-23 22:55	68096	----a-w-	c:\windows\system32\cryptsvc.dll
2013-06-12 13:57 . 2013-04-23 22:55	141312	----a-w-	c:\windows\system32\cryptnet.dll
2013-06-10 16:01 . 2013-07-05 14:22	--------	d-----w-	c:\program files (x86)\DevNet
.
.
.
((((((((((((((((((((((((((((((((((   Compte-rendu de Find3M   ))))))))))))))))))))))))))))))))))))))))))))))))
.
2013-06-14 02:08 . 2013-02-10 06:17	75825640	----a-w-	c:\windows\system32\MRT.exe
2013-06-12 19:48 . 2013-03-11 11:01	867240	----a-w-	c:\windows\SysWow64
pDeployJava1.dll
2013-06-12 19:48 . 2013-02-10 08:10	789416	----a-w-	c:\windows\SysWow64\deployJava1.dll
2013-06-04 22:09 . 2013-02-12 18:25	78200	----a-w-	c:\windows\SysWow64\FlashPlayerCPLApp.cpl
2013-06-04 22:09 . 2013-02-12 18:25	693112	----a-w-	c:\windows\SysWow64\FlashPlayerApp.exe
2013-05-21 11:06 . 2013-05-06 07:29	45856	----a-w-	c:\windows\system32\drivers\avgtpx64.sys
2013-05-10 08:10 . 2012-07-26 08:13	22240	----a-w-	c:\programdata\Microsoft\IdentityCRL\production\ppcrlconfig600.dll
2013-04-21 02:06 . 2013-04-21 02:06	69632	----a-r-	c:\users\pierre\AppData\Roaming\Microsoft\Installer\{58C91689-85E3-4B25-ADEC-2697986DF817}\ARPPRODUCTICON.exe
2013-04-21 02:06 . 2013-04-21 02:06	49152	----a-r-	c:\users\pierre\AppData\Roaming\Microsoft\Installer\{58C91689-85E3-4B25-ADEC-2697986DF817}\UNINST_Uninstall_Q_336D8C9DB2424DE5BC518E574B25652F.exe
2013-04-16 02:34 . 2013-05-15 07:14	1455368	----a-w-	c:\windows\system32\drivers\dxgkrnl.sys
2013-04-13 05:56 . 2013-05-15 07:11	444416	----a-w-	c:\windows\apppatch\AcSpecfc.dll
2013-04-11 06:40 . 2013-05-15 07:11	6987528	----a-w-	c:\windows\system32
toskrnl.exe
.
.
(((((((((((((((((((((((((((((((((   Points de chargement Reg   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* les éléments vides & les éléments initiaux légitimes ne sont pas listés 
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"HP Deskjet 3070 B611 series (NET)"="c:\program files\HP\HP Deskjet 3070 B611 series\Bin\ScanToPCActivationApp.exe" [2012-10-17 2573416]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"Intel AppUp(SM) center"="c:\program files (x86)\Intel\IntelAppStore\bin\ismagent.exe" [2012-08-01 155488]
"ToshibaDynamicIconUtility"="c:\program files\TOSHIBA\TOSHIBA Places Icon Utility\TosDIMonitor.exe" [2012-08-09 1498624]
"TPUReg"="c:\program files (x86)\TOSHIBA\Password Utility\TosPU.exe" [2012-08-23 6884352]
"EEventManager"="c:\program files (x86)\Epson Software\Event Manager\EEventManager.exe" [2009-12-03 976320]
"QuickTime Task"="c:\program files (x86)\QuickTime\QTTask.exe" [2009-11-10 417792]
"HP Software Update"="c:\program files (x86)\Hp\HP Software Update\HPWuSchd2.exe" [2011-10-28 49208]
"SunJavaUpdateSched"="c:\program files (x86)\Common Files\Java\Java Update\jusched.exe" [2013-03-12 253816]
"avast"="c:\program files\AVAST Software\Avast\avastUI.exe" [2012-08-21 4282728]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"systray"="c:\program files (x86)\Notation\NotationSysTray.exe" [2013-01-10 269440]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"EnableUIADesktopToggle"= 0 (0x0)
"EnableCursorSuppression"= 1 (0x1)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableLinkedConnections"= 1 (0x1)
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\windows]
"LoadAppInit_DLLs"=1 (0x1)
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MCODS]
@=""
.
R1 aswSnx;aswSnx; [x]
R1 aswSP;aswSP; [x]
R2 ABBYY.Licensing.FineReader.Sprint.9.0;ABBYY FineReader 9.0 Sprint Licensing Service;c:\program files (x86)\Common Files\ABBYY\FineReaderSprint\9.00\Licensing\NetworkLicenseServer.exe;c:\program files (x86)\Common Files\ABBYY\FineReaderSprint\9.00\Licensing\NetworkLicenseServer.exe [x]
R2 aswFsBlk;aswFsBlk; [x]
R2 aswMonFlt;aswMonFlt;c:\windows\system32\drivers\aswMonFlt.sys;c:\windows\SYSNATIVE\drivers\aswMonFlt.sys [x]
R2 BBSvc;BingBar Service;c:\program files (x86)\Microsoft\BingBar\7.1.391.0\BBSvc.exe;c:\program files (x86)\Microsoft\BingBar\7.1.391.0\BBSvc.exe [x]
R2 Intel(R) Capability Licensing Service Interface;Intel(R) Capability Licensing Service Interface;c:\program files\Intel\iCLS Client\HeciServer.exe;c:\program files\Intel\iCLS Client\HeciServer.exe [x]
R2 Intel(R) ME Service;Intel(R) ME Service;c:\program files (x86)\Intel\Intel(R) Management Engine Components\FWService\IntelMeFWService.exe;c:\program files (x86)\Intel\Intel(R) Management Engine Components\FWService\IntelMeFWService.exe [x]
R2 jhi_service;Intel(R) Dynamic Application Loader Host Interface Service;c:\program files (x86)\Intel\Intel(R) Management Engine Components\DAL\jhi_service.exe;c:\program files (x86)\Intel\Intel(R) Management Engine Components\DAL\jhi_service.exe [x]
R2 NAUpdate;Nero Update;c:\program files (x86)\Nero\Update\NASvc.exe;c:\program files (x86)\Nero\Update\NASvc.exe [x]
R2 Notation;Notation;c:\program files (x86)\Notation\Notation.exe;c:\program files (x86)\Notation\Notation.exe [x]
R2 NotationMonitor;NotationMonitor;c:\program files (x86)\Notation\NotationMonitor.exe;c:\program files (x86)\Notation\NotationMonitor.exe [x]
R2 PEGAGFN;PEGAGFN;c:\program files (x86)\TOSHIBA\Password Utility\PEGAGFN.sys;c:\program files (x86)\TOSHIBA\Password Utility\PEGAGFN.sys [x]
R2 TOSHIBA eco Utility Service;TOSHIBA eco Utility Service;c:\program files\TOSHIBA\Teco\TecoService.exe;c:\program files\TOSHIBA\Teco\TecoService.exe [x]
R2 UNS;Intel(R) Management and Security Application User Notification Service;c:\program files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe;c:\program files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe [x]
R3 BBUpdate;BBUpdate;c:\program files (x86)\Microsoft\BingBar\7.1.391.0\SeaPort.exe;c:\program files (x86)\Microsoft\BingBar\7.1.391.0\SeaPort.exe [x]
R3 dg_ssudbus;SAMSUNG Mobile USB Composite Device Driver (DEVGURU Ver.);c:\windows\system32\DRIVERS\ssudbus.sys;c:\windows\SYSNATIVE\DRIVERS\ssudbus.sys [x]
R3 GamesAppService;GamesAppService;c:\program files (x86)\WildTangent Games\App\GamesAppService.exe;c:\program files (x86)\WildTangent Games\App\GamesAppService.exe [x]
R3 IntcDAud;Son Intel(R) pour écrans;c:\windows\system32\DRIVERS\IntcDAud.sys;c:\windows\SYSNATIVE\DRIVERS\IntcDAud.sys [x]
R3 RTL8168;Realtek 8168 NT Driver;c:\windows\system32\DRIVERS\Rt630x64.sys;c:\windows\SYSNATIVE\DRIVERS\Rt630x64.sys [x]
R3 RTL8192Ce;Pilote de carte réseau sans fil Realtek 802.11n PCI-E;c:\windows\system32\DRIVERStwlane.sys;c:\windows\SYSNATIVE\DRIVERStwlane.sys [x]
R3 RTWlanE;Realtek Wireless LAN 802.11n PCI-E Network Adapter;c:\windows\system32\DRIVERStwlane.sys;c:\windows\SYSNATIVE\DRIVERStwlane.sys [x]
R3 ssudmdm;SAMSUNG  Mobile USB Modem Drivers (DEVGURU Ver.);c:\windows\system32\DRIVERS\ssudmdm.sys;c:\windows\SYSNATIVE\DRIVERS\ssudmdm.sys [x]
R3 ssudserd;SAMSUNG Mobile USB Diagnostic Serial Port(DEVGURU Ver.);c:\windows\system32\DRIVERS\ssudserd.sys;c:\windows\SYSNATIVE\DRIVERS\ssudserd.sys [x]
R3 TemproMonitoringService;TEMPRO Service;c:\program files (x86)\Toshiba TEMPRO\TemproSvc.exe;c:\program files (x86)\Toshiba TEMPRO\TemproSvc.exe [x]
R3 TMachInfo;TMachInfo;c:\program files\TOSHIBA\TOSHIBA Service Station\TMachInfo.exe;c:\program files\TOSHIBA\TOSHIBA Service Station\TMachInfo.exe [x]
R3 TPCHSrv;TPCH Service;c:\program files\TOSHIBA\TPHM\TPCHSrv.exe;c:\program files\TOSHIBA\TPHM\TPCHSrv.exe [x]
R3 WSDScan;Prise en charge de la numérisation WSD;c:\windows\system32\DRIVERS\WSDScan.sys;c:\windows\SYSNATIVE\DRIVERS\WSDScan.sys [x]
R3 WUDFWpdMtp;WUDFWpdMtp;c:\windows\system32\DRIVERS\WUDFRd.sys;c:\windows\SYSNATIVE\DRIVERS\WUDFRd.sys [x]
R4 GFNEXSrv;GFNEX Service;c:\program files (x86)\TOSHIBA\Password Utility\GFNEXSrv.exe;c:\program files (x86)\TOSHIBA\Password Utility\GFNEXSrv.exe [x]
R4 vToolbarUpdater15.2.0;vToolbarUpdater15.2.0;c:\program files (x86)\Common Files\AVG Secure Search\vToolbarUpdater\15.2.0\ToolbarUpdater.exe;c:\program files (x86)\Common Files\AVG Secure Search\vToolbarUpdater\15.2.0\ToolbarUpdater.exe [x]
S0 iaStorA;iaStorA;c:\windows\System32\drivers\iaStorA.sys;c:\windows\SYSNATIVE\drivers\iaStorA.sys [x]
S2 TVALZFL;TOSHIBA ACPI-Based Value Added Logical and General Purpose Device Filter Driver;c:\windows\system32\DRIVERS\TVALZFL.sys;c:\windows\SYSNATIVE\DRIVERS\TVALZFL.sys [x]
S3 RSUSBSTOR;RtsUStor.Sys Realtek USB Card Reader;c:\windows\System32\Drivers\RtsUStor.sys;c:\windows\SYSNATIVE\Drivers\RtsUStor.sys [x]
S3 SmbDrvI;SmbDrvI;c:\windows\system32\DRIVERS\Smb_driver_Intel.sys;c:\windows\SYSNATIVE\DRIVERS\Smb_driver_Intel.sys [x]
S3 tos_sps64;TOSHIBA tos_sps64 Service;c:\windows\System32\drivers	os_sps64.sys;c:\windows\SYSNATIVE\drivers	os_sps64.sys [x]
.
.
Contenu du dossier 'Tâches planifiées'
.
2013-07-08 c:\windows\Tasks\GlaryInitialize.job
- c:\program files (x86)\Glary Utilities\initialize.exe [2013-07-08 09:15]
.
2013-07-08 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files (x86)\Google\Update\GoogleUpdate.exe [2013-02-17 12:05]
.
2013-07-08 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files (x86)\Google\Update\GoogleUpdate.exe [2013-02-17 12:05]
.
.
--------- X64 Entries -----------
.
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\00avast]
@="{472083B0-C522-11CF-8763-00608CC02F24}"
[HKEY_CLASSES_ROOT\CLSID\{472083B0-C522-11CF-8763-00608CC02F24}]
2012-08-21 09:11	133400	----a-w-	c:\program files\AVAST Software\Avast\ashShA64.dll
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2012-08-08 170304]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2012-08-08 398656]
"Persistence"="c:\windows\system32\igfxpers.exe" [2012-08-08 440640]
"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RAVCpl64.exe" [2012-07-13 12936848]
"TODDMain"="c:\program files (x86)\TOSHIBA\System Setting\TODDMain.exe" [2012-08-04 213136]
"TecoResident"="c:\program files\TOSHIBA\Teco\TecoResident.exe" [2012-08-14 169896]
"SRS Premium Sound HD"="c:\program files\SRS Labs\SRS Control Panel\SRSPanel_64.exe" [2012-07-27 2170784]
.
------- Examen supplémentaire -------
.
uLocal Page = c:\windows\system32\blank.htm
mLocal Page = c:\windows\SysWOW64\blank.htm
uInternet Settings,ProxyServer = http=127.0.0.1:8877;https=127.0.0.1:8877
FF - ProfilePath - c:\users\pierre\AppData\Roaming\Mozilla\Firefox\Profiles\ueqlsqyp.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.fr/
FF - prefs.js: network.proxy.type - 1
FF - prefs.js: network.proxy.http - 127.0.0.1
FF - prefs.js: network.proxy.http_port - 8877
FF - prefs.js: network.proxy.type - 1
FF - prefs.js: network.proxy.http - 127.0.0.1
FF - prefs.js: network.proxy.http_port - 8877
FF - prefs.js: network.proxy.type - 1
FF - ExtSQL: 2013-07-05 17:05; wrc@avast.com; c:\program files\AVAST Software\Avast\WebRep\FF
.
- - - - ORPHELINS SUPPRIMES - - - -
.
Toolbar-Locked - (no file)
HKLM-Run-TCrdMain - c:\program files (x86)\TOSHIBA\Hotkey\TCrdMain_Win8.exe
HKLM-Run-TosWaitSrv - c:\program files (x86)\TOSHIBA\TPHM\TosWaitSrv.exe
.
.
.
--------------------- CLES DE REGISTRE BLOQUEES ---------------------
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4d36e96d-e325-11ce-bfc1-08002be10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4d36e96d-e325-11ce-bfc1-08002be10318}\0001\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
@SACL=(02 0000)
.
Heure de fin: 2013-07-08  11:51:53
ComboFix-quarantined-files.txt  2013-07-08 09:51
.
Avant-CF: 433 837 117 440 octets libres
Après-CF: 433 538 256 896 octets libres
.
- - End Of File - - C969061610957C8F156326C92616E7ED
D41D8CD98F00B204E9800998ECF8427E

Malekal_morte- · Answer

Passe un coup de TDSSKiller : https://forum.malekal.com/viewtopic.php?t=28637&start=
Fais Skip partout.
Donne le rapport, s'il est trop long, utilise http://pjjoint.malekal.com pour le faire passer.

Youri03 · Answer

Je repasse le tool (déjà passé, j'tenvoi le rapport par la suite).
Un coup de docteur Web en plus, tu en pense quoi? Je connais très peu cet outil, mais là où j'en suis, je suis ouvert à de nouveaux outils x)

Malekal_morte- · Answer

Ok laisse tomber TDSSKiller alors.

On va faire MBAR et OTL.

Créer un point de restauration : https://www.malekal.com/restauration-systeme-windows/

Télécharge et installe Malwarebyte MBAR : https://www.malekal.com/malwarebytes-anti-rootkit-mbar-beta/
Mets le à jour, fais un scan rapide, supprime tout et poste le rapport ici.  
Enregistre le rapport sur http://pjjoint.malekal.com
Donne le lien pjjoint ici.


puis :

Faire un scan OTL pour diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt 
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.    
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)    

Dans le cas d'Avast!, ne pas lancer le programme dans la Sandbox (voir lien d'aide ci-dessus).

* Lance OTL    
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :    



netsvcs   
msconfig   
safebootminimal   
safebootnetwork   
activex   
drivers32   
%ALLUSERSPROFILE%\Application Data\*.   
%ALLUSERSPROFILE%\Application Data\*.exe /s   
%APPDATA%\*.   
%APPDATA%\*.exe /s   
%temp%\*.exe /s   
%SYSTEMDRIVE%\*.exe   
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles   
%systemroot%\Tasks\*.job /lockedfiles   
%systemroot%\system32\drivers\*.sys /lockedfiles   
%systemroot%\System32\config\*.sav   
/md5start   
explorer.exe   
winlogon.exe   
wininit.exe
services.exe
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s
HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s
CREATERESTOREPOINT   
nslookup www.google.fr /c   
SAVEMBR:0   
hklm\software\clients\startmenuinternet|command /rs   
hklm\software\clients\startmenuinternet|command /64 /rs



* Clique sur le bouton Analyse.

NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT
* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent), donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message. 

NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT

Youri03 · Answer

https://pjjoint.malekal.com/files.php?id=20130708_i15w10x15p9p6
Voici le rapport.
Je continue de voir de mon coté. Si jamais tu as un début de piste.

Youri03 · Answer

Extrat: https://pjjoint.malekal.com/files.php?id=20130708_x12q14h8x7v8
OLT: https://pjjoint.malekal.com/files.php?id=20130708_v5i7r8s15l8

Je suis en train de faire MBAR.

Malekal_morte- · Answer

ok, question, quand le proxy est actif, le surf fonctionne ?

Youri03 · Answer

Absolument pas, ça marque "Impossible de joindre le serveur proxy".
Il y a juste l'option "Utilisez le proxy" et aucune configuration derrière.

http://nsa33.casimages.com/img/2013/07/08/130708030606381285.png

Pour que tu es l'aperçu. Et c'est pareil sous Firefox et Chrome. Dès que tu lances le navigateur ça fou le proxy par défaut.

Youri03 · Answer

Fin de Mbar, aucune menace détectées, tout est saint...
Je sais pas si c'est une infection commune, je pencherai bien pour un script ou une connerie comme ça, mais je vois rien de ce côté là non plus. C'est vraiment atypique comme fonctionnement.

Malekal_morte- · Answer

En fait, y a des infections qui ajoutent un proxy et dont la partie du malware fait proxy.
Ca permet de faire passer le traffic réseau par le proxy du malware et de récupérer ce qui passe en clair.
Si tu tapes un mot de passe sur un site, hop le malware le récup.
Pareil pour les cookies qui passent en clair.

~~

Là on dirait qu'il y a plus rien à part des restes de ZeroAccess.

Relance OTL. 
o sous Persfonnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:  

:OTL
CHR - plugin: BrowserProtect (Enabled) = C:\Users\pierre\AppData\Local\Google\Chrome\User Data\Default\Extensions\pgafcinpmmpklohkojmllohdhomoefph\1.0_0\spext.dll 
CHR - plugin: Software Update (Enabled) = C:\Program Files (x86)\Software\Update\1.2.201.0
pSoftwareOneClick8.dll
[2013/07/08 11:54:40 | 000,000,000 | -HSD | C] -- C:\.BIN
[2013/01/18 20:29:28 | 001,209,392 | ---- | M] () -- C:\Users\pierre\AppData\Roaming\HoolappForAndroid\Hoolapp.exe
[2013/01/18 20:30:48 | 000,100,912 | ---- | M] () -- C:\Users\pierre\AppData\Roaming\HoolappForAndroid\UpdateProc\UpdateTask.exe
CHR - Extension: Softonic Chrome Toolbar = C:\Users\pierre\AppData\Local\Google\Chrome\User Data\Default\Extensions\elchiiiejkobdbblfejjkbphbddgmljf\1.0_0\ 
:reg
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
"MigrateProxy"=-
"ProxyEnable"=-
"ProxyHttp1.1"=-
"ProxyServer"=-
"ProxyOverride"=-
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
"MigrateProxy"=-
"ProxyEnable"=-
"ProxyHttp1.1"=-
"ProxyServer"=-
"ProxyOverride"=-

* redemarre le pc sous windows et poste le rapport ici 
 
 ~~

vois ce que cela donne.

Youri03 · Answer

Ouais je connais bien les malares qui add des proxy pour récupérer les informations en clair. Je suis sur mon premier cas de proxy fantôme. Je suis aussi du même avis que toi sur le "reste" d'un quelque chose, ZeroAccess je connaissais pas, je me renseignerai dessus.

Je lance ce que tu me dis.

Youri03 · Answer

Re,

j'ai fais ce que tu m'as dis:

========== OTL ==========
File C:\Users\pierre\AppData\Local\Google\Chrome\User Data\Default\Extensions\pgafcinpmmpklohkojmllohdhomoefph\1.0_0\spext.dll not found.
File C:\Program Files (x86)\Software\Update\1.2.201.0
pSoftwareOneClick8.dll not found.
Folder C:\.BIN\ not found.
C:\Users\pierre\AppData\Roaming\HoolappForAndroid\Hoolapp.exe moved successfully.
C:\Users\pierre\AppData\Roaming\HoolappForAndroid\UpdateProc\UpdateTask.exe moved successfully.
C:\Users\pierre\AppData\Local\Google\Chrome\User Data\Default\Extensions\elchiiiejkobdbblfejjkbphbddgmljf\1.0_0 folder moved successfully.
========== REGISTRY ==========
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\MigrateProxy deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyHttp1.1 deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\MigrateProxy not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyHttp1.1 not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride not found.
 
OTL by OldTimer - Version 3.2.69.0 log created on 07082013_152105


Mais j'ai toujours le même problème.
Je recommence OLT avec le mode "tous les utilisateurs" et pas que le 64bits.

Youri03 · Answer

Je reboot pour voir :)

========== OTL ==========
File C:\Users\pierre\AppData\Local\Google\Chrome\User Data\Default\Extensions\pgafcinpmmpklohkojmllohdhomoefph\1.0_0\spext.dll not found.
File C:\Program Files (x86)\Software\Update\1.2.201.0
pSoftwareOneClick8.dll not found.
Folder C:\.BIN\ not found.
File C:\Users\pierre\AppData\Roaming\HoolappForAndroid\Hoolapp.exe not found.
File C:\Users\pierre\AppData\Roaming\HoolappForAndroid\UpdateProc\UpdateTask.exe not found.
File C:\Users\pierre\AppData\Local\Google\Chrome\User Data\Default\Extensions\elchiiiejkobdbblfejjkbphbddgmljf\1.0_0 not found.
========== REGISTRY ==========
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\MigrateProxy deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyHttp1.1 not found.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\MigrateProxy not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyEnable not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyHttp1.1 not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyServer not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ProxyOverride not found.
 
OTL by OldTimer - Version 3.2.69.0 log created on 07082013_152633

Youri03 · Answer

Rien de nouveau, toujours ce problème qui revient, le proxy, enfin son paramètre se remet automatiquement.
Je vois pas où ça peut coincer...Toutes la batterie de logiciel a fait son travail...Y'aurait pas une option windows qui pourrait être touchée et devenue instable à ce niveau là?

Malekal_morte- · Answer

Tu peux tenter un netsh winhttp reset proxy
en invites de commandes en lançant en administrateur (clic droit / executer en tant qu'administrateur).

https://docs.microsoft.com/fr-fr/previous-versions/office/exchange-server-2010/bb430772(v=exchg.141)?redirectedfrom=MSDN

Youri03 · Answer

Une information en plus: Avast était lui aussi configuré pour passer par un proxy. Le changement de l'option puis le reboot du pc ne l'ont pas touché.
Par contre les navigateurs sont toujours touchés.

Et je me pose une question, mais les résidus de chrome...ils sont un peu netteux à mon sens, je n'ai jamais installé Chrome sur ce poste...

Youri03 · Answer

En réponse à ce que tu m'as demandé:

C:\windows\system32>netsh winhttp reset proxy

Paramètres de proxy WinHTTP actuels :

    Accès direct (sans serveur proxy).

Malekal_morte- · Answer

ça a l'air bien dêtre le proxy sur IE qui se remet.
C'est difficile de savoir si c'est un virus qui remet ou si c'est IE qui déconne.

Eventuellement faire un scan NOD32 : https://www.malekal.com/scan-antivirus-ligne-nod32/#NOD32

En plus y a pas de mode sans échec sur Windows 8 :(

Youri03 · Answer

Si si y'a un mode sans échec ;) Si jamais tu veux connaitre la / les méthodes, je t'enverrai ça par MP.

Je lance NOD32 en mode sans échec puis je regardes aussi si y'a pas un fix quelque part pour IE 10.

Youri03 · Answer

Bon, NOD ne m'a rien sortie, et le fix ne m'a réparé les options de proxy, par contre, j'ai eu pas mal d'erreur de remonté sur IE avec le fixit.

Je test le "pre_scan" de gen-hackman, j'ai vu sur ce sujet:
https://forums.commentcamarche.net/forum/affich-22253332-proxy-configure-automatiquement-a-127-0-0-1#6

qu'il pouvait trouver des proxy, je lance et je verrais. SI tu vois autre chose.

Youri03 · Answer

https://forums.commentcamarche.net/forum/affich-28203186-infection-navigateur-proxy?page=2#35

Le fix s'appel:Microsoft Fixit IE Performance MATSKB RUN" Directement prit chez microsoft pour une recherche d'erreur IE.

Ensuite pour le Pre_Scan, il me trouve les Proxy, je peux les "kill" mais apparemment ça fait comme pour RogueKiller, ça me remet le tout en place après reboot.

Malekal_morte- · Answer

D'après ton rapport OTL:  https://forums.commentcamarche.net/forum/affich-28203186-infection-navigateur-proxy#18
c'est la ruche HKEY_USERS qui est touché.
Donc à priori, si tu recréés un nouvel utilisateur, tu devrais pas avoir le prb (éventuellement déplacer les données d'un utilisateur à l'autre).

Une autre solution de contournement consisterait à modifier les permissions sur HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings et empécher ton utilisateur voir SYSTEM d'y écrire.
Ca devrait empécher les clefs de se remettre.

Youri03 · Answer

Delete proxy Session : S-1-5-19 ; S-1-5-20 ; S-1-5-21-1556283557....$ça ressemble à des clefs de registres ou quelque chose du genre... Mais je sais pas trop quoi en faire à force -.-

Youri03 · Answer

Résolu ;)
Sous windows 8, il faut:  

Paramètre > Modifier les paramètres du PC > général > Actualiser votre pc sans effacer vos fichiers.

Windows recharge par défaut tous les paramètres et ne touche ni aux dossiers, images, documents. Par contre tout ce qui est programme ça s'efface. IE quant à lui garde ses favoris mais les autres paramètres sont remis à zéro.

C'était donc bien le registre et les droits qui étaient en tord.

Merci à toi :) tu m'as été d'une grande aide j'ai appris deux trois trucs en plus.

Malekal_morte- · Answer

Me demande si c'est pas une des dernières maj qui fout la grouille.

Y a d'autres sujets.
https://forums.commentcamarche.net/forum/affich-28213135-probleme-case-proxy-se-coche-toute-seule-au-demarrage
https://forums.commentcamarche.net/forum/affich-28207842-proxy-s-active-tout-seul 
 
Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left

Infection Navigateur & Proxy

28 réponses

Discussions similaires

Newsletters