Proxy 127.0.0.1:9880 ...bis

Résolu
lochinver Messages postés 101 Date d'inscription   Statut Membre Dernière intervention   -  
Malekal_morte- Messages postés 180304 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   -
Bonjour,

Ayant suivi le fil concernant la résolution de ce problème de proxy 127.0.0.1:9880, je vois que la résolution est personnalisée. Mes connaissances informatiques sont bonnes, mais j'avoue que le côté désinfection n'est vraiment pas au top.

J'ai donc un PC Windows 7 Home Premium 32 bits (oui, oui) infecté par ce proxy qui revient sans arrêt et qui ralenti fortement le PC et ajoute de la pub, même sur Google.

J'ai suivi les premières indications et suis en train d'y faire tourner OTL.

Je voudrais savoir si quelqu'un pourrai m'assister lorsque j'aurai le rapport ?

Je sais déjà que Spybot et Malwarebytes sont installés, mais cela a été fait après l'infection, ils ne sont donc pas responsable, la protection actuelle est Avast Premium (payant).

Merci d'avance pour votre aide !


Voici les rapports :

https://pjjoint.malekal.com/files.php?id=20140423_t12b13n14e12q7

https://pjjoint.malekal.com/files.php?id=20140423_n8t8t10w10f13

11 réponses

Réponse 1 / 11
Malekal_morte- Messages postés 180304 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 685
 
Salut,

Regarde là : https://forums.commentcamarche.net/forum/affich-37640573-desactiver-son-proxy

Désinstalle Spybot, pas efficace.

Fais ça :

Télécharge https://www.malekal.com/adwcleaner-supprimer-virus-adwares-pup/?t=33839&start= AdwCleaner ( d'Xplode ) sur ton bureau.
Sur la page d'AdwCleaner, à droite, clic sur la disquette grise avec la flèche verte pour lancer le téléchargement.
Lance AdwCleaner, clique sur [Scanner].
Le scan peux durer plusieurs minutes, patienter.
Une fois le scan terminé, clique sur [Nettoyer]

Une fois le nettoyage terminé, un rapport s'ouvrira. Copie/colle le contenu du rapport dans ta prochaine réponse par un copier/coller.
Si cela ne fonctionne pas, utilise le site http://pjjoint.malekal.com pour héberger le rapport, donne le lien du rapport dans un nouveau message.

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

0
Réponse 2 / 11
lochinver Messages postés 101 Date d'inscription   Statut Membre Dernière intervention   1
 
Merci !

Il a trouvé qqch, j'ai supprimé le proxy à la main après le redémarrage, on verra si ça tient. Voici le rapport d'Adwcleaner

# AdwCleaner v3.201 - Rapport créé le 23/04/2014 à 09:43:22
# Mis à jour le 22/04/2014 par Xplode
# Système d'exploitation : Windows 7 Professional Service Pack 1 (32 bits)
# Nom d'utilisateur : Compta - PC-COMPTA
# Exécuté depuis : C:\Users\Compta\Desktop\adwcleaner (1).exe
# Option : Nettoyer

***** [ Services ] *****

[#] Service Supprimé : PirritDesktop

***** [ Fichiers / Dossiers ] *****

Dossier Supprimé : C:\ProgramData\apn
Dossier Supprimé : C:\ProgramData\Ask
Dossier Supprimé : C:\Program Files\WinRST
Dossier Supprimé : C:\Users\Compta\AppData\Local\apn
Dossier Supprimé : C:\Users\Compta\AppData\Local\PirritSuggestor
Dossier Supprimé : C:\Users\Compta\AppData\Local\Temp\apn
Dossier Supprimé : C:\Users\Compta\AppData\Roaming\pdfforge
Fichier Supprimé : C:\Users\Compta\AppData\Roaming\Mozilla\Firefox\Profiles\nvzugbku.default\Extensions\suggestor@suggestor.pirrit.com.xpi
Fichier Supprimé : C:\Users\Compta\AppData\Roaming\Mozilla\Firefox\Profiles\nvzugbku.default\searchplugins\Askcom.xml
Fichier Supprimé : C:\Users\Compta\AppData\Roaming\Mozilla\Firefox\Profiles\nvzugbku.default\searchplugins\askcomsearch.xml
Fichier Supprimé : C:\Windows\Tasks\SpeedUpMyPC.job
Fichier Supprimé : C:\Windows\System32\Tasks\SpeedUpMyPC
Fichier Supprimé : C:\Windows\Tasks\spmonitor.job
Fichier Supprimé : C:\Windows\System32\Tasks\spmonitor

***** [ Raccourcis ] *****


***** [ Registre ] *****

[#] Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{63083982-E64F-4FBE-A87C-3CCDA2416D92}
[#] Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{63083982-E64F-4FBE-A87C-3CCDA2416D92}
[#] Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Logon\{2782C6BB-55A5-4B4D-BF56-E276FD754403}
[#] Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{2782C6BB-55A5-4B4D-BF56-E276FD754403}
Clé Supprimée : HKLM\SOFTWARE\Classes\GenericAskToolbar.ToolbarWnd
Clé Supprimée : HKLM\SOFTWARE\Classes\GenericAskToolbar.ToolbarWnd.1
Clé Supprimée : HKLM\SOFTWARE\Classes\speedupmypc
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\apnstub_RASAPI32
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\apnstub_RASMANCS
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\TaskScheduler_RASAPI32
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\TaskScheduler_RASMANCS
Clé Supprimée : HKLM\SOFTWARE\Classes\AppID\{9B0CB95C-933A-4B8C-B6D4-EDCD19A43874}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{D4027C7F-154A-4066-A1AD-4243D8127440}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{6C434537-053E-486D-B62A-160059D9D456}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{91CF619A-4686-4CA4-9232-3B2E6B63AA92}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{AC71B60E-94C9-4EDE-BA46-E146747BB67E}
Clé Supprimée : HKLM\SOFTWARE\Classes\TypeLib\{2996F0E7-292B-4CAE-893F-47B8B1C05B56}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{014DB5FA-EAFB-4592-A95B-F44D3EE87FA9}
Valeur Supprimée : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{D4027C7F-154A-4066-A1AD-4243D8127440}]
Clé Supprimée : HKCU\Software\YahooPartnerToolbar
Clé Supprimée : HKCU\Software\AppDataLow\{1146AC44-2F03-4431-B4FD-889BC837521F}
Clé Supprimée : HKLM\Software\{1146AC44-2F03-4431-B4FD-889BC837521F}
Clé Supprimée : HKLM\Software\{3A7D3E19-1B79-4E4E-BD96-5467DA2C4EF0}
Clé Supprimée : HKLM\Software\{6791A2F3-FC80-475C-A002-C014AF797E9C}
Clé Supprimée : HKLM\Software\Pirrit
Clé Supprimée : HKLM\Software\Uniblue
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\08121C32A9C319F4CB0C11FF059552A4
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\305B09CE8C53A214DB58887F62F25536

***** [ Navigateurs ] *****

-\\ Internet Explorer v11.0.9600.16521


-\\ Mozilla Firefox v

[ Fichier : C:\Users\Compta\AppData\Roaming\Mozilla\Firefox\Profiles\nvzugbku.default\prefs.js ]

Ligne Supprimée : user_pref("browser.search.defaultengine", "Ask.com Search");
Ligne Supprimée : user_pref("browser.search.defaultenginename", "Ask.com Search");
Ligne Supprimée : user_pref("browser.search.order.1", "Ask.com Search");
Ligne Supprimée : user_pref("browser.search.selectedEngine", "Ask.com Search");
Ligne Supprimée : user_pref("extensions.asktb.InstallDir", "C:\\Program Files\\Ask.com\\");
Ligne Supprimée : user_pref("extensions.asktb.abar-war-regex", "conduit\\.com");
Ligne Supprimée : user_pref("extensions.asktb.apn_dbr", "ie_9.0.8112.16421");
Ligne Supprimée : user_pref("extensions.asktb.autofill-competitor-query-enabled", true);
Ligne Supprimée : user_pref("extensions.asktb.cbid", "U3");
Ligne Supprimée : user_pref("extensions.asktb.config-updated", true);
Ligne Supprimée : user_pref("extensions.asktb.crumb", "2011.11.02+10.08.00-toolbar003iad-CH-WnVyaWNoLFN3aXR6ZXJsYW5k");
Ligne Supprimée : user_pref("extensions.asktb.default-channel-url-mask", "hxxp://eu.ask.com/web?qsrc={qsrc}&o={o}&l={l}&q={query}&dm=all&gct=bar");
Ligne Supprimée : user_pref("extensions.asktb.displaybehavior", "");
Ligne Supprimée : user_pref("extensions.asktb.displaytext", "");
Ligne Supprimée : user_pref("extensions.asktb.dtid", "OSJ000YYCH");
Ligne Supprimée : user_pref("extensions.asktb.dyn-weather-do-locid-lookup-weatherWidget", false);
Ligne Supprimée : user_pref("extensions.asktb.dyn-weather-locid-weatherWidget", "SZXX0033");
Ligne Supprimée : user_pref("extensions.asktb.dyn-weather-tempunit-weatherWidget", "C");
Ligne Supprimée : user_pref("extensions.asktb.ff-original-keyword-url", "");
Ligne Supprimée : user_pref("extensions.asktb.guid", "81DA8AA2-95A3-48BC-8677-CEF31E3EEB15");
Ligne Supprimée : user_pref("extensions.asktb.hxxp-header-whitelist-hosts", "[\"static-dev.en.dev.ask.com\", \"ask.com\", \"www.facebook.com\", \"www.playsushi.com\", \"WWW.google.com\", \"hxxps://websearch.ask.com\", [...]
Ligne Supprimée : user_pref("extensions.asktb.if", "");
Ligne Supprimée : user_pref("extensions.asktb.keyword-toggled-in-session", false);
Ligne Supprimée : user_pref("extensions.asktb.l", "dis");
Ligne Supprimée : user_pref("extensions.asktb.last-config-req", "1385285329572");
Ligne Supprimée : user_pref("extensions.asktb.locale", "fr_EU");
Ligne Supprimée : user_pref("extensions.asktb.location", "Zurich,Switzerland");
Ligne Supprimée : user_pref("extensions.asktb.lstation", "");
Ligne Supprimée : user_pref("extensions.asktb.new-tab-opt-out", true);
Ligne Supprimée : user_pref("extensions.asktb.news-native-on", true);
Ligne Supprimée : user_pref("extensions.asktb.o", "100000027");
Ligne Supprimée : user_pref("extensions.asktb.pstate", "");
Ligne Supprimée : user_pref("extensions.asktb.qsrc", "2871");
Ligne Supprimée : user_pref("extensions.asktb.sa", "YES");
Ligne Supprimée : user_pref("extensions.asktb.saguid", "62A1C643-0589-4B07-BCC3-EE7EEC850894");
Ligne Supprimée : user_pref("extensions.asktb.search-suggestions-enabled", true);
Ligne Supprimée : user_pref("extensions.asktb.silent-upgrade-from-pre-newtabs-build", false);
Ligne Supprimée : user_pref("extensions.asktb.socialmini-first", true);
Ligne Supprimée : user_pref("extensions.asktb.socialmini-interval", "1200000");
Ligne Supprimée : user_pref("extensions.asktb.socialmini-max-char-ticker", "33");
Ligne Supprimée : user_pref("extensions.asktb.socialmini-max-items", "30");
Ligne Supprimée : user_pref("extensions.asktb.socialmini-native-on", true);
Ligne Supprimée : user_pref("extensions.asktb.socialmini-speed", "10000");
Ligne Supprimée : user_pref("extensions.asktb.socialmini-transition-first-open", false);
Ligne Supprimée : user_pref("extensions.asktb.themeid", "");
Ligne Supprimée : user_pref("extensions.asktb.timeinstalled", "05.11.2012 18:41:28");
Ligne Supprimée : user_pref("extensions.asktb.to", "");
Ligne Supprimée : user_pref("extensions.enabledItems", "{CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA}:6.0.23,{CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}:6.0.24,{CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA}:6.0.26,wrc@avast.com:8.0.1497,{[...]
Ligne Supprimée : user_pref("extensions.wrc.SearchRules.ask.com.style", ".WRCN {display:none} #yui-main .tsrc_vnru .title + .WRCN, #yui-main #teoma-results .title + .WRCN {display:inline !important; background: url(\"I[...]
Ligne Supprimée : user_pref("extensions.wrc.SearchRules.ask.com.url", "^hxxp(s)?\\:\\/\\/(.+\\.)?ask\\.com\\/.*");
Ligne Supprimée : user_pref("extensions.wrc.SearchRules.rambler.ru.style", ".WRCN {display:none} .search-results .title + .WRCN {display:inline !important; background: url(\"IMAGE\") right no-repeat}");

-\\ Google Chrome v34.0.1847.116

[ Fichier : C:\Users\Compta\AppData\Local\Google\Chrome\User Data\Default\preferences ]

Supprimée [Startup_urls] :
Supprimée [Homepage] : hxxp://search.conduit.com/?gd=&ctid=CT3320133&octid=EB_ORIGINAL_CTID&ISID=M137E2A72-7415-42C4-B8E2-E05A94BBE4C0&SearchSource=55&CUI=&UM=5&UP=SPFEE5A011-8E47-494C-AE05-4F042C9839AA&SSPV=
Supprimée [Homepage] : hxxp://search.conduit.com/?gd=&ctid=CT3320133&octid=EB_ORIGINAL_CTID&ISID=M137E2A72-7415-42C4-B8E2-E05A94BBE4C0&SearchSource=55&CUI=&UM=5&UP=SPFEE5A011-8E47-494C-AE05-4F042C9839AA&SSPV=
Supprimée [Homepage] : hxxp://search.conduit.com/?gd=&ctid=CT3320133&octid=EB_ORIGINAL_CTID&ISID=M137E2A72-7415-42C4-B8E2-E05A94BBE4C0&SearchSource=55&CUI=&UM=5&UP=SPFEE5A011-8E47-494C-AE05-4F042C9839AA&SSPV=

*************************

AdwCleaner[R0].txt - [10107 octets] - [23/04/2014 09:40:23]
AdwCleaner[S0].txt - [9610 octets] - [23/04/2014 09:43:22]

########## EOF - C:\AdwCleaner\AdwCleaner[S0].txt - [9670 octets] ##########
0
Réponse 3 / 11
Malekal_morte- Messages postés 180304 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 685
 
C'est PirritSuggestor qui le met.

Histoire de voir :

Faire un Scan OTL - Temps : Environ 40min
=============================================
OTL permet de diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/tutorial-otl/

* Télécharge http://www.geekstogo.com/forum/files/file/398-otl-oldtimers-list-it/ sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

* Lance OTL
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Clique sur le bouton Analyse.

**** Si durant le scan - OTL ne répond pas, ne touche à rien et laisse le scan se poursuivre ****

* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans une réponse.
Je répète : donne le lien du rapport pjjoint ici en réponse.

NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE
0
Réponse 4 / 11
lochinver Messages postés 101 Date d'inscription   Statut Membre Dernière intervention   1
 
J'ai mis les rapports OTL sur mon premier post, c'était avant Adwcleaner, Est-ce que cela te suffit ?

Effectivement, "il" est de retour ;-)
0
Malekal_morte- Messages postés 180304 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 685
 
faut refaire un scan OTL pour voir les modifs après AdwCleaner.
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 11
lochinver Messages postés 101 Date d'inscription   Statut Membre Dernière intervention   1
 
Voici le rapport tout frais, mais je n'ai pas eu le extra cette fois-ci :

https://pjjoint.malekal.com/files.php?id=20140423_d15r1512j137
0
lochinver Messages postés 101 Date d'inscription   Statut Membre Dernière intervention   1
 
Je dois m'absenter jusqu'en milieu d'après-midi, je reprendrai le fil à ce moment-là.

Merci encore
0
Réponse 6 / 11
Malekal_morte- Messages postés 180304 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 685
 
Relance OTL.
o sous Personnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:


:OTL
SRV - File not found [Auto | Stopped] -- C:\Program Files\WinRST\WinRST.exe -- (WinRST)
IE - HKU\.DEFAULT\..\SearchScopes,DefaultScope =
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: ProxyEnable = 1
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: ProxyServer = http=127.0.0.1:50207;https=127.0.0.1:50207
:Commands
[resethosts]

* poste le rapport ici

Redémarre l'ordinateur

Refais un scan OTL et donne le rapport.
0
Réponse 7 / 11
lochinver Messages postés 101 Date d'inscription   Statut Membre Dernière intervention   1
 
Voici déjà le rapport de la correction, je vais redémarrer et refaire un OTL

========== OTL ==========
Service WinRST stopped successfully!
Service WinRST deleted successfully!
File C:\Program Files\WinRST\WinRST.exe not found.
HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully!
HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\| /E : value set successfully!
HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\| /E : value set successfully!
========== COMMANDS ==========
C:\Windows\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

OTL by OldTimer - Version 3.2.69.0 log created on 04232014_170115
0
Réponse 8 / 11
lochinver Messages postés 101 Date d'inscription   Statut Membre Dernière intervention   1
 
Et voici le rapport OTL :

https://pjjoint.malekal.com/files.php?id=20140423_t8b11u11m7m9

Au niveau proxy, il n'est plus là, le rapport le confirme ?
0
Réponse 9 / 11
Malekal_morte- Messages postés 180304 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 685
 
Il y a encore des valeurs où il est activé, mais je pense que tu dois voir l'option comme n'étant pas active ?

D'autre part, il faut que tu changes le mot de passe de tes comptes Gmail, ils peuvent avoir été volés.
0
Réponse 10 / 11
lochinver Messages postés 101 Date d'inscription   Statut Membre Dernière intervention   1
 
Effectivement, l'option est désactivée et le reste après les redémarrage. Pour moi c'est OK, mais cela signifie que la bestiole va se réactiver ?

Ok pour les mots de passe Gmail.

En tout cas, un tout grand merci, c'est vraiment sympa et efficace !
0
Réponse 11 / 11
Malekal_morte- Messages postés 180304 Date d'inscription   Statut Modérateur, Contributeur sécurité Dernière intervention   24 685
 
nice :)

Installe Malwarebyte's Anti-Malware : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Fais des scans réguliers avec, il est efficace.



Pour ne plus te faire avoir.
A lire - Programmes parasites / PUPs : https://www.malekal.com/adwares-pup-protection/

0

Discussions similaires

que signifie l’adresse IP http://127.0.0.1 (localhost)
adonis -
Jean-Marie -

16 réponses
Virus Proxy http=127.0.0.1:8080;https=127.0.0.1:80
MastakBE -
ralphpn61 -

7 réponses
"127.0.0.1" (port: 1080) localhost
galaxyone92 -
galaxyone92 -

29 réponses
Probleme proxy http=127.0.0.1:8080;https=127.0.0.1:8080 / Plus de connexion
Edinka -
Malekal_morte- -

3 réponses
localhost "127.0.0.1" l'invite de commande
galaxyone92 -
galaxyone92 -

22 réponses