Supprimer GOSAVE sur Chrome définitivementRésolu/Fermé

Question

Bonjour tout le monde, :)

J'ai un problème avec mon Chrome. J'ai le malware Gosave qui s'est incrusté (je fais habituellement gaffe à ce que j'installe mais cette fois-ci ça n'a pas suffit)

J'ai utilisé CCleaner qui n'a pas changé grand chose avant de tomber sur une explication par El Desaparecido (https://forums.commentcamarche.net/forum/affich-31356074-virus-gosave-severe#p31375349 )
J'ai donc suivi le début de l'explication en faisant une analyse avec ZHP Diag dont voici le lien (via Paste and Furious). 
http://www.pasteandfurious.com/299/

je suis bloquée après cette analyse. :/

Est-ce que quelqu'un saurait m'aider s'il vous plait???

Bon weekend


Configuration: Windows / Chrome 38.0.2125.111

cabrier · Answer

Bonjour,


On va commencer par nettoyer avec ZHPFix


Ce script va cibler certains éléments à supprimer :

*    Ferme toutes tes applications en cours
*    Sélectionne et copie toutes les lignes en gras et italique suivantes depuis et y compris Script ZHPFIX :


Script ZHPFix
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Application: Modified
G0 - GCSP: Preference [User Data\Default][StartupURLs] http://www.awesomehp.com/?type=hp&ts=1393051306&from=tugs&uid=HitachiXHDT721010SLA360_STF607MH3YWLPK3YWLPKX", "http://delta-searches.com/?type=hp&ts=1409321479&from=cor&uid=TOSHIBAXDT01ACA200_54A90ZEKSXX54A90ZEKSX
G2 - GCE: Preference [User Data\Default] [goigfgmghlpbbieoiiijmdaelnbglcap] SAvErExTension v.1 (Activé)
G2 - EXT: C:\Users\alfa\AppData\Local\Google\Chrome\User Data\Default\Extensions\goigfgmghlpbbieoiiijmdaelnbglcap [SAvErExTension]
O2 - BHO: RanDoemPriecie [64Bits] - {a0f4f0cd-3a8c-4b9d-9b3c-23545db28339} . (...) -- C:\ProgramData\RanDoemPriecie\ECWPqvMq08gCfI.dll
O2 - BHO: BitSaverr [64Bits] - {c61d0db7-51cd-4568-bec4-98a1994f23fc} . (...) -- C:\ProgramData\BitSaverr\6gRAhKQGYlwK90.dll
O42 - Logiciel: BitSaverr - (."".) [HKLM][64Bits] -- {A3FC46A0-9B62-0EF3-B475-743B3A2762B1}
O42 - Logiciel: RanDoemPriecie - (."".) [HKLM][64Bits] -- {8E8C2E2D-7F21-2CF5-0ADB-64935121ECF0}
O42 - Logiciel: StepOne - (.Software Publisher.) [HKLM][64Bits] -- {12DA0E6F-5543-440C-BAA2-28BF01070AFA}{f275c174}
[HKCU\Software\AppDataLow\{12DA0E6F-5543-440C-BAA2-28BF01070AFA}]
[HKLM\Software\Wow6432Node\190dcf17-b6e8-04cb-850b-987d2f56063a]
C:\ProgramData\BitSaverr
C:\ProgramData\RanDoemPriecie
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\KMSpico
O45 - LFCP:[MD5.E26F46A161885F57664E23C8F41F9B21] - 26/12/2014 - 09:55:58 ---A- - C:\Windows\Prefetch\FASTERLIGHT.PURBROWSE64.EXE-FBC14463.pf
O45 - LFCP:[MD5.CA2314140C549025B96A01A3BDCC8BEA] - 07/09/2014 - 07:25:21 ---A- - C:\Windows\Prefetch\SUNRISEBROWSE.PURBROWSE64.EXE-578E442F.pf
O45 - LFCP:[MD5.578ADF95F8F9C9E273CBF1F0144BB634] - 29/08/2014 - 15:11:24 ---A- - C:\Windows\Prefetch\SUNRISEBROWSESETUP.EXE-DCA37AF9.pf
O45 - LFCP:[MD5.94855A1A10AE5D1D68BC1979B0A78913] - 07/09/2014 - 17:23:00 ---A- - C:\Windows\Prefetch\SUNRISEBROWSEUNTEMP.EXE-E6329B23.pf
O45 - LFCP:[MD5.50E0F1A957435139F79FEB55F930648B] - 29/08/2014 - 15:11:46 ---A- - C:\Windows\Prefetch\SUNRISEBROWSE_SETUP.EXE-C1002E21.pf
[HKLM\Software\Google\Chrome\Extensions\goigfgmghlpbbieoiiijmdaelnbglcap]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{A0F4F0CD-3A8C-4B9D-9B3C-23545DB28339}]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C61D0DB7-51CD-4568-BEC4-98A1994F23FC}]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{A3FC46A0-9B62-0EF3-B475-743B3A2762B1}]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{8E8C2E2D-7F21-2CF5-0ADB-64935121ECF0}]
C:\Users\alfa\AppData\Local\Google\Chrome\User Data\Default\Extensions\goigfgmghlpbbieoiiijmdaelnbglcap
ShortcutFix 
PROXYFix
EmptyFlash
EmptyPrefetch
EmptyTemp
EmptyCLSID



*    Lance ZHPFix via le raccourci sur ton Bureau, (Si tu es sous Vista ou Windows 7 ou Windows 8 n'oublie pas clic droit ==> en tant qu'administrateur")
*    Si tu obtiens le message "Voulez-vous autoriser le programme suivant..."Tu réponds "Oui"
*    Clique sur le bouton "IMPORTER"
*    Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes

*    Clique sur le bouton «GO» pour le lancer le nettoyage
*    A la demande, confirme le nettoyage des données en cliquant sur [OK]
*    Patiente le temps du traitement.
*    ZHPFix va te demander si tu souhaites vider ta corbeille, clique sur ton choix (le traitement peut être long suivant la quantité de données à supprimer)
*    Un rapport nommé ZHPFixReport.txt sera créé et sauvegardé sur le bureau
*    Ce rapport se trouve aussi ici C:\ZHP\ZHPFix[R1].txt
*    Copie/colle la totalité du rapport dans ta prochaine réponse

A+

drakelex · Answer

Bonjour Cabrier :)

merci pour l'aide.

voilà le rapport

Rapport de ZHPFix 2014.10.24.12 par Nicolas Coolman, Update du 24/10/2014
Fichier d'export Registre : 
Run by alfa at 18/01/2015 09:50:44
High Elevated Privileges : OK
Windows 8 Home Premium Edition, 64-bit Service Pack 1 (9600)

Corbeille vidée (00mn 02s)
Dossier Prefetcher vidé
Réparation des raccourcis navigateur

========== Logiciels ==========
ABSENT Uninstall Process: c:\programdata\bitsaverr\6grahkqgylwk90.exe
ABSENT Uninstall Process: c:\programdata\randoempriecie\ecwpqvmq08gcfi.exe
ABSENT Uninstall Process: c:\windows\system32\rundll32.exe

========== Clés du Registre ==========
SUPPRIMÉ Logiciel Key: [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{A3FC46A0-9B62-0EF3-B475-743B3A2762B1}]
SUPPRIMÉ Logiciel Key: [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{8E8C2E2D-7F21-2CF5-0ADB-64935121ECF0}]
SUPPRIMÉ: HKCU\Software\AppDataLow\{12DA0E6F-5543-440C-BAA2-28BF01070AFA}
SUPPRIMÉ: HKLM\Software\Wow6432Node\190dcf17-b6e8-04cb-850b-987d2f56063a

========== Valeurs du Registre ==========
ProxyFix : Configuration proxy supprimée avec succès
SUPPRIMÉ ProxyServer Value
SUPPRIMÉ ProxyEnable Value
SUPPRIMÉ EnableHttp1_1 Value
SUPPRIMÉ ProxyHttp1.1 Value
SUPPRIMÉ ProxyOverride Value

========== Eléments de donnée du Registre ==========
SUPPRIMÉ Explorer Association Data Application: http://www.filefacts.net/redirect.php?ext=%s

========== Préférences navigateur ==========
PRESENT Chrome File: C:\Users\alfa\AppData\Local\Google\Chrome\User Data\Default\Preferences
ABSENT Chrome Site: http://www.awesomehp.com/?type=hp&ts=1393051306&from=tugs&uid=HitachiXHDT721010SLA360_STF607MH3YWLPK3YWLPKX", "http://delta-searches.com/?type=hp&ts=1409321479&from=cor&uid=TOSHIBAXDT01ACA200_54A90ZEKSXX54A90ZEKSX
SUPPRIMÉ Folder Chrome: C:\Users\alfa\AppData\Local\Google\Chrome\User Data\Default\Extensions\goigfgmghlpbbieoiiijmdaelnbglcap

========== Dossiers ==========
Aucun dossiers CLSID Local utilisateur vide

========== Fichiers ==========
SUPPRIMÉ: c:\users\alfa\appdata\local\google\chrome\user data\default\preferences
SUPPRIMÉ: c:\windows\prefetch\fasterlight.purbrowse64.exe-fbc14463.pf
SUPPRIMÉ: c:\windows\prefetch\sunrisebrowse.purbrowse64.exe-578e442f.pf
SUPPRIMÉ: c:\windows\prefetch\sunrisebrowsesetup.exe-dca37af9.pf
SUPPRIMÉ: c:\windows\prefetch\sunrisebrowseuntemp.exe-e6329b23.pf
SUPPRIMÉ: c:\windows\prefetch\sunrisebrowse_setup.exe-c1002e21.pf
SUPPRIMÉS Flash Cookies (0) (0 octets)
SUPPRIMÉS Temporaires Windows (67) (4 581 639 octets)


========== Récapitulatif ==========
4 : Clés du Registre
6 : Valeurs du Registre
1 : Eléments de donnée du Registre
1 : Dossiers
8 : Fichiers
3 : Logiciels
3 : Préférences navigateur


End of clean in 00mn 29s

========== Chemin de fichier rapport ==========
C:\Users\alfa\AppData\Roaming\ZHP\ZHPFix[R1].txt - 18/01/2015 09:50:49 [2839]

cabrier · Answer

OK,


Tes navigateurs WEB peuvent avoir été modifiées (démarrage, moteur, extensions ajoutées), voici comment faire pour rétablir une configuration normale et t'affranchir de ces parasites (bien entendu tu peux aussi les désinstaller puis réinstaller, dans certains cas c'est la solution !) :

* IE ---> : https://forum.malekal.com/viewtopic.php?t=41399&start=
* Firefox --->: https://www.malekal.com/reparer-firefox/?t=36057&start=
* Chrome ---> : https://www.malekal.com/reparer-google-chrome/?t=35837&start=
-------------------------------------------------------------
Tu peux aussi utiliser cet outil :

Télécharge ZHPCleaner à cette adresse :
https://nicolascoolman.eu

ZHPCleaner est un utilitaire conçu pour combattre les pirates de navigateurs (Hijackers). Son objectif principal est de rétablir les paramètres Proxy et de supprimer les redirections des navigateurs.

---> Laisse coché toutes les cases,
---> Clique sur "Réparer"

Un rapport t'indique ce qui a été rétabli, sélectionne le, clic droit copier et colle le dans ta réponse.

--------------------------------------------------------
La même manipulation peut se faire manuellement :
-clic droit sur les icônes de raccourcis ---> propriétés,
- voir "cible" et vérifier que la fin de l'adresse ne comporte pas une adresse supplémentaire de redirection. Dans ce cas supprimer uniquement cette adresse http supplémentaire. 
 

A+

drakelex · Answer

woua! super merci beaucoup!!
Je n'ai plus de problèmes!!

Merci beaucoup!!ça devenait insupportable toutes ces pubs et ouvertures intempestives de fenêtres!

Supprimer GOSAVE sur Chrome définitivement

4 réponses

Discussions similaires

Newsletters