Bahaty.com résiduel

Forward1357 -  
Bonjour,

J'ai infecté mon PC avec bahaty.com, un PUP.
J'ai cherché sur internet et réalisé les manoeuvres recommandées pour le supprimer (réinitialisation et nettoyage des navigateurs, puis passage de AdwCleaner et de MalwaresBytes).
AdwCleaner et MalwaresBytes ne le trouvent pas (0 menaces détectées, rien à mettre en quarantaine, nada), mais si je ne l'ai pas en page d'accueil/moteur de recherche bahaty continue à m'ouvrir occasionnellement de nouveaux onglets et un raccourci IE vers leur site sur le bureau, ainsi qu'à infecter les clés USB connectées à mon ordinateur.

Comment m'en débarrasser?

Merci d'avance,

9 réponses

  1.  Malekal_morte- Modérateur
    Salut,

    Sur quel navigateur WEB?

    fais ceci :

    Suis ce tutorial : https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/
    Cela va générer deux rapports FRST.
    Envoie comme expliqué, ces deux rapports sur le site http://pjjoint.malekal.com et donne les trois liens pjjoint de ces rapports afin qu'ils puissent être consultés.

    Like the angel you are, you laugh creating a lightness in my chest,
    Your eyes they penetrate me,
    (Your answer's always 'maybe')
    That's when I got up and left
    0
    2. Malekal_morte- Modérateur
      Pas grand chose,

      Voici la correction à effectuer avec FRST.
      Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fix

      Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
      Copie/colle dedans ce qui suit :

      Startup: C:\Users\Théo\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Start.lnk
      2015-02-17 14:50 - 2015-02-17 14:51 - 00000000 ____D () C:\ProgramData\E1864A66-75E3-486a-BD95-D1B7D99A84A7

      Une fois, le texte coller dans le bloc-note.
      Menu Fichier puis Enregistrer sous.
      A gauche, place toi sur le bureau.

      Dans le champs en bas, nom du fichier mets : fixlist.txt
      Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.

      Relance FRST et clic sur le bouton Fix
      Selon comment un redémarrage est nécessaire (pas obligatoire).
      Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

      Redémarre l'ordinateur

      0
      1. Forward1357 Auteur
        Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 18-02-2015 01
        Ran by Théo at 2015-02-20 17:44:59 Run:1
        Running from C:\Users\Théo\Desktop
        Loaded Profiles: Théo (Available profiles: Théo)
        Boot Mode: Normal
        ==============================================

        Content of fixlist:
        Startup: C:\Users\Théo\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Start.lnk
        2015-02-17 14:50 - 2015-02-17 14:51 - 00000000 ____D () C:\ProgramData\E1864A66-75E3-486a-BD95-D1B7D99A84A7

        C:\Users\Théo\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Start.lnk => Moved successfully.
        C:\ProgramData\E1864A66-75E3-486a-BD95-D1B7D99A84A7 => Moved successfully.

        End of Fixlog 17:44:59

        Merci!
        0
        1. Forward1357 Auteur
          Je ne sais pas si le fix était sensé y mettre fin, mais j'ai encore eu un onglet "auto-ouvert" (at http://bahaty.com/red/
          0
      3. Forward1357 Auteur
        Salut,

        C:\Users\Théo\Downloads\PDFCreator-1_7_2_setup [1].exe Win32/InstallMonetizer.AQ potentially unwanted application deleted - quarantined
        D:\AUTOEXE VBS/Agent.NHG worm cleaned by deleting - quarantined
        D:\img.jpg VBS/Agent.NHG worm cleaned by deleting - quarantined
        D:\NTDETE VBS/Agent.NHW trojan cleaned by deleting - quarantined
        D:\Photo0.jpg VBS/Agent.NHW trojan cleaned by deleting - quarantined

        C'était ça?
        Et je vois un cheval de Troie, devrais-je changer mes mdp pour les comptes mails etc?
        Merci!
        0
        1. lilidurhone Contributeur sécurité
          il aurait fallu utiliser usbfix
          0
        2. Forward1357 Auteur
          Le "D:\" n'est pas une clé USB mais le deuxième disque dur (HDD je crois), C: étant un SSD plus petit. Je sais pas si ça change quelque chose, je dis ça par rapport au nom du logiciel!
          0
        3. Malekal_morte- Modérateur
          D'après le rapport FRST, il était actif.
          Normalement, on l'a viré avec FRST.
          Nettoye tes disques amovibles avec USBFix, voir message suivant.
          0
      5. Forward1357 Auteur
        En fait j'ai pas de disques amovibles perso, je l'ai quand même lancé au cas où (pour le D:\ là) et le rapport me semble clean.

        J'ai envoyé le lien du tutoriel USBfix à celle que j'ai infecté à mon tour (+ du scan NOD32) pour qu'elle l'utilise sur ses clés/ordinateur, et je le ferais circuler dans ma promo parce que je pense avoir été infecté lors d'une khôlle.

        Merci pour tout!
        0
        1. Malekal_morte- Modérateur
          bathomy arrete de s'ouvrir ?
          0
        2. Forward1357 Auteur
          Pour l'instant oui, ni onglet ni raccourci. Mais il peut mettre un moment à les ouvrir/créer, donc j'espère que ce coup-ci c'est bon. Sinon, je reviendrais :)
          0
      6. Forward1357 Auteur
        Nouvel onglet ouvert à l'instant.
        D'autres pistes?
        0
        1. Malekal_morte- Modérateur
          Tu n'aurais pas cet onglet sur un site en particulier ?

          ~~

          Tu peux refaire une analyse FRST et donner les rapports via pjjoint pour voir.
          0
        2. Forward1357 Auteur
          Si, l'onglet est toujours le même, http://bahaty.com/red/ . La toute première fois j'ai eu une pop up publicitaire en arabe (un truc égyptien je crois), mais depuis ma tentative de m'en débarrasser seul j'ai plus que celui-là (et la création d'un raccourci IE, mais ça n'a plus l'air d'apparaitre ça). C'est pour ça que je le qualifie de résiduel d'ailleurs.
          Si tu parles de quand j'irais sur un site en particulier non, il s'ouvre même quand je me sert pas d'internet (genre là celui de 17h je regardais une vidéo avec VLC depuis 40 minutes, et j'ai d'autres exemples du même type (jeux et autres) donc je pense pas que ça soit lié).

          FSRT: https://pjjoint.malekal.com/files.php?id=20150221_k5c9k5v6t5
          Addition: https://pjjoint.malekal.com/files.php?id=20150221_t6z13m14n13v10
          Shorcut: https://pjjoint.malekal.com/files.php?id=20150221_x13q5l6m5c7
          0
        3. Malekal_morte- Modérateur
          Le rapport FRST.txt est vide.
          0
      7. Malekal_morte- Modérateur
        mouais rien d'extraordinaire.

        Menu Démarrer / tous les programmes / Démarrage
        clic droit / supprimer sur Start

        puis - Essaye ça :

        Exporte tes favoris : https://support.mozilla.org/fr/kb/exporter-marque-pages-firefox-fichier-html
        Désinstalle Mozilla Firefox en cochant la case pour supprimer les profils.
        Fais une recherche de fichiers sur le mot Firefox : https://www.commentcamarche.net/faq/10217-windows-vista-et-superieurs-recherche-de-fichiers
        Supprime tout ce qui est trouvé.

        Réinstalle Firefox.
        Au premier démarrage, tu dois avoir Firefox comme si c'était la première fois que tu l'installais, tu ne dois pas retrouver ta configuration.

        Like the angel you are, you laugh creating a lightness in my chest,
        Your eyes they penetrate me,
        (Your answer's always 'maybe')
        That's when I got up and left
        0
        1. Forward1357 Auteur
          Euh désolé mais sous Windows 8 je vois pas l'équivalent de "
          Menu Démarrer / tous les programmes / Démarrage
          clic droit / supprimer sur Start ". J'ai bien un truc "Applications" qui je crois est à peu près la même chose, mais pas de démarrage / start.
          0
        2. Malekal_morte- Modérateur
          Il est l à : C:\Users\%USERNAME%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup

          Tu peux coller dans l'explorateur de fichiers, dans la barre en haut.
          0
        3. Forward1357 Auteur
          J'ai deux fichiers que je n'arrive pas à supprimer:
          C:\Windows\WinSxS\amd64_netfx4-browser_files_b03f5f7f11d50a3a_4.0.9200.16384_none_bf81689838d5f59d
          C:\Windows\WinSxS\x86_netfx4-browser_files_b03f5f7f11d50a3a_4.0.9200.16384_none_072e9f6f4d521ea3
          Je peux les laisser et continuer?
          0
        4. Malekal_morte- Modérateur
          faut pas toucher au dossier WinSxS =)

          Faut juste supprimer les dossiers Firefox ou Mozilla.
          0
        5. Forward1357 Auteur
          Ok, je préfère demander :)
          Merci pour tout, je reviendrais si besoin mais j'espère que ce coup ci ce sera bon!
          C'est super ce que vous faites, les helpers ici et des autres forums, on ne sait parfois plus quoi faire tout seul :)
          0