Run.vbs au démarrage après infection

Salut,

Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 3 rapports FRST seront générés :

• FRST.txt
• Shortcut.txt
• Additionnal.txt

Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

Bonjour,

Merci de répondre aussi vite, donc voici les liens des rapports:

Addition: https://pjjoint.malekal.com/files.php?id=20160423_y13f12n7i8e11

FRST: https://pjjoint.malekal.com/files.php?id=FRST_20160423_h5d12e7v10e9

Shortcut: https://pjjoint.malekal.com/files.php?id=20160423_e10b14w8c14j5

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

CreateRestorePoint:
CloseProcesses:
  HKLM\...\Run: [rundll32] => C:\Windows\system32\rundll32.exe C:\ProgramData\DeltaSearch\DeltaSearch.dll,_  
   HKLM\...\Winlogon: [Userinit] wscript C:\Windows\run.vbs,  
   C:\ProgramData\DeltaSearch
    S2 coewotherrprsrv; C:\Program Files (x86)\Coewother\coewotherrprsrv.exe [302336 2016-04-21] () 
  R2 gramblrclient; C:\Program Files\Gramblr\gramblr.exe [9627728 2016-04-19] () [Fichier non signé] 
  2016-04-23 00:23 - 2016-04-23 00:23 - 00000000 ____D C:\Program Files (x86)\hohobnd  
   2016-04-23 00:00 - 2016-04-23 00:00 - 00000000 ____D C:\Users\Riana\AppData\Roaming\MCorp 
 2016-04-22 16:28 - 2016-04-23 00:18 - 00000000 ____D C:\Users\Riana\AppData\Local\app 
 2016-04-22 16:05 - 2016-04-22 16:05 - 00000956 _____ C:\Windows\SysWOW64\${LOGFILE} 
  2016-04-22 15:53 - 2016-04-22 15:55 - 00000000 ____D C:\Users\Riana\AppData\Local\3810282D-6C19-47B0-8283-5C6C29A7E108 
 2016-04-22 15:52 - 2016-04-22 15:52 - 00008852 _____ C:\Windows\System32\Tasks\Coewother Reports 
 2016-04-22 15:52 - 2016-04-22 15:52 - 00000000 ____D C:\Users\Public\Documents\dmp 
 2016-04-22 15:52 - 2016-04-22 15:52 - 00000000 ____D C:\Program Files (x86)\Coewother 
 EmptyTemp:
 Reboot:
 

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,

Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparait, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

Suis le tutoriel AdwCleaner d'Xplode

• Télécharge le sur ton Bureau ou dans ton dossier des téléchargements,
• Lance "AdwCleaner" et clique sur [Scanner],
• L'analyse va durer plusieurs minutes, patiente,
• Une fois le scan terminé, ne décoche rien, cliques sur [Nettoyer],
• Une fois le nettoyage terminé, un rapport va s'ouvrir,
• Copie/colle le contenu du rapport dans ta prochaine réponse.

Si le copié/collé ne fonctionne pas, utilise le site http://pjjoint.malekal.com/ pour héberger ton rapport, donne le lien du rapport dans un nouveau message.

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

Donc, pour la première étape, le copié/collé:

Résultats de correction de Farbar Recovery Scan Tool (x64) Version:18-04-2016
Exécuté par Riana (2016-04-23 18:28:43) Run:1
Exécuté depuis C:\Users\Riana\Desktop
Profils chargés: Riana (Profils disponibles: Riana)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [rundll32] => C:\Windows\system32\rundll32.exe C:\ProgramData\DeltaSearch\DeltaSearch.dll,_
HKLM\...\Winlogon: [Userinit] wscript C:\Windows\run.vbs,
C:\ProgramData\DeltaSearch
S2 coewotherrprsrv; C:\Program Files (x86)\Coewother\coewotherrprsrv.exe [302336 2016-04-21] ()
R2 gramblrclient; C:\Program Files\Gramblr\gramblr.exe [9627728 2016-04-19] () [Fichier non signé]
2016-04-23 00:23 - 2016-04-23 00:23 - 00000000 ____D C:\Program Files (x86)\hohobnd
2016-04-23 00:00 - 2016-04-23 00:00 - 00000000 ____D C:\Users\Riana\AppData\Roaming\MCorp
2016-04-22 16:28 - 2016-04-23 00:18 - 00000000 ____D C:\Users\Riana\AppData\Local\app
2016-04-22 16:05 - 2016-04-22 16:05 - 00000956 _____ C:\Windows\SysWOW64\${LOGFILE}
2016-04-22 15:53 - 2016-04-22 15:55 - 00000000 ____D C:\Users\Riana\AppData\Local\3810282D-6C19-47B0-8283-5C6C29A7E108
2016-04-22 15:52 - 2016-04-22 15:52 - 00008852 _____ C:\Windows\System32\Tasks\Coewother Reports
2016-04-22 15:52 - 2016-04-22 15:52 - 00000000 ____D C:\Users\Public\Documents\dmp
2016-04-22 15:52 - 2016-04-22 15:52 - 00000000 ____D C:\Program Files (x86)\Coewother
EmptyTemp:
Reboot:

Le Point de restauration a été créé avec succès.
Processus fermé avec succès.
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\\rundll32 => valeur supprimé(es) avec succès
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\\Userinit => valeur restauré(es) avec succès
C:\ProgramData\DeltaSearch => déplacé(es) avec succès
coewotherrprsrv => service supprimé(es) avec succès
gramblrclient => service supprimé(es) avec succès
C:\Program Files (x86)\hohobnd => déplacé(es) avec succès
C:\Users\Riana\AppData\Roaming\MCorp => déplacé(es) avec succès
C:\Users\Riana\AppData\Local\app => déplacé(es) avec succès
C:\Windows\SysWOW64\${LOGFILE} => déplacé(es) avec succès
C:\Users\Riana\AppData\Local\3810282D-6C19-47B0-8283-5C6C29A7E108 => déplacé(es) avec succès
C:\Windows\System32\Tasks\Coewother Reports => déplacé(es) avec succès
C:\Users\Public\Documents\dmp => déplacé(es) avec succès
C:\Program Files (x86)\Coewother => déplacé(es) avec succès
EmptyTemp: => 2.1 GB données temporaires supprimées.

Le système a dû redémarrer.

Fin de Fixlog 18:31:36

Plus de message au démarrage ?

Ah ben non du coup, j'avais pas fais attention!

Splendide :)

Merci beaucoup !

=)

Tu peux terminer par un nettoyage Malwarebytes Anti-Malware - Tutoriel Malwarebytes (MBAM) version gratuite.

Quelques conseils :

Pour tenter de prévenir les sites malicieux, tu peux installer Blockulicious.

Pour ne plus te faire avoir.
A lire - Programmes parasites / PUPs : Dossier Adwares/PUPs : programmes indésirables et parasites
(Surtout active les détections LPIs pour détecter les programmes parasites et publicitaires)

Veuillez appuyer sur une touche pour continuer la désinfection...