chercheztout.com/serchbijen.com Résolu/Fermé

Question

Bonjour,

Après avoir testé des logiciels de nettoyage (zhp..., adwcleaner, usbfix, frst), je suis toujours au même point.

Un PC sous windows 10 et deux clé usb infecté par chercheztout.com/serchbijen.com.

En gros ce que moi j'ai vu c'est :
  - il y a les raccourcis internet explorer, google chrome, et firefox présent sur le bureau qui revienne après suppression et qui redirige vers chercheztout.com/serchbijen.com
  - 2 fichiers qui se lance au démarrage (jacquelinehost.exe) présent sur C: et D: 

Un bon gros coup de main ne serait pas de refus.

Malekal_morte- · Answer

Salut,


Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 
Attendre la fin du scan, un message indique que l'analyse est terminée.

Trois rapports FRST seront générés :

 FRST.txt
 Shortcut.txt
 Additionnal.txt

Envoie ces 3 rapports sur le site https://pjjoint.malekal.com/ afin de les partager.
En retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

smoon · Answer

Salut Malekal_morte-, merci de me donner la main.

Voici les rapports FRST :
https://pjjoint.malekal.com/files.php?id=20171228_j5c14b13k12s11
https://pjjoint.malekal.com/files.php?id=FRST_20171228_c5b12s6o13v14
https://pjjoint.malekal.com/files.php?id=20171228_x14l11l9d14r14

Malekal_morte- · Answer

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R, 
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit : 

CreateRestorePoint:CloseProcesses:() ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Music, Photos and Videos\Photos Snapfish.lnk -> C:\Program Files (x86)\Hewlett-Packard\Shared\WizLink.exe () -> hxxp://www.snapfish.com/hp_notebook_desktopicon_2014_frShortcutWithArgument: C:\Users\Jacqueline\Desktop\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> hxxp://chercheztout.com/tram/120ShortcutWithArgument: C:\Users\Jacqueline\Desktop\Internet Explorer.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://chercheztout.com/tram/116ShortcutWithArgument: C:\Users\Jacqueline\Desktop\Mozilla Firefox.lnk -> C:\Program Files (x86)\Mozilla Firefox\firefox.exe (Mozilla Corporation) -> hxxp://chercheztout.com/tram/118ShortcutWithArgument: C:\Users\Jacqueline\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.LNK -> C:\Program Files\internet explorer\iexplore.exe (Microsoft Corporation) -> hxxp://chercheztout.com/tram/116 Startup: C:\Users\Jacqueline\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HelpJacqueline.lnk [2017-12-28] C:\Jacqueline   Startup: C:\Users\Jacqueline\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ManualJacqueline.lnk [2017-12-28]  2017-12-28 18:03 - 2017-12-28 18:03 - 000000000 ____D C:\Users\Jacqueline\AppData\Local\DBG2017-12-28 17:55 - 2017-12-28 18:03 - 000000000 ____D C:\Users\Jacqueline\AppData\Local\ZHP2017-12-28 17:17 - 2017-12-28 17:17 - 000000000 ____D C:\Program Files (x86)\UsbFix Hosts:EmptyTemp:RemoveProxy:Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur

Pour nettoyer les disques amovibles des virus USB, suivre dans l'ordre les étapes du tutoriel : insère un à un tes clefs USB et disques durs externes que tu as pour les nettoyer. Envoie ensuite les rapports sur https://pjjoint.malekal.com/ et donne les liens menant à ces rapports pour que l'on puisse les consulter.

1°) Remediate VBS Worm

Brancher toutes les clefs USB et autres périphériques amovibles.

 Télécharger Remediate VBS Worm
 Lancer l'option B
 Taper la lettre de la clef USB, par exemple, E et entrée
[color=red]ATTENTION: NE PAS INDIQUER LE LECTEUR DE TON DISQUE DUR ![/color]

 Va dans "Mon ordinateur" puis disque "C", un rapport "Rem-VBS.log" doit s'y trouver.
Ouvre ce rapport avec le bloc-notes et copie/colle le contenu ici dans une prochaine réponse.

smoon · Answer

Tout est fait, et voici le rapport de la désinfection de G: (j'ai désinfecté F: juste avant)


Rem-VBSworm v8.0

=========== - General info:

Running under: Jacqueline on profile: C:\Users\Jacqueline
Computer name: PCBUREAU

Operating System:
Microsoft Windows 10 Famille  

Boot Mode:
Normal boot  

Antivirus software installed:
Windows Defender  


Executed on: 28/12/2017 @ 20:40:48,67

=========== - Drive info:

Listing currently attached drives:
Caption  Description         VolumeName           

C:       Disque mont‚ local  Windows              

D:       Disque mont‚ local  RECOVERY             

E:       Disque CD-ROM       <MAD_MEN_S07_DVD01>  

F:       Disque amovible     LEXAR 4GB            

G:       Disque amovible     NOIRCHROME           




Physical drives information:
C: \Device\HarddiskVolume4 NTFS
D: \Device\HarddiskVolume6 NTFS
F: \Device\HarddiskVolume7 FAT
G: \Device\HarddiskVolume8 FAT
E: \Device\CdRom0 UDFS

=========== - Disinfection info:


=========== - USB drive info:

f: selected

USB Device ID:
USBSTOR\DISK&VEN_INTENSO&PROD_BUSINESS_LINE&REV_\001205285HOXGT&0  

SCSI\DISK&VEN_HGST&PROD_HTS541010A9E680\4&D49E97A&0&000000         

USBSTOR\DISK&VEN_LEXAR&PROD_JUMPDRIVE&REV_1100\AATRWZQ5JCL12R4H&0  




Fichier supprim‚ - f:\Jacqueline.lnk
Fichier supprim‚ - f:\Dossier.lnk
Fichier supprim‚ - f:\Nouveau dossier.lnk
Fichier supprim‚ - f:\New Folder.lnk
WARNING... Possible Andromeda/Gamarue infection...
Listing root contents of f:
 Le volume dans le lecteur F s'appelle LEXAR 4GB
 Le num‚ro de s‚rie du volume est 74E6-6F53

 R‚pertoire de F:\

19/08/2004  18:10           126ÿ976 07
03/11/2015  13:50               716 Vlc.rar
03/11/2015  13:50               794 Vlce.rar
03/11/2015  14:42            26ÿ135 Skype.rar
               4 fichier(s)          154ÿ621 octets
               1 R‚p(s)   4ÿ001ÿ120ÿ256 octets libres

USB drive disinfected and files unhidden!!


=========== - USB drive info:

g: selected

USB Device ID:
USBSTOR\DISK&VEN_INTENSO&PROD_BUSINESS_LINE&REV_\001205285HOXGT&0  

SCSI\DISK&VEN_HGST&PROD_HTS541010A9E680\4&D49E97A&0&000000         

USBSTOR\DISK&VEN_LEXAR&PROD_JUMPDRIVE&REV_1100\AATRWZQ5JCL12R4H&0  




Fichier supprim‚ - g:\Jacqueline.lnk
Fichier supprim‚ - g:\Dossier.lnk
Fichier supprim‚ - g:\Nouveau dossier.lnk
Fichier supprim‚ - g:\New Folder.lnk
WARNING... Possible Andromeda/Gamarue infection...
Listing root contents of g:
 Le volume dans le lecteur G s'appelle NOIRCHROME
 Le num‚ro de s‚rie du volume est DCAF-E856

 R‚pertoire de G:\

19/08/2004  18:10           126ÿ976 07
03/11/2015  13:50               716 Vlc.rar
03/11/2015  13:50               794 Vlce.rar
03/11/2015  14:42            26ÿ135 Skype.rar
               4 fichier(s)          154ÿ621 octets
               1 R‚p(s)  16ÿ025ÿ174ÿ016 octets libres

USB drive disinfected and files unhidden!!

Malekal_morte- · Answer

Du coup, plus de soucis ?

smoon · Answer

Parfait tout est en ordre, merci beaucoup.
Dis-moi comment tu concoctes le "fixlist.txt" pour que je puisse le refaire pour quelqu'un d'autre je soupçonne mon frère d'avoir ramené ça sur ce pc.

Malekal_morte- · Answer

Merci à toi aussi =)

Supprime le dossier C:\FRST


Termine par un nettoyage Malwarebytes -  Tutoriel Malwarebytes Anti-Malware version gratuite 
Evite les analyses et nettoyages réguliers ZHPCleaner, AdwCleaner, pas utile.

Pseudo357 · Answer

Bonjour,

Je me permet de poster ici car j'ai le même problème, j'ai été infecté sur un ordinateur public.

Les liens:

FRST
https://pjjoint.malekal.com/files.php?id=FRST_20180207_x13k10d11x10x6

Addition
https://pjjoint.malekal.com/files.php?id=20180207_t9t13x1113d6

Shortcut
https://pjjoint.malekal.com/files.php?id=20180207_v12g10r7p10x5

En espérant régler ça!

Thyndare · Answer

Bonjour, j'ai le même soucis que les précédents donc je vous mets mes rapport FRST si quelqu'un peu m'aider merci d'avance.

FRST 
https://pjjoint.malekal.com/files.php?id=FRST_20180219_w1413k6v14c7

Addition 
https://pjjoint.malekal.com/files.php?id=20180219_b13p9u11u5c7

Shortcut 
https://pjjoint.malekal.com/files.php?id=20180219_w10k12t9h15o8

Malekal_morte- · Answer

Tu as des programmes qui ont été installés à l'achat de l'ordinateur ou installés par la suite et qui sont pas forcément utiles.
Ils encombrent Windows et peuvent le ralentir.
Tu peux donc les désinstaller.
Vas dans le Panneau de configuration
puis programmes et fonctionnalités.
Désinstalle :

Avast Cleanup Premium 
CCleaner


PS : CCleaner n'est pas vraiment utile, même si on le recommande de partout.
Désactive la surveillance de CCleaner, inutile, ça se met au démarrage de Windows et le ralentit avec ces nettoyages incessants, voir : https://www.malekal.com/supprimer-ccleaner-demarrage-windows/ 


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

CreateRestorePoint:CloseProcesses:Startup: C:\Users\Thyndare\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HelpThyndare.lnk [2018-02-19]Startup: C:\Users\Thyndare\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ManualThyndare.lnk [2018-02-19]C:\ThyndareShortcutWithArgument: C:\Users\Thyndare\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Internet Explorer.LNK -> C:\Program Files\internet explorer\iexplore.exe (Microsoft Corporation) -> hxxp://chercheztout.com/tram/116ShortcutWithArgument: C:\Users\Thyndare\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mozilla Firefox.LNK -> C:\Program Files\Mozilla Firefox\firefox.exe (Mozilla Corporation) -> hxxp://chercheztout.com/tram/118  Hosts:EmptyTemp:RemoveProxy:Reboot:

Enregistre le contenu par le menu fichier puis enregistrer.

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.

2°)

Réinitialise/Répare les navigateurs WEB concernés par les problèmes :

 Réparer Mozilla Firefox (premier paragraphe)
 Réparer Google Chrome (seulement le premier paragraphe).

et enfin :
 
Nettoye tes clés USB avec Rem-VBS, voir fin de ce message : https://forums.commentcamarche.net/forum/affich-35099727-chercheztout-com-serchbijen-com#5

Max · Answer

Hello to everyone,
First of all, sorry for the English, but I don't know French and I have just translated what you have written automatically.
I have the same problem previously explained, same Internet Explorer and Google Chrome shortcuts that are continuously created by themselves even if eliminated. I suppose it is the same virus. I have read the FRST tutorial and I scanned my PC. These are the 3 links that I got after uploading the 3 reports on pjjoint website:

FRST:
https://pjjoint.malekal.com/files.php id=FRST_20180519_w10t15b12u11d13

ADDITION:
https://pjjoint.malekal.com/files.php?id=20180519_v6j13b9c10l9

SHORTCUT:
https://pjjoint.malekal.com/files.php?id=20180519_e7f12l10s5h14

Chercheztout.com/serchbijen.com

11 réponses