Rootkit perfide sur mon pc :Pub Antispyware Résolu/Fermé

Question

Bonjour à tous,

Je suis attaqué depuis quelques temps par des fenêtres publicitaires me vantant les mérites d'antispywares........
Méthode commerciale malsaine
Un logiciel a du s' installer à mon insue sur moçn pc mais pas moyen de savoir lequel et comment m'en débarraser
Je suis sous XP SP2, Sony VAIO PCGK215-S, 512Mo, HD 60 Go.
Antivirus : Avast 4.8 à jour, AVG Antispyware, Un petit coup de AVG Anti Root KIt de temps à autres.

Rien n'y fait ça réapparait à chaque fois, je ne sais plus quoi faire

Je ne veux surtout pas avoir à reformater mon portable ( lecteur Matshita UJ 820D HS )

Destrio5 · Answer

Salut,

- Télécharge HijackThis V 2.02 (HijackThis Installer) :
http://www.trendsecure.com/portal/en-US/threat_analytics/HJTInstall.exe

- Fais un double-clic sur HJTInstall.exe afin de lancer l'installation

- Clique sur Install ensuite sur I Accept

- Clique sur Do a scan system and save log file

- Le bloc-notes s'ouvrira, fais un copier-coller de tout son contenu ici dans ta prochaine réponse.

uruha · Answer

je te consseille de faire un Cclenaer et un spybot, puis utilise mozzila pour naviguer sur le net au lieux d'internet explorer qui est pour moi nul

uruha · Answer

fais tres attention au pubs, même si elle te disent que tu est infecter par des virus, je ne voit pas comment une pub pourais le savoir sans faire un scan de ton ordinateur, les gens qui font ses pubs là sont c**, mais il faut de tout pour faire un monde ^^

Destrio5 · Answer

- Télécharge et installe MalwareByte's Anti-Malware :
http://www.download.com/Malwarebytes-Anti-Malware/3000-8022_4-10804572.htm

- Mets-le à jour

- Redémarre en mode sans échec (Recommandé) :
https://www.malekal.com/demarrer-windows-mode-sans-echec/

- Choisis ta session habituelle

- Fais un scan complet avec MalwareByte's Anti-Malware

- Supprime tout ce que le logiciel trouve, enregistre le rapport

- Redémarre en mode normal et poste le rapport ici

Tutorial :
https://www.malekal.com/tutoriel-malwarebyte-anti-malware/

Polpot_2DRu · Answer

Ok je m'occupe d'effectuer les opérations préconisées.
je passe sur mon pc fixe le temps de la manip

Est ce qu'on peut se logger sur le forum avec le même identifiant depuis deux pc en même temps?

Destrio5 · Answer

Je ne sais pas.

Destrio5 · Answer

Ok, fais le scan avec MAM.

Destrio5 · Answer

Continue le scan en fait.

Au fait, tu as deux antivirus, c'est pas bien.

Destrio5 · Answer

Tu as Norton aussi. Pour le virer, utilise ceci :
ftp://ftp.symantec.com/public/francais/removal_tools/Norton_Removal_Tool.exe

Après, fais le scan avec MAM.

Destrio5 · Answer

Lance MAM, va dans Quarantaine et supprime tout.

Poste un nouveau rapport HijackThis.

Destrio5 · Answer

T'as des fichiers bizarres.

---> Télécharge ComboFix.exe de sUBs sur ton Bureau :
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

/!\ Déconnecte-toi du net et ferme toutes les applications, antivirus et antispyware y compris /!\

---> Double-clique sur Combofix.exe
Un "pop-up" va apparaître qui dit que "la version ComboFix est utilisée à vos risques et avec aucune garantie..".
Accepte en cliquant sur "Oui"

---> Mets-le en langue française F
Tape sur la touche 1 (Yes) pour démarrer le scan.

/!\ Ne touche à rien tant que le scan n'est pas terminé. /!\

En fin de scan, il est possible que ComboFix ait besoin de redémarrer le PC pour finaliser la désinfection, laisse-le faire.

Une fois le scan achevé, un rapport va s'afficher : Poste son contenu

/!\ Réactive la protection en temps réel de ton antivirus et de ton antispyware avant de te reconnecter à Internet. /!\

Note : Le rapport se trouve également là : C:\ComboFix.txt

Destrio5 · Answer

---> Télécharge clean.zip de Malekal :
http://www.malekal.com/download/clean.zip

---> Dézippe-le sur ton bureau (clic droit / extraire tout), tu dois obtenir un dossier clean.

---> Ouvre le dossier clean qui se trouve sur ton bureau, et double-clique sur clean.cmd

Une fenêtre noire va apparaître pendant un instant, laisse-la ouverte.

---> Choisis l'option 1 puis patiente

---> Poste le rapport obtenu (situé dans C:\rapport_clean.txt)

Ne passe pas à l'option 2 sans notre avis !

Destrio5 · Answer

Le rapport s'appelle rapport_clean.txt et se trouve directement dans C:\

Destrio5 · Answer

Laisse tomber pour Clean. Fais ceci :

---> Télécharge le fichier CFScript et enregistre-le sur ton bureau :
http://www.zshare.net/

---> Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture :
http://img.photobucket.com/albums/v666/sUBs/CFScript.gif

[*] Une fenêtre bleue va apparaître : au message qui apparaît (Type 1 to continue, or 2 to abort), tape 1 puis valide.

[*] Patiente le temps du scan. Le bureau va disparaître à plusieurs reprises : c'est normal !
Ne touche à rien tant que le scan n'est pas terminé.

[*] Une fois le scan achevé, un rapport va s'afficher : upload-le sur mediadire puis poste le lien ici :
https://www.mediafire.com/

[*] Si le fichier ne s'ouvre pas, il se trouve ici C:\ComboFix.txt

Destrio5 · Answer

Ah oui, j'ai fait le tri.

Destrio5 · Answer

Le CFScript, je l'ai fait spécialement pour ton PC.

Destrio5 · Answer

Pardon pour le temps que ça prend.

Voilà un autre CFScript :
http://www.zshare.net/

Destrio5 · Answer

Ah ça y est, j'ai trouvé ton infection, fais ceci :

- Télécharge SmitfraudFix (de de S!Ri, balltrap34 et moe31) : 
http://siri.urz.free.fr/Fix/SmitfraudFix.exe ou http://www.geekstogo.com/forum/files/file/6-smitfraudfix/ 

- Enregistre-le sur le bureau

- Double-clique sur SmitfraudFix.exe et choisis l'option 1 puis Entrée

- Un rapport sera généré, poste-le dans ta prochaine réponse.

[*] process.exe est détecté par certains antivirus comme étant un risktool. Il ne s'agit pas d'un virus mais d'un utilitaire destiné à mettre fin à des processus.[*]

** Ne fais l'étape 2 que si on te le demande, on doit d'abord examiner le premier rapport de SmitfraudFix

Destrio5 · Answer

Eteinds avec le bouton au pire.

Destrio5 · Answer

Relance SmitfraudFix, fais l'option 2 et poste le rapport.

Destrio5 · Answer

"par contre quand j'ai lutté contre baggle j'ai installé le recovry mode je sais pas si ça peut me sauver en cas de beug sévère? "
---> A la prochaine infection, faut penser au formatage.

Où ça en est ?

Destrio5 · Answer

Utilise le deuxième CFScript que je t'ai fait.

Destrio5 · Answer

Quel choix ?

Destrio5 · Answer

Tu peux quitter. Fais le deuxième CFScript.

Destrio5 · Answer

Ça s'améliore ?

Destrio5 · Answer

Bah redémarre pour voir.

Il me faudrait un nouveau rapport HijackThis en mode normal pour que je puisse te dire les lignes à fixer.

Destrio5 · Answer

"On peut pas les attaquer en justice?"
---> Ça me semble assez dur.

Destrio5 · Answer

C'est toi qui a installé UltraVNC pour contrôler ton PC à distance ?

---> Relance HijackThis et choisis Do a system scan only

---> Coche les cases qui sont devant les lignes suivantes :

O2 - BHO: (no name) - {3B081BB0-F814-4B54-AB0D-BAFB94FB382E} - C:\WINDOWS\system32\cbxyx.dll (file missing) 

O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file) 

O2 - BHO: (no name) - {D63237DC-385E-490C-BBE7-0CDA68ACA30A} - C:\WINDOWS\system32\cbawu.dll (file missing) 

O3 - Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file) 

O4 - HKLM\..\RunOnce: [SymLnch] "C:\Documents and Settings\Nicolas\Application Data\Symantec\Layouts\Norton AntiVirus\15.0\SymAllLanguages\NAV_ESD\20070828\Support\SymLnch\SymLnch.exe" "C:\Documents and Settings\Nicolas\Application Data\Symantec\Layouts\Norton AntiVirus\15.0\SymAllLanguages\NAV_ESD\20070828\Setup.exe" "/UPREBOOT /temp /patched" 

O4 - HKLM\..\RunOnce: [!CleanupNetMeetingDispDriver] "C:\WINDOWS\system32\rundll32.exe" msconf.dll,CleanupNetMeetingDispDriver 0 

O4 - HKCU\..\Run: [zgbbhdkl] C:\WINDOWS\system32\fwlqbqzo.exe 

O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe 

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE 

---> Clique en bas sur Fix checked. Mets oui si HijackThis te demande quelque chose.

Destrio5 · Answer

Le PC rame car tu as beaucoup de logiciels qui tournent.

Destrio5 · Answer

Tu as fixé les lignes ?

Pour les programmes au démarrage, tu peux te servir de Starter :
https://www.clubic.com/telecharger-fiche12492-starter.html

Destrio5 · Answer

C'est comme tu veux.

Mets à jour Java :
https://www.java.com/fr/download/manual.jsp

Mets à jour Internet Explorer :
https://support.microsoft.com/fr-fr/allproducts

Télécharge Tools Cleaner sur ton bureau.
http://www.commentcamarche.net/telecharger/telecharger 34055291 toolscleaner
Clique sur Recherche et laisse le scan agir.
Clique sur Suppression pour finaliser. 
Tu peux, si tu le souhaites, te servir des Options facultatives.
Clique sur Quitter pour obtenir le rapport. 
Poste le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur (C:\).

- Télécharge CCleaner (N'installe pas la Yahoo toolbar) :
https://www.ccleaner.com/ccleaner/download

- Lance-le. Va dans "Options" puis "Avancé", tu décoches la case "Effacer uniquement les fichiers etc...". Tu vas dans "Nettoyeur", tu fais "Analyse". Une fois terminé, tu lances le nettoyage. Puis tu vas dans "Registre", tu fais "Chercher des erreurs". Une fois terminé, tu répares toutes les erreurs sans sauvegarder la base de registre.

---> Il est nécessaire de désactiver puis réactiver la restauration système, fais-le :
http://www.infos-du-net.com/forum/272480-11-desactiver-activer-restauration-systeme

---> Je te conseille de créer un point de restauration que tu pourras utiliser plus tard si tu as un problème :
https://www.vulgarisation-informatique.com/creer-point-restauration.php

Tu peux faire un scan en ligne si tu le souhaites :
https://www.malekal.com/scan-antivirus-ligne-nod32/#mozTocId291566

;)

Destrio5 · Answer

C'était le dernier pavé.

Je vais dormir ;)

Bonne nuit.

Destrio5 · Answer

Au Noooord, c'était les Coronnnnnnnnns... xD

uruha · Answer

tant mieux alors Polpot_2DRu!

uruha · Answer

hihi j'ai vu ca, mainetant ne clique sur aucune pub lol, puis moi je ne suis plus enmerder je fais un Cclenear et un spybot tout les 2 semaine, au debut c'est chiant mais a la suite ca vient une abitude, et juste avec c'est deux logiciels là je ne suis plus enmerder.

uruha · Answer

tu as fait du bon boulot Polpot c'était une guerre sans merci

uruha · Answer

ne t'inquiete pas il est entrain de tout te virée

Destrio5 · Answer

Pas de trace d'infection dans le rapport HijackThis.

Polpot_2DRu · Answer

Infection  Virale éliminée grace à l'aide de notre Cyber Nettoyeur Léon Alias Destrio 5

Résumé :

Bonjour à tous,

Je suis attaqué depuis quelques temps par des fenêtres publicitaires me vantant les mérites d'antispywares........
Méthode commerciale malsaine
Un logiciel a du s' installer à mon insue sur moçn pc mais pas moyen de savoir lequel et comment m'en débarraser
Je suis sous XP SP2, Sony VAIO PCGK215-S, 512Mo, HD 60 Go.
Antivirus : Avast 4.8 à jour, AVG Antispyware, Un petit coup de AVG Anti Root KIt de temps à autres.

Rien n'y fait ça réapparait à chaque fois, je ne sais plus quoi faire

Je ne veux surtout pas avoir à reformater mon portable ( lecteur Matshita UJ 820D HS )



Attention je tiens à préciser que cette désinfection s'est bien déroulée grace au suivi en temps réel par
un spécialiste à savoir : Destrio 5

I  - Scan HijackThis avec post de rapport Hijack pour analyse 

II - Désinstallation de Norton ( 2 antivirus installés sur le PC ) grace à Norton Removal Tools

III- Scan complet avec Malwarebyte's après mise à jour + post de rapport
     Mise en quarantaine et suppression de malwares
     /!\ en mode sans echec connection internet coupée et antivirus et antispyware désactivés/!\

IV - Nouveau scan HijackThis avec post de rapport pour analyse :
     Fichiers "bizarres" détectés par Destrio5

V  - Analyse avec Combofix avec post de rapport

VI - Analyse avec clean.zip de Malekal avec post de rapport

VII- Création d'un fichier Fixlog par Destrio5 à associer à Combofix

VIII-Nouveau scan Combofix

IX  -Création d'un deuxième Fixlog par Destrio5

X   -Scan du PC avec SmitFraudFix + post de rapport

XI  -Etape N°2 de SmitFraudFix + rapport

XII -Analyse Combofix combiné au deuxième CFscript de Destrio5

XIII-Redémarrage PC et Analyse HIjackTHis + Rapport

XIV -Réanalyse Hijack en systemscan only + Rapport

XV  -Fixation des lignes Hijack /!\ après analyse par Destrio5 /!\

XVI - Mise à jour Java, Mise à jour Internet Explorer, Nettoyage avec
Tools Cleaner, Analyse avec CCleaner, Désactivation et réactivation de
la restauration systeme pour éliminer les points de sauvegarde infectés
Scan online avec Panda--> plusieurs beugs--> abandon.
Scan avec AVG Anti Rootkit-->OK
Scan avec AVG Antispyware-->OK
Scan avec Avast 4.8 -->Ok

XVII- encore un petit coup de hijackthis pour Destrio5  

Tout semble redevenu normal ;D

Alors merci encore à ce fabuleux forum de commentcamarche.net
Merci pour l'aide fournie par Destrio5
Merci à Uruha pour ces petites interventions ponctuelles


La bataille est gagnée, mais la lutte continue sans cesses




( Si j'ai omis quelque chose merci de rectifier pour moi )

uruha · Answer

mais derien Polpot_2DRu le site est là pour ca est nous aussi ^^, et un grand merci a toi d'avoir suivit nos conseil et de dire que tout est regler, car la plupart des personne quand leur probleme sont resoud, bah bye bye on ne les voit plus, alors bon surf et amuse-toi bien, et pren garde car on est jamais a l'abri sur internet!
                              Amicalement Uruha,

Destrio5 · Answer

De rien et j'espère vraiment que les infections ne reviendront pas. ;)