Redirection non désirée

Résolu
oXyde68 -  
Bonjour,

Je fais appel à vous suite à un problème.
J'ai télécharger un fichier RAR récemment que j'ai malheureusement ouvert.
Plusieurs virus se sont installés malgrès un antivirus NOD 32 à jour et en protection résidente active.

J'ai réussi à supprimer les différents VER et autre virus dangereux , mais actuellement il doit rester quelques fichiers infectés.

J'ai scanné avec :

Malwarebytes à jour : Rien à signaler
NOD 32 : Rien à signaler
Spybot S&D : Rien à signaler
HiJackThis! : Aucun problème ( pas de pb niveau HOST ou autre )
Scan avec antivirus en ligne : Rien à signaler

Le problème étant , lors de recherche google , lorsque je clique sur un lien , je suis redirigé vers des sites de recherche ( p.e aberdeenymn.org ... ).
Je doit donc faire RETOUR puis reesayer la recherche plusieurs fois avant d'arriver sur le site voulu.

De plus j'ai quelques attaques environ 3 fois / semaine , NOD32 m'affiche qu'un fichier .exe à tenté de s'installer depuis un site web.

Et pour finir , j'ai depuis 2 jours des beau écrans bleu suivi d'arrêt du PC et des programmes .exe qui "ont cesser de fonctionner"

Aidez moi svp !

--
Bien amicalement ,
                 oXyde68
Configuration: AMD Athlon X2 64 4200+ ( 2,20 Ghz ) dual core 
OS : Windows Vista Familial Basic
Ram :  2 Go DDR2
Disques durs :  320 Ho SATA 2
Carte graphique : MSI GeForce NS 8400 GS ( 256 Mo ) 
Connexion internet : Free ADSL 2+

24 réponses

Résumé de la discussion

Le fil décrit une infection après l’ouverture d’un fichier RAR, avec des redirections dans les recherches et des pannes système, et la détection d’un cheval de Troie dans C:\Windows\Temp\ykpvxjxqrp.exe, variante Kryptik.ACN. Plusieurs outils ont été passés en revue, dont Malwarebytes, NOD32, Spybot S&D et HijackThis, mais les analyses restent incomplètes et des éléments en exécution ou démarrage persistent. Des conseils ont été donnés sur l’utilisation de HijackThis et sa version obsolète, l’activation/désactivation temporaire de l’UAC et la purification via CCleaner, avec des rapports montrant les clés modifiées. En dernier, l’échange met en évidence la difficulté de nettoyer ces infections et l’importance de recourir à des outils à jour et à une démarche complète pour éviter les réinfections.

Bobot (l’IA à votre service)
  2. oXyde68 Auteur
    Bonjour ,

    Après 2 jours d'utilisation , aucune trace de virus ou de redirection.

    merci beaucoup !!
    2. oXyde68 Auteur
      Bonjour ,

      j'ai reussi à supprimer le fichier infecté en mode sans echec avec nod32.

      Ca à l'air d'être OK!

      Je test sous 24h et si tout va bien je mettrait RESOLU sur le post

      merci
      3. XaTon
        Tu as essayé de faire un scan en mode sans-echec ?

        1. Utilisateur anonyme
          bonjour,
          j'avais raison pour la ligne que j'avais indiqué
      4. oXyde68 Auteur
        La quarantaine ne marche pas.

        Voila le rapport :

        Journal de l'analyse
        Version de la base des signatures de virus : 4316 (20090807)
        Date : 08/08/2009 Heure : 11:40:36
        Disques, dossiers et fichiers analysés : C:\Windows\Temp\ykpvxjxqrp.exe
        C:\Windows\Temp\ykpvxjxqrp.exe - une variante de Win32/Kryptik.ACN cheval de troie
        Nombre d'objets analysés : 1
        Nombre de menaces détectées : 1
        Nombre d'objets nettoyés :0
        Heure d'achèvement : 11:40:36 Temps d'analyse total : 0 sec. (00:00:00)

        2. oXyde68 Auteur
          Bonjour ,

          CCleaner à bien fonctionner , tout est nettoyé.

          Par contre , il y a le fichier C:\Windows\TEMP\ykpvxjxqrp.exe qui contient un virus nommé

          "C:\Windows\Temp\ykpvxjxqrp.exe - une variante de Win32/Kryptik.ACN cheval de troie" par NOD32 , impossible à effacer !
          1. XaTon
            Comment tourne le pc ?

            Fait ceci :

            ~~~~~~~~~~~~~~~~~> Ccleaner <~~~~~~~~~~~~~~~~~~~

            * Télécharger et installer CCleaner .
            > http://www.commentcamarche.net/telecharger/telecharger 168 ccleaner
            /!\ Ne pas installer la Yahoo! Toolbar /!\

            * Dans l'onglet "Nettoyeur", cliquer sur "Analyser".
            * Une fois l'analyse terminée, cliquer sur "Nettoyer".
            * Recommencer jusqu’à ce qu’il ne trouve plus rien (cela varie en général entre 1 et 4 fois).

            * Dans l'onglet " Registre ", cliquer sur " Chercher les erreurs "
            * Une fois l'analyse terminée, cliquer sur " Corriger les erreurs sélectionnées "
            * Recommencer jusqu’à ce qu’il ne trouve plus rien.

            1. oXyde68 Auteur
              Bonjour ,

              après scan avec SUPERantispyware , XX elements ont été supprimés.

              Voici le scan HiJackThis après redemarrage :

              Logfile of Trend Micro HijackThis v2.0.2
              Scan saved at 11:26:42, on 08/08/2009
              Platform: Windows Vista SP1 (WinNT 6.00.1905)
              MSIE: Internet Explorer v8.00 (8.00.6001.18813)
              Boot mode: Normal

              Running processes:
              C:\Windows\system32\taskeng.exe
              C:\Windows\system32\Dwm.exe
              C:\Windows\Explorer.EXE
              C:\Program Files\Windows Defender\MSASCui.exe
              C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
              C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe
              C:\Windows\PixArt\Pac207\Monitor.exe
              C:\Windows\System32\rundll32.exe
              C:\Program Files\Adobe\Reader 9.0\Reader\reader_sl.exe
              C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
              C:\Program Files\Windows Media Player\wmpnscfg.exe
              C:\Users\Jérôme\Downloads\HiJackThis.exe

              R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
              R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
              R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
              R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
              R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
              R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
              R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
              R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
              R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
              O1 - Hosts: ::1 localhost
              O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\Spybot\SDHelper.dll
              O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
              O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
              O4 - HKLM\..\Run: [RtHDVCpl] C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe
              O4 - HKLM\..\Run: [Monitor] C:\Windows\PixArt\PAC207\Monitor.exe
              O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
              O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
              O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
              O4 - HKCU\..\Run: [SEO Soft] C:\Users\Jérôme\Documents\SEO Soft\stat.exe close 20
              O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
              O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
              O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
              O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
              O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\Windows\bdoscandel.exe (file missing)
              O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\Windows\bdoscandel.exe (file missing)
              O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\Spybot\SDHelper.dll
              O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\Spybot\SDHelper.dll
              O13 - Gopher Prefix:
              O17 - HKLM\System\CCS\Services\Tcpip\..\{47B66B3B-4F4B-41D0-B141-6672732B5B2A}: NameServer = 212.27.53.252,212.27.54.252
              O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll
              O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
              O23 - Service: Adobe LM Service AdobeAeLookupSvc (AdobeAeLookupSvc) - Unknown owner - C:\Windows\TEMP\ykpvxjxqrp.exe
              O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
              O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
              O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. - C:\Program Files\NOS\bin\getPlus_HelperSvc.exe
              O23 - Service: lxbv_device - - C:\Windows\system32\lxbvcoms.exe
              O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
              O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe
              O23 - Service: TomTomHOMEService - TomTom - C:\Program Files\TomTom HOME\TomTomHOMEService.exe
              3. Utilisateur anonyme
                O4 - HKLM\..\Run: [PromoReg] C:\Windows\Temp\_ex-68.exe

                ligne qui est louche
                1. Utilisateur anonyme
                  Salut je te conseille de désinstaller Nod32

                  C'est nul comme antivirus je te propose G-data qui est payant tu peux faire une analyse avec et le remplacer par un logiciel Freeware;AVG

                  Fait un scan puis une mise en Quarantaine ...
                  1. oXyde68 Auteur
                    Voila pour le nouveau LOG hijackthis !

                    Logfile of Trend Micro HijackThis v2.0.2
                    Scan saved at 21:58:01, on 07/08/2009
                    Platform: Windows Vista SP1 (WinNT 6.00.1905)
                    MSIE: Internet Explorer v8.00 (8.00.6001.18813)
                    Boot mode: Normal

                    Running processes:
                    C:\Windows\system32\taskeng.exe
                    C:\Windows\system32\Dwm.exe
                    C:\Windows\Explorer.EXE
                    C:\Program Files\Windows Defender\MSASCui.exe
                    C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
                    C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe
                    C:\Windows\PixArt\Pac207\Monitor.exe
                    C:\Windows\System32\rundll32.exe
                    C:\Program Files\Windows Media Player\wmpnscfg.exe
                    C:\Program Files\Mozilla Firefox\firefox.exe
                    C:\Windows\System32\mobsync.exe
                    C:\Users\Jérôme\Downloads\HiJackThis(2).exe

                    R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
                    R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
                    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = https://www.msn.com/fr-fr/?ocid=iehp
                    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
                    R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = https://www.bing.com/?toHttps=1&redig=5FC791212101479BAFBE1A679848B1AF
                    R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = https://www.msn.com/fr-fr/?ocid=iehp
                    R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
                    R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
                    R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
                    O1 - Hosts: ::1 localhost
                    O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\Spybot\SDHelper.dll
                    O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
                    O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
                    O4 - HKLM\..\Run: [RtHDVCpl] C:\Program Files\Realtek\Audio\HDA\RtHDVCpl.exe
                    O4 - HKLM\..\Run: [Monitor] C:\Windows\PixArt\PAC207\Monitor.exe
                    O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
                    O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
                    O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
                    O4 - HKLM\..\Run: [PromoReg] C:\Windows\Temp\_ex-68.exe
                    O4 - HKCU\..\Run: [SEO Soft] C:\Users\Jérôme\Documents\SEO Soft\stat.exe close 20
                    O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE LOCAL')
                    O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'SERVICE LOCAL')
                    O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'SERVICE RÉSEAU')
                    O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\Windows\bdoscandel.exe (file missing)
                    O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\Windows\bdoscandel.exe (file missing)
                    O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\Spybot\SDHelper.dll
                    O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\Spybot\SDHelper.dll
                    O13 - Gopher Prefix:
                    O17 - HKLM\System\CCS\Services\Tcpip\..\{47B66B3B-4F4B-41D0-B141-6672732B5B2A}: NameServer = 212.27.53.252,212.27.54.252
                    O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
                    O23 - Service: Adobe LM Service AdobeAeLookupSvc (AdobeAeLookupSvc) - Unknown owner - C:\Windows\TEMP\ykpvxjxqrp.exe
                    O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
                    O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
                    O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. - C:\Program Files\NOS\bin\getPlus_HelperSvc.exe
                    O23 - Service: lxbv_device - - C:\Windows\system32\lxbvcoms.exe
                    O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
                    O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe
                    O23 - Service: TomTomHOMEService - TomTom - C:\Program Files\TomTom HOME\TomTomHOMEService.exe
                    3. Utilisateur anonyme
                      Logfile of HijackThis v1.99.1
                      bonsoir, juste pour dire qu'hijackthis est obselète, il n'est pas à jour
                      1. XaTon
                        Ras dans ton rapport :

                        /!\ Désactive L'uac /!\

                        > https://www.zebulon.fr/astuces/pratique/220-desactiver-l-uac-dans-vista.html

                        ~~~~~~~~~~~~~~~> Ad-Remover <~~~~~~~~~~~~~~~~~~~

                        /!\ Désactive temporairement ton antivirus /!\

                        Télécharge AD-Remover (de Cyrildu17 / C_XX) sur ton Bureau.

                        > http://sd-1.archive-host.com/membres/up/16506160323759868/AD-R.exe

                        /!\ Déconnecte-toi et ferme toutes applications en cours /!\

                        * Lance l'installation avec les paramètres par défaut.
                        * Double-clique sur le raccourci Ad-Remover sur ton Bureau.
                        * Choisit ta langue F pour française.
                        * Au menu principal, choisis l'option S.

                        /!\ Laisse travailler l'outil /!\

                        * Poste le rapport qui apparaît à la fin.

                        (Le rapport est sauvegardé aussi sous C:\Ad-report(date).log)

                        (CTRL+A pour tout sélectionner, CTRL+C pour copier et CTRL+V pour coller)

                        Note :

                        "Process.exe", une composante de l'outil, est détectée par certains antivirus (AntiVir, Dr.Web, Kaspersky Anti-Virus) comme étant un RiskTool.
                        Il ne s'agit pas d'un virus, mais d'un utilitaire destiné à mettre fin à des processus.

                        /!\ Réactive bien L'uac /!\

                        • 1
                        • 2

                        Discussions similaires

                        Mon site WordPress a des redirections vers site malveillant
                        josefab

                        3 réponses
                        GOOGLE avertissement de redirection
                        RebeccaLyli

                        9 réponses
                        FIREFOX empêche la redirection automatique vers une autre pa
                        dede74000

                        5 réponses
                        Firfox 3 et option de redirection (désactiver
                        madmyke

                        18 réponses
                        Avertissement de redirection Google image
                        Gui²

                        2 réponses