Comment suprimé Gomeo ? Résolu

Question

Bonjour,  
Mon ordinateur est infecté par gomeo, j'ai fait un analyse avec MalwareBytes' Anti-Malware et suprimé les dossier infecté mais gomeo continue. Pouvez vous m'aidez s'il vous plait ? 
Merci d'avance. 



Configuration: Windows 7 / Safari 535.1

kalimusic · Answer

Bonjour et Bienvenue sur CCM 

&#x25CF;  La plupart des infections nécessitent plusieurs outils et manipulations pour les supprimer complètement. Même si les symptômes disparaissent rapidement, il est préférable de terminer la procédure.
&#x25CF;  N'utilise pas d'outil de désinfection de ta propre initiative, ne pas suivre également d'autres conseils afin de ne pas interférer sur la procédure en cours.
&#x25CF;  Prends le temps de lire ce qui est demandé, ne te lance pas dans une manipulation que tu n'as pas compris. 
&#x25CF;  Héberge les rapports des outils sur http://www.cijoint.fr/ ou https://www.cjoint.com/ ou http://pjjoint.malekal.com/ ou https://textup.fr/
&#x25CF;  Je t'aide bénévolement, je réponds quand je peux et dés que je peux, merci :)

1. Héberge le rapport de MalwareBytes et donne moi le lien afin que je puisse le consulter.

2. Sauvegarde tes documents les plus importants.

3. Télécharge  ComboFix de sUBs sur ton bureau ( nulle part ailleurs ! )

!! Ferme toutes tes applications en cours et désactive les protections résidentes de ton PC (Antivirus, Antispywares, etc...) !!   

Regarde attentivement ce tutoriel pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix 

Si besoin, imprime ce dont tu auras besoin, car ensuite toutes les fenêtres doivent être fermés.

&#x25CF; Lance ComboFix
&#x25CF; Accepte la licence d'utilisation et laisse toi guider par le programme
&#x25CF; Autorise ComboFix a se connecter à internet pour les mises à jour si le programme le demande

 !! Surtout ne rien faire et ne rien toucher pendant le travail de l'outil !!  
(risque de plantage complet de l'ordinateur) 

&#x25CF; A la fin ComboFix indique l'emplacement du rapport et l'ouvre spontanément. 
(il est possible que ComboFix est besoin de redémarre l'ordinateur)
&#x25CF; Héberge le et donne moi le lien. 

!! Réactive les protections résidentes de ton PC !!   

Note : Le rapport se trouve normalement à la racine du disque: C:\ComboFix.txt 

A +

Aromax · Answer

Le rapport : All processes killed
========== OTL ==========
Prefs.js: "Search Results" removed from browser.search.defaultenginename
Prefs.js: "Search Results" removed from browser.search.order.1
Prefs.js: "http://www.searchqu.com/414" removed from browser.startup.homepage
Prefs.js: "http://dts.search-results.com/sr?src=ffb&appid=0&systemid=414&q=" removed from keyword.URL
C:\Users\Aaron\AppData\Roaming\Mozilla\Firefox\Profiles\yv36jhc1.default\searchplugins\SearchResults.xml moved successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2EECD738-5844-4a99-B4B6-146BF802613B}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{2EECD738-5844-4a99-B4B6-146BF802613B}\ deleted successfully.
C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.4.19.19\bh\BabylonToolbar.dll moved successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5C255C8A-E604-49b4-9D64-90988571CECB}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5C255C8A-E604-49b4-9D64-90988571CECB}\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9D717F81-9148-4f12-8568-69135F087DB0}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9D717F81-9148-4f12-8568-69135F087DB0}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{de4e75d3-60aa-4f02-a0e4-c8a40576574c}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{de4e75d3-60aa-4f02-a0e4-c8a40576574c}\ deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\{98889811-442D-49dd-99D7-DC866BE87DBC} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{98889811-442D-49dd-99D7-DC866BE87DBC}\ deleted successfully.
C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.4.19.19\BabylonToolbarTlbr.dll moved successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\10 deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Internet Explorer\Restrictions\ deleted successfully.
C:\Users\Aaron\AppData\Roaming\OpenCandy\OpenCandy_8CE6510DA8FA46E99E3B0FB60C867B4D folder moved successfully.
C:\Users\Aaron\AppData\Roaming\OpenCandy folder moved successfully.
========== REGISTRY ==========
========== FILES ==========
[color=#A23BEC]< ipconfig /flushdns /c >/color
Configuration IP de Windows
Cache de r'solution DNS vid'.
C:\Users\Aaron\Desktop\cmd.bat deleted successfully.
C:\Users\Aaron\Desktop\cmd.txt deleted successfully.
C:\Users\Aaron\AppData\Roaming\Microsoft\Installer\{0E2B767B-EA6A-489B-BF83-8083FE1DB661} folder moved successfully.
========== COMMANDS ==========
 
[EMPTYFLASH]
 
User: Aaron
->Flash cache emptied: 57655 bytes
 
User: All Users
 
User: Default
->Flash cache emptied: 41620 bytes
 
User: Default User
->Flash cache emptied: 0 bytes
 
User: Public
 
Total Flash Files Cleaned = 0,00 mb
 
 
[EMPTYTEMP]
 
User: Aaron
->Temp folder emptied: 1199616 bytes
->Temporary Internet Files folder emptied: 52824255 bytes
->Java cache emptied: 13062 bytes
->FireFox cache emptied: 111571579 bytes
->Google Chrome cache emptied: 26441988 bytes
->Flash cache emptied: 0 bytes
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: Public
->Temp folder emptied: 0 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 67910 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 183,00 mb
 
 
OTL by OldTimer - Version 3.2.27.0 log created on 09042011_223742

Files\Folders moved on Reboot...
C:\Users\Aaron\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF1B15B84EEBCC7DC7.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF2AC687D7FDB9DCC2.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF2FEEC74CE0D7C228.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF4041EEB1AB6B9E2A.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF6A8F7E9C1F89B1E5.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF79F6FEE21315D8A2.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF849BCB99799CA0EA.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF91CFEA7CF6A48582.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF9CF2621CEFA32271.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DFB0BE32690B166921.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DFC369F20EED6E0815.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DFD979A583592B08D7.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DFDA26F1AF2CF17EC5.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DFDCF527D1CD79C55A.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DFE581C41F2C0455E9.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DFF092ADACB224CA79.TMP not found!

Registry entries deleted on Reboot...





Les liens : http://www.cijoint.fr/cjlink.php?file=cj201109/cijvtqvhb6.txt
et http://www.cijoint.fr/cjlink.php?file=cj201109/cijvtqvhb6.txt

kalimusic · Answer

re,

Comment se comporte le pc ?

Vérifie que le dossier System64  a retrouvé sa place dans C:\Windows stp

A +

Aromax · Answer

Re, 
Il n'y a toujour pas le dossier System64. :(

kalimusic · Answer

C'est bien ce qui me semblait.

Il faut le faire manuellement, rends toi ici > C:\Qoobox\Quarantine
Tu le récupères et tu le déplaces là C:\Windows

A +

Aromax · Answer

Le dossier est vide.
Je fait quoi ? :(

kalimusic · Answer

Relance OTL 
  - Sous Vista/Seven : clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
&#x25CF; Dans la partie du bas "Personnalisation", copie/colle la liste en citation :

c:\|system64;true;true;true /FP
d:\|system64;true;true;true /FP
&#x25CF;  Clique sur le bouton Aucun 
&#x25CF;  Clique sur le bouton Analyse 
&#x25CF;  Un nouveau rapport  OTL.txt va s'ouvrir au format bloc-note 

A +

Aromax · Answer

Avec le rapport je fais quoi ?
au cas ou le voila : OTL logfile created on: 04/09/2011 23:19:22 - Run 2
OTL by OldTimer - Version 3.2.27.0 Folder = C:\Users\Aaron\Desktop
64bit- Home Premium Edition (Version = 6.1.7600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.7600.16385)
Locale: 0000040c | Country: France | Language: FRA | Date Format: dd/MM/yyyy

3,86 Gb Total Physical Memory | 2,50 Gb Available Physical Memory | 64,73% Memory free
7,71 Gb Paging File | 5,83 Gb Available in Paging File | 75,54% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]

%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files (x86)
Drive C: | 454,94 Gb Total Space | 333,72 Gb Free Space | 73,36% Space Free | Partition Type: NTFS

Computer Name: AARON-VAIO | User Name: Aaron | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user | Include 64bit Scans
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: Off | File Age = 30 Days

[color=#E56717]========== Custom Scans ==========[/color]

[color=#A23BEC]< c:\|system64;true;true;true /FP >[/color]
[2011/09/04 18:40:04 | 000,000,000 | ---D | M] -- c:\Qoobox\Quarantine\C\Windows\System64

[color=#A23BEC]< d:\|system64;true;true;true /FP >[/color]

< End of report >

kalimusic · Answer

C'était pour trouver où était le dossier :p

OTL le voit bien dans la quarantaine 

c:\Qoobox\Quarantine\C\Windows\System64 

Donc il doit s'y trouver ;)

A +

Aromax · Answer

Oui mais le dossier System64 est vide.

kalimusic · Answer

ha ok, j'avais pas compris.

Mais je viens de regarder le 1er rapport de ComboFix, il était déjà vide quand il l'a supprimé.

Aromax · Answer

Merci beaucoup !! Ton aide ma été trè presieuse ! ! :-)

kalimusic · Answer

Attends c'est pas fini,

1. Il faut que je trouve pourquoi ce dossier était vide 
2. Il faut désinstaller proprement les outils.

Continue jusqu'au bout la désinfection sera plus efficace ;)

A +

Aromax · Answer

Je dois les desinstaller tout de suite ?

kalimusic · Answer

Bonjour,

Je te prépare la procédure à suivre pour désinstaller et nettoyer correctement. 

A +

Aromax · Answer

Bonjour,
D'accord.

kalimusic · Answer

re,

Pour le dossier system64 c'est normal que ComboFix l'ai supprimé, il n'existe pas nativement.
J'ai besoin de renseignements supplémentaires pour finaliser : 

Télécharge Security Check (by screen317 ) sur ton Bureau.

&#x25CF;  Double-clic sur l'icône SecurityCheck.exe 
&#x25CF;  Continue en appuyant sur une touche et patiente pendant l'analyse
&#x25CF;  Le rapport checkup.txt doit s'ouvrir spontanément à la fin du scan. 
&#x25CF;  Copie/colle le rapport dans ton prochain message. 

A +

Aromax · Answer

Le voilà : 
 
 Results of screen317's Security Check version 0.99.18  
 Windows 7  (UAC is enabled) 
 Internet Explorer 8  
[b]'''''''''''''''''''''''''''''' 
[u]Antivirus/Firewall Check:[/u][/b] 
 [size=1]WMI entry may not exist for antivirus; attempting automatic update.[/size] 
[b]''''''''''''''''''''''''''''''' 
[u]Anti-malware/Other Utilities Check:[/u][/b] 
 Malwarebytes' Anti-Malware    
 Java(TM) 6 Update 26  
[b][color=red]Flash Player Out of Date![/color][/b] 
 Adobe Flash Player 	10.0.45.2  
 Mozilla Firefox (x86 fr..) 
[b]'''''''''''''''''''''''''''''''' 
Process Check:  
[u]objlist.exe by Laurent[/u][/b] 
 Malwarebytes' Anti-Malware mbamservice.exe  
 Malwarebytes' Anti-Malware mbamgui.exe  
[b]''''''''''End of Log''''''''''''[/b]

kalimusic · Answer

On y va :)

1. Désinstalle ComboFix

2. Lance OTL
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
&#x25CF; Dans la partie du bas "Personnalisation", copie/colle:

:commands
[clearallrestorepoints]
&#x25CF; Clique sur le bouton Correction. 

3. Relance OTL en tant qu'administrateur  
&#x25CF; Clique sur le bouton Purge outils
&#x25CF; Clique ensuite sur OK dans la boite de dialogue qui t'invite à redémarrer le système.

4. Supprime les outils restants éventuellement sur ton Bureau
Si tu ne l'as pas encore fait, tu dois réactiver ton antivirus. 

5. Désinstalle les versions obsolètes de Java : 
Java(TM) 6 Update 20
Java(TM) 6 Update 26
6. Télécharge et installe  JRE 6 Update 27 

7. Mise à jour de FlashPlayer 10.3.183.7 
(L'installation de Google Chrome est facultative)
 
 == == == == == == == == == == == == == == == == == == == == == ==

Quelques conseils 

&#x25CF; Maintenir Windows à jour

&#x25CF; Maintenir les logiciels à jour avec Secunia OSI (merci australien)
Ou en utilisant leur logiciel Secunia Personal Software Inspector
Ou celui-ci :  Update Checker

&#x25CF;  Ne pas surfer en droits administrateurs

&#x25CF; Ne pas installer n'importe quel logiciel sur son PC (surtout via des liens publicitaires), toujours se renseigner avant. Les télécharger dans la mesure du possible sur le site de l'éditeur. Éviter d'installer les diverses barres d'outils ou de recherches, etc....proposées lors de l'installation. 

&#x25CF; Bannir les sites à risques (pornographiques, etc...) et les comportements à risques (P2P, cracks, warez....)

&#x25CF; Ne pas cliquer aveuglement sur des liens contenus dans les e-mails, les messageries instantanées, les réseaux sociaux, etc ...même si l'expéditeur est connu et à plus forte raison s'il est inconnu ou suspect.

&#x25CF; Utiliser un navigateur alternatif et le sécuriser (par exemple Firefox avec des modules complémentaires comme AdBlock, Noscript, WOT, etc...) 

 == == == == == == == == == == == == == == == == == == == == == ==

Bonne continuation

Aromax · Answer

Merci beaucoup ! 
Et ce que je doit faire autre chose ou c'est bon ? :)

kalimusic · Answer

Non, 

Bonne fin de journée.

Comment suprimé Gomeo ?

31 réponses

Discussions similaires

Newsletters