Comment me débarrasser de somoto ?

Bonjour,

depuis que j'ai téléchargé un logiciel pour lire les fichiers flv, j'ai les évènements suivants:

- changements de ma page d'accueil pour les nouveaux onglets sous Firefox => j'ai dû télécharger un module complémentaire pour changer cela

- Apparition d'une Toolbar: Eltima filbulldog => que j'ai dé-sélectionné

- redirection de mes pages web vers d'autres sites dont Somoto

Pouvez-vous me dire comment je pourrai me débarrasser de ce malware ?

Merci de votre retour.

48 réponses

Résumé de la discussion

Problème central : après le téléchargement d'un lecteur FLV, la page d'accueil se modifie, une Toolbar Eltima Filbulldog apparaît et des redirections vers Somoto surviennent sur Windows Vista et Firefox 7.0.1. Des solutions de nettoyage ont été proposées, notamment RogueKiller en mode sans échec avec prise en charge réseau pour supprimer des entrées de registre et corriger un proxy (192.168.255.135:3128). D'autres outils tels que TDSSKiller et MBAM ont été testés, avec des résultats variés et des pistes comme ZHPDiag et ZHPFix pour affiner le nettoyage, et une possible vérification du fichier HOSTS et du MBR. En dernier, la suite peut nécessiter des redémarrages répétés et des scans complémentaires, tandis que l'usage d'outils de diagnostic pour les modules suspects doit être prévu.

Bobot (l’IA à votre service)
  1. merci je viens d'arriver à me connecter à l'url sans rien faire mais c'est quand meme pas ca car depuis mon outlook ca ne telecharge pas les mails d'aujourd'hui.

    Merci
    A+
    1. Alors si tout est régler je met le sujet en résolut?
  2. en fait je n'arrive pas à joindre cette url sur aucun de mes PCs ??? J'ai regardé si mon IP n'était pas blacklisté mais ce n'est pas le cas...
    Je suis sans idée...
    1. essaye de te reconnecté a internet pour voir et vide ton cash web

      bon on verra ca demain

      A+
  3. non non mais c'est au niveau de la messagerie maintenant mais je ne sais pas si c'est lié. J'ai l'impression qu'il y a un gros soucis au niveau des services de messagerie de microsoft online. Est-ce que tu arrives à joindre cette URL:
    https://admin.emea.microsoftonline.com/Users/UserList.aspx
    1. oui moi jy arrive sans probleme
  4. RogueKiller V6.1.4 [22/10/2011] par Tigzy
    contact sur http://www.sur-la-toile.com
    mail: tigzyRK<at>gmail<dot>com
    Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
    Blog: http://tigzyrk.blogspot.com

    Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
    Demarrage : Mode sans echec avec prise en charge reseau
    Utilisateur: vanessa [Droits d'admin]
    Mode: Proxy RAZ -- Date : 24/10/2011 22:14:36

    Processus malicieux: 0

    Driver: [NOT LOADED]

    Entrees de registre: 0

    Termine : << RKreport[2].txt >>
    RKreport[1].txt ; RKreport[2].txt
    1. je rectifie pour être clair: il est paramétré dans IE mais pas dans Firefox mais n'est pas activé.
      1. alors enleve le dans IE
      2. Lit de rivière relance Rogue Killer et tape 4 (PROXYFIX)
        Poste le rapport
        Bonne suite
    2. non pas de proxy dans mes browsers. donc pas volontaire s'il y est
      1. est-ce que tu arrives à te connecter sur cette page :
        https://admin.emea.microsoftonline.com/Users/UserList.aspx
        1. Bonsoir
          R5 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.255.135:3128
          Tu as un proxy, a-t-il été installé volontairement ?
        2. mince javais oublier ce détail

          effectivement si tu te connecte a un proxy sans que tu ne le sache ce n'est pas normale
      2. RogueKiller V6.1.4 [22/10/2011] par Tigzy
        contact sur http://www.sur-la-toile.com
        mail: tigzyRK<at>gmail<dot>com
        Remontees: http://www.sur-la-toile.com/discussion-193725-1-BRogueKillerD-Remontees.html
        Blog: http://tigzyrk.blogspot.com

        Systeme d'exploitation: Windows Vista (6.0.6002 Service Pack 2) 32 bits version
        Demarrage : Mode sans echec avec prise en charge reseau
        Utilisateur: vanessa [Droits d'admin]
        Mode: Suppression -- Date : 24/10/2011 21:52:57

        Processus malicieux: 0

        Entrees de registre: 5
        [PROXY IE] HKCU\[...]\Internet Settings : ProxyServer (192.168.255.135:3128) -> NOT REMOVED, USE PROXYFIX
        [HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED ()
        [HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED ()
        [HJ] HKCU\[...]\ClassicStartMenu : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> REPLACED ()
        [HJ] HKCU\[...]\NewStartPanel : {645FF040-5081-101B-9F08-00AA002F954E} (1) -> REPLACED ()

        Fichiers / Dossiers particuliers:

        Driver: [NOT LOADED]

        Fichier HOSTS:
        127.0.0.1 localhost
        ::1 localhost

        Termine : << RKreport[1].txt >>
        RKreport[1].txt
        1. A tu des messages d'erreurs?

          1) redémarres le pc en mode sans echec avec prise en charge du réseau

          .Cliques sur Démarrer
          .Cliques sur Arrêter
          .Sélectionnes Redémarrer et au redémarrage
          .Appuis sur la touche F8 ou F5 celon les marques de pc sans discontinuer "1 appuis seconde" dès qu'un écran de texte apparaît puis disparaît
          .Utilises les touches de direction pour sélectionner mode sans échec avec prise en charge reseau
          .puis appuis sur ENTRÉE
          .Il faudra choisir ta session habituelle, pas le compte "Administrateur" ou une autre
          une fois démarré ne t'inquiette pas si les couleurs et les icônes ne sont pas comme d'abitude

          2) une fois dans ce mode tu fais roguekiller option 2

          Télécharger sur le bureau RogueKiller (par Tigzy)
          - Quitter tous les programmes en cours
          - Sous Vista/Seven , clic droit -> lancer en tant qu'administrateur
          - Sinon lancer simplement RogueKiller.exe
          - Lorsque demandé, taper 2 et valider
          - Un rapport à dû s'ouvrir (RKreport.txt se trouve également à côté de l'exécutable), donner son contenu à la personne qui vous aide
          - Si le programme a été bloqué, ne pas hésiter a essayé plusieurs fois. Si vraiment cela ne passe pas (ça peut arriver), le renommer en winlogon.exe
        2. c'est bizarre tout de même car tout rame et toutes mes connections au site de microsoft n'arrive pas à aboutir
          1. HAAA c'est peut être en supprimant une des clés de connections infectés que ton outlook plante

            Donc c'est un peu normale je pense

            Essaye de le réinstaller et ça va repartir comme sur des roulettes
            1. il n'arrive pas à se connecter au serveur microsoft online services
              1. 1 élément nuisible par contre moi qui pensait que tout était ok ... je n'arrive plus à accéder à ma messagerie externalisée depuis mon outlook...
                1. No threats found pour TDSSKiller.

                  Tout à l'air OK!

                  Merci beaucoup pour ton aide et peut être à une prochaine fois.
                  1. et voilà le rapport de MBAM:

                    Malwarebytes' Anti-Malware 1.51.2.1300
                    www.malwarebytes.org

                    Version de la base de données: 8011

                    Windows 6.0.6002 Service Pack 2
                    Internet Explorer 8.0.6001.19154

                    24/10/2011 19:35:13
                    mbam-log-2011-10-24 (19-35-13).txt

                    Type d'examen: Examen complet (C:\|)
                    Elément(s) analysé(s): 421382
                    Temps écoulé: 2 heure(s), 49 minute(s), 40 seconde(s)

                    Processus mémoire infecté(s): 0
                    Module(s) mémoire infecté(s): 0
                    Clé(s) du Registre infectée(s): 1
                    Valeur(s) du Registre infectée(s): 0
                    Elément(s) de données du Registre infecté(s): 0
                    Dossier(s) infecté(s): 0
                    Fichier(s) infecté(s): 0

                    Processus mémoire infecté(s):
                    (Aucun élément nuisible détecté)

                    Module(s) mémoire infecté(s):
                    (Aucun élément nuisible détecté)

                    Clé(s) du Registre infectée(s):
                    HKEY_CLASSES_ROOT\AppID\{D2083641-E57F-4eab-BB85-0582424F4A29} (Adware.HotBar.CP) -> Quarantined and deleted successfully.

                    Valeur(s) du Registre infectée(s):
                    (Aucun élément nuisible détecté)

                    Elément(s) de données du Registre infecté(s):
                    (Aucun élément nuisible détecté)

                    Dossier(s) infecté(s):
                    (Aucun élément nuisible détecté)

                    Fichier(s) infecté(s):
                    (Aucun élément nuisible détecté)
                    1. La patience est une vertus ;)

                      Combien a t'il détecté d'élément nuisible?
                      • 1
                      • 2
                      • 3