Rootkit, malware, virus... HELP ME !
Résolu
Bonjour,
J'ai un problème sur mon ordi depuis 2 jours, pourriez-vous m'aider à soigner mon ordi car j'en ai besoin quotidiennement, et je n'arrive pas à le réparer tout seul ou en lisant les forums. Une fois n'est pas coutume, j'ai donc décidé de demander une aide personnalisé sur un forum de "pros". J'espère avoir fait le bon choix en m'inscrivant sur "Comment ça marche.net" !
Mon problème :
L'ordi est plus lent quand je navigue sur internet. J'utilise Google Chrome. Le plus chiant, c'est que quand je fais une recherche sur Google et que je clik sur les liens proposés, la page qui se charge est redirigée vers une pub du genre : conforama, orange, etc... Il faut parfois que je recharge une dizaine de fois la page que je souhaite consulté avant que la bonne page s'affiche ! D'après certains forums ce serait un rootkit, génial ça n'a pas l'air très gentil comme bête...
Ce que j'ai fait :
J'ai installé Comodo et l'ai exécuté. J'ai fait des scans avec MBAM et Sophos. Mais aujourd'hui le problème persiste encore !
Avez-vous une idée pour m'aider ? Existe t-il un logiciel en particulier qui supprime ce genre de virus/rootkit/malware ?
Je suis prêt à faire un scan de mon ordi si cela permet à coup sûr d'identifier le problème.
En attendant une réponse de votre part, je vous souhaite une bonne soirée,
Bien cordialement,
"Pagnol"
J'ai un problème sur mon ordi depuis 2 jours, pourriez-vous m'aider à soigner mon ordi car j'en ai besoin quotidiennement, et je n'arrive pas à le réparer tout seul ou en lisant les forums. Une fois n'est pas coutume, j'ai donc décidé de demander une aide personnalisé sur un forum de "pros". J'espère avoir fait le bon choix en m'inscrivant sur "Comment ça marche.net" !
Mon problème :
L'ordi est plus lent quand je navigue sur internet. J'utilise Google Chrome. Le plus chiant, c'est que quand je fais une recherche sur Google et que je clik sur les liens proposés, la page qui se charge est redirigée vers une pub du genre : conforama, orange, etc... Il faut parfois que je recharge une dizaine de fois la page que je souhaite consulté avant que la bonne page s'affiche ! D'après certains forums ce serait un rootkit, génial ça n'a pas l'air très gentil comme bête...
Ce que j'ai fait :
J'ai installé Comodo et l'ai exécuté. J'ai fait des scans avec MBAM et Sophos. Mais aujourd'hui le problème persiste encore !
Avez-vous une idée pour m'aider ? Existe t-il un logiciel en particulier qui supprime ce genre de virus/rootkit/malware ?
Je suis prêt à faire un scan de mon ordi si cela permet à coup sûr d'identifier le problème.
En attendant une réponse de votre part, je vous souhaite une bonne soirée,
Bien cordialement,
"Pagnol"
44 réponses
Résumé de la discussion
Un ordinateur sous Windows 7 affiche une navigation lente et des redirections publicitaires lors des recherches sur Google Chrome, ce qui évoque une infection par un malware, potentiellement un rootkit. Plusieurs conseils ont été proposés, notamment l’utilisation d’outils de détection comme ZHPDiag et AdwCleaner, le désactivation de la synchronisation Chrome et des scans avec MBAM ou Sophos. Des instructions détaillées ont été données pour limiter les publicités et les redirections, notamment désactiver la synchronisation Chrome, supprimer les données associées et lancer des outils de nettoyage en mode administrateur. En parallèle, plusieurs intervenants suggéraient des vérifications complémentaires et des nettoyages répétés, tout en évitant les téléchargements depuis des publicités ou des sites suspects, afin de prévenir de futures infections.
-
Contributeur sécuritéBonjour,
On va faire un diagnostic de ton PC:
Télécharge ZHPDiag (de Nicolas Coolman) sur ton bureau
https://www.zebulon.fr/telechargements/securite/systeme/zhpdiag.html
ou depuis ce lien si le premier a des soucis:
http://www.forums-fec.be/ZHP/ZHPDiag2.exe
Une fois le téléchargement achevé, double clique sur ZHPDiag.exe et suis les instructions.
/!\Utilisateurs de Vista et Windows 7 : Clique droit sur le logo de ZHPDiag.exe, « exécuter en tant qu'Administrateur »
N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.
- Double clique sur le raccourci ZHPDiag sur ton Bureau pour le lancer.
- Si tu possèdes Avast 6 ou 7 comme antivirus, à l'alerte choisis "lancer normalement"
- Si tu obtiens le message "Voulez-vous autoriser le programme suivant..." tu réponds Oui
(/!\L'outil a créé 2 icônes ZHPDiag et ZHPFix)
- Clique sur le tournevis à droite et coche toutes les cases
- Clique sur la loupe pour lancer l'analyse.
- Laisse l'outil travailler, il peut être assez long.
- Ferme ZHPDiag en fin d'analyse.
- Pour transmettre le rapport clique sur ce lien: http://pjjoint.malekal.com/
- Clique sur Parcourir et cherche le répertoire C:\ZHP
- Sélectionne le fichier ZHPDiag.txt. puis clique sur "Ouvrir"
- Ensuite Clique sur "Envoyer le fichier".
- Copie le lien obtenu dans ta réponse.
Smart -
nan c'est des restes d'installation de mise à jour windows ou autre certainement tu peux jeter
-
Oui il est bien supprimé. J'ai désinstaller et supprimer les raccourcis et les applications qui n'avaient pas été désinstallées. J'ai conservé : Comodo et MBAM seulement.
Sinon sur C:/ j'ai :
10 fichiers txt "Eula.chiffre"
10 ficchiers .dll "Install.res.chiffre"
C'est quoi ? Ca vient de tout ce qu'on a fait ? -
pas de quoi :)
verifie que le dossier Pre_scan soit bien supprimé dans C:\
-
parfait si tout est bon , là c'est terminé pour de bon ^^
-
Puis-je supprimer tous les programmes que vous m'avez demandé d'installer ET les rapports qui ont été prosuits ? C'est à dire (il y en a que j'avais utilisé avant de vous contacter) : ZHPFix, ZHPDiag, ComboFix, MBRCheck, Sophos Virus, MalwareByte anti-malware, est-ce que j'en oublie ?
la reponse y est aussi ^^
fais le menage conseillé tu comprendras ( Delfix est fait pour ca :) )
2) Pourriez-vous m'expliquer de quoi était infecté mon ordi ? Et ce que vous avez fait pour "buté" la p'tite bête ? Car j'ai suivi vos consignes avec une confiance aveugle, et même si je ne regrette pas j'aimerai comprendre un peu...
son nom j'en sais rien , le nom change toutes les 5 mn suivant qui le detecte
pour buter la bête ? ben on a utilisé des logiciels de desinfection et fait des scriipts de suppression pour les fichiers tenaces
3) Est-ce que le virus que j'avais a pu se propager sur : disque dur externe, DropBox, boite email, etc... ??
je ne pense pas-
Rapport :
- Je n'ai pas pu installer Adobe Falsh Player car : "Votre navigateur Google Chrome inclut déjà Adobe® Flash® Player. Google Chrome lancera automatiquement les mises à jour lorsque de nouvelles versions de Flash Player seront disponibles."
- Delfix : j'ai été trop vite : je suis allé jusqu'à "suppression", puis j'ai fermé le rapport qui s'est ouvert (presque aussitôt) et j'ai cliké sur "désinstaller", du coup je ne trouve pas le rapport sur C:/, je pense que j'ai du le supprimer avec l'appli Delfix. Donc j'ai recommencé, plus lentement, et voici le rapport (mais je ne sais pas s'il sera utile du coup) : https://forums-fec.be/upload/www/?a=d&i=8714841702
La suite dans pas longtemps... -
-
-
-
-
-
-
OK, je vais faire tout ça ! 1000 merci !
Sinon ça répond bien à ma 3ème question, mais il en reste encore deux :
1) Puis-je supprimer tous les programmes que vous m'avez demandé d'installer ET les rapports qui ont été prosuits ? C'est à dire (il y en a que j'avais utilisé avant de vous contacter) : ZHPFix, ZHPDiag, ComboFix, MBRCheck, Sophos Virus, MalwareByte anti-malware, est-ce que j'en oublie ?
2) Pourriez-vous m'expliquer de quoi était infecté mon ordi ? Et ce que vous avez fait pour "buté" la p'tite bête ? Car j'ai suivi vos consignes avec une confiance aveugle, et même si je ne regrette pas j'aimerai comprendre un peu...
Et une 3ème pour la route ^^ :
3) Est-ce que le virus que j'avais a pu se propager sur : disque dur externe, DropBox, boite email, etc... ??
-
-
fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.
▶ Télécharge ici :
Malwarebytes
▶ Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .
relance malwarebytes en suivant scrupuleusement ces consignes :
! Déconnecte toi et ferme toutes applications en cours !
▶ Lance Malwarebyte's .
Fais un examen dit "Complet" .
▶ Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
▶ à la fin tu cliques sur "résultat" .
▶ Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .
▶ Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !
▶ Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)
-
Contributeur sécuritéC'est surtout notre maître Jedi qu'il faut remercier.
Je parle bien sûr de g3n-h@ckman :-)
Smart -
J'ai cependant 3 questions :
1) Puis-je supprimer tous les programmes que vous m'avez demandé d'installer ET les rapports qui ont été prosuits ? C'est à dire (il y en a que j'avais utilisé avant de vous contacter) : ZHPFix, ZHPDiag, ComboFix, MBRCheck, Sophos Virus, MalwareByte anti-malware, est-ce que j'en oublie ?
2) Pourriez-vous m'expliquer de quoi était infecté mon ordi ? Et ce que vous avez fait pour "buté" la p'tite bête ? Car j'ai suivi vos consignes avec une confiance aveugle, et même si je ne regrette pas j'aimerai comprendre un peu...
3) Quel antivirus, firewall, antimalware, etc... me conseillez-vous pour la suite ? Pouvez-vous me donner une liste de programme de sécurité à installer sur mon ordi ? Et s'il existe des équivalents en versions gratuites je privilégierai ceux-là ! :)
PS : champagne ! -
J'ai testé une douzaine de liens sur Google, et :
Vitesse : pas mal du tout !
Redirection vers des publicités : niet !
J'ai l'impression que c'est bon ! Joie !!
Mais : guettez ce sujet de forum, si jamais d'ici quelques jours je me rends compte que ça recommence je posterai des messages sur ce sujet de forum...
Mais (n°2) si rien ne déconne encore... 1000000 MERCI Smart, g3n et juju666 !!! Vous êtes supers ! :-D -
oué c'est bon on l'a buté :)
-
Je lance quel pre_scan ? le normal ou le .pif ?
-
et maintenant on croise les doigts
Attention !!! pense à re-désactiver tes protections
Clique sur ce lien : https://www.cjoint.com/?BKqwFkeFVMu
Selectionne tout le texte qui s'y trouve CTRL+A puis CTRL+C ou clic droit/copier
Relance Pre_scan puis choisis l'option "Script"
une page va s'ouvrir
logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.
sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.
puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte
des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille
poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail
-
hello combofix n'a pas reussi la suppression depuis hier soir je me doute qu'il y ait un service pourri derriere qui traine et qui protege ces elements ......
===========
on va tenter autrement :
Attention !!! : Seuls ces liens sont officiels ne pas telecharger l'outil sur d'autres liens !!
Attention !!! : cet outil peut etre détecté à tort comme virus
Attention !!! : cet outil est puissant suivre scrupuleusement les instructions ci-dessous
tous les processus "non vitaux de windows" vont être coupés , enregistre ton travail.
Désactive toutes tes protections si possible , antivirus , sandbox , pare-feux , etc....
telecharge et enregistre Pre_Scan sur ton bureau :
https://forums-fec.be/gen-hackman/Pre_Scan.exe
si le lien ne fonctionne pas :
http://www.archive-host.com
Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.
une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.
si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Scan|Kill"
si l'outil est bloqué par l'infection utilise cette version avec extension .pif :
https://forums-fec.be/gen-hackman/Pre_Scan.pif
si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"
Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler
Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan.
s'il n'est pas sur le bureau , il est à la racine de ton disque système ( généralement C:\ )
Il est possible que l'outil fasse redemarrer ton pc , laisse-le faire
NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)
Heberge le rapport sur https://forums-fec.be/upload puis donne le lien obtenu en echange sur le forum où tu te fais aider
Ne transmets pas le lien de suppression !!!
-
-
-
salut Gen
excuse moi de te déranger, mais 1 personne a besoin de tes services^^
le lien du topic https://forums.commentcamarche.net/forum/affich-26483940-besoin-d-aide-pour-savoir-si-mon-pc-est-clean-ou-infecte#p26485172
merci d'avance de ta collaboration
@+ -
J'ai lancé Pre_scan, l'analyse (assez longue) s'est effectuée, puis j'ai du redémarrer le PC, puis pre_scan s'est relancé, et là j'ai eut ce message :
Line 23535 (File"C:\Pre_scan\winlogon.exe") : Error : Error in expression
Que dois-je faire ? Dois lancer la version avec extension .pif ?
Mais bon, j'ai trouvé le rapport sur C:/, voici le lien de TELECHARGMENT (et non suppression) : https://forums-fec.be/upload/www/index.php?action=d&step=3 -
-
-
Voici le rapport de combofix : https://pjjoint.malekal.com/files.php?id=20121116_p5x15j11e9o11
Sinon je viens de redémarrer mon ordinateur, parce qu'après le redémarrage effectué par combofix à la fin de son scan, plus aucune application ne pouvait s'ouvrir... Est-ce normal ? -
yes voila la manip
__________________________________________________
=>/!\Le script qui suit a été écrit spécialement cet ordinateur/!\ <=
=>il est fort déconseillé de le transposer sur un autre ordinateur !<=
----------------------------------------------------------------------------
Toujours avec toutes les protections désactivées, fais ceci :
▶ Ouvre le bloc-notes (Menu démarrer --> programmes --> accessoires --> bloc-notes)
▶ Copie/colle dans le bloc-notes ce qui entre les lignes ci dessous (sans les lignes) :
----------------------------------------------------------
KillAll::
ClearJavaCache::
File::
C:\WINDOWS\syswow64\qeditt.dll
c:\windows\Tasks\WWWVTGO.job
RegLock::
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\Elevation]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\LocalServer32]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\TypeLib]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\ProxyStubClsid32]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\TypeLib]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\Elevation]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\LocalServer32]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\TypeLib]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\ProxyStubClsid32]
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\TypeLib]
[HKEY_LOCAL_MACHINE\SOFTWARE\McAfee]
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
------------------------------------------------------------------
▶ Enregistre ce fichier sur ton Bureau (et pas ailleurs !) sous le nom CFScript.txt
▶ Quitte le Bloc Notes
▶ Fais un glisser/déposer de ce fichier CFScript sur le fichier combofix comme sur cette : illustration
▶ Patiente le temps du scan. Le Bureau va disparaître à plusieurs reprises : c'est normal ! Ne touche à rien tant que le scan n'est pas terminé.
▶ Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
▶ Si le fichier ne s'ouvre pas, il se trouve ici => C:\ComboFix.txt
-
Contributeur sécuritéHé les mecs il est normal que pagnol se pose des questions, il serait plus simple qu'un seul lui indique ce qu'il doit faire. Bon c'est mon point de vue.
Smart -
Contributeur sécuritéSupprime-le ! Virus ! KK ! ^^
-
Juju et G3n vous êtes d'accord tous les 2 sur le fait que je dois juste supprimer ce fichier ? C'est pas un fichier très important, s'il manque c'est pas grave ?
- 1
- 2
- 3
Suivant
