Virus indetectable

Bonsoir,

Très important : change le mot de passe de ton routeur, cette infection a exploité la faiblesse de celui-ci (et à plus forte raison le mot de passe usine).

Choisir un mot de passe fort : https://www.commentcamarche.net/faq/29818-choisir-securiser-et-gerer-ses-mots-de-passe

== == == == == == DÉSINSTALLATION DES OUTILS == == == == == ==

1. Lance OTL

● Clique sur le bouton Purge outils
● Puis sur OK dans la boite de dialogue qui t'invite à redémarrer le système.
● Supprime les outils et les rapports restants éventuellement sur ton Bureau

== == == == == == == == == MISES A JOUR == == == == == == == == ==

Vérifie que les logiciels pouvant présenter des failles de sécurité sont à jour, c'est par ce biais que les infections arrivent :

Maintenir Java, Adobe Reader et le player Flash à jour ou bien tu peux utiliser cet outil : Vérifier et mettre à jour facilement les logiciels à risque avec SX Check&Update

!! Décoche les cases proposant des logiciels partenaires pendant les installations !!

Désinstalle les anciennes versions de Java si tu en as encore installées.
https://www.java.com/fr/download/help/remove_olderversions.html

== == == == == == == == == == == == == == == == == == == == == ==

Tu peux installer WOT et ABP pour sécuriser Firefox

La sécurité de son PC, c'est quoi ? (par Malekal)

== == == == == == == == == == == == == == == == == == == == == ==

Bonne continuation

Bonjour,

alors plus rien à signaler depuis hier, je pense que le problème est résolu et je vais donc cloturer cette discussion. Je tiens encore une fois à te remercier kali pour ta persevérence!

à +

Gilad

re,

Cela ressemble à un Hijack DNS : https://www.malekal.com/livebox-et-hijack-dns-redirections-google/

Logique puisque depuis le début, aucun fichiers malicieux, aucun modules ou plugins suspects dans les navigateurs et le formatage n'avait pas résolu le problème.
Le fait que Firefox fonctionnait en mode sans échec m'avait un peu égaré.

Concernant la question sur le fournisseur internet, j'ai vu dans OTL :

Locale: 0000080c | Country: Belgique | Language: FRB | Date Format: d/MM/yyyy 

Mais que les DNS du FAI était situé au Pays-Bas : http://whois.domaintools.com/217.23.12.222
D'où ma question.

A +

Re,

alors j'ai fais un reset routeur et verdict : plus rien depuis!
Tu sembles avoir trouvé qqch, mais je dois dire que je comprend pas trop.
Maintenant, est-ce que le problème est vraiment résolu? J'ai formaté mon PC 2 fois et à chaque fois c'est revenu (immediatement la 1e fois et après 1 semaine disons la 2e).
Je me sentirai quand même rassuré en sachant ce qui provoque ce problème... Cela a-t-il un rapport avec mon fournisseur (tu me demandais plus haut pour les Pays-bas...) ?

En tout cas un grand merci à toi kali pour ton aide, tu ne m'as pas laissé tombé ! Franchement j'aurai jamais pensé à ça!

Bàt,

Gilad

Voici déjà les captures (2, je ne sais pas tout capturer en une fois) :

http://up.security-x.fr/file.php?h=R099b55ac30cf78ebe50a229dad823e01

http://up.security-x.fr/file.php?h=R823fc97931f2765891aae0c136277787

Je reset le routeur et reviens.

Gilad

Bonjour,

Il fallait poser la question car dans ce cas, un fichier système aurait pu être modifié dés le départ et pourrait s'avérer indétectable.
Tous les scans depuis le début ne montrant aucune infection.

Télécharge Process Explorer
● Dézippe le sur ton Bureau.
● Lance le et agrandi la fenêtre si nécessaire.
● Lance un navigateur, et quand une pub apparait fait une copie d'écran de la fenêtre de Process Explorer

Est ce que tu peux faire un reset de ton routeur pour voir ce que ça donne ?

A +

Bonjour,

Alors en toute franchise il n'y que des versions officielles installées sur mon PC, que ce soit pour windows ou pour tout autre logiciel. Ce ne serait pas dans mon intéret de mentir là-dessus,mon but étant réelement de me débarasser de ce problème une bonne fois pour toute...
Les quelques logiciels gratuits que j'ai (VLC, Skype, ...) ont été téléchargés sur les sites officiels. De plus mon utilisation du net se résume au plus simple (mails, news, skype...) ce qui fait que je ne comprend vraiment pas comment j'ai attrapé ce truc!

Voici deux captures prises sur ce forum juste avant de répondre au dernier message :

http://up.security-x.fr/file.php?h=R705d4f17df90674a6444a1307b6a7088

http://up.security-x.fr/file.php?h=Rf4d1074f68bd7bb35a5ac0d08376191f

Ca commence à m'inquiéter là...

Bàt,

Gilad

Bonsoir,

Malheureusement, cette piste ne mène nul part.

Afin d'éliminer une possibilité, parlons avec franchise.
Est-ce que la version installée de Windows est officielle ?
Est-ce que des logiciels cr*ckés ont été installés ?

Peux tu me faire une copie d'écran avec ces pubs stp.

A +

Bonsoir,

voici le nouveau rapport OTL:

http://up.security-x.fr/file.php?h=Rc6098715d159dec1a6bc4eac1566d435

et pour les plugins :

http://up.security-x.fr/file.php?h=R9f319c9ed77c86b0c9059e140f8c9265

Cdt,

Gilad

Bonjour,

Ces 2 analyses ne donnant rien, revenons à ma 1er idée :

1. Relance OTL

● Dans la partie "Personnalisation", copie/colle :

hklm\software\mozillaplugins /s
hklm\software\microsoft\internet explorer\plugins /s

● Clique sur le bouton Aucun puis Analyse.
● Un nouveau rapport OTL.txt va s'ouvrir au format bloc-note.
● Copie/colle le dans ton prochain message (à héberger si trop long).

2. Firefox > Modules complémentaires > Plugins
Essaye de faire une ou deux copie d'écran montrant tous les plugins présents.
Héberge les images et poste les liens.

A +

Bonjour,

me revoilà. Voici le resulta de virustotal :

https://www.virustotal.com/gui/file/948a7ee58e74244b94f08b122c915fb3cfc3467beb9acb360aa8373143b3c485

et voici pour minitool box

http://up.security-x.fr/file.php?h=R1ce3686311804c101c1840dfee981825

Bàt,

Gilad

Salut,

mon fournisseur est Scarlet (Belgique et Pays-Bas) et j'utilise un routeur. Pour la manip que tu me conseil, je reviens vers toi demain : je n'ai pas accès à mon ordi pour le moment.

Bàt,

Gilad

re,

Est ce tu es connecté via une box ou un routeur ?
Quel est ton fournisseur Internet ? Est-il situé au Pays-Bas ?

1. Analyse le fichier C:\Windows\System32\ASDR.exe sur https://www.virustotal.com/gui/
Si un message te dit que le fichier à déjà été analysé, ré-analyse le
Copie-colle l'url affichée dans la barre d'adresse dans ta réponse.
tuto : Analyser un fichier avec VirusTotal

2. Télécharge MiniToolBox (by Farbar) sur ton Bureau.
▸ Sous XP double-clic sur l'icône pour lancer l'outil.
▸ Sous Vista/Seven/8 clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
● Coche la case située devant les lignes suivantes :

Flush DNS
Report IE Proxy Settings
Report FF Proxy Settings
List content of Hosts
List IP configuration

● Clique sur le bouton GO
● Patiente le temps du scan, le rapport doit s'ouvrir spontanément à la fin.

Poste le rapport Result.txt
(à héberger si trop long)

A +

oui effectivement cela fonctionne en mode sans echec.

Merci pour ton aide,

Gilad

re,

Comme dis au début de mon intervention, lors de la réinstallation du système, des programmes, etc... il y a une application qui place cette infection quelque part.

Firefox en mode sans échec, cela fonctionnait pourtant ?
Je vais me renseigner et je reviens vers toi.

A +

En tout cas, cela m'a permi de voir que mes pilotes graphique étaient obsoletes (pas encore fait depuis mon dernier formatage).Je vais déjà faire ça

à+

oui, toujours. Ca n'a rien changé sur FireFox et bien sur idem sur internet explorer.

bàt,

Gilad

Toujours ces pubs en russes ?

A+

re,

c'est fait :

Paramètres de base de l'application

Nom
Firefox

Version
20.0.1

Agent utilisateur
Mozilla/5.0 (Windows NT 6.0; rv:20.0) Gecko/20100101 Firefox/20.0

Configuration de compilation

about:buildconfig

Extensions

Nom

Version

Activée

ID

Microsoft .NET Framework Assistant
0.0.0
false
{20a82645-c095-46ed-80e3-08825760534b}

Préférences modifiées importantes

Nom

Valeur

browser.cache.disk.capacity
358400

browser.cache.disk.smart_size.first_run
false

browser.cache.disk.smart_size.use_old_max
false

browser.cache.disk.smart_size_cached_value
358400

browser.places.smartBookmarksVersion
4

browser.startup.homepage_override.buildID
20130409194949

browser.startup.homepage_override.mstone
20.0.1

dom.w3c_touch_events.expose
false

extensions.lastAppVersion
20.0.1

network.cookie.prefsMigrated
true

places.history.expiration.transient_current_max_pages
87194

plugin.disable_full_page_plugin_for_types
application/pdf

privacy.sanitize.migrateFx3Prefs
true

Accélération graphique

Date du pilote
12-1-2008

Description de la carte
ASUS EAH4870 series

Direct2D activé
Bloqué pour la version de votre pilote graphique. Essayez de faire la mise à jour de votre pilote graphique vers la version 10.6 ou supérieure.

DirectWrite activé
false (7.0.6002.18592)

Fenêtres avec accélération graphique
0/1 Basic Bloqué pour la version de votre pilote graphique. Essayez de faire la mise à jour de votre pilote graphique vers la version 9.6 ou supérieure.

GPU #2 active
false

ID du périphérique
0x9440

ID du vendeur
0x1002

Pilotes de la carte
atidxx32 atidxx64 atiumdag atiumdva atiumd64 atiumd6a atitmm64

RAM de la carte
Unknown

Rendu WebGL
Bloqué pour la version de votre pilote graphique. Essayez de faire la mise à jour de votre pilote graphique vers la version 9.6 ou supérieure.

Version du pilote
8.561.0.0

AzureCanvasBackend
cairo

AzureContentBackend
none

AzureFallbackCanvasBackend
none

JavaScript

Ramasse-miettes incrémentiel
true

Accessibilité

Activée
false

Empêcher l'accessibilité
0

Versions des bibliothèques

Version minimale attendue

Version utilisée

NSPR
4.9.5
4.9.5

NSS
3.14.3.0 Basic ECC
3.14.3.0 Basic ECC

NSSSMIME
3.14.3.0 Basic ECC
3.14.3.0 Basic ECC

NSSSSL
3.14.3.0 Basic ECC
3.14.3.0 Basic ECC

NSSUTIL
3.14.3.0
3.14.3.0

Gilad

ok,

Dans la barre d'adresse de Firefox, copie/colle about:support
-> Entrée -> Restaurer Firefox dans son état initial
Clique sur le bouton Réinitialiser Firefox

A+