Infection Navigateur & Proxy

Résolu
Youri03 -  
Bonjour,

je viens vers vous, pour un problème vraiment coriace.

En quelques mots: J'ai un pc qui ne se connecte à Internet qu'en utilisant une connexion proxy, il me coche sur tous les navigateurs (logique vu qu'ils utilisent tous IE) "Utilisez la connexion au proxy".

Seulement, je n'ai pas de proxy chez moi.

Inutile de me dire de cocher les options, ça ne fonctionne pas après redémarrage, par contre tant que le pc n'est pas redémarré, la navigation est possible.

Niveau désinfection:

-Rogue Killer me sort bien 2 lignes de proxy, 1 qui est effacé et l'autre remplacé, après redémarrage, rebelotte.

-Adwcleaner me sortait des lignes complètes, désormais, plus d'entrée illégitime.

-Combofix m'en a aussi sortie des pleines lignes, mais plus rien de notable.

-Ccleaner m'a fait une correction importante au niveau des erreurs registres, mais ça ne résout pas mon problème.

-Ad-Remover ne m'a sortie que quelques lignes de toolbar et merdouille (que les autres n'avaient pas vu d'ailleurs).

-Malwarebytes m'a trouvé 2 menaces complémentaires à tout le reste, supprimées.

-Avast en 3 scans complets de démarrages m'a trouvé qu'une seule menace, supprimée aussi avec succès.

J'attire aussi votre attention sur le fait que Avast (l'anti-virus) se met automatiquement sur la recherche d'un proxy.

J'ai sûrement un problème avec un script de démarrage ou autre connerie mais je sèche complet.

Le pc est un Windows 8, si vous avez une idée.

Cordialement,

Youri03.

28 réponses

Résumé de la discussion

Un PC Windows affiche une configuration proxy persistante dans les paramètres Internet et les navigateurs, autorisant la navigation uniquement via ce proxy et réapparaissant après chaque redémarrage, malgré l'absence de proxy configuré. Plusieurs outils de sécurité ont détecté des éléments malveillants et des entrées proxy dans le registre et les profils, évoquant des infections type ZeroAccess ou des modules de proxy injectés. Des pistes évoquées incluent des extensions indésirables, des binaires modifiés et un script de démarrage altérant les paramètres réseau, avec des scans OTL et corrections de registre. En parallèle, des suggestions portent sur la suppression manuelle d'entrées proxy, le redémarrage en mode réparation et la vérification des paramètres Internet et des extensions actives.

Bobot (l’IA à votre service)
  1. Malekal_morte- Modérateur
    Me demande si c'est pas une des dernières maj qui fout la grouille.

    Y a d'autres sujets.
    https://forums.commentcamarche.net/forum/affich-28213135-probleme-case-proxy-se-coche-toute-seule-au-demarrage
    https://forums.commentcamarche.net/forum/affich-28207842-proxy-s-active-tout-seul

    Like the angel you are, you laugh creating a lightness in my chest,
    Your eyes they penetrate me,
    (Your answer's always 'maybe')
    That's when I got up and left
    1. Youri03 Auteur
      C'est possible.
      Niveau MaJ c'est pas le bombardement actuellement. Mais si le cas est de plus en plus récurent...Il faut s'orienter vers cette probabilité.
    2. Youri03 Auteur
      Je leur pose la question par rapport à l'os, si c'est le cas, faut gratter sur la maj qui sort W7 et W8 pour voir ce qu'il y a de nouveau et qui pourrait mettre le bazar sur les navigateurs.
  2. Youri03 Auteur
    Résolu ;)
    Sous windows 8, il faut:

    Paramètre > Modifier les paramètres du PC > général > Actualiser votre pc sans effacer vos fichiers.

    Windows recharge par défaut tous les paramètres et ne touche ni aux dossiers, images, documents. Par contre tout ce qui est programme ça s'efface. IE quant à lui garde ses favoris mais les autres paramètres sont remis à zéro.

    C'était donc bien le registre et les droits qui étaient en tord.

    Merci à toi :) tu m'as été d'une grande aide j'ai appris deux trois trucs en plus.
    1. Malekal_morte- Modérateur
      okay :)
  3. Youri03 Auteur
    Delete proxy Session : S-1-5-19 ; S-1-5-20 ; S-1-5-21-1556283557....$ça ressemble à des clefs de registres ou quelque chose du genre... Mais je sais pas trop quoi en faire à force -.-
    1. Malekal_morte- Modérateur
      D'après ton rapport OTL: https://forums.commentcamarche.net/forum/affich-28203186-infection-navigateur-proxy#18
      c'est la ruche HKEY_USERS qui est touché.
      Donc à priori, si tu recréés un nouvel utilisateur, tu devrais pas avoir le prb (éventuellement déplacer les données d'un utilisateur à l'autre).

      Une autre solution de contournement consisterait à modifier les permissions sur HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings et empécher ton utilisateur voir SYSTEM d'y écrire.
      Ca devrait empécher les clefs de se remettre.
      3. Youri03 Auteur
        Bon, NOD ne m'a rien sortie, et le fix ne m'a réparé les options de proxy, par contre, j'ai eu pas mal d'erreur de remonté sur IE avec le fixit.

        Je test le "pre_scan" de gen-hackman, j'ai vu sur ce sujet:
        https://forums.commentcamarche.net/forum/affich-22253332-proxy-configure-automatiquement-a-127-0-0-1#6

        qu'il pouvait trouver des proxy, je lance et je verrais. SI tu vois autre chose.
        1. Malekal_morte- Modérateur
          et le fix ne m'a réparé les options de proxy, par contre, j'ai eu pas mal d'erreur de remonté sur IE avec le fixit.

          Quel fix ?

          Je pense que ça sert à rien d'utiliser Pre_Scan (je suis pas fan de cette outil), t'as déjà utilisé Combofix avant. Ca fait bcp.
          Au mieux, ils vont virer les clefs du registre comme on a fait plus haut.
      4. Youri03 Auteur
        Si si y'a un mode sans échec ;) Si jamais tu veux connaitre la / les méthodes, je t'enverrai ça par MP.

        Je lance NOD32 en mode sans échec puis je regardes aussi si y'a pas un fix quelque part pour IE 10.
        1. Malekal_morte- Modérateur
          ouais faut activer des machins surement virer le démarrage rapide..
          c'est vraiment naze.
        2. Youri03 Auteur
          Ou pas ;) Un tour dans les paramètres généraux de la machine et tu as l'option "Lancer en mode sans échec" + la combinaison "Shift / f8" ça lance le système d'urgence et tu lances gentiment le mode sans échec. C'est un peu plus chiant que sur les versions antérieur mais c'est pas aussi catastrophique qu'on pourrait le croire ^^ En 30secondes tu es sur le MSE ;)
        3. Malekal_morte- Modérateur
          ouais enfin si tu as un ransomware qui bloque l'ouverture de Windows ou si Windows démarre plus pour une autre raison :/
        4. Youri03 Auteur
          combo "shift + f8" ;) et le MSE se lance...Tu as deux touches à faire, mais on est d'accord, c'est chiant :D Et le scan NOD ne donne rien...j'applique un fixit de microsoft.
        5. Malekal_morte- Modérateur
          ha y a une combinaison de touches qu ifonctionnent ?
          C'est pas ce que j'ai entendu ou ce que tu peux lire depuis Google.

          J'essayerai quand j'aurai un win8 sous la main :)
      6. Youri03 Auteur
        En réponse à ce que tu m'as demandé:

        C:\windows\system32>netsh winhttp reset proxy

        Paramètres de proxy WinHTTP actuels :

        Accès direct (sans serveur proxy).
        1. Youri03 Auteur
          Une information en plus: Avast était lui aussi configuré pour passer par un proxy. Le changement de l'option puis le reboot du pc ne l'ont pas touché.
          Par contre les navigateurs sont toujours touchés.

          Et je me pose une question, mais les résidus de chrome...ils sont un peu netteux à mon sens, je n'ai jamais installé Chrome sur ce poste...
          2. Youri03 Auteur
            Oui je sais mais, Avast n'a pas reprit le proxy, alors que FF et IE si...Je jette un oeil à ce que tu m'as donné.
        3. Youri03 Auteur
          Rien de nouveau, toujours ce problème qui revient, le proxy, enfin son paramètre se remet automatiquement.
          Je vois pas où ça peut coincer...Toutes la batterie de logiciel a fait son travail...Y'aurait pas une option windows qui pourrait être touchée et devenue instable à ce niveau là?
          1. Youri03 Auteur
            Je reboot pour voir :)

            ========== OTL ==========
            File C:\Users\pierre\AppData\Local\Google\Chrome\User Data\Default\Extensions\pgafcinpmmpklohkojmllohdhomoefph\1.0_0\spext.dll not found.
            File C:\Program Files (x86)\Software\Update\1.2.201.0\npSoftwareOneClick8.dll not found.
            Folder C:\.BIN\ not found.
            File C:\Users\pierre\AppData\Roaming\HoolappForAndroid\Hoolapp.exe not found.
            File C:\Users\pierre\AppData\Roaming\HoolappForAndroid\UpdateProc\UpdateTask.exe not found.
            File C:\Users\pierre\AppData\Local\Google\Chrome\User Data\Default\Extensions\elchiiiejkobdbblfejjkbphbddgmljf\1.0_0 not found.
            ========== REGISTRY ==========
            Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\MigrateProxy deleted successfully.
            Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable deleted successfully.
            Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyHttp1.1 not found.
            Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyServer deleted successfully.
            Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyOverride not found.
            Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\MigrateProxy not found.
            Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable not found.
            Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyHttp1.1 not found.
            Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyServer not found.
            Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyOverride not found.

            OTL by OldTimer - Version 3.2.69.0 log created on 07082013_152633
            1. Youri03 Auteur
              Re,

              j'ai fais ce que tu m'as dis:

              ========== OTL ==========
              File C:\Users\pierre\AppData\Local\Google\Chrome\User Data\Default\Extensions\pgafcinpmmpklohkojmllohdhomoefph\1.0_0\spext.dll not found.
              File C:\Program Files (x86)\Software\Update\1.2.201.0\npSoftwareOneClick8.dll not found.
              Folder C:\.BIN\ not found.
              C:\Users\pierre\AppData\Roaming\HoolappForAndroid\Hoolapp.exe moved successfully.
              C:\Users\pierre\AppData\Roaming\HoolappForAndroid\UpdateProc\UpdateTask.exe moved successfully.
              C:\Users\pierre\AppData\Local\Google\Chrome\User Data\Default\Extensions\elchiiiejkobdbblfejjkbphbddgmljf\1.0_0 folder moved successfully.
              ========== REGISTRY ==========
              Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\MigrateProxy deleted successfully.
              Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable deleted successfully.
              Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyHttp1.1 deleted successfully.
              Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyServer deleted successfully.
              Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyOverride not found.
              Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\MigrateProxy not found.
              Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable not found.
              Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyHttp1.1 not found.
              Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyServer not found.
              Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyOverride not found.

              OTL by OldTimer - Version 3.2.69.0 log created on 07082013_152105

              Mais j'ai toujours le même problème.
              Je recommence OLT avec le mode "tous les utilisateurs" et pas que le 64bits.
              1. Youri03 Auteur
                Ouais je connais bien les malares qui add des proxy pour récupérer les informations en clair. Je suis sur mon premier cas de proxy fantôme. Je suis aussi du même avis que toi sur le "reste" d'un quelque chose, ZeroAccess je connaissais pas, je me renseignerai dessus.

                Je lance ce que tu me dis.
                1. Malekal_morte- Modérateur
                  En fait, y a des infections qui ajoutent un proxy et dont la partie du malware fait proxy.
                  Ca permet de faire passer le traffic réseau par le proxy du malware et de récupérer ce qui passe en clair.
                  Si tu tapes un mot de passe sur un site, hop le malware le récup.
                  Pareil pour les cookies qui passent en clair.

                  ~~

                  Là on dirait qu'il y a plus rien à part des restes de ZeroAccess.

                  Relance OTL.
                  o sous Persfonnalisation (Custom Scan), copie_colle le contenu du cadre ci dessous (bien prendre :OTL en début).
                  Clic Correction (Fix), un rapport apparraitra, copie/colle le contenu ici:

                  :OTL
                  CHR - plugin: BrowserProtect (Enabled) = C:\Users\pierre\AppData\Local\Google\Chrome\User Data\Default\Extensions\pgafcinpmmpklohkojmllohdhomoefph\1.0_0\spext.dll
                  CHR - plugin: Software Update (Enabled) = C:\Program Files (x86)\Software\Update\1.2.201.0\npSoftwareOneClick8.dll
                  [2013/07/08 11:54:40 | 000,000,000 | -HSD | C] -- C:\.BIN
                  [2013/01/18 20:29:28 | 001,209,392 | ---- | M] () -- C:\Users\pierre\AppData\Roaming\HoolappForAndroid\Hoolapp.exe
                  [2013/01/18 20:30:48 | 000,100,912 | ---- | M] () -- C:\Users\pierre\AppData\Roaming\HoolappForAndroid\UpdateProc\UpdateTask.exe
                  CHR - Extension: Softonic Chrome Toolbar = C:\Users\pierre\AppData\Local\Google\Chrome\User Data\Default\Extensions\elchiiiejkobdbblfejjkbphbddgmljf\1.0_0\
                  :reg
                  [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
                  "MigrateProxy"=-
                  "ProxyEnable"=-
                  "ProxyHttp1.1"=-
                  "ProxyServer"=-
                  "ProxyOverride"=-
                  [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings]
                  "MigrateProxy"=-
                  "ProxyEnable"=-
                  "ProxyHttp1.1"=-
                  "ProxyServer"=-
                  "ProxyOverride"=-

                  * redemarre le pc sous windows et poste le rapport ici

                  ~~

                  vois ce que cela donne.

                  1. Youri03 Auteur
                    Fin de Mbar, aucune menace détectées, tout est saint...
                    Je sais pas si c'est une infection commune, je pencherai bien pour un script ou une connerie comme ça, mais je vois rien de ce côté là non plus. C'est vraiment atypique comme fonctionnement.
                    1. Youri03 Auteur
                      Absolument pas, ça marque "Impossible de joindre le serveur proxy".
                      Il y a juste l'option "Utilisez le proxy" et aucune configuration derrière.

                      http://nsa33.casimages.com/img/2013/07/08/130708030606381285.png

                      Pour que tu es l'aperçu. Et c'est pareil sous Firefox et Chrome. Dès que tu lances le navigateur ça fou le proxy par défaut.
                      1. Malekal_morte- Modérateur
                        ok, question, quand le proxy est actif, le surf fonctionne ?
                        • 1
                        • 2

                        Discussions similaires

                        Problème de connection aux serveur proxy
                        fayus

                        68 réponses
                        Probleme avec un proxy et les navigateur...
                        amino007

                        6 réponses
                        Navigateur web sur Hisense 43A7100F
                        Zadeck

                        7 réponses
                        Navigateur web Freebox pop
                        Fred

                        4 réponses