Comment suprimé Gomeo ?

Bonjour et Bienvenue sur CCM

● La plupart des infections nécessitent plusieurs outils et manipulations pour les supprimer complètement. Même si les symptômes disparaissent rapidement, il est préférable de terminer la procédure.
● N'utilise pas d'outil de désinfection de ta propre initiative, ne pas suivre également d'autres conseils afin de ne pas interférer sur la procédure en cours.
● Prends le temps de lire ce qui est demandé, ne te lance pas dans une manipulation que tu n'as pas compris.
● Héberge les rapports des outils sur http://www.cijoint.fr/ ou https://www.cjoint.com/ ou http://pjjoint.malekal.com/ ou https://textup.fr/
● Je t'aide bénévolement, je réponds quand je peux et dés que je peux, merci :)

1. Héberge le rapport de MalwareBytes et donne moi le lien afin que je puisse le consulter.

2. Sauvegarde tes documents les plus importants.

3. Télécharge ComboFix de sUBs sur ton bureau ( nulle part ailleurs ! )

!! Ferme toutes tes applications en cours et désactive les protections résidentes de ton PC (Antivirus, Antispywares, etc...) !!

Regarde attentivement ce tutoriel pour t'aider : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

Si besoin, imprime ce dont tu auras besoin, car ensuite toutes les fenêtres doivent être fermés.

● Lance ComboFix
● Accepte la licence d'utilisation et laisse toi guider par le programme
● Autorise ComboFix a se connecter à internet pour les mises à jour si le programme le demande

!! Surtout ne rien faire et ne rien toucher pendant le travail de l'outil !!
(risque de plantage complet de l'ordinateur)

● A la fin ComboFix indique l'emplacement du rapport et l'ouvre spontanément.
(il est possible que ComboFix est besoin de redémarre l'ordinateur)
● Héberge le et donne moi le lien.

!! Réactive les protections résidentes de ton PC !!

Note : Le rapport se trouve normalement à la racine du disque: C:\ComboFix.txt

A +

Merci beaucoup de m'aider !
Alors voila le lien http://www.cijoint.fr/cjlink.php?file=cj201109/cijDuWJsxz.txt je fait le combo fix merci .

Pas de soucis :)

A +

Merci beaucoup ! Gomeo ne m'embette plus le probleme c'est que ça a supprimé "c:\windows\System64".

Relis le début de mon 1er message

Puis héberge le rapport de ComboFix et donne moi le lien stp

A +

Le voilà http://www.cijoint.fr/cjlink.php?file=cj201109/cijw6Y87gK.txt .

re,

Beaucoup de choses, c'est une vrai poubelle numérique :s

Tu as pris un risque inutile en ne lançant pas pas ComboFix depuis ton Bureau.
Tu n'as pas désactivé McAfee non plus !

Déplace impérativement ComboFix.exe sur ton Bureau et suit les instructions données stp.

1. Ouvre le bloc-note et copie/colle les instructions en citation :

DeQuarantine::      
c:\windows\System64 

Folder::
c:\users\Aaron\AppData\Local\Babylon     
c:\users\Aaron\AppData\Roaming\Babylon     
c:\programdata\Babylon      
  
Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]     
"BabylonToolbar"=-

Firefox::     
FF - prefs.js: browser.startup.homepage - hxxp://www.searchqu.com/414    

File::      
c:\users\Cédric\AppData\Roaming\Microsoft\Installer\{7426428E-71D4-452C-BA13-B14E5EB52859}     
c:\programdata\Trymedia        
c:\programdata\d7e90000-9741-40d5-82dc-2fbe769e2681     
c:\programdata\13fd0000-aa8f-40b9-d963-1045847751af

● Sauvegarde le fichier sous le nom CFScript.txt impérativement sur ton Bureau.
!! Ferme toutes tes applications en cours et désactive les protections résidentes de ton PC (Antivirus, Antispywares, etc...) !!
● Fait un glissé/déposé du fichier sur l'icône de ComboFix.exe => img
● Patiente pendant le travail de l'outil et la création du rapport.

C:\ComboFix.txt

2. Télécharge OTL (de OldTimer) sur ton Bureau.

Ferme toutes tes applications en cours

● Lance OTL.exe
- Sous XP double-clic sur l'icône pour lancer l'outil.
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
● L'interface principale s'ouvre :
● Dans la section Rapport en haut à droite de la fenêtre, coche Rapport minimal
● Laisse tous les autres paramètres par défaut
● Dans la partie du bas "Personnalisation", copie/colle la liste en citation :

/md5start
volsnap.*
explorer.exe
winlogon.exe
userinit.exe
svchost.exe
/md5stop
%temp%\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.exe /s 
%ALLUSERSPROFILE%\Application Data\*.
%APPDATA%\*.exe /s 
%APPDATA%\*.
%SYSTEMDRIVE%\*.exe 
%systemroot%\*. /mp /s 
%systemroot%\system32\*.dll /lockedfiles 
%systemroot%\Tasks\*.job /lockedfiles 
%systemroot%\system32\drivers\*.sys /lockedfiles 
hklm\system\CurrentControlSet\Control\Session Manager\SubSystems /s 
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
SAVEMBR:0 
CREATERESTOREPOINT 

● Clique sur le bouton Analyse rapide, patiente pendant le balayage du système.
● 2 rapports vont s'ouvrir au format bloc-note :
OTL.txt (qui sera affiché) ainsi que Extras.txt (réduit dans la barre des tâches)

3. Héberge les 3 rapports et donne moi les liens.

A +

Je ne peut pas desactiver mcafee, comment faire ?

Tu trouveras dans cette liste ton antivirus et la procédure pour le désactiver temporairement : Désactiver le module résident de l'antivirus. (nickW)
> à réactiver après ComboFix.

A +

Voila
Extra : http://www.cijoint.fr/cjlink.php?file=cj201109/cijOBvf5lB.txt
OTL : http://www.cijoint.fr/cjlink.php?file=cj201109/cij2kHo9mu.txt
Et le dernier : http://www.cijoint.fr/cjlink.php?file=cj201109/cijau0QNWB.txt

Aromax

1. Ouvre le bloc-note et copie/colle les instructions en citation :

DeQuarantine::      
C:\Qoobox\Quarantine\c:\windows\System64 

Quit::

● Sauvegarde le fichier sous le nom CFScript.txt impérativement sur ton Bureau.
● Fait un glissé/déposé du fichier sur l'icône de ComboFix.exe => img
● Patiente pendant le travail de l'outil et la création du rapport.

2. Relance OTL
- Sous XP double-clic sur l'icône pour lancer l'outil.
- Sous Vista/Seven clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
● L'interface principale s'ouvre :
● Dans la partie du bas "Personnalisation", copie/colle la liste en citation :

:OTL
FF - prefs.js..browser.search.defaultenginename: "Search Results"
FF - prefs.js..browser.search.order.1: "Search Results"
FF - prefs.js..browser.startup.homepage: "http://www.searchnu.com/414" 
FF - prefs.js..keyword.URL: "http://www1.search-results.com/web?l=dis&q=&o=APN10655&apn_dtid=%5EBND101%5EYY%5EFR&shad=s_0043&gct=ds&apn_ptnrs=%5EAG5&d=101-0&lang=en&atb=sysid%3D101%3Auid%3D474f87c71a8db128%3Asrc%3Dffb%3Ao%3DAPN10655%3Atg%3D&p2=%5EAG5%5EBND101%5EYY%5EFR" 
[2011/07/29 16:08:45 | 000,002,497 | ---- | M] () -- C:\Users\Aaron\AppData\Roaming\Mozilla\Firefox\Profiles\yv36jhc1.default\searchplugins\SearchResults.xml
O2 - BHO: (CescrtHlpr Object) - {2EECD738-5844-4a99-B4B6-146BF802613B} - C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.4.19.19\bh\BabylonToolbar.dll (Babylon BHO)     
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.     
O2 - BHO: (Loader Class) - {9D717F81-9148-4f12-8568-69135F087DB0} -  File not found     
O2 - BHO: (Facetheme) - {de4e75d3-60aa-4f02-a0e4-c8a40576574c} -  File not found
O3 - HKLM\..\Toolbar: (Babylon Toolbar) - {98889811-442D-49dd-99D7-DC866BE87DBC} - C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.4.19.19\BabylonToolbarTlbr.dll (Babylon Ltd.)     
O3 - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present 
[2011/07/31 00:25:44 | 000,000,000 | ---D | M] -- C:\Users\Aaron\AppData\Roaming\OpenCandy     

:Reg 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\BabylonToolbar] 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Searchqu 0 MediaBar] 

:Files
ipconfig /flushdns /c
C:\Users\Aaron\AppData\Roaming\Microsoft\Installer\{0E2B767B-EA6A-489B-BF83-8083FE1DB661}

:Commands 
[emptyflash]
[emptytemp]

● Clique sur le bouton Correction.
● Patiente pendant le travail de l'outil, il doit ensuite redémarrer le PC.
● Accepte en cliquant sur OK.
● Le rapport indiquant les actions réalisées par OTL doit s'ouvrir spontanément.
● Copie/colle le dans ton prochain message.

Tu peux le retrouver le fichier à la racine du disque : C:\_OTL\MovedFiles (Vérifie la date si besoin : jjmmaaaa_xxxxxxxx.log)

3. Héberge les rapports et donne moi les liens

A +

Le rapport : All processes killed
========== OTL ==========
Prefs.js: "Search Results" removed from browser.search.defaultenginename
Prefs.js: "Search Results" removed from browser.search.order.1
Prefs.js: "http://www.searchqu.com/414" removed from browser.startup.homepage
Prefs.js: "http://dts.search-results.com/sr?src=ffb&appid=0&systemid=414&q=" removed from keyword.URL
C:\Users\Aaron\AppData\Roaming\Mozilla\Firefox\Profiles\yv36jhc1.default\searchplugins\SearchResults.xml moved successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2EECD738-5844-4a99-B4B6-146BF802613B}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{2EECD738-5844-4a99-B4B6-146BF802613B}\ deleted successfully.
C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.4.19.19\bh\BabylonToolbar.dll moved successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5C255C8A-E604-49b4-9D64-90988571CECB}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5C255C8A-E604-49b4-9D64-90988571CECB}\ not found.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9D717F81-9148-4f12-8568-69135F087DB0}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9D717F81-9148-4f12-8568-69135F087DB0}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{de4e75d3-60aa-4f02-a0e4-c8a40576574c}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{de4e75d3-60aa-4f02-a0e4-c8a40576574c}\ deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{98889811-442D-49dd-99D7-DC866BE87DBC} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{98889811-442D-49dd-99D7-DC866BE87DBC}\ deleted successfully.
C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.4.19.19\BabylonToolbarTlbr.dll moved successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\10 deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Internet Explorer\Restrictions\ deleted successfully.
C:\Users\Aaron\AppData\Roaming\OpenCandy\OpenCandy_8CE6510DA8FA46E99E3B0FB60C867B4D folder moved successfully.
C:\Users\Aaron\AppData\Roaming\OpenCandy folder moved successfully.
========== REGISTRY ==========
========== FILES ==========
[color=#A23BEC]< ipconfig /flushdns /c >/color
Configuration IP de Windows
Cache de r'solution DNS vid'.
C:\Users\Aaron\Desktop\cmd.bat deleted successfully.
C:\Users\Aaron\Desktop\cmd.txt deleted successfully.
C:\Users\Aaron\AppData\Roaming\Microsoft\Installer\{0E2B767B-EA6A-489B-BF83-8083FE1DB661} folder moved successfully.
========== COMMANDS ==========

[EMPTYFLASH]

User: Aaron
->Flash cache emptied: 57655 bytes

User: All Users

User: Default
->Flash cache emptied: 41620 bytes

User: Default User
->Flash cache emptied: 0 bytes

User: Public

Total Flash Files Cleaned = 0,00 mb

[EMPTYTEMP]

User: Aaron
->Temp folder emptied: 1199616 bytes
->Temporary Internet Files folder emptied: 52824255 bytes
->Java cache emptied: 13062 bytes
->FireFox cache emptied: 111571579 bytes
->Google Chrome cache emptied: 26441988 bytes
->Flash cache emptied: 0 bytes

User: All Users

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Public
->Temp folder emptied: 0 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 67910 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 183,00 mb

OTL by OldTimer - Version 3.2.27.0 log created on 09042011_223742

Files\Folders moved on Reboot...
C:\Users\Aaron\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF1B15B84EEBCC7DC7.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF2AC687D7FDB9DCC2.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF2FEEC74CE0D7C228.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF4041EEB1AB6B9E2A.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF6A8F7E9C1F89B1E5.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF79F6FEE21315D8A2.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF849BCB99799CA0EA.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF91CFEA7CF6A48582.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DF9CF2621CEFA32271.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DFB0BE32690B166921.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DFC369F20EED6E0815.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DFD979A583592B08D7.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DFDA26F1AF2CF17EC5.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DFDCF527D1CD79C55A.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DFE581C41F2C0455E9.TMP not found!
File\Folder C:\Users\Aaron\AppData\Local\Temp\~DFF092ADACB224CA79.TMP not found!

Registry entries deleted on Reboot...

Les liens : http://www.cijoint.fr/cjlink.php?file=cj201109/cijvtqvhb6.txt
et http://www.cijoint.fr/cjlink.php?file=cj201109/cijvtqvhb6.txt

re,

Comment se comporte le pc ?

Vérifie que le dossier System64 a retrouvé sa place dans C:\Windows stp

A +

Re,
Il n'y a toujour pas le dossier System64. :(

C'est bien ce qui me semblait.

Il faut le faire manuellement, rends toi ici > C:\Qoobox\Quarantine
Tu le récupères et tu le déplaces là C:\Windows

A +

Le dossier est vide.
Je fait quoi ? :(

Relance OTL
- Sous Vista/Seven : clic-droit sur l'icône et choisir "Exécuter en tant qu'administrateur" dans le menu contextuel.
● Dans la partie du bas "Personnalisation", copie/colle la liste en citation :

c:\|system64;true;true;true /FP
d:\|system64;true;true;true /FP

● Clique sur le bouton Aucun
● Clique sur le bouton Analyse
● Un nouveau rapport OTL.txt va s'ouvrir au format bloc-note

A +

Avec le rapport je fais quoi ?
au cas ou le voila : OTL logfile created on: 04/09/2011 23:19:22 - Run 2
OTL by OldTimer - Version 3.2.27.0 Folder = C:\Users\Aaron\Desktop
64bit- Home Premium Edition (Version = 6.1.7600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.7600.16385)
Locale: 0000040c | Country: France | Language: FRA | Date Format: dd/MM/yyyy

3,86 Gb Total Physical Memory | 2,50 Gb Available Physical Memory | 64,73% Memory free
7,71 Gb Paging File | 5,83 Gb Available in Paging File | 75,54% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]

%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files (x86)
Drive C: | 454,94 Gb Total Space | 333,72 Gb Free Space | 73,36% Space Free | Partition Type: NTFS

Computer Name: AARON-VAIO | User Name: Aaron | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user | Include 64bit Scans
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: Off | File Age = 30 Days

[color=#E56717]========== Custom Scans ==========[/color]

[color=#A23BEC]< c:\|system64;true;true;true /FP >[/color]
[2011/09/04 18:40:04 | 000,000,000 | ---D | M] -- c:\Qoobox\Quarantine\C\Windows\System64

[color=#A23BEC]< d:\|system64;true;true;true /FP >[/color]

< End of report >

C'était pour trouver où était le dossier :p

OTL le voit bien dans la quarantaine

c:\Qoobox\Quarantine\C\Windows\System64

Donc il doit s'y trouver ;)

A +

Oui mais le dossier System64 est vide.