Infesté par system progressive protection

Bonjour,

Effectivement le rogue (system progressive) n'était pas seul (ZAccess)..., fais ce qui suit:

Attention : Le logiciel qui suit peut faire des dégâts en cas de mauvaise utilisation ! Désactive tous tes logiciels de protection avant de l'utiliser.

¶ Télécharge ComboFix (de sUBs) sur ton Bureau.
¶ Double-clique sur ComboFix.exe afin de le lancer.
¶ Si tu es sous Windows XP, il va te demander d'installer la console de récupération : tu dois absolument accepter.
¶ Ne touche à rien pendant le scan.
¶ Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse.

Tutoriel officiel de Combofix : https://www.bleepingcomputer.com/combofix/fr/comment-utiliser-combofix

"Celui qui aime à apprendre est bien près du savoir" (Confucius)

Bonsoir,

Merci de votre aide.

Voici le rapport de Combofix : https://pjjoint.malekal.com/files.php?id=20130110_u7x7v14v7d9

/!\ Attention : Cette procédure n'est valable que pour xafest /!\

*Ouvre le bloc-note ( Menu démarrer -> Programmes -> Accessoires -> Bloc-Note )
*Copie/Colle le texte ci-dessous dans le bloc-note :
_____________________________________________________________________

ClearJavaCache::
KillAll::
File::
c:\documents and settings\drUninst.exe      
Firefox::
FF - prefs.js: keyword.URL - hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT2851639&SearchSource=2&q=    
FF - ExtSQL: 2012-11-18 21:21; {05eeb91a-aef7-4f8a-978f-fb83e7b03f8e}; c:\documents and settings\Christelle\Application Data\Mozilla\Firefox\Profiles\85wmewrv.default\extensions\{05eeb91a-aef7-4f8a-978f-fb83e7b03f8e} 
FF - user.js: keyword.URL - hxxp://redirecterror.sfr.fr/?q=    

_____________________________________________________________________

*Enregistre ce fichier sur le bureau en le nommant CFScript.txt (pas autrement !)
*Fais glisser le fichier CFScript.txt sur Combofix.exe

Aide en image

*Combofix va se lancer. Patiente pendant le scan puis poste le contenu du rapport qui s'ouvrira dans ta prochaine réponse.
*Note : Le fichier est enregistré sous C:\Combofix.txt

Ca y est, c'est fait.

Et voici le rapport : https://pjjoint.malekal.com/files.php?id=20130110_h5d12l8w9x10

Du chinois pour moi !

Bonjour,

Peux-tu utiliser ce logiciel de diagnostic :

¶ Télécharge ZHPDiag (de Nicolas Coolman)
¶ Lance le (si tu es sous Windows Vista ou Windows 7, fais le par un clic-droit --> Exécuter en tant qu'administrateur)
¶ Laisse toi guider lors de l'installation (pense à cocher la case pour créer un raccourci sur le Bureau)
¶ Il se lancera automatiquement à la fin de l'installation
¶ Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
¶ Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
¶ Rends toi sur ce site, clique sur "Parcourir", sélectionne le rapport de ZHPDiag et clique sur Envoyer le fichier. Patiente pendant l'envoi du fichier, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

Bonjour,

Voilà le lien vers le rapport ZHPDiag : https://pjjoint.malekal.com/files.php?id=ZHPDiag_20130111_j15e14w14n15t15

Merci de votre présence !

Nous allons procéder à de plus amples investigations, fais ce qui suit dans l'ordre:

*Télécharger sur le bureau RogueKiller (par tigzy)
*Quitter tous les programmes en cours
*Lancer RogueKiller.exe
* Attendre la fin du Prescan ...
*Cliquer sur Host RAZ
*Cliquer sur Rapport et copier coller le contenu du notepad dans ta réponse
Pour t'aider

*Télécharger Malwarebytes Anti-Rootkit Ici
*Décompresser le contenu du dossier dans un emplacement idéal.
*Ouvrir le dossier où le contenu a été décompressé et exécutez mbar.exe (Vista/7 exécuter en tant qu'administrateur)
*Suivre les instructions de l'assistant pour faire la mise à jour ensuite cliquer sur [Scan].
*Cliquer sur le bouton Nettoyage pour supprimer toutes les menaces et redémarrer si vous êtes invité à le faire.
*Attendre que le système s'arrête pour que le processus de nettoyage soit terminé.
*Effectuez une deuxième analyse avec Malwarebytes Anti-Rootkit pour vérifier qu'aucune menaces demeurent. Si c'est le cas, cliquez sur Nettoyage et répétez l'opération.
*Lorsque terminé, s'il vous plaît envoyer les deux rapports qui se trouvent dans MBAR dossier ..... mbar-log.txt et du système log.txt

Bonsoir,

Voilà donc le rapport de Roguekiller :

RogueKiller V8.4.3 [Jan 10 2013] par Tigzy
mail : tigzyRK<at>gmail<dot>com
Remontees : https://www.luanagames.com/index.fr.html
Site Web : https://www.luanagames.com/index.fr.html
Blog : http://tigzyrk.blogspot.com/

Systeme d'exploitation : Windows XP (5.1.2600 Service Pack 3) 32 bits version
Demarrage : Mode normal
Utilisateur : Christelle [Droits d'admin]
Mode : HOSTS RAZ -- Date : 11/01/2013 21:15:21

¤¤¤ Processus malicieux : 0 ¤¤¤

¤¤¤ Entrees de registre : 0 ¤¤¤

¤¤¤ Driver : [CHARGE] ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
--> C:\WINDOWS\system32\drivers\etc\hosts

127.0.0.1 localhost

216.239.32.20 www.google.ae # bck9

216.239.32.20 www.google.at # bck9

216.239.32.20 www.google.be # bck9

216.239.32.20 www.google.ca # bck9

216.239.32.20 www.google.ch # bck9

216.239.32.20 www.google.cl # bck9

216.239.32.20 www.google.co.il # bck9

216.239.32.20 www.google.co.in # bck9

216.239.32.20 www.google.co.jp # bck9

216.239.32.20 www.google.co.kr # bck9

216.239.32.20 www.google.co.nz # bck9

216.239.32.20 www.google.co.uk # bck9

216.239.32.20 www.google.co.ve # bck9

216.239.32.20 www.google.co.za # bck9

216.239.32.20 www.google.com # bck9

216.239.32.20 www.google.com.ar # bck9

216.239.32.20 www.google.com.au # bck9

216.239.32.20 www.google.com.br # bck9

[...]

¤¤¤ Nouveau fichier HOSTS: ¤¤¤
127.0.0.1 localhost

Termine : << RKreport[4]_H_11012013_211521.txt >>
RKreport[1]_S_10012013_134358.txt ; RKreport[2]_D_10012013_134633.txt ; RKreport[3]_H_11012013_211501.txt ; RKreport[4]_H_11012013_211521.txt

puis ici le 1er rapport de Mbar où il a trouvé un fichier douteux qui est Roguekiller que j'avais renommé winlogon afin de pouvoir l'ouvrir lorsqu'il y avait le virus:

Malwarebytes Anti-Rootkit 1.01.0.1011
www.malwarebytes.org

Database version: v2013.01.11.13

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Christelle :: DOMICILE-98C57F [administrator]

11/01/2013 21:33:45
mbar-log-2013-01-11 (21-33-45).txt

Scan type: Quick scan
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM | P2P
Scan options disabled:
Objects scanned: 26281
Time elapsed: 4 minute(s), 47 second(s)

Memory Processes Detected: 0
(No malicious items detected)

Memory Modules Detected: 0
(No malicious items detected)

Registry Keys Detected: 0
(No malicious items detected)

Registry Values Detected: 0
(No malicious items detected)

Registry Data Items Detected: 0
(No malicious items detected)

Folders Detected: 0
(No malicious items detected)

Files Detected: 1
C:\Documents and Settings\Christelle\Bureau\Winlogon.exe (Heuristics.Reserved.Word.Exploit) -> Delete on reboot.

(end)

Voilà le 2ème rapport après élimination de winlogon :

Malwarebytes Anti-Rootkit 1.01.0.1011
www.malwarebytes.org

Database version: v2013.01.11.13

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Christelle :: DOMICILE-98C57F [administrator]

11/01/2013 21:45:07
mbar-log-2013-01-11 (21-45-07).txt

Scan type: Quick scan
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM | P2P
Scan options disabled:
Objects scanned: 26275
Time elapsed: 4 minute(s), 52 second(s)

Memory Processes Detected: 0
(No malicious items detected)

Memory Modules Detected: 0
(No malicious items detected)

Registry Keys Detected: 0
(No malicious items detected)

Registry Values Detected: 0
(No malicious items detected)

Registry Data Items Detected: 0
(No malicious items detected)

Folders Detected: 0
(No malicious items detected)

Files Detected: 0
(No malicious items detected)

(end)

et enfin le rapport system-log trop long à copier ici donc il est ici : https://pjjoint.malekal.com/files.php?id=20130111_f10b15o12b14b5

merci de ta patience.

Impeccable, tu peux refaire une analyse ZHPDiag, stp (pense à héberger le rapport)

Et voilà !
https://pjjoint.malekal.com/files.php?id=ZHPDiag_20130111_w9r8p9o11p14

Est-ce que ça semble bien ?

Il y a du mieux, maintenant on va faire le ménage :)

Téléchargez RstHosts sur votre bureau.
Lancez-le et appuiez sur [Restaurer].
Un message vous indiquera la réussite de l'opération, cliquez sur [OK] puis cliquez sur [Créer un rapport].

Note : Le rapport est également sauvegardé à la racine du disque dur (C:\RstHosts.txt)

--------------

Utilise cet outil de désinfection spécifique aux logiciels publicitaires :

*Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.
*Lance le puis clique sur [Suppression]. Sauvegarde tout travail en cours puis accepte la fermeture des programmes en cours d'exécution.
*Patiente le temps du nettoyage.
*Une fois le scan fini, il te sera proposé de redémarrer.
*Au redémarrage du PC, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.
*Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

Bonjour,

Voici le rapport de RStHosts :
-|x| RstHosts v2.0 - Rapport créé le 12/01/2013 à 07:25:18
-|x| Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
-|x| Nom d'utilisateur : Christelle - DOMICILE-98C57F (Administrateur)

-|x|- Informations -|x|-

Emplacement : C:\WINDOWS\System32\drivers\etc\hosts
Attribut(s) : RASH
Propriétaire : Christelle - DOMICILE-98C57F
Taille : 89 bytes
Date de création : 14/04/2008 - 13:00:00
Date de modification : 12/01/2013 - 07:25:12
Date de dernier accès : 12/01/2013 - 07:25:12

-|x|- Contenu du fichier -|x|-

# Fichier Hosts créé par RstHosts

127.0.0.1 localhost
::1 localhost

-|x|- E.O.F - C:\RstHosts.txt - 638 bytes -|x|-

puis celui d'Adwcleaner ici : http://dl.free.fr/getfile.pl?file=/63zXJ4ke (ca ne marchait pas avec pjjoint)

Bon début de journée,

Bonjour,

1) Utilise ce logiciel de désinfection généraliste :

¶ Télécharge et installe Malwarebytes' Anti-Malware
¶ A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
¶ Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
¶ Puis va dans l'onglet "Recherche", coche "Exécuter un examen complet" puis "Rechercher"
¶ Sélectionne tes disques durs" puis clique sur "Lancer l'examen"
¶ A la fin de l'analyse, clique sur Afficher les résultats
¶ Coche tous les éléments détectés puis clique sur Supprimer la sélection
¶ Enregistre le rapport
¶ S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes
¶ Poste dans ta prochaine réponse le rapport apparaissant après la suppression

2) Fais une nouvelle analyse ZHPDiag (héberge le rapport).

Bonjour,

Voici le rapport de MBAM : https://pjjoint.malekal.com/files.php?id=20130113_k8w7w5g5z11

et celui de ZHPDiag : https://pjjoint.malekal.com/files.php?id=ZHPDiag_20130113_u13w5j13e9m11

Merci pour votre aide et bon dimanche,

Bonjour,

Ceci:

System drive C: has 3 GB (2%) free of 117 GB    => Seuil critique dépassé  

Il faudra penser à faire de la place en désinstallant les programmes/logiciels que tu n'utilise plus ou peu.
----------------

1) Ce script va cibler certains éléments à supprimer :
________________________________________________________________

SysRestore
O42 - Logiciel: neroxml - (.Nero AG.) [HKLM] -- {56C049BE-79E9-4502-BEA7-9754A3E60F9B}
[HKCU\Software\YahooPartnerToolbar]
[HKLM\Software\BrowserChoice]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}]
[HKLM\Software\Classes\CLSID\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{0F6E720A-1A6B-40E1-A294-1D4D19F156C8}]
[HKLM\Software\Google\Chrome\Extensions\elhjaoldnkkbifioodjndkijecdeinld]
[HKLM\Software\Google\Chrome\Extensions\paoponfhfdfnjgddpnpjkambkcgdaaib]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{56C049BE-79E9-4502-BEA7-9754A3E60F9B}]
[HKLM\Software\Classes\NeroSearch.NeroSearchQuerySourceSettings]
[HKLM\Software\Classes\NMSearch.NMSearchQueryConfigManager]
[HKLM\Software\Classes\NMSearch.NMSearchQuerySyntaxTree]
EmptyFlash
FirewallRaz
EmptyTemp

________________________________________________________________

¶ Sélectionne le script ci-dessus en entier et copie le (Édition --> Copier)
¶ Lance ZHPFix à partir du raccourci sur ton Bureau
¶ Clique sur l'icône représentant le presse-papier (« coller le presse-papier »)
¶ Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
>>les lignes ci-dessus sont celles qui doivent apparaître dans la fenêtre de ZHPFix. Si ce n'est pas le cas, ne surtout pas cliquer sur le bouton GO. Il faut veiller à bien copier les lignes<<
¶ Clique sur le bouton « GO » pour lancer le nettoyage,
¶ Copie/colle la totalité du rapport dans ta prochaine réponse
Pour t'aider

2) Mise à jour:
*Désinstalle via Ajout/suppression programmes:
-Adobe Reader X
-Java 6 Update 20
-Java 6 Update 35

*Télécharge et installe:
-Java 7 Update 10 (si proposé "décoche" la barre Ask)
-Adobe Reader XI

*Sécuriser ses navigateurs :
Si ce n'est pas déjà fait, installe Wot sur tes navigateurs :
https://chrome.google.com/webstore/detail/wot-web-of-trust-website/bhmmomiinigofkjcapegjjndpbikblnp
-Adblock plus > Firefox > Chrome

Lire: L'importance de maintenir à jour son PC

3) Redémarre l'ordinateur et refais une analyse de contrôle ZHPDiag (héberge le rapport), et dis moi dans ta prochaine réponse comment fonctionne le PC.

Bonsoir,

J'avais bien noté qu'il manquait sérieusement d'espace sur mon disque dur donc je projette l'achat d'un disque dur externe pour stocker mes photos. J'ai quand même supprimé quelques programmes inutilisés.

Voici le rapport de ZHPDiag ensuite : https://pjjoint.malekal.com/files.php?id=ZHPDiag_20130113_g9i9r7k15f12

Bonne fin de journée,

Ce script va cibler certains éléments à supprimer :

¶ Ouvre ce lien, sélectionne le script en entier et copie le (Édition --> Copier)
¶ Lance ZHPFix à partir du raccourci sur ton Bureau
¶ Clique sur l'icône représentant le presse-papier (« coller le presse-papier »)
¶ Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
>>les lignes ci-dessus sont celles qui doivent apparaître dans la fenêtre de ZHPFix. Si ce n'est pas le cas, ne surtout pas cliquer sur le bouton GO. Il faut veiller à bien copier les lignes<<
¶ Clique sur le bouton « GO » pour lancer le nettoyage,
¶ Copie/colle la totalité du rapport dans ta prochaine réponse
Pour t'aider

*Quand l'outil aura terminé, fais redémarrer le PC.

Et voilà, c'est fait.
Le rapport est ici si besoin : https://pjjoint.malekal.com/files.php?id=20130113_j10y15b9p10h6

Ok, dis moi comment va le PC surf etc... ?

Avira vient de détecter un fichier TR/trash.gen qu'il a mis en quarantaine mais sinon le PC tourne bien.
juste un peu lent pour naviguer sur internet depuis 2 mois mais je pense que c'est plutôt le changement d'opérateur qui est en cause (et de toute façon, je ne peux pas espérer avoir une connexion plus rapide que 512 k où j'habite)