Infection

[kev006]

Bonjour à tous,

J'ai un problème sur le pc d'un amis.

Lorsque je vais sur internet, google se lance mais ensuite lors de la recherche d'un site, ça me renvoit toujours vers des sites de mauvaises réputation (indiqué par WOT)

De plus, aucune mise a jour n'est possible, que se soit avec avira, MBAM et windows update.

Pour accéder aux sites internet je suis obligé de passer par la fonction "afficher en cache".

Je suis en train de faire un scan antivir, il m'a trouvé pour l'instant TR/ATRAPS.GEN.

Merci de m'aider.

[Karel]

Bonjour,

Tu semble être infecté par des adwares, fait un diagnostic pour voir :

• Télécharge ZHPDiag (de Nicolas Coolman)
• Laisse toi guider lors de l'installation, il se lancera automatiquement à la fin.
• Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
• Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
• Héberge le rapport ZHPDiag.txt sur ce site, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

++
Karel

[kev006]

rapport

voila

[Karel]

Salut,

Ok, traitons ces infections :

• Télécharger Malwarebytes Antimalware.
  
• Un tutoriel est disponible pour installer et utiliser MBAM correctement.
  
• Faire la mise à jour du logiciel (elle se fait normalement à l'installation).
  
• Lancer une analyse complète en cliquant sur Exécuter un examen complet.
  
• Sélectionner les disques que tu veux analyser et clique sur Lancer l'examen.
  
• L'analyse peut durer un bon moment ...
  
• Une fois l'analyse terminée, cliquer sur OK puis sur Afficher les résultats.
  
• Vérifier que tout est bien coché et cliquer sur Supprimer la sélection => OK à la demande.
  
• Un rapport va s'ouvrir dans le bloc note... Faire un copié/collé du rapport dans la prochaine réponse sur le forum

* Il se pourrait que certains fichiers devront être supprimés au redémarrage du PC... Le faire en cliquant sur Oui à la demande.

Ensuite :

• Télécharge AD-Remover (de C_XX) sur ton Bureau.
Déconnecte toi et ferme toutes les applications en cours
• Double-clique sur l'icône AD-Remover
• Au menu principal, clique sur "Nettoyer"
• Confirme le lancement de l'analyse et laisse l'outil travailler
• Poste le rapport qui apparait à la fin (il est aussi sauvegardé sous C:\Ad-report-CLEAN.txt )

(CTRL+A Pour tout selectionner , CTRL+C pour copier et CTRL+V pour coller )

++
Karel

[kev006]

excuse moi du délais , je te poste ça . J'ai réalisé les opérations hier.

[kev006]

rapport MBAM :

Malwarebytes' Anti-Malware 1.21
Version de la base de données: 971
Windows 5.1.2600 Service Pack 3

17:47:34 21/08/2010
mbam-log-8-21-2010 (17-47-34).txt

Type de recherche: Examen complet (C:\|)
Eléments examinés: 86793
Temps écoulé: 2 hour(s), 24 minute(s), 8 second(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 1
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_LOCAL_MACHINE\SOFTWARE\RelatedPageInstall (Adware.Mirar) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)


Rapport ADR

======= RAPPORT D'AD-REMOVER 2.0.0.1,D | UNIQUEMENT XP/VISTA/7 =======

Mis à jour par C_XX le 26/07/10 à 12:00
Contact: AdRemover.contact[AT]gmail.com
Site web: http://pagesperso-orange.fr/NosTools/ad_remover.html

C:\Program Files\Ad-Remover\main.exe (CLEAN [1]) -> Lancé à 18:36:01 le 21/08/2010, Mode normal

Microsoft Windows XP Édition familiale Service Pack 3 (X86)
Alain Le Goff@ALAIN ( )

============== ACTION(S) ==============


0,Fichier supprimé: C:\Program Files\Mozilla FireFox\Components\AskSearch.js
0,Fichier supprimé: C:\Documents and Settings\Alain Le Goff\Application Data\Mozilla\FireFox\Profiles\qyka2gxg.default\searchplugins\ask.xml
0,Dossier supprimé: C:\Documents and Settings\Alain Le Goff\Application Data\iWin

(!) -- Fichiers temporaires supprimés.


-- Fichier ouvert: C:\Documents and Settings\Alain Le Goff\Application Data\Mozilla\FireFox\Profiles\qyka2gxg.default\Prefs.js --
Ligne supprimée: user_pref("extensions.snipit.askTbInstalled", true);
Ligne supprimée: user_pref("extensions.snipit.chromeURL", "hxxp://toolbar.ask.com/toolbarv/askRedirect?o=10168&gct=&g...
Ligne supprimée: user_pref("keyword.URL", "hxxp://toolbar.ask.com/toolbarv/askRedirect?o=10168&gct=&gc=1&q=");
-- Fichier Fermé --


0,Clé supprimée: HKLM\Software\Classes\Toolband.EB_ExplorerBar
0,Clé supprimée: HKLM\Software\Classes\Toolband.EB_ExplorerBar.1
0,Clé supprimée: HKLM\Software\Classes\Toolband.FH_HookEventSink
0,Clé supprimée: HKLM\Software\Classes\Toolband.FH_HookEventSink.1
0,Clé supprimée: HKLM\Software\Classes\Toolband.IPM_PrintListItem
0,Clé supprimée: HKLM\Software\Classes\Toolband.IPM_PrintListItem.1
0,Clé supprimée: HKLM\Software\Classes\Toolband.PM_DialogEventsHandler
0,Clé supprimée: HKLM\Software\Classes\Toolband.PM_DialogEventsHandler.1
0,Clé supprimée: HKLM\Software\Classes\Toolband.PM_Launcher
0,Clé supprimée: HKLM\Software\Classes\Toolband.PM_Launcher.1
0,Clé supprimée: HKLM\Software\Classes\Toolband.PM_PrintManager
0,Clé supprimée: HKLM\Software\Classes\Toolband.PM_PrintManager.1
0,Clé supprimée: HKLM\Software\Classes\Toolband.PR_BindStatusCallback
0,Clé supprimée: HKLM\Software\Classes\Toolband.PR_BindStatusCallback.1
0,Clé supprimée: HKLM\Software\Classes\Toolband.PR_CancelButtonEventHandler
0,Clé supprimée: HKLM\Software\Classes\Toolband.PR_CancelButtonEventHandler.1
0,Clé supprimée: HKLM\Software\Classes\Toolband.PR_PrintDialogCallback
0,Clé supprimée: HKLM\Software\Classes\Toolband.PR_PrintDialogCallback.1
0,Clé supprimée: HKLM\Software\Classes\Toolband.TBToolband
0,Clé supprimée: HKLM\Software\Classes\Toolband.TBToolband.1
0,Clé supprimée: HKLM\Software\Classes\Toolband.UserOptions
0,Clé supprimée: HKLM\Software\Classes\Toolband.UserOptions.1
0,Clé supprimée: HKLM\Software\MetaStream
3,Clé supprimée: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{CF739809-1C6C-47C0-85B9-569DBB141420}
0,Clé supprimée: HKLM\Software\Microsoft\Active Setup\Installed Components\{03F998B2-0E00-11D3-A498-00104B6EB52E}
0,Clé supprimée: HKLM\Software\Microsoft\Active Setup\Installed Components\{1B00725B-C455-4DE6-BFB6-AD540AD427CD}


============== SCAN ADDITIONNEL ==============

** Mozilla Firefox Version [3.5.11 (fr)] **

-- C:\Documents and Settings\Alain Le Goff\Application Data\Mozilla\FireFox\Profiles\qyka2gxg.default\Prefs.js --
browser.download.lastDir, C:\\Documents and Settings\\Alain Le Goff\\Bureau
browser.search.defaultenginename, Ask
browser.search.selectedEngine, Ask
browser.startup.homepage, hxxp://google.fr
browser.startup.homepage_override.mstone, rv:1.9.1.11

========================================

** Internet Explorer Version [7.0.5730.13] **

[HKCU\Software\Microsoft\Internet Explorer\Main]
Default_Page_URL: hxxp://www.microsoft.com/isapi/redir.dl ... ar=msnhome
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dl ... r=iesearch
Do404Search: 0x01000000
Enable Browser Extensions: y
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://go.microsoft.com/fwlink/?linkid=54896
Show_ToolBar: yes
Start Page: hxxp://fr.msn.com/
Use Custom Search URL: 1
Use Search Asst: no

[HKLM\Software\Microsoft\Internet Explorer\Main]
Default_Page_URL: hxxp://go.microsoft.com/fwlink/?LinkId=54896
Default_Search_URL: hxxp://www.microsoft.com/isapi/redir.dl ... r=iesearch
Delete_Temp_Files_On_Exit: yes
Local Page: C:\WINDOWS\system32\blank.htm
Search bar: hxxp://search.msn.com/spbasic.htm
Search Page: hxxp://www.microsoft.com/isapi/redir.dl ... r=iesearch
Start Page: hxxp://fr.msn.com/

[HKLM\Software\Microsoft\Internet Explorer\ABOUTURLS]
Tabs: res://ieframe.dll/tabswelcome.htm
Blank: res://mshtml.dll/blank.htm

========================================

C:\Program Files\Ad-Remover\Quarantine: 2 Fichier(s)
C:\Program Files\Ad-Remover\Backup: 14 Fichier(s)

C:\Ad-Report-CLEAN[1].txt - 21/08/2010 (1269 Octet(s))

Fin à: 18:39:21, 21/08/2010

============== E.O.F ==============

[kev006]

Les scans furent très très long... et au jour d'aujourd'hui, je suis toujours obligé de passer par la fonction en cache, et les mises a jour ne sont pas non plus.

[kev006]

Antivir vient de me trouver un virus , windows/file.bat

[kev006]

aimerais de l'aide... je t'attend karel.

[Karel]

Bonjour,

Merci de ne poster qu'un message à la fois ou d'utiliser le bouton "éditer" pour modifier ton message

Les outil n'ont pas fait de l'excellent travail, nous allons basculer en manuel
Nous allons utiliser deux scripts, mais avant de faire ce qui suit, attend la validation de celas :

¤ Lance ZHPFix (soit via le raccourci sur ton Bureau, soit via ZHPDiag) (Sous Vista/Seven, clique droit "Executer en tant qu'administrateur")
¤ Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
¤ Copie/colle les lignes suivantes et place les dans ZHPFix :

[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusDisableNotify: Modified
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = <local>
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:6522
O4 - HKLM\..\Run: [acqdawie] . (.Pas de propriétaire - Pas de description.) -- C:\Documents and Settings\Alain Le Goff\Local Settings\Application Data\kppcyswsi\wnrofrlshdw.exe
[HKCU\Software\MorpheusBar]
[HKCU\Software\MorpheusToolbar]
[HKCU\Software\wnxmal]
[HKLM\Software\MorpheusBar]
[HKLM\Software\iWinArcade]
O43 - CFD:Common File Directory ----D- C:\Program Files\Morpheus
O43 - CFD:Common File Directory ----D- C:\Program Files\Morpheus Toolbar
O43 - CFD:Common File Directory ----D- C:\Program Files\MorpheusBar
O47 - AAKE:Key Export SP - "C:\Program Files\Morpheus\Morpheus.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- C:\Program Files\Morpheus\Morpheus.exe
O69 - SBI: SearchScopes [HKCU] {CF739809-1C6C-47C0-85B9-569DBB141420} - (Ask Search) - http://dl.ask.com

¤ Clique sur « Tous », puis sur « Nettoyer »
¤ Copie/colle la totalité du rapport dans ta prochaine réponse

Ensuite :

¤ Télécharge OTM (OtmoveIT de Old_Timer) sur ton Bureau
¤ Double-clique sur OTM.exe pour le lancer.
¤ Copie la liste qui se trouve en gras dans la citation ci-dessous et colle-la dans le cadre de gauche de OTM sous Paste Instructions for Items to be Moved.

:files
C:\Documents and Settings\Alain Le Goff\Local Settings\Application Data\kppcyswsi
:commands
[purity]
[emptytemp]

¤ Clique sur MoveIt! puis ferme OTM.
¤ Si un fichier ou dossier ne peut pas être supprimé immédiatement, le logiciel te demandera de redémarrer.
¤ Accepte en cliquant sur YES.
¤ Poste le rapport situé dans C:\_OTM\MovedFiles.
¤ Le nom du rapport correspond au moment de sa création : date_heure.log

++
Karel

[kev006]

ok j'attend !

[kev006]

je vous parle depuis un autre ordinateur car maintenant quand j'ouvre mozilla, j'ai une fenetre "security analysis mozilla" qui me dit que l'ordinateur est infecté par des virus .

[Karel]

Bonjour,

Ok, les scripts sont validés, tu peut y aller, c'est dommage pour le message que tu as, ca signifie que le rogue a été exécuté

++
Karel

[kev006]

le rogue?

J'ai effectué les scripts, mais mon amis est partit avec l'ordinateur.
Il n'y a pas eu d'améliorations, de plus après avoir fait le 1 er scripts, un écran bleu est apparu.
Et après le second, il me marqué fatal erreur...
L'ordinateur faisait toujours la même chose (redirection vers des sites adultes, et pas de mises a jours possible, et toujours le virus file.bat)
Merci de continuer à m'aider j'essayerais de vous transmettre à distance.

[Karel]

Bonjour,

Ok, réessaye d'effectuer les scripts, le problème ne vient pas de leurs instructions mais plutôt d'un malware qui bloque tout apparemment, si ca ne marche toujours pas, utilise Combofix :

/!\ Attention /!\
Le logiciel qui suit peut faire des dégâts en cas de mauvaise utilisation ! A utiliser uniquement avec une aide appropriée.


/!\ Désactive tous tes logiciels de protection /!\

• Télécharge ComboFix (de sUBs) sur ton Bureau.
• Double-clique sur ComboFix.exe afin de le lancer.
• Si tu es sous Windows XP, il va te demander d'installer la console de récupération : tu dois absolument accepter.
• Ne touche à rien pendant le scan.
• Lorsque la recherche sera terminée, un rapport apparaîtra. Poste ce rapport (C:\Combofix.txt) dans ta prochaine réponse.

Tutoriel officiel de Combofix

++
Karel