Security-X

Forum Security-X => Désinfections => Discussion démarrée par: Grenouille le décembre 26, 2014, 19:24:41

Titre: Mon Ordinateur portable est infecté. [Résolu]
Posté par: Grenouille le décembre 26, 2014, 19:24:41
Bonjour.

Je pense que mon ordinateur portable est infecté. Gros ralentissement, apparition de fenêtres publicitaires et la résolution de l'écran n'est pas top!

Os Windows7 64bits Sp1

Merci pour votre aide. ;)
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: Grenouille le décembre 26, 2014, 23:02:42
Rapport FIRSt64:

http://up.security-x.fr/file.php?h=R4664fb3d8db0eace5843d332d2865774
http://up.security-x.fr/file.php?h=R85c2ca3daa389a07c7c687e9c3bbbc0f

 ;)
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: hyunkel30 le décembre 27, 2014, 15:43:40
 :) Bonjour Grenouille,

Nous allons regarder cela, l'infection est lié à des adwares, des programmes publicitaires installés "volontairement", car les utilisateur de ce pc ne sont pas assez vigilant et ne décochent pas les sponsors proposés lors de l'installation de certains programmes "gratuit"
Mais il semble aussi y avoir une infection beaucoup plus grave, un rootkit ...

à suivre :


1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :

Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure

- Adobe Flash Player 10 ActiveX 64-bit (version obsolète et vulnérable, tu possèdes une plus récente)

- Boxore Client (aware)
- Free Youtube To MP3 Converter Packages (package d'installation contenant des adwares)
- Windows Searchqu Toolbar (adware)




Code: [Sélectionner]
start
CloseProcesses:
EmptyTemp:
CreateRestorePoint:
Task: {2EC7E8AA-DAAF-467B-8006-1037422C9A19} - System32\Tasks\SoftwareUpdateTaskMachineUA => C:\Program Files (x86)\Software\Update\SoftwareUpdate.exe <==== ATTENTION
Task: {31CD4F93-FDBA-4A9F-BD91-622D71B41231} - System32\Tasks\0 => Iexplore.exe <==== ATTENTION
Task: {7FEC94B7-FD63-471F-83A2-F5D1B87282C6} - System32\Tasks\4786 => Wscript.exe C:\Users\MICHAL~1\AppData\Local\Temp\launchie.vbs //B <==== ATTENTION
Task: {B8C457C3-F423-4643-BF27-FE772E0D0FDA} - \DealPly No Task File <==== ATTENTION
Task: {E7526451-0EB5-44E2-85BF-7354C006F622} - System32\Tasks\BoxSoftwareUpdate => C:\ProgramData\BoxUpdChk\updchk.exe <==== ATTENTION
Task: C:\Windows\Tasks\Dealply.job => C:\Users\MICHAL~1\AppData\Roaming\Dealply\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
Task: C:\Windows\Tasks\SoftwareUpdateTaskMachineUA.job => C:\Program Files (x86)\Software\Update\SoftwareUpdate.exe <==== ATTENTION
C:\Users\Michaël\AppData\Roaming\Nosibay
HKLM\...D6A79037F57F\InprocServer32: [Default-fastprox] ATTENTION! ====> ZeroAccess?
HKU\S-1-5-21-1652560373-3875962961-1861610877-1000\...\Run: [cacaoweb] => C:\Users\Michaël\AppData\Roaming\cacaoweb\cacaoweb.exe [504112 2014-12-16] ()
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
SearchScopes: HKLM -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD2410} URL = http://www.searchqu.com/web?src=ieb&appid=0&systemid=410&sr=0&q={searchTerms}
Toolbar: HKLM - No Name - {ae07101b-46d4-4a98-af68-0333ea26e113} - No File
Toolbar: HKLM - No Name - !{9421DD08-935F-4701-A9CA-22DF90AC4EA6} - No File
Toolbar: HKLM-x32 - No Name - {ae07101b-46d4-4a98-af68-0333ea26e113} - No File
Toolbar: HKLM-x32 - No Name - !{9421DD08-935F-4701-A9CA-22DF90AC4EA6} - No File
Toolbar: HKU\S-1-5-21-1652560373-3875962961-1861610877-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No File
Winsock: Catalog5 01 mswsock.dll File Not found () ATTENTION: The LibraryPath should be "%SystemRoot%\system32\NLAapi.dll"
Winsock: Catalog5 07 mswsock.dll File Not found () ATTENTION: The LibraryPath should be "%SystemRoot%\System32\mswsock.dll"
Winsock: Catalog5-x64 01 mswsock.dll File Not found () ATTENTION: The LibraryPath should be "%SystemRoot%\system32\NLAapi.dll"
Winsock: Catalog5-x64 07 mswsock.dll File Not found () ATTENTION: The LibraryPath should be "%SystemRoot%\System32\mswsock.dll"
FF Extension: cacaoweb - C:\Users\Michaël\AppData\Roaming\Mozilla\Firefox\Profiles\vUblCP5b.default\Extensions\cacaoweb@cacaoweb.org [2014-12-26]
CHR HKLM\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk] - No Path
CHR HKLM-x32\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk] - No Path
2014-12-15 18:41 - 2014-12-26 21:29 - 00000000 ____D () C:\Users\Michaël\AppData\Roaming\cacaoweb
2014-12-15 18:41 - 2014-12-26 18:39 - 00504112 _____ () C:\Users\Michaël\Desktop\cacaoweb.exe
C:\$Recycle.Bin\S-1-5-21-1652560373-3875962961-1861610877-1000\$5daa19c18613ab85519c0cdd08aa2fef
C:\$Recycle.Bin\S-1-5-18\$5daa19c18613ab85519c0cdd08aa2fef
C:\Users\Michaël\AppData\Roaming\cacaoweb\cacaoweb.exe
C:\Users\MICHAL~1\AppData\Roaming\Dealply
C:\ProgramData\BoxUpdChk
C:\Program Files (x86)\Software
end/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\


3) Télécharge RogueKiller (http://www.sur-la-toile.com/RogueKiller/RogueKiller.exe) (de Tigzy) sur ton bureau.


(S'il ne s'ouvre pas, clique sur le bouton "Rapport", il est aussi enregistré sur le bureau : RKreport.txt)



Titre: Re : Mon Ordinateur portable est infecté.
Posté par: Grenouille le décembre 27, 2014, 19:01:58
Bonsoir.

Impossible de supprimer Boxore Client, même en mode sans échec. Je ne trouve pas Windows Searchqu Toolbar ni Adobe FlashPlayer 10 Activex 64-bit?

Ok! pourFree Youtube To MP3 Converter Packages.

Pour frst, je clique sur fix et j'ai un message d'erreur?

Rapport de Roguekiller:

http://up.security-x.fr/file.php?h=Re3b0ae8b1504389a17c70bfaf86cd704

Merci.
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: hyunkel30 le décembre 27, 2014, 19:21:26
Re,

Citer
Impossible de supprimer Boxore Client, même en mode sans échec. Je ne trouve pas Windows Searchqu Toolbar ni Adobe FlashPlayer 10 Activex 64-bit?

OK, mais tu n'avais nul besoin de passer en mode sans échec ;)

Citer
Pour frst, je clique sur fix et j'ai un message d'erreur?

Dis-moi lequel  ;D
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: Grenouille le décembre 27, 2014, 21:29:24
 :oups: No fixlist.txt found.

The fixlist.txt should be in the same folder/directory the tool is located. ::)

Le rapport:

http://up.security-x.fr/file.php?h=R337062d3b76a7c3fba48668aba095f42

Merci. ;)
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: hyunkel30 le décembre 28, 2014, 07:33:21
Re,

Tu as donc compris que l'erreur signalait que tu n'avais pas, comme j'avais spécifié dans la procédure, mis le fichier fixlist.txt au même endroit que FRST.exe.

On va faire un autre scan pour vérifier si l'infection principale est bien supprimée :

Télécharge TDSSKiller (http://media.kaspersky.com/utilities/VirusUtilities/EN/tdsskiller.exe) de Kaspersky sur ton bureau.

C:\ TDSSKiller.x.x.x.x_date_heure_log.txt

Poste son contenu dans ta prochaine réponse.

Un aide à l'utilisation ici (http://forum.security-x.fr/tutoriels-317/tutoriel-tdsskiller-nouvelle-version/)


Titre: Re : Mon Ordinateur portable est infecté.
Posté par: Grenouille le décembre 28, 2014, 10:31:22
Bonjour.

Voici le rapport:

http://up.security-x.fr/file.php?h=Rd71ccd730691cd82df71de56e7b9ee68

A+ Merci.
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: hyunkel30 le décembre 28, 2014, 10:57:05
Re,

Ok, on continu le ménage alors, plus de trace du rootkit.

à suivre :

Télécharge AdwCleaner (http://www.bleepingcomputer.com/download/adwcleaner/dl/125/) (de Xplode) sur ton Bureau.



(S'il n'apparait pas, tu le trouveras à l'emplacement du fichier FSS.exe, sous le nom FSS.txt )

Titre: Re : Mon Ordinateur portable est infecté.
Posté par: Grenouille le décembre 28, 2014, 17:01:10
bonsoir,
voici les rapports demandés.
merci,



http://up.security-x.fr/file.php?h=Rf7690797b71b2e20e7a68b8687378840
http://up.security-x.fr/file.php?h=R4f9467c3e406061d8e67c00697e6fb06
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: hyunkel30 le décembre 28, 2014, 17:11:28
Re ;)

Attention, tu n'as pas enregistré Adwcleaner sur ton bureau, mais tu l'as lancé directement depuis ton navigateur Internet Explorer ...
Citer
# Exécuté depuis : C:\Users\Michaël\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\RRY7S2AW\adwcleaner_4.106.exe

Pour la suite, pense à bien l'enregistrer sur ton bureau :

Télécharge AdwCleaner (http://www.bleepingcomputer.com/download/adwcleaner/dl/125/) (de Xplode) sur ton Bureau.

/!\ Désactive tes protections résidentes : antivirus, antispyware ... Ferme toutes les applications en cours (notamment ton navigateur)/!\



(S'il n'apparait pas, tu le trouveras à l'emplacement du fichier FSS.exe, sous le nom FSS.txt )

Titre: Re : Mon Ordinateur portable est infecté.
Posté par: Grenouille le décembre 29, 2014, 20:48:30
Bonsoir, voici les rapport effectué aujourd'hui,

http://up.security-x.fr/file.php?h=Rf2c31b36e0efa822e1d6e85a4e73d343
http://up.security-x.fr/file.php?h=R35b2e809c7ea36d5bf8b7dba45a3267d
merci,
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: hyunkel30 le décembre 30, 2014, 17:13:02
Hello ;)

Très bien, on a réparé le plus gros, encore ceci à faire :

Télécharge ce fichier (http://www.archive-host.com/link/c0084b8af3f5d2046a6d5a5db63c7c01e130d41e.reg) sur ton bureau :


Aide en images  (http://www.chantal11.com/2010/06/fusionner-un-fichier-reg-windows-7-vista/)

Redémarre le PC

Relance Farbar Service Scanner comme indiqué précédemment pour générer un nouveau rapport FSS.txt
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: Grenouille le janvier 01, 2015, 14:27:14
Bonjour, tous d'abord, je vous souhaite un bonne année 2015,
ensuite voici le dernier rapport effectué,


http://up.security-x.fr/file.php?h=R160d6de88d06ac9194fca1d223f6840f
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: hyunkel30 le janvier 01, 2015, 15:36:36
Re, Meilleurs voeux à toi également ;)

Comment se comporte le pc à présent ?
As-tu encore des symptômes/problèmes ?
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: Grenouille le janvier 01, 2015, 16:49:18
re,
pour l'instant, pas de problème particulier, je le trouve un peu plus rapide lors de la recherche sur internet.
Par contre au niveau de l'image, j'ai plein de point rouge sur le fond d'ecran et sur toute les parties sombre lorsque je regarde une video ou photo.
J'ai aussi 1 trait de chaque coté de l'ecran au niveau des fixations de l'ecran.
merci,
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: hyunkel30 le janvier 01, 2015, 19:07:49
Re,

Ce problème d'affichage est arrivé au même moment que les autres symptômes, ou bien il était présent auparavant ?

Tu connais le modèle de ta carte graphique, ou à défaut, si pc de marque, le modèle exact de ton pc ?
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: Grenouille le janvier 02, 2015, 11:29:46
Bonjour,
pour l'affichage, c'est arrivé il y a quelque mois, j'était sur un site et en sortant de celui-ci, l'image est apparue comme ça.
Pour l'ordi, c'est un Packard bell easynote.
merci,
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: hyunkel30 le janvier 02, 2015, 14:44:37
Re,

Il me faudra un modèle plus précis pour que je te donne le pilote de carte graphique à réinstaller ;)

Suis ceci pour me donner le SNID par exemple :
http://global-download.packardbell.com/SupportFiles/HelpDoc/help.aspx?LC=fr&BC=Packard%20Bell
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: Grenouille le janvier 02, 2015, 14:55:43
re,
voici le SNID: 02073092222.
merci,
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: hyunkel30 le janvier 02, 2015, 15:18:07
Re,

Ok, voilà déjà pour réinstaller le pilote d'origine :
http://global-download.packardbell.com/GDFiles/Driver/VGA/VGA_AMD_8.783.2.0_W7x86W7x64_A.zip?acerid=634255627872406515&Step1=NOTEBOOK&Step2=EASYNOTE&Step3=EN%20LM81&OS=ALL&LC=fr&BC=PACKARD%20BELL&SC=EMEA_13P

Donc à télécharger, décompresser (clic-droit -> extraire tout), puis lance l'exécutable (généralement un "setup.exe)
Suis les instructions, et redémarre ensuite le pc
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: Grenouille le janvier 02, 2015, 18:21:49
bonsoir,
j'ai telecharger, executer , puis redemarrer le PC, et cela n'a rien changer.
merci,
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: hyunkel30 le janvier 02, 2015, 19:24:56
Re,

Est-ce que dans le gestionnaire des périphériques, ta carte graphique est bien détectée et sans erreur ?
5panneau de configuration -> système -> menu à gauche "Gestionnaire des périphériques" )
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: Grenouille le janvier 02, 2015, 20:55:33
re,
oui, la carte graphique est detectéeet fonctionne correctement.
merci,
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: hyunkel30 le janvier 03, 2015, 15:27:30
Re,

Peux-tu alors, toujours dans le gestionnaire des périphérique, désactiver ta carte graphique, en faisant un clic-droit dessus -> désactiver
Valide l'avertissement

Redémarre le pc, et dis-moi si les soucis d'affichages persistent ou pas (il est possible que la qualité de l'affichage soit dégradé d'une autre manière, dis-moi s'il y a évolution)
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: Grenouille le janvier 03, 2015, 16:43:12
re,

 j'ai desactivé la carte, et c'est toujours pareil.
merci,
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: hyunkel30 le janvier 03, 2015, 17:40:24
Re,

Donc, y'a toute les chances que ce soit ta dalle d'écran qui est un souci (ou les connecteurs internes)

Pour vérifier, il te faudrait un écran externe que tu puisses reliée en VGA, :

(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fimages.figer.com%2Fimages%2Fvga-male.jpg&hash=07ad3c8ce204d23f4c09414140fafec7556f4a10)

En envoyant l'image vers l'autre écran (TV disposant d'une prise VGA ou écran de PC de bureau, ou autre portable), si le problème n'existe plus, on aura trouvé d'où il vient ;)
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: Grenouille le janvier 03, 2015, 19:29:31
re,
lorsque je le brange sur ma TV avec un cordon HDMI, je n'ai pas de soucis, l'image est nickel.
merci,
Titre: Re&nbsp;: Mon Ordinateur portable est infecté.
Posté par: hyunkel30 le janvier 03, 2015, 19:41:08
Re,

Alors malheureusement cela signifie que c'est ta dalle d'écran qui a un problème.

 Cela peut se changer mais ce n'est pas très simple, et il faut trouver la pièce.
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: Grenouille le janvier 04, 2015, 18:06:49
ok, merci pour vôtre aide,
cdt,
Titre: Re : Mon Ordinateur portable est infecté.
Posté par: hyunkel30 le janvier 04, 2015, 18:43:19
Re,

On va quand même finir niveau désinfection par le ménage des outils utilisés :

Télécharge DelFix (https://toolslib.net/downloads/finish/2/) (de Xplode) sur ton bureau.

Titre: Re : Mon Ordinateur portable est infecté. [Résolu]
Posté par: Grenouille le janvier 09, 2015, 21:44:06
Bonsoir,

Ma dalle est bien HS :'(  Un grand merci pour votre aide et votre disponibilité. ;)