Security-X

Forum Security-X => Désinfections => Discussion démarrée par: Dmko3 le juin 18, 2013, 23:33:51

Titre: Pub sur la page recherche et module FramFox [Résolu]
Posté par: Dmko3 le juin 18, 2013, 23:33:51
Bonsoir !

J'éclaircis le problème que je rencontre sur ma machine, insolvable malgré l'utilisation de CCleaner et autre (je mettais en cause la présence de cookies... mais non).
Bref, depuis quelques temps, je ne sais pas exactement, sont apparues sur ma page de recherche des publicités (j'ai mis un exemple en fichier joint, il s'agit de la pub entre le nombre de résultats et la barre de recherche). Cette publicité est à mon avis à rapprocher du module "FrameFox" apparu dans mes modules firefox.
Le problème semble être celui semblable à cette page-ci (http://forum.security-x.fr/desinfections/infecte-par-framefox-mixidj-mise-en-garde/). J'ai lu le sujet, et surtout les caractères rouges qui me disaient de ne pas appliquer à ma machine ce qui suivait ^^.

Ma machine fonctionne sous windows seven.
Si la présence de cette pub est bien liée à ce module, je posterai demain les rapports de AdwCleaner et OTL d'après ce qui décrit dans le sujet que j'ai cité précédemment  ;)

En tout cas, merci beaucoup de m'avoir lu, pour votre future aide s'il y a, bonne soirée à vous,
Dmko3
Titre: Re : Pub sur la page recherche et module FramFox
Posté par: Ammonium le juin 18, 2013, 23:38:51
Bonjour à toi, nous allons voir tout ceci ensemble :D
Nous sommes face à des adwares, c'est ce que je dirai à première vue.

Afin de confirmer, nous allons approfondire tout ceci à l'aide de divers outils.

----------------------------------------------------------------------------------------------------------

AdwCleaner - Recherche :
Pour le rapport ADWCleaner, héberge-le sur ce site d'hébergement de fichiers (http://security-x.fr/up/) et indique les liens fournis dans ta réponse. Aide en images (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
Les rapports sont sauvegardés sur le Bureau.

----------------------------------------------------------------------------------------------------------

Scan avec l'outil OTL

Télécharge OTL (http://oldtimer.geekstogo.com/OTL.exe) (de OldTimer) sur ton Bureau.
Code: [Sélectionner]
msconfig
/md5start
explorer.exe
wininit.exe
winlogon.exe
userinit.exe
svchost.exe
services.exe
/md5stop
%SYSTEMDRIVE%\*.exe
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%systemroot%\*. /mp /s
%systemroot%\Tasks\*.* /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
CREATERESTOREPOINT
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fsecurity-x.fr%2Fup%2Ffile.php%3Fh%3DR6bf61dfacd928de986ee709350e195cf&hash=03645c8d649e05e05196f29eabc6fc4295f0a253)

Héberge le(s) rapport(s) sur ce site d'hébergement de fichiers (http://security-x.fr/up/) et indique les liens fournis dans ta réponse. Aide en images (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
Les rapports sont sauvegardés sur le Bureau.

----------------------------------------------------------------------------------------------------------

J'attend donc les rapports :


:AAC
Titre: Re : Pub sur la page recherche et module FramFox
Posté par: Dmko3 le juin 19, 2013, 10:00:57
Hello !

Merci pour le coup de main ;) !
Ci suit les fichiers que vous m'avez demandé :
Extras.txt (http://up.security-x.fr/file.php?h=R18f19fc03e12997493ae575064b74878)
AdwCleanerR1.txt (http://up.security-x.fr/file.php?h=Rac2ce7d7c630a1a3665b878beb0214df)
OTL.txt (http://up.security-x.fr/file.php?h=R6a90b6cf792a21fd9122809a3e56ad99)

Pas de soucis pour l'utilisation des logiciels, tous s'est déroulé parfaitement.
See u soon, merci beaucoup,
Dmko3
Titre: Re : Pub sur la page recherche et module FramFox
Posté par: Ammonium le juin 19, 2013, 10:53:29
Salut, on attaque donc la désinfection !

----------------------------------------------------------------------------------------------------------

Désinstallations des Adwares/PUP/Logiciels non à jour

- Java(TM) 6 Update 27 (64-bit)
- FrameFox Extensions 1.0.3.0
- Duuqu Update Helper


----------------------------------------------------------------------------------------------------------

Supprimer des données synchronisées de votre compte Google

Vous pouvez supprimer les données synchronisées de votre compte Google à tout moment depuis votre tableau de bord Google Dashboard (http://www.google.com/dashboard).
Note : Lorsque la synchronisation est désactivé, toutes les sauvegardes dans le cloud de google sont effacées. Vous n'aurez donc plus accès à vos favoris, extensions, mdp et autres sur un autre ordinateur si vous vous connectez avec votre compte.
Mais les données sont toujours présentes en local. Support Google Chrome (http://support.google.com/chrome/bin/answer.py?hl=fr&answer=185277)

----------------------------------------------------------------------------------------------------------

AdwCleaner - Suppression :
----------------------------------------------------------------------------------------------------------


Suppression avec OTL


Code: [Sélectionner]
:OTL
SRV - [2013/06/10 21:11:40 | 000,098,360 | ---- | M] (Duuqu Group) [On_Demand | Stopped] -- C:\Program Files (x86)\Duuqu\Update\DuuquUpdate.exe -- (dqupdatem)
SRV - [2013/06/10 21:11:40 | 000,098,360 | ---- | M] (Duuqu Group) [Auto | Stopped] -- C:\Program Files (x86)\Duuqu\Update\DuuquUpdate.exe -- (dqupdate)
FF - prefs.js..extensions.enabledAddons: %7B972ce4c6-7e08-4474-a285-3208198ce6fd%7D:21.0
FF - HKLM\Software\MozillaPlugins\@www.duuqu.com/omaha/tools//Duuqu Update;version=3: C:\Program Files (x86)\Duuqu\Update\1.3.37.0\npDuuquUpdate3.dll (Duuqu Group)
FF - HKLM\Software\MozillaPlugins\@www.duuqu.com/omaha/tools//Duuqu Update;version=9: C:\Program Files (x86)\Duuqu\Update\1.3.37.0\npDuuquUpdate3.dll (Duuqu Group)
[2013/06/15 12:16:26 | 000,000,000 | ---D | M] (FrameFox) -- C:\Program Files (x86)\Mozilla Firefox\extensions\{D6F4FFAF-E3C9-4f3d-AD5B-F78CD969D7BF}
[2013/06/15 12:16:26 | 000,000,000 | ---D | M] (FrameFox) -- C:\Program Files (x86)\Mozilla Firefox\browser\extensions\{D6F4FFAF-E3C9-4f3d-AD5B-F78CD969D7BF}
CHR - plugin: Duuqu Update (Enabled) = C:\Program Files (x86)\Duuqu\Update\1.3.37.0\npDuuquUpdate3.dll
CHR - Extension: FrameFox = C:\Users\Pluch\AppData\Local\Google\Chrome\User Data\Default\Extensions\jiofjbkodmcfkhmljgdmjcildliojoli\1.2_0\
O4 - HKLM..\Run: [FrameFox Extensions] C:\Program Files (x86)\FrameFox\Extensions\InternetExplorer\framefox.exe (Duuqu Group)
[2013/06/10 21:12:10 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\FrameFox
[2013/06/10 21:11:41 | 000,000,000 | ---D | C] -- C:\Users\Pluch\AppData\Local\Duuqu
[2013/06/10 21:11:41 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Duuqu
[2013/06/19 09:19:06 | 000,000,882 | ---- | M] () -- C:\Windows\Tasks\DuuquUpdateTaskMachineCore.job
[2013/06/18 23:16:00 | 000,000,886 | ---- | M] () -- C:\Windows\Tasks\DuuquUpdateTaskMachineUA.job
:Files
ipconfig /flushdns /c

:Commands
[CREATERESTOREPOINT]
[EMPTYTEMP]
[RESETHOSTS]
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fsecurity-x.fr%2Fup%2Ffile.php%3Fh%3DRdca8f117b67a9dff4e2df165aab8aa89&hash=3bdc9e03f0ff06fcb93fe8ae2fea976933d0bd78)

Ton PC va redémarrer automatiquement, si ce n'est pas le cas, fais le manuellement.
Le rapport de suppression s'ouvrira une fois le PC redémarré. Héberge le sur http://up.security-x.fr/ et poste le dans ta prochaine réponse.

Le rapport est situé dans C:\_OTL\MovedFiles\********_******.log
les *** sont des chiffres représentant la date [MoisJourAnnée] et l'heure.

/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\

----------------------------------------------------------------------------------------------------------

J'attend donc les rapports :


Comment se comporte le PC maintenant ?
As-tu toujours les pubs ?
Les extensions sont-elles toujours présentes sous Firefox et Chrome ?
Titre: Re : Pub sur la page recherche et module FramFox
Posté par: Dmko3 le juin 19, 2013, 11:44:52
Hello,

Yeah plus de pubs ni de modules ! Génial !
Voici les deux rapports obtenus:
En ce qui concerne le rapport Adw (http://up.security-x.fr/file.php?h=Rdcb77471e699b314fec07ab7fb299ca6)
Le rapport OTL (http://up.security-x.fr/file.php?h=R16a6d619cf5a0f6177fe936519c78dc8)

Merci l'ami ! ça a l'air de fonctionner nickel !
Le seul truc qui m'embête c'est que je retrouve pas à partir de quels programmes ce sont installés ces modules... Je ferai encore plus attention la prochaine fois que j'installerai quelque chose en tout cas ;)
Bravo à toi,
A bientôt
Dmko3
Titre: Re : Pub sur la page recherche et module FramFox
Posté par: Ammonium le juin 19, 2013, 11:53:32
Re :AAC

Nous n'avons pas encore finis :NNN

Citer
Le seul truc qui m'embête c'est que je retrouve pas à partir de quels programmes ce sont installés ces modules... Je ferai encore plus attention la prochaine fois que j'installerai quelque chose en tout cas

Tout à fait, il faut déjà privilégier le site de l'éditeur du programme, pour plus de sécurité.
Il faut aussi faire attention à bien tout décocher, mais, desfois, ca passe quand même...

OK pour les rapports, ils ont bien fait leur boulot :D
Aller, on pase donc à la suite, mise à jours du PC.

----------------------------------------------------------------------------------------------------------

SX Check&Update :

Si ton antivirus émet une alerte ou bloque l'outil, il faut le désactiver temporairement (le fichier SXC&U.exe est sûr)

----------------------------------------------------------------------------------------------------------
Titre: Re : Pub sur la page recherche et module FramFox
Posté par: Dmko3 le juin 19, 2013, 17:23:00
Re

Ok grand chef, voici l'objet de vos désirs ;) (http://up.security-x.fr/file.php?h=R4cb00153a1ca7ca4c6d29f1f8b97bd32)
Titre: Re : Pub sur la page recherche et module FramFox
Posté par: Ammonium le juin 19, 2013, 18:04:29
Re,

Ah, je n'avais pas vu ce Java :hi:

----------------------------------------------------------------------------------------------------------

Désinstallations des Adwares/PUP/Logiciels non à jour

- Java 7 Update 21 (ancienne version, à supprimer)
- Java(TM) 6 Update 29 (idem)


----------------------------------------------------------------------------------------------------------

Purge de la restauration système et des fichiers temporaires.

Code: [Sélectionner]
:Commands
[CLEARALLRESTOREPOINTS]
[EMPTYTEMP]
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fsecurity-x.fr%2Fup%2Ffile.php%3Fh%3DRdca8f117b67a9dff4e2df165aab8aa89&hash=3bdc9e03f0ff06fcb93fe8ae2fea976933d0bd78)

Ton PC va redémarrer automatiquement, si ce n'est pas le cas, fais le manuellement.

----------------------------------------------------------------------------------------------------------

Désinstallation des outils utilisés :

----------------------------------------------------------------------------------------------------------

Recommandations et conseils

Pour en savoir plus, clique sur l'image pour télécharger ce PDF

(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fwww.malekal.com%2Ffichiers%2Fprojetantimalwares%2Freagir_miniban.gif&hash=60f66ff5bf6c64aea37f0755aa21312762d3420f) (http://www.malekal.com/fichiers/projetantimalwares/ProjetAntiMalware.pdf)

----------------------------------------------------------------------------------------------------------

Comment marquer son sujet résolu ?

Bonne lecture du forum si tu restes un peu parmis nous :)
Titre: Re : Pub sur la page recherche et module FramFox
Posté par: Dmko3 le juin 20, 2013, 11:55:53
Merci l'ami ! Génial :)
Bien sûr je vais rester un peu avec vous ! ou du moins vais-je continuer à lire les sujets du forum ;)
Un grand MERCI à toi, bon courage pour la suite !
Dmko