Security-X
Forum Security-X => Désinfections => Discussion démarrée par: cyriline le décembre 07, 2013, 13:54:56
-
Bonjour,
J'ai un PC avec Windows 7 (système d'exploitation 64 bits) qui rencontrait des problèmes de lenteur.
J'ai remarqué que ce PC était infecté par le moteur de recherche ask. Je ne pouvais plus choisir ma page d'accueil dans Firefox ou Chrome : "ask.com" apparaissait toujours par défaut. J'ai réussi à désinstallé le moteur de recherche "ask"et ensuite j'ai exécuté Adwcleaner (après avoir chercher des infos sur le forum). Je pense avoir réussi à éliminer "ask", il n'apparait plus dans les moteurs de recherche et je peux choisir la page d'accueil que je souhaite. Et il n'y a plus de lenteur particulière...
Par contre maintenant j'ai un autre soucis qui ressemble à cette 1ère infection : Google Chrome ne peut pas se connecter à Internet. Il affiche le message "impossible de se connecter au serveur proxy". J'ai trouvé dans les paramètres réseau une case à cocher " Utiliser un serveur proxy pour votre réseau local". Je décoche cette case puis je valide, mais quand je rouvre la fenêtre elle est encore cochée!!
J'ai Firefox qui fonctionne correctement et cette case n'est pas cochée. Donc je pense qu'il y a un soucis avec Chrome. Est-ce que quelqu'un peut me dire quoi faire?
J'ai aussi essayé de désinstaller puis réinstaller Chrome, c'est toujours pareil...
Merci
-
:AAC Bonjour cyriline,
Bienvenue sur Security-X,
Nous allons regarder cela en commençant par un diagnostic :
Télécharge Farbar Recovery Scan Tool (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/) (de Farbar) sur ton Bureau.
Attention: Tu dois lancer la version compatible avec ton système : 32 ou 64bits.
Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même
- Double-clique sur l'outil pour le lancer. Quand l'outil se lance, clique sur Yes pour accepter le disclamer.
- Clique sur le bouton Scan.
- L'outil va créer un rapport nommé FRST.txt, enregistré dans le même dossier que l'outil.
- A son premier lancement, l'outil va aussi créer un fichier nommé Addition.txt).
Poste les deux rapports générés.
- Pour les rapports, merci d'utiliser ce service de rapport en ligne (http://security-x.fr/up/) : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
-
Merci!
Voici le 1er fichier généré FRST.txt : http://up.security-x.fr/file.php?h=R7594418e4d3b4250b5a1f1edc6d9082b
et le 2d addition.txt : http://up.security-x.fr/file.php?h=R57e6404d723c569665387c7942724614
-
Re,
C'est toi qui a installé ce programme ?
GoToAssist 8.0.0.514
Concernant le proxy, c'est à priori lié à ton contrôle parental Orange :
S2 OPTENET_FILTER; C:\Program Files (x86)\Controle Parental\bin\optproxy.exe [649224 2009-01-09] (Orange)
-
Non ce n'est pas moi qui est installé GoToAssit. Est-ce que je peux le supprimer?
J'essaye de désinstaller le contrôle parental Orange et j'ai justement un message d'erreur : "Microsoft Visual C++ Runtime Library : Runtime Error! Program : C:\Program Files (x86)\Controle Parental\bin\optproxy.exe Abnormal program termination."
Et le controle parental ne se désinstalle pas...
Y a t'il un autre moyen pour supprimer ce contrôle parental?
-
Re,
Oui tu peux désinstaller GoToAssist
Pour le contrôle parental d'Orange essaye de désinstaller en mode sans échec :
Aide : Comment faire démarrer son ordinateur en mode sans échec (http://www.infos-du-net.com/forum/272325-11-tuto-demarrer-mode-echec).
-
J'ai essayé en mode sans échec et j'ai le même message...
Il y a une autre solution?
-
Re,
Ok, on va forcer les choses, même si j'aime pas trop cela pour les contrôle parentaux, car parfois un peu "trop" implanté dans le système ...
1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :
Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure
- McAfee Security Scan Plus (inutile, installé en sponsor)
- Orange Inside (sauf réelle utilité)
- Orange Installeur version 1.2.5.0 (idem)
[Info]Suite Windows Live : Windows live messenger ayant été remplacé par Skype, il peut être intéressant dès à présent de supprimer les logiciels devenus inutile de la suite Windows Live.
Pour cela, dans la liste des programmes, cliquer sur "Windows Live"/"Installation Windows Live" puis "Désinstaller" et choisir les logiciels à supprimer (ex : Windows Live Messenger, Complément Messenger, Windows Live Writer, Windows Live Mesh, etc ...)
~~~~~~~~~~~~~~~~~~~~~~~~~~
/!\ Crée un point de restauration manuel avant d'appliquer le correctif - Tutoriel en images (http://forum.security-x.fr/windows-7/%28tutoriel%29-creer-un-point-de-restauration-sous-windows-7/) /!\
- Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
- Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes
start
(Orange) C:\Users\Bryan\AppData\Roaming\Orange\OrangeInside\one\OrangeInside.exe
(Orange) C:\Program Files (x86)\Controle Parental\bin\OPTGui.exe
HKLM-x32\...\RunOnce: ["C:\Program Files (x86)\Dell DataSafe Local Backup\Components\DSUpdate\DSUpdate.exe"] - "C:\Program Files (x86)\Dell DataSafe Local Backup\Components\DSUpdate\DSUpdate.exe" [559616 2011-10-05] (Dell)
Winlogon\Notify\GoToAssist: C:\Program Files (x86)\Citrix\GoToAssist\514\G2AWinLogon_x64.dll [X]
HKCU\...\Run: [msnmsgr] - C:\Program Files (x86)\Windows Live\Messenger\msnmsgr.exe [4280184 2012-03-08] (Microsoft Corporation)
HKLM-x32\...\Run: [OPTENET_GUI] - C:\Program Files (x86)\Controle Parental\bin\OPTGui.exe [424608 2008-09-03] (Orange)
ProxyEnable: Internet Explorer proxy is enabled.
ProxyServer: http=127.0.0.1:56847
Toolbar: HKCU - No Name - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - No File
Toolbar: HKCU - No Name - {D3028143-6145-4318-99D3-3EDCE54A95A9} - No File
Toolbar: HKCU - No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No File
S2 OPTENET_FILTER; C:\Program Files (x86)\Controle Parental\bin\optproxy.exe [649224 2009-01-09] (Orange)
C:\Program Files (x86)\Controle Parental
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\GoToAssist => ""="Service"
end- Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
- Ferme toutes les applications, y compris ton navigateur
- Double-clique sur FRST.exe
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
- Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fup.security-x.fr%2Ffile.php%3Fh%3DR05cf1fa17f5d244a9c65be205bacfeab&hash=b3152d40400f1435eb46d75f6cf70ecc0edb4c0e)
- L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.
/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\
-
Bonjour,
J'ai passé la soirée à essayer de désinstaller "McAfee Security Scan Plus"...je n'y arrive pas!
J'ai exécuté FRST (après avoir créer le fichier fixlist.txt).
Voici le rapport : http://up.security-x.fr/file.php?h=Rc524ed7f1382c8c1c9e90f65f1495b71
-
Re,
Dis-moi quelle erreur tu rencontres lorsque tu tentes de désinstaller McAfee ?
Teste aussi en mode sans échec sa désinstallation.
Dis-moi aussi si c'est ok à présent pour le proxy
:AAN
-
Pour désinstaller McAfee je n'ai pas de message d'erreur...Je clique sur "désinstallation" et j'attends, rien ne se passe. Si je reclique quelques minutes après sur "désinstallation" (pour ce programme ou un autre), cela m'affiche : "Veuillez attendre la fin de l'installation ou de la modification du programme en cours". Je l'ai laissé toute le nuit et ça n'a rien désinstallé...C'est la même chose en mode sans échec. Je suppose qu'il y a un problème mais où??
Pour le proxy j'ai toujours le même problème avec Chrome. Mais Firefox fonctionne bien, c'est bizarre, non?
-
Re,
En fait Firefox utilise ses propres configuration de proxy, Chrome quand à lui utilise les paramètres de connexion et proxy du système, donc d'Internet Explorer.
Or, normalement j'ai réinitialisé les proxy avec le script de FRST
Pour vérifier, fait ceci :
http://forum.security-x.fr/tutoriels-317/(tutoriel)-desactiver-un-proxy/
Dis-moi si un proxy est encore indiqué ou pas, et s'il est présent, decoche-le puis redémarre et regarde s'il se recoche ou pas.
On s'occupera de McAfee ensuite.
:jap:
-
Quand je suis sur la fenêtre 'Paramètres du réseau local" dans Chrome, la case à cocher dans "serveur proxy" est cochée. Je la décoche puis clique sur OK, cela me ferme cette fenêtre. Je la rouvre de suite et la case est à nouveau cochée!!
Je voulais tester avec Internet Explorer mais il ne s'ouvre pas, et je n'ai pas de message d'erreur. J'ai voulu désinstaller Internet Explorer mais il n'apparaît pas dans la liste des programmes dans le panneau de configuration. C'est normal?
-
Re,
Tu peux trouver la page des paramètres d'Internet Explorer ici, sans le démarrer :
Démarrer -> panneau de configuration -> Réseau et Internet -> Options Internet
Puis après, comme sur le tuto, onglet "connexion", etc ...
Pour le reste, à refaire :
Relance FRST :
- Double-clique sur l'outil pour le lancer. Quand l'outil se lance, clique sur Yes pour accepter le disclamer.
- Coche l'option Addition.txt en bas.
- Clique sur le bouton Scan.
- L'outil va créer les rapports nommés FRST.txt et Addition.txt, enregistré dans le même dossier que l'outil.
Poste les deux rapports générés.
- Pour les rapports, merci d'utiliser ce service de rapport en ligne (http://security-x.fr/up/) : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
-
oui effectivement c'est le même problème dans les paramètres d'Internet explorer.
Voici les 2 rapports :
http://up.security-x.fr/file.php?h=Rccb819c9bf065261b6a5fd01ed594315
http://up.security-x.fr/file.php?h=R240672de6e9ef954887b4126cd5f26e7
-
Re,
à suivre, on va tenter de pister ce qui utilise ce proxy pour voir :
/!\ Crée un point de restauration manuel avant d'appliquer le correctif - Tutoriel en images (http://forum.security-x.fr/windows-7/%28tutoriel%29-creer-un-point-de-restauration-sous-windows-7/) /!\
- Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
- Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes
[fixed]start
ProxyEnable: Internet Explorer proxy is enabled.
ProxyServer: http=127.0.0.1:56847
BHO-x32: MSS+ Identifier - {0E8A89AD-95D7-40EB-8D9D-083EF7066A01} - C:\Program Files (x86)\McAfee Security Scan\3.0.318\McAfeeMSS_IE.dll (McAfee, Inc.)
C:\Program Files (x86)\McAfee Security Scan
FF Plugin-x32: @mcafee.com/McAfeeMssPlugin - C:\Program Files (x86)\McAfee Security Scan\3.0.318\npMcAfeeMss.dll (McAfee, Inc.)
FF Extension: Plugin Orange Installeur - C:\Users\Bryan\AppData\Roaming\Mozilla\Firefox\Profiles\6rba6j8f.default\Extensions\{4D9AE42B-F4C0-40e6-AEDB-4EC6E42B77AF}
S3 McComponentHostService; C:\Program Files (x86)\McAfee Security Scan\3.0.318\McCHSvc.exe [235216 2013-02-05] (McAfee, Inc.)
U4 OPTENET_FILTER;
cmd: netstat -b
end[/fixed]
- Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
- Ferme toutes les applications, y compris ton navigateur
- Double-clique sur FRST.exe
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
- Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fup.security-x.fr%2Ffile.php%3Fh%3DR05cf1fa17f5d244a9c65be205bacfeab&hash=b3152d40400f1435eb46d75f6cf70ecc0edb4c0e)
- L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.
/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\
-
voici le rapport : http://up.security-x.fr/file.php?h=R6b0efe1786ae3b4621bc70d4b71e5977
-
Re,
Ok pour le rapport, par contre j'ai pas pu pister entièrement pour voir qui remet le proxy, donc on va faire autrement :
Clique sur "démarrer" -> tous les programmes -> accessoire
Fais un clic-droit -> "exécuter en tant qu'administrateur" sur "Invite de commande"
Valide l'avertissement
Dans la fenêtre noire qui s'ouvre, tape exactement ceci :
netstat -b
Valide avec la touche "Entrée"
Un listing va commencer, attends qu'il soit terminé (cela peut prendre 30 secondes), tu verras alors de nouveau un _ qui clignote.
Fait alors un clic-droit dans la fenêtre noire -> sélectionner tout
Puis appuies sur le touche "Entrée"
Viens répondre ici, et fais un clic-droit -> coller dans ta réponse pour coller le texte.
:AAN
-
Bonjour,
Voici le résultat de "netstat -b" :
Microsoft Windows [version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. Tous droits réservés.
C:\Windows\system32>netstat -b
Connexions actives
Proto Adresse locale Adresse distante État
TCP 127.0.0.1:12080 Bryan-PC:53832 ESTABLISHED
[AvastSvc.exe]
TCP 127.0.0.1:52241 Bryan-PC:52242 ESTABLISHED
[firefox.exe]
TCP 127.0.0.1:52242 Bryan-PC:52241 ESTABLISHED
[firefox.exe]
TCP 127.0.0.1:53829 Bryan-PC:12080 TIME_WAIT
TCP 127.0.0.1:53832 Bryan-PC:12080 ESTABLISHED
[firefox.exe]
TCP 192.168.1.92:53117 r-055-045-234-077:http ESTABLISHED
[AvastSvc.exe]
TCP 192.168.1.92:53507 wi-in-f19:https ESTABLISHED
[firefox.exe]
TCP 192.168.1.92:53813 8.12.195.126:http LAST_ACK
[AvastSvc.exe]
TCP 192.168.1.92:53814 wi-in-f120:https ESTABLISHED
[firefox.exe]
TCP 192.168.1.92:53815 wi-in-f102:https ESTABLISHED
[firefox.exe]
TCP 192.168.1.92:53828 a10:https TIME_WAIT
TCP 192.168.1.92:53833 93.184.220.29:http CLOSE_WAIT
[AvastSvc.exe]
TCP 192.168.1.92:53836 wg-in-f102:https ESTABLISHED
[firefox.exe]
TCP 192.168.1.92:53837 wi-in-f139:https ESTABLISHED
[firefox.exe]
C:\Windows\system32>
-
Re,
Mhmhmh non il a pas été listé.
Juste pour vérifier un truc :
Télécharge MalwareByte's Anti-Malware (http://www.inforumatique.fr/index.php/securite/anti-malware-et-anti-rootkit/item/22-malwarebytes-anti-malware.html) :
- Installe le programme (aide ici (http://forum.security-x.fr/tutoriels-317/(tutoriel)-malwarebyte%27s-anti-malware/))
- Lance-le et met à jour la base de définition.
- Choisi ensuite "Exécuter un examen complet" puis "Rechercher"
- Sélectionne les disques dur et clique sur "Lancer l'examen"
- Laisse l'analyse se faire (cela peut durer longtemps).
- A la fin, vérifie que les éléments trouvés soient coché (dans "Résultat de l'examen).
- Puis clique sur "Supprimer la sélection" en bas.
- Un redémarrage peut être nécessaire.
- Un rapport va s'afficher, enregistre-le sur ton bureau.
- ou sinon, après le démarrage, il se trouvera dans "Rapports/logs"
-
Re,
Toujours le même problème proxy, quelle galère!!
Voici le rapport de MalwareByte's Anti-Malware : http://up.security-x.fr/file.php?h=Redaaf56f0301614854c65f963531e3f1
-
Re,
Bon déjà je suis quasiment certain que le proxy ne revient pas cause d'une infection, mais plus probablement d'un programme légitime.
Est-ce que tu pourrais tester quelque chose ?
Utilises-tu ceci ?
Dell DataSafe Online
Si tu ne l'utilises pas, pourrais-tu le désinstaller dans ta liste des programmes s'il te plait ?
Ensuite, tu redémarres le pc, tu décoches le proxy et tu regardes s'il revient.
:AAN
-
Re,
J'ai désinstallé Dell DataSafe Online et ...le proxy reste toujours coché... :AAM
Quelles peuvent être les conséquences si ce problème persiste, à part le fait que je ne puisse pas utiliser Chrome? je peux me passer de Chrome s'il le faut...
-
Bonjour,
J'ai une autre question : Je ne peux pas utiliser Skype, j'ai une fenêtre blanche quand je le lance et il n'y a aucun champ pour saisir les identifiants pour se connecter. Est-ce que ça peut être lié au problème que j'ai avec le proxy sur Chrome? Ou est-ce que c'est encore autre chose?
Merci d'avance pour votre réponse!
PS: j'ai essayé de désinstaller McAfee...ça a fonctionné!
-
Re ;)
Quelles peuvent être les conséquences si ce problème persiste, à part le fait que je ne puisse pas utiliser Chrome? je peux me passer de Chrome s'il le faut...
Celle qui m'embêtes le plus c'est : le fait que cela peut bloquer une connexion (comme sous Chrome), et surtout, devant un proxy inconnu, où vont et qui filtrera les infos qui passeront par ce proxy !
Car il sert d'intermédiaire et peut donc représenter un risque de sécurité pour tes données lors de tes navigations.
Je ne peux pas utiliser Skype, j'ai une fenêtre blanche quand je le lance et il n'y a aucun champ pour saisir les identifiants pour se connecter. Est-ce que ça peut être lié au problème que j'ai avec le proxy sur Chrome? Ou est-ce que c'est encore autre chose?
Oui, car comme je te l'avait dis, Chrome utilise les paramètres réseaux d'Internet Explorer et du système, à la différence de Firefox qui utilise les siens.
Skype peut donc être impacté par ce proxy.
Est-ce que tu peux me refaire ceci et pendant le déroulement, décocher le proxy ? (si tu y arrives, sinon, fais-le avant de lancer la commande)
http://forum.security-x.fr/desinfections/google-chrome-%27utiliser-un-proxy%27-se-coche-tout-seul/msg109519/#msg109519
:AAN
-
Re,
Voici le résultat de "netstat -b" (je l'ai fait 2 fois, ca dure même pas 1 seconde donc impossible de décocher le proxy pendant. Je l'ai décoché avant mais je ne pense pas que ça change grand chose puisqu'il se recoche tout seul aussitôt!) :
Microsoft Windows [version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. Tous droits réservés.
C:\Windows\system32>netstat -b
Connexions actives
Proto Adresse locale Adresse distante État
TCP 127.0.0.1:49350 Bryan-PC:49351 ESTABLISHED
[firefox.exe]
TCP 127.0.0.1:49351 Bryan-PC:49350 ESTABLISHED
[firefox.exe]
TCP 192.168.1.92:50016 r-061-043-234-077:http ESTABLISHED
[AvastSvc.exe]
C:\Windows\system32>netstat -b
Connexions actives
Proto Adresse locale Adresse distante État
TCP 127.0.0.1:49350 Bryan-PC:49351 ESTABLISHED
[firefox.exe]
TCP 127.0.0.1:49351 Bryan-PC:49350 ESTABLISHED
[firefox.exe]
TCP 192.168.1.92:50016 r-061-043-234-077:http ESTABLISHED
[AvastSvc.exe]
C:\Windows\system32>
-
Re,
Je vais voir pour tenter de capturer avec certains outils, ce sera peut-être un peu plus compliqué, mais je te guiderais.
Je reviens vers toi dès que possible.
:AAN
-
Re,
Une première idée pour avancer, peux-tu lancer Chrome ou Internet Explorer avant de refaire la commande netstat s'il te plait et me renvoyer le résultat obtenu ?
Merci ;)
-
Bonjour,
Voici le résultat :
Microsoft Windows [version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. Tous droits réservés.
C:\Windows\system32>netstat -b
Connexions actives
Proto Adresse locale Adresse distante État
TCP 192.168.1.92:49746 r-065-043-234-077:http ESTABLISHED
[AvastSvc.exe]
TCP 192.168.1.92:50074 wi-in-f99:https TIME_WAIT
TCP 192.168.1.92:50075 wg-in-f120:https TIME_WAIT
TCP 192.168.1.92:50079 wg-in-f94:http TIME_WAIT
TCP 192.168.1.92:50081 par10s12-in-f22:http TIME_WAIT
TCP 192.168.1.92:50082 we-in-f84:https TIME_WAIT
TCP 192.168.1.92:50084 wg-in-f101:http TIME_WAIT
TCP 192.168.1.92:50085 par10s11-in-f15:https TIME_WAIT
TCP 192.168.1.92:50087 par03s13-in-f9:https TIME_WAIT
TCP 192.168.1.92:50088 par10s12-in-f22:https TIME_WAIT
TCP 192.168.1.92:50089 we-in-f94:https TIME_WAIT
TCP 192.168.1.92:50093 par03s03-in-f12:https TIME_WAIT
TCP 192.168.1.92:50094 we-in-f132:https TIME_WAIT
TCP 192.168.1.92:50095 wi-in-f101:https TIME_WAIT
TCP 192.168.1.92:50099 wg-in-f132:https TIME_WAIT
TCP 192.168.1.92:50100 wb-in-f189:https TIME_WAIT
TCP 192.168.1.92:50119 wi-in-f138:https TIME_WAIT
TCP 192.168.1.92:50135 wg-in-f95:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50136 par10s09-in-f5:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50137 par03s13-in-f14:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50138 we-in-f99:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50139 par10s09-in-f15:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50141 we-in-f94:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50143 par10s12-in-f15:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50144 par10s12-in-f24:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50148 par10s10-in-f10:https TIME_WAIT
TCP 192.168.1.92:50149 wb-in-f132:https TIME_WAIT
TCP 192.168.1.92:50150 wi-in-f132:https TIME_WAIT
TCP 192.168.1.92:50151 par03s03-in-f11:https TIME_WAIT
TCP 192.168.1.92:50152 par10s12-in-f15:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50153 159:https TIME_WAIT
TCP 192.168.1.92:50155 wg-in-f94:http TIME_WAIT
TCP 192.168.1.92:50156 146.185.19.236:https TIME_WAIT
TCP 192.168.1.92:50157 we-in-f95:https TIME_WAIT
TCP 192.168.1.92:50158 wb-in-f132:https TIME_WAIT
TCP 192.168.1.92:50159 par03s03-in-f8:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50160 wb-in-f100:https ESTABLISHED
[chrome.exe]
C:\Windows\system32>
-
Re-bonsoir ;)
Bon, toujours pas.
On va tester autre chose :
1)/!\ Crée un point de restauration manuel avant d'appliquer le correctif - Tutoriel en images (http://forum.security-x.fr/windows-7/%28tutoriel%29-creer-un-point-de-restauration-sous-windows-7/) /!\
- Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
- Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes
start
Task: {05FABB71-50EA-4076-AAD6-C8E2C8491AB8} - System32\Tasks\GoogleUpdateTaskMachineUA1cef206fddef06f => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe [2010-12-28] (Google Inc.)
Task: {4549D756-966D-4916-A8A9-DB12A8D002FB} - System32\Tasks\GoogleUpdateTaskMachineCore1cef206fcaea95a => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe [2010-12-28] (Google Inc.)
Task: C:\Windows\Tasks\GoogleUpdateTaskMachineCore1cef206fcaea95a.job => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
Task: C:\Windows\Tasks\GoogleUpdateTaskMachineUA1cef206fddef06f.job => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
ProxyEnable: Internet Explorer proxy is enabled.
ProxyServer: http=127.0.0.1:56847
end- Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
- Ferme toutes les applications, y compris ton navigateur
- Double-clique sur FRST.exe
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
- Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fup.security-x.fr%2Ffile.php%3Fh%3DR05cf1fa17f5d244a9c65be205bacfeab&hash=b3152d40400f1435eb46d75f6cf70ecc0edb4c0e)
- L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.
/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\
-
Bonjour,
Voici le rapport généré : http://up.security-x.fr/file.php?h=R30306b31906e9e78f7284e58cb691a2b
Le proxy est toujours coché...
-
Re,
Bon, on va utiliser maintenant des outils "compliqués", de surveillance.
A notre niveau nous pourrions sur un pc entre nos mains travailler "rapidement" et savoir quoi regarder.
Mais à distance, via ce forum, il va falloir que tu exécutes toute une procédure.
Lis bien l'ensemble des étapes, et n'hésite pas à poser des questions si tu ne comprends pas quelque chose avant de le faire ;)
Télécharge Process Monitor (http://download.sysinternals.com/files/ProcessMonitor.zip) (De Sysinternals sur ton bureau
- Décompresse le dossier ProcessMonitor.zip : Clic-droit dessus -> Extraire tout ...
- Lance le fichier Procmon.exe contenu dans le dossier crée (Icône Windows)
(Utilisateur de Vista/Windows 7/8 faites un clic droit -> "Exécuter en tant qu'administrateur")[/list]
L'outil va commencer sa surveillance, mais nous allons préparer ce que nous voulons filtrer :
- 1) Ne laisse cocher que l'activité registre (première icône de la dernière série)
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fimg11.hostingpics.net%2Fpics%2F2214572013121517h2639.png&hash=7253d2b67c33118d5f2cd768499b2344bc601dec)
- 2) Arrête pour le moment la surveillance en cliquant sur la loupe (pour qu'elle apparaisse barrée de rouge)
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fimg98.xooimage.com%2Ffiles%2F0%2F2%2Fc%2Fcmdscan-42b8826.jpg&hash=24355d47c4a120ffaee029437fdfdf88be6be0cb)
- 3) Clique sur la gomme (3ième icône), pour vider la liste
Préparation du filtre :
Afin de ne pas avoir 36000 lignes à lire ( :hi: si, si, j'exagère pas ...), on va créer un filtre :
- 1) Clique sur l'entonnoir (sous "Tools")
- 2) En haut de la nouvelle fenêtre, choisis dans le menu déroulant : Operation puis "is" et enfin "RegCreateKey" et vérifie que "Include" est sélectionné
- 3) Valide avec le bouton "Add"
- 4) Refais la même chose avec cette fois : Operation puis "is" et enfin "RegSetValue" et vérifie que "Include" est sélectionné
Tu dois avoir obtenu ceci :
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fimg11.hostingpics.net%2Fpics%2F3510592013121517h3951.png&hash=067732e48642f0369c2c5fa124eddbdbb839fc5e)
Enregistrement :
- Lance la surveillance en cliquant sur l'icône "Loupe" (celle barrée de rouge)
- La fenêtre va commencer à se remplir
- Va alors décocher le proxy comme tu l'as déjà fait dans "Options Internet"
- Relance au besoin Chrome ou Internet Explorer afin que la case se recoche
- Reviens sur ProcMon et arrête la surveillance en re-cliquant sur le loupe
Rapport :
- Clique sur "File" puis "Save ..."
- Sous "Events to save", assures-toi que ce soit l'option "Events display using current filter" qui soit coché (avec l'option en dessous "Also include profiling events")
- Sous "Format", Coche "CSV"
- Valide avec OK
Le rapport sera crée dans le dossier de ProcMon, sous le nom logfile.csv
Tu peux me l'envoyer sur mon adresse mail, en pièce jointe (Pour voir mon adresse, clique sur l'enveloppe sous mon avatar)
:AAN
-
Re,
J'ai bien exécuté "Process Monitor" et j'ai le fichier généré. Mais je ne trouve pas d'adresse mail (je ne vois pas d'enveloppe sous l'avatar...).
Est-ce que je peux utiliser le service pour poster les rapports en ligne?
-
Re,
Non un fichier CSV cela ne passera pas ;)
Mon mail est le suivant :
hyunkel30 [at] security-x.fr
Tu remplaces [at] par @ et tu attaches le tout ;)
-
Re,
merci, je me disais bien qu'il devait y avoir une raison pour que je doive l'envoyer par mail....
Ca y est, j'ai envoyé le fichier par mail.
-
Re,
Ok, bien reçu, on avance un peu là, j'ai vu quelques trucs intéressant à approfondir ...
On va tenter une chose déjà :
Télécharge AdwCleaner (http://www.bleepingcomputer.com/download/adwcleaner/dl/125/) (de Xplode) sur ton Bureau.
- Double-clique sur adwcleaner.exe pour lancer le programme.
(Utilisateur de Vista/Windows 7/8, clique-droit sur le fichier adwcleaner.exe -> Exécuter en tant qu'administrateur)
- Dans la fenêtre principal, choisis l'option Scanner.
- Attend la fin de la recherche puis clique sur l'option Rapport.
- Un fichier texte apparaitra (sinon, il est situé ici C:\AdwCleaner[Rx].txt). Poste-le dans ta prochaine réponse.
-
Re,
Voici le rapport : http://up.security-x.fr/file.php?h=Rdc623e0db1372d1f992846af31e6fc1b
merci
-
Re,
Mhmhm, pas détecté ce que je voulais.
Peux-tu me fournir ce rapport de Adwcleaner s'il te plait ?
AdwCleaner[S0].txt
Il se trouve dans ce dossier :
C:\AdwCleaner
Ensuite :
Télécharge SystemLook (http://jpshortstuff.247fixes.com/SystemLook_x64.exe) (de jpshortstuff) sur ton Bureau.
- Double-clique sur SystemLook.exe pour le lancer.
- Assure toi que tes périphériques amovibles soient branchés, et allumés si nécessaire.
- Copie-colle l''intégralité de ce qui suit dans la fenêtre de saisie de l'outil :
:filefind
*offerbox*
:folderfind
*offerbox*
:regfind
*offerbox*
- Clique sur le bouton Look pour démarrer l'analyse. (cela peut durer quelques minutes)
- Lorsque celle-ci est terminée, une fenêtre du Bloc-notes va s'ouvrir avec les résultats du diagnostique. Poste s'il te plaît ce rapport dans ta prochaine réponse.
Note : Le rapport peut être trouvé sur ton Bureau, intitulé SystemLook.txt.
:AAN
-
Re,
Alors dans l'ordre :
le rapport de Adwcleaner : AdwCleaner[S0].txt : http://up.security-x.fr/file.php?h=R20d6c0a49edefd2653dc4a60ee473d69
il y avait aussi un autre rapport : AdwCleaner[R0].txt (je ne sais pas si c'est utile mais je le mets quand même!) : http://up.security-x.fr/file.php?h=Rd36a954e2e84b189427a3cc67bbfa56f
et le rapport de Systemlook : http://up.security-x.fr/file.php?h=Rf357fb6cad7dea1a41496f9fd9ee39e5
Merci
Bonne lecture ;)
-
Re,
Bon je vois que sur un précédent rapport d'Adwcleaner, y'avait bien du offerbox ...
Par contre, désolé, j'avais modifié la procédure hier, et tu as dû copier ou la faire avant mon changement, il faudrait donc refaire la procédure avec Systemlook, mais avec offerbox, et non boxore ;) (comme dans ma précédente question actuellement)
Désolé.
-
Re,
Voici le rapport de SystemLook : http://up.security-x.fr/file.php?h=Ra05c2a9d08869dab818bd28c6742e85a
-
Re,
Peux-tu faire ceci s'il te plait :
1) Télécharge DelFix (http://general-changelog-team.fr/fr/downloads/viewdownload/20-outils-de-xplode/9-delfix) (de Xplode) sur ton bureau.
- Ferme toutes tes fenêtres, puis double clique sur DelFix.exe pour le lancer.
(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
- Ne touche pas aux options cochées
- Clique sur le bouton "Exécuter"
- Laisse travailler l'outil.
- Le rapport est enregistré dans à la base de ton disque dur, (C:\DelFix.txt généralement) merci de copier-coller son contenu dans ta prochaine réponse.
- 2) Télécharge TFC (http://oldtimer.geekstogo.com/TFC.exe) de OldTimer et enregistre-le sur ton Bureau
- Ferme toutes les applications en cours
- Double-clique sur TFC.exe sur ton Bureau
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
- Clique sur Start pour lancer l'analyse et patiente (le scan de suppression peut durer jusqu'à 1 ou 2 mn)
- Valide par Yes à la demande de redémarrage. Si le système ne redémarre pas, fais-le manuellement. Cette étape est impérative pour finaliser le nettoyage
-
Re,
Voici le rapport de DelFix :
# DelFix v10.6 - Rapport créé le 20/12/2013 à 01:39:02
# Mis à jour le 11/11/2013 par Xplode
# Nom d'utilisateur : Bryan - BRYAN-PC
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
~ Suppression des outils de désinfection ...
Supprimé : C:\FRST
Supprimé : C:\AdwCleaner
Supprimé : C:\Users\Bryan\Desktop\AdwCleaner.exe
Supprimé : C:\Users\Bryan\Desktop\FRST64.exe
Supprimé : C:\Users\Bryan\Desktop\SystemLook.txt
Supprimé : C:\Users\Bryan\Desktop\SystemLook_x64.exe
Supprimé : C:\Users\Bryan\Downloads\adwcleaner.exe
Supprimée : HKLM\SOFTWARE\AdwCleaner
########## - EOF - ##########
-
Re,
OK, tu as fait TFC aussi ?
Si oui, réessaye de décocher le proxy pour voir s'il te plait.
-
Re,
Oui, j'ai fait TFC et j'ai redémarré le PC.
C'est toujours pareil, le proxi reste coché....
-
Re,
Tu viens de gagner le prix du truc le plus zarbi que j'ai vu cette année ... et j'en ai vu :hi:
Mais j'abandonne pas facilement moi ...
à suivre, on va continuer de creuser, on a une piste, on va la suivre jusqu'au bout :
[
Télécharge Process Monitor (http://download.sysinternals.com/Files/ProcessExplorer.zip) (De Sysinternals sur ton bureau
- Décompresse le dossier ProcessExplorer.zip : Clic-droit dessus -> Extraire tout ...
- Lance le fichier Procexp.exe contenu dans le dossier crée (Icône Windows)
(Utilisateur de Vista/Windows 7/8 faites un clic droit -> "Exécuter en tant qu'administrateur")[/list]
- Clique sur le menu "View"
- Assures-toi que l'option "Show Lower Pane" est cochée
- Dans l'arborescence de gauche, recherche une ligne avec Rundll32.exe
Généralement en sous catégorie d'un svchost.exe
- Sélectionne la ligne avec Rundll32.exe en cliquant dessus
- Clique en haut sur le menu "File" -> "Save As ..."
- Enregistre le fichier texte sur ton bureau puis poste-le dans ta prochaine réponse
- Pour les rapports, merci d'utiliser ce service de rapport en ligne (http://security-x.fr/up/) : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
:AAN
-
Re,
Je m'en serais bien passé de ce truc zarbi...
Le lien de téléchargement du logiciel Process Explorer ne fonctionne pas, j'ai un message d'erreur. Est-ce qu'il y a une erreur dans le lien ou bien est-ce que ça vient de moi??
-
Voiii le bon lien http://technet.microsoft.com/en-us/sysinternals/bb896653
:AAC
-
Merci pour le lien, ça a fonctionné.
J'ai lancé ProcessExplorer mais dans l'arborescence de gauche, je n'ai pas de ligne avec "Rundll32.exe". J'ai plusieurs fois svchost.exe mais jamais de Rundll32.exe en dessous ni ailleurs ....
C'est encore un truc bizarre??
-
Re,
Non, cela peut-être normal si aucun élément n'utilise cet exécutable lors du lancement de Process Monitor.
Donc, si c'est cela, lance Process monitor, puis va décocher le proxy, et regarde si un nouveau processus Rundll32 apparait (ils apparaissent en couleur les processus lancé )
S'il disparait trop vite pour faire ce que j'ai demandé, dis-le moi, on testera autrement ...
:AAN
-
Bonjour,
Me revoici après une longue absence...J'ai pas trop eu le temps de m'occuper de ce PC mais je m'y remets puisque le problème est toujours là! ;)
J'ai exécuté ProcessExplorer. Lorsque je clique sur "option internet"(dans Panneau de config/Réseau et Internet) il y a une ligne "Rundll32.exe" qui apparait en dessous de "procexp.exe". J'ai décoché la case "utiliser un serveur proxy..." puis j'ai sélectionné la ligne Rundll32.exe puis je l'ai enregistré dans un fichier. Voici le lien :
http://up.security-x.fr/file.php?h=R6093460b37a1ef64497caf34d54d8664
Est-ce que ça nous apporte quelque chose de nouveau??
Merci!
-
Re-Bonjour ;)
Il y a un élément intéressant dans ce rapport oui, on va regarder.
Télécharge Farbar Recovery Scan Tool (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/) (de Farbar) sur ton Bureau.
Attention: Tu dois lancer la version compatible avec ton système : 32 ou 64bits.
Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même
/!\ Crée un point de restauration manuel avant d'appliquer le correctif - Tutoriel en images (http://forum.security-x.fr/windows-7/%28tutoriel%29-creer-un-point-de-restauration-sous-windows-7/) /!\
- Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
- Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes
start
File: C:\Users\Bryan\AppData\Local\Microsoft\Windows\Temporary Internet Files\counters.dat
C:\Users\Bryan\AppData\Local\Microsoft\Windows\Temporary Internet Files\counters.dat
end- Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
- Ferme toutes les applications, y compris ton navigateur
- Double-clique sur FRST.exe
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
- Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fup.security-x.fr%2Ffile.php%3Fh%3DR05cf1fa17f5d244a9c65be205bacfeab&hash=b3152d40400f1435eb46d75f6cf70ecc0edb4c0e)
- L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.
/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\
Tu teste ensuite si tu peux décocher le proxy et s'il revient ou pas.
:AAN
-
Re,
J'ai exécuté Farbar comme demandé. Le PC a redémarré puis j'ai testé le proxy. Il reste toujours coché...
Voici le fichier fixlog.txt : http://up.security-x.fr/file.php?h=R97aa96cff794b206c6d38f7a5bb9f5f1
-
Re,
Je vais essayer de ravoir un rapport un peu plus frais avant de poursuivre :
Relance FRST :
- Double-clique sur l'outil pour le lancer. Quand l'outil se lance, clique sur Yes pour accepter le disclamer.
- Coche l'option Addition.txt en bas de la fenêtre.
- Clique sur le bouton Scan.
- L'outil va créer les rapports nommés FRST.txt et Addition.txt, enregistré dans le même dossier que l'outil.
Poste les deux rapports générés.
- Pour les rapports, merci d'utiliser ce service de rapport en ligne (http://security-x.fr/up/) : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
-
Bonjour,
J'ai le même problème, à savoir que la case "utiliser un serveur proxy..." se coche toute seule. D'abord à chaque ouverture de Chrome, puis de façon intempestive. Pour info, j'ai Windows8 et Bit Defender.
Je ne sais pas si je peux utiliser la même procédure... :)
Merci de bien vouloir m'aider avant que je pète un boulon ! ;)
Laurent
-
Bonsoir herbalau,
Créé ton propre sujet, nous te prendrons en charge dans celui-ci.
Un seul sujet par système et par utilisateur.
:AAN