Security-X
Forum Security-X => Désinfections => Discussion démarrée par: Jean Vient le avril 25, 2014, 17:53:02
-
Bonjour,
Windows 7 - 64bit
Depuis plusieurs semaines, que ce soit avec Explorer ou Firefox, mon écran est envahi par des pub intempestives et clignotantes insupportables.
Souvent signées en bas "Ads by PDFConverter" (en ce moment).
La fenêtre "Extensions" de Chrome m'indique ceci :
PDFConveerter 1.0
Autorisations
ID : bbnoalkhggejhglfdeiejdbabnnlehik
Cette extension est gérée et ne peut être ni désinstallée, ni désactivée.
Examiner les vues : background.html
Quand je fais une recherche sur mes disques, je trouve "PDFConveerter" (avec deux "e"). Quand je peux supprimer ces fichiers, ils reviennent invariablement. Mais la plupart du temps, je ne peux pas les supprimer.
C'est le premier forum dans lequel je pose la question. Merci de m'aider.
-
Bonjour,
Nous allons dans un premier temps établir un diagnostic de ton pc. Je te demande donc de ne pas demander de l'aide sur un autre forum car ceci pourrait s'avérer dangereux pour ton pc.
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fi77.servimg.com%2Fu%2Ff77%2F12%2F97%2F21%2F54%2Farrow511.gif&hash=ce44c49d46cda55a28880d5122c55094392748cc) FRST :
- Sur cette page, télécharge la version FRST (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/) de Farbar, compatible avec ton système et enregistre le fichier sur ton Bureau <-- Important
Comment savoir quelle version 32 bits ou 64 bits est exécutée sur mon système ? (http://forum.security-x.fr/desinfections/procedure-preliminaire/msg51582/#msg51582)
- Ferme toutes les applications, y compris ton navigateur
- Double-clique sur FRST.exe et clique sur Oui pour accepter le Disclaimer
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
- Sur le menu principal, clique sur Scan et patiente le temps de l'analyse
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fup.security-x.fr%2Ffile.php%3Fh%3DR05cf1fa17f5d244a9c65be205bacfeab&hash=b3152d40400f1435eb46d75f6cf70ecc0edb4c0e)
- A la fin du scan, les rapports FRST.txt et Addition.txt sont créés.
- Héberge ces rapports sur ce site d'hébergement de fichiers (http://security-x.fr/up/) et indique les liens fournis dans ta réponse. Aide en images (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
Les rapports sont enregistrés au même emplacement que l'outil et sous C:\FRST\Logs
Sous IE9, IE10 ou IE11, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même
---------------------------------------------------------------------------------------------
Sont attendus les rapports FRST.txt et Addition.txt
A+
-
Merci
Voilà les deux liens
http://up.security-x.fr/file.php?h=Reed33a41287c6be6c040867699f0fd28
http://up.security-x.fr/file.php?h=R216d19a29839006889cad4246fc9e7d0
Cordialement,
-
Re,
On va commencer la procédure de désinfection, je te demande donc de ne pas demander de l'aide sur un autre forum car cela peut s'avérer dangereux pour ton ordinateur.
Désinstallation des programmes :
Supprime les programmes listés ci-dessous via Panneau de configuration -> Désinstaller un programme (si tu ne trouves pas un programme, passe au suivant !) :
Image Editor Packages
SweetIM for Messenger 3.7
FRST - Correctif :
/!\ Crée un point de restauration manuel avant d'appliquer le correctif - Tutoriel en images (http://forum.security-x.fr/windows-7/%28tutoriel%29-creer-un-point-de-restauration-sous-windows-7/) /!\
- Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
- Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes
start
() C:\Users\user\AppData\Roaming\cacaoweb\cacaoweb.exe
() C:\Users\user\AppData\Roaming\BrowserCompanion\tcbhn.exe
HKLM-x32\...\Run: [tuto4pc_fr_33] => [X]
HKLM-x32\...\Run: [mobilegeni daemon] => C:\Program Files (x86)\Mobogenie\DaemonProcess.exe
HKU\S-1-5-21-330848871-2290492390-2323213483-1001\...\Run: [iLivid] => "C:\Users\user\AppData\Local\iLivid\iLivid.exe" -autorun
HKU\S-1-5-21-330848871-2290492390-2323213483-1001\...\Run: [cacaoweb] => C:\Users\user\AppData\Roaming\cacaoweb\cacaoweb.exe [489984 2014-04-21] ()
ShortcutTarget: tcbhn.lnk -> C:\Users\user\AppData\Roaming\BrowserCompanion\tcbhn.exe ()
GroupPolicy: Group Policy on Chrome detected
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.nationzoom.com/web/?type=ds&ts=1388859997&from=tugs&uid=HitachiXHTS547575A9E384_J2140054K9BVHAK9BVHAX&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.nationzoom.com/?type=hp&ts=1388859997&from=tugs&uid=HitachiXHTS547575A9E384_J2140054K9BVHAK9BVHAX
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nationzoom.com/?type=hp&ts=1388859997&from=tugs&uid=HitachiXHTS547575A9E384_J2140054K9BVHAK9BVHAX
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.nationzoom.com/web/?type=ds&ts=1388859997&from=tugs&uid=HitachiXHTS547575A9E384_J2140054K9BVHAK9BVHAX&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://www.nationzoom.com/web/?type=ds&ts=1388859997&from=tugs&uid=HitachiXHTS547575A9E384_J2140054K9BVHAK9BVHAX&q={searchTerms}
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://www.nationzoom.com/?type=sc&ts=1388859997&from=tugs&uid=HitachiXHTS547575A9E384_J2140054K9BVHAK9BVHAX
SearchScopes: HKLM - DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.nationzoom.com/web/?type=ds&ts=1388859997&from=tugs&uid=HitachiXHTS547575A9E384_J2140054K9BVHAK9BVHAX&q={searchTerms}
SearchScopes: HKLM - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.nationzoom.com/web/?type=ds&ts=1388859997&from=tugs&uid=HitachiXHTS547575A9E384_J2140054K9BVHAK9BVHAX&q={searchTerms}
SearchScopes: HKLM-x32 - {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://www.nationzoom.com/web/?type=ds&ts=1388859997&from=tugs&uid=HitachiXHTS547575A9E384_J2140054K9BVHAK9BVHAX&q={searchTerms}
BHO-x32: No Name - {23AF19F7-1D5B-442c-B14C-3D1081953C94} - No File
Toolbar: HKCU - No Name - {E7DF6BFF-55A5-4EB7-A673-4ED3E9456D39} - No File
FF user.js: detected! => C:\Users\user\AppData\Roaming\Mozilla\Firefox\Profiles\fbynp2p9.default\user.js
FF DefaultSearchEngine: Conduit Search
FF SelectedSearchEngine: Conduit Search
FF SearchPlugin: C:\Users\user\AppData\Roaming\Mozilla\Firefox\Profiles\fbynp2p9.default\searchplugins\buenosearch.xml
FF Extension: cacaoweb - C:\Users\user\AppData\Roaming\Mozilla\Firefox\Profiles\fbynp2p9.default\Extensions\cacaoweb@cacaoweb.org [2014-04-14]
FF HKLM-x32\...\Firefox\Extensions: [bubbledock@nosibay.com] - C:\Program Files (x86)\Nosibay\Bubble Dock\extensions\FFSurfMatch
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKCU\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
C:\Users\user\AppData\Local\Temp\dropbox_sqlite_ext.{5f3e3153-5bce-5766-8f84-3e3e7ecf0d81}.tmp7q0gti.dll
C:\Users\user\AppData\Local\Temp\jre-7u55-windows-i586-iftw.exe
Task: {277EA50D-2671-49EE-A9AB-BD256A67872E} - System32\Tasks\Digital Sites => C:\Users\user\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
Task: {4E692508-3523-4BD6-9BAE-96D8D3F81B20} - System32\Tasks\Show-Password Update => C:\Program Files (x86)\Show-Password\Show_Password.exe <==== ATTENTION
Task: {7989483B-C954-4566-8967-9B567FD2CFF0} - System32\Tasks\DSite => C:\Users\user\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
Task: {8914062E-D6F1-4C17-B7D0-03477A38606D} - System32\Tasks\EPUpdater => C:\Users\user\AppData\Roaming\BabSolution\Shared\BabMaint.exe [2013-12-12] () <==== ATTENTION
Task: {C6429AEE-9258-4718-B599-284845D8684C} - System32\Tasks\Scheduled Update for Ask Toolbar => C:\Program Files (x86)\Ask.com\UpdateTask.exe <==== ATTENTION
Task: C:\Windows\Tasks\Digital Sites.job => C:\Users\user\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
Task: C:\Windows\Tasks\DSite.job => C:\Users\user\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
C:\Users\user\AppData\Roaming\cacaoweb
C:\Users\user\AppData\Roaming\BrowserCompanion
C:\Program Files (x86)\Mobogenie
C:\Users\user\AppData\Local\iLivid
C:\Users\user\AppData\Roaming\DIGITA~1
C:\Program Files (x86)\Show-Password
C:\Program Files (x86)\Nosibay
C:\Users\user\AppData\Roaming\DSite
C:\Users\user\AppData\Roaming\BabSolution
C:\Program Files (x86)\Ask.com
Host:
end- Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
- Ferme toutes les applications, y compris ton navigateur
- Double-clique sur FRST.exe
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
- Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fup.security-x.fr%2Ffile.php%3Fh%3DR05cf1fa17f5d244a9c65be205bacfeab&hash=b3152d40400f1435eb46d75f6cf70ecc0edb4c0e)
- L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.
/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\
Une fois le fix fait, on va tenter de voir si on peut supprimer ou non les extensions sur Google Chrome pour cela, merci de suivre ce qui est indiqué ci-dessous :
- Ouvre Google Chrome
- Clique sur le menu Google Chrome (https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fstorage.googleapis.com%2Fsupport-kms-prod%2FSNP_2696434_en_v1&hash=fc66700ec2e3428b4396e4069d8aab95e9980a23) dans la barre d'outils du navigateur.
- Clique sur Paramètres
- Clique sur Extensions
- Clique sur la poubelle à côté de ces extensions :
PDFConveerter -> Si celle-ci est toujours impossible à supprimer dis-le moi
cacaoweb
blabbers-ch
GCSurfMatch
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fi77.servimg.com%2Fu%2Ff77%2F12%2F97%2F21%2F54%2Farrow511.gif&hash=ce44c49d46cda55a28880d5122c55094392748cc)ADWCleaner:
- Télécharge AdwCleaner (http://www.bleepingcomputer.com/download/adwcleaner/dl/125/) de Xplode et enregistre le fichier sur ton Bureau
- Ferme toutes les applications, y compris ton navigateur
- Double-clique sur l'icône AdwCleaner.exe pour lancer l'installation
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
- Sur le menu principal, clique sur Scanner
- Les éléments détectés s'affichent dans les différents onglets. Clique sur Rapport
- Un rapport AdwCleaner(R).txt s'ouvre. Poste ce rapport dans ta prochaine réponse
Le rapport se trouve sous C:\AdwCleaner(R).txt
A+
-
Bonsoir
Voici le rapport Fixlog :
http://up.security-x.fr/file.php?h=Rd0a598bb3e126f480cb1f8faa5f25d97
Apparemment, les fichiers à supprimer sont maintenant absents du dossier "Extensions". Cela veut-il dire que tu as réussi ? Chapeau l'artiste. C'est beau, la connaissance informatique.
Quant à ADWcleaner, je l'avais essayé maintes fois sans succès. Dois-je tout de même procéder à la dernière opération que tu me conseilles ?
-
Bonsoir
Voici le rapport Fixlog :
http://up.security-x.fr/file.php?h=Rd0a598bb3e126f480cb1f8faa5f25d97
Apparemment, les fichiers à supprimer sont maintenant absents du dossier "Extensions". Cela veut-il dire que tu as réussi ? Chapeau l'artiste. C'est beau, la connaissance informatique.
Quant à ADWcleaner, voici le rapport :
http://up.security-x.fr/file.php?h=R4f9e01d598447da8a3e3d82363c1ee5c
-
Rebonsoir,
L'extension PDF Conveerter est-elle encore présente "visiblement" dans le menu extensions de chrome ?
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fi77.servimg.com%2Fu%2Ff77%2F12%2F97%2F21%2F54%2Farrow511.gif&hash=ce44c49d46cda55a28880d5122c55094392748cc)ADWCleaner:
- Double-clique sur l'icône AdwCleaner.exe pour lancer ADWCleaner
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
- Sur le menu principal, clique sur Scanner
- Les éléments détectés s'affichent dans les différents onglets. Clique sur Nettoyer et valide par OK la fermeture des programmes
- Patiente le temps de l'analyse et valide le message d'informations
- Un redémarrage est demandé, valider par OK
- Au redémarrage, un rapport AdwCleaner(S).txt s'ouvre. Poste ce rapport dans ta prochaine réponse
Le rapport se trouve sous C:\AdwCleaner(S).txt
-
Nicoolas,
L'extension PDFConverter ne figure plus dans les extensions et ses avatars popup insupportables ne semblent plus apparaître lors de la navigation. Est-ce à dire que c'est un succès ?
-
Re,
Si tu n'as plus de pubs c'est bon signe oui !
J'attends le rapport de suppression d'Adwcleaner avant de te donner la suite
-
Rapport de suppression de Adwcleaner :
http://up.security-x.fr/file.php?h=Rd03f8fa45a1df164b3c548d109a70076
-
Re,
Bien ton pc est maintenant clean ! On va finaliser :)
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fi77.servimg.com%2Fu%2Ff77%2F12%2F97%2F21%2F54%2Farrow511.gif&hash=ce44c49d46cda55a28880d5122c55094392748cc) Installe la dernière version Adobe Flash Player :
Ouvre Internet Explorer, télécharge et installe cette dernière version :
Adobe Flash Player (http://get.adobe.com/fr/flashplayer/)
Ouvre Firefox, télécharge et installe cette dernière version :
Adobe Flash Player (http://get.adobe.com/fr/flashplayer/)
Pense à décocher les options proposées en même temps telles que la Barre d'outils Google gratuite (facultatif)
Il faut installer et tenir à jour Flash Player sous chaque navigateur présent sur le système
---------------------------------------------------------------------------------------------
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fi77.servimg.com%2Fu%2Ff77%2F12%2F97%2F21%2F54%2Farrow511.gif&hash=ce44c49d46cda55a28880d5122c55094392748cc) Mets à jour ta version d'Adobe Reader :
Télécharge et installe cette dernière version Adobe Reader (http://get.adobe.com/fr/reader/?no_ab=1)
N'oublie pas de décocher la case Google Chrome et McAfee Sécurity Scan
(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fup.security-x.fr%2Ffile.php%3Fh%3DR20d61f00d16d8088b58a1b8635df2b78&hash=d9705c479e4c02e1093b197b13822474686c4c64)
--------------------------------------------------------------------------------------------
Désinstallation des versions antérieures de Java :
Désinstalle via le panneau de configuration ces versions de java devenues obsolètes :
Java(TM) 6 Update 31
Java 2 Runtime Environment, SE v1.4.2_04
Java 7 Update 9
---------------------------------------------------------------------
Télécharge DelFix (http://general-changelog-team.fr/fr/downloads/viewdownload/20-outils-de-xplode/9-delfix) (de Xplode) sur ton bureau.
- Ferme toutes tes fenêtres, puis double clique sur DelFix.exe pour le lancer.
(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
- Ne touche pas aux options cochées
- Clique sur le bouton "Exécuter"
- Laisse travailler l'outil.
- Le rapport est enregistré dans à la base de ton disque dur, (C:\DelFix.txt généralement) merci de copier-coller son contenu dans ta prochaine réponse.
----------------------------------------------------------------------
Afin d'éviter de te faire réinfecter, voici quelques conseils :
Sois vigilant lors de l'installation de logiciels :
Il faut lire les conditions d'utilisation des logiciels afin de voir comment sont gérer nos données personnelles, s'ils n'installent pas de sponsors publicitaires. Il faut aussi refuser les toolbars ou tout autre addons. Je te conseille de lire cet article (http://forum.security-x.fr/securite-generale/stop-la-pub/) et celui-ci (http://forum.security-x.fr/tutoriels-317/installation-d%27une-application-sponsorisee-les-pieges-a-eviter)
Maintenir ses logiciels et son système à jour :
De nombreuses infections sont dû à des failles de windows, mais aussi de logiciel tiers, comme Sun Java, Adobe Acrobat Reader, etc
Tu peux faire un scan de vulnérabilité (http://secunia.com/vulnerability_scanning/online/) pour connaitre tes logiciels présentant des failles non corrigées ou à mettre à jour.
Ou utiliser un outil comme SXCU (http://forum.security-x.fr/tutoriels-317/(tutoriel)-sx-checkupdate/) pour vérifier occasionnellement.
Enfin, le plus important reste ton comportement sur ton PC, tu restes la plus importante protection : Évites les comportement à risque : P2P, cracks, téléchargements et installations douteux via des pubs, les messageries instantanées, ou des sites inconnu, sites pornographiques.
A lire ! (http://www.tomsguide.fr/forum/id-2134891/prevention-protection-securiser-ordinateur.html)
Ici aussi ! (http://www.tomsguide.fr/forum/id-416930/dossier-prevention-protection.html)
Bonne soirée
nicoolas
-
Je vais faire tout ça, mais avant, je tiens à te remercier chaleureusement pour ton aide. Je ne sais pas comment fonctionne un forum tel que celui-ci, dans quelle mesure tu es rémunéré éventuellement, mais je trouve incroyable qu'on puisse trouver au bout d'un clavier une personne qui réponde aimablement et résolve mes problèmes avec efficacité. C'est tout juste extraordinaire.
Merci encore
José
PS : Jean Vient est un pseudo que j'aime bien, pour ses initiales :-}
-
Re,
Et bien nous sommes bénévoles, on aide les gens gratuitement car ça nous plaît !
Bonne continuation ! :)