Security-X

Forum Security-X => Désinfections => Discussion démarrée par: Breizhbutter le juin 16, 2015, 15:23:44

Titre: "Image incorrecte" après suppression Trovi
Posté par: Breizhbutter le juin 16, 2015, 15:23:44
Bonjour à tous.

Je me permets de vous solliciter car, comme le titre du topic l'indique, j'ai contracté le malware trovi. Je le supprime à l'aide de Malwarebytes, et au démarrage suivant, je reçois, pour chaque lancement de software, une boîte de dialogue signalant "image incorrecte etc... C:\PROGRAM~1\SEARCH~1\SEARCH~1\bin\VC32LO~1.DLL". J'ai tenté de désinstaller entièrement SearchProtect avec RevoUninstaller mais ça n'a rien changé.

J'ai exploré plusieurs topics qui traitaient du même problème. Mais mes compétences en informatique étant ce qu'elles sont, je n'envisage même pas de m'aventurer dans les registres de l'ordinateur pour tenter quoi que ce soit sans recommandations plus expertes.

Après scan sur Farbar, je me retrouve avec ces trois rapports :

FRST :
http://pjjoint.malekal.com/files.php?id=20150616_c14q8k9y13i11

Shortcut :
http://pjjoint.malekal.com/files.php?id=20150616_r9x8y15z10p12

Addition :
http://pjjoint.malekal.com/files.php?id=20150616_d6l14m5d15y9


J'espère que ces éléments vont permettront d'y voir clair.

Merci d'avance !!
Cordialement,

BZ

Titre: Re : "Image incorrecte" après suppression Trovi
Posté par: chantal11 le juin 16, 2015, 16:11:34
Bonjour,

Je regarde tes rapports et t'indique la suite.

@+
Titre: Re : "Image incorrecte" après suppression Trovi
Posté par: chantal11 le juin 16, 2015, 16:34:31
Re,


Il faut être plus vigilant sur ce qui est validé lors de l'installation de logiciels gratuits, bien lire les conditions d'utilisation et ne pas accepter tout ce qui est proposé avec. Il faut décocher les cases des sponsors.
Stop la pub ! (http://forum.security-x.fr/securite-generale/stop-la-pub/)
Exemple sur l'Installation d'une application sponsorisée, les pièges à éviter ! (http://forum.security-x.fr/tutoriels-317/installation-d%27une-application-sponsorisee-les-pieges-a-eviter/)

C'est en installant BitTorrent que tu as validé l'installation de adwares/hijackers.

Tu appliques les procédures dans l'ordre où elles sont présentées.

--------------------------------------------------------------------------------------------------------------

FRST - Correctif :

Code: [Sélectionner]
start
CreateRestorePoint:
CloseProcesses:
AppInit_DLLs: C:\PROGRA~1\SEARCH~1\SEARCH~1\bin\VC32LO~1.DLL => C:\Program Files\SearchProtect\SearchProtect\bin\VC32Loader.dll [223504 2015-06-03] ()
SearchScopes: HKU\S-1-5-21-4088714964-1905056078-2792279851-1000 -> {171DEBEB-C3D4-40b7-AC73-056A5EBA4A7E} URL = http://websearch.ask.com/redirect?client=ie&tb=WCR&o=41647931&src=crm&q={searchTerms}&locale=&apn_ptnrs=81&apn_dtid=YYYYYYYYFR&apn_uid=66853460-716D-424F-B383-A7D0027C197B&apn_sauid=3E47119C-F10D-4ED7-94CA-9FBD3AAC2151
SearchScopes: HKU\S-1-5-21-4088714964-1905056078-2792279851-1000 -> {29d95239-2b67-42be-bcac-38b4706ac9b7} URL = http://www.wibeez.com/renseignement?search&q={searchTerms}
Toolbar: HKU\S-1-5-21-4088714964-1905056078-2792279851-1000 -> No Name - {D4027C7F-154A-4066-A1AD-4243D8127440} -  No File
FF user.js: detected! => C:\Users\Marie\AppData\Roaming\Mozilla\Firefox\Profiles\hlpkixsn.default\user.js [2011-04-03]
FF SearchPlugin: C:\Users\Marie\AppData\Roaming\Mozilla\Firefox\Profiles\hlpkixsn.default\searchplugins\askcom.xml [2011-05-03]
FF SearchPlugin: C:\Users\Marie\AppData\Roaming\Mozilla\Firefox\Profiles\hlpkixsn.default\searchplugins\Wibeez.xml [2009-12-29]
S2 Norton Internet Security; "C:\Program Files\Norton Internet Security\Engine\16.0.0.125\ccSvcHst.exe" /s "Norton Internet Security" /m "C:\Program Files\Norton Internet Security\Engine\16.0.0.125\diMaster.dll" /prefetch:1
S3 NAVENG; \??\C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\Norton\Definitions\VirusDefs\20080829.024\NAVENG.SYS [X]
S3 NAVEX15; \??\C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\Norton\Definitions\VirusDefs\20080829.024\NAVEX15.SYS [X]
2015-06-15 16:27 - 2015-06-16 14:13 - 00000000 ____D C:\Users\Marie\AppData\Local\SearchProtect
2015-06-15 16:27 - 2015-06-16 13:02 - 00000000 ____D C:\Users\Marie\AppData\Local\avabvbavad
2015-06-15 16:27 - 2015-06-16 13:02 - 00000000 ____D C:\Program Files\SearchProtect
C:\Program Files\SearchProtect
C:\Program Files\Norton Internet Security
C:\ProgramData\Norton
Task: {1FD31369-CE08-436B-B6FB-F8CA1EF04AE5} - System32\Tasks\{6D81E71B-D9AB-4879-8DC5-B035070008BA} => pcalua.exe -a C:\PROGRA~1\SearchProtect\Main\bin\uninstall.exe -c /S <==== ATTENTION
Task: {64FB9854-15C9-4751-98FD-64493A9DBC76} - \avabvbavad No Task File
FirewallRules: [{03471EBE-A44A-4BCA-A495-ADF40CC8931E}] => (Allow) C:\Users\Marie\AppData\Local\Temp\Update_176e.exe
FirewallRules: [{5DB3EC6A-5E9A-4F71-A639-08F4C55B1DFF}] => (Allow) C:\Users\Marie\AppData\Local\Temp\Update_176e.exe
EmptyTemp:
end/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnements et endommager Windows /!\

--------------------------------------------------------------------------------------------------------------

ZHPCleaner-Scanner :

--------------------------------------------------------------------------------------------------------------

Sont attendus les rapports
Fixlog
ZHPCleaner-Scanner

Tu as utilisé AdwCleaner ?
Poste le rapport aussi s'il te plaît.

@+
Titre: Re : "Image incorrecte" après suppression Trovi
Posté par: Breizhbutter le juin 16, 2015, 18:08:31
Merci infiniment pour la rapidité de ta réponse.

Fixlog :
http://pjjoint.malekal.com/files.php?id=20150616_k8t7z15e7v9

ZHP Cleaner :
http://pjjoint.malekal.com/files.php?id=20150616_y13d513v5n15

ADW Cleaner :
http://pjjoint.malekal.com/files.php?id=20150616_t6k10y8t5q10

Sache que pour ADW, je n'ai pas fait de nettoyage, seulement un scan. Le temps que j'y pense, je t'avais déjà envoyé les trois premiers .txt et je ne voulais pas fausser les rapports en faisant un nettoyage par la suite.
Titre: Re : "Image incorrecte" après suppression Trovi
Posté par: chantal11 le juin 16, 2015, 18:16:56
Re,

Un souci avec le correctif FRST pour l'avoir lancé deux fois ?

Nous continuons donc le nettoyage.

--------------------------------------------------------------------------------------------------------------

ZHPCleaner-Nettoyer :

--------------------------------------------------------------------------------------------------------------

AdwCleaner - Nettoyer :

Sous IE9, IE10 ou IE11, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

Si ton antivirus émet une alerte ou bloque l'outil, il faut le désactiver temporairement (le fichier AdwCleaner.exe est sûr)

Tutoriel d'utilisation AdwCleaner en images (http://forum.security-x.fr/tutoriels-317/%28tutoriel%29-adwcleaner/)

En cas de perte de connexion internet après le passage de l'outil, appliquer une de ces procédures Perte de connexion internet après l'utilisation d'un outil (http://forum.security-x.fr/tutoriels-317/perte-de-connexion-internet-apres-l%27utilisation-d%27un-outil-12204/)[/url]

--------------------------------------------------------------------------------------------------------------

Sont attendus les rapports
ZHPCleaner-Nettoyer
AdwCleaner-Nettoyer

@+
Titre: Re : "Image incorrecte" après suppression Trovi
Posté par: Breizhbutter le juin 18, 2015, 14:06:56
Oui effectivement, FRST a eu l'air de freezer à un moment. Panique totale, je l'ai relancé. Voilà la suite !

ZHP Cleaner :
http://pjjoint.malekal.com/files.php?id=20150618_d9p14r12z10u12

AdwCleaner !
http://pjjoint.malekal.com/files.php?id=20150618_w5k12z12h14v6

Merci !
Titre: Re : "Image incorrecte" après suppression Trovi
Posté par: chantal11 le juin 18, 2015, 15:27:50
Bonjour,

OK pour les rapports.

Comment se comporte le système maintenant ?

@+
Titre: Re : "Image incorrecte" après suppression Trovi
Posté par: Breizhbutter le juin 19, 2015, 12:50:41
Bonjour.

Quelques lenteurs au démarrage des navigateurs, des blocages fréquents, et quelques messages d'applications .exe qui plantent, typiquement lorsque je visionne des streamings en plein écran.
Titre: Re : "Image incorrecte" après suppression Trovi
Posté par: chantal11 le juin 19, 2015, 13:04:17
Bonjour,


Un système Vista vieillissant sur un PC vieillissant aussi.
Avast est de plus devenu très lourd et une véritable usine à gaz, tu aurais intérêt à alléger ton système avec un antivirus gratuit plus fluide comme Antivir ou Microsoft Security Essentials.


Ma question "Comment se comporte le système maintenant ?" était surtout par rapport symptômes décrits au départ et à l'infection par adwares/hijackers.


Nous pouvons alléger aussi le démarrage de ta session et limiter les applications qui tournent ensuite en tâche de fond.
Nous allons le faire avec CCleaner, tu pourras ainsi gérer toi-même ces entrées par la suite.

@+
Titre: Re : "Image incorrecte" après suppression Trovi
Posté par: Breizhbutter le juin 20, 2015, 10:31:32
Excuse-moi, ta réponse était pourtant évidente. Les symptômes décrits au début du topic ne sont pas du tout réapparus. En fait j'ai arrêté de recevoir des boîtes de dialogue dès la première utilisation de FRST et ZHP.

Je suis tout à fait réceptive à tes conseils concernant l'antivirus, mais on est deux à utiliser le PC et l'autre utilisatrice s'est montrée plusieurs récalcitrante à utiliser un autre software qu'Avast... Je ne comprends pas pourquoi. Ça demande une concertation.

En tout cas, voici le rapport startup.exe :
http://pjjoint.malekal.com/files.php?id=20150620_t9r6b10o613
Titre: Re : "Image incorrecte" après suppression Trovi
Posté par: chantal11 le juin 20, 2015, 11:27:08
Bonjour,


Pour l'antivirus, en effet, une concertation avec l'autre utilisatrice est nécessaire.
Explique-lui que ce n'est pas l'antivirus qui est le plus important, tous les antivirus se valent et sont tout aussi performants.
Ce qui fait la différence, c'est le comportement de l’utilisateur sur le net et dans la gestion de son PC.

En résumé, la meilleure protection c'est l'utilisateur lui-même  ;)


Pou ralléger le démarrage :

Code: [Sélectionner]
Oui HKCU:Run CCleaner Monitoring Piriform Ltd "C:\Program Files\CCleaner\CCleaner.exe" /MONITOR
Oui HKCU:Run Dropbox Update Dropbox, Inc. "C:\Users\Marie\AppData\Local\Dropbox\Update\DropboxUpdate.exe" /c
Oui HKCU:Run EPLTarget\P0000000000000000 SEIKO EPSON CORPORATION C:\Windows\system32\spool\DRIVERS\W32X86\3\E_FATILEE.EXE /EPT "EPLTarget\P0000000000000000" /M "XP-412 413 415 Series"
Oui HKCU:Run EPLTarget\P0000000000000001 SEIKO EPSON CORPORATION C:\Windows\system32\spool\DRIVERS\W32X86\3\E_FATILEE.EXE /EPT "EPLTarget\P0000000000000001" /M "XP-412 413 415 Series"
Oui HKCU:Run MsgCenterExe "c:\program files\real\realplayer\update\RealOneMessageCenter.exe"  -osboot
Oui HKLM:Run Adobe ARM Adobe Systems Incorporated "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
Oui HKLM:Run APSDaemon Apple Inc. "C:\Program Files\Common Files\Apple\Apple Application Support\APSDaemon.exe"
Oui HKLM:Run EEventManager SEIKO EPSON CORPORATION "C:\Program Files\Epson Software\Event Manager\EEventManager.exe"
Oui HKLM:Run HotKeysCmds Intel Corporation C:\Windows\system32\hkcmd.exe
Oui HKLM:Run HP Health Check Scheduler Hewlett-Packard c:\Program Files\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe
Oui HKLM:Run HP Software Update Hewlett-Packard C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
Oui HKLM:Run hpWirelessAssistant Hewlett-Packard Development Company, L.P. C:\Program Files\Hewlett-Packard\HP Wireless Assistant\HPWAMain.exe
Oui HKLM:Run IgfxTray Intel Corporation C:\Windows\system32\igfxtray.exe
Oui HKLM:Run Persistence Intel Corporation C:\Windows\system32\igfxpers.exe
Oui HKLM:Run QlbCtrl.exe Hewlett-Packard Development Company, L.P. C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
Oui HKLM:Run QPService CyberLink Corp. "C:\Program Files\HP\QuickPlay\QPService.exe"
Oui HKLM:Run QuickTime Task Apple Inc. "C:\Program Files\QuickTime\QTTask.exe" -atboottime
Oui HKLM:Run SunJavaUpdateSched Oracle Corporation "C:\Program Files\Common Files\Java\Java Update\jusched.exe"
Oui HKLM:Run SynTPEnh Synaptics, Inc. C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
Oui HKLM:Run UCam_Menu CyberLink Corp. "C:\Program Files\CyberLink\YouCam\MUITransfer\MUIStartMenu.exe" "C:\Program Files\CyberLink\YouCam" UpdateWithCreateOnce "Software\CyberLink\YouCam\2.0"
Oui HKLM:Run UpdateLBPShortCut CyberLink Corp. "C:\Program Files\CyberLink\LabelPrint\MUITransfer\MUIStartMenu.exe" "C:\Program Files\CyberLink\LabelPrint" UpdateWithCreateOnce "Software\CyberLink\LabelPrint\2.5"
Oui HKLM:Run UpdateP2GoShortCut CyberLink Corp. "C:\Program Files\CyberLink\Power2Go\MUITransfer\MUIStartMenu.exe" "C:\Program Files\CyberLink\Power2Go" UpdateWithCreateOnce "SOFTWARE\CyberLink\Power2Go\6.0"
Oui HKLM:Run UpdatePDIRShortCut CyberLink Corp. "C:\Program Files\CyberLink\PowerDirector\MUITransfer\MUIStartMenu.exe" "C:\Program Files\CyberLink\PowerDirector" UpdateWithCreateOnce "SOFTWARE\CyberLink\PowerDirector\7.0"
Oui Startup User Dropbox.lnk Dropbox, Inc. C:\Users\Marie\AppData\Roaming\Dropbox\bin\Dropbox.exe
Oui Startup User OpenOffice.org 3.1.lnk C:\Program Files\OpenOffice.org 3\program\quickstart.exe
Je n'ai laissé que les protections résidentes comme applications qui démarrent en même temps que Windows.

Au besoin, pour réactiver une application, tu cliques sur la ligne correspondante, puis sur Activer

Qu'en est-il après redémarrage ?

@+
Titre: Re : "Image incorrecte" après suppression Trovi
Posté par: Breizhbutter le juin 20, 2015, 12:50:44
Un peu plus rapide, un peu plus réactif. A part ça, R.A.S !
Titre: Re : "Image incorrecte" après suppression Trovi
Posté par: chantal11 le juin 20, 2015, 13:35:01
Re,

OK, nous pouvons donc finaliser la procédure.


---------------------------------------------------------------------------------------------

Java :

Désinstalle ces versions obsolètes :
Java 7 Update 75
Java(TM) 6 Update 7

La dernière version est déjà installée sur ton système

---------------------------------------------------------------------------------------------

Adobe Flash Player :

Ouvre Internet Explorer, télécharge et installe cette dernière version :
Adobe Flash Player (http://get.adobe.com/fr/flashplayer/)

Ouvre Firefox, télécharge et installe cette dernière version :
Adobe Flash Player (http://get.adobe.com/fr/flashplayer/)

Pense à décocher les options proposées en même temps telles que la Barre d'outils Google ou McAfee Security Scan Plus
Il faut installer et tenir à jour Flash Player sous chaque navigateur présent sur le système

---------------------------------------------------------------------------------------------

Adobe Shockwave Player :

Désinstalle Adobe Shockwave Player si tu n'en as pas l'utilité ou mets-le à jour Adobe Shockwave Player (http://get.adobe.com/fr/shockwave/)

---------------------------------------------------------------------------------------------

DelFix :

- Supprimer les outils de désinfection
 - Purger la restauration système
---------------------------------------------------------------------------------------------

Quelques précisions et conseils :

/!\ Toujours privilégier le téléchargement d'une application sur le site de l'éditeur

/!\ Bien lire les accords de licence (http://forum.security-x.fr/securite-generale/tuto4pc-et-accord-de-licence/msg53123/#msg53123) avant toute installlation, des études ont montré que La France est championne du monde de malwares ! (http://www.zebulon.fr/actualites/8054-france-championne-monde-malwares.html)

/!\ Etre vigilant au moment de l'installation d'une application, Stop la pub ! (http://forum.security-x.fr/securite-generale/stop-la-pub/)
Installation d'une application sponsorisée, les pièges à éviter ! (http://forum.security-x.fr/tutoriels-317/installation-d%27une-application-sponsorisee-les-pieges-a-eviter/)

/!\ Sauvegarder régulièrement les données personnelles sur un support externe

/!\ Ne jamais ouvrir une pièce-jointe dans un mail d'un expéditeur inconnu



N'hésite pas si tu as des questions.

Pour en savoir plus, clique sur l'image pour télécharger ce PDF (https://forum.security-x.fr/proxy.php?request=http%3A%2F%2Fwww.malekal.com%2Ffichiers%2Fprojetantimalwares%2Freagir_miniban.gif&hash=60f66ff5bf6c64aea37f0755aa21312762d3420f) (http://www.malekal.com/fichiers/projetantimalwares/ProjetAntiMalware.pdf)

-------------------------------------------------------------------------------------------

Pour mieux comprendre comment tu as infecté ton système avec des adwares que tu as toi-même validés et pour éviter ce type de piège lors de l'installation d'une application gratuite, fais un test avec cet utilitaire qui va simuler une installation "pourrie" :

Tutoriel en images (http://forum.security-x.fr/tutoriels-317/s%27entrainer-a-ne-pas-installer-des-logiciels-indesirables-avec-adware-prevention/)

Bon entraînement :)