Security-X
Forum Security-X => Désinfections => Discussion démarrée par: patelarum le septembre 26, 2012, 08:17:29
-
Bonjour,
Je suis sous W7 64bits.
Voilà, depuis un examen de adwcleaner, j'ai ce message qui s'affiche au démarrage, et plusieurs fois ensuite, lorsque l'ordinateur est allumé :
C:/Users/Nom_d'utilisateur/AppData/Roaming/openCandy/48356F5530E84C93H54665D56EA45A37/OCBrowserHelpeur_1.0.3.85.dll
J'ai fait un scan de MBAM, spybot, antivirus, adwcleaner, rien n'y fait !
J'ai fait des recherches, et j'ai vu que d'autres ont été dans le même cas que moi, mais comme chaque ordinateur est différent...
Impossible de trouver le module dans msconfig -> démarrage, il n'y est pas !
Impossible de trouver le fichier non plus...
Que faire ?
Merci pour votre aide !
-
Bonjour patelarum,
Bienvenu sur Security-X
Il nous faudrait le rapport de suppression d'adwcleaner s'il te plait :
il est situé ici C:\AdwCleaner[Sx].txt
Ensuite fait ceci :
Télécharge OTL (http://oldtimer.geekstogo.com/OTL.exe) (de Old Timer) sur ton bureau.
- Ferme toutes tes fenêtres, puis double clique sur OTL.exe pour le lancer.
(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur") - Coche en haut la case devant "Tous les utilisateurs"
- Sous Personnalisation, copie-colle l'ensemble du texte ci-dessous, laisse les autres options par défaut.
netsvcs
msconfig
activex
%SYSTEMDRIVE%\*.exe
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\syswow64\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\syswow64\drivers\*.sys /lockedfiles
CREATERESTOREPOINT
- Clique sur le bouton Analyse en haut à gauche puis patiente quelques instants.
- A la fin du scan, deux rapports s'ouvriront OTL.Txt et Extras.Txt.
- Pour les rapports, merci d'utiliser ce service de rapport en ligne (http://pjjoint.malekal.com/) : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
Note : Les rapports sont aussi enregistrés sur le bureau
-
Bonjour,
Voici les rapports demandés.
-
Re,
Il m'aurait fallu plutôt celui-ci de adwcleaner :
AdwCleaner[S2].txt
On y va pour le nettoyage :
1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :
Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure
- Spybot - Search & Destroy (inutile et obsolète ...)
- Java(TM) 6 Update 22 / Java(TM) 6 Update 22 (64bits) (version obsolète et vulnérables, tu possèdes une plus récente)
3) Modifie manuellement la page de démarrage de Chrome :
Supprime cette page :
hxxp://feed.snap.do/?publisher=SnapdoOpenCandy&dpid=SnapdoOpenCandy&co=FR&userid=f71e0afa-40d7-48ca-88ce-7fc13a38484a&searchtype=hp
Remet celle que tu souhaites
http://support.google.com/chrome/bin/answer.py?hl=fr&answer=95314
3) Relance OTL.exe
- Ferme toutes tes fenêtres, puis double clique sur OTL.exe pour le lancer.
(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
/!\ Attention, utilisateur d'Avast! ou d'autres antivirus, ne lancez pas OTL en mode sandbox /!\
- Copie-colle l'ensemble du texte ci-dessous dans le cadre Personnalisation d'OTL en bas à gauche.
:OTL
IE - HKU\S-1-5-21-3463788808-2110998730-415613671-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = http://feed.snap.do/?publisher=SnapdoOpenCandy&dpid=SnapdoOpenCandy&co=FR&userid=f71e0afa-40d7-48ca-88ce-7fc13a38484a&searchtype=ds&q={searchTerms}
IE - HKU\S-1-5-21-3463788808-2110998730-415613671-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = http://feed.snap.do/?publisher=SnapdoOpenCandy&dpid=SnapdoOpenCandy&co=FR&userid=f71e0afa-40d7-48ca-88ce-7fc13a38484a&searchtype=ds&q={searchTerms}
IE - HKU\S-1-5-21-3463788808-2110998730-415613671-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://feed.snap.do/?publisher=SnapdoOpenCandy&dpid=SnapdoOpenCandy&co=FR&userid=f71e0afa-40d7-48ca-88ce-7fc13a38484a&searchtype=hp&exp=true
IE - HKU\S-1-5-21-3463788808-2110998730-415613671-1000\SOFTWARE\Microsoft\Internet Explorer\Search,Default_Search_URL = http://feed.snap.do/?publisher=SnapdoOpenCandy&dpid=SnapdoOpenCandy&co=FR&userid=f71e0afa-40d7-48ca-88ce-7fc13a38484a&searchtype=ds&q={searchTerms}
IE - HKU\S-1-5-21-3463788808-2110998730-415613671-1000\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = http://feed.snap.do/?publisher=SnapdoOpenCandy&dpid=SnapdoOpenCandy&co=FR&userid=f71e0afa-40d7-48ca-88ce-7fc13a38484a&searchtype=ds&q={searchTerms}
IE - HKU\S-1-5-21-3463788808-2110998730-415613671-1000\..\SearchScopes,DefaultScope = {00D3F6CA-8B59-4C8C-8B21-C008443C9110}
IE - HKU\S-1-5-21-3463788808-2110998730-415613671-1000\..\SearchScopes\{00D3F6CA-8B59-4C8C-8B21-C008443C9110}: "URL" = http://rover.ebay.com/rover/1/709-42536-16445-33/4?mpre=http://shop.ebay.fr/?oemInLn=ieSrch-Q311&_nkw={searchTerms}
FF - prefs.js..keyword.URL: "http://feed.snap.do/?publisher=SnapdoOpenCandy&dpid=SnapdoOpenCandy&co=FR&userid=f71e0afa-40d7-48ca-88ce-7fc13a38484a&searchtype=ds&q="
[2012/09/23 10:09:42 | 000,015,607 | ---- | M] () -- C:\Users\Raphael\AppData\Roaming\mozilla\firefox\profiles\vagigy1r.default\searchplugins\Web Search.xml
[2012/09/26 11:08:41 | 000,000,710 | ---- | M] () -- C:\Windows\tasks\OpenCandyHelper.job
[2012/09/26 07:56:05 | 000,000,710 | ---- | M] () -- C:\Windows\tasks\OpenCandyHelperRun.job
:Commands
[emptytemp]
- Puis clique sur le bouton Correction en haut à gauche
- Le pc va redémarrer. (si ce n'est pas le cas, fais-le manuellement)
- Poste le rapport de suppression s'il apparait.
Note : le rapport est enregistré sous format ".log", il convient de changer cette extension en ".txt" si tu veux le déposer sur des sites en ligne. S'il n'apparait pas, il se trouve ici : C:\_OTL, sous la forme xxxxxxxx_xxxx.log où x sont la date et l'heure
/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\
-
Re,
Voici les rapports d'adw plus récents, ainsi que le log de correction.
Le mesage est tout de même réapparu au démarrage.
-
Re,
Après un second redémarrage aussi l'erreur persiste ?
Qui émet l'erreur ? Windows lui-même ou un autre programme ? (si tu peux me faire l'image de la fenêtre d'erreur ce serait le mieux )
Une aide ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport)
Normalement j'ai supprimé les deux reste qui pouvaient lancer encore cet adware, je n'ai rien vu d'autre ... donc après c'est possiblement lié à un autre programme, comme un navigateur, etc ...
:AAN
-
Bonsoir,
Voici la capture.
Après plusieurs redémarages, l'erreur apparaît toujours, même après le démarrage...
Je refais un test OTL ?
Edit : ce message d'erreur correspond au processus rundll32.exe, puisque si je termine ce processus, le message disparaît... Mais ré-apparaît au démarrage suivant...
-
Re,
Non je vais tester autre chose pour voir :
Télécharge SystemLook (http://jpshortstuff.247fixes.com/SystemLook_x64.exe) (de jpshortstuff) sur ton Bureau.
- Double-clique sur SystemLook.exe pour le lancer.
(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
- Copie-colle l''intégralité de ce qui suit dans la fenêtre de saisie de l'outil :
:filefind
*openCandy*
*OCBrowserHelpeur*
:folderfind
*openCandy*
:regfind
OCBrowserHelpeur_1.0.3.85.dll
openCandy
- Clique sur le bouton Look pour démarrer l'analyse. (cela peut durer quelques minutes)
- Lorsque celle-ci est terminée, une fenêtre du Bloc-notes va s'ouvrir avec les résultats du diagnostique. Poste s'il te plaît ce rapport dans ta prochaine réponse.
Note : Le rapport peut être trouvé sur ton Bureau, intitulé SystemLook.txt.
-
Re
Voici le rapport :
-
Re,
Hé ben il s'est bien incrusté lui !
On y va :
Relance OTL.exe
- Ferme toutes tes fenêtres, puis double clique sur OTL.exe pour le lancer.
(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
/!\ Attention, utilisateur d'Avast! ou d'autres antivirus, ne lancez pas OTL en mode sandbox /!\
- Copie-colle l'ensemble du texte ci-dessous dans le cadre Personnalisation d'OTL en bas à gauche.
:Reg
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchUrl]
"Default"=""
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{AFEE2C54-CC31-4FAF-B6E2-55444360A6A2}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E3997A95-AC3B-4BB6-AB6B-E6EA80D523F0}]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\OpenCandyHelper]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\OpenCandyHelperRun]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\OpenCandyHelperRunOnce]
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\SearchUrl]
"Default"=""
[HKEY_USERS\S-1-5-21-3463788808-2110998730-415613671-1000\Software\Microsoft\Internet Explorer\SearchUrl]
"Default"=""
:Files
C:\Windows\System32\Tasks\OpenCandyHelper
C:\Windows\System32\Tasks\OpenCandyHelperRun
:Commands
[emptytemp]
- Puis clique sur le bouton Correction en haut à gauche
- Le pc va redémarrer. (si ce n'est pas le cas, fais-le manuellement)
- Poste le rapport de suppression s'il apparait.
Note : le rapport est enregistré sous format ".log", il convient de changer cette extension en ".txt" si tu veux le déposer sur des sites en ligne. S'il n'apparait pas, il se trouve ici : C:\_OTL, sous la forme xxxxxxxx_xxxx.log où x sont la date et l'heure
/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\
-
Bonjour,
Après deux redémarrages après avoir passé le script OTL, toujours ce message... :AAM
Voici le rapport :
http://pjjoint.malekal.com/files.php?id=20120927_c14d14y59z14 (http://pjjoint.malekal.com/files.php?id=20120927_c14d14y59z14)
-
Re,
C'est parce qu'il n'a pas trouvé tout ce que le précédent outil avait affiché.
On va regarder :
Relance OTL
- Ferme toutes tes fenêtres, puis double clique sur OTL.exe pour le lancer.
(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur") - Coche en haut la case devant "Tous les utilisateurs"
- Sous Personnalisation, copie-colle l'ensemble du texte ci-dessous, laisse les autres options par défaut.
netsvcs
msconfig
activex
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache|opencandy
%SYSTEMDRIVE%\*.exe
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\syswow64\*.dll /lockedfiles
%systemroot%\Tasks\*.
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\syswow64\drivers\*.sys /lockedfiles
CREATERESTOREPOINT
- Clique sur le bouton Analyse en haut à gauche puis patiente quelques instants.
- A la fin du scan, seul le rapport OTL.Txt s’ouvrira cette fois.
- Pour les rapports, merci d'utiliser ce service de rapport en ligne (http://security-x.fr/up/) : dépose le fichier via "parcourir", clique sur le bouton "Send in the binary chaos" et poste simplement le lien obtenu dans ta réponse.
Note : Les rapports sont aussi enregistrés sur le bureau
-
Re,
Voici le rapport demandé
http://security-x.fr/up/file.php?h=Rcff60e3cbbfd167a854f8350bf335bf6
-
Re,
C'est un peu incompréhensible tout ça ...
Tiens, supprime ce dossier s'il te plait :
C:_OTL\movedfiles
Puis refais la procédure avec systemlook :
http://forum.security-x.fr/desinfections/erreur-lors-du-demarrage-de-open-candy-ocbrowserhelpeur-dll/msg78928/#msg78928
(pas besoin de le télécharger à nouveau, juste tu le relances avec le script)
-
Re,
Voici le rapport.
J'ai trouvé cette page qui parle de BHO :
http://assiste.com.free.fr/p/abc/a/bho_browser_helper_object.html
J'ai donc enlever IE, mais bon, même scénario...
http://security-x.fr/up/file.php?h=R0b027f2b351c2a8c4aad20a35e7b35f3
-
Re,
Le souci n'est pas une BHO ici en fait, elle a déjà été nettoyée.
Le problème vient de fichiers insérés dans le gestionnaire des tâches automatique. OTL ne les a pas trouvé pour les supprimer alors qu'on les voit encore ici avec cet outil.
Est-ce que tu peux aller ici :
C:\Windows\System32\Tasks
Et me dire si dans ce dossier tu vois des dossiers ou des fichiers nommés :
OpenCandyHelper et OpenCandyHelperRun
Si oui, est-ce que tu peux les supprimer manuellement ?
-
Re,
Oui, les fichiers étaient bien présents. (cf capture)
http://security-x.fr/up/file.php?h=R4abb7ff878ec68a112175878de45b713
Je les ai supprimé manuellement.
Miracle ! Après redémarrage, plus de message d'erreur !
Merci pour le suivi et pour l'aide accordé ! :AAN
PS1 : faut-il aussi supprimer le fichier sidebar execute ?
PS2 : avant de supprimer les fichiers open candy, je les ai scanné avec mon antivirus et avec MBAM, aucun résultat... Normal ?
-
Re,
Bah comme quoi je m'embêter pour rien j'aurais dû commencer direct avec ça ;D
On va nettoyer les outils utilisés :
1) Désinstalle AdwCleaner :
- Relance-le le programme adwcleaner0.exe situé sur ton Bureau.
(Utilisateur de Vista/Windows 7, clique-droit sur le fichier -> Exécuter en tant qu'administrateur)
- Dans la fenêtre principal, choisis l'option Désinstallation, et valide avec "Oui"
- Supprime ensuite le fichier adwcleaner0.exe sur ton bureau.
2) Relance OTL.exe[/color]
(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
- Clique sur "Purge d'outils"
- Valide l'avertissement par "ok" et laisse le pc redémarrer.
PS1 : faut-il aussi supprimer le fichier sidebar execute ?
Non il ne semble pas lié (pas la même date de création)
PS2 : avant de supprimer les fichiers open candy, je les ai scanné avec mon antivirus et avec MBAM, aucun résultat... Normal ?
MBAM n'est pas spécialisé dans les adwares, de plus c'est la première fois que je vois cet adware, donc possible qu'il ne soit pas encore référencé dans les bases de donnée.
Je vais le remonter au développeur d'Adwcleaner pour ajout.
Est-ce que tu sais avec quoi ce sponsor s'est installé ?
-
Ok, merci beaucoup ;)
Non, je n'ai pas identifié avec quel logiciel ce sponsor a pu être installé... Les derniers logiciels que j'ai installé (hors site de l'éditeur) se résument à un convertisseur image->pdf si je me souviens bien...
Bref, Merci en tous cas pour votre aide !
-
Re,
Ok, tant pis, juste donne-moi pour voir le lien de cet utilitaire, je vérifierais quand même s'il te plait ;)
Pour terminer :
Pour aller plus loin dans ta protection et éviter de te faire réinfecter voici quelques conseils supplémentaires :
- Attention lors de l'installation de logiciel :
Veiller à toujours lire les conditions d'utilisation (CLUF), afin de déceler la gestion des données personnelles, l'installation de sponsors publicitaires ou tout autre atteintes à la vie privée. Refuser les toolbars et autres addons proposés.
A lire ! (http://forum.security-x.fr/securite-generale/stop-la-pub/)
- Firefox (http://www.mozilla-europe.org/fr/firefox/) et/ou Chrome (http://www.google.fr/chrome?hl=fr) offrent une meilleure sécurité par rapport à Internet Explorer, surtout si on les complète de quelques plugins très intéressant : Noscript (https://addons.mozilla.org/fr/firefox/addon/722) et WOT (https://addons.mozilla.org/fr/firefox/addon/3456) par exemple. (pour Chrome : NoScript (https://chrome.google.com/webstore/detail/odjhifogjcknibkahlpidmdajjpkkcfn) ; WOT (https://chrome.google.com/webstore/detail/bhmmomiinigofkjcapegjjndpbikblnp?hl=fr) )
- Maintenir ses logiciels et son système à jour :
De nombreuses infections sont dû à des failles de windows, mais aussi de logiciel tiers, comme Sun Java, Adobe Acrobat Reader, etc
Tu peux faire un scan de vulnérabilité (http://secunia.com/vulnerability_scanning/online/) pour connaitre tes logiciels présentant des failles non corrigées ou à mettre à jour.
Enfin, le plus important reste ton comportement sur ton PC, tu restes la plus importante protection : Évites les comportement à risque : P2P, cracks, téléchargements et installations douteux via des pubs, les messageries instantanées, ou des sites inconnu, sites pornographiques.
A lire ! (http://www.infos-du-net.com/forum/id-2134891/prevention-protection.html)
Ici aussi ! (http://www.infos-du-net.com/forum/275481-11-dossier-prevention-protection)
Tu peux indiquer ton sujet "réglé" en cliquant sur le bouton "modifier" (en haut à droite) dans ton tout premier message.
-> Ajoute ensuite "résolu" à coté de ton titre et valide.
A bientôt sur Security-X
:AAN