Security-X

Forum Security-X => Désinfections => Discussion démarrée par: jazzy le mai 19, 2013, 09:44:34

Titre: infection Office central de lutte ... version webcam en haut à droite [Résolu]
Posté par: jazzy le mai 19, 2013, 09:44:34
Bonjour Hyunkel,

Cela fait une demie-journée que je rame sur le sujet.

Mon PC est infecté par ce virus "Office central de lutte ... etc" depuis hier.

J'ai utilisé le liveCD de Malekal pour essayer de me tirer d'affaire (à partir d'une clé USB) en faisant booter le système sur un port USB, sans succès.

Je crois avoir bien respecté les consignes données mais rien n'y fait (ni Roguekiller, ni malwarebytes).

Cependant je n'avais pas le script adéquate à exécuter par runscan avec OTLPE.
L'ayant trouvé dans votre réponse n°1, je l'ai exécuté.
En voici le rapport http://up.security-x.fr/file.php?h=Rb620ace15b68b955e4312f4ae607a00a

Est-ce grave docteur ? (bon c'est sûr pour le côté anti-virus pas à jour et la navigation sans discernement dernièrement, je vais certainement avoir droit à quelques petits rappels ...).
Que puis-je faire d'autre ?

Merci d'avance.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 19, 2013, 11:31:57
Bonjour,

Nous allons traiter cela en deux étapes, on va d'abord nettoyer le principal via le LiveCD puis on repassera en mode normal pour finir le nettoyage.

Redémarre ton PC en utilisant le LiveCD venant d'etre créé


Note : En fonction de ton type de connexion Internet (Ethernet), tu dois être en mesure d'accéder au Net, si c'est le cas tu peux accéder à ce sujet plus facilement, sinon, tu devras copier les résultats sur un support (clé usb) pour les transférer sur un PC connecté.




Code: [Sélectionner]
:OTL
O4 - HKU\jerome.artaz_ON_C..\Run: [qcgce2mrvjq91kk1e7pnbb19m52fx] C:\Users\jerome.artaz\Mes documents\38b94a67.exe ()
O20 - HKU\jerome.artaz_ON_C Winlogon: Shell - (cmd.exe) - cmd.exe (Microsoft Corporation)
[2013-05-17 23:57:37 | 001,054,324 | ---- | M] () -- C:\Users\jerome.artaz\AppData\Roaming\2433f433
[2013-05-17 23:57:24 | 000,027,136 | ---- | M] () -- C:\Users\jerome.artaz\Documents\38b94a67.exe

:Commands
[emptytemp]




Note : Si tu dois repasser en mode normal, ferme l'environnement comme un windows normal, puis enlève le CD et redémarre normalement.

Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)

/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\




Tu devrais maintenant être en mesure de démarrer à nouveau ton pc normalement, confirme-moi que c'est bon, puis nous poursuivrons.

 :AAN
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 19, 2013, 12:13:27
Re,

Le script est exécuté. Voici le rapport produit http://up.security-x.fr/file.php?h=Rb7a4eda9138d82d23ca749be0e60a815

Au redémarrage j'ai actuellement un fond d'écran noir avec une fenêtre cmd.exe ouverte. La dernière instruction est C:\Windows\system32\

Merci, il y a déjà du mieux.

Je surveille pour la suite.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 19, 2013, 15:18:49
Re,

Et en mode sans échec tu peux démarrer normalement ?
http://windows.microsoft.com/fr-fr/windows7/start-your-computer-in-safe-mode
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 19, 2013, 15:27:05
Non, même résultat.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 19, 2013, 15:45:01
Re,

Refais ceci alors s'il te plait :

Redémarre ton PC en utilisant le LiveCD venant d'etre créé


Note : En fonction de ton type de connexion Internet (Ethernet), tu dois être en mesure d'accéder au Net, si c'est le cas tu peux accéder à ce sujet plus facilement, sinon, tu devras copier les résultats sur un support (clé usb) pour les transférer sur un PC connecté.



Code: [Sélectionner]
netsvcs
safebootminimal
safebootnetwork
msconfig
drivers32
/md5start
explorer.exe
lsass.exe
lsm.exe
userinit.exe
winlogon.exe
wininit.exe
csrss.exe
smss.exe
svchost.exe
services.exe
spoolsv.exe
alg.exe
ctfmon.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
midimap.dll
sptd.sys
spsys.sys
iaStor.sys
nvstor.sys
atapi.sys
i8042prt.sys
cdrom.sys
disk.sys
ndis.sys
tcpip.sys
mountmgr.sys
aec.sys
cdaudio.sys
rasacd.sys
redbook.sys
ipsec.sys
mrxsmb10.sys
mrxsmb20.sys
termdd.sys
mrxsmb.sys
win32k.sys
storport.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
nvrd32.sys
usbscan.sys
usbprint.sys
sfloppy.sys
changer.sys
/md5stop
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles

Note : Si tu dois repasser en mode normal, ferme l'environnement comme un windows normal, puis enlève le CD et redémarre normalement.

Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 19, 2013, 18:13:13
Re,

Ci-joint le rapport du dernier scan
http://up.security-x.fr/file.php?h=R4e30e935b7aca82ef4c4afbd277a23e1

Je sors un moment.

Merci d'avance pour la suite
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 19, 2013, 19:27:57
Re,

étrange certaines clés supprimées sont revenu ...

Redémarre ton PC en utilisant le LiveCD venant d'etre créé


Note : En fonction de ton type de connexion Internet (Ethernet), tu dois être en mesure d'accéder au Net, si c'est le cas tu peux accéder à ce sujet plus facilement, sinon, tu devras copier les résultats sur un support (clé usb) pour les transférer sur un PC connecté.




Code: [Sélectionner]
:OTL
O4 - HKU\jerome.artaz_ON_C..\Run: [qcgce2mrvjq91kk1e7pnbb19m52fx] C:\Users\jerome.artaz\Documents\38b94a67.exe File not found
O20 - HKU\jerome.artaz_ON_C Winlogon: Shell - (cmd.exe) - cmd.exe (Microsoft Corporation)

:Reg
[HKEY_USERS\jerome.artaz_ON_C\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"qcgce2mrvjq91kk1e7pnbb19m52fx"=-
[HKEY_USERS\jerome.artaz_ON_C\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="C:\Windows\SysWow64\explorer.exe"

:Commands
[emptytemp]




Note : Si tu dois repasser en mode normal, ferme l'environnement comme un windows normal, puis enlève le CD et redémarre normalement.

Une aide à l'utilisation ici (http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport/msg60884/#msg60884)

/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\


Dis-moi si cette fois-ci tu peux démarrer normalement, sinon on fera autrement.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 19, 2013, 20:57:19
Bonsoir,

Voici le rapport. http://up.security-x.fr/file.php?h=R16312cfdd64cd8af4161701e61a3388d

Toujours avec l'écran cmd.exe après redémarrage.

Avant C:\Windows\system32>
figure un autre message que je n'avais pas mentionné précédemment (désolé d'avoir zappé), voir ci-dessous :

"C:\Users\prenom.nom\Documents\38b94a67.exe" n'est pas reconnu en tant que commande interne ou externe, un programme exécutable ou un fichier de commandes.

PS : j'ai anonymisé prenom.nom
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 19, 2013, 21:42:39
Re,

OK, quelque chose remet une partie de l'infection, mais là je ne vois pas quoi, on va donc tester autrement :

Télécharge Farbar Recovery Scan Tool x64 (http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool-64-bit/dl/64/) (de Farbar) et enregistre-le sur une clé USB.

Note : si le téléchargement ne démarre pas automatiquement, cliquer sur "click here"

Branche la clé USB dans le PC infecté.

Ouvre les Options de récupération système.

Pour ouvrir les Options de récupération système depuis les Options de démarrage avancées:
Dans le menu Options de récupération système tu verras les options suivantes:
Réparation du démarrage
Restaurer le système
Restauration de l'ordinateur Windows
Outil Diagnostics de la mémoire Windows
Invite de commandes
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 19, 2013, 23:30:53
Bonsoir,

J'ai bien téléchargé l'exécutable de Farbar sur ma clé.

Désolé, je n'arrive pas à obtenir les Options de récupération système.

Au démarrage, pendant l'apparition des options F2 et F12, je tape sur F8, j'accède à Advanced Boot Options mais je ne vois pas de choix pour l'invite de commandes.

Je suis perplexe.

A demain.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 19, 2013, 23:44:33
Re bonsoir,

Je ne suis pas sûr d'avoir bien compris la séquence.

Démarrage PC avec clé USB déjà installée (mais attention, comme le PC doit booter sur le port USB, il m'installe le bureau REATOGO ?).
Tapoter sur F8 pendant le setup ?

Je viens de réessayer, les Options de démarrage avancées apparaissent en français maintenant, mais toujours pas d'élément de menu Réparer l'ordinateur.

A demain.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 20, 2013, 09:26:28
Re,

Non il faut un clé USB non bootable, pas celle ou tu as installé OTLPE si tu l'as installé sur une clé usb ;)
Cette clé USB là ne va servir que de support d'écriture

Qu'est-ce que tu obtiens en tapotant F8 ?
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 20, 2013, 12:13:14
Bonjour,

En tapotant sur F8 au démarrage, j'obtiens l'écran Advanced Boot Options (en anglais cette fois-ci) avec les choix suivants :
Safe Mode
Safe Mode with Networking
Safe Mode with Command Prompt

Enable Boot Logging
Enable low-resolution video (640x480)
Directory Services Restore Mode
Debugging Mode
Disable automatic restart on system failure
Disable Driver Signature Enforcement

Start Windows Normally

J'ai les choix Choose (par Enter) et Cancel (par ESC)

Je vais m'absenter une partie de l'après-midi par contre je serai plus disponible et "à demeure" en fin d'après-midi pour poursuivre.

Merci d'avance pour le temps passé et l'aide préciseuse apportée.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 20, 2013, 13:29:07
Re,

Normalement tu dois avoir l'option "Repair Your Computer" juste au dessus du choix "Safe Mode", comme ceci :

(https://forum.security-x.fr/proxy.php?request=http%3A%2F%2F0.tqn.com%2Fd%2Fpcsupport%2F1%2F0%2FX%2F4%2F-%2F-%2Fsafe-mode-windows-7-2.jpg&hash=41ac783c5ccb8e82c10c7916eb2dac53be6f1c7f)
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 20, 2013, 17:29:54
Bonjour,

Voulant vérifier l'absence du choix Repair Your Computer, j'ai redémarré le poste. Ayant loupé de tapoter assez vite sur F8, j'ai provoqué l'arrêt du poste. Il m'a alors installé 6 mises à jour (! ... je me demande d'où elles sortent ?) puis est revenu à la fenêtre cmd.exe toujours avec le même contenu.

J'ai de nouveau arrêté le poste, redémarré et fait F8 à temps. J'arrive bien sur les options de boot avancées. Elles se présentent comme dans ta copie d'écran sauf l'option Repair Your Computer qui est toujours absente.

Voilà j'en suis là.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 20, 2013, 18:57:23
Re,

Ce Windows 7 Ultimate, il est légitime ?

C'est une mise à niveau ou une installation d'origine ?

Tu as un DVD winows 7 Original sous la main ?

Sinon je te donnerais un lien pour télécharger un DVD de récupération pour lancer le mode voulu.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 20, 2013, 19:27:43
Oui c'est W7 ultimate.

L'instal a été faite par un type de ma boite à partir des DVD dont nous disposons (et je pense que nous avons les licenses pour). Par contre le poste est à moi (je l'ai acheté et j'ai une compensation mensuelle comme élément de salaire ... l'un dans l'autre cela se vaut financièrement et j'ai pu choisir la machine que je voulais en particulier le disque SSD pour démarrer vite [en janv 2012]).

Le poste était livré évidemment avec du W7 mais x86 qui n'a pas été supprimé.

Par contre je n'ai pas le DVD sous la main ... comme le gugus en question est parti et que c'est le bazar au sein de ce qui reste du service info, je ne peux garantir d'avoir le DVD ad hoc (normalement je devrais et de toute façon que demain).

S'il n'est pas primordial de faire l'original, je prends ta solution (en espérant avoir un poste opérationnel d'ici demain). Je reste dispo ce soir pour que l'on échange.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 20, 2013, 19:32:57
Re,

Alors suis cette procédure pour créer le DVD winRE et le lancer :

http://www.inforumatique.fr/forum/cd-de-la-console-de-reparation-winre-t4896.html

Tu devrais retrouver la suite de la procédure à faire ensuite avec la clé usb et FRST à partir d'ici :

Citer
Dans le menu Options de récupération système tu verras les options suivantes:
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 20, 2013, 19:38:00
Au fait question matériel à domicile, voici les pauvres choses dont je dispose :
- un vieux dell 520 avec lequel je t'écris depuis un clavier externe parce que la nappe de celui d'origine est naze
- une clé USB d'un Go sur laquelle se trouve le Reatogo de Malekal et les fichiers que nous avons déjà échangés
- une vielle clé USB de 128 Mo dont le port est "fatigué"
- un disque externe de 500 Go sur lequel se trouve la très grande majorité de mes données et que je ne connecte plus au poste infecté pour l'instant (m'enfin s'il le fallait ...)
Aucun moyen de graver puisque le seul graveur est sur le poste infecté. Bref question matos, c'est plutôt la misère ... te marre pas.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 20, 2013, 19:47:39
Re,

Je ne me marre pas, nous ne demandons jamais à un utilisateur d'avoir un magasin chez lui avec 4 pc prêt à l'emploi.

Malheureusement, il faut comprendre aussi que devant certaines infections il nous faut user de stratagèmes qui demandent des procédures.

On va tester autre chose alors.

démarre le pc normalement, jusqu'à arriver à l'écran noir et l'invite de commande.
Tape :
rstrui.exe
Valide avec la touche "entrée"

Est-ce qu'une fenêtre de restauration du système s'ouvre ?

Si oui, lance la procédure en choisissant un point de restauration antérieur à l'arrivée de l'infection, et laisse faire pour voir si le pc redémarre "normalement"
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 20, 2013, 20:03:42
rstrui.exe marche. J'obtiens bien une fenêtre de restauration par contre il ne me propose que deux points de restauration :
- celle qui doit correspondre aux 6 mises à jour effectuées (aujourd'hui à 17:11)
- un point de restauration automatique daté du 19/05 à 12:31 mais mon PC était déjà infecté (la veille dans la soirée).

Au fait je dispose des DVD de sauvegarde recommandée par Acer et que j'avais effectuée avant de remettre mon poste au type qui a installé W7 ultimate.
Le 19/05 j'avais essayé de ré-installé mon poste et cela n'avait pas marché faute de place sur le disque ... j'ai peur que le point de restauration automatique du 19/05 à 12:31 ne date de ce moment-là ...
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 20, 2013, 20:04:32
toujours ouvert Restauration du système, en attente de ta réponse
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 20, 2013, 21:47:06
Re,

Tu as pensé à cocher en bas de la fenêtre :
"Afficher d'autres points de restauration" ?

Par défaut il n'affiche que les deux derniers points, mais tu dois en avoir d'autre.

On va évité les DVD de recovery, car là, c'est un formatage du pc sinon.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 20, 2013, 23:01:50
Oui j'avais essayé de cocher "affciher d'autres points de restauration".
Il n'en affiche pas d'autres.

Que se passe-t-il si je prends la plus ancienne et que je clique sur Suivant ?
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 21, 2013, 00:26:32
Re,

Il restaurera à cette date.
Mais si l'infection était déjà présente et le démarrage bloqué, ça ne fera rien de plus.

Tu peux toujours tester.

Juste une question avant, si sur l'écran d'invite de commande tu tapes : (valide avec "entrée" à chaque fin de ligne)
cd \
cd windows
explorer.exe

Cela lance ton bureau ou pas ?
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 21, 2013, 16:56:05
Bonjour Hyunkel,

Désolé de ne pas avoir pu donner signe de vie avant (en particulier pas d'internet jusqu'à 14h00).

A partir de l'invite de commandes et de la suite de commandes indiquée précédemment le bureau se lance bien (ouf !). Il a l'aspect habituel.

J'écris d'ailleurs depuis ma machine.
Wifi opérationnel.
J'ai lancé plusieurs applicatifs pour voir : Chrome, Word, View NX (un logiciel propriétaire Nikon pour visionner des photos). Tout semble opérationnel.

Par contre Internet Explorer ne fonctionne pas.

J'ai aussi redémarré la machine pour voir. Je reviens à l'invite de commandes (où je peux de nouveau saisir les commandes ad hoc).

Voilà où cela en est.

J'ai internet jusqu'à 17h45 puis à partir de 20h00 environ (encore une fois désolé pour les échanges un peu décousus).
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 21, 2013, 19:28:50
Re,

Ok, une fois le bureau lancé, en ayant téléchargé l'outil indiqué ci-dessous via une clé usb, fait ceci :

Télécharge OTL (http://oldtimer.geekstogo.com/OTL.exe) (de Old Timer) sur ton bureau.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 21, 2013, 20:43:32
Ci-joint les deux rapports OTL et Extrats

http://up.security-x.fr/file.php?h=Rece685697d6f7cdb852f1af65596a31e

http://up.security-x.fr/file.php?h=R9ec42268b2508de0f1c87de884f79b97

PS : ils étaient enregistrés dans un dossier Téléchargements de l'utilisateur connecté
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 21, 2013, 22:08:02
Re,

L'emplacement des rapports, c'est parce qu'OTL a été lancé de ce dossier téléchargement aussi ;)

On va voir si on peut corriger :
Comme toujours, lance explorer.exe puis fait ceci :

1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :

Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure

- Bing Bar  (barre d'outil, auf réelle utilité)
- 01NET.com Toolbar (barre sponsorisée par un adware)
- WiseConvert 1.5 Toolbar (idem)

2) Relance  OTL.exe

(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")

/!\ Attention, utilisateur d'Avast! ou d'autres antivirus, ne lancez pas OTL en mode sandbox /!\


Code: [Sélectionner]

:OTL
IE - HKLM\..\URLSearchHook: {19803860-b306-423c-bbb5-f60a7d82cde5} - C:\Program Files (x86)\WiseConvert_1.5\prxtbWise.dll (Conduit Ltd.)
IE - HKLM\..\URLSearchHook: {8e5025c2-8ea3-430d-80b8-a14151068a6d} - C:\Program Files (x86)\01NET.com\prxtb01NE.dll (Conduit Ltd.)
IE - HKU\S-1-5-21-145244581-1453878001-891584314-1410\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com?SearchSource=10&ctid=CT3242339
IE - HKU\S-1-5-21-145244581-1453878001-891584314-1410\..\URLSearchHook: {19803860-b306-423c-bbb5-f60a7d82cde5} - C:\Program Files (x86)\WiseConvert_1.5\prxtbWise.dll (Conduit Ltd.)
IE - HKU\S-1-5-21-145244581-1453878001-891584314-1410\..\URLSearchHook: {8e5025c2-8ea3-430d-80b8-a14151068a6d} - C:\Program Files (x86)\01NET.com\prxtb01NE.dll (Conduit Ltd.)
IE - HKU\S-1-5-21-145244581-1453878001-891584314-1410\..\SearchScopes\{C48DC4D0-33E8-413B-A275-3D26612D82D9}: "URL" = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT3242339
FF - HKCU\Software\MozillaPlugins\@citrixonline.com/appdetectorplugin: C:\Users\jerome.artaz\AppData\Local\Citrix\Plugins\94\npappdetector.dll File not found
[2012/08/31 12:19:43 | 000,000,000 | ---D | M] (01NET.com) -- C:\Users\jerome.artaz\AppData\Roaming\mozilla\Firefox\extensions\{8e5025c2-8ea3-430d-80b8-a14151068a6d}
O2 - BHO: (WiseConvert 1.5 Toolbar) - {19803860-b306-423c-bbb5-f60a7d82cde5} - C:\Program Files (x86)\WiseConvert_1.5\prxtbWise.dll (Conduit Ltd.)
O2 - BHO: (01NET.com Toolbar) - {8e5025c2-8ea3-430d-80b8-a14151068a6d} - C:\Program Files (x86)\01NET.com\prxtb01NE.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (WiseConvert 1.5 Toolbar) - {19803860-b306-423c-bbb5-f60a7d82cde5} - C:\Program Files (x86)\WiseConvert_1.5\prxtbWise.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (01NET.com Toolbar) - {8e5025c2-8ea3-430d-80b8-a14151068a6d} - C:\Program Files (x86)\01NET.com\prxtb01NE.dll (Conduit Ltd.)
O3 - HKU\S-1-5-21-145244581-1453878001-891584314-1410\..\Toolbar\WebBrowser: (WiseConvert 1.5 Toolbar) - {19803860-B306-423C-BBB5-F60A7D82CDE5} - C:\Program Files (x86)\WiseConvert_1.5\prxtbWise.dll (Conduit Ltd.)
O3 - HKU\S-1-5-21-145244581-1453878001-891584314-1410\..\Toolbar\WebBrowser: (01NET.com Toolbar) - {8E5025C2-8EA3-430D-80B8-A14151068A6D} - C:\Program Files (x86)\01NET.com\prxtb01NE.dll (Conduit Ltd.)
O4 - HKU\S-1-5-21-145244581-1453878001-891584314-1410..\Run: [qcgce2mrvjq91kk1e7pnbb19m52fx] C:\Users\jerome.artaz\Documents\38b94a67.exe File not found
O20 - HKU\S-1-5-21-145244581-1453878001-891584314-1410 Winlogon: Shell - (cmd.exe) - C:\Windows\SysWow64\cmd.exe (Microsoft Corporation)
[2013/05/17 23:57:37 | 001,054,314 | ---- | M] () -- C:\ProgramData\2433f433

:Reg
[HKU\S-1-5-21-145244581-1453878001-891584314-1410\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="C:\Windows\SysWow64\explorer.exe"

:Files
C:\Program Files (x86)\WiseConvert_1.5
C:\Program Files (x86)\01NET.com


:Commands
[emptytemp]



Note :  S'il n'apparait pas, il se trouve ici : C:\_OTL, sous la forme xxxxxxxx_xxxx.log où x sont la date et l'heure

/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 21, 2013, 22:43:54
Cela a l'air de marcher (j'ai redémarré une 2ème fois ... l'étourdi avait oublié la clé du Reatogo ... il a donc booté dessus le 1er coup).

La 2ème fois le poste a démarré normalement.

Ci-contre le rapport http://up.security-x.fr/file.php?h=Ra657381dd99ac9036813fce68f81bcbb

Remarque : sur le bureau j'ai la présence de deux fichiers desktop.ini, l'un daté du 14 juillet 2009 (pour toutes les propriétés) ! l'autre dont la dernière modif date de ce jour à 22h02 ... ?
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 21, 2013, 22:48:35
Re,

Laisse les fichiers desktop.ini, ce sont des fichiers système caché normalement, on remettra l'affichage pour qu'il disparaisse ensuite ;)

Tu peux te connecter de nouveau ou pas ?
Sinon, continu à télécharger sur l'autre pc et transfère avec la clé usb.

On va vérifier deux-trois trucs maintenant :

1) Télécharge AdwCleaner (http://www.bleepingcomputer.com/download/adwcleaner/dl/125/) (de Xplode) sur ton Bureau.



2) Télécharge MalwareByte's Anti-Malware (http://www.inforumatique.fr/index.php/securite/anti-malware-et-anti-rootkit/item/22-malwarebytes-anti-malware.html) :

Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 21, 2013, 22:54:48
Depuis 17h00 je t'écris du poste infecté puisque cela marche avec google chrome. ;)

Je m'occupe adwcleaner et de Malawarebytes
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 21, 2013, 23:02:40
Ci-joint déjà le rapport adwCleaner http://up.security-x.fr/file.php?h=R1f2c90ac5809e99dd937ec516d3e351f

Je passe à Malawarebytes
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 21, 2013, 23:39:58
Ci-joint le rapport malwarebytes. http://up.security-x.fr/file.php?h=Rfdeca33e21535ca0cb60b20048c6121a

Vu le contenu, cela a l'air d'aller.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 22, 2013, 12:00:59
Re,

Oui, c'est ok, on va nettoyer les outils utilisés, puis mettre à jour ton système et les logiciels car c'est par là que l'infection est venue :

Mais avant juste un truc pour vérifier :

Télécharge Farbar Service Scanner (http://www.bleepingcomputer.com/download/farbar-service-scanner/dl/62/) (de Farbar) sur ton bureau.



(S'il n'apparait pas, tu le trouveras à l'emplacement du fichier FSS.exe, sous le nom FSS.txt )
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 22, 2013, 12:35:56
Bonjour,

Ci-joint le rapport FSS  http://up.security-x.fr/file.php?h=R359bbc5b9a3d7bd266120ccad233a629

A bientôt.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 22, 2013, 14:01:24
Re,

Je vais paraître exigeant mais il serait souhaitable que je puisse réutiliser IE assez vite pour accéder à certaines applications.

Merci d'avance.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 22, 2013, 14:13:06
Re,

On va avancer en ce sens, mais je rappel que nous sommes un forum d'entraide bénévole, pas un service informatique professionnel.
Je tiens par ailleurs à préciser que ce genre d'infection peut selon les variantes faire du vol de donnée, donc si ce pc comportait des données sensible, notamment de connexion à des sites/services sécurisé, il convient de modifier au plus vite les mots de passe.

à faire :


Télécharge Windows Repair (http://www.tweaking.com/files/setups/tweaking.com_windows_repair_aio_setup.exe) (de Tweaking.com) sur ton bureau.



(S'il n'apparait pas, tu le trouveras à l'emplacement du fichier FSS.exe, sous le nom FSS.txt )


Indique-moi aussi si tu as de nouveau accès à Internet avec IE.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 22, 2013, 15:22:32
Re,

Ci-joint le rapport FSS  http://up.security-x.fr/file.php?h=R95c44e1991464f4bd28d32aa6791eb50

IE est opérationnel.

A bientôt.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 22, 2013, 17:21:23
Re,

Ok, très bien alors.

Pourrais-tu me dire avant que l'on passe à la conclusion, si tu vois des messages d'erreur dans le centre de maintenance pour la sécurité ?
(Menu "Démarrer" -> panneau de configuration" -> centre maintenance -> Sécurité )
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 22, 2013, 17:57:06
Oui mais je n'ai pas le temps de détailler avant demain matin.

A bientôt.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: jazzy le mai 23, 2013, 09:42:59
Bonjour,

Concernant le centre de maintenance pour la sécurité il y a 3 messages :
- Sécurité : Windows Update : WU n'est configuré pour n'installer les mises à jour que si vous les autorisez. Ces paramètres sont gérés par votre admin système. Il propose de désactiver les messages concernant WU

- Maintenance : Installer le pilote pour USB controller

- Maintenance : Configurer la sauvegarde. Vos fichiers ne sont pas sauvegardés.

A bientôt.
Titre: Re : infection Office central de lutte ... version webcam en haut à droite
Posté par: hyunkel30 le mai 23, 2013, 09:54:50
Re,

Ok, pour le premier, il faut aller dans Windows Update (menu Démarrer -> Windows Update)

Puis "Modifier les paramètres" dans le menu de gauche
Et choisir dans le menu déroulant "Installer les mises à jour automatiquement"

Concernant les deux autres messages, c'est à toi de faire le nécessaire si tu le souhaites.

On passe au nettoyage des outils utilisés :

1) Désinstalle AdwCleaner :