Auteur Sujet: Google chrome "Utiliser un proxy" se coche tout seul (Lu 44038 fois)

cyriline · « **le:** décembre 07, 2013, 13:54:56 »

Bonjour,

J'ai un PC avec Windows 7 (système d'exploitation 64 bits) qui rencontrait des problèmes de lenteur.
J'ai remarqué que ce PC était infecté par le moteur de recherche ask. Je ne pouvais plus choisir ma page d'accueil dans Firefox ou Chrome : "ask.com" apparaissait toujours par défaut. J'ai réussi à désinstallé le moteur de recherche "ask"et ensuite j'ai exécuté Adwcleaner (après avoir chercher des infos sur le forum). Je pense avoir réussi à éliminer "ask", il n'apparait plus dans les moteurs de recherche et je peux choisir la page d'accueil que je souhaite. Et il n'y a plus de lenteur particulière...

Par contre maintenant j'ai un autre soucis qui ressemble à cette 1ère infection : Google Chrome ne peut pas se connecter à Internet. Il affiche le message "impossible de se connecter au serveur proxy". J'ai trouvé dans les paramètres réseau une case à cocher " Utiliser un serveur proxy pour votre réseau local". Je décoche cette case puis je valide, mais quand je rouvre la fenêtre elle est encore cochée!!
J'ai Firefox qui fonctionne correctement et cette case n'est pas cochée. Donc je pense qu'il y a un soucis avec Chrome. Est-ce que quelqu'un peut me dire quoi faire?
J'ai aussi essayé de désinstaller puis réinstaller Chrome, c'est toujours pareil...

Merci

hyunkel30 · « **Réponse #1 le:** décembre 07, 2013, 14:23:36 »

Bonjour cyriline,

Bienvenue sur Security-X,

Nous allons regarder cela en commençant par un diagnostic :

Télécharge Farbar Recovery Scan Tool (de Farbar) sur ton Bureau.

Attention: Tu dois lancer la version compatible avec ton système : 32 ou 64bits.

Sous IE9 ou IE10, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

Double-clique sur l'outil pour le lancer. Quand l'outil se lance, clique sur Yes pour accepter le disclamer.
Clique sur le bouton Scan.
L'outil va créer un rapport nommé FRST.txt, enregistré dans le même dossier que l'outil.
A son premier lancement, l'outil va aussi créer un fichier nommé Addition.txt).

Poste les deux rapports générés.

Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
Une aide à l'utilisation ici

cyriline · « **Réponse #2 le:** décembre 07, 2013, 15:11:26 »

Merci!
Voici le 1er fichier généré FRST.txt : http://up.security-x.fr/file.php?h=R7594418e4d3b4250b5a1f1edc6d9082b
et le 2d addition.txt : http://up.security-x.fr/file.php?h=R57e6404d723c569665387c7942724614

hyunkel30 · « **Réponse #3 le:** décembre 07, 2013, 17:42:05 »

Re,

C'est toi qui a installé ce programme ?
GoToAssist 8.0.0.514

Concernant le proxy, c'est à priori lié à ton contrôle parental Orange :

Citer

S2 OPTENET_FILTER; C:\Program Files (x86)\Controle Parental\bin\optproxy.exe [649224 2009-01-09] (Orange)

cyriline · « **Réponse #4 le:** décembre 07, 2013, 18:20:44 »

Non ce n'est pas moi qui est installé GoToAssit. Est-ce que je peux le supprimer?

J'essaye de désinstaller le contrôle parental Orange et j'ai justement un message d'erreur : "Microsoft Visual C++ Runtime Library : Runtime Error! Program : C:\Program Files (x86)\Controle Parental\bin\optproxy.exe Abnormal program termination."
Et le controle parental ne se désinstalle pas...
Y a t'il un autre moyen pour supprimer ce contrôle parental?

hyunkel30 · « **Réponse #5 le:** décembre 07, 2013, 19:24:49 »

Re,

Oui tu peux désinstaller GoToAssist

Pour le contrôle parental d'Orange essaye de désinstaller en mode sans échec :

Aide : Comment faire démarrer son ordinateur en mode sans échec.

cyriline · « **Réponse #6 le:** décembre 07, 2013, 20:13:01 »

J'ai essayé en mode sans échec et j'ai le même message...
Il y a une autre solution?

hyunkel30 · « **Réponse #7 le:** décembre 07, 2013, 22:18:15 »

Re,

Ok, on va forcer les choses, même si j'aime pas trop cela pour les contrôle parentaux, car parfois un peu "trop" implanté dans le système ...

1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :

Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure

- McAfee Security Scan Plus (inutile, installé en sponsor)
- Orange Inside (sauf réelle utilité)
- Orange Installeur version 1.2.5.0 (idem)

[Info]Suite Windows Live : Windows live messenger ayant été remplacé par Skype, il peut être intéressant dès à présent de supprimer les logiciels devenus inutile de la suite Windows Live.
Pour cela, dans la liste des programmes, cliquer sur "Windows Live"/"Installation Windows Live" puis "Désinstaller" et choisir les logiciels à supprimer (ex : Windows Live Messenger, Complément Messenger, Windows Live Writer, Windows Live Mesh, etc ...)

~~~~~~~~~~~~~~~~~~~~~~~~~~

/!\ Crée un point de restauration manuel avant d'appliquer le correctif - Tutoriel en images /!\

Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes

Code: [Sélectionner]

start
(Orange) C:\Users\Bryan\AppData\Roaming\Orange\OrangeInside\one\OrangeInside.exe
(Orange) C:\Program Files (x86)\Controle Parental\bin\OPTGui.exe
HKLM-x32\...\RunOnce: ["C:\Program Files (x86)\Dell DataSafe Local Backup\Components\DSUpdate\DSUpdate.exe"] - "C:\Program Files (x86)\Dell DataSafe Local Backup\Components\DSUpdate\DSUpdate.exe" [559616 2011-10-05] (Dell)
Winlogon\Notify\GoToAssist: C:\Program Files (x86)\Citrix\GoToAssist\514\G2AWinLogon_x64.dll [X]
HKCU\...\Run: [msnmsgr] - C:\Program Files (x86)\Windows Live\Messenger\msnmsgr.exe [4280184 2012-03-08] (Microsoft Corporation)
HKLM-x32\...\Run: [OPTENET_GUI] - C:\Program Files (x86)\Controle Parental\bin\OPTGui.exe [424608 2008-09-03] (Orange)
ProxyEnable: Internet Explorer proxy is enabled.
ProxyServer: http=127.0.0.1:56847
Toolbar: HKCU - No Name - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - No File
Toolbar: HKCU - No Name - {D3028143-6145-4318-99D3-3EDCE54A95A9} - No File
Toolbar: HKCU - No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No File 
S2 OPTENET_FILTER; C:\Program Files (x86)\Controle Parental\bin\optproxy.exe [649224 2009-01-09] (Orange)
C:\Program Files (x86)\Controle Parental
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\GoToAssist => ""="Service"
end

Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
Ferme toutes les applications, y compris ton navigateur
Double-clique sur FRST.exe
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\

cyriline · « **Réponse #8 le:** décembre 08, 2013, 16:50:21 »

Bonjour,

J'ai passé la soirée à essayer de désinstaller "McAfee Security Scan Plus"...je n'y arrive pas!
J'ai exécuté FRST (après avoir créer le fichier fixlist.txt).
Voici le rapport : http://up.security-x.fr/file.php?h=Rc524ed7f1382c8c1c9e90f65f1495b71

hyunkel30 · « **Réponse #9 le:** décembre 08, 2013, 18:05:41 »

Re,

Dis-moi quelle erreur tu rencontres lorsque tu tentes de désinstaller McAfee ?
Teste aussi en mode sans échec sa désinstallation.

Dis-moi aussi si c'est ok à présent pour le proxy

cyriline · « **Réponse #10 le:** décembre 08, 2013, 21:39:54 »

Pour désinstaller McAfee je n'ai pas de message d'erreur...Je clique sur "désinstallation" et j'attends, rien ne se passe. Si je reclique quelques minutes après sur "désinstallation" (pour ce programme ou un autre), cela m'affiche : "Veuillez attendre la fin de l'installation ou de la modification du programme en cours". Je l'ai laissé toute le nuit et ça n'a rien désinstallé...C'est la même chose en mode sans échec. Je suppose qu'il y a un problème mais où??

Pour le proxy j'ai toujours le même problème avec Chrome. Mais Firefox fonctionne bien, c'est bizarre, non?

hyunkel30 · « **Réponse #11 le:** décembre 08, 2013, 22:16:54 »

Re,

En fait Firefox utilise ses propres configuration de proxy, Chrome quand à lui utilise les paramètres de connexion et proxy du système, donc d'Internet Explorer.
Or, normalement j'ai réinitialisé les proxy avec le script de FRST

Pour vérifier, fait ceci :
http://forum.security-x.fr/tutoriels-317/(tutoriel)-desactiver-un-proxy/

Dis-moi si un proxy est encore indiqué ou pas, et s'il est présent, decoche-le puis redémarre et regarde s'il se recoche ou pas.

On s'occupera de McAfee ensuite.

:jap:

cyriline · « **Réponse #12 le:** décembre 08, 2013, 22:37:00 »

Quand je suis sur la fenêtre 'Paramètres du réseau local" dans Chrome, la case à cocher dans "serveur proxy" est cochée. Je la décoche puis clique sur OK, cela me ferme cette fenêtre. Je la rouvre de suite et la case est à nouveau cochée!!
Je voulais tester avec Internet Explorer mais il ne s'ouvre pas, et je n'ai pas de message d'erreur. J'ai voulu désinstaller Internet Explorer mais il n'apparaît pas dans la liste des programmes dans le panneau de configuration. C'est normal?

hyunkel30 · « **Réponse #13 le:** décembre 08, 2013, 22:43:12 »

Re,

Tu peux trouver la page des paramètres d'Internet Explorer ici, sans le démarrer :
Démarrer -> panneau de configuration -> Réseau et Internet -> Options Internet

Puis après, comme sur le tuto, onglet "connexion", etc ...

Pour le reste, à refaire :

Relance FRST :

Double-clique sur l'outil pour le lancer. Quand l'outil se lance, clique sur Yes pour accepter le disclamer.
Coche l'option Addition.txt en bas.
Clique sur le bouton Scan.
L'outil va créer les rapports nommés FRST.txt et Addition.txt, enregistré dans le même dossier que l'outil.

Poste les deux rapports générés.

Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
Une aide à l'utilisation ici

cyriline · « **Réponse #14 le:** décembre 08, 2013, 23:05:04 »

oui effectivement c'est le même problème dans les paramètres d'Internet explorer.

Voici les 2 rapports :
http://up.security-x.fr/file.php?h=Rccb819c9bf065261b6a5fd01ed594315
http://up.security-x.fr/file.php?h=R240672de6e9ef954887b4126cd5f26e7

hyunkel30 · « **Réponse #15 le:** décembre 08, 2013, 23:36:44 »

Re,

à suivre, on va tenter de pister ce qui utilise ce proxy pour voir :

/!\ Crée un point de restauration manuel avant d'appliquer le correctif - Tutoriel en images /!\

Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes

[fixed]start
ProxyEnable: Internet Explorer proxy is enabled.
ProxyServer: http=127.0.0.1:56847
BHO-x32: MSS+ Identifier - {0E8A89AD-95D7-40EB-8D9D-083EF7066A01} - C:\Program Files (x86)\McAfee Security Scan\3.0.318\McAfeeMSS_IE.dll (McAfee, Inc.)
C:\Program Files (x86)\McAfee Security Scan
FF Plugin-x32: @mcafee.com/McAfeeMssPlugin - C:\Program Files (x86)\McAfee Security Scan\3.0.318\npMcAfeeMss.dll (McAfee, Inc.)
FF Extension: Plugin Orange Installeur - C:\Users\Bryan\AppData\Roaming\Mozilla\Firefox\Profiles\6rba6j8f.default\Extensions\{4D9AE42B-F4C0-40e6-AEDB-4EC6E42B77AF}
S3 McComponentHostService; C:\Program Files (x86)\McAfee Security Scan\3.0.318\McCHSvc.exe [235216 2013-02-05] (McAfee, Inc.)
U4 OPTENET_FILTER;
cmd: netstat -b
end[/fixed]
Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
Ferme toutes les applications, y compris ton navigateur
Double-clique sur FRST.exe
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\

cyriline · « **Réponse #16 le:** décembre 08, 2013, 23:42:21 »

voici le rapport : http://up.security-x.fr/file.php?h=R6b0efe1786ae3b4621bc70d4b71e5977

hyunkel30 · « **Réponse #17 le:** décembre 09, 2013, 10:06:36 »

Re,

Ok pour le rapport, par contre j'ai pas pu pister entièrement pour voir qui remet le proxy, donc on va faire autrement :

Clique sur "démarrer" -> tous les programmes -> accessoire
Fais un clic-droit -> "exécuter en tant qu'administrateur" sur "Invite de commande"
Valide l'avertissement

Dans la fenêtre noire qui s'ouvre, tape exactement ceci :

Citer

netstat -b

Valide avec la touche "Entrée"

Un listing va commencer, attends qu'il soit terminé (cela peut prendre 30 secondes), tu verras alors de nouveau un _ qui clignote.

Fait alors un clic-droit dans la fenêtre noire -> sélectionner tout
Puis appuies sur le touche "Entrée"

Viens répondre ici, et fais un clic-droit -> coller dans ta réponse pour coller le texte.

cyriline · « **Réponse #18 le:** décembre 09, 2013, 10:37:06 »

Bonjour,

Voici le résultat de "netstat -b" :

Microsoft Windows [version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. Tous droits réservés.

C:\Windows\system32>netstat -b

Connexions actives

Proto Adresse locale Adresse distante État
TCP 127.0.0.1:12080 Bryan-PC:53832 ESTABLISHED
[AvastSvc.exe]
TCP 127.0.0.1:52241 Bryan-PC:52242 ESTABLISHED
[firefox.exe]
TCP 127.0.0.1:52242 Bryan-PC:52241 ESTABLISHED
[firefox.exe]
TCP 127.0.0.1:53829 Bryan-PC:12080 TIME_WAIT
TCP 127.0.0.1:53832 Bryan-PC:12080 ESTABLISHED
[firefox.exe]
TCP 192.168.1.92:53117 r-055-045-234-077:http ESTABLISHED
[AvastSvc.exe]
TCP 192.168.1.92:53507 wi-in-f19:https ESTABLISHED
[firefox.exe]
TCP 192.168.1.92:53813 8.12.195.126:http LAST_ACK
[AvastSvc.exe]
TCP 192.168.1.92:53814 wi-in-f120:https ESTABLISHED
[firefox.exe]
TCP 192.168.1.92:53815 wi-in-f102:https ESTABLISHED
[firefox.exe]
TCP 192.168.1.92:53828 a10:https TIME_WAIT
TCP 192.168.1.92:53833 93.184.220.29:http CLOSE_WAIT
[AvastSvc.exe]
TCP 192.168.1.92:53836 wg-in-f102:https ESTABLISHED
[firefox.exe]
TCP 192.168.1.92:53837 wi-in-f139:https ESTABLISHED
[firefox.exe]

C:\Windows\system32>

hyunkel30 · « **Réponse #19 le:** décembre 09, 2013, 11:08:25 »

Re,

Mhmhmh non il a pas été listé.

Juste pour vérifier un truc :

Télécharge MalwareByte's Anti-Malware :

Installe le programme (aide ici)
Lance-le et met à jour la base de définition.
Choisi ensuite "Exécuter un examen complet" puis "Rechercher"
Sélectionne les disques dur et clique sur "Lancer l'examen"
Laisse l'analyse se faire (cela peut durer longtemps).
A la fin, vérifie que les éléments trouvés soient coché (dans "Résultat de l'examen).
Puis clique sur "Supprimer la sélection" en bas.
Un redémarrage peut être nécessaire.
Un rapport va s'afficher, enregistre-le sur ton bureau.
ou sinon, après le démarrage, il se trouvera dans "Rapports/logs"

cyriline · « **Réponse #20 le:** décembre 09, 2013, 16:51:26 »

Re,

Toujours le même problème proxy, quelle galère!!
Voici le rapport de MalwareByte's Anti-Malware : http://up.security-x.fr/file.php?h=Redaaf56f0301614854c65f963531e3f1

hyunkel30 · « **Réponse #21 le:** décembre 09, 2013, 18:50:12 »

Re,

Bon déjà je suis quasiment certain que le proxy ne revient pas cause d'une infection, mais plus probablement d'un programme légitime.

Est-ce que tu pourrais tester quelque chose ?
Utilises-tu ceci ?
Dell DataSafe Online

Si tu ne l'utilises pas, pourrais-tu le désinstaller dans ta liste des programmes s'il te plait ?

Ensuite, tu redémarres le pc, tu décoches le proxy et tu regardes s'il revient.

cyriline · « **Réponse #22 le:** décembre 10, 2013, 00:37:25 »

Re,

J'ai désinstallé Dell DataSafe Online et ...le proxy reste toujours coché...

Quelles peuvent être les conséquences si ce problème persiste, à part le fait que je ne puisse pas utiliser Chrome? je peux me passer de Chrome s'il le faut...

cyriline · « **Réponse #23 le:** décembre 12, 2013, 16:55:55 »

Bonjour,

J'ai une autre question : Je ne peux pas utiliser Skype, j'ai une fenêtre blanche quand je le lance et il n'y a aucun champ pour saisir les identifiants pour se connecter. Est-ce que ça peut être lié au problème que j'ai avec le proxy sur Chrome? Ou est-ce que c'est encore autre chose?

Merci d'avance pour votre réponse!

PS: j'ai essayé de désinstaller McAfee...ça a fonctionné!

hyunkel30 · « **Réponse #24 le:** décembre 12, 2013, 19:07:01 »

Re

Citer

Quelles peuvent être les conséquences si ce problème persiste, à part le fait que je ne puisse pas utiliser Chrome? je peux me passer de Chrome s'il le faut...

Celle qui m'embêtes le plus c'est : le fait que cela peut bloquer une connexion (comme sous Chrome), et surtout, devant un proxy inconnu, où vont et qui filtrera les infos qui passeront par ce proxy !
Car il sert d'intermédiaire et peut donc représenter un risque de sécurité pour tes données lors de tes navigations.

Citer

Je ne peux pas utiliser Skype, j'ai une fenêtre blanche quand je le lance et il n'y a aucun champ pour saisir les identifiants pour se connecter. Est-ce que ça peut être lié au problème que j'ai avec le proxy sur Chrome? Ou est-ce que c'est encore autre chose?

Oui, car comme je te l'avait dis, Chrome utilise les paramètres réseaux d'Internet Explorer et du système, à la différence de Firefox qui utilise les siens.
Skype peut donc être impacté par ce proxy.

Est-ce que tu peux me refaire ceci et pendant le déroulement, décocher le proxy ? (si tu y arrives, sinon, fais-le avant de lancer la commande)
http://forum.security-x.fr/desinfections/google-chrome-%27utiliser-un-proxy%27-se-coche-tout-seul/msg109519/#msg109519

cyriline · « **Réponse #25 le:** décembre 12, 2013, 21:24:33 »

Re,

Voici le résultat de "netstat -b" (je l'ai fait 2 fois, ca dure même pas 1 seconde donc impossible de décocher le proxy pendant. Je l'ai décoché avant mais je ne pense pas que ça change grand chose puisqu'il se recoche tout seul aussitôt!) :

Microsoft Windows [version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. Tous droits réservés.

C:\Windows\system32>netstat -b

Connexions actives

Proto Adresse locale Adresse distante État
TCP 127.0.0.1:49350 Bryan-PC:49351 ESTABLISHED
[firefox.exe]
TCP 127.0.0.1:49351 Bryan-PC:49350 ESTABLISHED
[firefox.exe]
TCP 192.168.1.92:50016 r-061-043-234-077:http ESTABLISHED
[AvastSvc.exe]

C:\Windows\system32>netstat -b

Connexions actives

Proto Adresse locale Adresse distante État
TCP 127.0.0.1:49350 Bryan-PC:49351 ESTABLISHED
[firefox.exe]
TCP 127.0.0.1:49351 Bryan-PC:49350 ESTABLISHED
[firefox.exe]
TCP 192.168.1.92:50016 r-061-043-234-077:http ESTABLISHED
[AvastSvc.exe]

C:\Windows\system32>

hyunkel30 · « **Réponse #26 le:** décembre 12, 2013, 21:43:34 »

Re,

Je vais voir pour tenter de capturer avec certains outils, ce sera peut-être un peu plus compliqué, mais je te guiderais.

Je reviens vers toi dès que possible.

hyunkel30 · « **Réponse #27 le:** décembre 13, 2013, 09:47:00 »

Re,

Une première idée pour avancer, peux-tu lancer Chrome ou Internet Explorer avant de refaire la commande netstat s'il te plait et me renvoyer le résultat obtenu ?

Merci

cyriline · « **Réponse #28 le:** décembre 13, 2013, 13:03:33 »

Bonjour,

Voici le résultat :

Microsoft Windows [version 6.1.7601]
Copyright (c) 2009 Microsoft Corporation. Tous droits réservés.

C:\Windows\system32>netstat -b

Connexions actives

Proto Adresse locale Adresse distante État
TCP 192.168.1.92:49746 r-065-043-234-077:http ESTABLISHED
[AvastSvc.exe]
TCP 192.168.1.92:50074 wi-in-f99:https TIME_WAIT
TCP 192.168.1.92:50075 wg-in-f120:https TIME_WAIT
TCP 192.168.1.92:50079 wg-in-f94:http TIME_WAIT
TCP 192.168.1.92:50081 par10s12-in-f22:http TIME_WAIT
TCP 192.168.1.92:50082 we-in-f84:https TIME_WAIT
TCP 192.168.1.92:50084 wg-in-f101:http TIME_WAIT
TCP 192.168.1.92:50085 par10s11-in-f15:https TIME_WAIT
TCP 192.168.1.92:50087 par03s13-in-f9:https TIME_WAIT
TCP 192.168.1.92:50088 par10s12-in-f22:https TIME_WAIT
TCP 192.168.1.92:50089 we-in-f94:https TIME_WAIT
TCP 192.168.1.92:50093 par03s03-in-f12:https TIME_WAIT
TCP 192.168.1.92:50094 we-in-f132:https TIME_WAIT
TCP 192.168.1.92:50095 wi-in-f101:https TIME_WAIT
TCP 192.168.1.92:50099 wg-in-f132:https TIME_WAIT
TCP 192.168.1.92:50100 wb-in-f189:https TIME_WAIT
TCP 192.168.1.92:50119 wi-in-f138:https TIME_WAIT
TCP 192.168.1.92:50135 wg-in-f95:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50136 par10s09-in-f5:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50137 par03s13-in-f14:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50138 we-in-f99:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50139 par10s09-in-f15:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50141 we-in-f94:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50143 par10s12-in-f15:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50144 par10s12-in-f24:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50148 par10s10-in-f10:https TIME_WAIT
TCP 192.168.1.92:50149 wb-in-f132:https TIME_WAIT
TCP 192.168.1.92:50150 wi-in-f132:https TIME_WAIT
TCP 192.168.1.92:50151 par03s03-in-f11:https TIME_WAIT
TCP 192.168.1.92:50152 par10s12-in-f15:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50153 159:https TIME_WAIT
TCP 192.168.1.92:50155 wg-in-f94:http TIME_WAIT
TCP 192.168.1.92:50156 146.185.19.236:https TIME_WAIT
TCP 192.168.1.92:50157 we-in-f95:https TIME_WAIT
TCP 192.168.1.92:50158 wb-in-f132:https TIME_WAIT
TCP 192.168.1.92:50159 par03s03-in-f8:https ESTABLISHED
[chrome.exe]
TCP 192.168.1.92:50160 wb-in-f100:https ESTABLISHED
[chrome.exe]

C:\Windows\system32>

hyunkel30 · « **Réponse #29 le:** décembre 13, 2013, 22:13:08 »

Re-bonsoir

Bon, toujours pas.

On va tester autre chose :

1)/!\ Crée un point de restauration manuel avant d'appliquer le correctif - Tutoriel en images /!\

Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes

Code: [Sélectionner]

start
Task: {05FABB71-50EA-4076-AAD6-C8E2C8491AB8} - System32\Tasks\GoogleUpdateTaskMachineUA1cef206fddef06f => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe [2010-12-28] (Google Inc.)
Task: {4549D756-966D-4916-A8A9-DB12A8D002FB} - System32\Tasks\GoogleUpdateTaskMachineCore1cef206fcaea95a => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe [2010-12-28] (Google Inc.)
Task: C:\Windows\Tasks\GoogleUpdateTaskMachineCore1cef206fcaea95a.job => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
Task: C:\Windows\Tasks\GoogleUpdateTaskMachineUA1cef206fddef06f.job => C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
ProxyEnable: Internet Explorer proxy is enabled.
ProxyServer: http=127.0.0.1:56847
end

Enregistre le fichier sur ton Bureau (au même endroit que FRST) sous le nom fixlist.txt
Ferme toutes les applications, y compris ton navigateur
Double-clique sur FRST.exe
/!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\

cyriline · « **Réponse #30 le:** décembre 14, 2013, 15:02:18 »

Bonjour,

Voici le rapport généré : http://up.security-x.fr/file.php?h=R30306b31906e9e78f7284e58cb691a2b
Le proxy est toujours coché...

hyunkel30 · « **Réponse #31 le:** décembre 15, 2013, 17:55:08 »

Re,

Bon, on va utiliser maintenant des outils "compliqués", de surveillance.
A notre niveau nous pourrions sur un pc entre nos mains travailler "rapidement" et savoir quoi regarder.
Mais à distance, via ce forum, il va falloir que tu exécutes toute une procédure.

Lis bien l'ensemble des étapes, et n'hésite pas à poser des questions si tu ne comprends pas quelque chose avant de le faire

Télécharge Process Monitor (De Sysinternals sur ton bureau

Décompresse le dossier ProcessMonitor.zip : Clic-droit dessus -> Extraire tout ...
Lance le fichier Procmon.exe contenu dans le dossier crée (Icône Windows)

(Utilisateur de Vista/Windows 7/8 faites un clic droit -> "Exécuter en tant qu'administrateur")[/list]

L'outil va commencer sa surveillance, mais nous allons préparer ce que nous voulons filtrer :

1) Ne laisse cocher que l'activité registre (première icône de la dernière série)

2) Arrête pour le moment la surveillance en cliquant sur la loupe (pour qu'elle apparaisse barrée de rouge)

3) Clique sur la gomme (3ième icône), pour vider la liste

Préparation du filtre :

Afin de ne pas avoir 36000 lignes à lire (

si, si, j'exagère pas ...), on va créer un filtre :

1) Clique sur l'entonnoir (sous "Tools")
2) En haut de la nouvelle fenêtre, choisis dans le menu déroulant : Operation puis "is" et enfin "RegCreateKey" et vérifie que "Include" est sélectionné
3) Valide avec le bouton "Add"
4) Refais la même chose avec cette fois : Operation puis "is" et enfin "RegSetValue" et vérifie que "Include" est sélectionné

Tu dois avoir obtenu ceci :

Enregistrement :

Lance la surveillance en cliquant sur l'icône "Loupe" (celle barrée de rouge)
La fenêtre va commencer à se remplir
Va alors décocher le proxy comme tu l'as déjà fait dans "Options Internet"
Relance au besoin Chrome ou Internet Explorer afin que la case se recoche
Reviens sur ProcMon et arrête la surveillance en re-cliquant sur le loupe

Rapport :

Clique sur "File" puis "Save ..."
Sous "Events to save", assures-toi que ce soit l'option "Events display using current filter" qui soit coché (avec l'option en dessous "Also include profiling events")
Sous "Format", Coche "CSV"
Valide avec OK

Le rapport sera crée dans le dossier de ProcMon, sous le nom logfile.csv

Tu peux me l'envoyer sur mon adresse mail, en pièce jointe (Pour voir mon adresse, clique sur l'enveloppe sous mon avatar)

cyriline · « **Réponse #32 le:** décembre 16, 2013, 16:16:02 »

Re,

J'ai bien exécuté "Process Monitor" et j'ai le fichier généré. Mais je ne trouve pas d'adresse mail (je ne vois pas d'enveloppe sous l'avatar...).
Est-ce que je peux utiliser le service pour poster les rapports en ligne?

hyunkel30 · « **Réponse #33 le:** décembre 16, 2013, 18:58:30 »

Re,

Non un fichier CSV cela ne passera pas

Mon mail est le suivant :
hyunkel30 [at] security-x.fr

Tu remplaces [at] par @ et tu attaches le tout

cyriline · « **Réponse #34 le:** décembre 16, 2013, 22:44:53 »

Re,

merci, je me disais bien qu'il devait y avoir une raison pour que je doive l'envoyer par mail....
Ca y est, j'ai envoyé le fichier par mail.

hyunkel30 · « **Réponse #35 le:** décembre 17, 2013, 19:40:45 »

Re,

Ok, bien reçu, on avance un peu là, j'ai vu quelques trucs intéressant à approfondir ...

On va tenter une chose déjà :

Télécharge AdwCleaner (de Xplode) sur ton Bureau.

Double-clique sur adwcleaner.exe pour lancer le programme.
(Utilisateur de Vista/Windows 7/8, clique-droit sur le fichier adwcleaner.exe -> Exécuter en tant qu'administrateur)
Dans la fenêtre principal, choisis l'option Scanner.
Attend la fin de la recherche puis clique sur l'option Rapport.
Un fichier texte apparaitra (sinon, il est situé ici C:\AdwCleaner[Rx].txt). Poste-le dans ta prochaine réponse.

cyriline · « **Réponse #36 le:** décembre 17, 2013, 21:10:15 »

Re,

Voici le rapport : http://up.security-x.fr/file.php?h=Rdc623e0db1372d1f992846af31e6fc1b
merci

hyunkel30 · « **Réponse #37 le:** décembre 17, 2013, 22:36:34 »

Re,

Mhmhm, pas détecté ce que je voulais.

Peux-tu me fournir ce rapport de Adwcleaner s'il te plait ?
AdwCleaner[S0].txt
Il se trouve dans ce dossier :
C:\AdwCleaner

Ensuite :

Télécharge SystemLook (de jpshortstuff) sur ton Bureau.

Double-clique sur SystemLook.exe pour le lancer.
Assure toi que tes périphériques amovibles soient branchés, et allumés si nécessaire.
Copie-colle l''intégralité de ce qui suit dans la fenêtre de saisie de l'outil :

Code: [Sélectionner]

:filefind
*offerbox*
:folderfind
*offerbox*
:regfind
*offerbox*

Clique sur le bouton Look pour démarrer l'analyse. (cela peut durer quelques minutes)
Lorsque celle-ci est terminée, une fenêtre du Bloc-notes va s'ouvrir avec les résultats du diagnostique. Poste s'il te plaît ce rapport dans ta prochaine réponse.

Note : Le rapport peut être trouvé sur ton Bureau, intitulé SystemLook.txt.

:AAN

cyriline · « **Réponse #38 le:** décembre 18, 2013, 22:59:16 »

Re,

Alors dans l'ordre :

le rapport de Adwcleaner : AdwCleaner[S0].txt : http://up.security-x.fr/file.php?h=R20d6c0a49edefd2653dc4a60ee473d69

il y avait aussi un autre rapport : AdwCleaner[R0].txt (je ne sais pas si c'est utile mais je le mets quand même!) : http://up.security-x.fr/file.php?h=Rd36a954e2e84b189427a3cc67bbfa56f

et le rapport de Systemlook : http://up.security-x.fr/file.php?h=Rf357fb6cad7dea1a41496f9fd9ee39e5

Merci
Bonne lecture

hyunkel30 · « **Réponse #39 le:** décembre 19, 2013, 19:53:56 »

Re,

Bon je vois que sur un précédent rapport d'Adwcleaner, y'avait bien du offerbox ...

Par contre, désolé, j'avais modifié la procédure hier, et tu as dû copier ou la faire avant mon changement, il faudrait donc refaire la procédure avec Systemlook, mais avec offerbox, et non boxore

(comme dans ma précédente question actuellement)
Désolé.

cyriline · « **Réponse #40 le:** décembre 19, 2013, 21:23:08 »

Re,
Voici le rapport de SystemLook : http://up.security-x.fr/file.php?h=Ra05c2a9d08869dab818bd28c6742e85a

hyunkel30 · « **Réponse #41 le:** décembre 19, 2013, 23:14:00 »

Re,

Peux-tu faire ceci s'il te plait :

1) Télécharge DelFix (de Xplode) sur ton bureau.

Ferme toutes tes fenêtres, puis double clique sur DelFix.exe pour le lancer.
(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
Ne touche pas aux options cochées
Clique sur le bouton "Exécuter"
Laisse travailler l'outil.
Le rapport est enregistré dans à la base de ton disque dur, (C:\DelFix.txt généralement) merci de copier-coller son contenu dans ta prochaine réponse.
- 2) Télécharge TFC de OldTimer et enregistre-le sur ton Bureau
- Ferme toutes les applications en cours
- Double-clique sur TFC.exe sur ton Bureau
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
- Clique sur Start pour lancer l'analyse et patiente (le scan de suppression peut durer jusqu'à 1 ou 2 mn)
- Valide par Yes à la demande de redémarrage. Si le système ne redémarre pas, fais-le manuellement. Cette étape est impérative pour finaliser le nettoyage

cyriline · « **Réponse #42 le:** décembre 20, 2013, 13:22:13 »

Re,

Voici le rapport de DelFix :

# DelFix v10.6 - Rapport créé le 20/12/2013 à 01:39:02
# Mis à jour le 11/11/2013 par Xplode
# Nom d'utilisateur : Bryan - BRYAN-PC
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)

~ Suppression des outils de désinfection ...

Supprimé : C:\FRST
Supprimé : C:\AdwCleaner
Supprimé : C:\Users\Bryan\Desktop\AdwCleaner.exe
Supprimé : C:\Users\Bryan\Desktop\FRST64.exe
Supprimé : C:\Users\Bryan\Desktop\SystemLook.txt
Supprimé : C:\Users\Bryan\Desktop\SystemLook_x64.exe
Supprimé : C:\Users\Bryan\Downloads\adwcleaner.exe
Supprimée : HKLM\SOFTWARE\AdwCleaner

########## - EOF - ##########

hyunkel30 · « **Réponse #43 le:** décembre 20, 2013, 14:02:56 »

Re,

OK, tu as fait TFC aussi ?

Si oui, réessaye de décocher le proxy pour voir s'il te plait.

cyriline · « **Réponse #44 le:** décembre 20, 2013, 16:52:47 »

Re,

Oui, j'ai fait TFC et j'ai redémarré le PC.
C'est toujours pareil, le proxi reste coché....

hyunkel30 · « **Réponse #45 le:** décembre 20, 2013, 23:08:21 »

Télécharge Process Monitor (De Sysinternals sur ton bureau

Décompresse le dossier ProcessExplorer.zip : Clic-droit dessus -> Extraire tout ...
Lance le fichier Procexp.exe contenu dans le dossier crée (Icône Windows)

(Utilisateur de Vista/Windows 7/8 faites un clic droit -> "Exécuter en tant qu'administrateur")[/list]

Clique sur le menu "View"
Assures-toi que l'option "Show Lower Pane" est cochée

Dans l'arborescence de gauche, recherche une ligne avec Rundll32.exe

Généralement en sous catégorie d'un svchost.exe

Sélectionne la ligne avec Rundll32.exe en cliquant dessus
Clique en haut sur le menu "File" -> "Save As ..."
Enregistre le fichier texte sur ton bureau puis poste-le dans ta prochaine réponse

Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
Une aide à l'utilisation ici

cyriline · « **Réponse #46 le:** décembre 21, 2013, 17:10:37 »

Re,

Je m'en serais bien passé de ce truc zarbi...

Le lien de téléchargement du logiciel Process Explorer ne fonctionne pas, j'ai un message d'erreur. Est-ce qu'il y a une erreur dans le lien ou bien est-ce que ça vient de moi??

igor51 · « **Réponse #47 le:** décembre 21, 2013, 17:54:19 »

Voiii le bon lien http://technet.microsoft.com/en-us/sysinternals/bb896653

cyriline · « **Réponse #48 le:** décembre 21, 2013, 21:23:29 »

Merci pour le lien, ça a fonctionné.

J'ai lancé ProcessExplorer mais dans l'arborescence de gauche, je n'ai pas de ligne avec "Rundll32.exe". J'ai plusieurs fois svchost.exe mais jamais de Rundll32.exe en dessous ni ailleurs ....
C'est encore un truc bizarre??

hyunkel30 · « **Réponse #49 le:** décembre 21, 2013, 22:11:30 »

Re,

Non, cela peut-être normal si aucun élément n'utilise cet exécutable lors du lancement de Process Monitor.

Donc, si c'est cela, lance Process monitor, puis va décocher le proxy, et regarde si un nouveau processus Rundll32 apparait (ils apparaissent en couleur les processus lancé )
S'il disparait trop vite pour faire ce que j'ai demandé, dis-le moi, on testera autrement ...