Infection Adware Snap.Do Résolu

[sethaeric]

Bonjour,
C'est la première fois que je participe à un forum, aussi je n'ai pas les automatismes nécessaires; entre autres, je n'arrive pas à insérer une image dans la rédaction de mon message. Je veux vous transmettre des informations sur mon système et vous relater mes difficultés, mais impossible de coller l'impression d'écran ou d'insérer une image. Peut-être suffit-il de joindre le fichier, mais l'image n'apparaîtra pas à la bonne place dans le message !
Merci d'avance à celui qui pourra me conseiller.

[hyunkel30]

Bonjour sethaeric,

Bienvenu sur Security-X,

Déjà pour commencer peux-tu nous expliquer quel problème tu rencontres afin que je puisse aiguiller ton sujet vers la bonne catégorie (tu es dans les présentation des nouveaux membre ici, pas dans les catégories de demande d'entraide )

Ensuite, voici un tutoriel pour créer des impressions d'écran et les poster :
http://forum.security-x.fr/cours-et-tutoriels-322/(tutoriel)-impression-d%27ecran-et-hebergement-de-rapport

 

[sethaeric]

Bonjour Hyunkel30,
Je vous remercie beaucoup pour votre aide, j'ai eu beaucoup de mal à retrouver votre réponse à mon message, toujours est-il que je me risque à vous exposer mon problème.
Donc voici la présentation de mon système :

http://security-x.fr/up/file.php?h=Ra0c8b238c1964f107b82e0b337bba921

Mon problème vient du fait que j'ai contracté ce "virus" qu'est Snap Do en téléchargeant Video Converter. Pour l'éradiquer, j'ai supprimé puis réinstallé Google Chrome, ce qui a eu pour effet de le faire disparaitre à l'affichage, seulement sur les conseils lus dans votre forum, j'ai soumis mon système à AdwCleaner qui me retrouve une ligne avec une trace de l'intrus. Voir rapport ci-dessous :
# AdwCleaner v2.008 - Rapport créé le 24/11/2012 à 10:43:21
# Mis à jour le 17/11/2012 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : ERIC - ERIC-HP
# Mode de démarrage : Normal
# Exécuté depuis : C:\Users\ERIC\Downloads\adwcleaner.exe
# Option [Recherche]


***** [Services] *****


***** [Fichiers / Dossiers] *****


***** [Registre] *****


***** [Navigateurs] *****

-\\ Internet Explorer v9.0.8112.16421

[OK] Le registre ne contient aucune entrée illégitime.

-\\ Google Chrome v [Impossible d'obtenir la version]

Fichier : C:\Users\ERIC\AppData\Local\Google\Chrome\User Data\Default\Preferences

Présente [l.53] : search_url = "hxxp://feed.snap.do/?publisher=SnapdoOpenCandy&dpid=SnapdoOpenCandy&co=FR&userid=a2b20848-7a0d-47d4-961f-0e2385819095&searchtype=ds&q={searchTerms}",

*************************

AdwCleaner[R10].txt - [908 octets] - [24/11/2012 10:43:21]
AdwCleaner[R1].txt - [3139 octets] - [21/11/2012 08:22:17]
AdwCleaner[R2].txt - [1027 octets] - [23/11/2012 08:46:59]
AdwCleaner[R3].txt - [1217 octets] - [23/11/2012 09:38:06]
AdwCleaner[R4].txt - [1337 octets] - [24/11/2012 07:00:05]
AdwCleaner[R5].txt - [1457 octets] - [24/11/2012 07:11:15]
AdwCleaner[R6].txt - [1517 octets] - [24/11/2012 07:33:59]
AdwCleaner[R7].txt - [1577 octets] - [24/11/2012 07:48:16]
AdwCleaner[R8].txt - [1637 octets] - [24/11/2012 10:02:27]
AdwCleaner[R9].txt - [1757 octets] - [24/11/2012 10:06:27]
AdwCleaner[S1].txt - [2848 octets] - [21/11/2012 08:23:20]
AdwCleaner[S2].txt - [1215 octets] - [23/11/2012 09:38:27]
AdwCleaner[S3].txt - [1335 octets] - [24/11/2012 07:00:17]
AdwCleaner[S4].txt - [1635 octets] - [24/11/2012 10:03:02]

########## EOF - C:\AdwCleaner[R10].txt - [1748 octets] ##########

C'est là que vous pouvez m'aider, comment faire disparaitre cette url "hxxp://feed.snap.do/?publisher=SnapdoOpenCandy&dpid=SnapdoOpenCandy&co=FR&userid=a2b20848-7a0d-47d4-961f-0e2385819095&searchtype=ds&q={searchTerms}",
Merci d'avance pour votre collaboration.

[hyunkel30]

Re,

Ok, j'ai donc déplacé ici en désinfection.

Ce n'est pas un virus a proprement parlé, c'est simplement un sponsor publicitaire (adware) que tu as volontairement installé avec un autre logiciel car tu n'as pas été assez vigilant lors de l'installation et décoché les cases de sponsor.

à faire :

Télécharge OTL (de Old Timer) sur ton bureau.

• Ferme toutes tes fenêtres, puis double clique sur OTL.exe pour le lancer.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
• Coche en haut la case devant "Tous les utilisateurs"
• Coche "Avec liste Blanche" sous "Registre: approfondi"
• Sous Personnalisation, copie-colle l'ensemble du texte ci-dessous, laisse les autres options par défaut.

Code: [Sélectionner]

msconfig
activex
%SYSTEMDRIVE%\*.exe
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\syswow64\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\syswow64\drivers\*.sys /lockedfiles
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
CREATERESTOREPOINT

• Clique sur le bouton Analyse en haut à gauche puis patiente quelques instants.
• A la fin du scan, deux rapports s'ouvriront OTL.Txt et Extras.Txt.

• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.

Une aide à l'utilisation ici

Note : Les rapports sont aussi enregistrés sur le bureau

[sethaeric]

Re,
Tout d'abord un grand merci pour votre rapidité de réponse et votre solution. Je vous transmets les rapports que j'ai obtenus

http://security-x.fr/up/file.php?h=Rc686484dc26b4839d708d2f3b5794062

http://security-x.fr/up/file.php?h=Rbd56eded50eca6e1284007e356090d81

Vous souhaitant bonne réception et dans l'attente de votre commentaire, recevez mes plus vifs remerciements.
Bien à vous.

[hyunkel30]

Re,

1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :

Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure

- Adobe Acrobat 5.0 (version obsolète et vulnérable, tu possèdes une plus récente)
- Spybot - Search & Destroy (obsolète et inutile)


Relance Adwcleaner :

• Double-clique sur adwcleaner.exe pour lancer le programme.
  (Utilisateur de Vista/Windows 7, clique-droit sur le fichier adwcleaner0.exe -> Exécuter en tant qu'administrateur)
• Dans la fenêtre principal, choisis l'option Suppression.
• A la fin, un rapport apparaitra (sinon, il est situé ici C:\AdwCleaner[Sx].txt). Poste-le dans ta prochaine réponse.

[sethaeric]

Re,
Je suis étonné par la rapidité de vos réponses et vous en remercie à nouveau. Je vous prie de trouver, ci-dessous, le rapport demandé.

http://security-x.fr/up/file.php?h=R42fcc4b6614b2ef7ade6dd5d3c8783fa

A très bientôt.

[hyunkel30]

Re,

Quand on est sur place, on répond assez vite

As-tu encore des problème avec snap.do, et si oui, dans quel(s) navigateur apparait-il et quand ? (nouvel onglet, recherche, etc ...)

[sethaeric]

Bonjour,
Comme je vous l'avais indiqué lors de mon message expliquant mon problème (hier à 10H55), après la suppression  et la réinstallation de Google Chrome, Snap Do n'apparaît plus nulle part sauf dans l'analyse de Adwcleaner. Il reste cette ligne où Snap Do y est inscrit. Peut-on la supprimer ? Pensez-vous qu'il n'y a aucun danger à la laisser?
hxxp://feed.snap.do/?publisher=SnapdoOpenCandy&dpid=SnapdoOpenCandy&co=FR&userid=a2b20848-7a0d-47d4-961f-0e2385819095&searchtype=ds&q={searchTerms}
Lorsque je la supprime avec Adwcleaner, ma page d'accueil sur Google chrome est la page nouvel onglet, alors que je l'ai programmé pour s'ouvrir sur Google.fr et lorsque je rétablis les paramètres d'ouverture sur Google.fr; la ligne mentionnant Snap Do s'affiche de nouveau dans Adwcleaner.
Bonne journée !

[hyunkel30]

Re,

Tu utilises un compte Google sur Chrome ? (connexion avec une adresse mail, ou un compte Google+, etc ...)

Il me faudrait aussi le rapport Adwcleaner demandé. (apparu à la suite du dernier passage en mode suppression)

[sethaeric]

Re,
Merci de vous intéresser à nouveau à mon petit problème, j'ai un compte i Google que j'utilise rarement et une adresse mail, mais je passe par windows live mail dans l'utilisation.
Voilà le rapport de Adwcleaner suite à la suppression :
http://security-x.fr/up/file.php?h=R09b5eaf02bc71de9e7872ebebcb4c6c6
A bientôt !

[hyunkel30]

Re,

Si Chrome se connecte via ce compte, l'infection revient grâce à la fonction de sauvegarde des préféérence.

Il faut donc d'abord vider les préférence de cette manière :
http://support.google.com/chrome/bin/answer.py?hl=fr&answer=185277&topic=1693469&ctx=topic

(en bas, dans la section : Supprimer des données synchronisées de votre compte Google )


Ensuite, tu refais la manipulation avec Adwcleaner en mode suppression.

 

[sethaeric]

Re,
J'ai effectué la manipulation de suppression des données synchronisées après connexion à mon compte Google et fais la suppression avec Adwcleaner , malheureusement la ligne revient. De plus, je me suis aperçu que lorsque je tape directement un nom dans la barre d'adresse de Google chrome, Snap Do réapparait. Mystère !
Je suis désolé de vous relancer à nouveau pour que vous tentiez de me débarrasser de ce gêneur.
Merci

[hyunkel30]

Re,

Si la ligne revient, c'est soit qu'elle est toujours présente dans la synchronisation du compte Chrome, soit qu'un extension ou un plugin installé sous Chrome la réinstalle.

Or à première vue seule cette extension et ce plugin peuvent généré cela dans Chrome :
CHR - plugin: Freemake np-plugin for google chrome (Enabled) = C:\Users\ERIC\AppData\Local\Google\Chrome\User Data\Default\Extensions\jbolfgndggfhhpbnkgnpjkfhinclbigj\1.0.0_0\npFreemake.dll
CHR - Extension: Freemake Video Converter = C:\Users\ERIC\AppData\Local\Google\Chrome\User Data\Default\Extensions\jbolfgndggfhhpbnkgnpjkfhinclbigj\1.0.0_0\

Il faudrait donc commencer par supprimer ces deux module, l'extension et le plugin, comme ceci :
http://support.google.com/chrome/bin/answer.py?hl=fr&answer=113907

Après cela, de nouveau nettoyer la synchronisation du compte Chrome,

Puis repasser adwcleaner.

 

[sethaeric]

Bonjour Hyunkel30,
Tu parles de modules et de plugins, sache que j'ai supprimé les extensions AdBlock et Freemake Video Converter, mais j'ai laissé Web Rep, si je le supprime, je ne peux plus le réactiver car il n'apparait pas dans le menu déroulant des protections supplémentaires d'Avast et je devrai réinstaller Avast pour remettre Web Rep sur Google chrome. Malgré ces deux suppressions et le passage par Google dashboard pour nettoyer la synchronisation du compte Chrome, le problème reste entier. La ligne que je supprime par Adwcleaner, revient dare-dare et lorsque j'ouvre Google chrome, bien que ma page d'accueil soit www.Google.fr, il se positionne sur la page nouvel onglet. Dois-je également supprimer Web Rep?
Merci encore de votre aide.
a bientôt.

[hyunkel30]

Re,

Tu avais supprimé Spybot-search and destroy dans tes programmes ? (il possède une fonction qui peut restaurer ou empêcher de supprimer certaines clés de registre)

Pas besoin de supprimer d'autres extension, seul freemake me laissait un doute.

Peux-tu tester de supprimer manuellement les moteur de recherche dans Chrome :
http://support.google.com/chrome/bin/answer.py?hl=fr&answer=95653

Tu supprime snap.do, tu fermes et redémarre Chrome et regarde s'il revient ou non.

[sethaeric]

Re,
Yessssssss, bravo, bravo, bravo !!!!!!!
Enfin débarrassé, j'ai fait un Adwcleaner, la ligne n'est plus présente, mon navigateur Google chrome s'ouvre bien sur ma page d'accueil, vous êtes génial !
Merci de tout coeur de m'avoir accompagné, guidé et d'avoir persévéré pour régler mon problème.

[hyunkel30]

Re,

Il nous aura fait courir celui-là encore, soyez plus vigilant la prochaine fois lors de l'installation de programmes avec sponsors !

On termine :

1) Désinstalle AdwCleaner :

• Relance-le le programme adwcleaner.exe situé sur ton Bureau.

(Utilisateur de Vista/Windows 7, clique-droit sur le fichier -> Exécuter en tant qu'administrateur)

[li$i]Dans la fenêtre principal, choisis l'option Désinstaller, et valide avec "Oui"[/li][/list]

• Supprime ensuite le fichier adwcleaner.exe sur ton bureau.

2) Relance  OTL.exe
(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")

• Clique sur "Purge d'outils"
• Valide l'avertissement par "ok" et laisse le pc redémarrer.

Pour aller plus loin dans ta protection et éviter de te faire réinfecter voici quelques conseils supplémentaires :

• Attention lors de l'installation de logiciel :
  Veiller à toujours lire les conditions d'utilisation (CLUF), afin de déceler la gestion des données personnelles, l'installation de sponsors publicitaires ou tout autre atteintes à la vie privée. Refuser les toolbars et autres addons proposés.
  A lire !
  
  
• Firefox et/ou Chrome offrent une meilleure sécurité par rapport à Internet Explorer, surtout si on les complète de quelques plugins très intéressant : Noscript et WOT par exemple. (pour Chrome : NoScript ; WOT )
  
  
• Maintenir ses logiciels et son système à jour :
  De nombreuses infections sont dû à des failles de windows, mais aussi de logiciel tiers, comme Sun Java, Adobe Acrobat Reader, etc
  Tu peux faire un scan de vulnérabilité pour connaitre tes logiciels présentant des failles non corrigées ou à mettre à jour.
  
  Enfin, le plus important reste ton comportement sur ton PC, tu restes la plus importante protection : Évites les comportement à risque : P2P, cracks, téléchargements et installations douteux via des pubs, les messageries instantanées, ou des sites inconnu, sites pornographiques.
  A lire !
  Ici aussi !
  
  
  Tu peux indiquer ton sujet "réglé" en cliquant sur le bouton "modifier" (en haut à droite)  dans ton tout premier message.
  -> Ajoute ensuite "résolu" à coté de ton titre et valide.
  
  A bientôt sur Security-X
   

[sethaeric]

Re,
Merci pour vos conseils et bonne continuation !