infection Office central de lutte ... version webcam en haut à droite [Résolu]

[jazzy]

Bonjour Hyunkel,

Cela fait une demie-journée que je rame sur le sujet.

Mon PC est infecté par ce virus "Office central de lutte ... etc" depuis hier.

J'ai utilisé le liveCD de Malekal pour essayer de me tirer d'affaire (à partir d'une clé USB) en faisant booter le système sur un port USB, sans succès.

Je crois avoir bien respecté les consignes données mais rien n'y fait (ni Roguekiller, ni malwarebytes).

Cependant je n'avais pas le script adéquate à exécuter par runscan avec OTLPE.
L'ayant trouvé dans votre réponse n°1, je l'ai exécuté.
En voici le rapport http://up.security-x.fr/file.php?h=Rb620ace15b68b955e4312f4ae607a00a

Est-ce grave docteur ? (bon c'est sûr pour le côté anti-virus pas à jour et la navigation sans discernement dernièrement, je vais certainement avoir droit à quelques petits rappels ...).
Que puis-je faire d'autre ?

Merci d'avance.

[hyunkel30]

Bonjour,

Nous allons traiter cela en deux étapes, on va d'abord nettoyer le principal via le LiveCD puis on repassera en mode normal pour finir le nettoyage.

Redémarre ton PC en utilisant le LiveCD venant d'etre créé

• Ton système doit montrer un bureau REATOGO-X-PE

Note : En fonction de ton type de connexion Internet (Ethernet), tu dois être en mesure d'accéder au Net, si c'est le cas tu peux accéder à ce sujet plus facilement, sinon, tu devras copier les résultats sur un support (clé usb) pour les transférer sur un PC connecté.

• Double-clique sur l'icône OTLPE
• Dans la première boite de dialogue (nommée "RunScanner") clique sur Yes
• Si tu as Windows Vista ou 7, tu peux avoir ce message : "RunScanner Error - Target is not windows 2000 or later", il faut donc aller et sélectionner jusqu'au dossier c:\windows dans l'arborescence en dessous de local disk (c: )
• Dans la seconde, assures-toi que la case "Automatically Load All Remaining Users" soit cochée et clique le nom de la session de l'utilisateur du PC
• L'outil OTL doit se lancer maintenant

• Copie-colle ceci dans la fenêtre du bas "Custom Scan/Fix"

Code: [Sélectionner]

:OTL
O4 - HKU\jerome.artaz_ON_C..\Run: [qcgce2mrvjq91kk1e7pnbb19m52fx] C:\Users\jerome.artaz\Mes documents\38b94a67.exe ()
O20 - HKU\jerome.artaz_ON_C Winlogon: Shell - (cmd.exe) - cmd.exe (Microsoft Corporation)
[2013-05-17 23:57:37 | 001,054,324 | ---- | M] () -- C:\Users\jerome.artaz\AppData\Roaming\2433f433
[2013-05-17 23:57:24 | 000,027,136 | ---- | M] () -- C:\Users\jerome.artaz\Documents\38b94a67.exe

:Commands
[emptytemp]



• Cliques alors sur "Run Fix"

• Une fois terminé, le rapport de suppression est sauvegardé sur ton disque dur C:\_OTL\  sous la forme date_heure.txt.
• Poste la contenu du rapport dans ta prochaine réponse.

Note : Si tu dois repasser en mode normal, ferme l'environnement comme un windows normal, puis enlève le CD et redémarre normalement.

• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.

Une aide à l'utilisation ici

/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\




Tu devrais maintenant être en mesure de démarrer à nouveau ton pc normalement, confirme-moi que c'est bon, puis nous poursuivrons.

 

[jazzy]

Re,

Le script est exécuté. Voici le rapport produit http://up.security-x.fr/file.php?h=Rb7a4eda9138d82d23ca749be0e60a815

Au redémarrage j'ai actuellement un fond d'écran noir avec une fenêtre cmd.exe ouverte. La dernière instruction est C:\Windows\system32\

Merci, il y a déjà du mieux.

Je surveille pour la suite.

[hyunkel30]

Re,

Et en mode sans échec tu peux démarrer normalement ?
http://windows.microsoft.com/fr-fr/windows7/start-your-computer-in-safe-mode

[jazzy]

Non, même résultat.

[hyunkel30]

Re,

Refais ceci alors s'il te plait :

Redémarre ton PC en utilisant le LiveCD venant d'etre créé

• Ton système doit montrer un bureau REATOGO-X-PE

Note : En fonction de ton type de connexion Internet (Ethernet), tu dois être en mesure d'accéder au Net, si c'est le cas tu peux accéder à ce sujet plus facilement, sinon, tu devras copier les résultats sur un support (clé usb) pour les transférer sur un PC connecté.

• Double-clique sur l'icône OTLPE
• Dans la première boite de dialogue (nommée "RunScanner") clique sur Yes
• Si tu as Windows Vista ou 7, tu peux avoir ce message : "RunScanner Error - Target is not windows 2000 or later", il faut donc aller et sélectionner jusqu'au dossier c:\windows dans l'arborescence en dessous de local disk (c: )
• Dans la seconde, assures-toi que la case "Automatically Load All Remaining Users" soit cochée et clique le nom de la session de l'utilisateur du PC

• L'outil OTL doit se lancer maintenant.
• Copie-colle ceci sous "Custom Scan/Fix"

Code: [Sélectionner]

netsvcs
safebootminimal
safebootnetwork
msconfig
drivers32
/md5start
explorer.exe
lsass.exe
lsm.exe
userinit.exe
winlogon.exe
wininit.exe
csrss.exe
smss.exe
svchost.exe
services.exe
spoolsv.exe
alg.exe
ctfmon.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
sceclt.dll
ntelogon.dll
logevent.dll
midimap.dll
sptd.sys
spsys.sys
iaStor.sys
nvstor.sys
atapi.sys
i8042prt.sys
cdrom.sys
disk.sys
ndis.sys
tcpip.sys
mountmgr.sys
aec.sys
cdaudio.sys
rasacd.sys
redbook.sys
ipsec.sys
mrxsmb10.sys
mrxsmb20.sys
termdd.sys
mrxsmb.sys
win32k.sys
storport.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
nvrd32.sys
usbscan.sys
usbprint.sys
sfloppy.sys
changer.sys
/md5stop
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles

• Presse Run Scan pour démarrer le scan.
• Une fois terminé, le rapport est sauvegardé sur ton disque dur C:\OTL.txt
• Poste la contenu du rapport OTL.txt dans ta prochaine réponse.

Note : Si tu dois repasser en mode normal, ferme l'environnement comme un windows normal, puis enlève le CD et redémarre normalement.

• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.

Une aide à l'utilisation ici

[jazzy]

Re,

Ci-joint le rapport du dernier scan
http://up.security-x.fr/file.php?h=R4e30e935b7aca82ef4c4afbd277a23e1

Je sors un moment.

Merci d'avance pour la suite

[hyunkel30]

Re,

étrange certaines clés supprimées sont revenu ...

Redémarre ton PC en utilisant le LiveCD venant d'etre créé

• Ton système doit montrer un bureau REATOGO-X-PE

Note : En fonction de ton type de connexion Internet (Ethernet), tu dois être en mesure d'accéder au Net, si c'est le cas tu peux accéder à ce sujet plus facilement, sinon, tu devras copier les résultats sur un support (clé usb) pour les transférer sur un PC connecté.

• Double-clique sur l'icône OTLPE
• Dans la première boite de dialogue (nommée "RunScanner") clique sur Yes
• Si tu as Windows Vista ou 7, tu peux avoir ce message : "RunScanner Error - Target is not windows 2000 or later", il faut donc aller et sélectionner jusqu'au dossier c:\windows dans l'arborescence en dessous de local disk (c: )
• Dans la seconde, assures-toi que la case "Automatically Load All Remaining Users" soit cochée et clique le nom de la session de l'utilisateur du PC
• L'outil OTL doit se lancer maintenant

• Copie-colle ceci dans la fenêtre du bas "Custom Scan/Fix"

Code: [Sélectionner]

:OTL
O4 - HKU\jerome.artaz_ON_C..\Run: [qcgce2mrvjq91kk1e7pnbb19m52fx] C:\Users\jerome.artaz\Documents\38b94a67.exe File not found
O20 - HKU\jerome.artaz_ON_C Winlogon: Shell - (cmd.exe) - cmd.exe (Microsoft Corporation)

:Reg
[HKEY_USERS\jerome.artaz_ON_C\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"qcgce2mrvjq91kk1e7pnbb19m52fx"=-
[HKEY_USERS\jerome.artaz_ON_C\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="C:\Windows\SysWow64\explorer.exe"

:Commands
[emptytemp]



• Cliques alors sur "Run Fix"

• Une fois terminé, le rapport de suppression est sauvegardé sur ton disque dur C:\_OTL\  sous la forme date_heure.txt.
• Poste la contenu du rapport dans ta prochaine réponse.

Note : Si tu dois repasser en mode normal, ferme l'environnement comme un windows normal, puis enlève le CD et redémarre normalement.

• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.

Une aide à l'utilisation ici

/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\


Dis-moi si cette fois-ci tu peux démarrer normalement, sinon on fera autrement.

[jazzy]

Bonsoir,

Voici le rapport. http://up.security-x.fr/file.php?h=R16312cfdd64cd8af4161701e61a3388d

Toujours avec l'écran cmd.exe après redémarrage.

Avant C:\Windows\system32>
figure un autre message que je n'avais pas mentionné précédemment (désolé d'avoir zappé), voir ci-dessous :

"C:\Users\prenom.nom\Documents\38b94a67.exe" n'est pas reconnu en tant que commande interne ou externe, un programme exécutable ou un fichier de commandes.

PS : j'ai anonymisé prenom.nom

[hyunkel30]

Re,

OK, quelque chose remet une partie de l'infection, mais là je ne vois pas quoi, on va donc tester autrement :

Télécharge Farbar Recovery Scan Tool x64 (de Farbar) et enregistre-le sur une clé USB.

Note : si le téléchargement ne démarre pas automatiquement, cliquer sur "click here"

Branche la clé USB dans le PC infecté.

Ouvre les Options de récupération système.

Pour ouvrir les Options de récupération système depuis les Options de démarrage avancées:

• Fait redémarrer le PC.
• Dès que le BIOS est chargé, commence à tapoter sur la touche F8 jusqu'à l'apparition des Options de démarrage avancées.
  
• Utilise les flèches du clavier pour sélectionner l'élément de menu Réparer l'ordinateur.
  
• Choisis English comme paramètre de langue et de clavier, puis clique sur Suivant.
  
• Sélectionne le système d'exploitation à réparer, puis clique sur Suivant.
  
• Sélectionne ton compte d'utilisateur et clique sur Suivant.

Dans le menu Options de récupération système tu verras les options suivantes:
Réparation du démarrage
Restaurer le système
Restauration de l'ordinateur Windows
Outil Diagnostics de la mémoire Windows
Invite de commandes

• Sélectionne Invite de commandes
  
• Dans la fenêtre de commande, tape notepad puis appuie sur Entrée.
  
• Le Bloc-notes s'ouvre. Dans le menu Fichier, sélectionne Ouvrir.
  
• Clique sur "Poste de travail"/"Ordinateur", cherche la lettre associée à la clé USB et ferme le Bloc-notes.
• Dans la fenêtre de commande, tape e:\frst64 puis appuie sur Entrée
  Note: Remplace la lettre e par la lettre de lecteur associée à la clé USB au besoin.
  
• L'outil va commencer à s'exécuter.
• Au démarrage de l'outil, à l'affichage du message "Disclaimer of warranty" clique sur Oui.
• Puis clique sur le bouton Scan.
  
• Ceci va créer un rapport d'analyse (FRST.txt) sur la clé USB. Copie/colle ce rapport dans ta réponse.

[jazzy]

Bonsoir,

J'ai bien téléchargé l'exécutable de Farbar sur ma clé.

Désolé, je n'arrive pas à obtenir les Options de récupération système.

Au démarrage, pendant l'apparition des options F2 et F12, je tape sur F8, j'accède à Advanced Boot Options mais je ne vois pas de choix pour l'invite de commandes.

Je suis perplexe.

A demain.

[jazzy]

Re bonsoir,

Je ne suis pas sûr d'avoir bien compris la séquence.

Démarrage PC avec clé USB déjà installée (mais attention, comme le PC doit booter sur le port USB, il m'installe le bureau REATOGO ?).
Tapoter sur F8 pendant le setup ?

Je viens de réessayer, les Options de démarrage avancées apparaissent en français maintenant, mais toujours pas d'élément de menu Réparer l'ordinateur.

A demain.

[hyunkel30]

Re,

Non il faut un clé USB non bootable, pas celle ou tu as installé OTLPE si tu l'as installé sur une clé usb
Cette clé USB là ne va servir que de support d'écriture

Qu'est-ce que tu obtiens en tapotant F8 ?

[jazzy]

Bonjour,

En tapotant sur F8 au démarrage, j'obtiens l'écran Advanced Boot Options (en anglais cette fois-ci) avec les choix suivants :
Safe Mode
Safe Mode with Networking
Safe Mode with Command Prompt

Enable Boot Logging
Enable low-resolution video (640x480)
Directory Services Restore Mode
Debugging Mode
Disable automatic restart on system failure
Disable Driver Signature Enforcement

Start Windows Normally

J'ai les choix Choose (par Enter) et Cancel (par ESC)

Je vais m'absenter une partie de l'après-midi par contre je serai plus disponible et "à demeure" en fin d'après-midi pour poursuivre.

Merci d'avance pour le temps passé et l'aide préciseuse apportée.

[hyunkel30]

Re,

Normalement tu dois avoir l'option "Repair Your Computer" juste au dessus du choix "Safe Mode", comme ceci :

[jazzy]

Bonjour,

Voulant vérifier l'absence du choix Repair Your Computer, j'ai redémarré le poste. Ayant loupé de tapoter assez vite sur F8, j'ai provoqué l'arrêt du poste. Il m'a alors installé 6 mises à jour (! ... je me demande d'où elles sortent ?) puis est revenu à la fenêtre cmd.exe toujours avec le même contenu.

J'ai de nouveau arrêté le poste, redémarré et fait F8 à temps. J'arrive bien sur les options de boot avancées. Elles se présentent comme dans ta copie d'écran sauf l'option Repair Your Computer qui est toujours absente.

Voilà j'en suis là.

[hyunkel30]

Re,

Ce Windows 7 Ultimate, il est légitime ?

C'est une mise à niveau ou une installation d'origine ?

Tu as un DVD winows 7 Original sous la main ?

Sinon je te donnerais un lien pour télécharger un DVD de récupération pour lancer le mode voulu.

[jazzy]

Oui c'est W7 ultimate.

L'instal a été faite par un type de ma boite à partir des DVD dont nous disposons (et je pense que nous avons les licenses pour). Par contre le poste est à moi (je l'ai acheté et j'ai une compensation mensuelle comme élément de salaire ... l'un dans l'autre cela se vaut financièrement et j'ai pu choisir la machine que je voulais en particulier le disque SSD pour démarrer vite [en janv 2012]).

Le poste était livré évidemment avec du W7 mais x86 qui n'a pas été supprimé.

Par contre je n'ai pas le DVD sous la main ... comme le gugus en question est parti et que c'est le bazar au sein de ce qui reste du service info, je ne peux garantir d'avoir le DVD ad hoc (normalement je devrais et de toute façon que demain).

S'il n'est pas primordial de faire l'original, je prends ta solution (en espérant avoir un poste opérationnel d'ici demain). Je reste dispo ce soir pour que l'on échange.

[hyunkel30]

Re,

Alors suis cette procédure pour créer le DVD winRE et le lancer :

http://www.inforumatique.fr/forum/cd-de-la-console-de-reparation-winre-t4896.html

Tu devrais retrouver la suite de la procédure à faire ensuite avec la clé usb et FRST à partir d'ici :

Dans le menu Options de récupération système tu verras les options suivantes:

[jazzy]

Au fait question matériel à domicile, voici les pauvres choses dont je dispose :
- un vieux dell 520 avec lequel je t'écris depuis un clavier externe parce que la nappe de celui d'origine est naze
- une clé USB d'un Go sur laquelle se trouve le Reatogo de Malekal et les fichiers que nous avons déjà échangés
- une vielle clé USB de 128 Mo dont le port est "fatigué"
- un disque externe de 500 Go sur lequel se trouve la très grande majorité de mes données et que je ne connecte plus au poste infecté pour l'instant (m'enfin s'il le fallait ...)
Aucun moyen de graver puisque le seul graveur est sur le poste infecté. Bref question matos, c'est plutôt la misère ... te marre pas.

[hyunkel30]

Re,

Je ne me marre pas, nous ne demandons jamais à un utilisateur d'avoir un magasin chez lui avec 4 pc prêt à l'emploi.

Malheureusement, il faut comprendre aussi que devant certaines infections il nous faut user de stratagèmes qui demandent des procédures.

On va tester autre chose alors.

démarre le pc normalement, jusqu'à arriver à l'écran noir et l'invite de commande.
Tape :
rstrui.exe
Valide avec la touche "entrée"

Est-ce qu'une fenêtre de restauration du système s'ouvre ?

Si oui, lance la procédure en choisissant un point de restauration antérieur à l'arrivée de l'infection, et laisse faire pour voir si le pc redémarre "normalement"

[jazzy]

rstrui.exe marche. J'obtiens bien une fenêtre de restauration par contre il ne me propose que deux points de restauration :
- celle qui doit correspondre aux 6 mises à jour effectuées (aujourd'hui à 17:11)
- un point de restauration automatique daté du 19/05 à 12:31 mais mon PC était déjà infecté (la veille dans la soirée).

Au fait je dispose des DVD de sauvegarde recommandée par Acer et que j'avais effectuée avant de remettre mon poste au type qui a installé W7 ultimate.
Le 19/05 j'avais essayé de ré-installé mon poste et cela n'avait pas marché faute de place sur le disque ... j'ai peur que le point de restauration automatique du 19/05 à 12:31 ne date de ce moment-là ...

[jazzy]

toujours ouvert Restauration du système, en attente de ta réponse

[hyunkel30]

Re,

Tu as pensé à cocher en bas de la fenêtre :
"Afficher d'autres points de restauration" ?

Par défaut il n'affiche que les deux derniers points, mais tu dois en avoir d'autre.

On va évité les DVD de recovery, car là, c'est un formatage du pc sinon.

[jazzy]

Oui j'avais essayé de cocher "affciher d'autres points de restauration".
Il n'en affiche pas d'autres.

Que se passe-t-il si je prends la plus ancienne et que je clique sur Suivant ?

[hyunkel30]

Re,

Il restaurera à cette date.
Mais si l'infection était déjà présente et le démarrage bloqué, ça ne fera rien de plus.

Tu peux toujours tester.

Juste une question avant, si sur l'écran d'invite de commande tu tapes : (valide avec "entrée" à chaque fin de ligne)
cd \
cd windows
explorer.exe

Cela lance ton bureau ou pas ?

[jazzy]

Bonjour Hyunkel,

Désolé de ne pas avoir pu donner signe de vie avant (en particulier pas d'internet jusqu'à 14h00).

A partir de l'invite de commandes et de la suite de commandes indiquée précédemment le bureau se lance bien (ouf !). Il a l'aspect habituel.

J'écris d'ailleurs depuis ma machine.
Wifi opérationnel.
J'ai lancé plusieurs applicatifs pour voir : Chrome, Word, View NX (un logiciel propriétaire Nikon pour visionner des photos). Tout semble opérationnel.

Par contre Internet Explorer ne fonctionne pas.

J'ai aussi redémarré la machine pour voir. Je reviens à l'invite de commandes (où je peux de nouveau saisir les commandes ad hoc).

Voilà où cela en est.

J'ai internet jusqu'à 17h45 puis à partir de 20h00 environ (encore une fois désolé pour les échanges un peu décousus).

[hyunkel30]

Re,

Ok, une fois le bureau lancé, en ayant téléchargé l'outil indiqué ci-dessous via une clé usb, fait ceci :

Télécharge OTL (de Old Timer) sur ton bureau.

• Ferme toutes tes fenêtres, puis double clique sur OTL.exe pour le lancer.
  (Utilisateur de Vista/Windows 7/8 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
• Coche en haut la case devant "Tous les utilisateurs"
  
• Coche "Avec liste blanche" sous "Registre: approfondi"
  
• Sous Personnalisation, copie-colle l'ensemble du texte ci-dessous, laisse les autres options par défaut.
  
  [fixed]netsvcs
  msconfig
  drivers32
  activex
  %SYSTEMDRIVE%\*.exe
  %ALLUSERSPROFILE%\Application Data\*.
  %ALLUSERSPROFILE%\Application Data\*.exe /s
  %APPDATA%\*.
  %APPDATA%\*.exe /s
  %systemroot%\*. /mp /s
  %systemroot%\system32\*.dll /lockedfiles
  %systemroot%\syswow64\*.dll /lockedfiles
  %systemroot%\Tasks\*.job /lockedfiles
  %systemroot%\system32\drivers\*.sys /lockedfiles
  %systemroot%\syswow64\drivers\*.sys /lockedfiles
  hklm\software\clients\startmenuinternet|command /rs
  hklm\software\clients\startmenuinternet|command /64 /rs
  CREATERESTOREPOINT[/fixed]
  
  
• Clique sur le bouton Analyse en haut à gauche puis patiente quelques instants.
  
• A la fin du scan, deux rapports s'ouvriront OTL.Txt et Extras.Txt.
  
  
• Pour les rapports, merci d'utiliser ce service de rapport en ligne : dépose le fichier via "parcourir" et poste simplement le lien obtenu dans ta réponse.
  Une aide à l'utilisation ici
  
  Note : Les rapports sont aussi enregistrés sur le bureau

[jazzy]

Ci-joint les deux rapports OTL et Extrats

http://up.security-x.fr/file.php?h=Rece685697d6f7cdb852f1af65596a31e

http://up.security-x.fr/file.php?h=R9ec42268b2508de0f1c87de884f79b97

PS : ils étaient enregistrés dans un dossier Téléchargements de l'utilisateur connecté

[hyunkel30]

Re,

L'emplacement des rapports, c'est parce qu'OTL a été lancé de ce dossier téléchargement aussi

On va voir si on peut corriger :
Comme toujours, lance explorer.exe puis fait ceci :

1) Désinstalle les programmes suivants dans ta liste des programmes (si présents) :

Note : Si tu rencontres une erreur passe au suivant et poursuis la procédure

- Bing Bar  (barre d'outil, auf réelle utilité)
- 01NET.com Toolbar (barre sponsorisée par un adware)
- WiseConvert 1.5 Toolbar (idem)

2) Relance  OTL.exe

• Ferme toutes tes fenêtres, puis double clique sur OTL.exe pour le lancer.

(Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")

/!\ Attention, utilisateur d'Avast! ou d'autres antivirus, ne lancez pas OTL en mode sandbox /!\

• Copie-colle l'ensemble du texte ci-dessous dans le cadre Personnalisation d'OTL en bas à gauche.

Code: [Sélectionner]


:OTL
IE - HKLM\..\URLSearchHook: {19803860-b306-423c-bbb5-f60a7d82cde5} - C:\Program Files (x86)\WiseConvert_1.5\prxtbWise.dll (Conduit Ltd.)
IE - HKLM\..\URLSearchHook: {8e5025c2-8ea3-430d-80b8-a14151068a6d} - C:\Program Files (x86)\01NET.com\prxtb01NE.dll (Conduit Ltd.)
IE - HKU\S-1-5-21-145244581-1453878001-891584314-1410\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com?SearchSource=10&ctid=CT3242339
IE - HKU\S-1-5-21-145244581-1453878001-891584314-1410\..\URLSearchHook: {19803860-b306-423c-bbb5-f60a7d82cde5} - C:\Program Files (x86)\WiseConvert_1.5\prxtbWise.dll (Conduit Ltd.)
IE - HKU\S-1-5-21-145244581-1453878001-891584314-1410\..\URLSearchHook: {8e5025c2-8ea3-430d-80b8-a14151068a6d} - C:\Program Files (x86)\01NET.com\prxtb01NE.dll (Conduit Ltd.)
IE - HKU\S-1-5-21-145244581-1453878001-891584314-1410\..\SearchScopes\{C48DC4D0-33E8-413B-A275-3D26612D82D9}: "URL" = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT3242339
FF - HKCU\Software\MozillaPlugins\@citrixonline.com/appdetectorplugin: C:\Users\jerome.artaz\AppData\Local\Citrix\Plugins\94\npappdetector.dll File not found
[2012/08/31 12:19:43 | 000,000,000 | ---D | M] (01NET.com) -- C:\Users\jerome.artaz\AppData\Roaming\mozilla\Firefox\extensions\{8e5025c2-8ea3-430d-80b8-a14151068a6d}
O2 - BHO: (WiseConvert 1.5 Toolbar) - {19803860-b306-423c-bbb5-f60a7d82cde5} - C:\Program Files (x86)\WiseConvert_1.5\prxtbWise.dll (Conduit Ltd.)
O2 - BHO: (01NET.com Toolbar) - {8e5025c2-8ea3-430d-80b8-a14151068a6d} - C:\Program Files (x86)\01NET.com\prxtb01NE.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (WiseConvert 1.5 Toolbar) - {19803860-b306-423c-bbb5-f60a7d82cde5} - C:\Program Files (x86)\WiseConvert_1.5\prxtbWise.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (01NET.com Toolbar) - {8e5025c2-8ea3-430d-80b8-a14151068a6d} - C:\Program Files (x86)\01NET.com\prxtb01NE.dll (Conduit Ltd.)
O3 - HKU\S-1-5-21-145244581-1453878001-891584314-1410\..\Toolbar\WebBrowser: (WiseConvert 1.5 Toolbar) - {19803860-B306-423C-BBB5-F60A7D82CDE5} - C:\Program Files (x86)\WiseConvert_1.5\prxtbWise.dll (Conduit Ltd.)
O3 - HKU\S-1-5-21-145244581-1453878001-891584314-1410\..\Toolbar\WebBrowser: (01NET.com Toolbar) - {8E5025C2-8EA3-430D-80B8-A14151068A6D} - C:\Program Files (x86)\01NET.com\prxtb01NE.dll (Conduit Ltd.)
O4 - HKU\S-1-5-21-145244581-1453878001-891584314-1410..\Run: [qcgce2mrvjq91kk1e7pnbb19m52fx] C:\Users\jerome.artaz\Documents\38b94a67.exe File not found
O20 - HKU\S-1-5-21-145244581-1453878001-891584314-1410 Winlogon: Shell - (cmd.exe) - C:\Windows\SysWow64\cmd.exe (Microsoft Corporation)
[2013/05/17 23:57:37 | 001,054,314 | ---- | M] () -- C:\ProgramData\2433f433

:Reg
[HKU\S-1-5-21-145244581-1453878001-891584314-1410\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell"="C:\Windows\SysWow64\explorer.exe"

:Files
C:\Program Files (x86)\WiseConvert_1.5
C:\Program Files (x86)\01NET.com


:Commands
[emptytemp]



• Puis clique sur le bouton Correction en haut à gauche
• Le pc va redémarrer. (si ce n'est pas le cas, fais-le manuellement)
• Poste le rapport de suppression s'il apparait.

Note :  S'il n'apparait pas, il se trouve ici : C:\_OTL, sous la forme xxxxxxxx_xxxx.log où x sont la date et l'heure

/!\ Ce script est exclusivement réservé à l'utilisateur actuel du sujet, vous ne devez en aucun cas l'utiliser de votre propre chef sur un autre pc, sous risque d'endommager le système /!\

[jazzy]

Cela a l'air de marcher (j'ai redémarré une 2ème fois ... l'étourdi avait oublié la clé du Reatogo ... il a donc booté dessus le 1er coup).

La 2ème fois le poste a démarré normalement.

Ci-contre le rapport http://up.security-x.fr/file.php?h=Ra657381dd99ac9036813fce68f81bcbb

Remarque : sur le bureau j'ai la présence de deux fichiers desktop.ini, l'un daté du 14 juillet 2009 (pour toutes les propriétés) ! l'autre dont la dernière modif date de ce jour à 22h02 ... ?

[hyunkel30]

Re,

Laisse les fichiers desktop.ini, ce sont des fichiers système caché normalement, on remettra l'affichage pour qu'il disparaisse ensuite

Tu peux te connecter de nouveau ou pas ?
Sinon, continu à télécharger sur l'autre pc et transfère avec la clé usb.

On va vérifier deux-trois trucs maintenant :

1) Télécharge AdwCleaner (de Xplode) sur ton Bureau.

• Double-clique sur adwcleaner.exe pour lancer le programme.
  (Utilisateur de Vista/Windows 7, clique-droit sur le fichier adwcleaner.exe -> Exécuter en tant qu'administrateur)
• Dans la fenêtre principal, choisis l'option Suppression.
• A la fin, un rapport apparaitra (sinon, il est situé ici C:\AdwCleaner[Sx].txt). Poste-le dans ta prochaine réponse.

2) Télécharge MalwareByte's Anti-Malware :

• Installe le programme (aide ici)
  
• Lance-le et met à jour la base de définition.
  
  
• Choisi ensuite "Exécuter un examen complet" puis "Rechercher"
  
• Sélectionne les disques dur et clique sur "Lancer l'examen"
  
• Laisse l'analyse se faire (cela peut durer longtemps).
• A la fin, vérifie que les éléments trouvés soient coché (dans "Résultat de l'examen).
• Puis clique sur "Supprimer la sélection" en bas.
  
• Un redémarrage peut être nécessaire.
• Un rapport va s'afficher, enregistre-le sur ton bureau.
• ou sinon, après le démarrage, il se trouvera dans "Rapports/logs"
  

[jazzy]

Depuis 17h00 je t'écris du poste infecté puisque cela marche avec google chrome.

Je m'occupe adwcleaner et de Malawarebytes

[jazzy]

Ci-joint déjà le rapport adwCleaner http://up.security-x.fr/file.php?h=R1f2c90ac5809e99dd937ec516d3e351f

Je passe à Malawarebytes

[jazzy]

Ci-joint le rapport malwarebytes. http://up.security-x.fr/file.php?h=Rfdeca33e21535ca0cb60b20048c6121a

Vu le contenu, cela a l'air d'aller.

[hyunkel30]

Re,

Oui, c'est ok, on va nettoyer les outils utilisés, puis mettre à jour ton système et les logiciels car c'est par là que l'infection est venue :

Mais avant juste un truc pour vérifier :

Télécharge Farbar Service Scanner (de Farbar) sur ton bureau.

• Ferme toutes tes fenêtres, puis double clique sur FSS.exe pour le lancer.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• Coche toutes les options
  
• Clique sur le bouton "Scan"
  
• Laisse travailler l'outil, un rapport va apparaitre.
• Poste son contenu dans ta prochaine réponse

(S'il n'apparait pas, tu le trouveras à l'emplacement du fichier FSS.exe, sous le nom FSS.txt )

[jazzy]

Bonjour,

Ci-joint le rapport FSS  http://up.security-x.fr/file.php?h=R359bbc5b9a3d7bd266120ccad233a629

A bientôt.

[jazzy]

Re,

Je vais paraître exigeant mais il serait souhaitable que je puisse réutiliser IE assez vite pour accéder à certaines applications.

Merci d'avance.

[hyunkel30]

Re,

On va avancer en ce sens, mais je rappel que nous sommes un forum d'entraide bénévole, pas un service informatique professionnel.
Je tiens par ailleurs à préciser que ce genre d'infection peut selon les variantes faire du vol de donnée, donc si ce pc comportait des données sensible, notamment de connexion à des sites/services sécurisé, il convient de modifier au plus vite les mots de passe.

à faire :


Télécharge Windows Repair (de Tweaking.com) sur ton bureau.

• Double-Clic dessus pour l'installer puis lance-le.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• Va directement à l'onglet "step 3"
  
  
• Clique sur le bouton Do It, et laisse le scan s'effectuer.
  
  
• Ferme le programme et redémarre le PC
  
  
• Relance l'outil et va cette fois-ci sur l'onglet Start Repairs (à la fin)
  
• Clique sur le bouton"Start"
  
• Dans la fenêtre suivante, coche exactement ces options :
  
  
  
• Clique enfin sur "Start" en bas à droite.
  
• Redémarre le pc s'il ne le fait pas automatiquement.
  
  
  Refais ceci  ensuite :
  
  Relance FSS :
  
  
• Ferme toutes tes fenêtres, puis double clique sur FSS.exe pour le lancer.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• Coche toutes les options
  
• Clique sur le bouton "Scan"
  
• Laisse travailler l'outil, un rapport va apparaitre.
• Poste son contenu dans ta prochaine réponse

(S'il n'apparait pas, tu le trouveras à l'emplacement du fichier FSS.exe, sous le nom FSS.txt )


Indique-moi aussi si tu as de nouveau accès à Internet avec IE.

[jazzy]

Re,

Ci-joint le rapport FSS  http://up.security-x.fr/file.php?h=R95c44e1991464f4bd28d32aa6791eb50

IE est opérationnel.

A bientôt.

[hyunkel30]

Re,

Ok, très bien alors.

Pourrais-tu me dire avant que l'on passe à la conclusion, si tu vois des messages d'erreur dans le centre de maintenance pour la sécurité ?
(Menu "Démarrer" -> panneau de configuration" -> centre maintenance -> Sécurité )

[jazzy]

Oui mais je n'ai pas le temps de détailler avant demain matin.

A bientôt.

[jazzy]

Bonjour,

Concernant le centre de maintenance pour la sécurité il y a 3 messages :
- Sécurité : Windows Update : WU n'est configuré pour n'installer les mises à jour que si vous les autorisez. Ces paramètres sont gérés par votre admin système. Il propose de désactiver les messages concernant WU

- Maintenance : Installer le pilote pour USB controller

- Maintenance : Configurer la sauvegarde. Vos fichiers ne sont pas sauvegardés.

A bientôt.

[hyunkel30]

Re,

Ok, pour le premier, il faut aller dans Windows Update (menu Démarrer -> Windows Update)

Puis "Modifier les paramètres" dans le menu de gauche
Et choisir dans le menu déroulant "Installer les mises à jour automatiquement"

Concernant les deux autres messages, c'est à toi de faire le nécessaire si tu le souhaites.

On passe au nettoyage des outils utilisés :

1) Désinstalle AdwCleaner :

• Relance-le le programme adwcleaner.exe situé sur ton Bureau.
  (Utilisateur de Vista/Windows 7, clique-droit sur le fichier -> Exécuter en tant qu'administrateur)
  
• Dans la fenêtre principal, choisis l'option Désinstaller, et valide avec "Oui"
  
  
• Supprime ensuite le fichier adwcleaner.exe sur ton bureau.
  
  
  2) Relance  OTL.exe[/color]
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
  
• Clique sur "Purge d'outils"
  
• Valide l'avertissement par "ok" et laisse le pc redémarrer.
  
  
  Tu peux supprimer manuellement si encore présent :
  - FSS.exe
  - Windows Repair (il se désinstalle dans la liste des programmes au besoin)
  
  Tu peux conserver pour des scans occasionnels si tu le souhaites Mawarebyte's, pense alors à le mettre à jour auparavant. Sinon, désinstalle-le dans ta liste des programmes.
  
  
  Mise à jour de logiciels :
  
  /!\ Cette étape est très importante, tu as été infecté car certains logiciels/plugin n'étaient pas à jour sur ce système !
  
  
  Met à jour les programmes suivants :
  - Java vers la version 7 update 21 (pense à supprimer les anciennes version dans ajout/suppression des programmes : Java(TM) 6 Update 31 )
  
  
  
  Pour aller plus loin dans ta protection et éviter de te faire réinfecter voici quelques conseils supplémentaires :
  
  
• Attention lors de l'installation de logiciel :
  Veiller à toujours lire les conditions d'utilisation (CLUF), afin de déceler la gestion des données personnelles, l'installation de sponsors publicitaires ou tout autre atteintes à la vie privée. Refuser les toolbars et autres addons proposés.
  A lire !
  
  
• Firefox et/ou Chrome offrent une meilleure sécurité par rapport à Internet Explorer, surtout si on les complète de quelques plugins très intéressant : Noscript et WOT par exemple. (pour Chrome : NoScript ; WOT )
  
  
  
• Maintenir ses logiciels et son système à jour :
  De nombreuses infections sont dû à des failles de windows, mais aussi de logiciel tiers, comme Sun Java, Adobe Acrobat Reader, etc
  Tu peux faire un scan de vulnérabilité pour connaitre tes logiciels présentant des failles non corrigées ou à mettre à jour.
  Ou utiliser un outil comme SXCU pour vérifier occasionnellement.
  
  Enfin, le plus important reste ton comportement sur ton PC, tu restes la plus importante protection : Évites les comportement à risque : P2P, cracks, téléchargements et installations douteux via des pubs, les messageries instantanées, ou des sites inconnu, sites pornographiques.
  A lire !
  Ici aussi !
  
  
  Tu peux indiquer ton sujet "réglé" en cliquant sur le bouton "modifier" (en haut à droite)  dans ton tout premier message.
  -> Ajoute ensuite "résolu" à coté de ton titre et valide.
  
  A bientôt sur Security-X