PC infecte

[Chabert33]

Bonjour je pense que mon pc est infecte, pourriez vous m'aider ?

Merci
-----

[Chabert33]

Voici les resultats de la premiere etape que vous demandez generalement.

[xsun]

bonjour

FRST - Correctif :

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

désinstalle via le panneau de configuration/Désinstaller un programme: (si un programme ne veut pas se désinstaller ou bien absent de la liste, passes à la suite)

--> Adobe Flash Player 17 ActiveX (pas à jour)
--> Adobe Reader 9.1 MUI (pas à jour)
--> Java 7 Update 71 (pas à jour)
--> JavaFX 2.1.1 (version pour développeur)
--> AVG 2015 (tu as Kaspersky)

• Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
  
• Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes

start
CreateRestorePoint:
CloseProcesses:
Task: {7ADBBB61-B9F4-49D6-904D-D7E5A94300B4} - System32\Tasks\AddictThingUpdaterTask{D1A80A07-ADB5-42D6-A6D7-731ED756A678} => C:\ProgramData\Premium\AddictThing\AddictThing.exe <==== ATTENTION
Task: {A8C96191-F432-4849-86C2-A2FFC3AF242B} - System32\Tasks\AVG_SYS_TASK_1014avt => C:\ProgramData\Avg_Update_1014avt\AVG-Secure-Search-Update_1014avt.exe
Task: {AAAF27EE-C1B1-4395-B4BF-9A143FEA9835} - \BackgroundContainer Startup Task No Task File <==== ATTENTION
Task: C:\Windows\Tasks\AddictThingUpdaterTask{D1A80A07-ADB5-42D6-A6D7-731ED756A678}.job => C:\ProgramData\Premium\AddictThing\AddictThing.exeH/schedule /profilepath C:\ProgramData\Premium\AddictThing\profile.ini <==== ATTENTION
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\mcmscsvc => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MCODS => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\mcmscsvc => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MCODS => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MpfService => ""="Service"
FirewallRules: [{FFB83C68-566C-4143-AE8F-3456893CADE7}] => (Allow) C:\Program Files (x86)\AVG\AVG2015\avgmfapx.exe
FirewallRules: [{A2343D13-BB92-4740-9BA7-CE464044016F}] => (Allow) C:\Program Files (x86)\AVG\AVG2015\avgmfapx.exe
AppInit_DLLs: C:\PROGRA~2\SearchProtect\SearchProtect\bin\SPVC64Loader.dll => C:\PROGRA~2\SearchProtect\SearchProtect\bin\SPVC64Loader.dll File not found
)
SearchScopes: HKLM-x32 -> {afdbddaa-5d3f-42ee-b79c-185a7020515b} URL = 
SearchScopes: HKU\S-1-5-21-1576752347-1045677933-132281939-1000 -> {440D4600-B763-4D17-941F-5C4BBBC99F0B} URL = http://feed.plusnetwork.com/?publisher=MessengerPlus&dpid=MessengerPlus&co=FR&userid=57648e64-e352-4f24-8543-8c402afc759d&sp=addr&q={searchTerms}&t=b0105
SearchScopes: HKU\S-1-5-21-1576752347-1045677933-132281939-1000 -> {CFF4DB9B-135F-47c0-9269-B4C6572FD61A} URL = 
SearchScopes: HKU\S-1-5-21-1576752347-1045677933-132281939-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0 -> {440D4600-B763-4D17-941F-5C4BBBC99F0B} URL = http://feed.plusnetwork.com/?publisher=MessengerPlus&dpid=MessengerPlus&co=FR&userid=57648e64-e352-4f24-8543-8c402afc759d&sp=addr&q={searchTerms}&t=b0105
SearchScopes: HKU\S-1-5-21-1576752347-1045677933-132281939-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0 -> {CFF4DB9B-135F-47c0-9269-B4C6572FD61A} URL = 
BHO-x32: No Name -> {95B7759C-8C7F-4BF1-B163-73684A933233} ->  No File
Toolbar: HKU\S-1-5-21-1576752347-1045677933-132281939-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
Toolbar: HKU\S-1-5-21-1576752347-1045677933-132281939-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
FF HKLM-x32\...\Firefox\Extensions: [ocr@babylon.com] - C:\Program Files (x86)\Babylon\Babylon-Pro\Utils\ocr@babylon.com
CHR HKU\S-1-5-21-1576752347-1045677933-132281939-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ehdmaehkiiampolokajdcelladmnopgp] - No Path Or update_url value
CHR HKU\S-1-5-21-1576752347-1045677933-132281939-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ehdmaehkiiampolokajdcelladmnopgp] - No Path Or update_url value
CHR HKLM-x32\...\Chrome\Extension: [ehdmaehkiiampolokajdcelladmnopgp] - No Path Or update_url value
S2 avgfws; "C:\Program Files (x86)\AVG\AVG2015\avgfws.exe" [X]
S2 avgwd; "C:\Program Files (x86)\AVG\AVG2015\avgwdsvc.exe" [X]
2015-06-30 09:24 - 2012-09-30 11:29 - 00000406 ____H C:\Windows\Tasks\AddictThingUpdaterTask{D1A80A07-ADB5-42D6-A6D7-731ED756A678}.job
C:\ProgramData\Premium
C:\ProgramData\Avg_Update_1014avt
C:\Program Files (x86)\AVG
C:\PROGRA~2\SearchProtect
C:\Program Files (x86)\Babylon
EmptyTemp:
end

• Enregistre le fichier au même endroit que FRST /!\Important/!\ sous le nom fixlist.txt
• sois tu copies/colles FRST.exe sur ton Bureau (s'il se trouve actuellement dans ton dossier Téléchargement) et tu enregistres fixlist.txt sur ton bureau
• sois tu enregistres fixlist.txt dans ton dossier Downloads (Téléchargement)
• Ferme toutes les applications, y compris ton navigateur
  [li]Double-clique sur FRST.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
  
• L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\


Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"


***

tu dois donc fournir le rapport Fixlog.txt

[Chabert33]

Ci joint le rapport Fixlog. Merci de vous occuper de mon cas

[A voir en vidéo sur Futura]

[xsun]

re

ok, on continue:

=> AdwCleaner- Recherche:

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

• Télécharge AdwCleaner de Xplode et enregistre le fichier sur ton Bureau
• Ferme toutes les applications, y compris ton navigateur
• Double-clique sur l'icône AdwCleaner.exe pour lancer l'installation
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Sur le menu principal, clique sur Scanner
• Les éléments détectés s'affichent dans les différents onglets. Clique sur Rapport
• Un rapport AdwCleaner(R).txt s'ouvre. Poste ce rapport dans ta prochaine réponse
  Le rapport se trouve sous C:\AdwCleaner(R).txt

Aide en image pour AdwCleaner

***

ZHPCleaner-Scanner

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

• Télécharge ZHPCleaner de Nicolas Coolman en cliquant sur le bouton bleu "Télécharger" et enregistre-le sur le Bureau
• Ferme toutes les applications, y compris le navigateur
• Double-clique sur l'icône ZHPCleaner.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Accepte, après l'avoir lu, l'accord de licence en cliquant sur J'accepte
• Clique sur le bouton Scanner
  
• Poste le rapport obtenu ZHPCleaner.txt qui s'affiche.
  
  Tutoriel d'utilisation ZHPCleaner en images

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"

***

tu as donc deux rapports à fournir
--> C:\AdwCleaner(R).txt en mode recherche/scanner
--> ZHPCleaner.txt en mode recherche/scanner

[Chabert33]

Desole de repondre si tardivement, voici les deux rapports

[xsun]

re

pas de soucis pour le délais de réponse

***

avant toute modification, créais un point de restauration (nomme le de façon à bien le reconnaitre): Aide en image

Une fois ce point de restauration fait

***

AdwCleaner - Suppression

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

• Ferme toutes les applications, y compris ton navigateur
• Double-clique sur l'icône AdwCleaner.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Sur le menu principal, clique sur Scanner
• Les éléments détectés s'affichent dans les différents onglets. Clique sur Nettoyer et valide par OK la fermeture des programmes
• Patiente le temps de l'analyse et valide le message d'informations
• Un redémarrage est demandé, valider par OK
• Au redémarrage, un rapport AdwCleaner(S).txt s'ouvre. Poste ce rapport dans ta prochaine réponse
  Le rapport se trouve sous C:\AdwCleaner(S).txt

Sous IE, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

Si ton antivirus émet une alerte ou bloque l'outil, il faut le désactiver temporairement (le fichier AdwCleaner.exe est sûr)
Aide en image pour AdwCleaner

***

ZHPCleaner-Nettoyer


/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

• Ferme toutes les applications, y compris le navigateur
• Double-clique sur l'icône ZHPCleaner.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Clique sur le bouton Scanner et patiente le temps de l'analyse, puis clique sur le bouton Nettoyer
• L'interface de réparation s'affiche, clique sur Nettoyer. Le nettoyage se lance
  [
• Patiente le temps du nettoyage
• Si un redémarrage est nécessaire pour compléter le nettoyage, clique sur OK et redémarre le système
• Au redémarrage, le rapport de nettoyage ZHPCleaner.txt s'affiche. Poste le rapport obtenu.
  
  Tutoriel d'utilisation ZHPCleaner en images

***


Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"

***

tu as donc deux rapports à fournir
--> C:\AdwCleaner(S).txt
--> ZHPCleaner.txt

[Chabert33]

Le point de restauration est cree, et les rapports toujours en piece jointe.

Bonne fin de soiree à toi

[xsun]

re

ok

--> Télécharge la dernière version de Flash Player
--> Télécharge la dernière version de Adobe Reader
--> Télécharge la dernière version de Java

/!\ décoche la case d'offre facultative de McAfee Security Scan Plus /!\


***

on va passer un autre outil pour un contrôle

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

• Télécharge Malwarebytes Anti-Malware (version gratuite) et enregistre le sur le Bureau (version gratuite)
• Double-clique sur le fichier mbam-setup.exe pour lancer l'installation
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Choisis ta langue et accepte la licence
• A la fin de l'installation, décoche l'option "Activer l'essai gratuit de Malwarebytes Anti-Malware Premium". La case Exécuter Malwarebytes Anti-Malware reste cochée.
• Clique sur Terminer. Malwarebyte's s'ouvre
• Pour mettre en français s'il est en anglais, dans Settings, puis General Settings, dans Language, sélectionne French
• Dans le tableau de bord qui s'ouvre, la Version de la base de données doit se mettre à jour, si non, clique sur le lien Mettre à jour pour installer les mises à jour et laisse l'outil les installer
• Dans Paramètres, puis Détection et protection, sélectionne Traiter les détections comme des malveillants pour les détections PUP et PUM
• Dans Examen, coche Analyse des Menacessi elle n'est pas sélectionnée, puis clique sur Lancer l'analyse
• Si l'outil te propose d'autres mises à jour, valide en cliquant sur Mettre à jour maintenant
• Patiente le temps de l'analyse
• Pour supprimer les éléments détectés, clique sur Tout mettre en quarantaine
• Si un redémarrage est demandé, clique sur Yes
• Au redémarrage, relance Malwarebytes
• Dans Historique, clique sur Journaux de l'application
• Sélectionne le journal d'examen le plus récent, puis clique sur Afficher
• Clique sur Exporter puis sur Fichier texte (*.txt)
• Enregistre le rapport sur ton Bureau. Poste ce rapport dans ta prochaine réponse
  Le journal d'examen est aussi enregistré sous C:\ProgramData\Malwarebytes\Ma lwarebytes' Anti-Malware\Logs

Tutoriel d'utilisation Malwarebytes Aide en images

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"

[Chabert33]

Bonjour, je viens de telecharger adobe et flash. En ce qui concerne java un message d'avertissement apparait :

**Nous avons détecté que vous utilisez Google Chrome et ne pouvez peut-être pas vous servir du plug-in de Java dans ce navigateur Web. Depuis la version 42 (publiée en avril 2015), Chrome a désactivé le mode standard de prise en charge des plug-ins par les navigateurs Web**

Je lance le telechargement de java malgres tout ?

En ce qui concerne Malware bytes je possede deja la version premium et l'option : traiter les detections comme des malveillant pour PUP et MUP etait deja en place.
Je lance le telechargement t'envoi le fichier texte des la fin de l'analyse

[Chabert33]

Ci joint le rapport malwarebytes

[xsun]

re

ok pour le rapport

concernant java, tu peux le télécharger mais il faut ensuite faire une manip pour l'activer dans Chrome:
Activer java NPAPI

Pour info:

Prise en charge de NPAPI par Chrome
Le plug-in Java pour les navigateurs Web est basé sur l'architecture de plug-in interplate-forme NPAPI, qui est depuis longtemps et encore à ce jour pris en charge par l'ensemble des principaux navigateurs Web. En septembre 2013, Google a annoncé qu'il comptait supprimer la prise en charge de NPAPI par Chrome d'ici à la fin de l'année 2014, supprimant ainsi la prise en charge pour Silverlight, Java, Facebook Video et d'autres plug-ins similaires basés sur NPAPI. Google a récemment modifié son plan et a indiqué qu'il comptait supprimer complètement la prise en charge de NPAPI à la fin de l'année 2015. Dans la mesure où il est impossible de savoir si ce délai sera à nouveau prolongé, nous recommandons vivement aux utilisateurs de Java d'envisager une alternative à l'utilisation de Chrome dès que possible. Nous recommandons l'utilisation de Firefox, d'Internet Explorer et de Safari comme solutions à plus long terme. Depuis avril 2015 et Chrome version 42, Google a ajouté des étapes de configuration supplémentaires pour l'exécution des plug-ins basés sur NPAPI comme Java. Reportez-vous à la section Activation de NPAPI dans Chrome version 42 et ultérieur ci-dessous.

Source: https://www.java.com/fr/download/faq/chrome.xml


***

Comment se comporte ton système

Si pas de soucis, on finalise


Télécharge DelFix (de Xplode) sur ton bureau.

• Ferme toutes tes fenêtres, puis double clique sur DelFix.exe pour le lancer.
  (Utilisateur de Vista/Windows 7/windows 8, faites un clic droit -> "Exécuter en tant qu'administrateur")
• laisse l'option "Supprimer les outils de désinfection" cochée
• coche aussi l'option "Purger la restauration système" <-- /!\ important /!\
• Clique sur le bouton "Exécuter"
• Laisse travailler l'outil.

Le rapport est enregistré à la base de ton disque dur, (C:\DelFix.txt généralement)

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"


***


Tu es la meilleure protection pour ton pc , en suivant quelques conditions:

--> Tenir à jour son système (windows, navigateurs, java, Adobe Reader, Flash player, etc ...)=> Qu'est-ce qu'une faille de sécurité?

--> D'une manière générale, vérifier/décocher les cases qui proposent d'ajouter des logiciels additionnels dans les programmes d'installation , lire ici aussi

--> P2P, crack, keygen .... <= Attention ...

--> Il faut éviter de télécharger des applications sur des plateformes comme Softonic et O1.net (ou toute autre plateforme, sans faire une recherche préalable sur le site en question) qui repackent les logiciels et les redistribuent avec des indésirables, tout simplement pour gagner de l'argent, alors que l'auteur de l'application la distribue gratuitement.
/!\ Toujours privilégier le téléchargement d'une application sur le site de l'éditeur /!\

--> Sauvegarder ses données régulièrement (photos, documents,etc ...) sur un autre support (DVD, disque dur externe ...) avant qu'il ne soit trop tard (ordinateur qui tombe en panne, malware de type Ransomware, ...etc...)


***

Pour éviter de te faire réinfecter par des adwares à l'avenir, entraîne-toi à ne pas tomber dans leurs pièges en utilisant cet outil :

• Télécharge Adware Prevention de guigui0001 sur ton bureau.
• Ton navigateur ou ton antivirus peuvent le détecter comme une menace ; ignore ces avertissements.
• Lance-le en double-cliquant dessus (sous Windows 8, à l'activation de la protection SmartScreen, il faut cliquer sur Informations Complémentaires > Exécuter quand même)
• Cet outil est une fausse installation (il n'installe rien sur ton ordinateur). Son but est de s'entrainer à ne pas installer des logiciels potentiellement indésirables.
• A la fin de cette fausse installation, l'outil fait un bilan de tes décisions. Suis attentivement les conseils qu'il te donne.
• Adopte alors la même vigilance lors de tes futures installations, qui seront réelles cette fois-ci !
• Aide en image

Profite de Adware Prevention pour voir ce qu'est une installation personnalisée, ce logiciel n'installe rien sur ton ordinateur
essaye toutes les options de ce logiciel, c'est sans risque et son but est de faire comprendre le principe pour éviter à l'avenir d'installer des logiciels indésirables (proposés insidieusement par défaut)

[Chabert33]

Avant de finaliser je prefere attendre un peu. Mon pc se coupait intempestivement mais de maniere tres irreguliere , parfois plusieurs fois par jour, parfois seulement tous les 3 jours. Donc je reviens vers toi dans 3 jours si il ne c'est pas coupe tout seul.
En tout cas il va beaucoup plus vite

(pour les coupures on avait deja ecarte le probleme de carte mere et ventilateur)

[xsun]

re

pas de soucis pour dans 3 jours

Tu dis avoir écarté le ventilateur, c'est à dire que tu l'as ouvert et dépoussiéré à l'intérieur ?

[Chabert33]

Trois jours ... ou un peu plus :s
Le ventilateur avait ete ecarte car il semblait bien marcher (nettoyage et verification qu'il tournait), et que lors des coupures du pc celui ci n'etait pas en surchauffe.

Apres plusieurs jours ou le pc a fonctionner sans probleme, les coupures sont revenues oO
Je dois avouer que j'y comprend pas grand chose ...

Je viens de retrouver un papier sur lequel j'avais noter un message d'erreur assez long avec a la fin noter info tech :
stop:0*00000093
(0*00000000000013B8, 0*000(repetition du meme code)

crash dump

Le message date d'il y a quelques mois, et les autres fois le message d'erreur n'est pas ecrit.
Peut etre que le probleme n'est plus infectieux et que je dois demander de l'aide dans une autre section du forum ?

Un grand merci en tout cas

[xsun]

re

je pense sincèrement que ce n'est pas dû à une infection


***


Voyons si on peut voir les erreurs avec cet outil:

Télécharge Whocrashed (de Daniel Ternhell) sur ton bureau.

Descend dans la page jusqu'à Crash Analysis Tools et clique sur Download free home edition
Double-clique sur whocrashedSetup.exe pour lancer l'installation.
(utilisateur de Windows Vista\7\8 : clique droit sur whocrashedSetup.exe et sélectionne "exécuter en tant qu'administrateur")

Suis le processus d'installation puis lance le programme.
Clique sur Analyze en haut.

Descend l'ascenseur et copie le contenu de l'encart Crash Dump Analysis dans ta prochaine réponse.
(Note : s'il y de nombreux rapport, seulement les deux derniers)

Ferme le programme.

***

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"

[Chabert33]

Voici les deux derniers rapports de who crashed et la conclusion

[xsun]

re

Je pense que le soucis principal devrait venir de:
nvlddmkm.sys (NVIDIA Windows Kernel Mode Driver, Version 331.65 , NVIDIA Corporation)

même s'il y a aussi: klif.sys (Klif Mini-Filter [fre_wlh_x64], Kaspersky Lab ZAO)


Je te conseille de poster dans le forum adéquate en y postant aussi le rapport de WhoCrashed
D'autres intervenants seront plus capables de t'aider que moi dans ce domaine

[Chabert33]

Merci pour toute ton aide.
Je n'arrive a determiner quelle est la section adaptee : materiel and hardware ?

Une derniere question, j'ai vu qu'habituellement vous supprimiez zhpcleaner et autres, je terminerais la procedure apres avoir regler le probleme de crash ou bien je le fait maintenant ?

[xsun]

re

je ne connais pas encore trop les autres forums de Futura mais je pense aussi que le forum matériel et hardware est bien adapté, si jamais, les habitués de diront où poster


***

c'est vrai que tu n'avais pas lancer Delfix
tu peux le faire maintenant, cela concerne les outils de désinfections


Télécharge DelFix (de Xplode) sur ton bureau.

• Ferme toutes tes fenêtres, puis double clique sur DelFix.exe pour le lancer.
  (Utilisateur de Vista/Windows 7/windows 8.1, faites un clic droit -> "Exécuter en tant qu'administrateur")
• laisse l'option "Supprimer les outils de désinfection" cochée
• coche aussi l'option "Purger la restauration système" <-- /!\ important /!\
• Clique sur le bouton "Exécuter"
• Laisse travailler l'outil.

Le rapport est enregistré à la base de ton disque dur, (C:\DelFix.txt généralement)

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"