Ouverture d'onglets multiples sur Firefox

[PhO31]

Bonjour,

D'abord merci pour le temps que vous consacrez à aider les pôv' internautes que nous sommes à résoudre leurs soucis. J'ai déjà passé quelques heures à lire les discussions sur ce forum et à essayer plusieurs techniques pour venir à bout du truc qui m'ouvrait Firefox + 24 onglets à chaque fois que je le connectais à un nouveau lien (encore pire avec IE, naturally).

Bref, je vous la fais courte : mon PC fixe a été passé à ATF, puis RSIT (cf. log ci-joint),ESET... et finalement Combofix (cf. log + info ci-joints) que j'ai eu un mal de chien à mettre en place parce que McAfee me le collait en quarantaine.

Apparemment, ça va beaucoup mieux (visiblement, le principal problème était sur le boot), mais comme le tuto de Combofix recommande de vous poster le log pour vérification, voici mon 'petit' message. Pouvez-vous voir s'il y a encore quelque chose à faire pour nettoyer la situation ?

Par ailleurs, j'en ai profité pour passer mon PC portable à Combofix (de peur de m'être auto-infecté avec la clef USB) : je vous joins également le log pour le cas où il y aurait un bug qu'il me faudrait encore corriger.

Par avance merci pour vos avis zavisés !
-----

[invitec04351b8]

Bonsoir,

tu as eu de la chance.

Tu as été infecté par une des infections actuelles les plus sophistiquées, tu utilises un outil dont le mode d'emploi dit qu'il doit être utilisé à la demande d'un helpeur formé à l'outil.

Et tu t'en sors !

===
Télécharge seaf.exe de C__XX


*Double clique sur SEAF.exe ( clic droit et "Exécuter en tant qu'administrateur" pour Vista).

*Une fenêtre Cmd va s'ouvrir.

*Tape [moreoption],xbwg.oko,xugptq dans cette fenêtre et "Entrée".

*Patiente pendant la recherche.

*Une fenêtre avec un log .txt va s'afficher.

*Copie/colle ce rapport dans ta prochaine réponse.

===

Ouvre l'Explorateur Windows, cherche C:\Program Files\trend micro\HP_Administrateur.exe.

Fais un double clic sur ce fichier pour lancer HijackThis.

• Choisis Do a scan only
  
• Coche la case devant les lignes suivantes
  
  

  F2 - REG:system.ini: Shell=explorer.exe rundll32.exe xbwg.oko xugptq

• Ferme toutes les fenêtres (hormis HijackThis), y compris ton navigateur.
  
• Clique sur Fix checked.
  
• Ferme Hijackthis.

===

Relance RSIT et poste le nouveau rapport (log.txt)

@+

PS on verra après pour le portable.

[PhO31]

Bonjour Lyonnais,

Tu me fiches une trouille rétrospective...

Bon, j'ai lancé SEAF et ça donne le log ci-joint (rien trouvé, apparemment). Idem pour Hijackthis puisque je n'ai pas trouvé la commande que tu indiquais (pas très vendeur "xbwg.oko xugptq
" comme prochain cataclysme mondial sur le net ).

Je te mets tout de même le log de Hijackthis au cas où ça se serait logé ailleurs. Et pour finir le log RSIT.

Je laisse le portable au repos le temps d'en finir avec celui-ci.

Hasta pronto,

[invitec04351b8]

Re,

oui, tu peux avoir peur.

D'ailleurs, il faut que tu changes tous tes mots de passe et que tu surveilles tes comptes bancaires si tu as effectué des opérations (ou laissé des coordonnés bancaires) sur l'ordi.

===


Télécharge Malware Byte's Antimalware et installe le (assure toi qu'il se soit bien mis à jour avant de passer à la suite).

• Redémarre en mode sans échec :
  • Redémarre ton ordinateur
  • Après avoir entendu l'ordinateur biper lors du démarrage, mais avant que l'icône Windows apparaisse, tapote la touche F8 (une pression par seconde).
  • A la place du chargement normal de Windows, un menu avec différentes options devrait apparaître.
  • Choisis la première option, pour exécuter Windows en mode sans échec, puis appuie sur "Entrée".
  • Choisis ton compte.

• Lance MBAM et sélectionne "Exécuter un examen complet". Patiente le temps du scan.
• Une fois le scan terminé,clique sur "Supprimer la sélection".

Si MBAM a besoin de redémarrer pour terminer la suppression, accepte en cliquant sur Ok. Enregistre le rapport sur ton Bureau lorsqu'il s'affichera. Poste le en pièces jointes (vide le cache de ton navigateur si le bouton Gérer les pièces jointes n'apparait pas).

===
Fais ce scan en ligne (coche toutes les cases à chaque fois)
http://www.eset-nod32.fr/scanner.html

A la fin, colle le rapport : C:\Program Files\EsetOnlineScanner\log.tx t

===

Mets à jour Acrobat Reader, par exemple :

http://www.commentcamarche.net/telec...7-adobe-reader

@+

[A voir en vidéo sur Futura]

[PhO31]

Bonsoir Lyonnais,

Résultats des courses :

- Scan de MBAM : cf. rapport ci-joint (vierge)
- Scan de ESET : j'ai pas retrouvé le rapport indiqué (j'aurais désinstallé trop vite ?) mais je t'ai exporté le résultat des actions (1 found, 1 killed - ci-joint également).
- Màj Acrobat : fait.

Quand y'en a plus y'en a encore ?

Hasta pronto,

[yoda1234]

Les rapports complets sont indispensables au groupe anti-malware, ce sont leurs yeux.
Ils n'ont pas encore de boule de cristal.

j'ai pas retrouvé le rapport indiqué (j'aurais désinstallé trop vite ?)

Les opérations que le groupe anti-malware demande sont relativement délicates, je te déconseille de prendre à nouveau ce genre d'initiative sans leur accord.

[invitec04351b8]

Re,

mets aussi à jour Internet Explorer.

Eset a simplement confirmé l'action de Combofix.

On va nettoyer les outils :

Démarrer, Exécuter, tape <code>combofix /uninstall</code> dans la zone de saisie puis clique sur OK.

* Télécharge ToolsCleaner par A.Rothstein & dj QUIOU sur ton Bureau.

http://pc-system.fr/TC/ToolsCleaner2.exe
hxxp://a-rothstein.changelog.fr/TC/ToolsCleaner2.exe
hxxp://pagesperso-orange.fr/AceRothstein/ToolsCleaner2.exe

* Clique sur Recherche et laisse le scan se terminer.

* Clique, sur Suppression pour finaliser.

* Tu peux, si tu le souhaites, te servir des Options facultatives.

* Clique sur Quitter, pour que le rapport puisse se créer.

* Poste moi le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur( C:\).

===

Ouvre ce lien : Restauration du système

dans un premier temps tu le suis pour désactiver la restauration système.

Tu fermes la fenêtre.

Dans un deuxième temps, tu le suis pour réactiver la restauration.

Ceci recréé automatiquement un point de restauration daté de l"heure de la réactivation.

===

Vide ta Corbeille.

@+

[invitec04351b8]

Re,

Yoda1234,

tu as raison sur le principe.

Ici, sa chance insensé le poursuit.

Ce qu'il a donné est conforme à ce que j'attendais.

Merci de ta contribution. c'est un vrai plaisir que d'avoir une modération attentive à nous faciliter la tâche (et celle des internautes par la même occasion).

@+

[PhO31]

Les opérations que le groupe anti-malware demande sont relativement délicates, je te déconseille de prendre à nouveau ce genre d'initiative sans leur accord.

Sorry, Yoda (may the force etc.)
Comme Lyonnais avait recommandé de cocher toutes les cases, j'ai aussi coché celle qui me proposait de désinstaller !

Note que si tu m'avais demandé de relancer ESET, je me serais exécuté (au sens figuré), car j'ai conscience de la délicatesse de vos opérations par endoscopie !

Je dis ça pour meubler pendant que Toolscleaner est à l'ouvrage...

Thanks again.

[PhO31]

Re-bonsoir,

Et voici le rapport de Toolcleaner...

Tu crois que c'est bon là ? (si on est reparti pour la même chose avec le portable, je vais te laisser aller dormir et je vais en faire itou... demain soir, ce sera suffisant, je mets les mines anti-personnelles pour barrer l'accès).

Best,

[invitec04351b8]

Bonjour,

sur le fixe :

tu supprimes Toolscleaner sur ton Bureau et C:\Tcleaner.txt.


Sur le portable :

tu appliques la procédure préliminaire et tu postes les rapports obtenus.

@+

[PhO31]

Bonjour Lyonnais,
(tu es plus matinal que moi !)

Pour le portable :

ATF : fait
RSIT : ci-joint les fichiers.

Je me suis permis (pardon Yoda !) de faire un examen complet avec MBAM : a priori, rien de suspect - cf. le rapport.

Cela ne m'étonne pas, à ce stade : je n'ai pas noté de comportement bizarre de cette bécane et, du reste, je l'utilise assez peu. Si tu me dis que tu as tout de même détecté quelque chose, je vais devenir total parano !

En tout cas, merci mille fois pour ton aide précieuse : ça se passe déjà nettement mieux sur le fixe.

NB : j'ai installé IE 8 (même si j'utilise surtout Firefox) - j'espère que les failles de sécurité y seront moins nombreuses.

Bonne journée.

[invitec04351b8]

Bonjour,

sur le portable :

Copie ou imprime les instructions avant

• Déconnecte toi d'internet et ferme toutes tes applications.
• Désactive tes protections (antivirus, parefeu, garde en temps réel de l'antispyware)
• Crée un nouveau document texte : clic droit de souris sur le bureau > Nouveau > Document Texte, et copie dedans les lignes suivantes :
  
  

  Driver::
  idrmkl

  
  
  
• Enregistre ce fichier sous le nom CFscript
• Fait un glisser/déposer de ce fichier CFScript sur le fichier ComboFix.exe comme sur la capture
  
• Une fenêtre bleue va apparaître: au message qui apparaît ( Type 1 to continue, or 2 to abort) , tape 1 puis valide.
• Patiente le temps du scan.Le bureau va disparaître à plusieurs reprises: c'est normal!
  Ne touche à rien tant que le scan n'est pas terminé.
• Une fois le scan achevé, un rapport va s'afficher: poste son contenu.
• Si le fichier ne s'ouvre pas, il se trouve ici > C:\ComboFix.txt

Attention : cette manip a été fait pour cet ordi. Tout réutilisation peut endommager sévèrement le système d'exploitation.

===

Je pense que c'est un résidu. L'infection semble avoir été bloquée par les logiciels de sécurité.

Tu peux continuer à utiliser Firefox.

Mais il vaut mieux avoir ses logiciels à jour.

@+

[PhO31]

Bonsoir Lyonnais,

Ci-joint le rapport de ComboFix.

C'est peut-être sans importance, mais je précise que la procédure s'est déroulée différemment de ce que tu avais décrit : pas d'invite (1 to continue...), il a commencé à travailler et à égrener les étapes ; à la fin, il a redémarré l'ordi et s'est rouvert sur une fenêtre intitulée "Find3M". Je crois que tout ceci apparaît dans le rapport.

A te lire.

Cordialement,

[invitec04351b8]

Bonjour,

le rapport indique que le fichier atapi.sys n'est pas celui du SP3. On va corriger ça.

1. Télécharger The Avenger par Swandog46 sur votre Bureau.

• Click sur Avenger.zip pour ouvrir le fichier
• Extraire avenger.exe sur votre bureau

2. Copier tout le texte de la boîte ci-dessous : mettre en surbrillance et appuyer sur les touches(Ctrl+C):

Files to move:
c:\windows\ServicePackFiles\i386\atapi.sys | c:\windows\system32\drivers\atapi.sys

Note: Le code ci-dessus a été intentionnellement rédigé pour CET utilisateur.
si vous n'êtes pas CET utilisateur, NE PAS appliquer ces directives : elles pourraient endommager votre système.
3. Maintenant, lancer The Avenger en cliquant sur son icône du bureau.

• Sous "Script file to execute" choisir "Input Script Manually".
• Puis cliquer sur l'icône en forme de loupe qui va ouvrir une nouvelle fenêtre "View/edit script"
• Dans cette fenêtre, coller le texte précedemment copié sur le bureau par les touches (Ctrl+V).
• Cliquer Done
• ensuite cliquer sur l'icône en forme de Feu Vert pour démarrer l'exécution du script
• Répondre "Yes" deux fois quand demandé.

4. The Avenger va automatiquement faire ce qui suit:

• Il va Re-démarrer le système. ( Dans les cas où le script contient un/des "Drivers to Unload", The Avenger re-démarrera votre système 2 fois.)
• Pendant le re-démarrage, il apparaitra brièvement une fenêtre de commande de windows noire sur votre bureau, ceci est NORMAL.
• Après le re-démarrage, il crée un fichier log qui s'ouvrira, faisant apparaitre les actions exécutées par The Avenger. Ce fichier log se trouve ici : C:\avenger.txt
• The Avenger aura également sauvegardé tous les fichiers, etc., que vous lui avez demandé de supprimer, les aura compactés (zipped) et tranféré l'archive zip ici C:\avenger\backup.zip.

5. Pour finir poste le ficher c:\avenger.txt dans votre réponse avec un nouveau log HijackThis en utilisant REPONDRE

@+

[PhO31]

Bonsoir Lyonnais,

Ci-joint les log de Avenger et Hijackthis.

Concernant Avenger, l'interface et les invites que j'ai eues était assez différente de celle que tu décrivais dans ton message mais les options / commandes me semblaient relativement claires, donc j'ai poursuivi.

Merci pour ton aide et, je suppose, à bientôt.

[invitec04351b8]

Re,

on va vérifier le résultat au plus simple.

Rends toi sur ce lien : Virus Total

• Clique sur Parcourir
• Navigues pour trouver ce fichier (*) :

c:\windows\system32\drivers\atapi.sys

• Clique sur Envoyer le fichier et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
• Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
• Si VirusTotal indique que le fichier a déjà été analysé, cliquer sur le bouton Reanalyse le fichier maintenant
• Lorsque l'analyse est terminée ("Situation actuelle: terminé"), clique sur Formaté
• Une nouvelle fenêtre de ton navigateur va apparaître
• Clique alors sur cette image :
• Fais un clic droit sur la page, et choisis Sélectionner tout, puis copier
• Enfin colle le résultat dans un fichier texte
• Poste ce fichier dans ta prochaine réponse.

Note : Peu importe le résultat, il est important de me communiquer le résultat de toute l'analyse.
Il est possible que tes outils de sécurité réagissent à l'envoi du fichier, en ce cas il te faudra ignorer les alertes.

(*) : si tu ne trouves pas le fichier en question, affiche tous les fichiers/dossiers :

• Démarrer, Poste de travail ou autre dossier, Menu Outils, Option des dossiers, onglet Affichage :
• Cocher la case : Afficher les fichiers et dossiers cachés
• Décocher la case : Masquer les extensions des fichiers dont le type est connu
• Décocher la case : Masquer les fichiers protégés du système d'exploitation
• cliquer sur "Appliquer"
• cliquer sur le bouton "Appliquer à tous les dossiers" / OK

@+

[PhO31]

Bonsoir Lyonnais,

Je découvre plein de trucs avec nos RDV quotidiens : j'espère que cela te permet aussi de développer encore (si c'est possible) tes connaissances dans ce domaine !

Voici le résultat de l'analyse.

Best,

[invitec04351b8]

Bonjour,

as tu encore des soucis avec cet ordi ?

@+

[PhO31]

Bonsoir,

PC fixe et PC portable : a priori, OK.
Si tu n'as rien vu de bizarre sur les derniers logs que je t'ai envoyés, Champagne !

Il me reste à te remercier pour ton aide précieuse et patiente. De mon côté, je m'emploie à améliorer la sécurité au quotidien : un peu de Secunia pour éviter les failles, des utilisateurs à droits limités pour toute la famille, etc. J'envisage même de passer à Linux !

A (pas trop) bientôt !

[invitec04351b8]

Bonsoir,

sur le portable :

Démarrer, Exécuter, tape <code>combofix /uninstall</code> dans la zone de saisie puis clique sur OK.

* Télécharge ToolsCleaner par A.Rothstein & dj QUIOU sur ton Bureau.

http://pc-system.fr/TC/ToolsCleaner2.exe
hxxp://a-rothstein.changelog.fr/TC/ToolsCleaner2.exe
hxxp://pagesperso-orange.fr/AceRothstein/ToolsCleaner2.exe

* Clique sur Recherche et laisse le scan se terminer.

* Clique, sur Suppression pour finaliser.

* Tu peux, si tu le souhaites, te servir des Options facultatives.

* Clique sur Quitter, pour que le rapport puisse se créer.

* Poste moi le rapport (TCleaner.txt) qui se trouve à la racine de ton disque dur( C:\).

@+

[PhO31]

Bonjour Lyonnais,

Voici le rapport de ToolsCleaner.

Bien à toi,

[invitec04351b8]

Bonjour,

supprime ToolsCleaner sur ton Bureau et C/\TCleaner.txt.

===

Télécharge CCleaner et installe le(attention à l'installation pense à decocher l'installation de Yahoo toolbar discrètement proposé en plus de CCleaner). Lance le en double cliquant sur CCleaner.exe

-=Suppression des fichiers temporaires=-

• Va dans la section "Options" situé dans la marge gauche. Va dans "Avancé" et décoche "Effacer uniquement les fichiers, du dossier Temp de Windows, plus vieux que 48 heures". Retourne ensuite dans la section "Nettoyeur"
• Fais bien attention de cocher toutes les cases dans la marge gauche (Internet Explorer/Windows Explorer/Système/Avancé)
• Clique sur Analyse
• Patiente le temps du scan, qui peut prendre un peu de temps si c'est la première fois.
• Une fois le scan terminé, clique sur Lancer le Nettoyage

-=Suppression des incohérence du registre=-

• Clique sur l'icône Erreurs situé dans la marge à gauche.
• Puis clique sur Analyser les erreurs
• Patiente pendant que CCleaner scanne ton registre.
• Une fois le scan terminé, coche toutes les entrèes qu'il t'aura trouvée.
• Tu peux cliquer ensuite sur Corriger les erreurs.
• Si tu n'est pas sur de ce que tu fais, tu peux choisir de sauvegarder les entrèes cochées pour les restaurer ultérieurement.

===

Est ce que C:\Documents and Settings\Jean et Anne\Local Settings\Temp\Répertoire temporaire 1 pour avenger.zip

est encore présent ?

@+

[PhO31]

Bonjour Lyonnais,

J'ai passé CCleaner comme indiqué. Le .zip que tu mentionnes n'est plus sur l'ordi.

Tu penses que c'est bon, cette fois ?

@+

[invitec04351b8]

Bonsoir,

oui, je pense que on en a terminé.

Je t'ai fait nettoyer les restaurations système ?

Les mises à jour des logiciels sont la base de la sécurité. Mais j'ai vu que tu y es attentif.

@+

[PhO31]

Hello,

"Ben, c'est tant mieux, pac'que je f'rais pas ça tous les jours..." (citation)

Restaurations système : non, je ne crois pas mais si j'en crois CCleaner, il n'y en a pas eu avant le 18.12.2009 (incroyable, non ?). J'y jetterai un oeil à l'avenir dans toutes les opérations de maintenance.

Merci encore mille fois pour ton aide qui, au-delà du problème initial, m'a appris à prendre en main la sécurité de mes ordis. Après 20 ans d'utilisation, il était peut-être temps !

Longue vie au Groupe AntiMalware !

Best,

[invitec04351b8]

Bonsoir,

oui, une désinfection ça va, trois désinfections bonjour les dégats (contre citation )

De rien pour l'aide, ce fut avec plaisir.

Surtout pour ta dernière remarque :

appris à prendre en main la sécurité de mes ordis

Bon surf (prudent)

@+