Infection malware startsear.ch .

[invite8f0438dc]

Bonsoir,

je viens solliciter votre aide car je suis incapable de le résoudre seul, et d'ailleurs vous le déconseillez vous même sur votre site. Donc voilà, je suis actuellement infecté à la suite du téléchargement du plugin Vshare permettant de regarder des vidéos streaming. Je m'en suis rendu compte en tapant une recherche dans google chrome, tout d'abord j'ai remarqué qu'il ne recherchait plus sous google, mais sous "starsear.ch", de plus ayant le plugin wot il m'a tout de suite signalé que le site n'était pas de confiance (plugin qui a d'ailleurs disparu - comme les plupart des autres - après un redémarrage de mon pc suite à un écran bleu windows). J'ai donc recherché rapidement sur google et il est apparu clairement que j'était infecté à cause de Vshare puisque je ne suis pas le seul à avoir eu ce problème récemment.

Ainsi me voilà sur votre site, car je préfère nettoyer mon pc au max avant de le ré-utiliser normalement, j'ai donc fait les premiers gestes, comme indiqué et voici les rapport log.txt & info.txt en pièces jointes.

Merci beaucoup d'avance du temps que vous m'accorderez .

Benjamin.
-----

[invitec04351b8]

Bonsoir,


Télécharge Malware Byte's Antimalware et installe le (assure toi qu'il se soit bien mis à jour avant de passer à la suite).[list]

• Lance MBAM et sélectionne "Exécuter un examen rapide". Patiente le temps du scan.
• Une fois le scan terminé,clique sur "Supprimer la sélection".

Si MBAM a besoin de redémarrer pour terminer la suppression, accepte en cliquant sur Ok. Enregistre le rapport sur ton Bureau lorsqu'il s'affichera. Poste le en pièces jointes (vide le cache de ton navigateur si le bouton Gérer les pièces jointes n'apparait pas).

===

Télécharge ZHPDiag

Enregistre le sur ton Bureau.

Une fois le téléchargement achevé,fais un double clic sur ZHPDiag.exe et suis les instructions.

N'oublie pas de cocher la case qui permet de mettre un raccourci sur le Bureau.

Double clique sur le raccourci ZHPDiag sur ton Bureau.

/|\ l'outil a créé 2 icônes ZHPDiag et ZHPFix.

Clique sur la loupe pour lancer l'analyse.

A la fin de l'analyse, clique sur l'appareil photo et enregistre le rapport sur ton Bureau.

Ouvre le fichier sauvegardé (ZHPDiag.txt) avec le Bloc-Notes et copie son contenu dans ta réponse en pièce-jointe.

@+

[invite8f0438dc]

Re,

ah bah ça tombe bien je l'avais justement dl juste avant mbam, mais bon celui ci n'a rien trouvé finalement. Voici quand même les 2 rapports en pièces jointes.

+

[invitec04351b8]

Bonsoir,

un fichier sur un CD Rom est très suspect : DPFMate.exe

Tu sais sur lequel de tes Cd il figure ?

===


Copie dans le Presse-papier les lignes ci-dessous (sélectionne les avec la souris et fais simultanément Ctrl et C)

G2 - GCE: Preference [User Data\Default] [ocphobfcfafpclibolpjdafgaffkaoci] Media Plugin v.2.0 (Activé
M2 - MFEP: prefs.js [Benima - 7wjregi8.default\plugin3@gameplaylabs.com] [] Media Plugin v3.0 (.Game Play Labs.)
M2 - MFEP: prefs.js [Benima - 7wjregi8.default\vshare@toolbar] [] vShare v1.0.0 (.vShare.)
[HKCU\Software\GamePlayLabs]
O51 - MPSK:{3611d39c-102b-11e0-bda4-0016d4cceb83}\AutoRun\command. (...) -- G:\DPFMate.exe (.not file.)
[HKCU\Software\GamePlayLabs]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{78F3A323-798E-4AEA-9A57-88F4B05FD5DD}]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{7AC3E13B-3BCA-4158-B330-F66DBB03C1B5}]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{8F97BFF8-488B-4107-BCEE-B161AB4E4183}]
[HKLM\Software\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{A1B48071-416D-474E-A13B-BE5456E7FC31}]
C:\Users\Benima\AppData\Roaming\Mozilla\Firefox\Profiles\7wjregi8.default\user.js (.not file.)
O4 - HKCU\..\Run: [AdobeBridge] Clé orpheline
O4 - HKUS\S-1-5-21-1559242839-2975967909-25571521-1000\..\Run: [AdobeBridge] Clé orpheline
O4 - Global Startup: C:\Users\Benima\Desktop\Oblivion.lnk . (...)  -- X:\Jeux\The.Elder.Scrolls.IV.Oblivion-RELOADED\Oblivion\Oblivion.exe (.not file.)
M0 - MFSP: prefs.js [Benima - 7wjregi8.default] http://startsear.ch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://startsear.ch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://startsear.ch
R0 - HKUS\S-1-5-21-1559242839-2975967909-25571521-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://startsear.ch
EmptyTemp
O43 - CFD: 17/12/2010 - 15:20:48 - [0] ----D- C:\Users\Benima\AppData\Local\{03ABCF5A-5235-4CD0-AFB5-0734DEBC8D55}
O43 - CFD: 24/12/2010 - 01:43:08 - [0] ----D- C:\Users\Benima\AppData\Local\{053E631A-3CF9-4ECB-927B-41C6A69CBC37}
O43 - CFD: 30/12/2010 - 04:25:38 - [0] ----D- C:\Users\Benima\AppData\Local\{2CB25568-F94E-4ABB-93FA-97CC237162F2}
O43 - CFD: 26/12/2010 - 13:45:02 - [0] ----D- C:\Users\Benima\AppData\Local\{2F9ACB72-47A3-46FF-82C6-38C36FA57249}
O43 - CFD: 12/01/2011 - 16:23:04 - [0] ----D- C:\Users\Benima\AppData\Local\{3024A765-8E44-46C2-A9C0-A353A1B5E7A9}
O43 - CFD: 26/02/2011 - 22:47:08 - [0] ----D- C:\Users\Benima\AppData\Local\{37A61821-07E8-466D-8F2D-6A976D3432FB}
O43 - CFD: 29/12/2010 - 01:38:48 - [0] ----D- C:\Users\Benima\AppData\Local\{3A392DB0-9D68-46FE-81B8-35F21263DD69}
O43 - CFD: 21/12/2010 - 22:07:10 - [0] ----D- C:\Users\Benima\AppData\Local\{3ABE7E25-A222-462B-9F65-F8C13ECB61A1}
O43 - CFD: 23/12/2010 - 01:42:20 - [0] ----D- C:\Users\Benima\AppData\Local\{3BEDBEAB-862E-42D2-9521-621E054CB8B8}
O43 - CFD: 12/03/2011 - 16:56:28 - [0] ----D- C:\Users\Benima\AppData\Local\{40395A31-78C2-44F5-BAA5-47BE18E6C6EA}
O43 - CFD: 04/02/2011 - 19:00:56 - [0] ----D- C:\Users\Benima\AppData\Local\{450CA1E2-A229-4567-A081-BCBC26A46ECF}
O43 - CFD: 19/12/2010 - 20:02:36 - [0] ----D- C:\Users\Benima\AppData\Local\{4F4211FC-5B22-447D-9425-F748F43357EB}
O43 - CFD: 26/12/2010 - 01:44:40 - [0] ----D- C:\Users\Benima\AppData\Local\{62E7BC23-87B3-466B-930A-07E3F30B7411}
O43 - CFD: 24/12/2010 - 13:43:30 - [0] ----D- C:\Users\Benima\AppData\Local\{636D99B4-3A2C-40A6-8242-033D4119A855}
O43 - CFD: 28/01/2011 - 15:30:24 - [0] ----D- C:\Users\Benima\AppData\Local\{67FE03B6-7B9E-44BE-960D-F90B9ED5DFD8}
O43 - CFD: 27/12/2010 - 01:45:40 - [0] ----D- C:\Users\Benima\AppData\Local\{6F4DADBA-454A-4F47-90B3-E17C647B15FB}
O43 - CFD: 07/01/2011 - 19:57:54 - [0] ----D- C:\Users\Benima\AppData\Local\{71C4C3BB-F560-4316-9BB2-A061316ED6A8}
O43 - CFD: 18/12/2010 - 20:01:32 - [0] ----D- C:\Users\Benima\AppData\Local\{75D3B775-E302-44D9-A41A-D02820609D4E}
O43 - CFD: 17/12/2010 - 08:11:42 - [0] ----D- C:\Users\Benima\AppData\Local\{77A4BC81-5FCD-432B-BA4F-9AB55E8A9730}
O43 - CFD: 20/12/2010 - 08:35:16 - [0] ----D- C:\Users\Benima\AppData\Local\{781AA953-1456-41A9-87AA-D6CAC25CDDE0}
O43 - CFD: 09/04/2011 - 18:28:40 - [0] ----D- C:\Users\Benima\AppData\Local\{7A96DF8B-E53E-4A2B-881B-A53202CB5382}
O43 - CFD: 30/03/2011 - 13:03:58 - [0] ----D- C:\Users\Benima\AppData\Local\{81CA725B-3221-4297-8149-B945BA949D8B}
O43 - CFD: 19/12/2010 - 08:02:14 - [0] ----D- C:\Users\Benima\AppData\Local\{828A01F1-B0B6-4226-AD07-E4B897A64ADF}
O43 - CFD: 30/03/2011 - 01:03:46 - [0] ----D- C:\Users\Benima\AppData\Local\{839393E4-5E88-4295-A0FF-FBD48391271C}
O43 - CFD: 23/03/2011 - 03:06:00 - [0] ----D- C:\Users\Benima\AppData\Local\{8E5383DD-DB61-44E7-8B73-7C070E3AFE04}
O43 - CFD: 21/12/2010 - 10:06:46 - [0] ----D- C:\Users\Benima\AppData\Local\{920E140D-4DA1-42CF-804F-CC58ACC39134}
O43 - CFD: 20/12/2010 - 21:00:06 - [0] ----D- C:\Users\Benima\AppData\Local\{92592F09-C57E-46D3-B80E-C209F47E035C}
O43 - CFD: 15/03/2011 - 04:05:50 - [0] ----D- C:\Users\Benima\AppData\Local\{959547B7-405A-4503-B5A0-8E1B79BC07E0}
O43 - CFD: 30/12/2010 - 16:26:00 - [0] ----D- C:\Users\Benima\AppData\Local\{981F1B5A-0017-4DFF-8895-E97FB8233BAB}
O43 - CFD: 25/12/2010 - 01:43:54 - [0] ----D- C:\Users\Benima\AppData\Local\{9CA4F343-2F7E-488A-ABC5-CCC0777BB801}
O43 - CFD: 22/12/2010 - 13:41:58 - [0] ----D- C:\Users\Benima\AppData\Local\{A0662C6C-D832-4A48-BC6F-BA6F8C738E07}
O43 - CFD: 15/12/2010 - 20:10:08 - [0] ----D- C:\Users\Benima\AppData\Local\{AE294167-CF99-4728-A8DC-4FF990687749}
O43 - CFD: 19/01/2011 - 00:11:50 - [0] ----D- C:\Users\Benima\AppData\Local\{B697AE11-473B-483D-9A72-206976251F6F}
O43 - CFD: 12/01/2011 - 04:22:26 - [0] ----D- C:\Users\Benima\AppData\Local\{BAFDC4CC-61D3-4283-84FA-F14D6F20BAA3}
O43 - CFD: 31/12/2010 - 04:26:02 - [0] ----D- C:\Users\Benima\AppData\Local\{BBB902ED-7DC8-4799-AD7A-2D1ACADDB3FC}
O43 - CFD: 23/12/2010 - 13:42:42 - [0] ----D- C:\Users\Benima\AppData\Local\{BC0D57B2-132D-4B59-B2F2-59B5E80F26CD}
O43 - CFD: 25/12/2010 - 13:44:16 - [0] ----D- C:\Users\Benima\AppData\Local\{D3ADB884-8CFA-48F8-9103-EF04067DB5CD}
O43 - CFD: 23/03/2011 - 22:20:08 - [0] ----D- C:\Users\Benima\AppData\Local\{D3C3DC09-417B-4948-B91B-89EE29F9AEE7}
O43 - CFD: 05/04/2011 - 19:22:42 - [0] ----D- C:\Users\Benima\AppData\Local\{E128593B-FACF-49D6-9D52-90019807BD6E}
O43 - CFD: 16/12/2010 - 20:11:06 - [0] ----D- C:\Users\Benima\AppData\Local\{E2EDCB57-13BE-408D-AB1E-4CD1E84A4EFE}
O43 - CFD: 10/01/2011 - 23:39:16 - [0] ----D- C:\Users\Benima\AppData\Local\{E5A1D50B-DF0D-4B91-A721-1D669D2EEA25}
O43 - CFD: 16/12/2010 - 08:10:42 - [0] ----D- C:\Users\Benima\AppData\Local\{E9D3D367-D9E4-4825-8B6C-B99A6A18B55B}
O43 - CFD: 15/12/2010 - 01:44:24 - [0] ----D- C:\Users\Benima\AppData\Local\{F83FBC38-A243-4BAB-BDA6-41F4B458E463}
O43 - CFD: 27/01/2011 - 00:39:44 - [0] ----D- C:\Users\Benima\AppData\Local\{FF28EFE1-275E-4BCA-B959-5DB573DBA786}
O43 - CFD: 04/01/2011 - 20:55:52 - [0] ----D- C:\Users\Benima\AppData\Local\{FF3F316B-2D7F-46B5-B343-A0C17178CBF4}

Déconnecte toi d'Internet et ferme toutes les applications ouvertes.


Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista et W7 : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique successivement sur l'icône H (pour effacer le rapport qui s'est affiché) puis sur l'icône de la malette cachée par la feuille.

Vérifie que toutes les lignes que je t'ai demandé de copier (et seulement elles) sont dans la fenêtre.

Clique sur OK, ce qui fait apparaître un carré à gauche de chaque ligne.

Clique sur "Tous" puis sur "Nettoyer".

Laisse l'outil travailler.

Si il te demande de redémarrer l'ordi pour achever le nettoyage, fais le immédiatement.

Le rapport d'exécution va apparaître dans la fenêtre.

Copie le dans ta réponse.

===

Fais redémarrer l'ordi.

Remets ta page d'accueil dans tes navigateurs.

@+

[A voir en vidéo sur Futura]

[invite8f0438dc]

Rapport de ZHPFix 1.12.3361 par Nicolas Coolman, Update du 06/09/2011

Tous les rapports sans exception doivent être postés en pièces jointes, ce que j'ai fait à ta place.

yoda1234.

[invite8f0438dc]

Sinon pour le cd je ne vois pas du tout, j'en utilises quasiment jamais, ou alors c'est des dvd que je regarde. Ah non le lecteur G: est un lecteur virtuel en plus crée par Daemon tools..

[invitec04351b8]

Re,

cherche si tu trouves DPFMate.exe quelque part sur ton ordi.

Encore des soucis ?

@+

[invite8f0438dc]

Re,

Aucune trace de DPFMate.exe en faisant une recherche sur le pc. Après avoir remis la recherche sous google dans les config de chrome, tout semble être revenu a la normale. J'espère qu'il n'y a plus de petit espions planqués quelque part, comme il m'arrive d'effectuer des achats sur le net...*

Merci en tout cas pour votre aide très utiles !

[invitec04351b8]

Bonjour,

tu fais redémarrer l'ordi (si ça n'a pas été fait depuis le passage de ZHPFix), tu refais tourner ZHPDiag et tu postes le rapport en pièce jointe.

On devrait finaliser très vite.

@+

[invitec04351b8]

Bonjour,

tu fais redémarrer l'ordi (si ça n'a pas été fait depuis le passage de ZHPFix), tu refais tourner ZHPDiag et tu postes le rapport en pièce jointe.

On devrait finaliser très vite.

@+

[invite8f0438dc]

Bonjour,

si j'avais redémarré quand même car c'était demandé à la fin du post, voici donc le rapport ZHPDiag en pièces jointes

+

[invitec04351b8]

Bonsoir,

relance ZHPFix avec ces lignes :

EmptyTemp
EmpryFlash
O69 - SBI: SearchScopes [HKCU] {0633EE93-D776-472f-A0FF-E1416B8B2E3A} [DefaultScope] - (Web Search) - http://startsear.ch
C:\Users\Benima\AppData\Roaming\Mozilla\Firefox\Profiles\7wjregi8.default\user.js (.not file.)
O43 - CFD: 23/11/2010 - 01:01:40 - [1717] ----D- C:\ProgramData\regid.1986-12.com.adobe

Poste le rapport.

===

Mets à jour Windows.

@+

[invite8f0438dc]

Bonsoir,

voici le rapport ZHPFix

Euh c'est pas un windows officiel en fait, je sais c'est pas bien. Mais du coup je pense pas que je puisse le mette à jour.

a+

[invitec04351b8]

Re,

alors on en restera là.

Non seulement c'est illégal, mais c'est dangereux. Et l'impossibilité de faire des mises à jour rend l'ordi vulnérable à toutes les failles de sécurité.

Pour Xp : Double clique sur l'icône ZHPFix.exe sur ton Bureau.

Pour Vista et W7 : Clique droit sur l'icône ZHPFix.exe sur ton Bureau,
puis sélectionne 'Exécuter en tant qu'administrateur'.

Clique sur le A rouge (Nettoyeur de Tools).

Clique sur Nettoyer.

Fais redémarrer l'ordi pour terminer le nettoyage.

@+

[invite8f0438dc]

Re,

je sais bien que c'est illégal, mais à l'époque je comptais obtenir une version par mon université, ce qui n'a pas été le cas, du coup j'ai oublié et gardé celle-ci. Mais bon c'est sûr que du coup je suis vulnérable.

Merci beaucoup en tout cas pour votre aide et votre temps consacré jusqu'ici.

A+