Malware - "Beautydeals" + Js:Includer-BWE [Trj]

[IDouche]

Bonjour,

J'utilisais auparavant GoogleChrome jusqu'à ce qu'Avast m'indique qu'une menace nommée Js:Includer [Trj] à chaque fois que je chargeais une nouvelle page web. J'ai essayé de supprimer le Tojan sans succès, j'ai alors désinstallé Google Chrome. En le désinstallant, j'ai remarqué de nombreux fichiers suspects de type "beautydeals" qui sont présents également dans le dossier "cache2" de Mozilla Firefox que je viens tout juste dinstaller sur le site de l'éditeur.
J'ai d'ors et déjà lu un topic sur "beautydeals" qui indiquait de fournir les rapports suivants, toutes applications closes et FRST enregistré sur le bureau exécuté en tant qu'admin. Voici les deux rapports afin de gagner du temps si vous en avez besoin.
En outre, je ne sais pas si je suis infecté par d'autres virus ou malware mais je trouve mon explorateur windows extrêmement lent.

Pouvez vous m'aider?

Merci d'avance!

Quentin
-----

[xsun]

bonjour

je vais regarder tes rapports

mais réponse que demain

[IDouche]

Bonsoir! Demain c'est déjà super, merci beaucoup !

[xsun]

re


Depuis l’écran d’accueil de Windows , tapes programmes , choisis la catégorie Paramètres et ouvrir Ajouter ou supprimer des programmes


Désinstalle (si présents) : (si un programme ne veut pas se désinstaller ou bien absent de la liste, passes à la suite)
--> Spybot - Search & Destroy = obsolète et peut interférer dans la procédure
--> Shared C Run-time for x64 --> McAfee (sauf réelle utilité)


***

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

FRST - Correctif :

--> Ouvre le Bloc-notes Aide en image pour ouvrir le bloc note windows 8
--> Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes

start
CreateRestorePoint:
CloseProcesses:
Hosts:
RemoveProxy: 
HKU\S-1-5-21-2858369451-1972659567-3723233598-1001\...\Run: [SpybotSD TeaTimer] => C:\Program Files (x86)\Spybot - Search & Destroy\TeaTimer.exe [2144088 2009-01-26] (Safer Networking Limited)
HKU\S-1-5-21-2858369451-1972659567-3723233598-1001\...\RunOnce: [Application Restart #0] => C:\Program Files (x86)\Google\Chrome\Application\chrome.exe  --extensions-on-chrome-urls --test-type --load-extension="c:\Program Files\Google\Chrome\Application\Extensions\chrome\app" --load-componen (the data entry has 143 more characters).
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
BHO: No Name -> {254CBBC8-3B06-061C-3D19-2F3477C3A274} ->  No File
BHO-x32: Spybot-S&D IE Protection -> {53707962-6F74-2D53-2644-206D7942484F} -> C:\Program Files (x86)\Spybot - Search & Destroy\SDHelper.dll [2009-01-26] (Safer Networking Limited)
Toolbar: HKLM - Freecorder Toolbar - {1392B8D2-5C05-419F-A8F6-B9F15A596612} -  No File
FF Plugin-x32: @pandonetworks.com/PandoWebPlugin -> C:\Program Files (x86)\Pando Networks\Media Booster\npPandoWebPlugin.dll No File
FF Extension: Avira Browser Safety - C:\Users\Quentin\AppData\Roaming\Mozilla\Firefox\Profiles\gHbzzgxq.default\Extensions\abs@avira.com [2015-06-26]
FF HKLM-x32\...\Thunderbird\Extensions: [msktbird@mcafee.com] - C:\Program Files\McAfee\MSK
CHR HKLM\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk] - https://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk] - https://clients2.google.com/service/update2/crx
R2 SBSDWSCService; C:\Program Files (x86)\Spybot - Search & Destroy\SDWinSec.exe [1153368 2009-01-26] (Safer Networking Ltd.)
2015-06-26 12:26 - 2015-06-26 16:37 - 00000000 ____D C:\ProgramData\Avira
2015-06-26 12:26 - 2015-06-26 16:37 - 00000000 ____D C:\Program Files (x86)\Avira
2015-06-29 19:04 - 2013-05-08 15:08 - 00003600 _____ C:\WINDOWS\System32\Tasks\Optimize Start Menu Cache Files-S-1-5-21-2858369451-1972659567-3723233598-1001
2015-06-29 01:48 - 2014-11-18 22:04 - 00000336 _____ C:\WINDOWS\Tasks\Spybot - Search & Destroy -  Scheduled Task.job
2015-06-28 23:03 - 2014-11-18 21:41 - 00000004 _____ C:\Users\Quentin\AppData\Roaming\appdataFr2.bin
2014-11-18 21:41 - 2015-06-28 23:03 - 0000004 _____ () C:\Users\Quentin\AppData\Roaming\appdataFr2.bin
2015-06-28 22:29 - 2014-09-09 00:53 - 00000000 ____D C:\ProgramData\Spybot - Search & Destroy
2015-06-26 14:46 - 2014-05-04 15:26 - 00000000 ____D C:\Program Files (x86)\saVe! net
2015-06-26 12:15 - 2014-11-18 22:04 - 00002612 _____ C:\WINDOWS\System32\Tasks\Spybot - Search & Destroy -  Scheduled Task
2014-10-12 13:25 - 2014-10-12 13:25 - 0003584 _____ () C:\Users\Quentin\AppData\Local\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
Task: {F6E624E3-5E3C-4735-8766-41086568F23A} - System32\Tasks\RunAsStdUser Task => C:\Users\Quentin\AppData\Local\Oxy\Application\oxy.exe <==== ATTENTION
Task: {F8DFA05D-6CC0-4B6A-8377-EFA21E88973F} - System32\Tasks\Spybot - Search & Destroy -  Scheduled Task => C:\Program Files (x86)\Spybot - Search & Destroy\SpybotSD.exe [2009-01-26] (Safer Networking Limited)
Task: C:\WINDOWS\Tasks\DriverToolkit Autorun.job => C:\Program Files (x86)\DriverToolkit\DriverToolkit.exe
Task: C:\WINDOWS\Tasks\Spybot - Search & Destroy -  Scheduled Task.job => C:\Program Files (x86)\Spybot - Search & Destroy\SpybotSD.exe
C:\Program Files (x86)\Spybot - Search & Destroy
C:\Program Files (x86)\Google\Chrome
C:\Program Files (x86)\Pando Networks
C:\Program Files\McAfee
C:\Program Files (x86)\DriverToolkit
C:\Users\Quentin\AppData\Local\Oxy
EmptyTemp:
end

• Enregistre le fichier au même endroit que FRST= ton bureau /!\Important/!\ sous le nom fixlist.txt
• Ferme toutes les applications, y compris ton navigateur
• Double-clique sur FRST.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
  
• L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"

***

tu dois donc fournir le rapport Fixlog.txt

[A voir en vidéo sur Futura]

[IDouche]

Bonjour, déjà merci !

Ensuite, je ne vois aucune trace de " Shared C Run-time for x64 " dans le menu de désinstallation. Il me semble qu'auparavant j'avais cliqué sur un exécutable de type "uninstll.exe" dans le dossier McAfee pour procéder à la désinstallation. J'ai désinstallé Spybot avec succès: il m'indique que d'éventuels résidus sont à supprimer manuellement.

J'ai copié le code dans le BlocNote et je l'ai bien enregistré sur le bureau avec ses frères FRST.txt et Addition.txt et de son père FRST64.exe.
J'ai ensuite exécuté en tant qu'admin FRST64.exe avant de cliquer sur "Fix". Au bout dun certain temps, le programme à quitté inopinément. Je l'ai donc relancé à nouveau en tant qu'administrateur et la manip s'est bien passée. Le système a ensuite redémarré.

Ci-joint le fichier Fixlog.txt

J'attends la suite des instructions !

Quentin

[xsun]

re

ok, pas grave pour Shared C Run-time for x64


***

on continue:


=> AdwCleaner- Recherche:

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

• Télécharge AdwCleaner de Xplode et enregistre le fichier sur ton Bureau
• Ferme toutes les applications, y compris ton navigateur
• Double-clique sur l'icône AdwCleaner.exe pour lancer l'installation
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Sur le menu principal, clique sur Scanner
• Les éléments détectés s'affichent dans les différents onglets. Clique sur Rapport
• Un rapport AdwCleaner(R).txt s'ouvre. Poste ce rapport dans ta prochaine réponse
  Le rapport se trouve sous C:\AdwCleaner(R).txt

Aide en image pour AdwCleaner

***

ZHPCleaner-Scanner

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

• Télécharge ZHPCleaner de Nicolas Coolman en cliquant sur le bouton bleu "Télécharger" et enregistre-le sur le Bureau
• Ferme toutes les applications, y compris le navigateur
• Double-clique sur l'icône ZHPCleaner.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Accepte, après l'avoir lu, l'accord de licence en cliquant sur J'accepte
• Clique sur le bouton Scanner
  
• Poste le rapport obtenu ZHPCleaner.txt qui s'affiche.
  
  Tutoriel d'utilisation ZHPCleaner en images

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"

***

tu as donc deux rapports à fournir
--> C:\AdwCleaner(R).txt en mode scanner/recherche
--> ZHPCleaner.txt en mode scanner/recherche

[IDouche]

Bonjour, voilà les deux rapports !

Il me semble avoir déjà effectué un scan AdwCleaner par le passé, j'imagine que c'est pour cela qu'il y a le "[R2]".

[xsun]

re

ok ... une question, tu utilises cacaoweb ?

[IDouche]

Non pas nécessairement, je l'ai installé pour ma copine quand elle vient à la maison et qu'elle veut qu'on regarde un film. C'est pleins de nuisibles ?

[xsun]

re

il n'a pas bonne réputation
et si on lance AdwCleaner et ZHPCleaner en mode suppression .... il ne va pas rester

[IDouche]

Aucun problème pour moi

[xsun]

ok

je n'ai pas toucher à cacaoweb avec FRST,

si tu changes d'avis, tu décoches les entrées le concernant dans AdwCleaner

AdwCleaner - Suppression

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

• Ferme toutes les applications, y compris ton navigateur
• Double-clique sur l'icône AdwCleaner.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Sur le menu principal, clique sur Scanner
• Les éléments détectés s'affichent dans les différents onglets. Clique sur Nettoyer et valide par OK la fermeture des programmes
• Patiente le temps de l'analyse et valide le message d'informations
• Un redémarrage est demandé, valider par OK
• Au redémarrage, un rapport AdwCleaner(S).txt s'ouvre. Poste ce rapport dans ta prochaine réponse
  Le rapport se trouve sous C:\AdwCleaner(S).txt

Sous IE, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même


Si ton antivirus émet une alerte ou bloque l'outil, il faut le désactiver temporairement (le fichier AdwCleaner.exe est sûr)
Aide en image pour AdwCleaner


***

tu passes ZHPCleaner en mode suppression, si vraiment cacaoweb n'est pas un soucis

ZHPCleaner-Nettoyer


/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

• Ferme toutes les applications, y compris le navigateur
• Double-clique sur l'icône ZHPCleaner.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Clique sur le bouton Scanner et patiente le temps de l'analyse, puis clique sur le bouton Nettoyer
• L'interface de réparation s'affiche, clique sur Nettoyer. Le nettoyage se lance
  [
• Patiente le temps du nettoyage
• Si un redémarrage est nécessaire pour compléter le nettoyage, clique sur OK et redémarre le système
• Au redémarrage, le rapport de nettoyage ZHPCleaner.txt s'affiche. Poste le rapport obtenu.
  
  Tutoriel d'utilisation ZHPCleaner en images

***

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"

***

tu as donc un ou deux rapports à fournir
--> C:\AdwCleaner(S).txt
--> ZHPCleaner.txt suivant ton choix

[IDouche]

Bonsoir, voilà les deux rapports. J'ai choisi de supprimer "cacaoweb" du coup

[xsun]

re

ok

Tu utilises la synchronisation entre Google chrome et ton compte Google ?

[IDouche]

Il ne me semble pas mais je n'en suis pas sûr... En tout cas j'ai désinstallé Chrome avant de vous demander de l'aide et je suis désormais sur Mozilla Firefox !

[xsun]

ok

Bon choix, mais ré-installe quand même Google Chrome

As tu toujours le message d'Avast ?

[IDouche]

J'ai réinstallé Chrome et synchronisé mon compte Google avec le navigateur. Aucun message d'avast. Dois-je continuer à utiliser Chrome ou Firefox? Quel est le plus safe?

Comment transférer les bookmarks de Firefox sur Chrome ?

En tout cas merci beaucoup.

[xsun]

point de vue confidentialité ... Google Chrome n'est vraiment pas bien réputé
après, c'est toi décide avec lequel tu es le mieux

Comment transférer les bookmarks de Firefox sur Chrome ?

De firefox vers chrome ... ou chrome vers firefox ?

[IDouche]

Je vais désinstaller Google Chrome: rien qu'après avoir ouvert chrome et relancé un scan avec adwcleaner, celui-ci a retrouvé un fichier suspect. J'ai immédiatement supprimé et je vais donc désinstaller Chrome.

Je souhaitais savoir comment les passer de Firefox vers Chrome mais c'est inutile désormais

[xsun]

ok, mais rien à voir avec Google Chrome

Tu dois Interrompre la synchronisation et supprimer les données synchronisées (réinitialiser la synchronisation)

ceci dit ... dans le style Google Chrome mais version open source, donc pas de soucis avec la confidentialité: teste ceci: SRWare Iron ... Version portable

Dès que tu confirmes que ton système est ok, on finalise

[IDouche]

J'ai désynchronisé mon compte de Google Chrome. Mon système à l'air correct, plus rien au scan.

[xsun]

re

très bien, on finalise

Télécharge DelFix (de Xplode) sur ton bureau.

• Ferme toutes tes fenêtres, puis double clique sur DelFix.exe pour le lancer.
  (Utilisateur de Vista/Windows 7/windows 8, faites un clic droit -> "Exécuter en tant qu'administrateur")
• laisse l'option "Supprimer les outils de désinfection" cochée
• coche aussi l'option "Purger la restauration système" <-- /!\ important /!\
• Clique sur le bouton "Exécuter"
• Laisse travailler l'outil.

Le rapport est enregistré à la base de ton disque dur, (C:\DelFix.txt généralement)

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"


***


Tu es la meilleure protection pour ton pc , en suivant quelques conditions:

--> Tenir à jour son système (windows, navigateurs, java, Adobe Reader, Flash player, etc ...)=> Qu'est-ce qu'une faille de sécurité?

--> D'une manière générale, vérifier/décocher les cases qui proposent d'ajouter des logiciels additionnels dans les programmes d'installation , lire ici aussi

--> P2P, crack, keygen .... <= Attention ...

--> Il faut éviter de télécharger des applications sur des plateformes comme Softonic et O1.net (ou toute autre plateforme, sans faire une recherche préalable sur le site en question) qui repackent les logiciels et les redistribuent avec des indésirables, tout simplement pour gagner de l'argent, alors que l'auteur de l'application la distribue gratuitement.
/!\ Toujours privilégier le téléchargement d'une application sur le site de l'éditeur /!\

--> Sauvegarder ses données régulièrement (photos, documents,etc ...) sur un autre support (DVD, disque dur externe ...) avant qu'il ne soit trop tard (ordinateur qui tombe en panne, malware de type Ransomware, ...etc...)


***

Pour éviter de te faire réinfecter par des adwares à l'avenir, entraîne-toi à ne pas tomber dans leurs pièges en utilisant cet outil :

• Télécharge Adware Prevention de guigui0001 sur ton bureau.
• Ton navigateur ou ton antivirus peuvent le détecter comme une menace ; ignore ces avertissements.
• Lance-le en double-cliquant dessus (sous Windows 8, à l'activation de la protection SmartScreen, il faut cliquer sur Informations Complémentaires > Exécuter quand même)
• Cet outil est une fausse installation (il n'installe rien sur ton ordinateur). Son but est de s'entrainer à ne pas installer des logiciels potentiellement indésirables.
• A la fin de cette fausse installation, l'outil fait un bilan de tes décisions. Suis attentivement les conseils qu'il te donne.
• Adopte alors la même vigilance lors de tes futures installations, qui seront réelles cette fois-ci !
• Aide en image

Profite de Adware Prevention pour voir ce qu'est une installation personnalisée, ce logiciel n'installe rien sur ton ordinateur
essaye toutes les options de ce logiciel, c'est sans risque et son but est de faire comprendre le principe pour éviter à l'avenir d'installer des logiciels indésirables (proposés insidieusement par défaut)

[IDouche]

Bonjour, voici le dernier rapport de scan.

Merci pour tout ces conseils, merci pour toute cette patience. MERCI POUR TOUT.

P.S: En cherchant au hasard dans les fichiers AppData, j'ai retrouvé 4 fichiers beautydeals que j'ai supprimé, ça suffit non?

[xsun]

re

ok pour le rapport Delfix

Après les 3 outils passés, ce sont certainement des "restes" non actifs de Beautydeals

Tu peux passer cet outil (que tu pourras garder en faisant des scans de temps en temps)

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\


Malwarebytes Anti-Malware

• Télécharge Malwarebytes Anti-Malware (version gratuite) et enregistre le sur le Bureau (version gratuite)
• Double-clique sur le fichier mbam-setup.exe pour lancer l'installation
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Choisis ta langue et accepte la licence
• A la fin de l'installation, décoche l'option "Activer l'essai gratuit de Malwarebytes Anti-Malware Premium". La case Exécuter Malwarebytes Anti-Malware reste cochée.
• Clique sur Terminer. Malwarebyte's s'ouvre
• Pour mettre en français s'il est en anglais, dans Settings, puis General Settings, dans Language, sélectionne French
• Dans le tableau de bord qui s'ouvre, la Version de la base de données doit se mettre à jour, si non, clique sur le lien Mettre à jour pour installer les mises à jour et laisse l'outil les installer
• Dans Paramètres, puis Détection et protection, sélectionne Traiter les détections comme des malveillants pour les détections PUP et PUM
• Dans Examen, coche Analyse des Menacessi elle n'est pas sélectionnée, puis clique sur Lancer l'analyse
• Si l'outil te propose d'autres mises à jour, valide en cliquant sur Mettre à jour maintenant
• Patiente le temps de l'analyse
• Pour supprimer les éléments détectés, clique sur Tout mettre en quarantaine
• Si un redémarrage est demandé, clique sur Yes
• Au redémarrage, relance Malwarebytes
• Dans Historique, clique sur Journaux de l'application
• Sélectionne le journal d'examen le plus récent, puis clique sur Afficher
• Clique sur Exporter puis sur Fichier texte (*.txt)
• Enregistre le rapport sur ton Bureau. Poste ce rapport dans ta prochaine réponse
  Le journal d'examen est aussi enregistré sous C:\ProgramData\Malwarebytes\Ma lwarebytes' Anti-Malware\Logs

Tutoriel d'utilisation Malwarebytes Aide en images

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"

[IDouche]

Désolé, j'étais occupé aujourd'hui !

Voici le dernier rapport.

[xsun]

re

pas de soucis, la vie réelle avant tout

ouvre une dernière fois Malwarebytes, clique sur l'onglet Historique puis --> Quarantaine et cliques sur Supprimer tout

[IDouche]

Voilà c'est fait, merci