ordinateur infesté !

[invitea565ee7b]

Bonjour,
mon mari a je pense oublié de décocher une case à un moment en, téléchargeant des cours photo. Bref, je viens de passer adwcleaner, ce qui a éliminé un certain nombre de choses y compris dans les registres, ce que je ne sais pas vraiment faire manuellement. puis Combofix avec un rapport que je joins ici. Il reste des publicités (Ads by portal et Ads by on stage) ainsi qu'une modification de l'affichage des liens hypertextes qui déclenche l'ouverture d'une page de pub systématiquement. Naviguez ou même écrire ce post est compliqué .
Pouvez-vous m'indiquer la marche à suivre.système Windows 7 64 bits - microsoft security essentials (désactivé pour l'instant).
Merci d'avance pour votre aide.
-----

[invite9ce22e65]

bonjour

La personne qui utilise autant ComboFix joue avec le feu
c'est un outil très puissant, qui mal utilisé peut mettre le système HS

***

on va utiliser un outil de diagnostique

FRST Analyse

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

choisis ci-dessous la version compatible avec ton système (32 bits ou 64 bits) et Important, Enregistre FRST sur ton Bureau

• Télécharge FRST 32 bits de Farbar
• Télécharge FRST 64 bits de Farbar

Clique sur ce lien si tu ne sais pas: Comment savoir quelle version 32 bits ou 64 bits est exécutée sur mon système ?


Sous Internet Explorer, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même

• Ferme toutes les applications, y compris ton navigateur
• Double-clique sur FRST.exe et clique sur Oui pour accepter le Disclaimer
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Sur le menu principal, clique sur Scan et patiente le temps de l'analyse
• A la fin du scan, un rapport FRST.txt s'ouvre.
• A son premier lancement, l'outil va aussi créer un fichier nommé Addition.txt

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"

***

tu as donc deux rapports à fournir
--> FRST.txt
--> Addition.txt

[invitea565ee7b]

Merci pour ta réponse xsun.
J'ai exécuté FSS (en tant qu'administrateur) et lancé le scan. seul internet services était coché (cf. copie écran jointe).
Pas de fichier frst.txt sur l'ordinateur après recherche dans l'explorateur.
Je joins l'autre fichier qui s'est enregistré sur le bureau au démarrage.

[invite9ce22e65]

re

je n'ai pas demandé FSS

relis ma réponse et appliques simplement ce qui est demandé, tu cliques sur le lien donné, tu patientes 5 secondes et une petite fenêtre s'ouvre
tu clique sur enregistrer (FRST)

[A voir en vidéo sur Futura]

[invitea565ee7b]

oublie mon précédent message. je n'ai pas téléchargé le bon programme. je le fais maintenant et envoie les fichiers.

[invitea565ee7b]

Voilà les 2 fichiers

[invite9ce22e65]

re

il n'y a pas de fichier joint

[invitea565ee7b]

désolée ! il est de + en + difficile de faire quoi que ce soit car les fenetres sautent sans arrêt. Merci pour ta patience.

[invite9ce22e65]

re

Lis bien les consignes ... ne vas pas trop vite



FRST - Correctif :

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

désinstalle via le panneau de configuration/désinstaller un programme: (si un programme ne veut pas se désinstaller ou bien absent de la liste, passes à la suite)
--> globalupdate Helper (indésirable)

• Ouvre le Bloc-notes (Démarrer => Tous les programmes => Accessoires => Bloc-notes)
  
• Copie/colle la totalité du contenu de la zone Code ci-dessous dans le Bloc-notes

--> de start à end

start
CreateRestorePoint:
CloseProcesses:
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
HKU\S-1-5-21-4221947822-3569951739-3072907115-1000\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-19 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
SearchScopes: HKU\S-1-5-20 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
SearchScopes: HKU\S-1-5-21-4221947822-3569951739-3072907115-1000 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = 
SearchScopes: HKU\S-1-5-21-4221947822-3569951739-3072907115-1000 -> {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL = 
BHO-x32: No Name -> {535b69cf-44f6-4c9f-96b1-b5adb65c582d} ->  No File
BHO-x32: No Name -> {549B5CA7-4A86-11D7-A4DF-000874180BB3} ->  No File
BHO-x32: No Name -> {7ff0f7e7-8b1e-4e90-8bd5-f60cfdd71ecc} ->  No File
BHO-x32: No Name -> {FDD3B846-8D59-4ffb-8758-209B6AD74ACC} ->  No File
Toolbar: HKU\S-1-5-21-4221947822-3569951739-3072907115-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
FF Extension: Search Enginer - C:\Users\Michel2\AppData\Roaming\Mozilla\Firefox\Profiles\6w2g9j7y.default\Extensions\1435826422_xpi [2015-07-02]
FF Extension: Search Enginer - C:\Users\Michel2\AppData\Roaming\Mozilla\Firefox\Profiles\6w2g9j7y.default\Extensions\1436006130_xpi [2015-07-04]
FF Extension: Search Enginer - C:\Users\Michel2\AppData\Roaming\Mozilla\Firefox\Profiles\6w2g9j7y.default\Extensions\1436245413_xpi [2015-07-07]
FF Extension: On Stage - C:\Users\Michel2\AppData\Roaming\Mozilla\Firefox\Profiles\6w2g9j7y.default\Extensions\{3d7c9664-2383-4572-b93a-52f0d08ee5e6}.xpi [2015-07-01]
FF Extension: On Stage - C:\Users\Michel2\AppData\Roaming\Mozilla\Firefox\Profiles\6w2g9j7y.default\Extensions\{abd24c81-a6f3-4092-82a2-bbebfc21a3f6}.xpi [2015-07-07]
CHR HKLM-x32\...\Chrome\Extension: [adpeheiliennogfclcgmchdfdmafjegc] - https://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ehhlaekjfiiojlddgndcnefflngfmhen] - https://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [nociobghckdhokecfeajdpimjeapnopn] - https://clients2.google.com/service/update2/crx
S4 qifenyco; C:\Users\Michel2\AppData\Roaming\03D40274-1435902665-05AA-0F06-1C0700080009\knsj6284.tmp [343040 2015-07-08] () [File not signed]
S4 wutigomi; C:\Users\Michel2\AppData\Roaming\03D40274-1435129608-05AA-0F06-1C0700080009\knsk79FB.tmp [598528 2015-07-07] () [File not signed]
S4 xoperoze; C:\Users\Michel2\AppData\Roaming\03D40274-1435129608-05AA-0F06-1C0700080009\jnse1777.tmp [219136 2015-06-24] () [File not signed]
S4 zedepory; C:\Users\Michel2\AppData\Roaming\03D40274-1435129608-05AA-0F06-1C0700080009\hnsz45AA.tmp [166912 2015-06-24] () [File not signed]
S2 wssvc_1.10.0.20; "C:\Program Files (x86)\WordShark_1.10.0.20\Service\wssvc.exe" [X]
R1 wsfd_vt_1_10_0_20; C:\Windows\System32\drivers\wsfd_vt_1_10_0_20.sys [61312 2015-07-06] (WS)
S3 catchme; \??\C:\ComboFix\catchme.sys [X]
FirewallRules: [{6EFCCBD9-416C-41A6-99DE-AF24DDEBCB67}] => (Allow) C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\crossbrowse.exe
C:\Program Files (x86)\Crossbrowse
2015-08-01 10:11 - 2011-06-26 08:45 - 00256000 _____ C:\Windows\PEV.exe
2015-08-01 10:11 - 2010-11-07 19:20 - 00208896 _____ C:\Windows\MBR.exe
2015-08-01 10:11 - 2009-04-20 06:56 - 00060416 _____ (NirSoft) C:\Windows\NIRCMD.exe
2015-08-01 10:11 - 2000-08-31 02:00 - 00518144 _____ (SteelWerX) C:\Windows\SWREG.exe
2015-08-01 10:11 - 2000-08-31 02:00 - 00406528 _____ (SteelWerX) C:\Windows\SWSC.exe
2015-08-01 10:11 - 2000-08-31 02:00 - 00098816 _____ C:\Windows\sed.exe
2015-08-01 10:11 - 2000-08-31 02:00 - 00080412 _____ C:\Windows\grep.exe
2015-08-01 10:11 - 2000-08-31 02:00 - 00068096 _____ C:\Windows\zip.exe
2015-08-01 10:07 - 2015-08-01 10:08 - 05632897 ____R (Swearware) C:\Users\Michel2\Downloads\ComboFix.exe
2015-07-08 07:16 - 2015-07-08 21:06 - 00000000 ____D C:\ProgramData\HOJwyfDmxy
2015-07-06 21:11 - 2015-07-06 21:11 - 00061312 _____ (WS) C:\Windows\system32\Drivers\wsfd_vt_1_10_0_20.sys
2015-07-03 11:39 - 2015-07-03 11:39 - 00000180 _____ C:\Windows\system32\{A6D608F0-0BDE-491A-97AE-5C4B05D86E01}.bat
2015-07-03 07:51 - 2015-07-08 19:03 - 00000000 ____D C:\Users\Michel2\AppData\Roaming\03D40274-1435902665-05AA-0F06-1C0700080009
2015-07-17 22:08 - 2015-06-24 16:35 - 00000004 _____ C:\Windows\SysWOW64\029B560A371F4E00AB32838EBC01B9E7
2015-07-13 11:18 - 2015-06-24 09:43 - 00000000 ____D C:\ProgramData\abc
C:\Users\Michel2\AppData\Roaming\03D40274-1435902665-05AA-0F06-1C0700080009\knsj6284.tmp
C:\Users\Michel2\AppData\Roaming\03D40274-1435129608-05AA-0F06-1C0700080009\knsk79FB.tmp
C:\Users\Michel2\AppData\Roaming\03D40274-1435129608-05AA-0F06-1C0700080009\jnse1777.tmp
C:\Users\Michel2\AppData\Roaming\03D40274-1435129608-05AA-0F06-1C0700080009\hnsz45AA.tmp
C:\Program Files (x86)\WordShark_1.10.0.20
EmptyTemp:
end

• Enregistre le fichier au même endroit que FRST /!\Important/!\ sous le nom fixlist.txt
• Ferme toutes les applications, y compris ton navigateur
  [li]Double-clique sur FRST.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Sur le menu principal, clique une seule fois sur Fix et patiente le temps de la correction
• L'outil va créer un rapport de correction Fixlog.txt. Poste ce rapport dans ta réponse

Redémarre ton ordinateur s'il ne le fait pas automatiquement


Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"


/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnement et endommager Windows /!\


***

=> AdwCleaner- Recherche:

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

• Télécharge AdwCleaner de Xplode et enregistre le fichier sur ton Bureau
• Ferme toutes les applications, y compris ton navigateur
• Double-clique sur l'icône AdwCleaner.exe pour lancer l'installation
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Sur le menu principal, clique sur Scanner
• Les éléments détectés s'affichent dans les différents onglets. Clique sur Rapport
• Un rapport AdwCleaner(R).txt s'ouvre. Poste ce rapport dans ta prochaine réponse
  Le rapport se trouve sous C:\AdwCleaner(R).txt

Aide en image pour AdwCleaner


Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"

***

deux rapports attendus
--> Fixlog.txt
--> C:\AdwCleaner(R).txt --> mode recherche/scanner

[invitea565ee7b]

Voici les 2 fichiers.

Il y a une amélioration dans la navigation, mais j'ai toujours reimage qui ouvre un onglet dans le navigateur (Mozilla) et des pub (by portal);
C'est pire que la grippe ce truc !

[invite9ce22e65]

re

tu dois le désactiver et ensuite le supprimer via Désactiver ou supprimer des modules complémentaires + plugin

Si tu ne trouve pas, donne moi la liste des plugins et extensions qui s'y trouvent


***

On continue

AdwCleaner - Suppression

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

• Ferme toutes les applications, y compris ton navigateur
• Double-clique sur l'icône AdwCleaner.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Sur le menu principal, clique sur Scanner
• Les éléments détectés s'affichent dans les différents onglets. Clique sur Nettoyer et valide par OK la fermeture des programmes
• Patiente le temps de l'analyse et valide le message d'informations
• Un redémarrage est demandé, valider par OK
• Au redémarrage, un rapport AdwCleaner(S).txt s'ouvre. Poste ce rapport dans ta prochaine réponse
  Le rapport se trouve sous C:\AdwCleaner(S).txt

Sous IE, le filtre SmartScreen déclenche une alerte. Cliquer sur Actions puis sur Exécuter quand même


Si ton antivirus émet une alerte ou bloque l'outil, il faut le désactiver temporairement (le fichier AdwCleaner.exe est sûr)
Aide en image pour AdwCleaner


Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"


***

ZHPCleaner-Scanner

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

• Télécharge ZHPCleaner de Nicolas Coolman en cliquant sur le bouton bleu "Télécharger" et enregistre-le sur le Bureau
• Ferme toutes les applications, y compris le navigateur
• Double-clique sur l'icône ZHPCleaner.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Accepte, après l'avoir lu, l'accord de licence en cliquant sur J'accepte
• Clique sur le bouton Scanner
  
• Poste le rapport obtenu ZHPCleaner.txt qui s'affiche.
  
  Tutoriel d'utilisation ZHPCleaner en images

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"

***

deux rapports attendu
--> C:\AdwCleaner(S).txt --> mode suppression
--> ZHPCleaner.txt --> mode recherche/scanner

[invitea565ee7b]

Extensions : Adblocks plus / foxfilteredinspiredeffectnet / Skypeclicktocall
plugins : Acrobazt Adobe / Google / Microsoft office 2010 (2) / Nvidia3D vision (2) / photogallery ceux ci sont activés; je viens de désactiver Codecvidéo openH264 fourni par Cisco et Modèle de déchiffrement de contenu primetime fourni par Adobe.

+ les 2 fichiers joints

[invite9ce22e65]

re

rien dans tes extensions et plugins

on continue et tu me diras ensuite

***

ZHPCleaner-Nettoyer


/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

• Ferme toutes les applications, y compris le navigateur
• Double-clique sur l'icône ZHPCleaner.exe
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Clique sur le bouton Scanner et patiente le temps de l'analyse, puis clique sur le bouton Nettoyer
• L'interface de réparation s'affiche, clique sur Nettoyer. Le nettoyage se lance
  [
• Patiente le temps du nettoyage
• Si un redémarrage est nécessaire pour compléter le nettoyage, clique sur OK et redémarre le système
• Au redémarrage, le rapport de nettoyage ZHPCleaner.txt s'affiche. Poste le rapport obtenu.
  
  Tutoriel d'utilisation ZHPCleaner en images

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"

***

Malwarebytes Anti-Malware

/!\ Ne passe l'outil qu'une seule fois afin de ne pas fausser le rapport /!\

• Télécharge Malwarebytes Anti-Malware (version gratuite) et enregistre le sur le Bureau (version gratuite)
• Double-clique sur le fichier mbam-setup.exe pour lancer l'installation
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Choisis ta langue et accepte la licence
• A la fin de l'installation, décoche l'option "Activer l'essai gratuit de Malwarebytes Anti-Malware Premium". La case Exécuter Malwarebytes Anti-Malware reste cochée.
• Clique sur Terminer. Malwarebyte's s'ouvre
• Pour mettre en français s'il est en anglais, dans Settings, puis General Settings, dans Language, sélectionne French
• Dans le tableau de bord qui s'ouvre, la Version de la base de données doit se mettre à jour, si non, clique sur le lien Mettre à jour pour installer les mises à jour et laisse l'outil les installer
• Dans Paramètres, puis Détection et protection, sélectionne Traiter les détections comme des malveillants pour les détections PUP et PUM
• Dans Examen, coche Analyse des Menacessi elle n'est pas sélectionnée, puis clique sur Lancer l'analyse
• Si l'outil te propose d'autres mises à jour, valide en cliquant sur Mettre à jour maintenant
• Patiente le temps de l'analyse
• Pour supprimer les éléments détectés, clique sur Tout mettre en quarantaine
• Si un redémarrage est demandé, clique sur Yes
• Au redémarrage, relance Malwarebytes
• Dans Historique, clique sur Journaux de l'application
• Sélectionne le journal d'examen le plus récent, puis clique sur Afficher
• Clique sur Exporter puis sur Fichier texte (*.txt)
• Enregistre le rapport sur ton Bureau. Poste ce rapport dans ta prochaine réponse
  Le journal d'examen est aussi enregistré sous C:\ProgramData\Malwarebytes\Ma lwarebytes' Anti-Malware\Logs

Tutoriel d'utilisation Malwarebytes Aide en images

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"


***

deux rapports attendus
--> ZHPCleaner.txt --> mode suppression
--> Malwarebytes

[invitea565ee7b]

Voilà les fichiers

[invite9ce22e65]

re

ouvre Malwarebytes (clic droit exécuter en tant qu'administrateur)
clique sur l'onglet Historique puis --> Quarantaine et cliques sur Supprimer tout

***

je suppose que reimage est toujours présent

réinitialise FireFox
A savoir que tes marque-pages sont conservés
mais les modules/extensions seront supprimés

il faudra donc remettre Adblock Plus principalement

[invitea565ee7b]

Voilà j'ai réinitialisé Firefox. je remets Adblocks.

Y a-t-il d'autres précautions à prendre pour ne pas être à nouveau infecté ??
En tout cas UN GRAND MERCI pour ton temps, ta patience et disponibilité.

[invite9ce22e65]

re

très bien, donc c'est ok avec Firefox réinitialisé ?

***

Télécharge DelFix (de Xplode) sur ton bureau.

• Ferme toutes tes fenêtres, puis double clique sur DelFix.exe pour le lancer.
  (Utilisateur de Vista/Windows 7/windows 8.1, faites un clic droit -> "Exécuter en tant qu'administrateur")
• laisse l'option "Supprimer les outils de désinfection" cochée
• coche aussi l'option "Purger la restauration système" <-- /!\ important /!\
• Clique sur le bouton "Exécuter"
• Laisse travailler l'outil.

Le rapport est enregistré à la base de ton disque dur, (C:\DelFix.txt généralement)

Dans un souci de confidentialité, les rapports doivent être postés en "pièce-jointe"



***


Tu es la meilleure protection pour ton pc , en suivant quelques conditions:

--> Tenir à jour son système (windows, navigateurs, java, Adobe Reader, Flash player, etc ...)=> Qu'est-ce qu'une faille de sécurité?

--> D'une manière générale, vérifier/décocher les cases qui proposent d'ajouter des logiciels additionnels dans les programmes d'installation , lire ici aussi

--> P2P, crack, keygen .... <= Attention ...

--> Il faut éviter de télécharger des applications sur des plateformes comme Softonic et O1.net (ou toute autre plateforme, sans faire une recherche préalable sur le site en question) qui repackent les logiciels et les redistribuent avec des indésirables, tout simplement pour gagner de l'argent, alors que l'auteur de l'application la distribue gratuitement.
/!\ Toujours privilégier le téléchargement d'une application sur le site de l'éditeur /!\

--> Sauvegarder ses données régulièrement (photos, documents,etc ...) sur un autre support (DVD, disque dur externe ...) avant qu'il ne soit trop tard (ordinateur qui tombe en panne, malware de type Ransomware, ...etc...) .... ou bien faire des images systèmes régulières



***


Pour éviter de te faire réinfecter par des adwares à l'avenir, entraîne-toi à ne pas tomber dans leurs pièges en utilisant cet outil :

• Télécharge Adware Prevention de guigui0001 sur ton bureau.
• Ton navigateur ou ton antivirus peuvent le détecter comme une menace ; ignore ces avertissements.
• Lance-le en double-cliquant dessus (sous Windows 8, à l'activation de la protection SmartScreen, il faut cliquer sur Informations Complémentaires > Exécuter quand même)
• Cet outil est une fausse installation (il n'installe rien sur ton ordinateur). Son but est de s'entrainer à ne pas installer des logiciels potentiellement indésirables.
• A la fin de cette fausse installation, l'outil fait un bilan de tes décisions. Suis attentivement les conseils qu'il te donne.
• Adopte alors la même vigilance lors de tes futures installations, qui seront réelles cette fois-ci !
• Aide en image

Profite de Adware Prevention pour voir ce qu'est une installation personnalisée, ce logiciel n'installe rien sur ton ordinateur
essaye toutes les options de ce logiciel, c'est sans risque et son but est de faire comprendre le principe pour éviter à l'avenir d'installer des logiciels indésirables (proposés insidieusement par défaut)

[invitea565ee7b]

Oui tout semble bien fonctionner sur Mozilla.

Voilà le dernier fichier.

Merci pour les conseils.
Côté sauvegarde, j'en fais régulièrement
Je vais lire attentivement ce que tu me conseilles et vais sensibiliser mon mari

Encore un Grand merci !

[invite9ce22e65]

re

c'est ok pour le rapport Delfix

bon surf et prudence sur le web