Infection des moteurs de rechercheRésolu/Fermé

Question

Bonjour à tous, 

Bon je pense que ce problème a déjà été posé 15000 fois, mais bon je suppose que les rapports HiJack sont uniques, donc j'aurai bien apprécié que quelqu'un m'aide à réparer le mien.

En gros, j'ai le virus ULTRA CHIANT (mais pourquoi ils vont nous pondre des trucs comme ça...) des moteurs de recherche, c'est à dire que quand je fais une Google search et que je veux ouvrir mes pages résultats, ça m'envoie sur plein de sites de pubs nuls nuls nuls.

C'est complètement rageant.

Donc je suppose que la démarche à suivre, c'est le rapport HiJack, et tout et tout, mais j'y connais pas grand chose :s..
Quelqu'un veut bien essayer de m'aider ?

J'ai tous les logiciels qu'il faut à disposition, il me faut juste la démarche ;)

Merci à tous.
Configuration: Windows XP / Firefox 3.5.9

anthony5151 · Answer

Bonjour,


Bienvenue sur CCM !
Nous allons essayer de régler ton problème ensemble. D'abord, quelques rappels :

- N'ouvre pas d'autres sujets pour le même problème (que ce soit sur ce forum ou sur un autre)
- N'hésite pas à poser des questions en cas de besoin ;)
- Sois patient(e) quand tu postes un message, je ne réponds pas instantanément : je suis bénévole et je ne suis pas en permanence devant mon ordinateur. Mais rassure toi, je ne laisse jamais tomber personne ;)
- La désinfection (si nécessaire) va se dérouler en plusieurs étapes. Même si les symptômes de l'infection disparaissent, la désinfection ne sera terminée que quand je te le confirmerai --> Merci de revenir jusqu'au bout, sinon ce qu'on a fait n'aura servi à rien.


Commence par utiliser ce logiciel de diagnostic stp, ça me permettra de t'aider :

* Télécharge ZHPDiag (de Nicolas Coolman)
* Laisse toi guider lors de l'installation
* Il se lancera automatiquement à la fin de l'installation
* Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
* Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
* Héberge le rapport ZHPDiag.txt sur ce site, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

kornterstrike · Answer

Merci Anthony pour ta réponse encourageante, j'apprécie beaucoup. T'en fais pas je serai là jusqu'au bout moi aussi, je bosse tous les jours de la semaine et c'est mon PC du taf qui est infecté.

Résultat de la première étape : http://www.cijoint.fr/cjlink.php?file=cj201006/cijDsVPNW0.txt

Merci encore. Nous voilà lancés. :P

anthony5151 · Answer

1) On va commencer par traiter une infection de disques amovibles :

* Télécharge USBFix (de Chiquitine29 et C_XX) sur ton Bureau
* Branche tes sources de données externes à ton PC (clé USB, disque dur externe, lecteur mp3 etc...) sans les ouvrir
* Double clique sur le programme USBFix sur ton Bureau.
* Au menu principal, clique sur "Suppression"
* Ton Bureau va disparaitre, puis l'ordinateur va redémarrer : c'est normal
* Laisse travailler l'outil jusqu'au bout
* A la fin, le rapport va s'afficher : poste le dans ta prochaine réponse stp

Aide en images : Nettoyage



2) Ensuite, je te propose d'utiliser un script avec ZHPFix qui servira à supprimer certains éléments éléments néfastes :

* Lance ZHPFix à partir du raccourci sur ton Bureau
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
* Copie/colle ce script et place le dans ZHPFix
* Clique sur « Tous », puis sur « Nettoyer »
* Copie/colle la totalité du rapport dans ta prochaine réponse



3) Pour faire un diagnostic plus poussé, utilise Gmer :


/!\ Il faut IMPERATIVEMENT désactiver tous tes logiciels de protection pour utiliser ce programme/!\

* Rends toi sur cette page, et clique sur "Download EXE" pour télécharger Gmer (sous un nom aléatoire, pour éviter qu'il soit bloqué par l'infection)
* Lance Gmer
* Dans l'onglet "Rootkit", clique sur "SCAN" puis patiente...
* A la fin, clique sur "SAVE" et enregistre le rapport sur ton Bureau.
* Héberge le rapport de Gmer sur ce site, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum

kornterstrike · Answer

Bon, désolé mais hier j'avais fini ma journée donc j'ai repris les réparations ce matin (j'suis aux States là).

Alors :

1 - Rapport USBFix

http://www.cijoint.fr/cjlink.php?file=cj201006/cij7lU4LOx.zip

2 - Rapport ZHPFix :

ZHPFix v1.12.3088  by Nicolas Coolman - Rapport de suppression du 6/9/2010 9:43:18 AM
Fichier d'export Registre : 
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html


Processus mémoire :
(Néant)

Module mémoire :
(Néant)

Clé du Registre :
(Néant)

Valeur du Registre :
(Néant)

Elément de données du Registre :
(Néant)

Dossier :
(Néant)

Fichier :
(Néant)

Logiciel :
(Néant)

Script Registre :
(Néant)

Autre :
(Néant)


Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 0
Valeur du Registre : 0
Elément de données du Registre : 0
Dossier : 0
Fichier : 0
Logiciel : 0
Autre : 0


End of the scan


3 - Bon là j'avais lancé un scan, ça a pris trop de temps, et mon ordi a rebooté tout seul après 2h de scan alors que je pense que c'était pas fini, parce qu'au redémarrage j'avais rien. Du coup je pense que je le relancerai que ce soir en partant du taf, parce que ça m'empêche de travailler, ça bouffe toutes les ressources.. :(

anthony5151 · Answer

OK pour UsbFix ;)
Par contre, le rapport de ZHPFix n'indique rien, tu es sûr d'avoir copié le script et coché toutes les cases avant de cliquer sur nettoyer ? Peux-tu réessayer stp ?

Pour Gmer effectivement ça peut durer longtemps et il ne faut pas utiliser l'ordinateur en même temps.

kornterstrike · Answer

J'avais trouvé ça bizarre aussi que le rapport ZHPFix soit presque vide. Je vais refaire un test.

EDIT : Ah oui en effet, j'avais oublié de cliquer sur tous... En me rappelant de mon état d'hier, ça me fait même marrer.. Bref :

2 - Rapport ZHPFix :

ZHPFix v1.12.3088  by Nicolas Coolman - Rapport de suppression du 6/9/2010 3:54:26 PM
Fichier d'export Registre : C:\ZHPExportRegistry-6-9-2010-3-54-26 PM.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html


Processus mémoire :
(Néant)

Module mémoire :
(Néant)

Clé du Registre :
HKCU\Software\TOY5KNQ8OC  => Clé absente
HKCU\Software\WEK9EMDHI9  => Clé absente
O53 - SMSR:HKLM\...\startupreg\luuwak  [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Documents and Settings\Martin\luuwak.exe  => Clé supprimée avec succès
O53 - SMSR:HKLM\...\startupreg\Martin  [Key] . (.Pas de propriétaire - Pas de description.) -- C:\Documents and Settings\Martin\Martin.exe  => Clé supprimée avec succès
O53 - SMSR:HKLM\...\startupreg\TOY5KNQ8OC  [Key] . (.Pas de propriétaire - Pas de description.) -- C:\DOCUME~1\Martin\LOCALS~1\Temp\Twr.exe  => Clé supprimée avec succès

Valeur du Registre :
O47 - AAKE:Key Export SP - "c:\program fileselevantknowledgelvknlg.exe" [Enabled] .(.Pas de propriétaire - Pas de description.) (.not file.) -- c:\program fileselevantknowledgelvknlg.exe  => Valeur supprimée avec succès

Elément de données du Registre :
(Néant)

Dossier :
(Néant)

Fichier :
c:\program fileselevantknowledgelvknlg.exe  => Fichier absent
c:\documents and settings\martin\luuwak.exe  => Fichier absent
c:\documents and settings\martin\martin.exe  => Fichier absent
c:\docume~1\martin\locals~1	emp	wr.exe  => Fichier absent

Logiciel :
(Néant)

Script Registre :
(Néant)

Autre :
(Néant)


Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 5
Valeur du Registre : 1
Elément de données du Registre : 0
Dossier : 0
Fichier : 4
Logiciel : 0
Autre : 0


End of the scan

anthony5151 · Answer

Héhé ^^  
C'est parfait, il ne reste plus que Gmer, à faire quand tu pourras ;)  
Si tu n'as pas encore lancé Gmer, peux-tu d'abord utiliser ce logiciel de désinfection généraliste stp (le scan durera entre 5 et 10 minutes normalement) : 

* Télécharge et installe Malwarebytes' Anti-Malware 
* A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée 
* Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme) 
* Puis va dans l'onglet "Recherche", coche "Exécuter un examen rapide" puis "Rechercher" 
* A la fin de l'analyse, clique sur Afficher les résultats 
* Coche tous les éléments  détectés puis clique sur Supprimer la sélection 
* Enregistre le rapport 
* S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes 
* Poste dans ta prochaine réponse le rapport apparaissant après la suppression stp 


L'habit ne fait pas le moine.  
Le savoir n'est utile que s'il est transmis

kornterstrike · Answer

Pour Gmer je vais devoir attendre ce soir et lancer le scan quand je partirai du taf (j'ai oublié hier soir...), mais en attendant j'ai lancé un scan avec Antimalware, et il a trouvé quelques petits microbes.

Résultat : 

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Version de la base de données: 4186

Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

6/10/2010 11:40:51 AM
mbam-log-2010-06-10 (11-40-51).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 127371
Temps écoulé: 5 minute(s), 27 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 8
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 3
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
HKEY_CLASSES_ROOT\CLSID\{9b127297-4782-49fa-a472-91d01e6060e5} (Password.Stealer) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{9b127297-4782-49fa-a472-91d01e6060e5} (Password.Stealer) -> Quarantined and deleted successfully.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{19127ad2-394b-70f5-c650-b97867baa1f7} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{43bf8cd1-c5d5-2230-7bb2-98f22c2b7dc6} (Backdoor.Bot) -> Quarantined and deleted successfully.
HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\{494e6cec-7483-a4ee-0938-895519a84bc7} (Backdoor.Bot) -> Quarantined and deleted successfully.

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 93.188.163.100,93.188.166.47 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{330263cc-6220-4234-9038-f31ce5a006db}\NameServer (Trojan.DNSChanger) -> Data: 93.188.163.100,93.188.166.47 -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{584dded6-9f37-422c-a26d-cf626ec5d54d}\NameServer (Trojan.DNSChanger) -> Data: 93.188.163.100,93.188.166.47 -> Quarantined and deleted successfully.

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)


Merci encore pour le suivi. Je te tiens au courant après le scan Gmer.

kornterstrike · Answer

Raaaaaaaaah, je viens de faire un petit test, et la recherche Google a fonctionné direct, ça fait troooooooop plaisir à voir.
J'espère que ça va rester comme ça. Je ferai quand même le scan Gmer ce soir.


Merci bien Anthony, t'as géré le paté :p

anthony5151 · Answer

Tes DNS étaient redirigés vers l'Ukraine, c'est ce qui explique les redirections ;)

Si tu es aux Etats-Unis, je n'ai pas besoin de te traduire ceci : "Password.Stealer" :-S
Si tu as un autre ordinateur, il faut que tu changes tes mots de passe importants, à savoir ta banque, ebay, paypal... et ton adresse e-mail. Sinon, il faudra le faire sur cet ordinateur quand il sera désinfecté complétement.

Après un redémarrage de l'ordinateur, tu ajouteras un nouveau rapport ZHPDiag au rapport de Gmer stp.

kornterstrike · Answer

Pas de soucis pour le rapport ZHPDiag, je referai un examen.

Pfiou j'avais pas lu les rapports, donc j'avais pas vu le password stealer, pas cool ça.

Je m'occuperai de changer tout ces mots de passes une fois que tu m'auras confirmé que tout est bien nickel.

Je lance Gmer tout à l'heure et je te donne des nouvelles demain.
Bonne fin de soirée :)

kornterstrike · Answer

Bon, j'avais lancé le scan Gmer hier soir en partant du boulot, et ce matin y'avait plus rien sur mon PC, donc je sais pas si quelqu'un l'a redémarré ou pas, mais bon je peux pas voir le rapport. Je sais même pas si il a été effectué en entier.

Et vu qu'aujourd'hui j'ai besoin de mon PC, j'ai pas mal de choses à faire, je crois que le scan attendra lundi.

En tout cas, j'ai refait un scan ZHPDiag, qui a donné ça : http://www.cijoint.fr/cjlink.php?file=cj201006/cijRf6EU1b.txt

kornterstrike · Answer

Me revoilà !
Bon, j'ai lancé le scan Gmer hier soir, et cette fois ci il s'est bien terminé, et ça a donné ça : 

GMER 1.0.15.15281 - http://www.gmer.net
Rootkit scan 2010-06-15 09:21:10
Windows 5.1.2600 Service Pack 3
Running: n8uvqyo3.exe; Driver: C:\DOCUME~1\Martin\LOCALS~1\Temp\fftiqaob.sys


---- System - GMER 1.0.15 ----

SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwClose [0xA9F02C7A]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwCreateKey [0xA9F02B36]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwDeleteKey [0xA9F030EA]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwDeleteValueKey [0xA9F03014]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwDuplicateObject [0xA9F0270C]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwOpenKey [0xA9F02C10]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwOpenProcess [0xA9F0264C]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwOpenThread [0xA9F026B0]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwQueryValueKey [0xA9F02D30]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwRenameKey [0xA9F031B8]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwRestoreKey [0xA9F02CF0]
SSDT            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwSetValueKey [0xA9F02E70]

Code            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwCreateProcessEx [0xA9F0FAC6]
Code            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwCreateSection [0xA9F0F8EA]
Code            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ZwLoadDriver [0xA9F0FA24]
Code            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         NtCreateSection
Code            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ObInsertObject
Code            \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)                         ObMakeTemporaryObject

---- Kernel code sections - GMER 1.0.15 ----

.text           ntoskrnl.exe!ZwYieldExecution + 172                                                                           804E49CC 4 Bytes  JMP 31A9F030 
PAGE            ntoskrnl.exe!ObInsertObject                                                                                   8056DA64 5 Bytes  JMP A9F0CEC2 \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)
PAGE            ntoskrnl.exe!NtCreateSection                                                                                  8056DB66 7 Bytes  JMP A9F0F8EE \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)
PAGE            ntoskrnl.exe!ZwCreateProcessEx                                                                                8059056D 7 Bytes  JMP A9F0FACA \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)
PAGE            ntoskrnl.exe!ZwLoadDriver                                                                                     805AEDE2 7 Bytes  JMP A9F0FA28 \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)
PAGE            ntoskrnl.exe!ObMakeTemporaryObject                                                                            805E74E6 5 Bytes  JMP A9F0B536 \SystemRoot\System32\Drivers\aswSP.SYS (avast! self protection module/ALWIL Software)

---- User IAT/EAT - GMER 1.0.15 ----

IAT             C:\WINDOWS\system32\services.exe[620] @ C:\WINDOWS\system32\services.exe [ADVAPI32.dll!CreateProcessAsUserW]  003A0002
IAT             C:\WINDOWS\system32\services.exe[620] @ C:\WINDOWS\system32\services.exe [KERNEL32.dll!CreateProcessW]        003A0000

---- Devices - GMER 1.0.15 ----

Device          \FileSystem\Ntfs \Ntfs                                                                                        aswSP.SYS (avast! self protection module/ALWIL Software)

AttachedDevice  \FileSystem\Ntfs \Ntfs                                                                                        aswMon2.SYS (avast! File System Filter Driver for Windows XP/ALWIL Software)
AttachedDevice  \Driver\Tcpip \Device\Ip                                                                                      aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice  \Driver\Tcpip \Device\Tcp                                                                                     aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice  \Driver\Tcpip \Device\Udp                                                                                     aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)
AttachedDevice  \Driver\Tcpip \Device\RawIp                                                                                   aswTdi.SYS (avast! TDI Filter Driver/ALWIL Software)

---- EOF - GMER 1.0.15 ----




J'espère que tout est ok. En tout cas mes Google search fonctionnement bien. Je vais m'occuper de changer mes mots de passe si tu confirmes que tout est rentré dans l'ordre.

anthony5151 · Answer

Il reste des traces d'éléments néfastes à supprimer : 

* Lance ZHPFix à partir du raccourci sur ton Bureau 
* Clique sur l'icone représentant la lettre H (« coller les lignes Helper ») 
* Copie/colle les lignes suivantes et place les dans ZHPFix : 

 
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusDisableNotify: Modified    
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallDisableNotify: Modified  
[HKLM\SOFTWARE\Microsoft\Security Center] UpdatesDisableNotify: Modified   
O17 - HKLM\System\CS1\Services\Tcpip\..\{330263CC-6220-4234-9038-F31CE5A006DB}: NameServer = 93.188.163.100,93.188.166.47    
O17 - HKLM\System\CS1\Services\Tcpip\..\{584DDED6-9F37-422C-A26D-CF626EC5D54D}: NameServer = 93.188.163.100,93.188.166.47    
 

* Clique sur « Tous », puis sur « Nettoyer » 
* Copie/colle la totalité du rapport dans ta prochaine réponse 



Ensuite, fais redémarrer ton ordinateur et poste un nouveau rapport ZHPDiag stp.


L'habit ne fait pas le moine. 
Le savoir n'est utile que s'il est transmis

kornterstrike · Answer

Alors j'ai corrigé tout ça avec ZHPFix, et je te montre le résultat. Et puis en bas de post je t'ai mis le lien de l'analyse ZHPDiag aussi.



ZHPFix v1.12.3088  by Nicolas Coolman - Rapport de suppression du 6/17/2010 2:52:52 PM
Fichier d'export Registre : C:\ZHPExportRegistry-6-17-2010-2-52-52 PM.txt
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html


Processus mémoire :
(Néant)

Module mémoire :
(Néant)

Clé du Registre :
(Néant)

Valeur du Registre :
(Néant)

Elément de données du Registre :
[HKLM\SOFTWARE\Microsoft\Security Center] AntiVirusDisableNotify: Modified  => Donnée supprimée avec succès
[HKLM\SOFTWARE\Microsoft\Security Center] FirewallDisableNotify: Modified  => Donnée supprimée avec succès
[HKLM\SOFTWARE\Microsoft\Security Center] UpdatesDisableNotify: Modified  => Donnée supprimée avec succès
O17 - HKLM\System\CS1\Services\Tcpip\..\{330263CC-6220-4234-9038-F31CE5A006DB}: NameServer = 93.188.163.100,93.188.166.47  => Donnée supprimée avec succès
O17 - HKLM\System\CS1\Services\Tcpip\..\{584DDED6-9F37-422C-A26D-CF626EC5D54D}: NameServer = 93.188.163.100,93.188.166.47  => Donnée supprimée avec succès

Dossier :
(Néant)

Fichier :
(Néant)

Logiciel :
(Néant)

Script Registre :
(Néant)

Autre :
(Néant)


Récapitulatif :
Processus mémoire : 0
Module mémoire : 0
Clé du Registre : 0
Valeur du Registre : 0
Elément de données du Registre : 5
Dossier : 0
Fichier : 0
Logiciel : 0
Autre : 0


End of the scan




Rapport ZHPDiag : http://www.cijoint.fr/cjlink.php?file=cj201006/cijjO9sCV3.txt

anthony5151 · Answer

Très bien, ton ordinateur n'est plus infecté :)

Avant de te laisser partir, voici quelques conseils pour finir le nettoyage et améliorer sensiblement la sécurité de ton ordinateur, ça t'évitera peut-être de devoir revenir ici avec une nouvelle infection dans le futur ;)  Mais sache qu'aucun logiciel de sécurité ne te protègera à 100%, ce qui fait la différence, c'est ta vigilance lorsque tu télécharges ou installes quelque chose : pour en savoir plus, je t'invite à bien lire la page indiquée tout en bas de ce message (5).



1) Sécurise ton ordinateur 

* Logiciels de protection : 
Garde un antivirus (Avast dans ton cas) et en complément, garde MalwareBytes Anti-Malware pour faire des scans de vérification de temps en temps.

* Pour naviguer sur internet plus en sécurité et à l'abri des publicités, je te conseille vivement d'installer et d'utiliser le navigateur Firefox. Une fois que c'est fait, lance le et installe les deux extensions de sécurité suivantes :
AdBlockPlus pour bloquer les publicités ;
WOT, pour t'avertir des sites web dangereux.

* Internet Explorer n'est pas à jour, c'est une faille de sécurité !
Menu démarrer --> Windows update --> recherche et installe toutes les mises à jour importantes. Si Internet Explorer n'y est pas, télécharge et installe IE 8 depuis ce lien : IE 8

* Java n'est pas à jour, c'est une faille de sécurité.
Il faut d'abord désinstaller l'ancienne version : Ouvre le menu démarrer --> panneau de configuration --> ajout/suppression de programmes --> sélectionne toutes les versions de java présentes et désinstalle les.
Ensuite, télécharge et installe la nouvelle version depuis le site officiel de java (n'installe pas la barre d'outil proposée lors de l'installation)

* Je vois que tu utilises Adobe Reader : pour limiter les vulnérabilités de ce programme, désactive la prise en charge Javascript d'Adobe Reader :  Lance le (C:\Program Files\Adobe\Reader 9.0\Reader\AcroRd32.exe) --> clique sur Edition --> Préférences --> JavaScript --> décoche "Activer Acrobat JavaScript" et valide. 

* Pour les mêmes raisons, mets à jour Flash Player : Ferme ton navigateur, puis désinstalle Adobe Flash Player 10 ActiveX et Adobe Flash Player 10 Plugin. Ensuite, utilise ces deux liens pour installer la dernière version : Celui-ci pour l'ActiveX et celui-ci pour le plugin.

* Pour vérifier régulièrement que tous tes programmes sont bien à jour, tu peux t'aider de ce petit programme (décoche « run at startup » lors de l'installation) : Update Checker (attention, les liens proposés ne correspondent pas toujours à la version française des programmes, il faut parfois les chercher manuellement)



2) Optimisation : 

* Télécharge Ccleaner. Installe le et lance le.
Clique sur Nettoyeur --> Analyse --> Lancer le nettoyage, puis sur OK dans la fenêtre qui s' affiche.
Enfin, Registre --> corrige toutes les erreurs, et recommence jusqu'à ce qu'il ne trouve plus d'erreurs.

* Pour limiter le nombre de programmes qui se lancent automatiquement au démarrage, clique sur Outils --> Démarrage --> Sélectionne les lignes suivantes et clique sur "Désactiver" : IgfxTray / HotKeysCmds / Persistence / CTFMON.EXE / Skype.

* Télécharge Defraggler. Installe le (décoche l'installation de la barre d'outil Yahoo qui est proposée lors de l'installation) puis lance le. Ferme tous tes autres programmes, sélectionne ton disque dur et clique sur "Défragmentation rapide".



3) Il faut supprimer tous les outils que nous avons utilisés : Lance ZHPFix (pour ça, fais un clic-droit dessus et choisis « Exécuter en temps qu'administrateur ») --> clique sur le « A » rouge (Nettoyeur de Tools) --> clique sur « Nettoyer »
Tutoriel pour t'aider



4) Pour terminer le nettoyage, il faut purger la restauration du système (pour supprimer les points de restauration infectés). Pour ça, suis ce tutoriel stp.



5) <Prévention> : Je te conseille vivement de lire cet article qui t'apportera des informations de prévention et de protection contre les infections (environ 15 minutes de lecture très instructive et utile) : Prévention et sécurité sur internet



6) Précautions Pour finir, je t'invite à changer tous tes mots de passe importants (banque, ebay, paypal...), car certaines infections les récupèrent... De même, fais régulièrement une sauvegarde de tes documents importants sur un support externe (disque dur externe, CD/DVD réinscriptible...) 
Ici, nous avons pu désinfecter ton ordinateur, mais ce n'est pas toujours le cas. Certaines infections cryptent les documents et demandent une rançon pour les récupérer, d'autres les modifient pour diffuser des infections, obligeant donc à les effacer... Il faut donc toujours avoir une sauvegarde saine de tes documents, sinon tu risques de les perdre. 




Bonne lecture, bon courage, et n'hésite pas à poser des questions en cas de besoin ;)

kornterstrike · Answer

Un grand merci pour tout.

Clap clap.

Infection des moteurs de recherche

17 réponses

Discussions similaires

Newsletters