"protectyourpc-11.com", ESS s'affoleRésolu/Fermé

Question

Bonjour, 

Depuis hier soir, Eset Smart Security ne cesse de m'afficher ceci : http://img9.imageshack.us/img9/305/sanstitreyjy0.png à chaque fois que je charge une page internet. Parfois c'est "pcdocpro.com" à la place de "protectyourpc-11.com".
Parfois aussi, plutôt que de m'afficher la page que j'ai demandée, firefox m'affiche un site porno.
Pourtant je ne pense pas avoir fait quelque chose de risqué (récemment :p), il me semble que c'est apparu la première fois hier soir quand j'ai cliqué sur une image dans google images.

Je viens d'installer Spybot S&D pour faire un petit nettoyage vite fait, mais ça ne semble pas avoir résolu le problème. Par contre, il m'a affiché un message me demandant si je voulais autoriser une modif sur svchost.exe dans appdata\roaming\microsoft ou quelque chose du genre. Ca m'a paru suspect donc j'ai refusé.

Voilà, quelqu'un peut m'aider s'il vous plait ?


Merci.

Configuration: Windows 7 / Firefox 3.6.12

verni29 · Answer

Bonjour, 

Vu ce que tu me décris, le ¨PC est bien infecté et les alertes de ESS sont suite à des tentatives de connexion d'un serveur tiers.

-------------------------------------------------------------------

Télécharge OTL (de OldTimer) sur ton Bureau. 
http://oldtimer.geekstogo.com/OTL.scr

Prends le soin de fermer toutes les autres fenêtres Windows afin de ne pas interrompre le scan. 

* Double-clique sur  OTL.scr  pour le lancer. 
Si Sous Vista/seven, , click droit sur sur le fichier et choisir Exécuter en tant qu'administrateur. 
* Sélectionne l'option tous les utilisateurs.
* Dans la partie  Personnalisation, copie/colle la liste suivante.

 netsvcs 
Drivers32
msconfig  
activex
/md5start  
iaStor.sys 
nvstor.sys 
atapi.sys  
iastorv.sys  
userinit.exe
winlogon.exe 
explorer.exe
wininit.exe
/md5stop
%SYSTEMDRIVE%\*.exe
%ALLUSERSPROFILE%\Application Data\*. 
%ALLUSERSPROFILE%\Application Data\*.exe /s
%appdata%\*.exe /s 
%APPDATA%\*.  
%systemroot%\*. /mp /s 
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
CREATERESTOREPOINT 

* Enfin, clique sur le bouton  Analyse rapide. 

* Une fois l'analyse terminée, deux fenêtres vont s'ouvrir dans le Bloc-notes :  OTL.txt  et  Extras.txt. Ils se trouvent au même endroit que OTL (donc par défaut sur le Bureau) 

Utilise un site comme http://cijoint.fr pour les déposer. 
indique ensuite les deux liens crées

A+

Jivixx · Answer

Du nouveau :  

- ESS a détecté "Kryptik.IMW" dans le fichier svchost que j'ai cité plus haut ainsi que dans un autre fichier. 
- Firefox et IE n'ont plus accès à internet (Firefox me dit : "La connexion a été refusée par le serveur proxy"). Les autres programmes (Steam, WLM) y ont toujours accès.

EDIT : Après avoir remplacé "Utiliser les options proxy du système" par "Pas de proxy" dans les options de firefox, j'ai de nouveau accès à internet.

Je crois que j'ai vraiment choppé une saloperie.

verni29 · Answer

Jivixx, 

Il doit y avoir un détournement vers un proxy.
Utilise l'outil que je t'ai indiqué.
C'est un outil de diagnostic mais cela me permettra de déjà bien nettoyer le PC.

A+

Jivixx · Answer

Merci pour ta réponse.

Je vais laisser l'analyse antivirus d'ESS que j'ai lancée se terminer puis je ferai ce que tu m'as indiqué.

Jivixx · Answer

Voici les deux fichiers créés par OTL :
http://www.cijoint.fr/cj201011/cijyLGwnLr.txt
http://www.cijoint.fr/cj201011/cijn0KMDHL.txt

Par erreur j'ai fait Analyse plutôt que Analyse rapide, c'est bon ou tu veux que je refasse une analyse rapide ?

verni29 · Answer

Re, 

Non, c'est bon.
Cela ne change que quelques petites choses au niveau du rapport.

Je regarde les rapports après manger.

A+

verni29 · Answer

Re, 

Relance OTL.  

* Sous l'onglet Personnalisation en bas de la fenêtre, copie-colle le texte suivant :  

:OTL
PRC - [2009/01/26 15:31:16 | 002,144,088 | RHS- | M] (Safer Networking Limited) -- C:\Program Files (x86)\Spybot - Search & Destroy\TeaTimer.exe
MOD - [2009/01/23 10:46:18 | 000,013,840 | ---- | M] () -- C:\Program Files (x86)\McAfee\SiteAdvisor\sahook.dll
SRV - [2009/01/23 10:46:14 | 000,203,280 | ---- | M] () [Auto | Running] -- C:\Program Files (x86)\McAfee\SiteAdvisor\McSACore.exe -- (McAfee SiteAdvisor Service)
IE - HKU\S-1-5-21-1630262185-2024065200-3968587555-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 1
IE - HKU\S-1-5-21-1630262185-2024065200-3968587555-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = http=127.0.0.1:50370
O2:[b]64bit:[/b] - BHO: (McAfee SiteAdvisor BHO) - {B164E929-A1B6-4A06-B104-2CD0E90A88FF} - c:\Program Files (x86)\McAfee\SiteAdvisor\x64\McIEPlg.dll ()
O2 - BHO: (McAfee SiteAdvisor BHO) - {B164E929-A1B6-4A06-B104-2CD0E90A88FF} - c:\Program Files (x86)\McAfee\SiteAdvisor\McIEPlg.dll ()
O3:[b]64bit:[/b] - HKLM\..\Toolbar: (McAfee SiteAdvisor Toolbar) - {0EBBBE48-BAD4-4B4C-8E5A-516ABECAE064} - c:\Program Files (x86)\McAfee\SiteAdvisor\x64\McIEPlg.dll ()
O3 - HKLM\..\Toolbar: (McAfee SiteAdvisor Toolbar) - {0EBBBE48-BAD4-4B4C-8E5A-516ABECAE064} - c:\Program Files (x86)\McAfee\SiteAdvisor\McIEPlg.dll ()
F3:[b]64bit:[/b] - HKU\S-1-5-21-1630262185-2024065200-3968587555-1001 WinNT: Load - (C:\Users\Jean\AppData\Local\Temp\dwm.exe) - C:\Users\Jean\AppData\Local\Temp\dwm.exe File not found
F3 - HKU\S-1-5-21-1630262185-2024065200-3968587555-1001 WinNT: Load - (C:\Users\Jean\AppData\Local\Temp\dwm.exe) - C:\Users\Jean\AppData\Local\Temp\dwm.exe File not found
O18:[b]64bit:[/b] - Protocol\Handler\sacore {5513F07E-936B-4E52-9B00-067394E91CC5} - c:\Program Files (x86)\McAfee\SiteAdvisor\x64\McIEPlg.dll ()
O18 - Protocol\Handler\sacore {5513F07E-936B-4E52-9B00-067394E91CC5} - c:\Program Files (x86)\McAfee\SiteAdvisor\McIEPlg.dll ()
[2010/11/12 20:48:46 | 000,099,384 | ---- | M] () -- C:\Users\Jean\AppData\Roaming\inst.exe
@Alternate Data Stream - 694 bytes -> C:\Users\Public\Desktop\Call of Duty: Modern Warfare 2.lnk
@Alternate Data Stream - 135 bytes -> C:\ProgramData\TEMP:7FFED16F

:Commands
[emptytemp]
[emptyflash]

*  Puis clique sur le bouton Correction en haut de la fenêtre.  
 * Laisse le programme travailler, le PC va redémarrer.  

Tu verras un log s'ouvrir après le fix (c'est le log qui montre si la suppression a réussi).   
sauvegarde-le sur ton Bureau et poste-le après redémarrage.  

Note : Si tu ne le trouves pas, c'est un fichier log dans C:\_OTL\MovedFiles  
Regarde suivant la date : mmjjaaaa_xxxxxxxx.log  


A+

Jivixx · Answer

Voici le log : http://www.cijoint.fr/cj201011/cij6LNEnTL.txt

verni29 · Answer

Jiivxx,

pour le net, cela doit être bon.
Il y avait aussi dans les paramètres de IE, un détournement de proxy.

As-tu le rapport d'ESET ?

--------------------------------------------------------

Utilise malwarebytes.
c'est un antimalware que tu pourras garder. un bon complément à un antivirus.
Bien meilleur que des produits comme spybot-S&D ou autre antispyware.

Tu télécharges MalwareBytes. 
http://www.malwarebytes.org/mbam/program/mbam-setup.exe 

Tu l'installes. Choisis les options par défaut. 
# A la fin de l'installation, il te sera demandé de mettre à jour MalwareBytes et de l'éxecuter .
# Accepte. Après la, mise à jour, le logiciel va s'ouvrir. 

# Dans l'onglet Recherche, sélectionne Exécuter un examen complet. 
# Clique sur recherche. Tu ne sélectionnes que les disques durs de l'ordinateur. 
# Clique sur lancer l'examen. 

# A la fin de la recherche, comme il est demandé, clique sur afficher les résultats.
# Si des infections sont trouvées, clique sur Supprimer la sélection. 
Tu postes le rapport dans ton prochain message.

Si tu ne retrouves pas le rapport, ouvre MalwareBytes et regarde dans l'onglet  Rapport/logs. Il y est. Clique dessus et choisir ouvrir. 

A+

Jivixx · Answer

Ok je ferai ça ce soir.

Pour le rapport d'Eset, en fait j'ai du annuler l'analyse car ça prenait une éternité sur un fichier (un ISO de Visual studio tout à fait légal, téléchargé chez Microsoft), donc je n'ai pas de rapport.

Jivixx · Answer

Voici le rapport MalwareBytes' Anti-Malware : http://www.cijoint.fr/cj201011/cij8zgm7U6.txt

verni29 · Answer

Re,  

Comment se comporte le PC ? 

On termine si tout va bien. 

A+
Allez jusqu'au bout de la procédure de désinfection.

Jivixx · Answer

Eh bien il n'y a plus de problème apparent pour l'instant.

Alors disons que le sujet est clos, et je te remercie pour ton aide et le temps que tu as pris pour moi.

verni29 · Answer

Re,  

Oui, je pense que ce doit être bon. 
Une dernière vérification. 

Relance OTL. 

    * clique sur aucun 
    * Puis sous personnalisation , copie le texte suivant : 

    /MD5start 
svchost.exe 
/MD5stop

    * Clique ensuite sur Analyse. 

L'analyse va à peine prendre quelques secondes. 
Un rapport va s'ouvrir. 
Poste le dans ta prochaine réponse. 

A+ 
Allez jusqu'au bout de la procédure de désinfection.

Jivixx · Answer

OTL logfile created on: 28/11/2010 22:37:04 - Run 2 OTL by OldTimer - Version 3.2.17.3 Folder = C:\Users\Jean\Desktop 64bit- Home Premium Edition (Version = 6.1.7600) - Type = NTWorkstation Internet Explorer (Version = 8.0.7600.16385) Locale: 0000040c | Country: Belgique | Language: FRB | Date Format: d/MM/yyyy 4,00 Gb Total Physical Memory | 2,00 Gb Available Physical Memory | 56,00% Memory free 8,00 Gb Paging File | 6,00 Gb Available in Paging File | 74,00% Paging File free Paging file location(s): ?:\pagefile.sys [binary data] %SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files (x86) Drive C: | 232,88 Gb Total Space | 149,73 Gb Free Space | 64,29% Space Free | Partition Type: NTFS Drive D: | 232,49 Gb Total Space | 143,70 Gb Free Space | 61,81% Space Free | Partition Type: NTFS Computer Name: PORTABLE-JEAN | User Name: Jean | Logged in as Administrator. Boot Mode: Normal | Scan Mode: Current user | Include 64bit Scans Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: Off | File Age = 30 Days [color=#E56717]========== Custom Scans ==========[/color] [color=#A23BEC]< MD5 for: SVCHOST.EXE >[/color] [2009/07/14 02:14:41 | 000,020,992 | ---- | M] (Microsoft Corporation) MD5=54A47F6B5E09A77E61649109C6A08866 -- C:\Windows\SysWOW64\svchost.exe [2009/07/14 02:14:41 | 000,020,992 | ---- | M] (Microsoft Corporation) MD5=54A47F6B5E09A77E61649109C6A08866 -- C:\Windows\SysWOW64\svchost.exe [2009/07/14 02:14:41 | 000,020,992 | ---- | M] (Microsoft Corporation) MD5=54A47F6B5E09A77E61649109C6A08866 -- C:\Windows\winsxs\x86_microsoft-windows-services-svchost_31bf3856ad364e35_6.1.7600.16385_none_b591afc466a15356\svchost.exe [2009/07/14 02:39:46 | 000,027,136 | ---- | M] (Microsoft Corporation) MD5=C78655BC80301D76ED4FEF1C1EA40A7D -- C:\Windows\winsxs\amd64_microsoft-windows-services-svchost_31bf3856ad364e35_6.1.7600.16385_none_11b04b481efec48c\svchost.exe < End of report >

verni29 · Answer

Re, 

C'est nickel.

------------------------------------

Mets à jour le PC.

Télécharge JavaRa de PaulMcLain et Fred De Vries.
https://javara.fr.malavida.com/

    * Click droit sur l'archive JavaRa.zip et extraire sur le bureau.
    *  Un dossier sera crée. L'ouvrir et double-cliquer sur JavaRa.exe pour le lancer
    * Choisis la langue ( français )

Une fenêtre va s'ouvrir ou tu auras le choix entre mettre à jour et supprimer les anciennes versions de Java.

- Mise à jour :

    * clique sur Recherche de mise à jour et choisis l'option Mettre à jour via jucheck.exe .
    * Il te sera précisé si il existe ou pas de nouvelle version à installer sur ton PC.
    * Si oui, clique sur Installer puis suis les invites.

Note : Si  tu n'y arrives pas avec cette option, choisis l'autre Mettre à jour via le site Internet de Sun  ou alors sur le site suivant https://www.java.com/fr/download/manual.jsp

- Suppression des anciennes versions :

    * Relance JavaRa.exe s'il le faut et choisis Effacer les anciennes versions
    * Suis les invites.
    * Il te sera précisé de la suppression les versions trouvées et supprimées

-----------------------------------

On va enlever les outils utilisés;

    * Lance OTL et clique sur purge outils.
      Le PC va redémarrer pour supprimer l'outil et sa quarantaine.

------------------------------------

Maintenant que le PC est propre, il te faut créer un point de restauration propre pour pouvoir l'utiliser en cas de problème sur ton PC.

Dans le Panneau de configuration choisis l'affichage classique :
# Système --> dans la liste des taches, à gauche, choisis propriétés du système
# sélectionner le disque c: puis choisis appliquer.

Clique ensuite sur créer pour la création d'un point de restauration. 
Suis les invites

----------------------------------

Bonne continuité.

A+

Jivixx · Answer

Parfait, c'est fait.

Encore merci.

"protectyourpc-11.com", ESS s'affole

17 réponses

Discussions similaires

Newsletters