[résolu] infecté par http://www.search-web.net/

Bonjour,
voila mon probleme, j'ai été infecté par http://www.search-web.net/ du coup impossible de changer ma page d'accueil, j'ai donc suivi avec attention plusieurs tuto diffusé sur votre forum mais le probleme persiste, poyuvez vous m'apporter votre aide?
Merci d'avance.

Clique ici ou ici pour Télécharger ZHPDiag ( de Nicolas coolman )

Double clique sur le fichier d'installation, puis installe le avec les paramètres par défaut (Coche " Créer une icône sur le bureau " )

• Lance ZHPDiag en double cliquant sur l'icône présente sur ton bureau (Clique droit -> Exécuter en tant qu'administrateur ( Vista/seven )
  
  
• Clique sur la loupe en haut à gauche, puis laisse l'outil scanner
  
  
• Une fois le scan terminé, clique sur l'icône en forme de disquette et enregistre le fichier sur ton bureau

Poste le contenu du rapport


Si les rapports sont trop longs utilisez ce site : http://www.cijoint.fr/
Cliquez sur Parcourir pour rechercher les rapports puis cliquez sur Cliquez ici pour déposer le fichier
Donnez le lien dans le sujet.
Il est de type : http://www.cijoint.fr/cjlink.php?file=cj201003/abcZ8MD0zB.txt

Bonsoir,
j'ai posté le rapport sur mon site perso http://thomas2010.dyndns.org dans le menu principal clique sur rapport zhp diag.
Merci d'avance pour ton aide

ZHPFix : raccourcis sur le bureau

- Lance ZHPFix (si tu es sous Windows Vista ou Windows 7, lance le par un clic-droit dessus --> Exécuter en tant qu'administrateur).
- Copie les lignes suivantes :

O4 - HKCU\..\Run: [Protection] . (.Copyright - Protection.) -- C:\Users\Lilian\Protection.exe
O4 - HKUS\S-1-5-21-1014974566-335898567-1869145478-1000\..\Run: [Protection] . (.Copyright - Protection.) -- C:\Users\Lilian\Protection.exe

- Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
- Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
- Clique sur le bouton « GO » pour lancer le nettoyage,
- Copie/colle la totalité du rapport dans ta prochaine réponse, le rapport est situé sur ton bureau

re:
voici le rapport zhp fix:

Rapport de ZHPFix 1.12.3344 par Nicolas Coolman, Update du 21/07/2011
Fichier d'export Registre :
Run by Lilian at 27/07/2011 23:28:16
Windows 7 Ultimate Edition, 32-bit Service Pack 1 (Build 7601)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Valeur(s) du Registre ==========
SUPPRIME RunValue: Protection
ABSENT RunValue: Protection

========== Fichier(s) ==========
SUPPRIME c:\users\lilian\protection.exe
ABSENT File: c:\users\lilian\protection.exe


========== Récapitulatif ==========
2 : Valeur(s) du Registre
2 : Fichier(s)


========== Chemin du fichier rapport ==========
C:\Program Files\ZHPDiag\ZHPFixReport.txt



End of the scan in 00mn 00s

Recommence la même manipulation pour ces lignes :

Citation :

O51 - MPSK:{09bdd3cf-9ce8-11e0-b7ad-002713398246}\AutoRun\command. (...) -- E:\LaunchU3.exe (.not file.)
O51 - MPSK:{7bfba1ed-9ab7-11e0-bdc7-002713398246}\AutoRun\command. (...) -- E:\sources\sperr32.exe (.not file.)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.search-web.net
R0 - HKUS\S-1-5-21-1014974566-335898567-1869145478-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.search-web.net

1/ Nettoyage des fichiers temporaires avec CCleaner
Tutoriel : http://www.bibou0007.com/t362-tutorial-ccleaner

2/ Désactive puis réactive la restauration du système :
Tutoriel : http://www.forum-fec.net/t142-purger-la-restauration-du-systeme-sous-windows-7

3/ Analyse ton ordinateur avec ESET Oline Scanner en suivant ce tutoriel :
Tutoriel : http://www.bibou0007.com/t3691-tutorial-eset-online-scanner

- Poste moi le rapport dans ta prochaine réponse

ok je fais ca et je te tien au courant....
tu dors jamais lol, en tout cas merci de te creuser la tete pour moi

Non moi je vis la nuit et je dors le matin c'est plus calme

le scan n'est pas terminé mais une menace detectée, j'ai posté une capture sur mon site elle est avec le rapport, desolé ca devait etre un peu lent tout a l'heure mais j'etais en train de faire des mises a jour. http://thomas2010.dyndns.org

re
je t'ai poster sur mon site les captures des resultyat du scan, dois je cocher suppression des fichier en quarantaine?

j'ais cocher suppression des fichiers , refait un nettoyage avec ccleaner et apparament le probleme est resolu (a verifier demain) en tout cas merci beaucoup pour ton aide, peut tu m'indiquer comment marquer le sujet comme resolu?*
je te souhaite une bonne nuit et encore MERCI

bon finalement apres redemarrage du pc le probleme est de retour , je crois que je vais formater au moins le probleme sera definitivement reglé merci quand meme

Re

Primo : je ne vois aucune capture sur ton site apparemment pour y accéder faudrait s'inscrire chose que je veux pas

Deuxio : le problème est de retour parce que on a pas terminé la désinfection, je n'ai pas dis qu'on a fini :s

Ps : un formatage pour une infection pareille serait vraiment très con !

bonjour,

Bonsoir,

Merci pour le temps accordé et les solutions que tu m'as apporté. Finalement il restait un processus actif (Protection.exe) que j'ai pu supprimer sans aucun problème et apparement mon problème est résolu et sans ton aide je n'y serai pas arrivé.
Encore merci pour le temps que tu m'as accordé.
J'ai 2 dernières requetes lol :
1 - y a t il un risque que ce virus est récupérer des infos perso sur mon pc?
2 - peux tu supprimer ce post (les gens n'ont pas besoins de lire nos débats)

Par avance, merci.
Cordialement
lil

Bonsoir les amoureux

lil, ton dernier message sera édité après lecture par Diablo.
Celui de Diablo également si celui ci est d'accord. Merci de ta compréhension.

Hello

Citation :

1 - y a t il un risque que ce virus est récupérer des infos perso sur mon pc?

Oui puisque c'est un cheval de troie
Un peu de lecture : http://fr.wikipedia.org/wiki/Cheval_de_Troie_(informatique)

Citation :

2 - Mon problème est résolu et sans ton aide je n'y serai pas arrivé.

Afin de finir mon boulot proprement, poste moi un dernier rapport ZHPDiag

Amicalement

Diablo

Salut Diablo,
et merci de bien vouloir finir le boulot proprement....
voici le lien pour le rapport ZHPDiag:

http://www.cijoint.fr/cjlink.php?file=cj201107/cij7xbEWwM.txt

Bonne journée

Hello lil

Télécharge OTM (OldTimer)
[s]Lien :[/s] http://oldtimer.geekstogo.com/OTM.exe

- Sauvegarde le sur ton Bureau.
- Double-Clique sur OTM.exe pour le lancer.
- Copie le contenu de cet encadré

Citation :

:processes
explorer.exe
firefox.exe
iexplorer.exe

:files
%userprofile%\F_ajour.jar
%userprofile%\vers
%userprofile%\binternet.jar
%userprofile%\windows.dll
%userprofile%\scriptjava.html
%userprofile%\tmp1.14
%userprofile%\tmp1.16
%userprofile%\errorlog.tmp
C:\WINDOWS\System32\prncnfgd
%userprofile%\binternet_*
%userprofile%\Application Data\Microsoft\Internet Explorer\Quick Launch\Chat-Land site de chat et de rencontre gratuit.URL
%userprofile%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Chat-Land site de chat et de rencontre gratuit.URL
%userprofile%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\binternet.lnk
%userprofile%\Start Menu\Programs\Startup\binternet.lnk
%userprofile%\main.vbe
%userprofile%\parm.fr
%userprofile%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Protection.lnk
%userprofile%\Menu Démarrer\Programmes\Démarrage\Protection.lnk
%userprofile%\Protection.jar
%userprofile%\racourci.vbe

:reg
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{557C21FE-7274-410D-853E-9ED4471BF193}]
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\Recherche avec search-web]

:commands
[purity]
[emptytemp]
[start explorer]

- Retourne dans OTM, fais un clique-droit dans la fenêtre "Paste instructions for items to move" et choisis Coller.
- Clique sur le bouton rouge Moveit!.
- Ferme OTM.

Note : Si un fichier ou un dossier ne peut être déplacer immédiatement il te sera demander de redémarrer ta machine pour finir le processus. Si c'est le cas, accepte le redémarrage en choisissant Yes.

- Poste le rapport qui se trouve ici : C:\_OTM\MovedFiles

re...
j'ai effectué la manip, un redémarrage a été nécéssaire, voici le rapport:

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
No active process named firefox.exe was found!
No active process named iexplorer.exe was found!
========== FILES ==========
File/Folder C:\Users\Lilian\F_ajour.jar not found.
File/Folder C:\Users\Lilian\vers not found.
File/Folder C:\Users\Lilian\binternet.jar not found.
File/Folder C:\Users\Lilian\windows.dll not found.
File/Folder C:\Users\Lilian\scriptjava.html not found.
File/Folder C:\Users\Lilian\tmp1.14 not found.
File/Folder C:\Users\Lilian\tmp1.16 not found.
File/Folder C:\Users\Lilian\errorlog.tmp not found.
File/Folder C:\WINDOWS\System32\prncnfgd not found.
File/Folder C:\Users\Lilian\binternet_* not found.
File/Folder C:\Users\Lilian\Application Data\Microsoft\Internet Explorer\Quick Launch\Chat-Land site de chat et de rencontre gratuit.URL not found.
File/Folder C:\Users\Lilian\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Chat-Land site de chat et de rencontre gratuit.URL not found.
File/Folder C:\Users\Lilian\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\binternet.lnk not found.
File/Folder C:\Users\Lilian\Start Menu\Programs\Startup\binternet.lnk not found.
File/Folder C:\Users\Lilian\main.vbe not found.
File/Folder C:\Users\Lilian\parm.fr not found.
File/Folder C:\Users\Lilian\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Protection.lnk not found.
File/Folder C:\Users\Lilian\Menu Démarrer\Programmes\Démarrage\Protection.lnk not found.
File/Folder C:\Users\Lilian\Protection.jar not found.
File/Folder C:\Users\Lilian\racourci.vbe not found.
========== REGISTRY ==========
Registry key HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{557C21FE-7274-410D-853E-9ED4471BF193}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{557C21FE-7274-410D-853E-9ED4471BF193}\ not found.
Registry key HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\Recherche avec search-web\ not found.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Lilian
->Temp folder emptied: 87194889 bytes
->Temporary Internet Files folder emptied: 16944496 bytes
->Java cache emptied: 0 bytes
->Flash cache emptied: 611 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 1662778 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 101,00 mb


OTM by OldTimer - Version 3.1.18.0 log created on 07292011_185215

Files moved on Reboot...
File move failed. C:\Windows\temp\_avast_\Webshlock.txt scheduled to be moved on reboot.

Registry entries deleted on Reboot...

Hello

C'est nickel, juste une dernière manipulation

1 / Supprimer les outils de désinfection.

Télécharger DelFix de Xplode sur ton Bureau
Double-clic pour l’exécuter. Sous Vista/Seven clic droit choisir Exécuter en tant qu'administrateur
Clique sur le bouton Rechercher
Poste le rapport dans ta prochaine réponse.

2 / Supprimer les points de restauration infectieux
Purge la restauration du système :
Tutoriel (Windows 7) : http://www.forum-fec.net/t142-purger-la-restauration-du-systeme-sous-windows-7
Tutoriel (Windows Vista) : http://fr.sophos.com/support/knowledgebase/article/17803.html
Tutoriel (Windows XP) : http://www.bibou0007.com/t151-purger-la-restauration-du-systeme-sous-windows-xp

re
voila c'est fait, voici le rapport:

# DelFix v8.1 - Rapport créé le 29/07/2011 à 22:02
# Mis à jour le 20/06/11 à 19h par Xplode
# Système d'exploitation : Windows 7 Ultimate (32 bits) [version 6.1.7601] Service Pack 1
# Nom d'utilisateur : Lilian - PORTABLE-HP-LIL (Administrateur)
# Exécuté depuis : C:\Users\Lilian\Desktop\DelFix-8.1.exe
# Option [Recherche]


~~~~~~ Dossier(s) ~~~~~~

Présent : C:\_OTL
Présent : C:\_OTM
Présent : C:\Program Files\ZHPDiag
Présent : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP

~~~~~~ Fichier(s) ~~~~~~

Présent : C:\PhysicalDisk0_MBR.bin
Présent : C:\Users\Lilian\Desktop\OTM.exe
Présent : C:\Users\Lilian\Desktop\ZHPDiag.txt
Présent : C:\Users\Public\Desktop\MBRCheck.lnk
Présent : C:\Users\Public\Desktop\ZHPDiag.lnk
Présent : C:\Users\Public\Desktop\ZHPFix.lnk
Présent : C:\Users\Public\Desktop\MBRCheck.lnk
Présent : C:\Users\Public\Desktop\ZHPDiag.lnk
Présent : C:\Users\Public\Desktop\ZHPFix.lnk
Présent : C:\Users\Lilian\Downloads\ZHPDiag2.exe

~~~~~~ Registre ~~~~~~

Clé Présente : HKLM\Software\OldTimer Tools
Clé Présente : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1

~~~~~~ Autre ~~~~~~


########## EOF - "C:\DelFixSearch.txt" - [1290 octets] ##########

DelFix : Suppression
Télécharger Delfix de Xplode sur ton Bureau
Double-clic pour l'executer. Sous Vista/Seven clic droit choisir Exécuter en tant qu'administrateur
Clique sur le bouton Suppression
Poste le rapport dans ta prochaine réponse.
Puis Execute le de nouveau et clic sur le bouton Désinstaller

ok

voici le rapport de suppression :

# DelFix v8.1 - Rapport créé le 29/07/2011 à 22:43
# Mis à jour le 20/06/11 à 19h par Xplode
# Système d'exploitation : Windows 7 Ultimate (32 bits) [version 6.1.7601] Service Pack 1
# Nom d'utilisateur : Lilian - PORTABLE-HP-LIL (Administrateur)
# Exécuté depuis : C:\Users\Lilian\Desktop\DelFix-8.1.exe
# Option [Suppression]


~~~~~~ Dossier(s) ~~~~~~

Supprimé : C:\_OTL
Supprimé : C:\_OTM
Supprimé : C:\Program Files\ZHPDiag
Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZHP

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\PhysicalDisk0_MBR.bin
Supprimé : C:\Users\Lilian\Desktop\OTM.exe
Supprimé : C:\Users\Lilian\Desktop\ZHPDiag.txt
Supprimé : C:\Users\Public\Desktop\MBRCheck.lnk
Supprimé : C:\Users\Public\Desktop\ZHPDiag.lnk
Supprimé : C:\Users\Public\Desktop\ZHPFix.lnk
Supprimé : C:\Users\Lilian\Downloads\ZHPDiag2.exe

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKLM\Software\OldTimer Tools
Clé Supprimée : HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1

~~~~~~ Autre ~~~~~~

-> Prefetch vidé

########## EOF - "C:\DelFixSuppr.txt" - [1182 octets] ##########

Hello lil

Tout est bon ! comment se comporte ton pc ?

salut Diablo
Ben apparement tout est rentré dans l'ordre, faut que je test un peu demain mais pour l'instant ca a l'air d'aller, habituellement je coupe ma connection internet ainsi que l'antivirus et Microsoft security essentiel et je vérifie l'utilisation de l'UC, j'ai fait le test pendant 2mn et je n'ai vu aucun pic donc c pour moi c'est que le pc a l'air propre....mais t'inquiete pas lol si jamais ca se remet à déconner je penserais a toi.
Encore Merci pour ton aide et le temps consacré

Je t'en prie

!!! Sujet résolu !!!

Le sujet semble résolu, je le verrouille. Si pour une raison ou une autre, vous avez besoin de le réouvrir, faites en la demande par Messagerie Privée en précisant la raison et le lien vers ce sujet.
Ceci ne s'applique qu'à lil.
Pour les autres, créez votre propre sujet svp.