[Réglé] Mozilla et virus ecostartpage...

[rulfur]

Bonjour a tous (et a Bernard, je viens de relire mon precedent post ),

je dois avoir un soucis : quand je tente d'ouvrir Mozilla, il me balance sur des adresses bizarres (chinoises, ou message d'erreur (alors que c'est des sites certifiés), et autres dont ma morale judeo-chretienne m'empeche de developper ici )... J'ai lancé un antivir et il semble que cela soit un genre "ecostartpage" qui soit dans les coins de mon PC ... Alors, auriez-vous un tuyau pour enlever cette chose-là ? (et puis apres avoir relu l'autre post, peut-etre un brin d'explication, si c'est pas trop dur a comprendre) ... A vot'bon coeur !!

[HexCrunch]

Hello,

Je me nomme Wahib Mkadmi et je viens de prendre connaissance de ton message et te propose mon aide pour ainsi sortir de cette situation.

On va regarder ce qui se passe sur ton système, mais pendant la désinfection, tu ne dois rien télécharger de toi même

Pour cela il faudra installer des outils à ne désinstallerqu'à la fin de la désinfection, quand je te le dirai.

Petites questions :

• Quels systèmes d'exploitation as-tu (Xp, Vista, Seven, 32 ou 64 Bit) :?:
  
• Quelle a été ta dernière action ? (téléchargement d'un logiciel, Msn, installation d'un périphérique etc...) Plus tu m'en diras, et mieux je pourrai cibler ton problème.
  
• As-tu un message d'alerte sur ton bureau, ou autre symptômes :?:
  
• Tu as quel AV installé ?
  
• Ton AV détecte une menace ? quel est son nom si c'est le cas ?
  
• Ton AV détecte une menace ? quel est son nom si c'est le cas ?
  
• Expliques mieux ton problème stp

On va mettre quelque règles de désinfection

• Ne fais rien de ta propre initiative
• Ne quitte pas le sujet même si ton PC va mieux

NOTE: Au moindre souci pour exécuter les applications qui suivront, ne pas hésiter à questionner
(Ne pas faire de manipulations hasardeuses et souvent malencontreuses, s'il te plaît.)


On va voir ensemble, on dirait qu'on a du taf sur le PC

• Télécharge OTL de Old_Timer et enregistre le sur le Bureau
• Ferme toutes les autres fenêtres et double-clique sur OTL.exe
• Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'adminsitrateur.
• Vérifie que les cases Tous les utilisateurs, Recherche Lop et Recherche Purity soient cochées.
• Dans le cadre Personnalisation, copie-colle l'intégralité de ce qui suit :

Code: Tout sélectionner

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
/md5start
explorer.exe
wininit.exe
winlogon.exe
userinit.exe
svchost.exe
/md5stop
%SYSTEMDRIVE%\*.exe
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
nslookup http://www.google.fr /c
SAVEMBR:0
CREATERESTOREPOINT


• Clique ensuite sur Analyse et patiente le temps du scan

• A la fin de l'analyse, les rapports OTL.txt et Extras.txt s'affichent.
• Les rapports étant trop longs pour le forum, héberge-les sur Cjoint et indique les liens fournis dans ta réponse.
• Les rapports sont sauvegardés sur le Bureau.

Voila, j'attends 3 rapports:

• Le tien
• ORL.txt
• Extras.txt

Apluch !

[rulfur]

Merci Wahib ("généreux donateur")

Bon, pour commencer, je suis sous Windows 7, ma dernière action, euh.... Un torrent peut-etre... Rien de particulier sinon... Aucun message d'alerte... AVAST est mon AV... Il n'a rien detecté... J'ai un petit logiciel, Spyhunter, qui aurait trouvé un truc qui avait un nom tarabiscoté, un copier-coller sur la toile et cela m'a orienté vers ce fameux "ecostartpage"... Les symptomes sont ceux que j'ai decris : Mozilla qui ne se lance plus normalement (grand temps de latence), qui affiche des pages complètement disparates, hors propos, ou des messages d'erreur...

Je prends bonne note de tes messages de précautions et ne ferai aucune manipulations hasardeuses...

Rapport ca c'est pour OTL.txt

Rapport pour l' Extra

MErci à toi

[HexCrunch]

Hello

Télécharges le Adwcleaner (de Xplode) sur ton Bureau !



Fais clic droit dessus, exécuter en tant qu'administrateur sous Windows : 7/8 et Vista

Clic sur Suppression :



Laisse l'outils travailler sans toucher au PC !



Un rapport va s'afficher sur ton écran :



Copie le dans son intégralité, colle le sur le Forum entre les balises :

Code: Tout sélectionner

[code]Rapport .....[/code]

------------

Pourrais-tu me faire une capture sur ce que SpyHunter a détecté et son chemin ?

Fais moi un nouvel OTL après cela,

@ +

[rulfur]

Ca roule, j'avais deja Adwcleaner dans un fichier "nettoyage" ...

Rapport :

Rapport

Pour le spyhunter, il trouve une menace : "Conduit Search/Toolbar" (il faut acheter pour enlever, ce que je n'ai pas fait)

Au fait, c'est bizarre, il me trouve des disques durs inconnus....

Et le ci-joint du rapport OTL : Rapport

Merci

[rulfur]

Ah, j'avais oublié, j'avais mis ma clef USB pour recuperer un fichier...

[HexCrunch]

Hello;

Bonne nouvelle, on chope l'infection

* Assure-toi d'avoir fermé toutes les applications en court de fonctionnement.

* Quand la fenêtre d'OTL apparaît, assure toi que dans la section "Rapport" (en haut à droite) la case " Rapport minimal" soit cochée.

* Copies et colles le contenue de cette citation dans la partie inférieure d'OTL "Personnalisation"

:OTL
IE - HKU\S-1-5-21-2253188192-298778785-1188585574-1000\..\URLSearchHook: {08C06D61-F1F3-4799-86F8-BE1A89362C85} - No CLSID value found
IE - HKU\S-1-5-21-2253188192-298778785-1188585574-1000\..\SearchScopes,DefaultScope =
FF - prefs.js..extensions.enabledAddons: %7B9AA46F4F-4DC7-4c06-97AF-5035170634FE%7D:5.5
FF - prefs.js..extensions.enabledAddons: %7B1018e4d6-728f-4b20-ad56-37578a4de76b%7D:4.2.10
FF - prefs.js..extensions.enabledAddons: %7B972ce4c6-7e08-4474-a285-3208198ce6fd%7D:22.0
CHR - default_search_provider: Ask (Enabled)
CHR - default_search_provider: search_url = http://websearch.ask.com/redirect?clien ... YYYYYFR&q={searchTerms}
CHR - default_search_provider: suggest_url = http://ss.websearch.ask.com/query?qsrc= ... =prefix&q={searchTerms}
O2 - BHO: (no name) - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - No CLSID value found.
O3:64bit: - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O3 - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O3 - HKU\S-1-5-21-2253188192-298778785-1188585574-1000\..\Toolbar\WebBrowser: (no name) - {D3028143-6145-4318-99D3-3EDCE54A95A9} - No CLSID value found.
O4 - HKLM..\Run: [] File not found
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: EnableLUA = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: PromptOnSecureDesktop = 0
O15 - HKU\S-1-5-18\..Trusted Domains: freerealms.com ([]* in Trusted sites)
O15 - HKU\S-1-5-18\..Trusted Domains: soe.com ([]* in Trusted sites)
O15 - HKU\S-1-5-18\..Trusted Domains: sony.com ([]* in Trusted sites)
O15 - HKU\S-1-5-19\..Trusted Domains: clonewarsadventures.com ([]* in )
O15 - HKU\S-1-5-19\..Trusted Domains: freerealms.com ([]* in )
O15 - HKU\S-1-5-19\..Trusted Domains: soe.com ([]* in )
O15 - HKU\S-1-5-19\..Trusted Domains: sony.com ([]* in )
O15 - HKU\S-1-5-20\..Trusted Domains: clonewarsadventures.com ([]* in )
O15 - HKU\S-1-5-20\..Trusted Domains: freerealms.com ([]* in )
O15 - HKU\S-1-5-20\..Trusted Domains: soe.com ([]* in )
O15 - HKU\S-1-5-20\..Trusted Domains: sony.com ([]* in )
O15 - HKU\S-1-5-21-2253188192-298778785-1188585574-1000\..Trusted Domains: clonewarsadventures.com ([]* in Trusted sites)
O15 - HKU\S-1-5-21-2253188192-298778785-1188585574-1000\..Trusted Domains: freerealms.com ([]* in Trusted sites)
O15 - HKU\S-1-5-21-2253188192-298778785-1188585574-1000\..Trusted Domains: line6.net ([]* in Trusted sites)
O15 - HKU\S-1-5-21-2253188192-298778785-1188585574-1000\..Trusted Domains: soe.com ([]* in Trusted sites)
O15 - HKU\S-1-5-21-2253188192-298778785-1188585574-1000\..Trusted Domains: sony.com ([]* in Trusted sites)
O15 - HKU\S-1-5-21-2253188192-298778785-1188585574-1002\..Trusted Domains: clonewarsadventures.com ([]* in )
O15 - HKU\S-1-5-21-2253188192-298778785-1188585574-1002\..Trusted Domains: freerealms.com ([]* in )
O15 - HKU\S-1-5-21-2253188192-298778785-1188585574-1002\..Trusted Domains: soe.com ([]* in )
O15 - HKU\S-1-5-21-2253188192-298778785-1188585574-1002\..Trusted Domains: sony.com ([]* in )
O21:64bit: - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found.
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found.
[2013/04/07 00:30:36 | 000,003,235 | ---- | C] () -- C:\Users\Roro\AppData\Local\Temp19.html
[2011/10/11 18:34:38 | 000,000,064 | ---- | C] () -- C:\Windows\SysWow64\rp_stats.dat
[2011/10/11 18:34:38 | 000,000,044 | ---- | C] () -- C:\Windows\SysWow64\rp_rules.dat
[2010/07/31 23:46:39 | 000,024,423 | ---- | C] () -- C:\Users\Roro\AppData\Local\Temp44.html
[2010/07/31 23:45:02 | 000,000,778 | ---- | C] () -- C:\Users\Roro\AppData\Local\Temp1.html
[2010/07/10 14:29:27 | 000,000,000 | -H-- | C] () -- C:\ProgramData\PKP_DLdw.DAT
[2010/07/10 14:27:44 | 000,000,020 | -H-- | C] () -- C:\ProgramData\PKP_DLdu.DAT
[2010/07/10 14:31:30 | 000,335,872 | R--- | M] (InstallShield Software Corp.) -- C:\Users\Roro\AppData\Roaming\Microsoft\Installer\{237CD223-1B9D-47E8-A76C-E478B83CCEA2}\ARPPRODUCTICON.exe
[2010/07/10 14:30:38 | 000,057,344 | R--- | M] (InstallShield Software Corp.) -- C:\Users\Roro\AppData\Roaming\Microsoft\Installer\{87441A59-5E64-4096-A170-14EFE67200C3}\ARPPRODUCTICON.exe
[2013/07/01 22:51:47 | 000,110,080 | R--- | M] () -- C:\Users\Roro\AppData\Roaming\Microsoft\Installer\{BCD55450-77AC-4347-B24F-654B1189F8D4}\Icon1226A4C5.exe
[2013/07/01 22:51:47 | 000,110,080 | R--- | M] () -- C:\Users\Roro\AppData\Roaming\Microsoft\Installer\{BCD55450-77AC-4347-B24F-654B1189F8D4}\IconD7F16134.exe
[2013/07/01 22:51:47 | 000,110,080 | R--- | M] () -- C:\Users\Roro\AppData\Roaming\Microsoft\Installer\{BCD55450-77AC-4347-B24F-654B1189F8D4}\IconF7A21AF7.exe
[2010/07/10 14:32:03 | 000,049,152 | R--- | M] (InstallShield Software Corp.) -- C:\Users\Roro\AppData\Roaming\Microsoft\Installer\{D2FCC1AE-6311-47C5-8130-C6C66D77DD71}\ARPPRODUCTICON.exe

:commands
[emptytemp]
[emptyflash]

* Cliques sur l'icône Correction (en haut à gauche) .
* Laisse le scan aller à son terme sans te servir du PC
* A la fin du scan un rapport s'ouvrir "OTL.log"
* Copie et colle le ou les rapports dans ta réponse stp...
* Au cas où, tu peux les retrouver dans le dossier C:\OTL ou sur ton bureau en fonction des cas rencontrés
Mets le rapport ici car il prend bien de la place.
http://cjoint.com/


Puis:

Tu as dèjà MalwareBytes Antimalware installé sur le PC, fais un scan complet et fournis moi le rapport, je te donnerai la suite après,

++

[rulfur]

Apres reboot du PC, rapport OTL : Rapport

Pour Malware, c'etait une version de demo, il faut que je le désinstalle...

[rulfur]

PS : mais comment tu sais tout ça ? C'est vraiment abscon vu d'ici... Pourras-tu (si vraiment cela ne t'ennuie pas) m'expliquer (un peu, en gros, car je ne suis pas un developpeur), histoire que je m'en dorme un peu moins bête ?

[HexCrunch]

Hello,

C'est ton droit de comprendre,

OTL est outil de diagnostic afin de pouvoir analyser les programmes en cours d’exécution sur l’ordinateur et y déceler d’éventuels malwares. Cet outil identifier les modifications apportées à un système par des logiciels malveillants, espions et autres programmes indésirables. Il génère un rapport qu'un helper spécialisé va interpréter, repérer les infections et les traiter.

Autre chose qui semble flou ?

J'attends le rapport MBAM.

[rulfur]

Ah non, c'est clair !! Et c'est le Helper qui t'oriente sur les points à modifier, ok (car quand je voyais les lignes de codes, je me demandais comment tu pouvais retrouver "tes petits", enfin les miens plutôt )

Non, pour le reste , il faudrait surement que je me colle aux tutoriels idoines

Malwarebytes Anti-Malware Rapport

[HexCrunch]

Hello,

Le PC n'est plus infecté, ton problème persiste t-il ? si oui, on procède à la réinitialisation de FireFox

[rulfur]

Tout à l'air ok !!

MErci a toi, et au plaisir de te renvoyer la balle (pas en info, je suis dans l'insertion, conseiller emploi / formation, si y'a un besoin, n'hesite pas !!!

[HexCrunch]

Heureux que ça roule

Des derniers conseils ^^

Télécharges Delfix sur ton Bureau.



Lances le en faisant clic doit exécuter en tant qu'administrateur sous windows 7/8 et Vista
Coches l'option "Supprimer les outils de désinfection"
Coches l'option "Effectuer une sauvegarde du registre"
Coches l'option "Réinitialisation des paramètres système"



Exécution de la tâche :



Tu peux ensuite le supprimer de ton bureau

Pour le bien de votre PC:

• Penser à effectuer la Mise à jours de Windows Update:
• Démarrer => Tous les programmes => Windows Update

• Télécharge SX Check&Update (de Igor51 ) sur ton bureau.
  
• Lance SXCU.exe en double-cliquant dessus.
  (Utilisateur de Vista/Windows 7 faites un clic droit -> "Exécuter en tant qu'administrateur")
  
• Si une des lignes marque "OUT", clique sur Update correspondant à droite. Le chargement et l'exécution de la mise à jour vont se faire, suis les instructions.
  
• Ferme le programme via "Quit"
• Tu peux supprimer SXCU.exe.

• Mettre à jours son navigateur intenet:
• Mozilla Firefox
• Internet explorer
  
  
• Effectuer un Scan complet de votre pc avec votre Antivirus(Tous les 15J~)
• Effectuer un Scan complet ou rapide avec Malwarebytes' Antimalware
  utilisé lors de la désinfection en prenant soin de le mettre à jours avant chaque utilisations.
  
  
• Ne cliquer pas sur des liens qu'on vous envoie bêtement.
• Faite attention à vos téléchargement & à votre navigation sur internet:
  (Site douteux: Pubs , porno , Emoticône... )
• Fait attention aux Toolbars que vous installé => http://forum.malekal.com/les-toolbars-e ... t6173.html

[/quote]




Donc voici quelques conseils à adopter pour éviter les soucis

• maintenir tous ses logiciels ainsi que Windows à jour, pour cela vous pouvez utiliser un logiciel comme Secunia Personal Software Inspector (PSI) qui vous alerte en temps réel des mise à jour a effectuer sur votre pc et voici un tuto sur le forum de malekal
  
• se protéger en utilisant un antivirus, un pare-feu. et un antispyware, voici une liste d'AVs gratuits
  
  [li]antivir son tuto[/li]
  [li]Avast! son tuto[/li]
  [li]Liste des mailleurs antivirus gratuits.[/li]
  
  
  
• utiliser un navigateur plus sécurisé comme firefox et ses modules complémentaires: WOT et on peut rajouter NOSCRIPT
  >> Si vous ne souhaitez pas quitter Internet explorer télécharger WOT ici
  
• Utilisez MalwareBytes AntiMalware en suivant ce tuto
  
• Avoir un comportement responsable sur le net (ne pas aller sur n' importe quel site et ne pas télécharger n' importe quoi)

Une fois cela fait, je validerais ton sujet comme résolu.

Bon séjour à PC-I , n'hésite pas à revenir

[rulfur]

Oui, toutes les procedures ont été effectuées !!

En te remerciant et bien entendu je vais trainer sur ce forum, pour monter en compétences en info (j'en ai besoin !!)

A bientot