Pop-ups sous Mozilla

[Fred35]

Comme je l'ai précisé là:
http://www.pc-infopratique.com/forum-in ... tml#241646

j'ai donc un souci de pop up après l'installation (stupide) de Web Media Player. Enfin à priori c'est la cause.

J'ai un pc Acer sous Xp. Déjà essayé deux de ces méthodes, la manuelle et l'automatique:
http://pagesperso-orange.fr/jesses/Docs ... ipromo.htm
Ca n'a rien donné.

Je survis sous Opéra que je découvre, mais z'aime bien Mozilla.......
merci d'avance

[H3bus]

Salut,

Tu dois avoir une petite infection de derrière les fagots...

On va commencer par un petit scan Hijackthis, dont tu posteras le rapport dans ton prochain message.

Ensuite un petit tour par le dossier Nettoyage, pour virer tout ce qui traine et qui ne devrait pas être... Manipulations à faire en mode sans échec.

Tu n'as plus qu'à suivre ces deux liens et faire tout ce qui est indiqué. Si tu as des questions n'hésite pas.

Bon courage !

[CaSa]

L'infection est vraisemblablement due à navipromo. Tu as mal désinfecté surement.
Essaye cette méthode => http://www.malekal.com/Adware.Magic_Control.php
Je l'ai faite plusieurs fois et elle a toujours fonctionné.

[Fred35]

Je tente, merci.
Je vous tiens au courant dès que c'est fait.

J'ai effectué Hijack hier soir, voilà le résultat:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:54:37, on 12/06/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSExplorer.EXE
C:Program FilesAlwil SoftwareAvast4aswUpdSv.exe
C:Program FilesAlwil SoftwareAvast4ashServ.exe
C:WINDOWSsystem32spoolsv.exe
C:Program FilesCyberLinkPowerDVDPDVDServ.exe
C:AcerEmpowering TechnologyeRecoveryeRAgent.exe
C:Program FilesHPHP Software UpdateHPWuSchd2.exe
C:Program FilesJavajre1.6.0_05injusched.exe
C:Program FilesiTunesiTunesHelper.exe
C:PROGRA~1ALWILS~1Avast4ashDisp.exe
C:WINDOWSSOUNDMAN.EXE
C:WINDOWSsystem32ctfmon.exe
C:documents and settingshélary lanoëlocal settingsapplication dataqascn.exe
C:Program FilesAcer WLAN 11g USB DongleDWlan.exe
C:Program FilesHPDigital Imaginginhpqtra08.exe
C:Program FilesFichiers communsAppleMobile Device SupportinAppleMobileDeviceService.exe
C:WINDOWSSystem32PAStiSvc.exe
C:WINDOWSsystem32svchost.exe
C:Program FilesAlwil SoftwareAvast4ashMaiSv.exe
C:Program FilesAlwil SoftwareAvast4ashWebSv.exe
C:Program FilesiPodiniPodService.exe
C:WINDOWSSystem32svchost.exe
C:Program FilesMozilla Firefoxfirefox.exe
D:Program FilesWindows LiveMessengermsnmsgr.exe
C:Program FilesWindows LiveMessengerusnsvc.exe
C:Program FilesTrend MicroHijackThisHijackThis.exe

R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://g.msn.fr/0SEFRFR/SAOS02
R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://home.neuf.fr/
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://global.acer.com
R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Liens
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:Program FilesAdobeAcrobat 7.0ActiveXAcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:Program FilesJavajre1.6.0_05inssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:Program FilesFichiers communsMicrosoft SharedWindows LiveWindowsLiveLogin.dll
O4 - HKLM..Run: [LaunchApp] Alaunch
O4 - HKLM..Run: [ntiMUI] C:Program FilesNewTech InfosystemsNTI CD & DVD-Maker 7
tiMUI.exe
O4 - HKLM..Run: [RemoteControl] "C:Program FilesCyberLinkPowerDVDPDVDServ.exe"
O4 - HKLM..Run: [IMJPMIG8.1] "C:WINDOWSIMEimjp8_1IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM..Run: [MSPY2002] C:WINDOWSsystem32IMEPINTLGNTImScInst.exe /SYNC
O4 - HKLM..Run: [PHIME2002ASync] C:WINDOWSsystem32IMETINTLGNTTINTSETP.EXE /SYNC
O4 - HKLM..Run: [PHIME2002A] C:WINDOWSsystem32IMETINTLGNTTINTSETP.EXE /IMEName
O4 - HKLM..Run: [SiSPower] Rundll32.exe SiSPower.dll,ModeAgent
O4 - HKLM..Run: [eRecoveryService] C:AcerEmpowering TechnologyeRecoveryeRAgent.exe
O4 - HKLM..Run: [ImageItEncrypt] C:WINDOWSsystem32ImageItEncrypt.exe
O4 - HKLM..Run: [HP Software Update] "C:Program FilesHPHP Software UpdateHPWuSchd2.exe"
O4 - HKLM..Run: [SunJavaUpdateSched] "C:Program FilesJavajre1.6.0_05injusched.exe"
O4 - HKLM..Run: [QuickTime Task] "C:Program FilesQuickTimeQTTask.exe" -atboottime
O4 - HKLM..Run: [iTunesHelper] "C:Program FilesiTunesiTunesHelper.exe"
O4 - HKLM..Run: [avast!] C:PROGRA~1ALWILS~1Avast4ashDisp.exe
O4 - HKLM..Run: [SoundMan] SOUNDMAN.EXE
O4 - HKCU..Run: [CTFMON.EXE] C:WINDOWSsystem32ctfmon.exe
O4 - HKCU..Run: [updateMgr] "C:Program FilesAdobeAcrobat 7.0ReaderAdobeUpdateManager.exe" AcRdB7_0_9 -reboot 1
O4 - HKCU..Run: [qascn] c:documents and settingshélary lanoëlocal settingsapplication dataqascn.exe qascn
O4 - HKUSS-1-5-19..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'SERVICE LOCAL')
O4 - HKUSS-1-5-20..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'SERVICE RESEAU')
O4 - HKUSS-1-5-18..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'SYSTEM')
O4 - HKUS.DEFAULT..Run: [CTFMON.EXE] C:WINDOWSsystem32CTFMON.EXE (User 'Default user')
O4 - Startup: Yahoo! Widget Engine.lnk = C:Program FilesYahoo!WidgetsYahooWidgetEngine.exe
O4 - Global Startup: Acer WLAN 11g USB Dongle.lnk = C:Program FilesAcer WLAN 11g USB DongleDWlan.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:Program FilesAdobeAcrobat 7.0Reader eader_sl.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:Program FilesHPDigital Imaginginhpqtra08.exe
O4 - Global Startup: Microsoft Office.lnk = C:Program FilesMicrosoft OfficeOfficeOSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:Program FilesJavajre1.6.0_05inssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:Program FilesJavajre1.6.0_05inssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:Program FilesMessengermsmsgs.exe
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b56907.cab
O23 - Service: Apple Mobile Device - Apple, Inc. - C:Program FilesFichiers communsAppleMobile Device SupportinAppleMobileDeviceService.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:Program FilesAlwil SoftwareAvast4aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:Program FilesAlwil SoftwareAvast4ashServ.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - C:Program FilesAlwil SoftwareAvast4ashMaiSv.exe
O23 - Service: avast! Web Scanner - ALWIL Software - C:Program FilesAlwil SoftwareAvast4ashWebSv.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:Program FilesFichiers communsInstallShieldDriver1050Intel 32IDriverT.exe
O23 - Service: Service de l'iPod (iPod Service) - Apple Inc. - C:Program FilesiPodiniPodService.exe
O23 - Service: Pml Driver HPZ12 - HP - C:WINDOWSsystem32HPZipm12.exe
O23 - Service: STI Simulator - Unknown owner - C:WINDOWSSystem32PAStiSvc.exe

--
End of file - 6745 bytes

[Fred35]

L'infection est vraisemblablement due à navipromo. Tu as mal désinfecté surement.
Essaye cette méthode => http://www.malekal.com/Adware.Magic_Control.php
Je l'ai faite plusieurs fois et elle a toujours fonctionné.

Voilà le résultat de Navilog:
Search Navipromo version 3.5.8 commencé le 13/06/2008 à 12:48:21,40

!!! Attention,ce rapport peut indiquer des fichiers/programmes légitimes!!!
!!! Postez ce rapport sur le forum pour le faire analyser !!!
!!! Ne lancez pas la partie désinfection sans l'avis d'un spécialiste !!!

Outil exécuté depuis C:Program Files
avilog1
Session actuelle : "Hélary Lanoë"

Mise à jour le 06.06.2008 à 18h00 par IL-MAFIOSO


Microsoft Windows XP [version 5.1.2600]
Internet Explorer : 6.0.2900.2180
Système de fichiers : NTFS

Recherche executé en mode normal

*** Recherche Programmes installés ***

Favorit

*** Recherche dossiers dans "C:WINDOWS" ***


*** Recherche dossiers dans "C:Program Files" ***


*** Recherche dossiers dans "c:docume~1alluse~1applic~1" ***


*** Recherche dossiers dans "c:docume~1alluse~1menudm~1progra~1" ***


*** Recherche dossiers dans "C:Documents and SettingsHélary Lanoëapplic~1" ***


*** Recherche dossiers dans "C:Documents and SettingsHélary Lanoëlocals~1applic~1" ***


*** Recherche dossiers dans "C:Documents and SettingsHélary Lanoëmenudm~1progra~1" ***

*** Recherche avec Catchme-rootkit/stealth malware detector par gmer ***
pour + d'infos : http://www.gmer.net

Aucun Fichier trouvé


*** Recherche avec GenericNaviSearch ***
!!! Tous ces résultats peuvent révéler des fichiers légitimes !!!
!!! A vérifier impérativement avant toute suppression manuelle !!!

* Recherche dans "C:WINDOWSsystem32" *

* Recherche dans "C:Documents and SettingsHélary Lanoëlocals~1applic~1" *

Fichiers trouvés :

qascn.exe trouvé !
qascn.dat trouvé !
qascn_nav.dat trouvé !
qascn_navps.dat trouvé !



*** Recherche fichiers ***


C:WINDOWSsystem32
vs2.inf trouvé !

*** Recherche clés spécifiques dans le Registre ***

HKEY_CURRENT_USERSoftwareLanconfig trouvé !

*** Module de Recherche complémentaire ***
(Recherche fichiers spécifiques)

1)Recherche nouveaux fichiers Instant Access :


2)Recherche Heuristique :

* Dans "C:WINDOWSsystem32" :


* Dans "C:Documents and SettingsHélary Lanoëlocals~1applic~1" :

qascn.dat trouvé !
qascn_nav.dat trouvé !
qascn_navps.dat trouvé !

3)Recherche Certificats :

Certificat Egroup trouvé !
Certificat Electronic-Group trouvé !
Certificat OOO-Favorit trouvé !
Certificat Sunny-Day-Design-Ltd absent !

4)Recherche fichiers connus :



*** Analyse terminée le 13/06/2008 à 12:52:28,48 ***

[Laddy]

Bonjour

Double clique sur le raccourci Navilog1 présent sur le bureau et laisse-toi guider.
Au menu principal, choisis 2 et valide.


Le fix va t'informer qu'il va alors redémarrer ton PC
Ferme toutes les fenêtres ouvertes et enregistre tes documents personnels ouverts
Appuie sur une touche comme demandé.
(si ton Pc ne redémarre pas automatiquement, fais le toi même)
Au redémarrage de ton PC, choisis ta session habituelle.

Patiente jusqu'au message :
*** Nettoyage Termine le ..... ***
Le blocnote va s'ouvrir.
Sauvegarde le rapport de manière à le retrouver
Referme le blocnote. Ton bureau va réapparaitre

PS:Si ton bureau ne réapparait pas, fais CTRL+ALT+SUPP pour ouvrir le gestionnaire de tâches.
Puis rends-toi à l'onglet "processus". Clique en haut à gauche sur fichiers et choisis "exécuter"
Tape explorer et valide. Celà te fera apparaitre ton bureau

puis

Télécharge Lop S&D.exe ( d' Eric 71 & Angeldark ) sur ton bureau.

• Double-clique dessus pour lancer l'installation
• Puis double-clique sur le raccourci Lop S&D présent sur ton bureau
• Séléctionne la langue souhaitée , puis choisis l'Option 1 ( Recherche )
• Patiente jusqu'à la fin du scan
• Poste le rapport généré ( C:lopR.txt )

(Si le Bureau ne réapparait pas presse Ctrl + Alt + Suppr , Onglet Fichier , Nouvelle tâche , tape explorer.exe et valide)

[r@in | b0w]

Bonjour.

@ Laddy le nettoyage avec NaviPromo est effectif, il a répondu quand tu étais en train de poster sûrement.

Son bureau est déjà visible si j'ai bien suivi.

A quoi sert ton LopS&D.exe?

@ Fred35:

Si ce n'est déjà fait, tu suis le dossier Nettoyage donné par H3bus précédemment.

Ensuite et dans l'ordre:


_ Suppression des points de Restauration système:

Tu cliques droit sur Poste de travail puis Propriétés.



Tu choisis l'onglet Restauration du système et tu décoches la ligne Restauration automatique du système.

Tu confirmes le message stipulant la suppression de tous les points de restauration.


_ Affichage des fichiers & dossiers cachés:

Tu double cliques sur Poste de travail.

Tu vas ensuite sur Outils puis Options des dossiers.



Tu prends ensuite l'onglet Affichage et tu coches la ligne Afficher les fichiers et dossiers cachés.



Puis tu cliques sur Appliquer et enfin Ok.


_ Suppression des lignes malsaines:

Tu redémarres en Mode sans échec ([F8] au démarrage).

Tu lances ensuite HJT en cliquant sur Do a system scan only.

Tu coches les lignes suivantes:

C:documents and settingshélary lanoëlocal settingsapplication dataqascn.exe
O4 - HKCU..Run: [qascn] c:documents and settingshélary lanoëlocal settingsapplication dataqascn.exe qascn
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:Program FilesAdobeAcrobat 7.0Reader eader_sl.exe

Si tu as un logiciel ImageItEncrypt et que tu t'en sers, tu laisses la ligne suivante, sinon tu la coches aussi.

O4 - HKLM..Run: [ImageItEncrypt] C:WINDOWSsystem32ImageItEncrypt.exe

(il faudra ensuite désinstaller le programme en Mode normal avec Ajout/Suppression de programmes via le Panneau de configuration).

Tu cliques ensuite sur Fix Checked puis tu valides la suppression.


_ Recherche de fichiers suspects:

Tu vas dans C:documents and settingshélary lanoëlocal settingsapplication data et tu repères qascn.exe.

C'est le fichier trouvé par NaviPromo.

Si tu le trouves, tu le supprimes puis tu vides la poubelle.

Tu passes ensuite un coup de Ccleaner que tu configures en suivant ce tutorial.


_ Analyse virale en Mode sans échec:

Tu continues dans le Mode sans échec et tu passe un coup d'Avast pour voir s'il trouve quelque chose à redire.


_ Analyse en ligne:

Tu redémarres ensuite pour faire une analyse en ligne avec Internet Explorer sur BitDefender.


_ Mises à jour:

Tu télécharges et installes la version 7 d'Internet Explorer ici.

Même si tu navigues avec d'autres navigateurs, tu pourras avoir besoin d'Internet Explorer pour certaines choses, autant qu'il soit à jour et ainsi sûr.

Tiens-nous au courant


Ps: je ne saurais trop te conseiller Ad-Aware ainsi que Spybot pour t'éviter des désagréments futurs et te protéger contre ces vermines.

[Laddy]

Lop S&D sert à vérifier qu'il n'y a pas de CID cachés.
Le rapport de navilog donnée est celui de la recherche et non de la suppression.

[Fred35]

merci à tous, mais j'ai suivi le lien donné par Casa, puis suivi les instructions de ce lien et tout a l'air d'être bon.

Plus de pop-ups agressives.
Dans le spremières manipulations que j'ai effectué, j'avais un petit programme appelé "Favorit" dans "Ajouter ou supprimer des programmes". Comme il ressemblait à ceux de Windows (pas de date, etc..) je n'y ai pas touché, ce qui explique que, malgré mes deux nettoyages successifs avec l'autre méthode, le problème persistait.
Là, ce programme a été éradiqué, donc plus de souci apparemment.

Merci à tous de votre temps et de votre aide!

30/06 : je confirme. Virus nettoyé. Vous pouvez marquer ce topic comme résolu!