[RESOLU] Virus : accès sites antivirus bloqué et redirection

[ombrenoire]

Bonjour à tous,

Depuis plusieurs jours, impossible d'accéder a aucun site lié aux antivirus, antispyware, etc.
De plus lorsque je fais une recherche google et que je clique sur un lien, au lieu d'arriver sur le site attendu je tombe 1 fois sur 2 sur un site de pub pour des écrans LCD...

J'ai restauré le fichier Host a sa configuration d'origine mais le problème persiste.

Voici le log Hijackthis :

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:50:11, on 25/04/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16827)
Boot mode: Safe mode with network support

Running processes:
C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32csrss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSExplorer.EXE
D:Program FilesMozilla Firefoxfirefox.exe
D:Program FilesHostsManhm.exe
C:WINDOWSsystem32cmd.exe
C:Documents and SettingsFabianBureauDépannageHiJackThis.exe
C:WINDOWSsystem32wbemwmiprvse.exe
C:WINDOWSsystem32cmd.exe

R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://us.rd.yahoo.com/customize/ycomp/ ... ch/ie.html
R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = http://us.rd.yahoo.com/customize/ycomp/ ... .yahoo.com
R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://www.google.be/
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKCUSoftwareMicrosoftInternet ExplorerSearchURL,(Default) = http://us.rd.yahoo.com/customize/ycomp/ ... .yahoo.com
R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Local Page =
R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Local Page =
R1 - HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings,ProxyOverride = localhost
R0 - HKCUSoftwareMicrosoftInternet ExplorerToolbar,LinksFolderName = Liens
R3 - Default URLSearchHook is missing
O2 - BHO: HP Print Enhancer - {0347C33E-8762-4905-BF09-768834316C61} - D:Program FilesHPSmart Web Printinghpswp_printenhancer.dll
O2 - BHO: HP Print Clips - {053F9267-DC04-4294-A72C-58F732D338C0} - D:Program FilesHPSmart Web Printinghpswp_framework.dll
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:Program FilesFichiers communsAdobeAcrobatActiveXAcroIEHelper.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Programme d'aide de l'Assistant de connexion Windows Live - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:Program FilesFichiers communsMicrosoft SharedWindows LiveWindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:Program FilesJavajre6injp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:Program FilesJavajre6libdeployjqsiejqs_plugin.dll
O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)
O4 - HKLM..Run: [zBrowser Launcher] D:Program FilesLogitechiTouchiTouch.exe
O4 - HKLM..Run: [UpdReg] C:WINDOWSUpdReg.EXE
O4 - HKLM..Run: [PRONoMgr.exe] C:Program FilesIntelNCSPROSetPRONoMgr.exe
O4 - HKLM..Run: [NeroCheck] C:WINDOWSsystem32NeroCheck.exe
O4 - HKLM..Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM..Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM..Run: [ISUSScheduler] "C:Program FilesFichiers communsInstallShieldUpdateServiceissch.exe" -start
O4 - HKLM..Run: [QuickTime Task] "D:Program FilesQuickTimeqttask.exe" -atboottime
O4 - HKLM..Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM..Run: [P17Helper] Rundll32 P17.dll,P17Helper
O4 - HKLM..Run: [HPDJ Taskbar Utility] C:WINDOWSsystem32spooldriversw32x863hpztsb09.exe
O4 - HKLM..Run: [NvCplDaemon] RUNDLL32.EXE C:WINDOWSsystem32NvCpl.dll,NvStartup
O4 - HKLM..Run: [nwiz] nwiz.exe /install
O4 - HKLM..Run: [NvMediaCenter] RUNDLL32.EXE C:WINDOWSsystem32NvMcTray.dll,NvTaskbarInit
O4 - HKLM..Run: [DiskeeperSystray] "D:Program FilesDiskeeperDiskeeperDkIcon.exe"
O4 - HKLM..Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM..Run: [Adobe Reader Speed Launcher] "C:Program FilesAdobeReader 8.0ReaderReader_sl.exe"
O4 - HKLM..Run: [avgnt] "D:Program FilesAviraAntiVir PersonalEdition Classicavgnt.exe" /min
O4 - HKLM..Run: [HP Software Update] D:Program FilesHPHP Software UpdateHPWuSchd2.exe
O4 - HKLM..Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM..Run: [KernelFaultCheck] %systemroot%system32dumprep 0 -k
O4 - HKLM..Run: [SunJavaUpdateSched] "C:Program FilesJavajre6injusched.exe"
O4 - HKLM..Run: [@OnlineArmor GUI] "D:Program FilesTall EmuOnline Armoroaui.exe"
O4 - HKCU..Run: [ctfmon.exe] C:WINDOWSsystem32ctfmon.exe
O4 - HKCU..Run: [ISPMonitor] C:Program FilesISP Monitorisp.exe
O4 - HKCU..Run: [LDM] ProgramBackWeb-8876480.exe
O4 - HKUSS-1-5-18..Run: [Picasa Media Detector] D:Program FilesPicasa2PicasaMediaDetector.exe (User 'SYSTEM')
O4 - HKUS.DEFAULT..Run: [Picasa Media Detector] D:Program FilesPicasa2PicasaMediaDetector.exe (User 'Default user')
O4 - Startup: Yahoo! Widgets.lnk = C:Program FilesYahoo!WIDGET~1WidgetEngineYahooWidgets.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = D:Program FilesHPDigital Imaginginhpqtra08.exe
O4 - Global Startup: Logitech SetPoint.lnk = D:Program FilesLogitechSetPointSetPoint.exe
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://D:PROGRA~1MICROS~1OFFICE11EXCEL.EXE/3000
O9 - Extra button: Livre de reliures HP - {58ECB495-38F0-49cb-A538-10282ABF65E7} - D:Program FilesHPSmart Web Printinghpswp_extensions.dll
O9 - Extra button: Sélection intelligente HP - {700259D7-1666-479a-93B1-3250410481E8} - D:Program FilesHPSmart Web Printinghpswp_extensions.dll
O9 - Extra button: Recherche - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:PROGRA~1MICROS~1OFFICE11REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:WINDOWSNetwork Diagnosticxpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:WINDOWSNetwork Diagnosticxpnetdiag.exe
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/200 ... taller.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/s ... wflash.cab
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - D:Program Filesa-squared Freea2service.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - D:Program FilesAviraAntiVir PersonalEdition Classicsched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - D:Program FilesAviraAntiVir PersonalEdition Classicavguard.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:WINDOWSsystem32CTsvcCDA.exe
O23 - Service: Diskeeper - Diskeeper Corporation - D:Program FilesDiskeeperDiskeeperDkService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:Program FilesFichiers communsInstallShieldDriver1150Intel 32IDriverT.exe
O23 - Service: ISP Monitor (ISPMonitorSrv) - How2 Studios - C:Program FilesISP MonitorISPMonitorSrv.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:Program FilesJavajre6injqs.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:Program FilesFichiers communsLogiShrdBluetoothLBTServ.exe
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - C:Program FilesIntelNCSSyncNetSvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:WINDOWSsystem32
vsvc32.exe
O23 - Service: Online Armor Helper Service (OAcat) - Tall Emu - D:Program FilesTall EmuOnline Armoroacat.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:Program FilesCyberLinkShared filesRichVideo.exe
O23 - Service: Online Armor (SvcOnlineArmor) - Tall Emu - D:Program FilesTall EmuOnline Armoroasrv.exe

--
End of file - 8520 bytes

Merci de m'aider

[ombrenoire]

J'ai également lancé un rapport avec SmitFraudFix.
Merci de m'éclairer.

SmitFraudFix v2.412

Rapport fait à 18:09:51,51, 25/04/2009
Executé à partir de C:Documents and SettingsFabianBureauD,pannageSmitfraudFix
OS: Microsoft Windows XP [version 5.1.2600] - Windows_NT
Le type du système de fichiers est NTFS
Fix executé en mode sans echec

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:WINDOWSSystem32smss.exe
C:WINDOWSsystem32csrss.exe
C:WINDOWSsystem32winlogon.exe
C:WINDOWSsystem32services.exe
C:WINDOWSsystem32lsass.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSsystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSSystem32svchost.exe
C:WINDOWSExplorer.EXE
D:Program FilesMozilla Firefoxfirefox.exe
D:Program FilesHostsManhm.exe
C:WINDOWSsystem32cmd.exe
C:WINDOWSsystem32wbemwmiprvse.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:


»»»»»»»»»»»»»»»»»»»»»»»» C:WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:WINDOWSsystem


»»»»»»»»»»»»»»»»»»»»»»»» C:WINDOWSWeb


»»»»»»»»»»»»»»»»»»»»»»»» C:WINDOWSsystem32


»»»»»»»»»»»»»»»»»»»»»»»» C:Documents and SettingsFabian


»»»»»»»»»»»»»»»»»»»»»»»» C:DOCUME~1FabianLOCALS~1Temp


»»»»»»»»»»»»»»»»»»»»»»»» C:Documents and SettingsFabianApplication Data


»»»»»»»»»»»»»»»»»»»»»»»» Menu Démarrer


»»»»»»»»»»»»»»»»»»»»»»»» C:DOCUME~1FabianFavoris


»»»»»»»»»»»»»»»»»»»»»»»» Bureau


»»»»»»»»»»»»»»»»»»»»»»»» C:Program Files


»»»»»»»»»»»»»»»»»»»»»»»» Clés corrompues


»»»»»»»»»»»»»»»»»»»»»»»» Eléments du bureau

[HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerDesktopComponents\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Ma page d'accueil"


»»»»»»»»»»»»»»»»»»»»»»»» o4Patch
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

o4Patch
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» Agent.OMZ.Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

Agent.OMZ.Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWindows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, les clés qui suivent ne sont pas forcément infectées!!!

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon]
"Userinit"="C:\WINDOWS\system32\userinit.exe,"

»»»»»»»»»»»»»»»»»»»»»»»» RK

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon]
"System"=""




»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Intel(R) PRO/100 VE Network Connection - Miniport d'ordonnancement de paquets
DNS Server Search Order: 10.0.0.2

HKLMSYSTEMCCSServicesTcpip..{90EBDECC-EAAF-44D5-A722-8654AD695398}: DhcpNameServer=10.0.0.2
HKLMSYSTEMCS1ServicesTcpip..{90EBDECC-EAAF-44D5-A722-8654AD695398}: DhcpNameServer=10.0.0.2
HKLMSYSTEMCS3ServicesTcpip..{90EBDECC-EAAF-44D5-A722-8654AD695398}: DhcpNameServer=10.0.0.2
HKLMSYSTEMCCSServicesTcpipParameters: DhcpNameServer=10.0.0.2
HKLMSYSTEMCS1ServicesTcpipParameters: DhcpNameServer=10.0.0.2
HKLMSYSTEMCS3ServicesTcpipParameters: DhcpNameServer=10.0.0.2


»»»»»»»»»»»»»»»»»»»»»»»» Recherche infection wininet.dll


»»»»»»»»»»»»»»»»»»»»»»»» Fin

[Pac428]

Salut Ombrenoire.
Pas grand chose dans ton log HijackThis.
Juste deux lignes "mineures" à cocher pour suppression:

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)

Pour Smith un tuto => ICI <=, là faut que je file.

@ ++

[ombrenoire]

Bon et bien finalement j'ai résolu le probème tout seul comme un grand !
En fait j'ai lu sur d'autres forum des témoignage de personnes ayant eu le même problème qui l'avaient résolu en exécutant Malwarebytes.

Malheureusement le site de ce logiciel était pour moi innaccessible comme tous les autres sites d'antivirus. J'ai néanmoins réussi à le télécharger sur Clubic.

Ensuite impossible de l'installer (même en mode sans échec). L'installation se bloquait à la fin mais le programme semblait quand même avoir été installé. Mais lorsque je cliquais sur le raccourci Malwarebytes il ne se lancait pas.

La solution a été de renommer le Malwarebytes.exe du répertoire d'installation (lui donner n'importe quel autre nom).

L'application peut ensuite être enfin lancée !
Elle ma détecté une belle saloperie et l'a erradiquée !
Au redémarrage suivant tous les sites d'antivirus étaient à nouveau accessibles et je ne subissais plus de redirections intempestives sur GOOGLE !

[Pac428]

Super ! ++ Ombrenoire

[r@in | b0w]

Bonjour.

A noter que ton scan HiJackThis a été fait en Mode sans échec, l'avantage de ce mode étant de ne lancer que le minimum vital, le log ne révèle donc aucune infection même s'il y en a une quand même.

Sinon, une bestiole qui verrouille les utilitaires de sécurité, cela sent le Bagle.

Tu télécharges FindyKill.

Tu l'installes en gardant les paramètres par défaut.

Tu branches tous tes supports de stockages USB à ta machine.

Tu double cliques ensuite sur le raccourci FindyKill sur ton Bureau pour lancer l'utilitaire.

Tu choisis la langue française en appuyant sur la touche [F] puis tu choisis l'option 1.

Après avoir vérifié les fichiers, FindyKill cherchera d'autres infections.

A la fin de l'analyse, il sera indiqué:

Code: Tout sélectionner

Recherche effectuée!

Tu copies-colles le rapport d'analyse dans ton prochain message, il est présent ici: C:FindyKill.txt.

Ps: tu peux désinstaller A-squared (non tenu à jour) et garder Mbam à la place.

[ombrenoire]

Merci r@in | b0w, j'avais déjà lu tes conseils sur un autre topic de ce forum. J'ai effectué un nettoyage FindKill mais le problème ne semblait pas venir de Bagle.
Je n'ai malheureusement plus accès au PC infecté pour l'instant donc je ne pourrai pas poster de rapport mais il me semblait correctement nettoyé après le temps que j'ai passé dessus.
En tout cas c'est grâce à Malwarebytes que j'ai pu le nettoyer. Ni Findykill ni les autre utilitaires utilisés n'avaient réussi à le nettoyer avant.

Merci de tes conseils !

[r@in | b0w]

Pas de soucis, juste une explication:

_ Mbam est un anti-malware cad qu'il lutte contre les trojans, les virus, les spywares, les adwares...

_ FindyKill par exemple est plus spécialisé Bagle même s'il détecte d'autres vermines.

Dans ton cas, tu as utilisé le passe partout et cela a suffi, tant mieux