Re: [Pris en charge par Elowen] problem everestpoker IE8 (infections diverses)

[kagoul]

http://cjoint.com/?AKkl0wkp4Vg

[maxou45]

Re:
Je n'aime pas intervenir sur la désinfection d'une autre personne, mais vu l'urgence de la situation, Elowen ne m'en voudra pas....

Tu es infecté par un Keylogger

C'est une infection qui enregistre toutes les frappes, y compris les noms d'utilisateur, mots de passe, numéros de carte de crédit, tous les courriels, les sessions de chat, messages instantanés et les sites Web visités (à savoir tout ce qui est tapé).
Il a la capacité d'envoyer les informations capturées par courriel à l'adresse électronique indiquée par la personne qui l'a installé.

mais il y a d'autres infections moins sévères , dûes principalement à tes connexions a un site de jeu ... Casino

Vu que tu es en ligne actuellement, nous allons de suite nous occuper de ce keylogger

• Quelques recommandations avant de commencer :
  
  
  • Suis à la lettre les instructions que je te donnerai et ne prends aucune initiative avec les outils de désinfection
    
    
  • Ne télécharge plus et n'installe plus aucun programme durant la désinfection, sauf ceux que je te dirai de télécharger. Je te donnerai le feu vert le moment venu quand tu pourras retrouver un usage normal de ton PC
    
    
  • Poste les rapports comme cela te sera demandé (certains rapports - longs - devront être hébergés ; d'autres, plus courts, pourront être postés directement sur le forum
    
    
  • Je te le préciserai à chaque fois mais si tu es sous Vista ou sous W7 : les outils devront donc être exécutés en tant qu'administrateur
    
    
  • Selon le degré d'infection, le PC peut réagir de façon non désirée (plantage) même si cela est rare
    
    
  • Une procédure de désinfection nécessite du temps et de l'investissement : si tu as l'intention de formater, merci de le dire maintenant pour nous éviter de perdre du temps pour rien
    
  
  
  
• Préparons à présent la désinfection en désactivant l'UAC: (nous la réactiverons à la fin de la désinfection)
  
  
  
  
  • Télécharger RCU.exe
    
  • Faire un clic droit sur le fichier et choisir Exécuter en tant qu'administrateur.
    
  • Accepter le message qui suit.
    
  • Cliquer sur Désactivation UAC
    
  • Redémarrer le PC.
    
    
    
  
  

Ensuite nous allons utiliser MBAM qui est plus généraliste, son rôle est la suppression des "trojans"

• Télécharge Malwarebytes'Antimalwares sur ton Bureau
  
  
• Installe-le en double-cliquant sur le fichier mbam-setup----.exe.
  Important: Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
  
• Lors de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
  
  
• Lance l'exécution de MalwareByte's Anti-Malware
  Important: Sous Vista et Windows 7, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
  
• Si cela n'est pas déjà fait, sélectionne "Exécuter un examen complet".
  
  
• Afin de lancer la recherche, clic sur "Rechercher".
  
  
• Une fois le scan terminé, une fenêtre s'ouvre, clic sur OK.
  Deux possibilités s'offrent à toi :
  
  • Si le programme n'a rien trouvé, appuie sur OK. Un rapport va apparaître, ferme-le.
    
    
  • Si des infections sont présentes,
    
    
    • Clic sur "Afficher les résultats"
      
      
    • Coche tous les éléments détectés
      
      
    • Clic sur "Supprimer la sélection"
      
    
    
  
  
• Enregistre le rapport sur ton Bureau.
  
  
• Fais redémarrer ton ordinateur normalement et poste le rapport dans ta prochaine réponse.
  
  

Il est possible que la suppression de certains fichiers nécessite le redémarrage de ton PC.
Il faut le faire en cliquant sur Oui à la question posée

Ensuite, change TOUS tes MOTS DE PASSE

voilà le plus pressé, Elowen reprendra la suite, je suis absent pour le WE

[kagoul]

voila le rapport

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 8130

Windows 6.0.6002 Service Pack 2
Internet Explorer 7.0.6002.18005

10.11.2011 14:14:17
mbam-log-2011-11-10 (14-14-17).txt

Type d'examen: Examen complet (C:\|D:\|E:\|)
Elément(s) analysé(s): 416139
Temps écoulé: 55 minute(s), 7 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 3

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Users\ludo\documents\downloads\powered_keylogger.exe (PUP.PoweredKeylogger) -> Quarantined and deleted successfully.
c:\Users\ludo\documents\downloads\rkfree_setup.exe (Keylogger.Logixoft) -> Quarantined and deleted successfully.
c:\Users\ludo\documents\downloads\unconfirmed 40226.download (Adware.DoubleD) -> Quarantined and deleted successfully.

[Elowen]

Bonjour

(merci maxou d'avoir avancé la désinfection )

@Kagoul : on va poursuivre :

Désactive l'UAC :

Désactiver l'UAC :

• Cliquer sur Démarrer
  
• Cliquer sur l'image du compte Utilisateur
  
• Cliquer sur Activer ou désactiver le controle des comptes.
  
• Décocher la case Utiliser le controle des comptes d'utilisateurs pour vous aider a protéger votre ordinateur
  
• Cliquer sur Ok et accepter de redémarrer le PC pour valider les changements.

Puis :

• Télécharge AdwCleaner (de Xplode) sur ton bureau
  
• Lance AdwCleaner.exe (clic droit et "exécuter en tant qu'administrateur")
  
• accepte l'avertissement qui suit
  
• Clique sur Recherche
  
• Patiente le temps de la recherche
  
• Postele rapport qui apparait à la fin .
  
• Clique sur Quitter
  

[kagoul]

bonjour Elowen
voila le rapport adwcleaner
# AdwCleaner v1.317B - Rapport créé le 13/11/2011 à 14:25:17
# Mis à jour le 10/11/11 à 14h par Xplode
# Système d'exploitation : Windows (TM) Vista Home Premium Service Pack 2 (64 bits)
# Nom d'utilisateur : ludo - PC-DE-LUDO (Administrateur)
# Exécuté depuis : C:\Users\ludo\Desktop\adwcleaner.exe
# Option [Recherche]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Présent : C:\Users\ludo\AppData\Local\Conduit
Dossier Présent : C:\Program Files (x86)\Conduit

***** [Registre] *****

Clé Présente : HKCU\Software\Conduit
Clé Présente : HKCU\Software\AppDataLow\Toolbar
Clé Présente : HKCU\Software\AppDataLow\Software\Conduit
Clé Présente : HKLM\SOFTWARE\Conduit
Clé Présente : HKLM\SOFTWARE\Classes\CLSID\{3c471948-f874-49f5-b338-4f214a2ee0b1}
Clé Présente : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2796BAE63F1801E277261BA0D77770028F20EEE4
Clé Présente : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}
Clé Présente : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}

***** [Registre (x64)] *****

Clé Présente : HKCU\Software\Conduit
Clé Présente : HKCU\Software\AppDataLow\Toolbar
Clé Présente : HKCU\Software\AppDataLow\Software\Conduit
Clé Présente : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2796BAE63F1801E277261BA0D77770028F20EEE4
Clé Présente : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}

***** [Navigateurs] *****

-\\ Internet Explorer v7.0.6002.18005

[HKCU\Software\Microsoft\Internet Explorer\Main - Start Page] = hxxp://search.conduit.com?SearchSource=10&ctid=CT2504091

-\\ Mozilla Firefox v8.0 (fr)

Profil : 63ocnrci.default
Fichier : C:\Users\ludo\AppData\Roaming\Mozilla\Firefox\Profiles\63ocnrci.default\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

-\\ Google Chrome v [Impossible d'obtenir la version]

Fichier : C:\Users\ludo\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[R1].txt - [2193 octets] - [13/11/2011 14:25:17]

########## EOF - C:\AdwCleaner[R1].txt - [2321 octets] ##########

[Elowen]

Bonjour

• Relance Adwcleaner
  pour Windows 7/Vista : il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
  
• Sur la page, clique sur le bouton Suppression
  
• accepte l'avertissement qui suit
  
• Laisse travailler l'outil
  
• Postele rapport qui apparait à la fin .
  Il est sauvegardé aussi sous C:\Ad-Report-SCAN.txt
  
• Clique sur Quitter

Ensuite, refais un ZHPDiag.

[kagoul]

bonsoir

# AdwCleaner v1.317B - Rapport créé le 23/11/2011 à 17:58:45
# Mis à jour le 10/11/11 à 14h par Xplode
# Système d'exploitation : Windows (TM) Vista Home Premium Service Pack 2 (64 bits)
# Nom d'utilisateur : ludo - PC-DE-LUDO (Administrateur)
# Exécuté depuis : C:\Users\ludo\Desktop\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****


***** [Registre] *****


***** [Registre (x64)] *****


***** [Navigateurs] *****

-\\ Internet Explorer v7.0.6002.18005

[OK] Le registre ne contient aucune entrée illégitime.

-\\ Mozilla Firefox v8.0 (fr)

Profil : 63ocnrci.default
Fichier : C:\Users\ludo\AppData\Roaming\Mozilla\Firefox\Profiles\63ocnrci.default\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

-\\ Google Chrome v [Impossible d'obtenir la version]

Fichier : C:\Users\ludo\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[R1].txt - [2312 octets] - [13/11/2011 14:25:17]
AdwCleaner[R2].txt - [2372 octets] - [15/11/2011 21:08:04]
AdwCleaner[S1].txt - [1921 octets] - [15/11/2011 21:08:08]
AdwCleaner[S2].txt - [1431 octets] - [15/11/2011 21:09:27]
AdwCleaner[S3].txt - [1207 octets] - [23/11/2011 17:57:27]
AdwCleaner[S4].txt - [1329 octets] - [23/11/2011 17:58:45]

*************************

Dossier Temporaire : 1 dossier(s)et 19 fichier(s) supprimés

########## EOF - C:\AdwCleaner[S4].txt - [1549 octets] ##########

[kagoul]

et le zhpdiag

http://www.cjoint.com/confirm.php?cjoint=AKxsl53TeC3

[kagoul]

y a un changement de forum ?

[Elowen]

Bonsoir

Oui, il y a un nouveau forum qui est la continuité de celui-ci en tout neuf
Si tu veux t'y inscrire, tu es le bienvenu. C'est ici : http://forum-windows7-windows8.fr/index.php

On va terminer la désinfection ici par contre. Ce sera plus facile.

J'analyse le rapport.

[Elowen]

Re

L'UAC doit être toujours désactivé.

Suis cette procédure dans l'ordre indiqué :

Ce script va cibler certains éléments à supprimer :

* * * * *

NB : L'outil que tu vas utiliser juste après ferme le processus "explorer.exe". Il est possible qu'après son exécution, ton bureau reste sans icône et sans barre des tâches.
Pas de panique !! il suffit de relancer explorer.exe

• Pour cela, tu presseras simultanément ctrl+alt+suppr pour ouvrir le gestionnaire de tâches
  
• Une fois dans le gestionnaire, tu cliqueras sur "fichier" et sur "nouvelle tâche"
  
• Dans le champ de saisie, tu taperas explorer.exe et tu cliqueras sur OK
  
• Tout redeviendra normal

* * * * *


• Copie les lignes en gras ci-après situées entre les deux lignes :

_____________________________________________
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations] Application: Modified
O42 - Logiciel: Poker 770 - (.Pas de propriétaire.) [HKLM] -- Poker 770
[HKCU\Software\Grand Virtual]
[HKCU\Software\Poker 770]
O43 - CFD: 18.09.2009 - 12:19:20 - [10114] ----D- C:\ProgramData\rkfree
O43 - CFD: 07.05.2010 - 16:24:14 - [0] ----D- C:\Program Files (x86)\RKFree
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations]:bak_Application
[HKLM\Software\WOW6432Node\Classes\AppID\{937936af-28ca-4973-b8ae-f250406149a2}]
[HKLM\Software\Classes\TypeLib\{937936af-28ca-4973-b8ae-f250406149a2}]
[HKCU\Software\Grand Virtual]
[HKCU\Software\poker 770]
C:\ProgramData\rkfree
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Poker 770
C:\Program Files (x86)\rkfree
M2 - MFEP: prefs.js [ludo - 63ocnrci.default\{ba14329e-9550-4989-b3f2-9732e92d17cc}] [] Vuze Remote Community Toolbar v3.8.0.8 (.Conduit Ltd..)
R3 - URLSearchHook: (no name) [64Bits] - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (...) (No version) -- (.not file.)
R3 - URLSearchHook: Vuze Remote Toolbar [64Bits] - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) (6.4.0.0) -- C:\Program Files (x86)\Vuze_Remote\prxtbVuze.dll
O2 - BHO: Vuze Remote [64Bits] - {ba14329e-9550-4989-b3f2-9732e92d17cc} . (.Conduit Ltd. - Conduit Toolbar.) -- C:\Program Files (x86)\Vuze_Remote\prxtbVuze.dll
[HKCU\Software\AppDataLow\Software\ConduitSearchScopes]
O43 - CFD: 21.10.2008 - 16:30:38 - [18343] ----D- C:\Users\ludo\AppData\Roaming\teamspeak2
[HKLM\Software\WOW6432Node\Classes\Toolbar.ct2504091]
[HKLM\Software\WOW6432Node\Classes\Interface\{115ccbae-27b0-47c3-ba42-bab708424393}]
[HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{ba14329e-9550-4989-b3f2-9732e92d17cc}]
[HKCU\Software\AppDataLow\Software\ConduitSearchScopes]
C:\Users\ludo\AppData\Roaming\teamspeak2 => Toolbar.Conduit
C:\Users\ludo\AppData\LocalLow\Vuze_Remote => Toolbar.Conduit
Sysrestore
Emptytemp
_____________________________________________

• Lance ZHPFix à partir du raccourci sur ton Bureau (si tu es sous Windows Vista ou Windows 7, fais le par un clic-droit --> Exécuter en temps qu'administrateur)
• Clique sur l'icone représentant la lettre H (« coller les lignes Helper »). Le script doit automatiquement apparaitre dans ZHPFix, sinon, colle-le
• Clique sur le bouton GO pour lancer le nettoyage
• Copie/colle la totalité du rapport dans ta prochaine réponse.

Génère ensuite une nouvelle analyze avec ZHPDiag et poste-moi le lien vers le rapport.

[kagoul]

Rapport de ZHPFix 1.12.3367 par Nicolas Coolman, Update du 29/10/2011
Fichier d'export Registre : C:\ZHP\ZHPExportRegistry-23.11.2011-19-47-39.txt
Run by ludo at 23.11.2011 19:47:39
Windows Vista Home Premium Edition, 64-bit Service Pack 2 (Build 6002)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Logiciel(s) ==========
ABSENT Software Key: Poker 770

========== Clé(s) du Registre ==========
SUPPRIME Key: HKCU\Software\Grand Virtual
SUPPRIME Key: HKCU\Software\Poker 770
SUPPRIME Key: HKLM\Software\WOW6432Node\Classes\AppID\{937936af-28ca-4973-b8ae-f250406149a2}
SUPPRIME Key: HKLM\Software\Classes\TypeLib\{937936af-28ca-4973-b8ae-f250406149a2}
ABSENT Key: HKCU\Software\poker 770
ABSENT Key: CLSID BHO: {ba14329e-9550-4989-b3f2-9732e92d17cc}
SUPPRIME Key: HKCU\Software\AppDataLow\Software\ConduitSearchScopes
SUPPRIME Key: HKLM\Software\WOW6432Node\Classes\Toolbar.ct2504091
SUPPRIME Key: HKLM\Software\WOW6432Node\Classes\Interface\{115ccbae-27b0-47c3-ba42-bab708424393}
SUPPRIME Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{ba14329e-9550-4989-b3f2-9732e92d17cc}

========== Valeur(s) du Registre ==========
SUPPRIME [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Associations]:bak_Application
SUPPRIME URLSearchHook: {ba14329e-9550-4989-b3f2-9732e92d17cc}
ABSENT URLSearchHook: {ba14329e-9550-4989-b3f2-9732e92d17cc}

========== Elément(s) de donnée du Registre ==========
SUPPRIME Explorer Association Data Application: http://www.helpmeopen.com/?n=app&ext=%s

========== Dossier(s) ==========
SUPPRIME Folder: C:\ProgramData\rkfree
SUPPRIME Folder: C:\Program Files (x86)\RKFree
SUPPRIME Folder: c:\programdata\microsoft\windows\start menu\programs\poker 770
SUPPRIME Folder: C:\Users\ludo\AppData\Roaming\Mozilla\Firefox\Profiles\63ocnrci.default\extensions\{ba14329e-9550-4989-b3f2-9732e92d17cc}
SUPPRIME Folder: C:\Users\ludo\AppData\Roaming\teamspeak2
SUPPRIME Folder: c:\users\ludo\appdata\locallow\vuze_remote
SUPPRIME Temporaires Windows: : 71

========== Fichier(s) ==========
ABSENT Folder/File: c:\programdata\rkfree
ABSENT Folder/File: c:\program files (x86)\rkfree
SUPPRIME File: c:\program files (x86)\vuze_remote\prxtbvuze.dll
ABSENT File: c:\program files (x86)\vuze_remote\prxtbvuze.dll
ABSENT Folder/File: c:\users\ludo\appdata\roaming\teamspeak2
SUPPRIME Temporaires Windows: : 26

========== Restauration Système ==========
Point de restauration du système créé avec succès


========== Récapitulatif ==========
10 : Clé(s) du Registre
3 : Valeur(s) du Registre
1 : Elément(s) de donnée du Registre
7 : Dossier(s)
6 : Fichier(s)
1 : Logiciel(s)
1 : Restauration Système


End of clean in 00mn 49s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 23.11.2011 19:47:39 [2755]

[kagoul]

http://www.cjoint.com/confirm.php?cjoint=AKxt4BQuL5Q

j ai un doute sur la desactivation de l uac, je l ai desactive mais je ne sais plus si j ai redemarer le pc ...

[Elowen]

Re,

Tu m'as reposté un ZHPDiag ; or, j'ai besoin du rapport de suppression de ZHPFix.

Tu le trouveras à cet emplacement : C:\ZHP\ZHPFix[R1].txt

[kagoul]

il est juste au dessus