FORUM D’ENTRAIDE INFORMATIQUE (FEI)Site d’assistance et de sécurité informatique

[Invité]

Sinon, mon idée de rappel de sauvegarde te tente? Elle date de presque 1 mois (11/09/16) , je ne sais plus comment c'était mais le principal était installé au niveau logiciels, ce qui m'ennuie c'était ces p...ains de mises à jour WU qui ne se faisaient plus mais toutefois j'avais réussi à réparer avec une solution chez SOS PC.

[guitar.bruno]

Hello g3n-h@ckm@n ,

Du nouveau, je t'avoue que j'ai recherché par moi-même une solution et en fait cette fois Process Blocker a bien fonctionné en configurant l'interdiction de processus dans le chemin suivant :

C:\Program Data\Microsoft\Windows\Menu Démarrer\Programmes\Démarrage\AdAntiHS.exe.

En effet, dans le gestionnaire de tâches, processus , AdAntiHS n'apparait pas du tout...

C'est un progrès, admettons mais il s'accroche encore...

[guitar.bruno]

up

[guitar.bruno]

Hello,

Du nouveau, j'ai éliminé AdAnti du dossier de démarrage, ainsi que dans la base de registre.

il semble ne plus vouloir s'incruster au redémarrage...

Pour autant, il est toujours dans le dossier "Roaming" et revient sans cesse même si je l'efface.

Peut-on supposer qu'il reste à demeure là dedans sans nuire ultérieurement?

[g3n-h@ckm@n]

hello refais Seaf comme précédemment mais avec ceci dedans : AdAnti

[guitar.bruno]

Hello,

http://www.cjoint.com/c/FJtouA0knsP

Refait avec recherche dans le registre.

[g3n-h@ckm@n]

re

supprime ceci :

C:\Windows\pss\AdAntiHS.exe.CommonStartup

ensuite resupprime le dossier C:\Users\Bruno\AppData\Roaming\AdAnti

redemarre le pc et dis moi

[guitar.bruno]

hello,

En effet, il y a une amélioration et ce dossier "pss" de Windows était à voir!

J'ai éliminé donc AdAnti de ce dossier mais aussi QQAccel qui y était aussi!

Et dans le fameux Roaming .

Au 1er redémarrage, je vois Process Blocker qui me prévient qu'il bloque AdAnti, donc pas mieux. Je ne le retrouve pas dans le "pss" mais j'ai pris l'initiative de voir la bdr et j'ai effacé une clé de registre relative à AdAnti dans HKEY USERS/Software/Windows/Microsoft/Current Version/MRU.

Redémarrage: Process Blocker muet! Vérification , toujours rien dans "pss" et dans la bdr.

Mais dans Roaming, AdAnti se transforme en dll! Je l'élimine et retourne dans la bdr , même chemin jusqu'à MRU et je vire la clé relative à roaming/AdAnti ...

A suivre....

Redémarrage: Plus rien! Même dans Roaming!

Reredémarrage: AdAntiHS.dll est revenue dans Roaming/AdAnti....

Il y a du mieux tout de même mais l'élimination complète est bien ardue!

A toute fin utile, un autre Seaf:

http://www.cjoint.com/c/FJuowLLekhP

[g3n-h@ckm@n]

re

analyse AdAntiHS.dll sur virustotal.com et donne le lien stp

[guitar.bruno]

Hello,

https://virustotal.com/fr/file/1bee4b80 ... /analysis/

[g3n-h@ckm@n]

on va tenter un truc :

déconnecte internet , resupprime tout comme precedemment , redémarre le pc

ensuite reconnecte internet , redémarre la machine

toujours present ?

[guitar.bruno]

Hello,

Fait et il s'accroche!!! C'est dingue tout de même!

Il revient même sans internet, c'est une bonne idée en tout cas...

J'ai aussi fait un tour en base de registre, pas de trace (sauf mon paramétrage Process Blocker).

[guitar.bruno]

Je reviens pour te faire part d'une chose, je ne peux pas effacer le dossier AdAnti quand je suis déconnecté d'internet.

Avec ce message "cette action ne peut être réalisée car le fichier est ouvert dans "Processus hôte Windows (Rndll32)" "

Dès que je suis connecté je peux effacer ce dossier AdAnti avec AdAntiHS.dll dedans...

[g3n-h@ckm@n]

mmmmm..... tu me donnes pas la raison pour laquelle pourquoi tu ne peux pas

[guitar.bruno]

Finalement, j'ai expérimenté un peu mieux: on peut effacer le dossier AdAnti après un certain temps, genre après 2 ou 3 minutes, que je sois connecté ou non. Ce qui nous reporte à la situation où ça se mettait dans les processus pour disparaître dans les mêmes délais. C'est assez confondant à mon avis.

[g3n-h@ckm@n]

ok tente avec unlocker

www.cjoint.com/c/FJzwPzzMReh

[guitar.bruno]

Hello pour info, Unlocker que j'utilisais encore sous Win 7 32 bits ne semble vraiment pas fonctionner sous Win7 64!

Lockhunter le remplace! ;-)

http://lockhunter.com/downloadnow.htm



En fait la 1ere fois avec Lockhunter, il le supprime.

et...



La fois d'après, il ne veut plus.

Mais au fait comment gérer ce dossier Roaming qui, à ce que j'ai vu, sert aux raccourcis bureau et il n'y a pas de raccourci AdAnti apparemment....?

[guitar.bruno]

J'ai reprogrammé Lockhunter 3 fois d'affilé pour effacer le dossier AdAnti au démarrage et cette fois 3 fois réussi!!!

Mais bon, il revient dans le Roaming à chaque fois, c'était juste une observation.

[g3n-h@ckm@n]

hello non le dossier roaming est là où sont rangées des dossiers des applications

par exemple :

c:\users\ta session\appdata\Roaming\Microsoft\Windows\SendTo

correspond au dossier où sont rangés les raccourcis "envoyer vers" de ton menu contextuel

c:\users\ta session\appdata\Roaming\utorrent

correspond à toute l'application utorrent ( memorisation des torrents etc..... )

[guitar.bruno]

Hello ok merci je vois.

Que penses-tu d'un nettoyage espace libre? Quand on sait qu'effacer un fichier correspond à lui retirer quelques bits pour le rendre invisible. peut-être qu'il est programmé pour se reconstituer? C'est peut-être loufoque mon idée mais...c'en est une! il suffit d'essayer, tu vas me dire au point où on en est....

[guitar.bruno]

Que penses-tu d'un nettoyage espace libre?

Fait avec C Cleaner et évidemment...pas mieux!

[g3n-h@ckm@n]

hello tu n'as pas l impression que le pc fait une restauration au redémarrage tout de même ?

[guitar.bruno]

hello tu n'as pas l impression que le pc fait une restauration au redémarrage tout de même ?

Salut,

Oui , en effet c'est une idée et comment paramétrer pour que ce soit évité?...

J'ai regardé mes points de restauration, le dernier date du 24/10 , avec l'installation de LockHunter...

J'ai éliminé tous mes points de restauration, quoi que le dernier est conservé chez Win 7.

J'ai même désactivé la restauration du système, pas mieux.

[guitar.bruno]

Salut,

http://www.cjoint.com/c/FKexA1kD0WP

Pour lancer un "up", j'ai pu constater une relation de cause à effets entre Adanti et le DOM Storage de Internet Explorer.

J'ai exécuté plusieurs fois ADW Cleaner et AdAnti et les clés de registre indiquées dans le rapport ci-joint étaient en étroit rapport, à éliminer à chaque fois en fait par le logiciel.

Même manuellement, j'ai effacé le contenu du DOM Storage, puis effacé Adanti mais au redémarrage, pour ne pas changer, ça revient.

Pourtant après cet effacement manuel, et en me précipitant au démarrage dans le dossier "Roaming" et le Regedit qui me redonne direct l'emplacement du DOM Storage, plus de AdAnti ni de contenu "hao123.com, Total, baidu " etc...disparu!!! Jusqu'à ce que je vois AdAnti réapparaitre spontanément pour se refaire sa place bien au chaud comme il l'aime et le DOM Storage se reconstituer! Alors qui se place en 1er? AdAnti je pense...

J'ai aussi fait un reset browser juste pour IE mais... ça ne semble pas fonctionner.

Enfin je pense que c'est une piste...

[guitar.bruno]

...fait une "désinstallation" de IE, pas mieux !

[g3n-h@ckm@n]

bonjour refais quickdiag en cliquant sur Extended

[guitar.bruno]

bonjour refais quickdiag en cliquant sur Extended

Hello, fait ici:

http://www.cjoint.com/c/FKho5WdhDQP

[g3n-h@ckm@n]

hello je comprends pas pourquoi spybot est présent dans le pc

[guitar.bruno]

Tout simplement parce que je l'ai installé!

Je ne l'ai pas trouvé très efficace, je m'en suis servi beaucoup dans le passé avec plus de satisfaction.

Il faut le virer je suppose?

[g3n-h@ckm@n]

bonjour

c'est le pire logiciel qu'on ait jamais inventé spybot , il sert à rien et bouffe un max de ressources

[guitar.bruno]

C'est parti!

Désinstallé avec Revo!

[g3n-h@ckm@n]

re

rends-toi sur https://www.virustotal.com puis fais analyser ce fichier :

C:\ProgramData\czchsjpj.srw

une fois l'analyse des antivirus terminée , récupère le lien de la page en haut puis colle-le ici que je puisse m'y rendre pour consulter

[guitar.bruno]

Hello,

https://www.virustotal.com/fr/file/f284 ... 478676299/

[guitar.bruno]

Re,

Il m'est venu une idée, de renommer adantiHS.dll en txt, je l'ouvre et découvre ceci, voici un copié-collé:

http://www.cjoint.com/c/FKjn4hu5yaP

Vers le milieu, 3/4 du texte , quelques indications semblent parlantes...

[g3n-h@ckm@n]

salut désolé pour l attente

fais une recherche avec ca dans SEAF, fichiers dossiers et registre compris

{8856F961-340A-11D0-A96B-00C04FD705A2}

[guitar.bruno]

Hello pas grave,

http://www.cjoint.com/c/FKvnm1G32oP

[g3n-h@ckm@n]

désactive l antivirus , puis copie ce texte en entier :

Code : Tout sélectionner

Key::
[HKLM\Software\Microsoft\Internet Explorer\ActiveX Compatibility\{8856F961-340A-11D0-A96B-00C04FD705A2}]
[HKLM\Software\Classes\CLSID\{8856F961-340A-11D0-A96B-00C04FD705A2}]
[HKLM\Software\Classes\Shell.Explorer\CLSID]|""
[HKLM\Software\Classes\Shell.Explorer.2\CLSID]|""
[HKLM\Software\Classes\Wow6432Node\CLSID\{8856F961-340A-11D0-A96B-00C04FD705A2}]
[HKU\S-1-5-21-1413675022-3679237491-1003182551-1000\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{8856F961-340A-11D0-A96B-00C04FD705A2}]

File::
C:\ProgramData\czchsjpj.srw

Clean::
yes

Lance Quickdiag et clique sur le "S" en haut à droite de l'interface

une fenetre doit s'ouvrir avec exactement ce texte ( ne colle rien c'est pris en charge ) , ensuite tu refermes après vérification ( si il n'a pas la meme chose dans la fenetre que ce qui est dans le cadre au dessus , tu referme cette fenetre , te reselectionnes tout le texte et tu recliques sur le "S" ))

Ensuite clique sur le bouton "Script"

l'outil va travailler et presque instantanément une nouvelle fenêtre va s'ouvrir avec les résultats , tu copies tout ce qu'il y a dans cette nouvelle fenetre et tu colles le contenu dans ta réponse.

une fois envoyé tu peux tout fermer de l'outil

[guitar.bruno]

Et voilà:

--------------- QuickScript | g3n-h@ckm@n | 2_23.09.2016.1 ---------------

----- XP | Vista | 7 | 8 | 8.1 | 10 - 32/64 bits ----- - Start 21/11/2016 19:33:03

Updated 23/09/2016 | 10.30 by g3n-h@ckm@n
Contact : http://www.sosvirus.net/

Time Zone : (UTC+01:00) Bruxelles, Copenhague, Madrid, Paris
[Bruno (Administrator)] - [BRUNO-PC] (S-1-5-21-1413675022-3679237491-1003182551-1000)

System: Microsoft Windows 7 Édition Intégrale - Service Pack 1 - (6.1.7601) - BuildType: Multiprocessor Free - OSLanguage: 1036 (040c)
System: AutoReboot: True - DebugFilePath: %SystemRoot%\MEMORY.DMP - KernelDumpOnly: False - OverwriteExistingDebugFile: True - WriteDebugInfo: True - WriteToSystemLog: True
Boot : Microsoft Windows 7 Édition Intégrale |C:\Windows|\Device\Harddisk1\Partition2
Boot : Normal boot
PC: MS-7850 - MSI - IdNumber: To be filled by O.E.M. - UUID: 00000000-0000-0000-0000-D8CB8AEA4DFD
Processor : X64 - 3200 Mhz - Intel(R) Core(TM) i5-4460 CPU @ 3.20GHz
BIOS Date: 03/30/15 12:56:41 Ver: V2.9B0 - en|US|iso8859-1 - American Megatrends Inc. - S/N: To be filled by O.E.M. - V2.9 - HPQOEM - 1072009
CoreTemp : 29.8 Celsius

----------| Script

Key : [HKLM\Software\Microsoft\Internet Explorer\ActiveX Compatibility\{8856F961-340A-11D0-A96B-00C04FD705A2}] Deleted Successfully
Key : [HKLM\Software\Classes\CLSID\{8856F961-340A-11D0-A96B-00C04FD705A2}] Deleted Successfully
Value : [HKLM\Software\Classes\Shell.Explorer\CLSID]~[] Deleted Successfully
Value : [HKLM\Software\Classes\Shell.Explorer.2\CLSID]~[] Deleted Successfully
Key : [HKLM\Software\Classes\Wow6432Node\CLSID\{8856F961-340A-11D0-A96B-00C04FD705A2}] Deleted Successfully
Key : [HKU\S-1-5-21-1413675022-3679237491-1003182551-1000\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{8856F961-340A-11D0-A96B-00C04FD705A2}] Deleted Successfully
C:\ProgramData\czchsjpj.srw Moved Successfully

-------------- | CleanDisk :

FreeSpace : 34400
Cleaning.......
FreeSpace : 34402

----------(EOF)----------

[g3n-h@ckm@n]

coucou ressupprime tout ce qui concerne adAntimachin etc, puis redemarre la machine

[guitar.bruno]

Hello,

Eh non, tout revient à sa place...

Il ne faudrait pas supprimer toutes les traces d'Adanti et ses relatifs dans la bdr juste après le scan de Quickdiag?