FORUM D’ENTRAIDE INFORMATIQUE (FEI)Site d’assistance et de sécurité informatique

[g3n-h@ckm@n]

ok tu as redémarré le pc ?

apparemment il a pas trouvé une des valeurs que je lui ai demandé d'effacer...

Edit::

ah ouais j'ai mis la clé 64 bits au lieu de la 32 c est pour ca refais -en un avec juste ca

Code : Tout sélectionner

Key::
[HKLM\Software\WOW6432Node\Microsoft\Windows NT\CurrentVersion\SvcHost]|"MuroghfibchCloud"

te casse pas la tete pour le rapport dis moi juste s il l'a supprimé, redemarre

[guitar.bruno]

ok tu as redémarré le pc ?

Oui, tu sais je teste à chaque fois.

Il revient mais cette fois le processus indiqué change encore en PID:

http://www.cjoint.com/c/GAwwwuzYC1P

Et "MuroghfibchCloud" avait bien été effacé par Quickdiag.

[g3n-h@ckm@n]

ok je présume que tu as essayé de la supprimer....?

[guitar.bruno]

ok je présume que tu as essayé de la supprimer....?

Supprimer quoi donc?

[g3n-h@ckm@n]

la dll avec son dossier... :/
regarde dans le registre sur les deux clés svchost si c'est pas revenu.... tu cliques gauche sur svchost après avoir déplié le registre et si c'est revenu ca sera à gauche dans la partie de droite

[guitar.bruno]

Comme j'ai pas trop pigé ce que tu me demandes , je te joins encore des captures....

http://www.cjoint.com/c/GAww3gZrawP

http://www.cjoint.com/c/GAww3WMeJIP

[g3n-h@ckm@n]

ca a l'air bon

mets ces trois fichiers sur cjoint stp possiblements cachés

C:\Windows\winstart.bat
C:\Windows\system.ini
c:\windows\win.ini

si celui-ci existe aussi :

c:\windows\wininit.ini

===================

regarde si ces clés existent :

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\DownloadUI
HKEY_CURRENT_USER\Software\Mirabilis\ICQ\Agent\Apps\test
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\DownloadUI

et je me réserve encore un travail de titan demain :

tu me feras une recherche seaf complete comme d'ab' avec le terme :

Rundll32.exe C:\

et je te dis à demain je suis KO ^^

[guitar.bruno]

Hello,

C:\Windows\winstart.bat

Inexistant

C:\Windows\system.ini :

http://www.cjoint.com/c/GAxiyQ8WTyP

c:\windows\win.ini

http://www.cjoint.com/c/GAxiAdR66KP

c:\windows\wininit.ini

Inexistant

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\DownloadUI:

Non

HKEY_CURRENT_USER\Software\Mirabilis\ICQ\Agent\Apps\test

Non

HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\DownloadUI

Non

[g3n-h@ckm@n]

coucou bonjour

j'ai compris pourquoi tu ne trouves pas certains fichiers existants , il faut aussi décocher "masquer les fichiers protégés du systeme" en plus de cocher "afficher les fichiers et dossiers cachés" dans les options des dossiers

il manque ma recherche seaf aussi ^^

[guitar.bruno]

Ok vu et modifié, je refais un tour de ce que tu me demandes.

Ah pour Seaf, c'était ambigu, je pensais que ça attendait aujourd'hui!

[guitar.bruno]

Malgré l'option modifiée des fichiers système cachés, toujours rien pour le .bat et le .ini inexistants.

[guitar.bruno]

Voilà ton Seaf:

http://www.cjoint.com/c/GAxlfhunNFP

[g3n-h@ckm@n]

ok refais sans c:\

juste Rundll32.exe

revois aussi pour les trois fichiers sytème dans le dossier drivers

[guitar.bruno]

http://www.cjoint.com/c/GAxnM2rlfqP

revois aussi pour les trois fichiers sytème dans le dossier drivers

Rien non plus.

[g3n-h@ckm@n]

regarde si tu as un de ces deux dossiers :

c:\windows\system32\GroupPolicy\Machine\Scripts\Startup
c:\windows\system32\GroupPolicy\User\Scripts\Logon

et y'a t-il quelque chose ici?

c:\windows\system32\GroupPolicy

[guitar.bruno]

c:\windows\system32\GroupPolicy\Machine\Scripts\Startup
c:\windows\system32\GroupPolicy\User\Scripts\Logon

Rien du tout!

Mais je viens de me rendre compte que c'est le même chemin GroupPolicy! Mais en fait les dossiers "Machine" et "User" sont vides.

c:\windows\system32\GroupPolicy

J'ai ça:

http://www.cjoint.com/c/GAxrFC23DXP

[g3n-h@ckm@n]

je vois qu il y a quelques caractères dans gpt, c'est quoi ?

[guitar.bruno]

C'est un .ini

[guitar.bruno]

Chez bleepingcomputer, t'as dû voir, on m'a demandé les 2 rapports FRST, mais ça risque de se télescoper avec ton action ?

[g3n-h@ckm@n]

oui je sais , tu peux avoir le contenu en double cliquant dessus

je reste en stand by ici le temps qu'ils voient le FRST effectivement

[guitar.bruno]

Il me demande maintenant l' étape 7 ...

[guitar.bruno]

Je viens de la faire cette étape, j'ai la vague impression que j'ai pas vraiment tout pigé et que les formulations françaises ne vont pas être pigées par eux !.... mais voici le lien du résultat:

https://www.bleepingcomputer.com/forums ... /adantihs/

[g3n-h@ckm@n]

j'ai vu lol

ouaip je pense qu il a pas lu le topic en fait ^^

sinon il aurait vu la date de création du dossier FRST

2017-01-17 21:33 - 2017-01-23 18:53 - 00000000 ____D C:\FRST

fais gaffe qu il te scripte pas le truc que je t'ai fait pour le startup ptdr

double clique sur gpt.ini et colle le résultat ici

[guitar.bruno]

double clique sur gpt.ini et colle le résultat ici

[General]

fais gaffe qu il te scripte pas le truc que je t'ai fait pour le startup ptdr

Tu parles de Anti_AdAnti. Oui c'est vrai, en lisant vite, on peut se méprendre

[g3n-h@ckm@n]

je m'attendais à plus de choses qu'un simple

[General]

mdr

[guitar.bruno]

N'oublie pas de le saluer!

[guitar.bruno]

https://www.bleepingcomputer.com/forums ... try4166602

Fallait s'y attendre, j'ai le droit à tout le tralala AdwCleaner etc.... ^^

Je te souhaite bonne nuit, dodo pour moi!

[g3n-h@ckm@n]

mdr hahahaa !!!!

copie-colle ce que tu as mis sur l autre topic avant d ouvrir celui-ci quand l'autre t'as sorti toute sa panoplie ^^

good night xD

[g3n-h@ckm@n]

tiens tu lui colleras ca de ma part , c'est tout le récap de ce qu on s'est tapé lol ( je peux pas poster car il t'a déjà pris en charge ^^ )

hello I come From the french topic where I helped him but the issue.....
here's all the tools we tried to let you know :

Malwarebytes
Adwcleaner
QuickDiag ( french tool for deep diagnostic ) + Script done with
Searches with Seaf
Quickdiag again + script again
ResetBrowser
TDSSKiller
OTL + Script
Gmer
DrWeb
KVRT
ZHPCleaner
UnHackMe
HDDFix ( to look for Alureon )
Malwarebytes again ( updated )
g3n-h@ckm@n made a tool to search in hexadecimales in every file which is an executable or can execute code ( it never ended )
FRST + Script
Combofix
Another script to perform with quickdiag after scan

the only thing which works is a little resident g3n-h@ckm@n did which deletes the folder AdAnti we put in the startup ( Anti_AdAnti.exe ) but it's not a solution cause it comes back again and again if there's not this exe there

Regards

[guitar.bruno]

Hello, c'est fait:

https://www.bleepingcomputer.com/forums ... try4166602

[g3n-h@ckm@n]

coucou j'ai vu ^^

balance lui un quickdiag en extend comme ca , ca lui fera de la lecture ptdr

[guitar.bruno]

Oui j'ai l'impression qu' elle fait un peu de zèle...

Les liens Cjoint ne lui ont pas convenu, ça ne marche pas aux US? Ca fait un post du diable!

[g3n-h@ckm@n]

ca marche pas aux us ?

je sais pas du tout lol je suis à Valence en France xD

[g3n-h@ckm@n]

elle a craqué ou quoi ?

C:\Users\Bruno\AppData\Local\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini => fichier de config de windows media player ( logiquement si tu doubles cliques dessus tu dois voir des informations en rapport avec WMP )

et son script il est pas bon pour systemlook

:filefind
*AdAnti*

:folderfind
*AdAnti* => *AdAnti

:regfind
AdAnti

elle cherche le dossier et au nom de dossier y'a rien après le "i"

fais ce qu'elle dit c'est pas dangereux mais ca la fera tourner en rond lol

[guitar.bruno]

Salut,

Oui je me suis exécuté d' un bout à l'autre.

Ca ne change rien au niveau d'AdAnti , il revient bel et bien. toujours stoppé par Avast ou ton soft....

[g3n-h@ckm@n]

tiens il affiche quand meme le dossier systemlook dans sa recherche ....bizarre....

[guitar.bruno]

Salut ,

Dis-moi, cet essai d'effacement de clé est-il judicieux?

reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\AVAST Software\Avast\PUB-Removed" /v 1d26db3bdd8d6a9 /f =========

Si je comprends bien, ça permet à Avast d'empêcher AdAnti de se repositionner dans le Roaming?...

[g3n-h@ckm@n]

hello apparemment il s'agirait de la quarantaine d'avast donc je pense pas que ca changera grand chose

https://forum.avast.com/index.php?topic=179792.0

[guitar.bruno]

Même manuellement, j'ai pas pu la virer....

[g3n-h@ckm@n]

et si tu fais un script avec quickdiag ?

Code : Tout sélectionner

Key::
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\AVAST Software\Avast\PUB-Removed]|"1d26db3bdd8d6a9"