FORUM D’ENTRAIDE INFORMATIQUE (FEI)Site d’assistance et de sécurité informatique

[lekevdu7]

Bonjour à tous.
Voila mon problème, lorsque j'allume mon pc , a l'ouverture de la session une page interpol s'allume.
Impossible de le démarrer en mode sans échec, le pc se coupe et redémarre normalement et la le message réapparait !
Par contre j'arrive avec difficulté mais j'y arrive a contourné cette page en changeant de session et je l'annule donc je peux tout de même naviguer sur mon pc.
J'ai vu que vous avez aidez Ted (http://www.forum-entraide-informatique. ... s-interpol)
qui avais le même problème apparemment, mais je dois avouez que je ne suis pas très expert en informatique et je n'ai pas tout compris.
Je souhaiterais donc une aide personnel
Merci d'avance pour votre aide

[g3n-h@ckm@n]

salut execute ceci :

http://www.security-helpzone.com/gen-ha ... ed-speech/

[lekevdu79]

ok , merci je te tiens informé

[g3n-h@ckm@n]

[lekevdu79]

j'ai fais un scan kill, ensuite un icone pré scan c'est affiché sur mon bureau. J'ai compris que je devais faire une manipultation sur le site en question pour avoir un lien a mettre sur le forum, chose qui n'a pas fonctionné.
Mais cependant j'ai redémarrer mon pc et je n'ai plus rien
Est- ce que c'est réglé?
Merci

[g3n-h@ckm@n]

tu peux preciser "chose qui n'a pas fonctionné) ? on a pas fini il y a surement d'autres trucs à desinfecter , et pour cela je dois lire ce rapport et d'autres à venir

[lekevdu79]

je fais comment ilindique , je charge le dossier pré scan et lorsque je met créer un lien, aucun lien s'affiche seulement des numero qui m'emmene ici http://removevirus.org/threats/fr/qvo6- ... tAod4mwAkw
Est-ce sa le lien?

[g3n-h@ckm@n]

colle le contenu du rapport ici

tu as bien selectionné le fichier au moins ?

[lekevdu79]

je ne crois pas en faite, je ne c'est pas ou il est, mais j'ai avant le poste avec le poste que j'ai mensionnée ci dessus, fais une recherche zhpdiag shouaite tu le voir?

[lekevdu79]

le lien zhgdiag http://cjoint.com/?CIkvu7sQz1Y

[g3n-h@ckm@n]

non je ne travaille pas avec zhpdiag

le rapport , c'est indiqué ou il est

demarrer/ordinateur/disque local c:\ puis Pre_Scan_date_heure.txt

[lekevdu79]

à oui ok http://cjoint.com/?CIkvB6YuMK2
Merci et desolé je suis loin d'être expert

[g3n-h@ckm@n]

génial relance l'outil , clique sur diag au menu qu il va t'afficher , puis heberge le rapport c:\pre_diag_xx_xx_xx.txt sur http://cjoint.com et donne le lien obtenu

[lekevdu79]

l'outil?

[lekevdu79]

a pré scan ok le diag est lancé désolé

[lekevdu79]

le rapport je le trouve ou? un fichier nommé debug? ou netsvc?

[g3n-h@ckm@n]

je te l'ai ecrit au dessus ou il se trouve faut lire ! ^^

[lekevdu79]

j'ai bien pré scan mais l'heure ne corespond pas je l'envoie quand meme si c'est sa
http://cjoint.com/?3IkvWZtvgay

[g3n-h@ckm@n]

ben non c'est pre_diag que je veux maintenant

[lekevdu79]

j'ai refais un deuxieme diag et lorsque j'ouvre le disque c j'ai pré scan (le dossier) pré scan le domument texte vu précédemment programme files ... mais pas de pré diag

[g3n-h@ckm@n]

oui toutes facons en plus tu desactives pas tes protections vu que pre_scan n'a pas travaillé convenablement...

Télécharge et enregistre (lien direct) http://general-changelog-team.fr/fr/dow ... adwcleaner ADWCleaner sur ton bureau :

Lance le,(Pour vista/7/8 = clic droit "executer en tant qu'administrateur") puis clique sur scan

une fois fait , clique sur nettoyer et poste C:\Adwcleaner[Sx].txt

[lekevdu79]

ok

[lekevdu79]

http://cjoint.com/?CIkwsuIO47z

[g3n-h@ckm@n]

bien fais JRT comme indiqué là :

http://www.security-helpzone.com/gen-ha ... oval-tool/

[lekevdu79]

j'ai lancé jrt comme indiqué la 1er fois sa ma demandé après une ou 2 minute d'appuyé sur touche et après checking module sa ma indiqué Erreur: Echec de l'exécution du serveur ,puis une autre ligne checking processes avec un trait qui clignote j'ai attendu 5minute le 1er coup, 15 minute le 2eme, dois-je attendre encore ou le message d'erreur est signe de disfonctionnement?

[g3n-h@ckm@n]

tu le lances bien avec le clic droit "executer en tant qu'administrateur" ?

[lekevdu79]

oui

[lekevdu79]

et je précise que je n'ai rien d'ouvert comme demandé

[lekevdu79]

3eme essaie idem toujours erreur mais le trait qui clignote (c'est une recherche(longue^^) ou un bug

[g3n-h@ckm@n]

alors c'est ton antivirus qui gêne

[lekevdu79]

et que dois-je faire j'ai avira en antivirus, j'ai essayé d'enlevé la protection en temps réels, même resultat.

[g3n-h@ckm@n]

fais malwarebytes

http://www.security-helpzone.com/gen-ha ... warebytes/

[lekevdu79]

voila le résultat il a trouvé 13 infections
http://cjoint.com/?CIlnBnJoOQW

[g3n-h@ckm@n]

ok fais OTL => http://www.security-helpzone.com/gen-ha ... eds/otl-2/

[lekevdu79]

voila
extra http://cjoint.com/?CIln7EZbuPC
otl http://cjoint.com/?CIloas2NI6P

[g3n-h@ckm@n]

je regarde ca

[lekevdu79]

ok

[g3n-h@ckm@n]

desinstalle tout Java

==

ATTENTION !!! : Script personnalisé pour cette machine uniquement , ne pas reproduire !!

si tu as XP = double clique
si tu as Vista ou windows 7 = clic droit "executer en tant que...."

sur OTL.exe pour le lancer.


Copie la liste qui se trouve en gras ci-dessous,

colle-la dans la zone sous "Personnalisation" :


:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
Teatimer.exe

:OTL
IE - HKU\S-1-5-21-2358275529-1486839410-3887948677-1000\..\URLSearchHook: {05eeb91a-aef7-4f8a-978f-fb83e7b03f8e} - No CLSID value found
IE - HKU\S-1-5-21-2358275529-1486839410-3887948677-1000\..\SearchScopes\{1A7954D3-64F6-4B9E-8713-6554BB281A22}: "URL" = http://www.mysearchresults.com/search?c ... earchTerms}
IE - HKU\S-1-5-21-2358275529-1486839410-3887948677-1000\..\SearchScopes\{1DA92EF2-2BBC-40CA-BF56-AE2CCF3BB1A4}: "URL" = http://websearch.ask.com/redirect?clien ... EFC2F60BDE
IE - HKU\S-1-5-21-2358275529-1486839410-3887948677-1000\..\SearchScopes\{6EC5CB0A-E6A4-42E0-AE3E-36A9F24441B7}: "URL" = http://mystart.incredibar.com/mb128/?se ... xMWVTai=26
IE - HKU\S-1-5-21-2358275529-1486839410-3887948677-1000\..\SearchScopes\{AAD4CC46-BFC9-4ED4-A1F4-8C29786655BF}: "URL" = http://search.conduit.com/ResultsExt.as ... =CT2851639
FF - user.js - File not found
[2012/11/02 12:12:16 | 000,002,089 | ---- | M] () -- C:\Users\Utilisateur\AppData\Roaming\mozilla\firefox\profiles\g969vzwd.default\searchplugins\Startpins.xml    
File not found (No name found) -- C:\PROGRAM FILES (X86)\MOZILLA FIREFOX\EXTENSIONS\{5DDEB737-082C-48FB-8C06-AA4B38D61E5F}
File not found (No name found) -- C:\USERS\UTILISATEUR\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\G969VZWD.DEFAULT\EXTENSIONS\{05EEB91A-AEF7-4F8A-978F-FB83E7B03F8E}    
File not found (No name found) -- C:\USERS\UTILISATEUR\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\G969VZWD.DEFAULT\EXTENSIONS\FFXTLBR@BABYLON.COM
File not found (No name found) -- C:\USERS\UTILISATEUR\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\G969VZWD.DEFAULT\EXTENSIONS\PRICEPEEP@GETPRICEPEEP.COM.XPI
CHR - default_search_provider: Delta Search (Enabled)
CHR - plugin: Conduit Chrome Plugin (Enabled) = C:\Users\Utilisateur\AppData\Local\Google\Chrome\User Data\Default\Extensions\paoponfhfdfnjgddpnpjkambkcgdaaib\2.3.15.10_0\plugins/ConduitChromeApiPlugin.dll    
CHR - plugin: Software Update (Enabled) = C:\Program Files (x86)\Software\Update\1.2.201.0\npSoftwareOneClick8.dll    
O3 - HKU\S-1-5-21-2358275529-1486839410-3887948677-1000\..\Toolbar\WebBrowser: (no name) - {05EEB91A-AEF7-4F8A-978F-FB83E7B03F8E} - No CLSID value found.
O3 - HKU\S-1-5-21-2358275529-1486839410-3887948677-1000\..\Toolbar\WebBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found.
O4 - HKLM\..\Run: [Adobe] C:\ProgramData\Adobe\124181F.vbe File not found
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HideSCAHealth = 1    
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} http://java.sun.com/update/1.6.0/jinsta ... s-i586.cab (Java Plug-in 1.6.0_33)    
O16 - DPF: {CAFEEFAC-0016-0000-0033-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinsta ... s-i586.cab (Java Plug-in 1.6.0_33)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinsta ... s-i586.cab (Java Plug-in 1.6.0_33)    
O34 - HKLM BootExecute: (MACHINE BootExecut)
MsConfig:64bit - StartUpFolder: C:^Users^Utilisateur^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^bqgb8jw.lnk
[3 C:\Program Files (x86)\*.tmp files - C:\Program Files (x86)\*.tmp - ]
[2 C:\Windows\*.tmp files - C:\Windows\*.tmp - ]
[2013/09/10 18:10:31 | 095,025,368 | ---- | M] () -- C:\ProgramData\bqgb8jw.pff
[2013/09/10 18:10:28 | 000,000,000 | ---- | M] () -- C:\ProgramData\bqgb8jw.ctrl
[2012/08/29 10:31:29 | 000,000,000 | ---D | M] -- C:\Users\Utilisateur\AppData\Roaming\Disk Cleaner    
[2012/11/02 12:07:23 | 000,002,980 | ---- | M] () -- C:\user.js    
[2012/11/04 17:06:14 | 000,000,000 | ---D | M] -- C:\ProgramData\OpenBitCoin    
[2013/02/10 15:03:05 | 000,000,000 | ---D | M] -- C:\ProgramData\Software    
[2013/02/10 10:53:37 | 000,000,000 | ---D | M] -- C:\Users\Utilisateur\AppData\Local\Software    
[2013/03/24 11:10:44 | 000,000,000 | ---D | M] -- C:\Users\Utilisateur\AppData\Local\Updater27096    
[2013/03/24 11:11:08 | 000,000,000 | ---D | M] -- C:\Program Files (x86)\GUM245E.tmp
[2013/02/10 11:12:27 | 000,000,000 | ---D | M] -- C:\Program Files (x86)\GUM54.tmp
[2013/08/08 14:46:57 | 000,000,000 | ---D | M] -- C:\Program Files (x86)\OpenBitCoin    
[2013/02/10 15:03:05 | 000,000,000 | ---D | M] -- C:\Program Files (x86)\Software    
[2012/01/12 22:15:57 | 000,000,000 | ---D | M] -- C:\Windows\Installer\{835525BE-63BD-4EC4-9425-00CEAD4849C2}    

:Reg
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"iTunesHelper"=-
"QuickTime Task"=-
[-HKEY_CURRENT_USER\Software\ParetoLogic]    
[-HKEY_LOCAL_MACHINE\Software\DirectDownloader]    
[-HKEY_LOCAL_MACHINE\Software\ec]
[-HKEY_LOCAL_MACHINE\Software\ParetoLogic]    

:Files
C:\Windows\Temp\*
@Alternate Data Stream - 144 bytes - C:\ProgramData\TEMP:373E1720

:commands
[emptytemp]

Clique sur "Correction" pour lancer la suppression.


Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage.

[lekevdu79]

je supprime java avec otl si j'ai bien compris? ou je supprime d'abord java et après je fais la manipulation sur otl?

[g3n-h@ckm@n]

desinstalle d'abord Java