FORUM D’ENTRAIDE INFORMATIQUE (FEI)Site d’assistance et de sécurité informatique

[chelly]

bonjour,
Sur mon pc window 7, j'ai 2 profils (un pour mon mari et un pour moi).
Nous avons remarqué dans un premier temps que claro search avait investi chrome de mon mari et dans un 2ème temps, le mien bien sur !
Après recherches, j'ai installé adw cleaner et j'ai fait le nécessaire pour que claro soit donc supprimé.
cela a fonctionné mais à l'ouverture de chrome on me disait que certaines fonctionnalités n'étaient plus disponibles et je ne pouvais plus ouvrir les chrome sans les onglets que je laisse pour l'ouverture de chrome.
J'ai également fait un scan de mon pc avec avast, il a trouvé 4 fichiers infectés que j'ai mis en quarantaine.
Après recherches, j'ai changé la config dans user, local, google etc.... j'ai renommé le fichier default en backup default, j'ai copié les bookmarks favicons etc.... impeccable. plus de claro ! et en plus je pouvais ouvrir chrome avec les fonctionnalités.
et voila que 2 jours après, de nouveau claro apparait sur chrome sur le profil de mon mari !
est ce que quelqu'un aurait une solution ?
Ce serait aimable de votre part de m'aider.
Bien à vous:D 8)

[g3n-h@ckm@n]

salut chrome doit etre synchronisé avec ton compte google ou celui de ton mari ca doit etre ca qui fout la mer$e

[chelly]

merci gn3. donc il faudrait selon toi que je ne synchronise que mon compte chrome. et pas celui de mon mari ?

[g3n-h@ckm@n]

non n'en synchronise aucun , c'est un ramasse-m**** ce systeme de synchronisation.

si tu te connectes sur ton compte d'un pc infecté , avec google chrome , tu ramenes toutes les mer$es du pc infecté sur ton pc via la synchronisation dès l'ouverture de chrome.

tu as le dernier rapport de suppression ,d'adwcleaner ?

[chelly]

le voici
# AdwCleaner v2.306 - Rapport créé le 21/08/2013 à 11:24:21
# Mis à jour le 19/07/2013 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : Jacques - CHELLYP-PC
# Mode de démarrage : Normal
# Exécuté depuis : D:\CHELLY\MES DOCUMENTS\Downloads files\adwcleaner\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****


***** [Registre] *****


***** [Navigateurs] *****

-\\ Internet Explorer v10.0.9200.16660

[OK] Le registre ne contient aucune entrée illégitime.

-\\ Google Chrome v28.0.1500.95

Fichier : C:\Users\Chelly P\AppData\Local\Google\Chrome\User Data\Default\Preferences

Supprimée [l.3001] : urls_to_restore_on_startup = [ "hxxps://isearch.avg.com/?cid={337868DD-9426-4FBB-A857-C64CA98[...]

Fichier : C:\Users\Jacques\AppData\Local\Google\Chrome\User Data\Default\Preferences

Supprimée [l.2203] : homepage = "hxxp://www.claro-search.com/?affID=117423tl=wg ... HP_ss_prmn[...]
Supprimée [l.2948] : urls_to_restore_on_startup = [ "hxxp://www.google.com/", "hxxp://www.claro-search.com/?affID=[...]

*************************

AdwCleaner[S1].txt - [4731 octets] - [18/08/2013 12:12:34]
AdwCleaner[S2].txt - [2462 octets] - [18/08/2013 13:06:38]
AdwCleaner[S3].txt - [1319 octets] - [21/08/2013 11:24:21]

########## EOF - C:\AdwCleaner[S3].txt - [1379 octets] ##########

[chelly]

j'ai fermé chrome, puis j'ai réouvert et de nouveau, perdu tous les onglets et l'onglet claro search est revenu.

[chelly]

qu'est ce que je peux faire avec ce rapport ?

[g3n-h@ckm@n]

execute ceci :

http://security-helpzone.com/gen-hackma ... oval-tool/

[chelly]

Merci G3N pour ton aide.
J'ai de nouveau passé adw cleaner (ils l'ont mis à niveau et il est plus puissant) et j'ai aussi passé c cleaner afin qu'il supprime aussi tout temporary internet files.
et là ça a l'air de fonctionner. je ne vois plus claro search....

la suite au prochain épisode ! 

Merci encore

[g3n-h@ckm@n]

tu peux faire ce qui est dans le message precedent ? ce n est pas fini c'est pas parce que tu ne vois plus de soucis que ton pc n'est pas totalement desinfecté.une desinfection se fait jusqu'au bout

[chelly]

ok je le fais

[chelly]

voici le rapport

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Junkware Removal Tool (JRT) by Thisisu
Version: 5.5.4 (08.22.2013:1)
OS: Windows 7 Home Premium x64
Ran by Chelly P on 23/08/2013 at 11:19:28,79
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~




~~~ Services



~~~ Registry Values

Successfully repaired: [Registry Value] HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows\\AppInit_DLLs



~~~ Registry Keys

Successfully deleted: [Registry Key] HKEY_CURRENT_USER\Software\pc speed maximizer
Successfully deleted: [Registry Key] HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{98889811-442D-49DD-99D7-DC866BE87DBC}
Successfully deleted: [Registry Key] HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\apnstub_rasapi32
Successfully deleted: [Registry Key] HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\apnstub_rasmancs



~~~ Files



~~~ Folders

Successfully deleted: [Folder] "C:\Users\Chelly P\AppData\Roaming\pc speed maximizer"
Successfully deleted: [Empty Folder] C:\Users\Chelly P\appdata\local\{2527F692-3206-4CCC-B73A-F181AF9EED9E}
Successfully deleted: [Empty Folder] C:\Users\Chelly P\appdata\local\{62769E96-AB54-4460-BBFF-086A1917FC19}
Successfully deleted: [Empty Folder] C:\Users\Chelly P\appdata\local\{B88C6943-9F35-4380-AECA-DA3EB8F76EED}
Successfully deleted: [Empty Folder] C:\Users\Chelly P\appdata\local\{BF9DB054-74DC-46FC-AD4A-09B505D658C3}
Successfully deleted: [Empty Folder] C:\Users\Chelly P\appdata\local\{E2DE2D6A-92B3-4BB0-9B8C-D2600E7CA749}



~~~ Event Viewer Logs were cleared





~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan was completed on 23/08/2013 at 11:25:31,01
End of JRT log
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

[chelly]

c'est grave docteur ??

[g3n-h@ckm@n]

nan pas trop

execute ceci : http://security-helpzone.com/gen-hackma ... warebytes/

[chelly]

et voici le rapport de malwarebytes

Malwarebytes Anti-Malware 1.75.0.1300
http://www.malwarebytes.org

Version de la base de données: v2013.08.23.01

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 10.0.9200.16660
Chelly P :: CHELLYP-PC [administrateur]

23/08/2013 12:27:10
mbam-log-2013-08-23 (12-27-10).txt

Type d'examen: Examen complet (C:\|D:\|)
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 574297
Temps écoulé: 42 minute(s), 50 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 5
D:\CHELLY\MES DOCUMENTS\Downloads\aMSN-0.98.4-tcl85-windows-installer.exe (PUP.Optional.OpenCandy) - Mis en quarantaine et supprimé avec succès.
D:\CHELLY\MES DOCUMENTS\Downloads files\AMSN\aMSN-0.98.9-tcl85-windows-installer.exe (PUP.Optional.OpenCandy) - Mis en quarantaine et supprimé avec succès.
D:\CHELLY\MES DOCUMENTS\Downloads files\AMSN\amsn_amsn_0.98.4_francais_18489.exe (PUP.Optional.OpenCandy) - Mis en quarantaine et supprimé avec succès.
D:\CHELLY\MES DOCUMENTS\Downloads files\spyweare\bpssr.exe (Rogue.BulletProofSpyware) - Mis en quarantaine et supprimé avec succès.
D:\CHELLY\MES DOCUMENTS\Downloads files\webplayer\WebPlayer.exe (Adware.Dropper) - Mis en quarantaine et supprimé avec succès.

(fin)

[chelly]

autre chose à faire ?
je ne vois plus claro, c'est clair qu'il a du disparaître, après la bombe qu'on lui a lancé !

[g3n-h@ckm@n]

re

ne telecharges pas les programmes autre que sur le site de l'editeur sinon tu vas te faire refourguer des mer$es par les sites de grande distribution style softonic , 01net, qui incrustent des adwares dans les installeurs des programmes

==

on fait un diag et suivant quoi on plie bagages avec le menage final

==

http://security-helpzone.com/gen-hackma ... eds/otl-2/

[chelly]

http://cjoint.com/?3Hxs21UavkZ

http://cjoint.com/?3Hxs3T3EvOJ

et voila je pense qu'on peut plier bagage maintenant ?

en tout cas encore merci beaucoup de ton aide.

Et j'ai bien retenu la leçon : ne jamais télécharger quoi que ce soit sur softronic ou 01net.... n'aller que sur le site de l'éditeur ! va falloir que je fasse une circulaire chez moi pour que tout le monde s'en imprègne !

[g3n-h@ckm@n]

desinstalle Rapport(trusteer) il sert à rien
je sais pas ce que c'est ArtWeaver mais ca m'a bien l'air d'un program adware , si tu connais pas ou t'en sers pas vire-le.
==

attention à ce que tu mets dans Dropbox ,c'est des voleurs de fichiers (ils font les doubles )

==

desinstalle tuneUP utilities si present c'est un fracasse système

==

ATTENTION !!! : Script personnalisé pour cette machine uniquement , ne pas reproduire !!

si tu as XP = double clique
si tu as Vista ou windows 7 = clic droit "executer en tant que...."
sur OTL.exe pour le lancer.


Copie la liste qui se trouve en gras ci-dessous,
colle-la dans la zone sous "Personnalisation" :


:processes
explorer.exe
iexplore.exe
firefox.exe
msnmsgr.exe
Teatimer.exe

:OTL
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1    
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1    
[2013/08/18 12:13:16 | 000,000,098 | ---- | M] () -- C:\Windows\DeleteOnReboot.bat    
[2013/08/23 13:16:43 | 000,000,115 | ---- | M] () -- C:\log2.txt
[2012/11/13 16:27:08 | 000,000,000 | ---D | M] -- C:\Program Files (x86)\Vittalia    
@Alternate Data Stream - 134 bytes - C:\ProgramData\TEMP:AD022376
@Alternate Data Stream - 131 bytes - C:\ProgramData\TEMP:0FF263E8

:Reg
[-HKEY_CURRENT_USER\Software\(null)]
[-HKEY_LOCAL_MACHINE\Software\Vittalia]    

:commands
[emptytemp]

Clique sur "Correction" pour lancer la suppression.

Poste le rapport qui logiquement s'ouvrira tout seul en fin de travail appres le redemarrage.

[chelly]

bonjour bonjour !
je n'ai pas eu le temps de m'en occuper ce week end, mais voici je viens de faire ce que tu m'as demandé et voici le rapport :

All processes killed
========== PROCESSES ==========
No active process named explorer.exe was found!
No active process named iexplore.exe was found!
No active process named firefox.exe was found!
No active process named msnmsgr.exe was found!
No active process named Teatimer.exe was found!
========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\Locked deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoActiveDesktop deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoActiveDesktopChanges deleted successfully.
C:\Windows\DeleteOnReboot.bat moved successfully.
File move failed. C:\log2.txt scheduled to be moved on reboot.
C:\Program Files (x86)\Vittalia folder moved successfully.
ADS C:\ProgramData\TEMP:AD022376 deleted successfully.
ADS C:\ProgramData\TEMP:0FF263E8 deleted successfully.
========== REGISTRY ==========
Registry key HKEY_CURRENT_USER\Software\(null)\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Vittalia\ deleted successfully.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Chelly P
-Temp folder emptied: 17109803 bytes
-Temporary Internet Files folder emptied: 3533768 bytes
-Java cache emptied: 145219 bytes
-Google Chrome cache emptied: 282188188 bytes
-Flash cache emptied: 506 bytes

User: Default
-Temp folder emptied: 0 bytes
-Temporary Internet Files folder emptied: 0 bytes

User: Default User
-Temp folder emptied: 0 bytes
-Temporary Internet Files folder emptied: 0 bytes

User: Jacques
-Temp folder emptied: 436826 bytes
-Temporary Internet Files folder emptied: 133 bytes
-Java cache emptied: 0 bytes
-Google Chrome cache emptied: 44380430 bytes
-Flash cache emptied: 506 bytes

User: Public

User: UpdatusUser
-Temp folder emptied: 0 bytes
-Temporary Internet Files folder emptied: 0 bytes

[g3n-h@ckm@n]

hello

ok encore des soucis ?

[chelly]

oh non tout est parfait maintenant. j'ai désinstallé aussi trusteer et artweaver qui est un logiciel de dessin. par contre pour tuneup utilities je me tate encore.... pour dropbox il n'y a que des photos de famille.... rien de compromettant lol.
merci encore pour toute ton aide.
J'irai posté dans le forum dans le sujet approprié une remarque concernant les disques durs SSD.... qui n'ont que 64 Go pour tout un OS.... mais ce sera un prochain épisode.
merci encore pour tout

[g3n-h@ckm@n]

re

il existe des SSD plus gros mais encore assez honéreux
un OS ne fait pas plus de 25 Go , le reste ne sont que des fichiers/dossiers que tu rajoutes

finis en beauté avec ce menage alors ....:

http://security-helpzone.com/gen-hackma ... infection/

[chelly]

oui mais en plus des 25 Go, il doit mettre de côté une vingtaine de gigas pour une éventuelle formatation. (ça se dit formatation ??). Donc il s'alloue 20 + 25 = 45. reste 20 Go pour l'installation des programmes et des mises à jour de window malgré l'installations des programmes sur D. il y a toujours des fichiers qui viennent s'installer dans window.
donc disques dur SSD oui c'est bien pour l'ouverture rapide du pc, mais nul parce que pas assez de place.

[g3n-h@ckm@n]

il doit mettre de côté une vingtaine de gigas pour une éventuelle....

?????

pas compris ^^

==

et plus haut je t'ai dit :

il existe des SSD plus gros mais encore assez honéreux

surtout que c'est pas très bon de couper le systeme en deux et installer les programmes dans un autre

[chelly]

oui je disais que le système se gardait un partie du disque en cas de réinstallation complète. Cela remplace le disque de récupération du système, car le pc a été vendu sans windows, lequel windows était déjà installé sur la machine. d'ailleurs maintenant c'est comme ça que les machines sont vendues. mon pc est un asus.
les SSD plus gros oui c'est mieux, mais bon..... c'est encore cher.
donc l'OS est sur C et mes programmes et fichiers sont sur D. sauf si les applications ne proposent pas l'endroit d'installation et vont s'installer directement sur C.
J'ai même changé la taille du swap. j'ai récupéré quelques gigas que je vois diminuer et j'avais aussi supprimer l'hibernation. mais le pb reste toujours le même puisque windows balance ses mises à jour qui s'installent sur C.
Je crois que la solution est de changer le SSD contre un disque normal. mais dommage.... la vitesse d'allumage du pc sera réduite et je n'ai pas envie de tout réinstaller.

[g3n-h@ckm@n]

tu peux le cloner le disque

[2011N2]

Bonjour,

Je passe ce sujet en résolu et je le verrouille.

Gabriel.