Dinoraptzor au démarrage [résolu]

[Pryrium]

Bonjour,
Je me tourne vers vous car je me confronte a Dinoraptzor. Apres deux bonnes heures de recherche en ligne, j'en viens a la conclusion que vous seul puissiez m'aider.
j'ai fait une analyse FRST et voici les liens de l'analyse :

frst : https://pjjoint.malekal.com/files.php?i ... 5x9q13e6m9

shortcut : https://pjjoint.malekal.com/files.php?i ... 14l14n15u8

Addition : https://pjjoint.malekal.com/files.php?r ... 8l15u14l11

Je vous remercie d'avance pour le temps fourni a régler mon souci.

Pryrium

[Malekal_morte]

Bonjour,

Comme tu es sur Windows 10, tu peux désinstaller Avast!.
Windows Defender est plus léger.

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-1251666658-3289059368-1601622531-1001\...\Run: [snebo] => cmd.exe /c start www.dinoraptzor.org
Task: {E4363700-1389-483A-90FB-90B83F5D66C4} - System32\Tasks\snebo => cmd.exe /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v snebo /t REG_SZ /d "cmd.exe /c start www.dinoraptzor.org"
EmptyTemp:
RemoveProxy:
Hosts:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

[Pryrium]

]Merci beaucoup, c'est effectivement revenu a la normal. Je vous remercie sincèrement
Voici le fichier fixlog obtenu :


Résultats de correction de Farbar Recovery Scan Tool (x64) Version: 25-11-2019 01
Exécuté par snebo (30-11-2019 11:38:36) Run:1
Exécuté depuis C:\Users\snebo\Desktop
Profils chargés: snebo (Profils disponibles: snebo)
Mode d'amorçage: Normal
==============================================

fixlist contenu:
*****************
Start:
CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-1251666658-3289059368-1601622531-1001\...\Run: [snebo] => cmd.exe /c start www.dinoraptzor.org
Task: {E4363700-1389-483A-90FB-90B83F5D66C4} - System32\Tasks\snebo => cmd.exe /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v snebo /t REG_SZ /d "cmd.exe /c start www.dinoraptzor.org"
EmptyTemp:
RemoveProxy:
Hosts:
Reboot:
End:
*****************

Processus fermé avec succès.
Le Point de restauration a été créé avec succès.
"HKU\S-1-5-21-1251666658-3289059368-1601622531-1001\Software\Microsoft\Windows\CurrentVersion\Run\\snebo" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Boot\{E4363700-1389-483A-90FB-90B83F5D66C4}" => supprimé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E4363700-1389-483A-90FB-90B83F5D66C4}" => supprimé(es) avec succès
C:\WINDOWS\System32\Tasks\snebo => déplacé(es) avec succès
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\snebo" => supprimé(es) avec succès

========= RemoveProxy: =========

"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-19\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-19\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-20\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-20\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1251666658-3289059368-1601622531-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings" => supprimé(es) avec succès
"HKU\S-1-5-21-1251666658-3289059368-1601622531-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings" => supprimé(es) avec succès


========= Fin de RemoveProxy: =========

C:\Windows\System32\Drivers\etc\hosts => déplacé(es) avec succès
Hosts restauré(es) avec succès.

=========== EmptyTemp: ==========

BITS transfer queue => 10772480 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 41700082 B
Java, Flash, Steam htmlcache => 310291329 B
Windows/system/drivers => 10236966 B
Edge => 30271 B
Chrome => 626973911 B
Firefox => 1105808352 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Default => 0 B
Users => 0 B
ProgramData => 0 B
Public => 0 B
systemprofile => 0 B
systemprofile32 => 0 B
LocalService => 79596 B
NetworkService => 79596 B
snebo => 236447474 B

RecycleBin => 2280122 B
EmptyTemp: => 2.2 GB données temporaires supprimées.

================================


Le système a dû redémarrer.

==== Fin de Fixlog 11:41:45 ====

[Malekal_morte]

de rien et attention à ce que tu télécharges comme des cracks !

[anthonypops]

Bonjour, même soucis au démarrage avec dinoraptzor ...

Voici les liens :
FRST : https://pjjoint.malekal.com/files.php?i ... f10g14h139

Addition : https://pjjoint.malekal.com/files.php?i ... e5y13f11x5

Shortcut : https://pjjoint.malekal.com/files.php?i ... 12c5w12h13

Merci d'avance !

[angelique]

Bonjour/Bonsoir





Télécharge à coté de FRST64.EXE , PAS AILLEURS !!!!! le fichier fixlist.txt en pièce jointe en bas du message.

➯ Relance FRST64(clic droit exécuter en tant qu'administrateur) et clic sur le bouton corriger/fix
Un redémarrage peut être nécessaire (pas obligatoire).
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message avec ton commentaire.

/!\ Ce script a été établi pour cet utilisateur, il ne doit, en aucun cas, être appliqué sur un autre système, au risque de provoquer de graves dysfonctionnements et endommager Windows /!\
----------------------

De plus tu as des DNS qui pointent en Belgique, est ce volontaire ?
Tcpip\..\Interfaces\{122fdf8f-32e4-414b-8067-f3b0640b1a5b}: [DhcpNameServer] 108.61.210.58 78.138.97.93 78.138.102.67 87.98.242.252 192.168.0.254

sinon change les comme capture ci dessous dans les propriétés tcp ip ipv4 de tes cartes réseaux par celles d'open dns (pour y accéder, exécuter➯ncpa.cpl)

[anthonypops]

Bonjour, sauf erreur de ma part je ne vois pas le fichier fixlist.txt en pièce jointe ... Par contre pour les DNS j'en ai aucune idée, de plus je suis novice en bidouillage réseaux etc... Merci d'avance

[angelique]

Ah oui désolée

en pj ci dessous

[Jehor]

Bonjour à tous.
Comme les précédents utilisateurs, je suis confronté à Dinoraptzor qui s'ouvre dans Firefox au démarrage. J'ai effectué une analyse FRST, en voici le résultat en PJ. Merci d'avance de votre temps et vos efforts pour aider le boulet que je suis.

[Malekal_morte]

Bonjour,

A désinstaller :

Jeux WildTangent
WildTangent

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-846037312-4165938960-4033844555-1001\...\Run: [Jehor] => cmd.exe /c start www.dinoraptzor.org
Task: {5699DCE3-CF3D-420C-9111-06AA3DAAEB23} - System32\Tasks\Jehor => cmd.exe /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v Jehor /t REG_SZ /d "cmd.exe /c start www.dinoraptzor.org"
2020-04-10 01:44 - 2020-04-10 01:51 - 000000000 ____D C:\Users\Jehor\AppData\Roaming\ZHP
2020-04-10 01:44 - 2020-04-10 01:44 - 000000882 _____ C:\Users\Jehor\Desktop\ZHPCleaner.lnk
2020-04-10 01:44 - 2020-04-10 01:44 - 000000000 ____D C:\Users\Jehor\AppData\Local\ZHP
2020-04-10 01:43 - 2020-04-10 01:43 - 003295616 _____ (Nicolas Coolman) C:\Users\Jehor\Downloads\ZHPCleaner.exe
2020-04-10 01:34 - 2020-04-10 01:34 - 008196784 _____ (Malwarebytes) C:\Users\Jehor\Downloads\adwcleaner_8.0.4.exe
RemoveProxy:
Hosts:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

[Jehor]

Rebonjour/bonsoir.
Alors, j'ai désinstallé "Jeux WildTangent" et "WildTangent" puis suivi les étapes indiquées plus haut. Tout semble revenu à la normale, plus de Dinoraptzor au démarrage donc grand merci. J'aurais quelques questions pour conclure :
1) J'ai tenté de supprimer les fichiers (vidéos) qui constituaient un risque potentiel mais, mettons que j'en ai oublié, une réinfection est-elle possible si je le lance ?
2) Puis-je réutiliser le même script que tu m'as donné pour corriger à nouveau le problème s'il survient ? (mais j'imagine que non)
3) Dois-je laisser les rapports d'analyse, PJ de mon premier message, en libre accès dans le forum ? Est-ce dangereux pour une quelconque raison ?
4) Veux-tu que je te poste le fixlog résultant de la correction du problème ?
Désolé d'avance si les questions sont stupides, je suis si peu versé dans les arcanes de la médecine informatique que je ne m'en rends pas compte. En tout cas, merci infiniment pour ton aide et ton professionnalisme, ils furent grandement appréciés. Bon courage pour la suite.

[Malekal_morte]

Si c'est résolu, c'est que le fix FRST a bien été réalisé =)

Il me semble qu'il vient par des torrents pourries (genre un site pas très sûr).
Donc je vois pas pourquoi tu parles de vidéos.
Faut plus faire du ménage de ce côté là et ce que tu as téléchargé, juste avant.

Non supprime tout ce qui a attrait à FRST.

Pour éviter les virus, il faut savoir comment les pirates s'y prennent pour infecter les ordinateurs : Comment les virus informatiques sont distribués
Enfin pour protéger ton PC : Comment protéger son PC des virus et des pirates ?
Tu peux améliorer les protections et sécurité de Windows en suivant ces indications :

[AdrienVogelgesang]

Bonjour j'ai eu le soucis avec dinorapzor voici les liens ! Merci d'avance pour votre aide !

FRST : https://pjjoint.malekal.com/files.php?i ... 12y8l8x7s6
Addition : https://pjjoint.malekal.com/files.php?i ... h6p9n10s11
Shortcut : https://pjjoint.malekal.com/files.php?i ... 5x8t612l13

[Malekal_morte]

Bonjour,


Voici la correction à effectuer avec FRST. Tu peux t'aider de cette Voici la correction à effectuer avec FRST. Tu peux t'aider de cette #fix note explicative avec des captures d'écran.
Relance FRST puis sur ton clavier appuyer sur la touche CTRL + Y.
Le bloc-note va s'ouvrir, copie/colle ceci.

Code : Tout sélectionner

Start:
CloseProcesses:
CreateRestorePoint:
HKU\S-1-5-21-3122318267-1757856145-3001975327-1001\...\Run: [GalaxyClient] => [X]
HKU\S-1-5-21-3122318267-1757856145-3001975327-1001\...\Run: [DocWrex] => cmd.exe /c start www.dinoraptzor.org
Task: {5BB6CF9E-9BDA-4F5A-B1C1-B12FC2F41481} - System32\Tasks\DocWrex => cmd.exe /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v DocWrex /t REG_SZ /d "cmd.exe /c start www.dinoraptzor.org"
RemoveProxy:
Hosts:
Reboot:
End:

Ferme le bloc-note, retourne sur FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire et automatique.
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.
(L'ordinateur peut redémarrer tout seul, si le rapport de correction ne s'ouvre pas, cherche un fichier fixlog.txt qui se trouve dans le même dossier que FRST)

[AdrienVogelgesang]

Cela a fonctionné merci beaucoup !