PC completement infecté

[Anarkia]

Bonjour !

Je vais essayer d'être précise, car ce n'est pas mon PC mais celui de mon père et donc je me fie à ce qu'il me dit sur ses actions.

Apparemment il a téléchargé une soit-disant mise à jour de google chrome et depuis c'est un bordel monstre.

Il y a la page awesomehp qui se met en page d'acceuil alors que j'ai reglé pour que ça mette google, le PC met 3x plus de temps à démarrer, une espèce de barre en haut du bureau (c'est un windows seven) a disparu, une grosse partie de la liste des programmes dans le panneau de configuration a disparu, et j'ai vérifié les programmes sont toujours fonctionnels et, pour finir, dès que je clique quelque part sur internet (même sur le lien pour ouvrir un topic sur le forum) ca m'ouvre un onglet avec une pub dedans.

Il a l'habitude de faire n'importe quoi mais là c'est trop, je lui nettoie régulierement le PC avec malwarebytes anti malware qui trouve à chaque fois une 50aine de trucs, et un coup d'avira antivir une fois par semaine aussi, mais malgré tout ca persiste.

Sur le bureau il y a deux raccourcis (Continue VuuPC installation et Newplayer) que je n'arrive pas à désinstaller et qui ont résisté aux antivirus.

Donc voilà, ca serait gentil de m'aider à soigner ce pc et ensuite j'installerai tout ce que j'ai vu dans les topic d'ici pour bien proteger son ordinateur ^^'

Merci d'avance

[angelique]

• Faire Adwcleaner , onglet scan puis ensuite suppression ... un redémarrage peut être demandé. , voir > , et poste le rapport.

• Télécharge Shortcut Cleaner de Grinler et enregistre le fichier sur ton Bureau
• Ferme toutes les applications, y compris ton navigateur
• Double-clique sur l'icône sc-cleaner.exe pour lancer l'outil
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Une invite de commandes s'ouvre, laisser l'outil travailler
• A la fin de l'analyse et nettoyage, valider par OK le message d'information
• Le rapport sc-cleaner.txt s'ouvre. Poste ce rapport dans ta prochaine réponse.
  Le rapport est enregistré sur le Bureau

1. Télécharge sur ton Bureau pas ailleurs FRST.EXE:
   
   
   
   La page de téléchargement : http://www.bleepingcomputer.com/downloa ... scan-tool/
   Le téléchargement se fait à partir des boutons bleus Download – choisissez la version 32 ou 64 bits selon l’architecture de votre système.
   (Au pire si vous êtes en 64 bits et que vous prenez la version 32 bits, vous aurez un message disant que cette version ne peux fonctionner – cela n’endommage pas le système).
   
   !! Placez le programme sur le bureau et pas ailleurs!!
2. Execute FRST.EXE, accepte le disclaimer , Cochez tous les options et cliquez sur le bouton Scan.
   Le scan se lance, les éléments scannés apparaissent en haut.
3. Une fois le scan terminé, une popup vous le signale et deux rapports sont générés : FRST.txt et Addition.txt ( Ces deux rapports se trouvent sur le bureau avec le programme FRST. )
   
   
   Utilise le site http://pjjoint.malekal.com/ pour envoyer ton rapport, et poste le lien dans ta prochaine réponse pour analyse.
   
   

[Anarkia]

Merci pour ta réponse rapide =)

Le rapport de adwcleaner :

# AdwCleaner v3.020 - Rapport créé le 08/03/2014 à 12:29:42
# Mis à jour le 27/02/2014 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : Gilles - GILLES-PC
# Exécuté depuis : K:\TELECHARGEMENTS Internet\adwcleaner.exe
# Option : Nettoyer

***** [ Services ] *****


***** [ Fichiers / Dossiers ] *****

Dossier Supprimé : C:\ProgramData\boost_interprocess
Dossier Supprimé : C:\ProgramData\SpeedMaxPc
Dossier Supprimé : C:\ProgramData\WPM
Dossier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\NewPlayer
Dossier Supprimé : C:\Program Files (x86)\AnyProtectEx
Dossier Supprimé : C:\Program Files (x86)\NewPlayer
Dossier Supprimé : C:\Program Files (x86)\fiv en
Dossier Supprimé : C:\Program Files (x86)\fst_fr_118
Dossier Supprimé : C:\Windows\SysWOW64\SearchProtect
Dossier Supprimé : C:\Users\Gilles\AppData\Local\genienext
Dossier Supprimé : C:\Users\Gilles\AppData\Local\NewPlayer
Dossier Supprimé : C:\Users\Gilles\AppData\Local\fst_fr_118
Dossier Supprimé : C:\Users\Gilles\AppData\Roaming\DriverCure
Dossier Supprimé : C:\Users\Gilles\AppData\Roaming\SpeedMaxPc
Dossier Supprimé : C:\Users\Gilles\AppData\Roaming\SupTab
Dossier Supprimé : C:\Users\Gilles\Documents\Optimizer Pro
Dossier Supprimé : C:\Users\Gilles\AppData\Roaming\Mozilla\Firefox\Profiles\1wwo3kfr.default\Extensions\[email protected]
Dossier Supprimé : C:\Users\Gilles\AppData\Roaming\Mozilla\Firefox\Profiles\1wwo3kfr.default\Extensions\[email protected]fc6b8806a.com
Dossier Supprimé : C:\Users\Gilles\AppData\Local\Google\Chrome\User Data\Default\Extensions\hjghiofiijcepdnocbgefbdlbckjfheg
Fichier Supprimé : C:\END
Fichier Supprimé : C:\Users\Public\Desktop\NewPlayer.lnk
Fichier Supprimé : C:\Windows\Tasks\fiv en-chromeinstaller.job
Fichier Supprimé : C:\Windows\System32\Tasks\fiv en-chromeinstaller
Fichier Supprimé : C:\Windows\Tasks\fiv en-codedownloader.job
Fichier Supprimé : C:\Windows\System32\Tasks\fiv en-codedownloader
Fichier Supprimé : C:\Windows\Tasks\fiv en-enabler.job
Fichier Supprimé : C:\Windows\System32\Tasks\fiv en-enabler
Fichier Supprimé : C:\Windows\Tasks\fiv en-firefoxinstaller.job
Fichier Supprimé : C:\Windows\System32\Tasks\fiv en-firefoxinstaller
Fichier Supprimé : C:\Windows\Tasks\fiv en-updater.job
Fichier Supprimé : C:\Windows\System32\Tasks\fiv en-updater

***** [ Raccourcis ] *****

Raccourci Désinfecté : C:\Users\Gilles\Desktop\Google Chrome.lnk
Raccourci Désinfecté : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk
Raccourci Désinfecté : C:\Users\Gilles\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk
Raccourci Désinfecté : C:\Users\Gilles\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk
Raccourci Désinfecté : C:\Users\Gilles\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk

***** [ Registre ] *****

Clé Supprimée : HKLM\SOFTWARE\Classes\speedupmypc
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\speedupmypc_RASAPI32
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Tracing\speedupmypc_RASMANCS
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{22222222-2222-2222-2222-220422412250}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{22222222-2222-2222-2222-220522162280}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{66666666-6666-6666-6666-660466416650}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{66666666-6666-6666-6666-660566166680}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{C9A6357B-25CC-4BCF-96C1-78736985D412}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{103dc764-5418-4fcd-b8ad-94ec6b99b063}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{3c7ea9bc-07dc-4797-be14-cb22a45908b8}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{014DB5FA-EAFB-4592-A95B-F44D3EE87FA9}
Clé Supprimée : [x64] HKLM\SOFTWARE\Classes\CLSID\{22222222-2222-2222-2222-220422412250}
Clé Supprimée : [x64] HKLM\SOFTWARE\Classes\CLSID\{22222222-2222-2222-2222-220522162280}
Clé Supprimée : [x64] HKLM\SOFTWARE\Classes\Interface\{66666666-6666-6666-6666-660466416650}
Clé Supprimée : [x64] HKLM\SOFTWARE\Classes\Interface\{66666666-6666-6666-6666-660566166680}
Clé Supprimée : [x64] HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{103dc764-5418-4fcd-b8ad-94ec6b99b063}
Clé Supprimée : [x64] HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{3c7ea9bc-07dc-4797-be14-cb22a45908b8}
Clé Supprimée : HKCU\Software\Conduit
Clé Supprimée : HKCU\Software\FreeSoftToday
Clé Supprimée : HKCU\Software\installedbrowserextensions
Clé Supprimée : HKCU\Software\SpeedMaxPC
Clé Supprimée : HKCU\Software\Tutorials
Clé Supprimée : HKCU\Software\TutoTag
Clé Supprimée : HKCU\Software\AppDataLow\{1146AC44-2F03-4431-B4FD-889BC837521F}
Clé Supprimée : HKCU\Software\AppDataLow\Software\DynConIE
Clé Supprimée : HKCU\Software\AppDataLow\Software\fiv en
Clé Supprimée : HKLM\Software\{1146AC44-2F03-4431-B4FD-889BC837521F}
Clé Supprimée : HKLM\Software\{3A7D3E19-1B79-4E4E-BD96-5467DA2C4EF0}
Clé Supprimée : HKLM\Software\SpeedMaxPC
Clé Supprimée : HKLM\Software\supTab
Clé Supprimée : HKLM\Software\supWPM
Clé Supprimée : HKLM\Software\Tutorials
Clé Supprimée : HKLM\Software\Uniblue
Clé Supprimée : HKLM\Software\Wpm
Clé Supprimée : HKLM\Software\fiv en

***** [ Navigateurs ] *****

-\\ Internet Explorer v11.0.9600.16518

Paramètre Restauré : HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [Search Page]
Paramètre Restauré : [x64] HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [Default_Search_URL]
Paramètre Restauré : [x64] HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [Default_Page_URL]
Paramètre Restauré : [x64] HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [Start Page]
Paramètre Restauré : [x64] HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [Search Page]

-\\ Mozilla Firefox v

[ Fichier : C:\Users\Gilles\AppData\Roaming\Mozilla\Firefox\Profiles\1wwo3kfr.default\prefs.js ]

Ligne Supprimée : user_pref("iminent.searchindex", "1");
Ligne Supprimée : user_pref("iminent.newtabredirect", "false");

-\\ Google Chrome v33.0.1750.117

[ Fichier : C:\Users\Gilles\AppData\Local\Google\Chrome\User Data\Default\preferences ]


*************************

AdwCleaner[R0].txt - [81967 octets] - [01/01/2014 21:31:49]
AdwCleaner[R1].txt - [4696 octets] - [02/01/2014 11:31:49]
AdwCleaner[R2].txt - [6195 octets] - [05/02/2014 21:58:50]
AdwCleaner[R3].txt - [9371 octets] - [08/03/2014 12:28:37]
AdwCleaner[S0].txt - [76839 octets] - [01/01/2014 21:35:58]
AdwCleaner[S1].txt - [4857 octets] - [02/01/2014 12:34:23]
AdwCleaner[S2].txt - [4824 octets] - [05/02/2014 21:59:28]
AdwCleaner[S3].txt - [6898 octets] - [08/03/2014 12:29:42]

########## EOF - C:\AdwCleaner\AdwCleaner[S3].txt - [6958 octets] ##########

Ensuite le rapport de sc cleaner :

Shortcut Cleaner 1.2.9 by Lawrence Abrams (Grinler)
http://www.bleepingcomputer.com/
Copyright 2008-2014 BleepingComputer.com
More Information about Shortcut Cleaner can be found at this link:
http://www.bleepingcomputer.com/downloa ... t-cleaner/

Windows Version: Windows 7 Home Premium Service Pack 1
Program started at: 03/08/2014 12:36:37 PM.

Scanning for registry hijacks:

* No issues found in the Registry.

Searching for Hijacked Shortcuts:

Searching C:\Users\Gilles\AppData\Roaming\Microsoft\Windows\Start Menu\

Searching C:\ProgramData\Microsoft\Windows\Start Menu\

Searching C:\Users\Gilles\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\

Searching C:\Users\Public\Desktop\

Searching C:\Users\Gilles\Desktop


0 bad shortcuts found.

Program finished at: 03/08/2014 12:36:40 PM
Execution time: 0 hours(s), 0 minute(s), and 2 seconds(s)


Et les liens pour les rapports :

Addition : http://pjjoint.malekal.com/files.php?id ... h7h5p9l7w5
FRST : http://pjjoint.malekal.com/files.php?id ... 5r13l10l12

Voilà le truc d'accueil awesomehp est parti et quand je clique ca ne m'ouvre plus de pub

[angelique]

• Télécharge à coté de FRST.EXE , PAS AILLEURS !!!!! le fichier fixlist.txt en pièce jointe en bas du message.
• Relance FRST et clic sur le bouton fix
  Un redémarrage peut être nécessaire (pas obligatoire).
  Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

[Anarkia]

Voilà ^^

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 08-03-2014
Ran by Gilles at 2014-03-08 13:53:26 Run:1
Running from C:\Users\Gilles\Desktop
Boot Mode: Normal
==============================================

Content of fixlist:
*****************
start
URLSearchHook: HKCU - (No Name) - {6d6b212b-2245-4898-8b16-9a11b81ff9e1} - No File
URLSearchHook: HKCU - (No Name) - {d40b90b4-d3b1-4d6b-a5d7-dc041c1b76c0} - No File
BHO: media enhance - {11111111-1111-1111-1111-110411411150} - C:\Program Files (x86)\media enhance\media enhance-bho64.dll No File
BHO: fiv en - {11111111-1111-1111-1111-110511161180} - C:\Program Files (x86)\fiv en\fiv en-bho64.dll No File
FF Extension: media enhance - C:\Users\Gilles\AppData\Roaming\Mozilla\Firefox\Profiles\1wwo3kfr.default\Extensions\[email protected]5ac7300ac.com [2014-03-07]
CHR Extension: (fiv en) - C:\Users\Gilles\AppData\Local\Google\Chrome\User Data\Default\Extensions\hjghiofiijcepdnocbgefbdlbckjfheg [2014-03-07]
S2 NewPlayerUpdaterService; "C:\Program Files (x86)\NewPlayer\NewPlayerUpdaterService.exe" [X]
S3 esgiguard; \??\C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys [X]
2014-03-07 16:14 - 2014-03-07 16:14 - 00000000 ____D () C:\Users\Gilles\AppData\Local\Tuguu_SL
2014-03-07 15:57 - 2014-03-07 16:01 - 00001054 _____ () C:\Users\Gilles\Desktop\Continue VuuPC Installation.lnk
2014-03-07 15:47 - 2014-03-07 15:46 - 01122960 _____ (AnyProtect.com) C:\Users\Gilles\AppData\Local\nsj552C.tmp
2014-02-07 09:25 - 2014-01-01 22:00 - 00000000 ____D () C:\Program Files\Enigma Software Group


*****************

HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks\\{6d6b212b-2245-4898-8b16-9a11b81ff9e1} => Value deleted successfully.
HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks\\{d40b90b4-d3b1-4d6b-a5d7-dc041c1b76c0} => Value deleted successfully.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110411411150} => Key deleted successfully.
HKCR\CLSID\{11111111-1111-1111-1111-110411411150} => Key deleted successfully.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{11111111-1111-1111-1111-110511161180} => Key deleted successfully.
HKCR\CLSID\{11111111-1111-1111-1111-110511161180} => Key deleted successfully.
C:\Users\Gilles\AppData\Roaming\Mozilla\Firefox\Profiles\1wwo3kfr.default\Extensions\[email protected]5ac7300ac.com => Moved successfully.
C:\Users\Gilles\AppData\Local\Google\Chrome\User Data\Default\Extensions\hjghiofiijcepdnocbgefbdlbckjfheg => Moved successfully.
NewPlayerUpdaterService => Service deleted successfully.
esgiguard => Service deleted successfully.
C:\Users\Gilles\AppData\Local\Tuguu_SL => Moved successfully.
C:\Users\Gilles\Desktop\Continue VuuPC Installation.lnk => Moved successfully.
C:\Users\Gilles\AppData\Local\nsj552C.tmp => Moved successfully.
C:\Program Files\Enigma Software Group => Moved successfully.

==== End of Fixlog ====

[angelique]

ç'est bon

• relance adwcleaner et clic desinstallation
• supprime c:\FRST , FRST.EXE et ses rapports
• Attention à ce que tu installes :
  Des logiciels additionnels sont proposés (barre d'outils, adwares) via l'installation de logiciel gratuit en général ou via certains sites de téléchargement comme Softonic ou 01Net.
  L'éditeur touche de l'argent à chaque installation réussie de ces programmes additionnels (un genre de sponsoring), ton PC se retrouve avec des barres d'outils qui ralentissent le navigateur ou des adwares qui ouvrent des popups de publicités.
  Les barres d'outils sont là pour t'affilier à un service (moteur de recherche de Yahoo! ou Google), ça rajoute des fonctionnalités mais en général les navigateurs les ont par défaut.
  De plus, elles enregistrent les sites que tu visites pour les transmettre (tracking) à faire de la publicité ciblée, c'est pas super niveau protection de la vie privée.
  Plusieurs toolbars ralentissent le PC et peuvent faire planter les navigateurs WEB.
  Au final, il est pas conseillé d'en utiliser.
  
  Enfin l'accumulation de ces programmes ralentissent l'ordinateur/navigateur WEB.
  
  Ces programmes additionnels sont proposées à l'installation de programmes et très souvent ces ajouts sont précochés. C'est notamment le cas sur 01net et Softonic qu'ils est conseillé d'éviter comme sites de téléchargement.
  Dès lors, lorsque tu installes un programme, lis bien ce qui est proposé car tu risques d'installer des barres d'outils sans le savoir.
  
  Lire Les PUPs/LPIs : https://www.malekal.com/adwares-pup-protection/

[Anarkia]

Merci beaucoup pour ton aide ^^ bonne journée à toi

Par contre la liste des logiciels dans le panneau de configuration est pas revenue, c'est pas lié aux virus?

[angelique]

Par contre la liste des logiciels dans le panneau de configuration est pas revenue, c'est pas lié aux virus?

la liste des programmes installés est listé dans addition.txt sous ==================== Installed Programs ======================

Tu as quoi comme liste de programmes? les memes que ceux de addition.txt ?

[Anarkia]

Je viens de vérifier, on dirait que ce sont les mêmes mais je suis pas certaine je mets un screen



En tout cas avant il y avait une liste vraiment longue ><

[angelique]

bah si y'a que ça ! la liste se trouve dans HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall , si t'as rien d'autres , je sais pas .

[Anarkia]

C'est bizarre avant il y avait tous les logiciels, l'antivirus, word, excel et tout ce qui était installé ><

[angelique]

bah peut etre que une partie sous HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall a été chinté.