Fichiers récalcitrants malgré plusieurs nettoyages

[Snheed]

Bonsoir à tous,

Sur un pc, j'ai eu une invasion de fenêtres publicitaires.

J'ai donc passé AdwCleaner qui m'a fait un premier nettoyage.
J'ai ensuite passé un Malwarebytes puis un Spybot search & Destroy qui m'ont nettoyé encore des choses.

Malgré cela, j'ai encore des fichiers que je soupçonne d'être malveillantes :

Rapport HijackThis : http://pjjoint.malekal.com/files.php?id ... 3u8s8h14w9
Rapport Combofix : http://pjjoint.malekal.com/files.php?id ... 4o15m14y11
Rapport ZhpDiag : http://pjjoint.malekal.com/files.php?id ... 11o13b5q11

Pourriez-vous confirmer mes soupçons et m'indiquer une méthodologie pour les supprimer définitivement.

Merci.

Cordialement,

[Malekal_morte]

Salut,

Tu as des DNS pourris à priori.
=> http://forum.malekal.com/reinitialiser- ... 48312.html

Désinstalle Spybot sert à rien.

[Snheed]

Bonsoir Malekal_morte,

J'ai installé et exécuté RogueKiller mais l'examen n'a rien trouvé de malveillant dans tous les onglets...

Avez-vous éventuellement une autre piste ?

Merci.

Cordialement,

[Malekal_morte]

Faire un Scan OTL - Temps : Environ 40min
=====================
OTL permet de diagnostiquer les programmes qui tournent et déceler des infections - Le programme va générer deux rapports OTL.txt et Extras.txt
Fournir les deux rapports :

Tu peux suivre les indications de cette page pour t'aider : https://www.malekal.com/2010/11/12/tutorial-otl/

* Télécharge http://oldtimer.geekstogo.com/OTL.exe sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)


* Lance OTL
* En haut à droite de Analyse rapide, coche "tous les utilisateurs"
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :



netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%ALLUSERSPROFILE%\Application Data\*.dll /s
%APPDATA%\*.
%PROGRAMFILES%\*.
%PROGRAMDATA%\*.
%APPDATA%\*.exe /s
%temp%\*.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\consrv.dll
%systemroot%\system32\*.dll /lockedfiles
%windir%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
services.exe
wininit.exe
/md5stop
HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InprocServer32 /s
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\AppCertDlls /s
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList /s
HKEY_LOCAL_MACHINE\Software\Microsoft\Command Processor /s
HKEY_CURRENT_USER\Software\Microsoft\Command Processor /s
CREATERESTOREPOINT
nslookup www.google.fr /c
ping www.google.fr /c
ipconfig /all /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs



* Clique sur le bouton Analyse.

**** Si durant le scan - OTL ne répond pas, ne touche à rien et laisse le scan se poursuivre ****

* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent).
Donne le ou les liens pjjoint qui pointent vers ces rapports ici dans une réponse.
Je répète : donne le lien du rapport pjjoint ici en réponse.

<gras>NE PAS COPIER/COLLER LE RAPPORT ICI - DONNER LE LIEN PJJOINT DANS UN NOUVEAU MESSAGE</gras>

[Snheed]

Bonjour Malekal_morte,

Merci pour votre aide.

Voici le lien vers le fichier OTL.txt : http://pjjoint.malekal.com/files.php?id ... b11x814f14

Dans l'attente de nouvelles maintenances.

Cordialement,

[angelique]

T'as pas changé tes DNS

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 91.121.161.184 188.165.197.144
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{C5DA1722-8C75-4E12-AB6B-5068D3838CF6}: DhcpNameServer = 91.121.161.184 188.165.197.144

executer --> ncpa.cpl

met comme ci dessous dans les proprietes tcp_ip 4

[Snheed]

Bonjour Angélique,

Merci pour votre réponse.

Lorsque je regarde les propriétés TCP/IPv4 des connexions du pc, elles sont toutes cochées avec l'option "Obtenir les adresses des serveurs DNS automatiquement".

Ce n'est pas un bon paramétrage ? A quoi correspondent les adresses DNS que vous mentionnez ?

Cordialement,

[angelique]

http://www.commentcamarche.net/faq/1496 ... -votre-fai

[Snheed]

Merci Angélique pour cette explication.

Dois-je relancer une analyse OTL après ce paramétrage ?

Cordialement,

[angelique]

bah ça parait OK

. desinstalle Spybot - Search & Destroy 2 , ça sert à rien , tu as MBAM il est suffisant en scans ponctuels.

. desinstalle ComboFix en copiant|collant la ligne cidessous du cadre dans executer et valide:

Code : Tout sélectionner

"%userprofile%\Desktop\ComboFix.exe" /uninstall

l'icone du bureau disparaitra apres desinstallation.


. relance OTL et clic Purge Outils

------------
Pour info
------------


Il est important de surfer avec un navigateur non propriétaire, pour encore une fois des questions de fiabilité, de sécurité et pour que celui ci ne transmette pas directement un ensemble de données que vous utilisez/visualisez (comme c’est le cas de Chrome avec Google). Il est fortement recommandé d’utiliser Firefox, pour ces raisons et pour son aspect modulable, fonctionnant avec des modules comme Ad-block ( comme son nom l’indique, bloquer les publicités ), NoScript pour gérer flash ( voir 3 - Le format SWF (Flash) et les risques liés à son utilisation - http://www.cert.ssi.gouv.fr/site/CERTFR ... index.html - ), JavaScript, et\ou Iframe pourries sur sites compromis potentiellement générateur d'infections ( - http://forum.malekal.com/les-exploits-s ... t3563.html - )!!


Donc FireFox + Adblock + Noscript

• Firefox: http://www.mozilla.org/fr/firefox/new/ < https://download.mozilla.org/?product=f ... in&lang=fr > ou setup d'installation hors ligne > http://www.mozilla.org/en-US/firefox/all/

• Adblock: https://addons.mozilla.org/en-US/firefo ... lock-plus/

Mettre "actif" d'un clic les modules ci dessous qui apparraissent apres installation de ADBlock : chrome://adblockplus/content/ui/firstRun.html



List FR + EasyList << à mettre à jour regulièrement ainsi que les autres





NOTE POUR Adblock :
Certains sites abusent des publicités, dont leurs pages peuvent en être inondées (cela ralentit la navigation etc). Mais notez que les publicités sont parfois le seul revenus des sites WEB.
Filtrer toutes les publicités peuvent, par exemple, pénaliser ces sites, c’est notamment le cas de malekal.com
Si vous pensez que certains sites le méritent, vous pouvez les ajouter en liste blanche.



• Noscript: https://addons.mozilla.org/en-US/firefo ... /noscript/ : http://www.commentcamarche.net/faq/1567 ... -obeissant

Lire sécuriser FireFox:: https://www.malekal.com/securiser-le-na ... firefox-2/

[Snheed]

Bonsoir Angélique,

Merci pour votre retour.

Que dois-je penser des détections de Hijackthis (voir lien dans mon premier message) ? Est-ce des faux positifs ?



Hijackthis est-il encore un outil fiable ?

Cordialement,

[Malekal_morte]

HijackThis.de n'est plus maintenu et les analyses sont mauvaises.
Utilise http://pjjoint.malekal.com pour évaluer tes rapports.

HijackThis ne scanne que très partiellement le système, vaut mieux utiliser OTL ou ZHPDiag.

[Snheed]

Bonsoir Malekal_morte,

Merci pour votre réponse.

Je vais donc arrêter mes analyses et me contenter de croiser les doigts pour que les programmes malveillants ne se réinstallent pas dans les prochains jours (dans le cas d'un mauvais nettoyage). Si je rencontre le moindre problème, je déciderai cette fois de réinstaller Windows.

Merci encore à tous les deux pour votre aide.

Cordialement,

[Malekal_morte]

Ca roule