Bonjour à tous,

Comme mon navigateur FF 7.0.1 me semblait pécloter (temps de réponse bizarre, cites web non trouvés...), j'ai lancé un scan MBAM qui m'a détecté 1 clé de registre infectée, et 2 fichiers infectés :

Clé(s) du Registre infectée(s):
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{E3EA4FD1-CADE-4AE5-84F7-086EEE888BE4 (Adware.MyWebSearch)

Fichier(s) infecté(s):
c:\documents and settings\nom du compte\Bureau\backups\backup-20080605-214422-811.dll (Adware.MyWebSearch) -> No action taken.
c:\program files\mozilla firefox\plugins\nppandbrold.dll (Adware.MyWebSearch)

J'ai tout mis en quarantaine et rebooté mon PC, qui m'a l'air de fonctionner normalement, pour autant que j'ai pu l'observer ...

Ce qui me turlupine, c'est le plugins de FF, ainsi que le .dll ; c'est 3 détections sont-elles dangereuses ?

Merci par avance pour tout éclaircicement.

Bonjour Jean Aimar

Toute infection est potentiellement dangereuse même la plus bénigne
Ce n'est peut être que la partie immergée de l'iceberg

Avant de faire quoi que soit on va commencer par faire un diagnostic de ton PC

Le rapport de ZHPDiag doit être posté en lien, il est parfois trop long pour tenir dans une réponse.

Scan


Télécharge ZHPDiag (de Nicolas coolman)


• Double clique sur le fichier téléchargé, puis installe le avec les paramètres par défaut ( N'oublie pas de cocher Créer une icône sur le bureau)
  
• Pour Vista et Windows 7 clic droit sur le fichier téléchargé et Exécuter en tant qu'administrateur
• Lance ZHPDiag en double cliquant sur le raccourci de ZHPDiag présent sur ton bureau
• Clique sur la loupe en haut à gauche, puis laisse l'outil scanner.
• 
• Laisse l'outil travailler, il peut être assez long.
• 
• Une fois le scan terminé, le rapport (ZHPDiag.txt) s'affichera automatiquement sur le bureau.
• Sinon le rapport se trouvera aussi ici ==> c:\ZHP\ZHPDiag.txt



Pour poster le rapport en lien rends toi sur ce site : Cjoint.com



Clique sur Parcourir et va jusqu'au rapport qui a été sauvegardé .




• Clic gauche dessus clique ensuite sur Ouvrir
  
  
  
  
• Clique ensuite sur Créer le lien Cjoint
  
  
  
• Une fois l'upload fini un lien apparaît clic droit dessus choisis Copier dans le menu
  
• Colle le lien dans ta prochaine réponse
  

lenapache a écrit:Toute infection est potentiellement dangereuse même la plus bénigne
Ce n'est peut être que la partie immergée de l'iceberg

Merci pour la réponse, effectivement, c'est plus sûr de procéder à une analyse complète ...

J'ai fait le scan, j'espère avoir créé les liens demandés jusqu'au bout ...
J'ai eu plusieurs alertes générées par Comodo (en mode sécurisé), dont l'une indiquait un comportement malveillant possible de C:\Program Files\ZHPDiag\mbr.exe ...

(j'ai remplacé dans le rapport toutes les occurences du nom de mon compte par le texte "sysadmin")

Merci par avance pour l'aide !

J'ai eu plusieurs alertes générées par Comodo (en mode sécurisé), dont l'une indiquait un comportement malveillant possible de C:\Program Files\ZHPDiag\mbr.exe ..

Mbr.exe n'est pas un programme malveillant il scanne le secteur de boot (MBR) pour rechercher d'éventuelles infections par un rootkit par exemple

(j'ai remplacé dans le rapport toutes les occurences du nom de mon compte par le texte "sysadmin")

La ça va pas le faire j'ai besoin d'un rapport complet non bidouillé, si je suis obligé de produire un script pour ZHPFix où un autre utilitaire de suppression on aura droit à des erreurs dans le rapport posté.

Ceci dit tu n'a pas posté le lien du rapport de ZHPDiag

lenapache a écrit:

Ceci dit tu n'a pas posté le lien du rapport de ZHPDiag

J'ai refait toute la manip, et inséré dans le présent message le lien affiché en résultat de sa création, avec l'espoir que ce soit correct maintenant, à savoir http://cjoint.com/?AJhsvlDhA75

Ce n'est pas si méchant que cela mais il y a tout de même des traces d'infection dans ce rapport

Attention le temps de téléchargement du script a été limité à 4 jours

• Clique sur Jean_Aimar
• Sur la page qui s'ouvre clic droit et Tout sélectionner
• Refais un clic droit et Copier
• Double clique sur ZHPFix qui est sur le bureau.
  
  • Pour Vista et Seven fais un clic droit sur le raccourci de ZHPFix et Exécuter en tant qu'adminstrateur
  • Clique maintenant sur le (coller les lignes helper)
  • Le texte copié dans le presse papiers s'affichera dans la fenêtre de ZHPFix
  • Clique sur patiente le temps du traitement
• Un rapport nommé ZHPFix[R1].txt sera créé et sauvegardé sur le bureau poste son contenu dans ta prochaine réponse
• Ce rapport se trouve aussi ici C:\ZHP\ZHPFix[R1].txt
• Redémarre ton PC et poste le rapport de ZHPFix

lenapache a écrit:Redémarre ton PC et poste le rapport de ZHPFix

Voilà le rapport après redémarrage du PC ; était-ce grave ?

Rapport de ZHPFix 1.12.3363 par Nicolas Coolman, Update du 05/10/2011
Fichier d'export Registre :
Run by ------- at 07/10/2011 20:46:39
Windows XP Professional Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-p ... hpfix.html

========== Clé(s) du Registre ==========
SUPPRIME Key: HKLM\Software\Trymedia Systems
SUPPRIME Key: HKLM\Software\Classes\imside1egate.application.1

========== Valeur(s) du Registre ==========
SUPPRIME RunValue: hpqSRMon
SUPPRIME RunValue: Sonic RecordNow!
ABSENT RunValue: Sonic RecordNow!
SUPPRIME [HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]:{D4027C7F-154A-4066-A1AD-4243D8127440}
SUPPRIME AAKE KeyValue: C:\Program Files\Atari-Infogrames\Scrabble v2.0\Scrabble v2.0.exe
SUPPRIME AAKE KeyValue: C:\Program Files\Atari-Infogrames\RiskII\RiskII.exe
SUPPRIME AAKE KeyValue: C:\Program Files\Infogrames\Civilization III\Civilization3.exe
SUPPRIME AAKE KeyValue: C:\WINDOWS\SYSTEM32\rundll32.exe
SUPPRIME AAKE KeyValue: C:\Program Files\Hexacto Games\Lemonade Tycoon\Lemonade.exe

========== Dossier(s) ==========
SUPPRIME Folder: C:\Program Files\Trymedia

========== Fichier(s) ==========
ABSENT File: c:\program files\atari-infogrames\scrabble v2.0\scrabble v2.0.exe
ABSENT File: c:\program files\atari-infogrames\riskii\riskii.exe
ABSENT File: c:\program files\infogrames\civilization iii\civilization3.exe
ABSENT File: c:\program files\hexacto games\lemonade tycoon\lemonade.exe
ABSENT Folder/File: c:\program files\trymedia


========== Récapitulatif ==========
2 : Clé(s) du Registre
9 : Valeur(s) du Registre
1 : Dossier(s)
5 : Fichier(s)


End of clean in 00mn 52s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 07/10/2011 20:46:39 [1741]

Bonjour Jean Aimar

C'est parfait, refais maintenant un scan avec ZHPDiag poste ensuite son rapport en lien, le rapport posté directement dans une réponse ne sera pas pris en compte

lenapache a écrit:
C'est parfait, refais maintenant un scan avec ZHPDiag poste ensuite son rapport en lien, le rapport posté directement dans une réponse ne sera pas pris en compte

Voilà le lien : http://cjoint.com/?AJimhHkg2j1
Sur le rapport, il y a plusieurs lignes en bleu, cela signifie-t'il qu'il y aurait encore quelques problèmes ?
Il y a beaucoup de choses dans ma bécane, que je n'utilise presque jamais, de façon explicite du moins.

Les lignes en bleu peuvent être du superflu des toolbars où de l'inutile mas ce n'est en aucun cas des traces d'infection. Pour certaines d'entre elles il vaut mieux les laisser en place.

Attention le temps de téléchargement du script a été limité à 4 jours

• Clique sur Jean_Aimar
• Sur la page qui s'ouvre clic droit et Tout sélectionner
• Refais un clic droit et Copier
• Double clique sur ZHPFix qui est sur le bureau.
  
  • Pour Vista et Seven fais un clic droit sur le raccourci de ZHPFix et Exécuter en tant qu'adminstrateur
  • Clique maintenant sur le (coller les lignes helper)
  • Le texte copié dans le presse papiers s'affichera dans la fenêtre de ZHPFix
  • Clique sur patiente le temps du traitement
• Un rapport nommé ZHPFix[R1].txt sera créé et sauvegardé sur le bureau poste son contenu dans ta prochaine réponse
• Ce rapport se trouve aussi ici C:\ZHP\ZHPFix[R1].txt
• Redémarre ton PC et poste le rapport de ZHPFix

lenapache a écrit:[*]Redémarre ton PC et poste le rapport de ZHPFix

Voilà le contenu de C:\ZHP\Fix[R1].txt tel que vu dans C:\ après le redemarrage du PC ; mais j'ai un doute, car il est marqué comme créé le 7, et nous sommes le 8, je crains donc m'être trompé qqpart ... peut-on recommencer la manip ?

Rapport de ZHPFix 1.12.3363 par Nicolas Coolman, Update du 05/10/2011
Fichier d'export Registre :
Run by ------- at 07/10/2011 20:46:39
Windows XP Professional Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-p ... hpfix.html

========== Clé(s) du Registre ==========
SUPPRIME Key: HKLM\Software\Trymedia Systems
SUPPRIME Key: HKLM\Software\Classes\imside1egate.application.1

========== Valeur(s) du Registre ==========
SUPPRIME RunValue: hpqSRMon
SUPPRIME RunValue: Sonic RecordNow!
ABSENT RunValue: Sonic RecordNow!
SUPPRIME [HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]:{D4027C7F-154A-4066-A1AD-4243D8127440}
SUPPRIME AAKE KeyValue: C:\Program Files\Atari-Infogrames\Scrabble v2.0\Scrabble v2.0.exe
SUPPRIME AAKE KeyValue: C:\Program Files\Atari-Infogrames\RiskII\RiskII.exe
SUPPRIME AAKE KeyValue: C:\Program Files\Infogrames\Civilization III\Civilization3.exe
SUPPRIME AAKE KeyValue: C:\WINDOWS\SYSTEM32\rundll32.exe
SUPPRIME AAKE KeyValue: C:\Program Files\Hexacto Games\Lemonade Tycoon\Lemonade.exe

========== Dossier(s) ==========
SUPPRIME Folder: C:\Program Files\Trymedia

========== Fichier(s) ==========
ABSENT File: c:\program files\atari-infogrames\scrabble v2.0\scrabble v2.0.exe
ABSENT File: c:\program files\atari-infogrames\riskii\riskii.exe
ABSENT File: c:\program files\infogrames\civilization iii\civilization3.exe
ABSENT File: c:\program files\hexacto games\lemonade tycoon\lemonade.exe
ABSENT Folder/File: c:\program files\trymedia


========== Récapitulatif ==========
2 : Clé(s) du Registre
9 : Valeur(s) du Registre
1 : Dossier(s)
5 : Fichier(s)


End of clean in 00mn 52s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 07/10/2011 20:46:39 [1741]

C'est un ancien rapport que tu as posté le nouveau devrait se trouver ici C:\ZHP\ZHPFix[R1].txt regard bien la date de l'enregistrement avant de poster le rapport

lenapache a écrit:C'est un ancien rapport que tu as posté le nouveau devrait se trouver ici C:\ZHP\ZHPFix[R1].txt regard bien la date de l'enregistrement avant de poster le rapport

C'est bien ce fichier C:\ZHP\ZHPFix[R1].txt dont j'ai posté le contenu (et non C:\ZHP\Fix[R1].txt comme écrit par erreur) ...
Pourtant j'ai bien appuyé sur GO après avoir sélectionné l'option H (donc transmis le contenu du copié/collé après avoir relancé le ZHPFix) ... je ne sais pas trop ce qui a pu bien se passer ... Pour une raison quelconque, la regénération du fichier en question n'a pas dû s'effectuer ... je peux relancer sans risque ?

Tu peux recommencer sans problème au pire il ne trouvera plus les lignes sélectionnées

lenapache a écrit:Tu peux recommencer sans problème au pire il ne trouvera plus les lignes sélectionnées

J'ai trouvé un fichier ZHPFix[R3].txt dont la date de création est de quelques minutes, et qui pourrait donc correspondre à ce que le GO de DHPFix aurait généré (?). Par contre, la date de création de la version [2] est toujours le 7 octobre.

Contenu donc de C:\ZHP\ZHPFix[3].txt :

Rapport de ZHPFix 1.12.3363 par Nicolas Coolman, Update du 05/10/2011
Fichier d'export Registre :
Run by ------- at 08/10/2011 22:47:10
Windows XP Professional Service Pack 3 (Build 2600)
Web site : http://www.premiumorange.com/zeb-help-p ... hpfix.html

========== Clé(s) du Registre ==========
ABSENT Key: Mozilla Plugin: @microsoft.com/VirtualEarth3D,version=4.0
ABSENT Key: HKCU\Software\Microsoft\Internet Explorer\MenuExt\crawler search

========== Valeur(s) du Registre ==========
ABSENT [HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]:{4B3803EA-5230-4DC3-A7FC-33638F3D3542}

========== Fichier(s) ==========
ABSENT Folder/File: c:\documents and settings\-------\application data\mozilla\firefox\profiles\1oq5th9a.default\user.js (.not file.)


========== Récapitulatif ==========
2 : Clé(s) du Registre
1 : Valeur(s) du Registre
1 : Fichier(s)


End of clean in 00mn 00s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 08/10/2011 19:46:39 [1793]
C:\ZHP\ZHPFix[R2].txt - 08/10/2011 17:52:22 [1083]
C:\ZHP\ZHPFix[R3].txt - 08/10/2011 22:47:10 [1077]

Probablement, lorsque ZHPFix voit que le fichier résultat existe déjà, il crée une nouvelle version sans écraser les précédentes ???

Bonjour Jean Aimar

Dans le rapport de ZHPFix les lignes sont toutes annotées ABSENT
On peut considérer l'incident comme clos

On va maintenant procéder au nettoyage des outils téléchargés.

Télécharge (d'Xplode) sur ton bureau.

Lance le et clique sur

Le scan fini clique sur

Copie/colle le contenu du rapport qui s'ouvrira à l'écran dans ton prochain message.

Note : Le rapport est également sauvegardé à la racine du disque dur ( C:\DelFixSuppr.txt )

Une fois le rapport posté sur le forum, relance DelFix clique sur

lenapache a écrit:On va maintenant procéder au nettoyage des outils téléchargés.

Bonjour lenapache

Merci pour tout !

Voilà le résultat :

# Mis à jour le 25/09/11 à 11h par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : admine - D942DY0J (Administrateur)
# Exécuté depuis : C:\Documents and Settings\admine\Mes documents\Téléchargements\delfix0.exe
# Option [Suppression]


~~~~~~ Dossiers(s) ~~~~~~

Supprimé : C:\ZHP
Supprimé : C:\Documents and Settings\All Users\Menu Démarrer\Programmes\ZHP
Supprimé : C:\Program Files\ZHPDiag
Supprimé : C:\Program Files\Hijackthis

~~~~~~ Fichier(s) ~~~~~~

Supprimé : C:\JavaRa.log
Supprimé : C:\PhysicalDisk0_MBR.bin
Supprimé : C:\Documents and Settings\admine\Bureau\HiJackThis.exe
Supprimé : C:\Documents and Settings\admine\Bureau\ZHPDiag.txt
Supprimé : C:\Documents and Settings\admine\Bureau\ZHPFixReport.txt
Supprimé : C:\Documents and Settings\admine\Mes documents\Téléchargements\FoxScan.exe
Supprimé : C:\Documents and Settings\admine\Mes documents\Téléchargements\JavaRa.def
Supprimé : C:\Documents and Settings\admine\Mes documents\Téléchargements\JavaRa.exe
Supprimé : C:\Documents and Settings\admine\Mes documents\Téléchargements\JavaRa.zip
Supprimé : C:\Documents and Settings\admine\Mes documents\Téléchargements\ZHPDiag2.exe
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPDiag.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\ZHPFix.lnk
Supprimé : C:\Documents and Settings\All Users\Bureau\MBRCheck.lnk

~~~~~~ Registre ~~~~~~

Clé Supprimée : HKLM\SOFTWARE\Soeperman Enterprises Ltd.
Clé Supprimée : HKLM\SOFTWARE\TrendMicro\Hijackthis
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Hijackthis
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ZHPDiag_is1
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\HijackThis.exe

~~~~~~ Autres ~~~~~~

-> Prefetch Vidé

*************************

DelFix[R1].txt - [2045 octets] - [09/10/2011 10:12:55]
DelFix[S1].txt - [2022 octets] - [09/10/2011 10:13:39]

########## EOF - C:\DelFix[S1].txt - [2146 octets] ##########

Je te donne quelques consignes de sécurité :

• Windows Update ( http://www.windowsupdate.com/ ) parfaitement à jour (catégories critique, Services Pack et Services Release)
• Antivirus bien paramétré et mis à jour régulièrement (quotidiennement s'il le faut) avec un scan complet régulier (journalier s'il le faut).
• Une attitude prudente vis à vis de la navigation (pas de sites douteux : cracks, warez, sexe...) et vis à vis de la messagerie (fichiers joints aux messages doivent être scannés avant d'être ouverts)
• Une attitude vigilante (être à l'affût d'un fonctionnement inhabituel de son système)
• Scan hebdomadaire antimalware
  
• Verifie si ta console Java est à jour:
  Java Sun http://www.java.com/fr/download/manual.jsp et télécharge la dernière version (si ta version actuelle n'est pas à jour)
• Après installation et redémarrage (toujours si elle n'etait pas à jour), va dans panneau de configuration/Ajouter-Supprimer des programmes afin de désinstaller l'ancienne version, ceci pour récupérer de l'espace disque et éventuellement pour virer les failles présentes dans cette ancienne version.
• Retourne ensuite chez Java ci-dessus et clique sur le bouton "Vérifier l'installation" pour t'assurer que tout est en ordre.
  En cas de problèmes chez Sun, tu peux aller télécharger la dernière version chez File Hippo http://www.filehippo.com/download_jre_32/

Edite ton premier post et mets aprés le titre de ton sujet (Résolu) comme ceci 1 registre et 2 fichiers infectés (Résolu)