Ouverture de pages intempestives

Section d'analyse de rapports et de désinfection : malwares en tous genre et autres indésirables. Demandes de nettoyage uniquement. Prise en charge restreinte : équipe spécialisée.

Modérateur: Modérateurs

Règles du forum
:arrow: Les désinfections sont prises en charge par un groupe spécifique, tout le monde ne peut pas intervenir pour désinfecter les machines (règles).
:arrow: Les procédures sont sur-mesure, ne faites pas la même chose chez vous (explications).
:arrow: Un topic par machine, chacun crée le sien. ;)

Ouverture de pages intempestives

Messagepar Somdecoste » 07 Mai 2007 20:28

Bonjour à tous,

Depuis quelques temps, des pages (horoscope, anti virus ...) s'ouvrent aléatoirement pendant mes surfs sur IE7 ou Firefox.

Comment les éradiquer ?

Windows Vista

Merci de votre aide.


Sujet déplacé /Falkra

Somdecoste
Libellulien
Libellulien
 
Messages: 73
Inscription: 30 Mar 2007 21:38

En ligne

Messagepar Falkra » 07 Mai 2007 20:32

Bonjour, soit ce sont des popups de sites à la noix, soit tu es infecté par un bon vieux spyware.

Dans un cas comme dans l'autre, il faut scanner tout ça avec les outils habituels (spybot et ad-aware pour les classiques), mais ça ressemble à du winantivirus ça, alors essaie avec Rogue Remover aussi, en mode sans échec si besoin.

Dans le doute après ça, poste un log hijackthis (tuto si besoin).
Avatar de l’utilisateur
Falkra
Admin libellules.ch
Admin libellules.ch
 
Messages: 25405
Inscription: 30 Jan 2005 13:44
Localisation: 127.0.0.1

Messagepar Somdecoste » 07 Mai 2007 20:41

salut

je viens de scanner avec rogue remover : tout est OK

Spybot - search : Ok

merci pour la réponse

Somdecoste
Libellulien
Libellulien
 
Messages: 73
Inscription: 30 Mar 2007 21:38

En ligne

Messagepar Falkra » 07 Mai 2007 20:45

Si çe le fait en dehors par dessus des sites propres, c'est un spyware, sinon, ce sont les sites en question qui les diffusent (un coup d'antipub ou un réglage et ça repart).

Le log hijackthis nous permettra d'avoir le coeur net (car hélas spybot et ad-aware ne suffisent plus).
Avatar de l’utilisateur
Falkra
Admin libellules.ch
Admin libellules.ch
 
Messages: 25405
Inscription: 30 Jan 2005 13:44
Localisation: 127.0.0.1

Messagepar Somdecoste » 07 Mai 2007 21:04

Re salut voici mon log

merci d'y jeter un oeil

Logfile of HijackThis v1.99.1
Scan saved at 22:03:19, on 07/05/2007
Platform: Unknown Windows (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16386)

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Analog Devices\Core\smax4pnp.exe
C:\Program Files\Alwil Software\Avast4\ashDisp.exe
C:\Windows\System32\foawazlr.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\OpenOffice.org 2.1\program\soffice.exe
C:\Program Files\OpenOffice.org 2.1\program\soffice.BIN
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\explorer.exe
C:\Windows\ehome\EHTray.exe
C:\Windows\ehome\ehmsas.exe
C:\Windows\system32\taskeng.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Windows Mail\WinMail.exe
C:\Program Files\Internet Explorer\IEUser.exe
C:\Users\PROPRI~1\AppData\Local\Temp\Rar$EX00.017\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.libellules.ch/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: Aide pour le lien d'Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {31FF080D-12A3-439A-A2EF-4BA95A3148E8} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {FFFFFEF0-5B30-21D4-945D-000000000000} - C:\PROGRA~1\STARDO~1\SDIEInt.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [foawazlr] c:\windows\system32\foawazlr.exe foawazlr
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [SmartDefrag] "C:\Program Files\IObit\IObit SmartDefrag\IObit SmartDefrag.exe" /startup
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [Arovax Shield] C:\Program Files\Arovax Shield\ArovaxShield.exe -tray
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - Startup: OpenOffice.org 2.1.lnk = C:\Program Files\OpenOffice.org 2.1\program\quickstart.exe
O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O4 - Global Startup: Lancement rapide d'Adobe Reader.lnk = C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Console Java (Sun) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\nlaapi.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\napinsp.dll
O11 - Options group: [INTERNATIONAL] International*
O13 - Gopher Prefix:
O16 - DPF: {9D190AE6-C81E-4039-8061-978EBAD10073} (F-Secure Online Scanner 3.0) - http://securite.neuf.fr/Ols/fscax.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) -
O17 - HKLM\System\CCS\Services\Tcpip\..\{0F0DF07F-8AFE-4275-8C24-566DF9459702}: NameServer = 86.64.145.140 84.103.237.140
O17 - HKLM\System\CS1\Services\Tcpip\..\{0F0DF07F-8AFE-4275-8C24-566DF9459702}: NameServer = 86.64.145.140 84.103.237.140
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: @%SystemRoot%\ehome\ehstart.dll,-101 (ehstart) - Unknown owner - %windir%\system32\svchost.exe (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Service de l'iPod (iPod Service) - Unknown owner - C:\Program Files\iPod\bin\iPodService.exe (file missing)
O23 - Service: @%SystemRoot%\system32\qwave.dll,-1 (QWAVE) - Unknown owner - %windir%\system32\svchost.exe (file missing)
O23 - Service: @%SystemRoot%\system32\seclogon.dll,-7001 (seclogon) - Unknown owner - %windir%\system32\svchost.exe (file missing)
O23 - Service: @%ProgramFiles%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - %ProgramFiles%\Windows Media Player\wmpnetwk.exe (file missing)

Somdecoste
Libellulien
Libellulien
 
Messages: 73
Inscription: 30 Mar 2007 21:38

En ligne

Messagepar Falkra » 07 Mai 2007 21:08

Ca c'est pas trop normal :

C:\Windows\System32\foawazlr.exe


C'est ça qui le lance :
O4 - HKLM\..\Run: [foawazlr] c:\windows\system32\foawazlr.exe foawazlr


Donc tu coches la ligne O4 ci dessus, tu fais "fix checked" et tu redémarres.
Ce devrait aller mieux. ensuite efface le fichier exe en question.

Si ça revient après redémarrage, il faudra nettoyer 2-3 trucs de plus. Pour avoir la paix, fais ça en mode sans échec, sinon tente ta chance en mode normal.
Avatar de l’utilisateur
Falkra
Admin libellules.ch
Admin libellules.ch
 
Messages: 25405
Inscription: 30 Jan 2005 13:44
Localisation: 127.0.0.1

Messagepar Somdecoste » 07 Mai 2007 21:20

ok opération réalisée a voir pour le résultat.

en tout cas un grand merci pour la rapidité de la réponse .

Somdecoste
Libellulien
Libellulien
 
Messages: 73
Inscription: 30 Mar 2007 21:38

Messagepar Birkoff » 01 Juil 2007 10:41

Bonjour à tous,

Désolé de faire remonter un sujet un peu ancien, mais cette infection est assez typique (et courante) => Egdaccess

Pour l'enlever il suffit de passer l'outil de IL MAFIOSO FixNavilog (à condition de savoir s'en servir, il y a certaine précaution à prendre).

En espérant que la prochaine cette ligne fasse tilter :

Code: Tout sélectionner
O4 - HKLM\..\Run: [foawazlr] c:\windows\system32\foawazlr.exe foawazlr


Bonne journée
Birkoff

Birkoff
 

En ligne

Messagepar Falkra » 01 Juil 2007 10:54

Bienvenue Birkoff, et bien vu. :wink:
:merci

Edit :
L'outil Fix Navilog (cf blog) est téléchargeable directement ici (par Il Mafioso, auteur également
http://perso.orange.fr/il.mafioso/Navifix/Navilog1.zip

Voici un tuto :
http://www.malekal.com/Adware.Magic_Control.php
Avatar de l’utilisateur
Falkra
Admin libellules.ch
Admin libellules.ch
 
Messages: 25405
Inscription: 30 Jan 2005 13:44
Localisation: 127.0.0.1


Retourner vers Désinfections et demandes d'analyse

Qui est en ligne

Utilisateurs parcourant ce forum: Aucun utilisateur enregistré et 0 invités