[Résolu] Pubs intempestives (Ad by the AdBlocker)

[Shisama]

Bonsoir,

Il semblerait que j'ai manqué de vigilance en installant un logiciel et qu'un PUP/Adaware m'ait échappé, shame on me. Depuis quelques jours des pubs s'affichent sans arrêt à l'intérieur de mes pages internet, dans de nouveaux onglets et dans des mots soulignés avec un genre de lien hypertexte, etc...
Par réflexe j'ai tout de suite passé ce que j'avais sous la main (Spybot, AdAware et Avast), sans succès. J'ai suivi les conseils les plus fréquents sur les forums (Malwarebytes, Adwcleaner, Junkware removal tool), qui m'ont dégagé pas mal de trucs mais sans régler le problème.

Si une âme charitable pouvait donc m'accorder un peu de temps à l'occasion pour jeter un coup d'oeil à mes rapports ou me conseiller sur une procédure à suivre, j'en serais extrêmement reconnaissante

[guugues]

Hello et bienvenue !

Je vais te prendre en charge pour la désinfection, mais d'abord, je vais te demander de prendre connaissance de ces quelques règles :

La désinfection ne sera terminée que lorsque je le dirai. Merci de continuer jusqu'au bout, même si les symptômes apparents ont disparu.

Les outils que je te demanderai de télécharger devront être enregistrés sur ton bureau : aide en images
(merci à H.A.W.X).

Tous les rapports devront être joints sur le forum comme mentionné dans ce tutoriel.

Ne suis pas plusieurs procédures de désinfection sur différents forums, au risque d'endommager ton système d'exploitation.

Ne fais rien de ta propre initiative.

Je suis bénévole : je ne pourrai donc pas toujours te répondre de suite.

-----------------------------------------------------------------------------


Je vais te demander de me joindre les différents rapports générés en suivant ce tutoriel :

• Pour AdwCleaner, le rapport se trouve ici : C:\AdwCleaner\AdwCleaner[S0].txt
• Pour JRT, le rapport se trouve sur ton bureau sous le nom de JRT.txt

Pour le rapport de Malwarebytes :

• Dans l'onglet Historique, clique sur la catégorie Journaux de l'application.
• Double-clique sur le journal du type Journal d'examen le plus récent.
• Une fenêtre s'ouvre : en bas à gauche, clique sur Exporter puis sur Fichier texte (*.txt) :

• Attribue au fichier le nom de mbam puis clique sur Enregistrer.
• Le rapport est disponible ici : C:\mbam.txt.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

-----------------------------------------------------------------------------


FRST – Scan :

• Si ton Windows est en 32 bits, télécharge FRST sur ton bureau (← Important !).
• Si ton Windows est en 64 bits, télécharge FRST64 sur ton bureau (← Important !).
• Le téléchargement se lance automatiquement, tu n'as donc pas besoin de cliquer sur un lien.
  
  Aide : comment savoir si Windows est en 32 ou 64 bits.

• Ferme toutes les applications en cours, y compris ton navigateur.
• Lance FRST.

Sous Windows Vista/Seven/8, clique droit sur FRST puis Exécuter en tant qu'administrateur

• Accepte les conditions d'utilisation, puis clique sur le bouton Scan :

• A la fin du scan, deux rapports s'ouvriront.
• Ceux-ci sont présents sur ton bureau sous le nom de FRST.txt et Addition.txt.
• Joins ces 2 rapports dans ta prochaine réponse en suivant ce tutoriel.

-----------------------------------------------------------------------------

Sont attendus les rapports de AdwCleaner, JRT, MBAM et FRST.

[Shisama]

Merci beaucoup pour le coup de main !

Voilà déjà les rapports de Adw, JRT et Malwarebytes. Par contre, impossible de dl FRST, le téléchargement se coupe en affichant "Failed - Network error". J'ai essayé de passer par le lien affiché au cas où le dl ne se lance pas automatiquement, mais ça ne marche pas non plus.

(Fun fact : les pubs s'affichent sur tout et n'importe quel sujet, mais sur ce forum la moitié d'entre elles concernent Minecraft )

[routman54]

Bonsoir ,
Je ne fais que passer , tu n'as pas mis les bons rapports dans tes liens , il n'y a rien la dessus qui puise nous aider , je parle surtout pour mon ami Gugues .
Merci de remettre les bons Logs .
Bonne continuation .

[Shisama]

Mes excuses, j'avais mis le mauvais fichier Adwcleaner. Par contre je n'ai rien d'autre pour JRT ou Malwarebytes. Il n'y a pas d'autre fichier texte dans le C:, et l'historique de Malwarebytes ne comporte qu'un seul log (celui présent dans le post précédent) et 4 fichiers en quarantaine. J'ai retenté de dl FRST, mais ça ne marche toujours pas.

[guugues]

Re ! (Hello routman ! )


C'est étonnant que tu n'aies pas le rapport de Malwarebytes ... Essaye cette procédure pour tenter d'extraire le rapport :

• Télécharge mbam2log sur ton bureau.
• Lance mbam2log.

Sous Windows Vista/Seven/8, clique droit sur mbam2log puis Exécuter en tant qu'administrateur

• Une boîte de dialogue va s'ouvrir, indiquant que le rapport est sur le bureau.
• Clique alors sur Non afin de ne pas ouvrir le rapport.
• Celui-ci est donc présent sur le bureau sous le nom de rapport_mbam.txt.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

Concernant le téléchargement de FRST, cela fonctionne parfaitement chez moi : réessaye et si vraiment cela ne passe pas, on utilisera un autre outil de diagnostic.

[Shisama]

Re !

Que des mauvaises nouvelles à annoncer ! mbam2log ne trouve pas de rapport, il m'affiche le msg :
"Il n'y a pas pour l'instant aucun rapport MBAM exploitable. Conclusion : vous n'avez jamais fait de scan avec Malwarebytes' Anti-Malware."
Pourtant je vois toujours en quarantaine les 4 fichiers qu'il a bien détecté hier, j'ai un peu l'impression qu'il se fiche de moi...

Pour FRST, ça ne marche décidément pas. J'ai tenté de dl la version 64 bits pour voir, aucun problème avec celle-là. Mais pour la version 32 bits, qu'il me faut, le dl plante à la dernière seconde.

[guugues]

Hello !

Pourtant je vois toujours en quarantaine les 4 fichiers qu'il a bien détecté hier, j'ai un peu l'impression qu'il se fiche de moi...

Dans ce cas, peux-tu me faire une capture d'écran de la quarantaine ?


On laisse tomber FRST, on va utiliser cet autre outil à la place :


Zoek – Analyse :

• Désactive temporairement ton antivirus : aide en images.
• Télécharge Zoek.exe sur ton bureau.
• Ferme toutes les applications en cours, puis lance Zoek.exe.

Sous Windows Vista/Seven/8, clique droit sur Zoek.exe puis Exécuter en tant qu'administrateur

• Copie le contenu du cadre ci-dessous en cliquant sur Tout sélectionner, clique-droit sur la zone sélectionnée puis choisis Copier :

Code: Tout sélectionner

standardsearch;
drivers-services-list;
installedprogs;
installer-list;
uninstall-list;
torpigcheck;
srinfo;
fakechrprofiles;
hostslook;
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost" /v netsvcs /se "─" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components" /s >> C:\zoek-results.log;b
C:\Windows\System32\drivers\afd.sys;i
C:\Windows\System32\drivers\atapi.sys;i
C:\Windows\System32\drivers\cdfs.sys;i
C:\Windows\System32\drivers\cdrom.sys;i   
C:\Windows\System32\drivers\dfsc.sys;i
C:\Windows\System32\drivers\hdaudbus.sys;i
C:\Windows\System32\drivers\i8042prt.sys;i
C:\Windows\System32\drivers\ipnat.sys;i
C:\Windows\System32\drivers\ipsec.sys;i
C:\Windows\System32\drivers\mrxsmb.sys;i
C:\Windows\System32\drivers\netbt.sys;i
C:\Windows\System32\drivers\ntfs.sys;i
C:\Windows\System32\drivers\parport.sys;i
C:\Windows\System32\drivers\rasl2tp.sys;i
C:\Windows\System32\drivers\rdpdr.sys;i
C:\Windows\System32\drivers\smb.sys;i
C:\Windows\System32\drivers\sptd.sys;i
C:\Windows\System32\drivers\tcpip.sys;i
C:\Windows\System32\drivers\tdx.sys;i
C:\Windows\System32\drivers\volsnap.sys;i
C:\Windows\System32\cmd.exe;i
C:\Windows\SysWOW64\cmd.exe;i
C:\Windows\explorer.exe;i
C:\Windows\SysWOW64\explorer.exe;i
C:\Windows\System32\services.exe;i
C:\Windows\SysWOW64\services.exe;i
C:\Windows\System32\svchost.exe;i
C:\Windows\SysWOW64\svchost.exe;i
C:\Windows\System32\userinit.exe;i
C:\Windows\SysWOW64\userinit.exe;i
C:\Windows\System32\wininit.exe;i
C:\Windows\SysWOW64\wininit.exe;i
C:\Windows\System32\winlogon.exe;i
C:\Windows\SysWOW64\winlogon.exe;i
C:\Windows\System32\kernel32.dll;i
C:\Windows\SysWOW64\kernel32.dll;i
C:\Windows\System32\rpcss.dll;i
C:\Windows\SysWOW64\rpcss.dll;i
C:\Windows\System32\user32.dll;i
C:\Windows\SysWOW64\user32.dll;i
%temp%\*.exe;vs
%SYSTEMDRIVE%\*.exe;v
%ALLUSERSPROFILE%\Application Data;v
%ALLUSERSPROFILE%\Application Data\*.exe;vs
%APPDATA%;v
%APPDATA%\*.exe;vs
C:\Windows\system32\consrv.dll;i
%SystemDrive%\$RECYCLE.BIN;vs
%SystemDrive%\RECYCLER;vs
%SystemRoot%\assembly\GAC;v
%SystemRoot%\assembly\GAC_32;v         
%SystemRoot%\assembly\GAC_64;v
reg query "HKEY_CURRENT_USER\Software\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32" >> C:\zoek-results.log;b
reg query "HKEY_CURRENT_USER\Software\Classes\Wow6432node\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32" >> C:\zoek-results.log;b
reg query "HKEY_CURRENT_USER\Software\Classes\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9}\InProcServer32" >> C:\zoek-results.log;b
reg query "HKEY_CURRENT_USER\Software\Classes\Wow6432node\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9}\InProcServer32" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\Software\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\Software\Classes\clsid\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InProcServer32" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\clsid\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InProcServer32" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\Software\Classes\clsid\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InProcServer32" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\clsid\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InProcServer32" >> C:\zoek-results.log;b
%WINDIR%\pss;v
%LOCALAPPDATA%;v
%LOCALAPPDATA%\Google\Desktop;vs
C:\Program Files\Google\Desktop;vs
C:\Program Files (x86)\Google\Desktop;vs
reg query "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" >> C:\zoek-results.log;b
reg query "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce" >> C:\zoek-results.log;b
%systemroot%\System32\config\*.sav;v
reg query "HKEY_LOCAL_MACHINE\SOFTWARE" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node" >> C:\zoek-results.log;b
reg query "HKEY_CURRENT_USER\SOFTWARE" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet" /s >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Clients\StartMenuInternet" /s >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl" /s /f "svchost.exe" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\Software\Wow6432Node\Microsoft\Internet Explorer\MAIN\FeatureControl" /s /f "svchost.exe" >> C:\zoek-results.log;b
reg query "HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\Main\FeatureControl" /s /f "svchost.exe" >> C:\zoek-results.log;b
reg query "HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\Main\FeatureControl" /s /f "svchost.exe" >> C:\zoek-results.log;b
reg query "HKEY_USERS\S-1-5-19\Software\Microsoft\Internet Explorer\Main\FeatureControl" /s /f "svchost.exe" >> C:\zoek-results.log;b
reg query "HKEY_USERS\S-1-5-20\Software\Microsoft\Internet Explorer\Main\FeatureControl" /s /f "svchost.exe" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center" /s >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Unknown\shell\openas\command" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\DomainProfile" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\StandardProfile" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\PublicProfile" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules" /f "{*}" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules" /f "TCP Query User" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\SharedAccess\Parameters\FirewallPolicy\FirewallRules" /f "UDP Query User" >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" /v DhcpNameServer >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" /v NameServer >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces" /s /v DhcpNameServer >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces" /s /v NameServer >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify" /s /v DLLName >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify" /s /v DLLName >> C:\zoek-results.log;b
reg query "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell >> C:\zoek-results.log;b
reg query "HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" /s /v Debugger >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" /s /v Debugger >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" /s /v BreakOnDllLoad >> C:\zoek-results.log;b
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options" /s /v BreakOnDllLoad >> C:\zoek-results.log;b
reg query "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2" /s /f "command" > %LOCALAPPDATA%\Temp\mount.txt;b
for /f %%i in (%LOCALAPPDATA%\Temp\mount.txt) do reg query %%i >> C:\zoek-results.log;b
nslookup www.google.fr >> C:\zoek-results.log;b
dir /AL /S C:\ >> C:\zoek-results.log;b

• Colle ensuite les lignes précédemment copiées dans la fenêtre de Zoek :

• Puis clique sur le bouton Run Script. Patiente jusqu'à ce que le logiciel se ferme tout seul.
• A la fin du scan, un rapport s'ouvrira : zoek-result.log.
• Celui-ci est disponible ici : C:\zoek-result.log.
• Joins ce rapport dans ta prochaine réponse en suivant ce tutoriel.

-------------------------------------------

Est attendu le rapport de Zoek.

[Shisama]

En désactivant Avast j'ai pu finalement dl FRST. Est-ce que je fais les 2 scans, ou un seul ?

Comment puis-je joindre une capture d'écran en format .txt ou .log ?

[guugues]

Dans ce cas, applique uniquement la procédure avec FRST

Pour la capture d'écran, héberge-la sur cjoint.com (inutile de changer le format).

[Shisama]

Ok, voilà le lien cjoint avec la capture d'écran : cjoint.com/?3Bio1F66djE
Et également les rapports de FRST.

Encore un grand merci de prendre le temps de m'aider !

[guugues]

Re !

Est-ce toi qui a choisi d'utiliser la version Dev de Google Chrome ? Je te poste la question, car certains adwares ont la faculté de basculer Google Chrome vers cette version expérimentale.

[Shisama]

Ah non, ça ne vient pas de moi ça... Si il faut que je désinstalle/réinstalle google chrome, je suppose que je perds tous mes marques-pages ? Il y a un moyen de les sauvegarder, ou il faut la bonne méthode à l'ancienne (tout recopier à la main) ?

Je viens de voir que dans mes extensions de Chrome j'ai "The Adblocker" d'installé. Je suppose que ça fait parti du adaware/malaware qui m'ensevelit de pubs "Ad by the Adblocker" ?

[guugues]

Je viens de voir que dans mes extensions de Chrome j'ai "The Adblocker" d'installé. Je suppose que ça fait parti du adaware/malaware qui m'ensevelit de pubs "Ad by the Adblocker" ?

En effet !
Donc il va effectivement falloir désinstaller puis réinstaller Google Chrome.


--------------------------------------------------------


Au préalable, tu vas sauvegarder tous tes marque-pages en suivant ce tutoriel.


Désinstalle ensuite le logiciel suivant via : Démarrer → Panneau de configuration → Programmes → Programmes et fonctionnalités :

• Google Chrome

Puis télécharge et installe la dernière version de Google Chrome depuis ce lien officiel. Une fois Google Chrome installé, tu importeras tes marque-pages préalablement exportés :

• Suis de nouveau les étapes du tutoriel évoqué précédemment.
• Tu choisiras l'option Importer les favoris depuis un fichier HTML pour sélectionner l'export précédemment créé.
• Les marque-pages seront alors remis en place.

--------------------------------------------------------


Une fois ceci fait, tu referas une analyse FRST de cette manière :


FRST – Réanalyse :

• Ferme toutes les applications en cours, y compris ton navigateur.
• Relance FRST.

Sous Windows Vista/Seven/8, clique droit sur FRST puis Exécuter en tant qu'administrateur

• Une mise à jour du logiciel peut être faite.
• Accepte les conditions d'utilisation.
• Coche la case Addition.txt, puis clique sur le bouton Scan :

• A la fin du scan, deux rapports s'ouvriront.
• Ceux-ci sont présents sur ton bureau sous le nom de FRST.txt et Addition.txt.
• Joins ces 2 rapports dans ta prochaine réponse en suivant ce tutoriel.

--------------------------------------------------------

Sont donc attendus les 2 rapports de FRST.

[Shisama]

Voilà les 2 rapports FRST.

A première vue, plus d'invasion de pubs sur mes pages internet et plus d'extension "The Adblocker" dans le nouveau Chrome. (Et je n'ai pas eu besoin de réimporter mes bookmarks, ils sont réapparus tout seul. Grâce à la synchronisation des données avec mon adresse gmail ?).