[RESOLU] un avis sur résultats mbam, adwcleaner et ZHPDiag serait bienvenu

[mwonex]

Bonjour,

Je précise qu'il s'agit du pc d'une personne de ma famille, et non du mien qui vient d'être bien nettoyé grâce à Nardino:

Ayant vu une page de démarrage anormale, j'ai fait passer Mbam avec paramètres "pup" pré cochés dont voici le rapport:

Malwarebytes Anti-Malware 1.75.0.1300
http://www.malwarebytes.org

Version de la base de données: v2013.10.10.03

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 10.0.9200.16721
françoise :: FRAN-PC [administrateur]

10/10/2013 12:44:25
mbam-log-2013-10-10 (12-44-25).txt

Type d'examen: Examen rapide
Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
Options d'examen désactivées: P2P
Elément(s) analysé(s): 237399
Temps écoulé: 6 minute(s), 51 seconde(s)

Processus mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Module(s) mémoire détecté(s): 0
(Aucun élément nuisible détecté)

Clé(s) du Registre détectée(s): 3
HKCR\AppID\{835315FC-1BF6-4CA9-80CD-F6C158D40692} (PUP.Optional.PriceGong.A) -> Mis en quarantaine et supprimé avec succès.
HKCR\CLSID\{D2A2595C-4FE4-4315-AA9B-19DBD6271B71} (PUP.Optional.PriceGong.A) -> Mis en quarantaine et supprimé avec succès.
HKCR\TypeLib\{8B3372D0-09F0-41A5-8D9B-134E148672FB} (PUP.Optional.PriceGong.A) -> Mis en quarantaine et supprimé avec succès.

Valeur(s) du Registre détectée(s): 0
(Aucun élément nuisible détecté)

Elément(s) de données du Registre détecté(s): 0
(Aucun élément nuisible détecté)

Dossier(s) détecté(s): 0
(Aucun élément nuisible détecté)

Fichier(s) détecté(s): 10
C:\Users\françoise\AppData\Local\Temp\EmptySetup.exe.7z (PUP.Optional.SweetPacks.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\françoise\AppData\Local\Temp\mgsqlite3.7z (PUP.Optional.SweetIM) -> Mis en quarantaine et supprimé avec succès.
C:\Users\françoise\AppData\Local\Temp\mgsqlite3.dll (PUP.Optional.SweetIM) -> Mis en quarantaine et supprimé avec succès.
C:\Users\françoise\AppData\Local\Temp\SweetIESetup.exe.7z (PUP.Optional.SweetPacks.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\françoise\AppData\Local\Temp\WSSetup.exe (PUP.Optional.Perion.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\françoise\Local Settings\Temporary Internet Files\Content.IE5\422PK6JA\EmptySetup[1].7z (PUP.Optional.SweetPacks.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\françoise\Local Settings\Temporary Internet Files\Content.IE5\C9WUDXCO\mgsqlite3[1].7z (PUP.Optional.SweetIM) -> Mis en quarantaine et supprimé avec succès.
C:\Users\françoise\Local Settings\Temporary Internet Files\Content.IE5\C9WUDXCO\PriceGong[1].exe (PUP.Optional.PriceGong.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\françoise\Local Settings\Temporary Internet Files\Content.IE5\C9WUDXCO\wssetup[1].exe (PUP.Optional.Perion.A) -> Mis en quarantaine et supprimé avec succès.
C:\Users\françoise\Local Settings\Temporary Internet Files\Content.IE5\XBPFJJO0\sweetiesetup[1].7z (PUP.Optional.SweetPacks.A) -> Mis en quarantaine et supprimé avec succès.

(fin)

Puis j'ai fait passe adwcleaner, rapport ci-desous:

# AdwCleaner v3.007 - Rapport créé le 10/10/2013 à 13:22:14
# Mis à jour le 09/10/2013 par Xplode
# Système d'exploitation : Windows 7 Home Premium Service Pack 1 (64 bits)
# Nom d'utilisateur : françoise - françoise-PC
# Exécuté depuis : C:\Users\françoise\Downloads\adwcleaner.exe
# Option : Nettoyer

***** [ Services ] *****


***** [ Fichiers / Dossiers ] *****

Dossier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\myfree codec
Dossier Supprimé : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PriceGong
Dossier Supprimé : C:\Program Files (x86)\myfree codec
Dossier Supprimé : C:\Program Files (x86)\PriceGong
Dossier Supprimé : C:\Program Files (x86)\sweetpacks bundle uninstaller
Dossier Supprimé : C:\Windows\SysWOW64\ARFC
Dossier Supprimé : C:\Windows\SysWOW64\jmdp
Dossier Supprimé : C:\Windows\SysWOW64\WNLT
Dossier Supprimé : C:\Users\françoise\AppData\Local\eSupport.com
Dossier Supprimé : C:\Users\françoise\AppData\LocalLow\PriceGong
Dossier Supprimé : C:\Users\françoise\AppData\Roaming\Mozilla\Firefox\Profiles\6mcaup0p.default\Extensions\{8A9386B4-E958-4C4C-ADF4-8F26DB3E4829}
Fichier Supprimé : C:\Windows\System32\dmwu.exe
Fichier Supprimé : C:\Windows\System32\ImhxxpComm.dll
Fichier Supprimé : C:\Users\françoise\AppData\Roaming\Mozilla\Firefox\Profiles\6mcaup0p.default\searchplugins\SweetIM Search.xml
Fichier Supprimé : C:\Users\françoise\AppData\Roaming\Mozilla\Firefox\Profiles\6mcaup0p.default\user.js

***** [ Raccourcis ] *****


***** [ Registre ] *****

Clé Supprimée : HKLM\SOFTWARE\Classes\PriceFactorIE.PriceGongBHO
Clé Supprimée : HKLM\SOFTWARE\Classes\PriceFactorIE.PriceGongBHO.1
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{1631550F-191D-4826-B069-D9439253D926}
Clé Supprimée : HKLM\SOFTWARE\Classes\CLSID\{2CE4D4CF-B278-4126-AD1E-B622DA2E8339}
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{2CE4D4CF-B278-4126-AD1E-B622DA2E8339}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1631550F-191D-4826-B069-D9439253D926}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{1631550F-191D-4826-B069-D9439253D926}
Clé Supprimée : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{1631550F-191D-4826-B069-D9439253D926}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{EEE6C360-6118-11DC-9C72-001320C79847}
Clé Supprimée : [x64] HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}
Clé Supprimée : HKCU\Software\IM
Clé Supprimée : HKCU\Software\ImInstaller
Clé Supprimée : HKCU\Software\AppDataLow\Software\PriceGong
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\PriceGong
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\wnlt
Clé Supprimée : [x64] HKLM\SOFTWARE\wnlt

***** [ Navigateurs ] *****

-\\ Internet Explorer v10.0.9200.16720

Paramètre Restauré : HKLM\SOFTWARE\Microsoft\Internet Explorer\Main [Start Page]

-\\ Mozilla Firefox v24.0 (fr)

[ Fichier : C:\Users\françoise\AppData\Roaming\Mozilla\Firefox\Profiles\6mcaup0p.default\prefs.js ]


-\\ Google Chrome v30.0.1599.69

[ Fichier : C:\Users\françoise\AppData\Local\Google\Chrome\User Data\Default\preferences ]


*************************

AdwCleaner[R0].txt - [1381 octets] - [21/08/2013 15:33:21]
AdwCleaner[R1].txt - [1456 octets] - [30/09/2013 16:03:11]
AdwCleaner[R2].txt - [4479 octets] - [07/10/2013 13:49:43]
AdwCleaner[R3].txt - [4679 octets] - [10/10/2013 13:11:27]
AdwCleaner[S0].txt - [1453 octets] - [21/08/2013 15:37:18]
AdwCleaner[S1].txt - [1522 octets] - [30/09/2013 16:06:37]
AdwCleaner[S2].txt - [4069 octets] - [07/10/2013 13:51:20]
AdwCleaner[S3].txt - [4064 octets] - [10/10/2013 13:22:14]

########## EOF - C:\AdwCleaner\AdwCleaner[S3].txt - [4124 octets] ##########

Pensez-vous nécessaire de passer en section désinfection, compte tenu que le PC n'a pas de "symptômes" autres?
avec mes remerciements

[chantal11]

Bonjour,

Si tu veux qu'on vérifie en générant un rapport de diagnostic, c'est avec plaisir ..... il y a souvent des résidus à nettoyer.

Un conseil avant de lancer le nettoyage avec AdwCleaner, c'est tout d'abord de désinstaller les programmes par le Panneau de configuration.
Donc ton cas, tu aurais du tout d'abord désinstaller :
myfree codec
PriceGong
sweetpacks bundle uninstaller
avant de lancer l'option Nettoyage.
Le nettoyage est ainsi optimal.

@+

[mwonex]

Re bonjour et merci de ta proposition et du conseil,

Ce qu'il y a c'est que, comme je ne surveille pas ce pc, je n'avais pas ces infos, seulement une barre de remplacement de Google appelée: SweetIM Search avec un carré rouge et vert en pointillés comme logo ex:

Parce que ma moitié n'installe rien volontairement, et surtout pas ça:
myfree codec
PriceGong
sweetpacks bundle uninstaller
Complètements inconnus au bataillon!

En revanche elle reçoit plein de réclames par mail sur thunderbird type ventes privées etc, je ne vois pas comment ça se fait, sauf si elle a une vie secrête . Elle n'est pas très PC Ws7, elle se sert surtout de son android tablette, ça ne laisse pas de temps pour pourrir le Windows!

Merci de ta proposition que j'accepte avec plaisir.
Je repasse sur son PC, veux tu que j'aille sur désinfection en copiant les rapports, ou je reste là? Pour lemoment je ne bouge pas.

Il restait "MyFreeCodec" que je viens de désinstaller
Je poste le rapport ZHPDiag sur ci-joint j'avais oublié la procédure!!

http://cjoint.com/?0Jkr6h3i3sU

Pas encore très bon selon la capture du scan additionnel:

Capture-scan additionnel ZHPDiag du 10-10-2013.PNG (40.83 Kio) Vu 1992 fois

Vue du registre, est-ce ça?

Capture-bubble hit ddans registre.PNG (27.41 Kio) Vu 1983 fois

Cordialement

[chantal11]

Re,

J'aurais préféré que tu me laisses le choix de l'outil pour le diagnostic, mais bon, puisque tu as posté déjà un ZHPDiag, on va faire avec !

---------------------------------------------------------------------------------------------

ZHPFix :

• Copie toutes les lignes de ce correctif hébergé ci-dessous (Sélectionner -> Clic-droit -> Copier)
  http://textup.fr/72464jk
• Ferme toutes les applications ouvertes
• Double-clique sur ZHPFix raccourci sur ton Bureau
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Clique sur le bouton Coller
  Les lignes copiées apparaissent directement dans le cadre blanc (si ce n'est pas le cas clic-droit -> Coller)
• Clique sur le bouton GO
• Valide par Oui la désinstallation des programmes si demandé, mais refuse le redémarrage du PC, si proposé à ce moment là (cela stopperait l'action du fix)
• Laisse l'outil travailler. Si un redémarrage est demandé, cette fois-ci tu valides et tu redémarres le PC
• Le rapport s'affiche. Copie-colle le contenu du rapport ZHPFixReport.txt, enregistré sur ton Bureau, dans ta prochaine réponse.

---------------------------------------------------------------------------------------------

Est attendu le rapport ZHPFix

@+

[mwonex]

Désolé,

Je pensais faire avancer les choses, sinon je peux faire autre chose si tu préfères, c'était sans préjuger de rien.

Il n'y a aucune obligation pour toi surtout si un autre outil te semble préférable, simplement comme on me l'avait demandé lors d'une précédente désinfection..., j'avais pu tester le déroulement c'est tout, il n' y avait là rien d'obligé.

Je t’envoie ça, mais si tu préfère autrement je change, trop heureux de ton aide.

Cordialement

[mwonex]

Si je colle dans la fenêtre importer "sysrestore", il est dit qu'on attend un script ZHPFix..
est-ce que je vais dans sysrestore?

j'ai ça en allant dessus, mais je ne peux pas entrer le script:

Rapport de ZHPFix 2013.10.9.5 par Nicolas Coolman, Update du 09/10/2013
Fichier d'export Registre :
Run by francine at 10/10/2013 20:10:21
High Elevated Privileges : OK
Windows 7 Home Premium Edition, 64-bit Service Pack 1 (Build 7601)

Corbeille vidée (Annulé par l'utilisateur)

========== Restauration Système ==========
Point de restauration du système créé avec succès


========== Récapitulatif ==========
1 : Restauration Système


End of clean in 00mn 44s

========== Chemin de fichier rapport ==========
C:\Users\francine\AppData\Roaming\ZHP\ZHPFix[R1].txt - 10/10/2013 20:10:39 [533]

désolé, mais je n'ai pas la solution, le script ne correspond pas, sans doute avais tu autre chose à proposer.

ton lien: http://textup.fr/72464jk ? ne corresponde pas

[chantal11]

Re,

Non, c'est bon, tu appliques le correctif ZHPFix, il n'y a pas de souci.

C'est juste que l'on a nos petites habitudes de désinfection, mais au final, l'important, c'est que ce soit désinfecté

[mwonex]

D'accord, je ne comprends rien là de suite.
L'important c'est que ça fonctionne, mais je n'ai rien rentré qui soit accepté, sauf cliqué sur sysrestore.

Je ne comprends pas comment le fichier que tu as donné a pu être pris en compte?
merci de ton aide..
------------------------------
Ca n'a pas du fonctionner, après avoir vu un refus de prendre le fichier restore comme script de ZHPDiag, j'ai cliqué sur system restore, ce qui n'a fait que créer un point de restauration?

j'ai repassé ZHPDiag, le résultat montre que je n'ai rien désinfecté, j'ai du me tromper quelque part:
http://cjoint.com/?0JkuEgtbycW

Capture-points de restaurations dus à ZHDfix.PNG (36.44 Kio) Vu 1974 fois

désolé
Y a t il un inconvénient à supprimer ces 3 lignes dans le registre, la tentation est grande:

[HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\464AA55239C100F32AF2D438EDDC0F47] =>Adware.IMBooster
[HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\5652BA3D5FB98AE31B337BF0AF939856] =>Adware.IMBooster
[HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\86EB95E1AFCBABE3DB9ECCC669B99494] =>Adware.IMBooster

avec sauvegarde avant bien sur, car il y a bien une partie des adwares désinfectée, mais pas ce IMBooster?

cordialement

[chantal11]

Re,

Oui, excuse, l'outil a été modifié et, du coup, je ne t'ai pas indiqué la bonne procédure.

On recommence.

---------------------------------------------------------------------------------------------

ZHPFix :

• Copie toutes les lignes de ce correctif hébergé ci-dessous (Sélectionner -> Clic-droit -> Copier)
  http://textup.fr/72477V0
• Ferme toutes les applications ouvertes
• Double-clique sur ZHPFix raccourci sur ton Bureau
  /!\ Sous Vista, Windows 7 et 8, il faut lancer le fichier par clic-droit -> Exécuter en tant qu'administrateur
• Clique sur Importer
• Les lignes copiées apparaissent directement dans le cadre blanc (si ce n'est pas le cas clic-droit -> Coller)
• Clique sur le bouton GO
• Valide par Oui pour confirmer le nettoyage
• Poste le rapport ZHPFixReport.txt, enregistré sur ton Bureau, dans ta prochaine réponse.

---------------------------------------------------------------------------------------------

[mwonex]

Suite à suppression manuelle de 3 clés de registre d'IMBooster, résultat dans ZHDIag encore mitigé
http://cjoint.com/?0Jkvq34aQqE

le résultat est-il acceptable? et peut-on enlever ce " MSI: 1 link(s) detected " manuellement?
que puis je faire d'autre?, je n'ai aucune envie de faire une remise à niveau...
Ce qui reste est-il dangereux, et dois je enlever les outils de désinfection?

Autant de questions qui semblent simples pour les helpeurs, mais pas pour moi.

Ce PC n'est pas a moi, et j'aimerais vraiment le rendre à sa propriétaire
Remerciements