Types d'infection : Rogues

Problème(s) rencontré(s) par l'internaute : Fausses alertes de sécurité dans l'espoir de vous faire télécharger un faux antivirus qui n'est rien d'autre qu'une arnaque. En scannant votre machine, il vous fera croire que tous vos programmes sont infectés.

Identification du nuisible

Par les fichiers

http://www.threatexpert.com/files/av.exe.html
http://www.greatis.com/appdata/d/a/av.exe.htm

AV.EXE peut également se présenter sous les noms suivants:

• MSIEINST[1].EXE MSIEINST [1]. EXE
• MSASCUI.EXE MSASCui.exe
• BPXA.EXE BPXA.EXE
• UNKL.EXE UNKL.EXE
• UBGA.EXE UBGA.EXE
• VSOX.EXE VSOX.EXE
• BIFE.EXE BIFE.EXE
• NBSS.EXE NBSS.EXE
• DLJG.EXE DLJG.EXE
• VAXN.EXE VAXN.EXE
• E.EXE E. EXE
• 28700CC8.EXE 28700CC8.EXE

Sur Hijackthis

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Hp\QuickPlay\QPService.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Freecorder\FLVSrvc.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\Windows\ehome\ehmsas.exe
C:\Program Files\OpenOffice.org 3\program\soffice.exe
C:\Program Files\OpenOffice.org 3\program\soffice.bin
C:\Windows\system32\wbem\unsecapp.exe
C:\Windows\system32\wuauclt.exe
C:\Program Files\VideoLAN\VLC\vlc.exe
C:\Users\xxxxxxxxxxxAppData\Local\av.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Users\xxxxxxx\Downloads\HiJackThis.exe

Suppression

Préliminaires

• Important 1 : si vous avez Vista ou 7, vous devez désactiver l'UAC le temps de la désinfection.
• Important 2 : si vous avez TeaTimer (le résident de Spybot), désactivez-le sinon il risque de gêner la désinfection.
  • Démarrez Spybot, cliquez sur Mode, cochez Mode avancé.
  • A gauche, cliquez sur Outils, puis sur Résident.
  • Décochez la case devant Résident "TeaTimer" puis quittez Spybot :

AD-R (Ad-Remover)

Un programme permet de supprimer totalement cette infection et proprement : AD-R(de C_XX).


Cet outil, créé par C_XX, permet de supprimer différents adwares et spywares.

Aide en images : Tutoriel : (momentanément indisponible car est en cours d'élaboration).

• Téléchargez Ad-Remover (de C_XX) sur le bureau.
• /!\ Déconnectez-vous et fermez toutes les applications en cours /!\
• Double cliquez sur le programme pour le lancer
• Au menu principal choisissez l'option "Scanner"

• /!\ Laissez travailler l'outil /!\
• Un rapport apparaitra à la fin, postez le sur le forum en expliquant vos problèmes afin qu'un membre qualifié l'interprète et vous donne les directives à suivre.

(Le rapport est aussi sauvegardé sous C:\Ad-Report-SCAN.log)

Le mieux est de se faire épauler par un helper sur le forum Virus / Sécurité pour cette manipulation en expliquant bien le problème et en envoyant le rapport. Il vous dira si oui ou non, vous pouvez passer à l'option "Nettoyer".
Il est totalement inutile d'envoyer le rapport en commentaire de cette astuce, celui-ci sera supprimé !

Comme son nom l'indique, la fonction "Scanner" ne supprime rien.

Ad-Remover s'occupe aussi d'autres adwares comme Dealio, Search Settings, AskBar, SweetIM, Navipromo, etc.

MalwareBytes' Anti-Malware

• Téléchargez MalwareBytes' Anti-Malware (by RubbeR DuckY) sur votre Bureau.

• Installez le logiciel.
• S'il manque le fichier COMCTL32.OCX, vous pourrez le télécharger ici
• Faites les mises à jour (Cliquer sur Mises à jour puis Recherche de mises à jour).
• Lancez MalwareBytes' Anti-Malware, cliquez sur "Exécuter un examen complet" puis "Rechercher", sélectionnez tous vos disques durs et cliquez sur "Lancer l'examen".
• Une fois le scan terminé, cliquez sur "résultats" puis cliquez sur "Supprimer la sélection" (Si un message demande à redémarrer le PC, acceptez !)

Si malgré tout, le problème persiste, postez un message dans le forum virus/sécurité en expliquant brièvement les problèmes rencontrés. Ce document intitulé « Supprimer "av.exe" / Trojan.Fakeavalert » issu de CommentCaMarche (www.commentcamarche.net) est mis à disposition sous les termes de la licence Creative Commons. Vous pouvez copier, modifier des copies de cette page, dans les conditions fixées par la licence, tant que cette note apparaît clairement.