Sujet Précédent Sujet Suivant

Virus prétextant des activités illégales

Fermé
hubhub - 6 déc. 2011 à 20:55
 hubhub - 10 déc. 2011 à 17:33
Bonjour,

Je viens d'être infecté par un virus qui m'interdit l'accès complet à mon ordinateur en m'affichant une fenêtre d'avertissement avec logos d'antivirus (McAfee, Symantec, ...) me disant que mon système est vérouillé pour activités illégales et me demandant de l'argent.

J'ai suivi les conseils d'un expert en réponse à un post traitant du même sujet, et voici le rapport de RogueKiller:

Systeme d'exploitation: Windows Vista (6.0.6001 Service Pack 1) 32 bits version
Demarrage : Mode sans echec avec prise en charge reseau
Utilisateur: Iona [Droits d'admin]
Mode: Suppression -- Date : 06/12/2011 20:47:23

¤¤¤ Processus malicieux: 0 ¤¤¤

¤¤¤ Entrees de registre: 3 ¤¤¤
[SUSP PATH] HKCU\[...]\Run : avupdate (C:\Users\Iona\AppData\Roaming\mahmud.exe) -> DELETED
[HJ] HKLM\[...]\NewStartPanel : {59031a47-3f72-44a7-89c5-5595fe6b30ee} (1) -> REPLACED (0)
[HJ] HKLM\[...]\NewStartPanel : {20D04FE0-3AEA-1069-A2D8-08002B30309D} (1) -> REPLACED (0)

¤¤¤ Fichiers / Dossiers particuliers: ¤¤¤

¤¤¤ Driver: [NOT LOADED] ¤¤¤

¤¤¤ Infection : ¤¤¤

¤¤¤ Fichier HOSTS: ¤¤¤
127.0.0.1 localhost
::1 localhost


Termine : << RKreport[1].txt >>
RKreport[1].txt


Merci d'avance à ceux qui peuvent me venir en aide.

Hubert

7 réponses

Réponse 1 / 7
anthony5151 Messages postés 10573 Date d'inscription vendredi 27 juin 2008 Statut Contributeur sécurité Dernière intervention 2 mars 2015 790
6 déc. 2011 à 21:04
Bonjour,


RogueKiller a dû désactiver l'infection, on va pouvoir continuer la désinfection tranquillement. D'abord, utilise ce logiciel de désinfection généraliste :

¶ Télécharge et installe Malwarebytes' Anti-Malware
¶ A la fin de l'installation, veille à ce que l'option « mettre a jour Malwarebyte's Anti-Malware » soit cochée
¶ Lance MBAM et laisse les Mises à jour se télécharger (sinon fais les manuellement au lancement du programme)
¶ Puis va dans l'onglet "Recherche", coche "Exécuter un examen rapide" puis "Rechercher"
¶ A la fin de l'analyse, clique sur Afficher les résultats
¶ Coche tous les éléments détectés puis clique sur Supprimer la sélection
¶ Enregistre le rapport
¶ S'il t'est demandé de redémarrer l'ordinateur, clique sur Yes
¶ Poste dans ta prochaine réponse le rapport apparaissant après la suppression


Ensuite, utilise ce logiciel de diagnostic :

¶ Télécharge ZHPDiag (de Nicolas Coolman)
¶ Lance le (si tu es sous Windows Vista ou Windows 7, fais le par un clic-droit --> Exécuter en temps qu'administrateur)
¶ Laisse toi guider lors de l'installation (pense à cocher la case pour créer un raccourci sur le Bureau)
¶ Il se lancera automatiquement à la fin de l'installation
¶ Clique sur l'icône représentant une loupe (« Lancer le diagnostic »)
¶ Enregistre le rapport sur ton Bureau à l'aide de l'icône représentant une disquette
¶ Rends toi sur ce site, clique sur "Parcourir", sélectionne le rapport de ZHPDiag et clique sur Envoyer le fichier. Patiente pendant l'envoi du fichier, puis copie/colle le lien fourni dans ta prochaine réponse sur le forum.

1
Réponse 2 / 7
hubhub
6 déc. 2011 à 21:36
Bonsoir anthony5151,

Tout d'abord merci pour le temps que tu m'accordes.

Voici les rapports suite aux manipulations prescrites:

Malwarebytes:
Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 8323

Windows 6.0.6001 Service Pack 1
Internet Explorer 8.0.6001.19088

06/12/2011 21:18:48
mbam-log-2011-12-06 (21-18-48).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 160466
Temps écoulé: 3 minute(s), 41 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 1

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
c:\Users\Iona\AppData\Roaming\mahmud.exe (Trojan.Zbot.CBCGen) -> Quarantined and deleted successfully.


Et voici le lien vers le rapport ZHPDiag:
http://pjjoint.malekal.com/files.php?id=ZHPDiag_20111206_i9v6o14e13u12

A+

hubhub
0
Réponse 3 / 7
anthony5151 Messages postés 10573 Date d'inscription vendredi 27 juin 2008 Statut Contributeur sécurité Dernière intervention 2 mars 2015 790
6 déc. 2011 à 21:51
Les barres d'outils sont inutiles, elles ralentissent le navigateur et peuvent le rendre instable : je te conseille de les désinstaller. Pour ça, ouvre le menu démarrer --> panneau de configuration --> programmes et fonctionnalités --> Sélectionne les programmes suivants et désinstalle les :
Ask Toolbar
Facemoods Toolbar
McAfee Security Scan Plus (inutile)
Viewpoint Media Player


Ensuite, utilise cet outil de désinfection spécifique aux logiciels publicitaires :

¶ Télécharge AdwCleaner (de Xplode) sur ton Bureau.
¶ Lance le, clique sur Suppression puis patiente le temps du scan.
¶ Une fois la suppression terminée, un message de prévention va s'afficher, je te conseille de le lire attentivement (n'hésite pas à me poser des questions si tu n'as pas compris certaines choses dans ce message).
¶ Ensuite, le rapport s'ouvrira : poste le dans ta prochaine réponse.


Enfin, fais redémarrer ton ordinateur et poste un nouveau rapport ZHPDiag (pense à l'héberger sur pjjoint, comme le précédent).

0
Réponse 4 / 7
hubhub
6 déc. 2011 à 22:11
Voilà le rapport:

http://pjjoint.malekal.com/files.php?id=20111206_e5z5b13n12o11

Tout s'est bien déroulé.

Et dire que la barre Ask a été installée par Avira Antivir...
0
jacques.gache Messages postés 33453 Date d'inscription mardi 13 novembre 2007 Statut Contributeur sécurité Dernière intervention 25 janvier 2016 1 616
6 déc. 2011 à 22:16
Et dire que la barre Ask a été installée par Avira Antivir...

bonjour , oui j'en avais fais la remarque il y a quelque temps , mais bon il faut bien que les personnes vivent , donc attention même avec des outils comme antivir ils nous collent des saloperies avec , perso depuis j'ai repris avast 6 !!!
0

Vous n’avez pas trouvé la réponse que vous recherchez ?

Posez votre question
Réponse 5 / 7
anthony5151 Messages postés 10573 Date d'inscription vendredi 27 juin 2008 Statut Contributeur sécurité Dernière intervention 2 mars 2015 790
7 déc. 2011 à 19:14
"la barre Ask a été installée par Avira Antivir"
==> Elle a été proposée par AntiVir, c'est un peu différent (tu as le choix) ;)
Par contre, tu as oublié de poster le nouveau rapport ZHPDiag.

0
Réponse 6 / 7
hubhub
7 déc. 2011 à 19:47
Bonjour anthony5151,

Voilà le nouveau lien:
http://pjjoint.malekal.com/files.php?id=ZHPDiag_20111207_b11k10x15b7u7

Je m'étais trompé de fichier hier.

A+
0
Réponse 7 / 7
anthony5151 Messages postés 10573 Date d'inscription vendredi 27 juin 2008 Statut Contributeur sécurité Dernière intervention 2 mars 2015 790
7 déc. 2011 à 22:45
Ce script va cibler certains éléments à supprimer :

¶ Ouvre ce lien, sélectionne le script en entier et copie le (Edition --> Copier)
¶ Fais un clic-droit sur le raccourci de ZHPFix et choisis "Exécuter en temps qu'administrateur"
¶ Clique sur l'icone représentant la lettre H (« coller les lignes Helper »)
¶ Les lignes se collent automatiquement dans ZHPFix, sinon colle les lignes
¶ Clique sur le bouton « GO » pour lancer le nettoyage,
¶ Copie/colle la totalité du rapport dans ta prochaine réponse


Puis fais redémarrer ton ordinateur et poste un nouveau rapport ZHPDiag (pense à l'héberger sur pjjoint, comme le précédent).

0
hubhub
10 déc. 2011 à 17:33
Bonjour anthony5151,

désolé je n'ai pas pu me connecter avant;

voici le rapport ZHPFix:
Rapport de ZHPFix 1.12.3374 par Nicolas Coolman, Update du 05/12/2011
Fichier d'export Registre :
Run by Iona at 10/12/2011 17:20:05
Windows Vista Home Premium Edition, 32-bit Service Pack 1 (Build 6001)
Web site : http://www.premiumorange.com/zeb-help-process/zhpfix.html

========== Processus mémoire ==========
SUPPRIME Memory Process: C:\Users\Iona\Desktop\BundleSweetIMSetup.exe

========== Clé(s) du Registre ==========
SUPPRIME Key: SearchScopes :{230C22EE-865B-4F83-92C2-08CF69DA6578}
SUPPRIME Key: SearchScopes :{B3D1C463-0C12-4F24-BCB2-7943255E8DC0}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{761f6a83-f007-49e4-8eac-cdb6808ef06f}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{76c45b18-a29e-43ea-aaf8-af55c2e1ae17}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{96ef404c-24c7-43d0-9096-4ccc8bb7ccac}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{97720195-206a-42ae-8e65-260b9ba5589f}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{97d69524-bb57-4185-9c7f-5f05593b771a}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{986f7a5a-9676-47e1-8642-f41f8c3fcf82}
SUPPRIME Key: HKLM\Software\Classes\CLSID\{b18788a4-92bd-440e-a4d1-380c36531119}

========== Valeur(s) du Registre ==========
SUPPRIME [HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]:{D4027C7F-154A-4066-A1AD-4243D8127440}
ABSENT Valeur Standard Profile: FirewallRaz :
ABSENT Valeur Domain Profile: FirewallRaz :
SUPPRIME FirewallRaz (Public) : {DDB3AFBA-683B-48E5-9279-1AC0446DD791}
SUPPRIME FirewallRaz (Public) : {CC398118-E6A4-48B3-B616-44216E233DFA}
SUPPRIME FirewallRaz (Public) : {6005BD4A-6F14-49FC-A235-2A3BBBA5474B}
SUPPRIME FirewallRaz (Public) : {C6988629-40C4-424A-916B-C08FA439973C}

========== Dossier(s) ==========
SUPPRIME Temporaires Windows: : 75
SUPPRIME Flash Cookies: 10

========== Fichier(s) ==========
SUPPRIME File: c:\users\iona\desktop\bundlesweetimsetup.exe
SUPPRIME Temporaires Windows: : 24
SUPPRIME Flash Cookies: 2


========== Récapitulatif ==========
1 : Processus mémoire
9 : Clé(s) du Registre
7 : Valeur(s) du Registre
2 : Dossier(s)
3 : Fichier(s)


End of clean in 00mn 05s

========== Chemin de fichier rapport ==========
C:\ZHP\ZHPFix[R1].txt - 10/12/2011 17:20:05 [2176]


Et voici le lien vers le rapport ZHPDiag:
http://pjjoint.malekal.com/files.php?id=ZHPDiag_20111210_b9q9p13f9m7

Et merci encore pour ton aide.

hubhub
0

Discussions similaires

Est ce que le site tlauncher est dangereux ?
caribou -
bazfile -

1 réponse
Nous limitons la fréquence d’action…
Mimi -
Duieoekend -

7 réponses
Snapchat locked : mon compte snapchat est bloqué
amelie-2 -
Beratilhan -

51 réponses
Comment savoir si j'ai attrapé un virus sur mon téléphone ?
Infolock -
bell -

66 réponses
"Nous limitons certaines activités pour protéger votre communauté."
sofboubou1 -
sofboubou1 -

4 réponses