Virus soit disant police nationale.

Salut,

C'est ça : http://www.malekal.com/2011/12/08/trojan-winlock-tropan-ransomware-virus-police-suite/

Normalement Malwarebyte le vire.
Poste le rapport Malwarebyte et fais ça :

Tu peux suivre les indications de cette page pour t'aider : http://www.malekal.com/2010/11/12/tutorial-otl/

* Télécharge http://oldtimer.geekstogo.com/OTL.exe sur ton bureau.
(Sous Vista/Win7, il faut cliquer droit sur OTL et choisir Exécuter en tant qu'administrateur)

* Lance OTL
* Sur OTL, sous Personnalisation, copie-colle le script ci-dessous :
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%temp%\.exe /s
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
/md5start
explorer.exe
winlogon.exe
wininit.exe
/md5stop
HKEY_LOCAL_MACHINE\SYSTEM\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters /s
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems /s
CREATERESTOREPOINT
nslookup www.google.fr /c
SAVEMBR:0
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
* Clique sur le bouton Analyse.
* Quand le scan est fini, utilise le site http://pjjoint.malekal.com/ pour envoyer le rapport OTL.txt (et Extra.txt si présent), donne le ou les liens pjjoint qui pointent vers ces rapports ici dans un nouveau message.

Désolé pour le retard, en tout cas merci pour ta réponse, j'ai pas internet avec ce mode sans échec donc j'en bave un peu entre le portable, le fixe, les clefs usb et le gestionnaire de tache tout ça sans bureau dispo ...
Voici lien OTL : http://pjjoint.malekal.com/files.php?id=20111210_u5l5t14q15p9
Et rapport malwarebytes : le trojan n'est pas sur ce rapport :

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Version de la base de données: 8336

Windows 5.1.2600 Service Pack 3 (Safe Mode)
Internet Explorer 8.0.6001.18702

10/12/2011 19:28:36
mbam-log-2011-12-10 (19-28-36).txt

Type d'examen: Examen rapide
Elément(s) analysé(s): 195832
Temps écoulé: 12 minute(s), 59 seconde(s)

Processus mémoire infecté(s): 0
Module(s) mémoire infecté(s): 0
Clé(s) du Registre infectée(s): 0
Valeur(s) du Registre infectée(s): 0
Elément(s) de données du Registre infecté(s): 0
Dossier(s) infecté(s): 0
Fichier(s) infecté(s): 0

Processus mémoire infecté(s):
(Aucun élément nuisible détecté)

Module(s) mémoire infecté(s):
(Aucun élément nuisible détecté)

Clé(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Valeur(s) du Registre infectée(s):
(Aucun élément nuisible détecté)

Elément(s) de données du Registre infecté(s):
(Aucun élément nuisible détecté)

Dossier(s) infecté(s):
(Aucun élément nuisible détecté)

Fichier(s) infecté(s):
(Aucun élément nuisible détecté)



En espérant que tu puisses m'aider.

Télécharge AdwCleaner ( d'Xplode ) sur ton bureau.
Lance le, clique sur [Suppression] puis patiente le temps du scan.
Une fois le scan fini, un rapport s'ouvrira. Poste moi son contenu dans ta prochaine réponse.

Note : Le rapport est également sauvegardé sous C:\AdwCleaner[S1].txt

~~~


bizare le hash de ton C:\WINDOWS\explorer.exe
Bamital ?

Tu peux scanner C:\WINDOWS\explorer.exe sur http://www.virustotal.com et donner le lien de scan ici.

Merci pour ton aide :
Rapport recherche :
# AdwCleaner v1.401 - Rapport créé le 11/12/2011 à 13:20:28
# Mis à jour le 06/12/11 à 19h par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : user - USER-38272F1996 (Administrateur)
# Exécuté depuis : C:\Documents and Settings\user\Bureau\adwcleaner.exe
# Option [Recherche]


***** [Services] *****


***** [Fichiers / Dossiers] *****


***** [Registre] *****


***** [Navigateurs] *****

-\\ Internet Explorer v8.0.6001.18702

[OK] Le registre ne contient aucune entrée illégitime.

-\\ Mozilla Firefox v8.0.1 (fr)

Profil : 2tw35lc1.default
Fichier : C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\2tw35lc1.default\prefs.js

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [2287 octets] - [11/12/2011 13:07:23]
AdwCleaner[R1].txt - [883 octets] - [11/12/2011 13:20:28]

########## EOF - C:\AdwCleaner[R1].txt - [1010 octets] ##########


Rapport suppression :

# AdwCleaner v1.401 - Rapport créé le 11/12/2011 à 13:07:23
# Mis à jour le 06/12/11 à 19h par Xplode
# Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
# Nom d'utilisateur : user - USER-38272F1996 (Administrateur)
# Exécuté depuis : C:\Documents and Settings\user\Bureau\adwcleaner.exe
# Option [Suppression]


***** [Services] *****


***** [Fichiers / Dossiers] *****

Dossier Supprimé : C:\Documents and Settings\All Users\Application Data\Babylon
Dossier Supprimé : C:\Documents and Settings\user\Application Data\Babylon
Dossier Supprimé : C:\Documents and Settings\user\Application Data\Mozilla\Extensions\{ec8030f7-c20a-464f-9b0e-13a3a9e97384}
Dossier Supprimé : C:\Documents and Settings\user\Local Settings\Application Data\Conduit
Dossier Supprimé : C:\Program Files\Conduit
Dossier Supprimé : C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\2tw35lc1.default\Conduit

***** [Registre] *****

[*] Clé Supprimée : HKLM\SOFTWARE\Classes\Toolbar.CT2613520
Clé Supprimée : HKCU\Software\Conduit
Clé Supprimée : HKCU\Software\ItsLabel
Clé Supprimée : HKLM\SOFTWARE\Conduit
Clé Supprimée : HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot\Certificates\2796BAE63F1801E277261BA0D77770028F20EEE4
Clé Supprimée : HKLM\SOFTWARE\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}
Clé Supprimée : HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}
Clé Supprimée : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\conduitEngine

***** [Navigateurs] *****

-\\ Internet Explorer v8.0.6001.18702

[OK] Le registre ne contient aucune entrée illégitime.

-\\ Mozilla Firefox v8.0.1 (fr)

Profil : 2tw35lc1.default
Fichier : C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\2tw35lc1.default\prefs.js

C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\2tw35lc1.default\user.js ... Supprimé !

[OK] Le fichier ne contient aucune entrée illégitime.

*************************

AdwCleaner[S1].txt - [2067 octets] - [11/12/2011 13:07:23]

*************************

Dossier Temporaire : 1 dossier(s)et 6 fichier(s) supprimés

########## EOF - C:\AdwCleaner[S1].txt - [2286 octets] ##########




J'ai pas pu faire scan en ligne, j'ai pas internet avec le seul mode qui fonctionne : pour mémoire en invite de commande...

J'ai retenté un démarrage : tjs ce .... de virus

ha ok il est encore actif.
Je me demande s'il a pas remplacé explorer.exe

Comment tu as pu faire tous ces scans si tu es en invite de commande?
Tu peux envoyer explorer.exe sur http://upload.malekal.com ?

En fait je passe par créer une nouvelle tache et de là j'ai accès aux fichiers et je peux copier coller, ouvrir ... et je passe par un portable pour envoyer les fichiers, j'en bave un peu !
Je pense que t'as raison, j'ai 2 fichiers explorer.exe, un de windows et un en application de Luis inc Louise que je te met sur site.
Je peux essayer de le supprimer tu crois ?
N.B. : je vais être plus réactif à tes réponse à partir de maintenant.
J'ai uploadé le fichier m'a dit réussi mais m'a pas donné de lien, tu vas pouvoir le récupérer ?

C:\Windows\explorer.exe a été remplacé par une version malicieuse.
Faut le remettre.

Donc voir cette procédure : http://www.malekal.com/2011/12/11/trojan-fake-police-virus-gendarmerie-nation/

Ca a presque bien fonctionné : j'ai accés à tout mais qd j'allume il se passe rien, c tjs mieux que le virus, j'ai lancé explorer.exe : accés dossiers mais tjs pas de bureau.
Je dois remettre explorer.exe dans le shell je pense ?
Puis pour le bureau au démarrage ?
Je fais rien en attendant ta réponse ;-)

Juste pour info, j'ai la technique "tour de passe passe" et iexplorer c'est pas lancé au redémarrage normal.

En fait j'ai craqué, j'ai remis explorer dans shell et le bureau est réapparu au démarrage suivant.
Je pense avoir encore besoin de toi, si tu te rappelles (voir 1er message) j'ai toujours les fenetres publicitaires (je suis tombé sur un site de comparatif quand j'ai cliqué sur comment ça marche sur google) or je pense que c'est un des sites des fenêtres de pub qui m'a filé cette buse car je ne vais pas sur des sites de streaming (je ne suis pas un ange mais je ne pratique pas ça) !
Faut-il que j'ouvre un nouveau topic pour ce probleme ou tu veux bien m'aider sur celui-ci ?

En tout cas merci beaucoup pour le virus "gendarmerie nationale, vos papiers bonjour" ;-)

MOI J'ai eu le mm probleme sous windows xp + firefox et j'ai suivi vos conseils en faisant un redemarrage en mode sans echec, sans echec avec prise en charge réseau et autres rien n'a marché ! la seule chose que j'ai faite et que la ca a vraiment marché c'est de restaurer le systeme avec cd system32 etc... la fonctionne j'ai internet et j'ai fait un scan il y a bien un virus du nom de potatol un truc j'ai tt viré

Pour ceux qui ont réussi à virer l'infection :

Important - ton infection est venue par un exploit sur site web :

Un exploit sur site WEB permet l'infection de ton ordinateur de manière automatiquement à la visite d'un site WEB qui a été hacké, il tire partie du fait que tu as des logiciels (Java, Adobe Reader etc) qui sont pas à jour et possèdent des vulnérabilités qui permettent l'execution de code (malicieux dans notre cas) à ton insu.
Le fait de ne pas avoir des logiciels à jour et qui ont potentiellement des vulnérabilités permettent donc d'infecter ton système.
Exemple avec : Exploit Java

IMPORTANT : mettre à jour tes programmes notamment Java/Adobe Reader et Flash ==> http://forum.malekal.com/logiciels-pour-maintenir-ses-programmes-jour-t15960.html


Pour aller plus loin dans la sécurité de ton PC : http://forum.malekal.com/comment-securiser-son-ordinateur.html

Passe le mot à tes amis !


Like the angel you are, you laugh creating a lightness in my chest,
Your eyes they penetrate me,
(Your answer's always 'maybe')
That's when I got up and left